PLC 无法配置网关，如何通过 SNAT 实现跨网段访问？

在工业现场有些 PLC 只能设置 IP 地址和子网掩码无法配置默认网关。电脑与 PLC 在同一网段时通信正常但换到其他网段或通过 VPN 远程访问时却可能连接失败。如果请求已经能够到达 PLC问题往往出在回程PLC 不知道如何向远端网段发送回复。这种情况下可以通过SNAT源地址转换让 PLC 在不配置网关的情况下响应远端设备发起的访问。一、为什么本地能访问跨网段却不通假设网络结构如下远端电脑192.168.20.100/24 │ 路由网络或 VPN │ 现场路由器192.168.10.1/24 │ PLC192.168.10.10/24 无法配置默认网关同网段设备通信时通常可以通过 ARP 查询对方的 MAC 地址然后直接发送数据不需要默认网关。但跨网段通信有所不同。假设远端电脑发出的请求经过路由器已经到达 PLC而且途中没有进行源地址转换。PLC 看到的是源 IP192.168.20.100 目标 IP192.168.10.10PLC 准备回复时会根据自己的 IP 地址和子网掩码判断192.168.20.100不属于本地的192.168.10.0/24网段。如果没有到远端网络的路由又无法配置默认网关PLC 就无法正常发出回复。于是出现了请求能够到达 PLC回复却无法返回远端电脑。PLC 通常不会因为请求是某台路由器送来的就自动把回复交还给它。发送回复时仍然需要根据目标 IP 地址选择路径。二、SNAT 如何解决这个问题SNAT 的作用是在转发数据包时修改它的源 IP 地址。在这个场景中可以让现场路由器把远端访问 PLC 的请求统一转换成以路由器的 PLC 侧接口地址为源地址。转换前源 IP192.168.20.100 目标 IP192.168.10.10转换后源 IP192.168.10.1 目标 IP192.168.10.10此时PLC 看到的访问者变成了192.168.10.1。这个地址与 PLC 处于同一网段PLC 可以直接向它回复不需要默认网关。路由器收到回复后再根据保存的 NAT 连接映射执行反向转换将回复转发给远端电脑。SNAT 的关键是把 PLC 的回复目标变成一个同网段、可以直接到达的地址。三、一次完整的通信过程以远端电脑访问 PLC 为例第一步远端电脑发出请求192.168.20.100 → 192.168.10.10请求通过路由网络或 VPN到达现场路由器。第二步路由器执行 SNAT路由器将源地址改为自己的 PLC 侧接口地址192.168.10.1 → 192.168.10.10目标地址仍然是 PLC改变的是请求的来源地址。第三步PLC 直接回复路由器PLC 判断192.168.10.1与自己处于同一网段因此直接回复192.168.10.10 → 192.168.10.1第四步路由器还原并转发回复路由器根据连接映射把回复的目标地址还原成远端电脑的地址192.168.10.10 → 192.168.20.100这样远端电脑与 PLC 就完成了一次双向通信。四、SNAT 规则应该怎样理解不同设备的配置界面和命令不同但规则的基本逻辑一致配置项示例含义原始源地址192.168.20.0/24哪些远端设备的请求需要转换目标地址192.168.10.10需要访问的 PLC出接口连接 PLC 网络的接口请求从哪个接口发往 PLC转换后源地址192.168.10.1PLC 实际看到的访问者地址这条规则可以理解为当来自192.168.20.0/24、发往 PLC192.168.10.10的请求从 PLC 侧接口出去时将源地址改成192.168.10.1。实际配置时还可以根据需要限制协议和端口让规则只作用于必要的业务流量。