随着工厂设备遍布全国甚至全球，远程维护已成为PLC工程师的必备技能。三菱Q系列PLC凭借强大的网络模块（如QJ71E71-100）和GOT HMI的以太网接口，可实现全远程监控。但直接在路由器上开放端口（如TCP 80或2002）极易遭受网络攻击。本文将分享一套基于OpenVPN的跨网段穿透方案，用于安全访问远程车间中的Q系列PLC与FR-E800变频器。

某智慧水务项目的实施中，现场使用Q03UDECPU连接一个QJ71E71-100以太网模块和两个FR-E800变频器（通过CC-Link IE Field网络）。我们需要从总部实时读取水位与电机电流。传统的方案是配置'端口映射'，但安全审计发现，一个月内该公网IP遭遇到超过2000次扫描攻击。因此，我们改为部署一台工业级VPN网关（如MOXA EDR-G902），在总部架设OpenVPN服务器，现场网关作为客户端主动发起加密连接。关键配置在于：VPN虚拟局域网（如10.8.0.0/24）必须与现场实体局域网（如192.168.1.0/24）完全隔离，并通过静态路由实现跨网段访问。在GX Works2中，将QCPU的IP设为192.168.1.10，GOT设为192.168.1.20，VPN网关设为192.168.1.1，同时设置路由表：访问10.8.0.0网段时网关为VPN隧道地址。

实际操作中存在一个常见的坑：三菱GOT的以太网直连功能（GOT Direct）默认仅限同一网段。若总部电脑IP为192.168.2.10，通过VPN访问GOT（192.168.1.20）时，GOT会因源IP非本网段而拒绝连接。解决方法是在GOT的'以太网详细设置'中，将'允许来自其他网段的连接'选项设为有效，并添加分公司网段（192.168.2.0/24）到白名单。

另一个值得注意的性能参数是VPN隧道的MTU（最大传输单元）。由于QJ71E71-100在封装TCP/IP时默认MTU为1500字节，而VPN加密会额外增加约58字节开销，导致数据包分片，引起通信卡顿。我在现场将VPN接口的MTU调低至1400，并在PLC侧启用以太网模块的'自动协商'功能，完美解决了偶发性断连问题。最终，该远程方案已稳定运行两年，仅发生过一次由运营商光缆中断引起的失联。