如何通过 CNC 机床访问 NAT 网络

• 1
  要点速览
• 2
  CNC 控制器为何位于 NAT 之后
• 3
  操作网关前需收集的信息
• 4
  为 CNC 机床设计私有子网
• 5
  常见故障及排除方法
• 6
  NAT 开放时如何保障车间安全
• 7
  分步操作：通过 CNC 机床访问 NAT 网络
• 8
  哪种访问方式适合哪类机床

多数 CNC 控制器出厂时带有固定私有地址。Fanuc、Siemens 和 Mitsubishi 控制器通常默认为 192.168.0.1 或 192.168.1.1 之类。若连接两台默认地址相同的机床，两者都无法与网络通信。NAT 通过让每个控制器在网关后拥有独立私有地址、由网关持有一个公网地址来解决此问题。

另一种方案是给每台机床分配公网 IP。在机床数量达到 40 台且地址块有限时便行不通。这还会让每个控制器直接暴露在互联网上，多数 IT 部门不会同意。NAT 让控制器保持隐藏，同时仍允许程序员或监控服务器访问它们。

还有第二个原因。许多 CNC 控制器运行老旧的嵌入式操作系统，多年未获得安全补丁。将它们留在扁平的公网网络上是一种责任风险。NAT 网关充当缓冲：只有存在对应端口映射时，入站流量才能到达控制器。

因此目标不是移除 NAT，而是配置 NAT，使正确的流量通过、其余流量被丢弃。以下步骤即围绕此展开。

• 1
  每个控制器一个私有地址每台 CNC 在车间子网上获得唯一地址。
• 2
  一个公网地址网关持有可路由 IP 并执行地址转换。
• 3
  明确的入站规则没有端口映射就没有通往控制器的入站路径。

改动任何设置前，你需要四项信息。第一，计划连接的每台 CNC 控制器的当前 IP 地址和子网掩码。第二，每个控制器用于数据传输的协议：FOCAS、Modbus TCP、OPC UA 或简单 FTP。第三，ISP 分配的公网 IP 或 IP 块。第四，用于机床网络的内部子网。

开始前将这些信息写入表格。根据我们的经验，最常见的调试延误是发现两台机床数月前被配置了相同地址而无人察觉。对机床子网做一次快速 ping 扫描，不到一分钟即可发现重复地址。

还要检查每个控制器的固件版本。较老的 Fanuc 0i 系列控制器可能不支持与 31i 相同的以太网选项。如果控制器仅支持 FTP 传输程序，端口映射将与运行 OPC UA 的机床不同。

最后，确认防火墙的归属。许多工厂由 IT 团队管理网关，维护团队管理机床。开始前商定变更窗口。三到五台机床通常 30 分钟窗口足够。

• 1
  机床清单每台设备的型号、控制器类型、当前 IP 和协议。
• 2
  网关访问权限管理员凭据和当前配置备份。
• 3
  变更窗口与 IT 和生产部门商定，避免中断加工任务。
• 4
  回滚方案任何编辑前将旧配置保存到文件。

选择不与办公网络重叠的私有地址段。常见选择是 10.10.0.0/24 或 192.168.50.0/24。避免使用 192.168.0.0/24 和 192.168.1.0/24，因为许多控制器出厂默认使用这些地址，日后会造成冲突。

按机床类型分块分配地址。例如 10.10.0.11 至 10.10.0.30 给加工中心，10.10.0.31 至 10.10.0.50 给车床，10.10.0.51 至 10.10.0.70 给电火花加工。这样排障更快，因为地址能说明机床类型。

单一车间网段使用子网掩码 255.255.255.0。设备超过 200 台时，改用 /23 或划分 VLAN。不要因为省事就用 /16；过大的广播域会拖慢老旧控制器。

控制器上的网关地址应指向 NAT 路由器，而非办公防火墙。控制器不应直接看到办公网络。若能看到，说明你创建了绕过端口映射的路由路径。

• 1
  避开默认地址段192.168.0.x 和 192.168.1.x 已被许多控制器占用。
• 2
  按机床类型分组地址块让网络具备自描述能力。
• 3
  只设一个网关控制器只指向 NAT 路由器，不指向其他设备。

最常见的症状是控制器在本地能 ping 通，但从外部无法访问。十有八九是端口映射指向了错误的私有地址，或者控制器的网关字段仍设为旧路由器。改动其他设置前先检查这两项。

第二种常见故障是连接建立后几秒就断开。这通常说明协议需要不止一个端口。例如 FTP 用 21 端口做控制，另用一个数据端口。如果只映射了 21，目录列表就会失败。把控制器切到被动模式，并同时映射被动端口范围。

大程序传输慢通常是双工不匹配。把控制器网卡和交换机端口设为相同的速率和双工，老控制器最好用 100 Mbps 全双工。1 Gbps 交换机上的自动协商在十年前的控制器上经常失败。

如果机床断电重启后从网络上消失，检查它是否设为 DHCP。很多控制器默认用 DHCP，重启后会拿到不同的地址，导致端口映射失效。每台做映射的机床都要设静态地址。

• 1
  外部无法访问端口映射里的私有 IP 写错，或控制器上的网关写错。
• 2
  连接断开第二个数据端口未映射；改用被动 FTP。
• 3
  传输慢双工不匹配；两端都固定为 100 Mbps 全双工。
• 4
  重启后地址变化DHCP 仍启用；改设静态地址。

每个端口映射都是一个小的开口。映射列表要短。如果机床只需要向服务器发送程序，根本不需要入站映射；控制器主动向外连接就够了。只有在服务器或工程师必须主动发起连接的地方才需要入站映射。

机床网络使用独立的 VLAN。机床 VLAN 与办公 VLAN 之间的流量应经过防火墙并配置明确规则。这样即使办公笔记本被攻陷，也无法直接扫描车间。

修改 NAT 路由器和所有支持密码保护的控制器上的默认密码。很多控制器出厂时根本没有密码。至少应限制谁能进入网络设置菜单。

保留端口映射记录，临时映射要标注到期日期。为供应商两小时会话开放的映射应在当天删除。我们自己的工厂每月对照机床清单复核一次映射列表。

• 1
  优先用出站控制器能主动向外推送数据，就不需要入站映射。
• 2
  独立 VLAN机床流量经过防火墙，而不是扁平局域网。
• 3
  修改默认值路由器和控制器密码，每次都要改。
• 4
  临时映射要到期供应商访问不应超出会话时间。