Тема оформления
SoftEther VPN
Назначение
Worker SoftEther превращает WT32 в шлюз для удалённого доступа через интернет. С компьютера можно открыть настройки WT32 в браузере, работать с прибором RS-485 или, если включён Ethernet-мост, обращаться к другим устройствам локальной сети объекта.
Как устроено подключение
WT32 и удалённый компьютер подключаются к серверу SoftEther. На сервере их объединяет Virtual Hub — виртуальная сеть. У WT32 и компьютера должны быть разные учётные записи в одном Virtual Hub.
Сервер должен быть доступен через интернет с обеих сторон. WT32 сам устанавливает соединение с сервером, поэтому на роутере объекта обычно не нужно открывать входящие порты. После подключения к VPN обращайтесь к WT32 по его настроенному IP-адресу.
Что понадобится для подключения
- WT32 с базовой прошивкой Foundation 1.1.122 и действующей лицензией устройства. На подготовленном устройстве Foundation уже установлен.
- Прошивка Worker SoftEther для установки на WT32.
- Адрес сервера, порт, имя Virtual Hub, логин и пароль. Получите их у администратора вашего VPN-сервера.
- Программа SoftEther VPN Client на удалённом компьютере и отдельная учётная запись для неё.
- Интернет на WT32 по Ethernet или Wi-Fi. Для работы с RS-485 нужен соответствующий интерфейс устройства.
На WT32 работает один Worker. Установка SoftEther заменяет назначение устройства: одновременно выполнять PLC-программу Beremiz или использовать отдельную прошивку Remote COM / конвертер Modbus TCP ↔ RTU оно не будет.
Установка
Скачайте Worker SoftEther 0.1.74. Файл прошивки: WT32_Worker_softether_0.1.74.bin, размер 1243824 байта. SHA-256: 2ecb5e22ef534bf2abc461081c1eabac9727c4deb2431d261a95f299c9516231.
- Сохраните настройки устройства и сведения о лицензии.
- Проверьте SHA-256 скачанного файла: PowerShell
Get-FileHash .\WT32_Worker_softether_0.1.74.bin -Algorithm SHA256. - В доверенной локальной сети войдите в Web WT32, откройте загрузку Worker в разделе «Сервис»/Foundation и передайте Worker BIN. Выберите именно файл Worker BIN. Не стирайте память устройства: в ней находятся настройки и лицензия.
- После перезапуска проверьте название Worker SoftEther, версию 0.1.74, Foundation 1.1.122 и действительность лицензии. Обновление прерывает текущие соединения.
Если вы подключены через VPN самого WT32
При переходе в режим установки прошивки собственный VPN выключается. До обновления обеспечьте другой доступ к устройству — например, по Ethernet через независимый VPN-шлюз. Порядок обновления.
Переустанавливать Foundation при обычном обновлении Worker не нужно. Если устройство недоступно по сети, см. восстановление.
Ethernet и Wi-Fi
Задайте адрес WT32
На вкладке Ethernet выберите статический IP-адрес: он не должен совпадать с адресом другого устройства. Укажите маску сети, а для интернета через Ethernet — также шлюз и DNS вашей сети.
Этот же сохранённый адрес используется для доступа к самому WT32 через VPN при выключенном мосте, в том числе без Ethernet-кабеля. Для такого режима выберите Static и задайте адрес вручную, а не оставляйте получение адреса по DHCP.
Подключите Wi-Fi, если он нужен для интернета
На вкладке WiFi включите интерфейс, выберите профиль сети и задайте её имя (SSID) и пароль. Нужна сеть 2,4 ГГц с доступом в интернет.
Подсети Wi-Fi и Ethernet должны различаться. Например, Ethernet может использовать адреса 192.168.220., а Wi-Fi — 192.168.137. при маске 255.255.255.0 у обеих сетей.
Выберите, через какое соединение работает VPN
На вкладке SoftEther флажок «Интернет через Wi-Fi, локальная сеть через Ethernet» задаёт путь к VPN-серверу:
- флажок снят — интернет через Ethernet;
- флажок установлен — интернет через Wi-Fi.
Автоматического переключения между Wi-Fi и Ethernet нет. Для смены соединения измените флажок и нажмите «Применить и перезагрузить». Включите автоподключение, если VPN должен запускаться самостоятельно после перезагрузки.
Настройки VPN
- Войдите в Web и откройте SoftEther, не останавливая текущее VPN-соединение.
- Введите сервер (имя/IP), TCP-порт (например 5555), Virtual Hub, пользователя и пароль учётной записи WT32 на VPN-сервере. Это не пароль входа в веб-интерфейс.
- Выберите интернет-интерфейс, состояние Ethernet-моста и автозапуск.
- Настройте проверку сертификата сервера, как описано ниже.
- Нажмите «Применить и перезагрузить» и подтвердите. Для возврата через VPN нужен включённый автозапуск и корректные параметры. После перезапуска войдите заново и проверьте значения и состояние соединения.
При первом сохранении пароль обязателен. Пустое поле при редактировании сохраняет прежний пароль. До применения текущий VPN продолжает работать с прежними параметрами. Перед применением проверьте реквизиты: они будут использованы для нового подключения после перезагрузки. Сохраните независимый доступ к локальной сети на случай, если потребуется исправить введённые данные. Настройку можно выполнить полностью в браузере.
Реквизиты и возврат после перезагрузки
Применение без предварительной остановки VPN
Сертификат
На новой конфигурации проверка сертификата выключена. Тогда сертификат и его имя вводить не нужно: TLS шифрует трафик, но подмена VPN-сервера не обнаруживается. Чтобы устройство проверяло подлинность VPN-сервера, включите проверку сертификата.
Включите «Проверять сертификат сервера» и укажите сертификат в формате PEM и имя сервера из сертификата. Получите эти данные у администратора VPN по доверенному каналу. Если проверка завершится ошибкой, устройство не будет автоматически отключать её для подключения.
«Сбросить настройки SoftEther» после остановки VPN и подтверждения удаляет только настройки SoftEther, не Ethernet/Wi-Fi, RS-485, лицензию или Foundation. Не путайте это действие с общим заводским сбросом.
Мост и режим без кабеля
Ethernet-мост даёт удалённому компьютеру доступ к локальной сети объекта через WT32. Если нужны только настройки самого WT32 и RS-485, оставьте мост выключенным.
| Интернет для VPN | Ethernet-мост | Что доступно через VPN | Нужен ли Ethernet-кабель |
|---|---|---|---|
| Ethernet | Включён | WT32 и устройства локальной сети | Да |
| Wi-Fi | Включён | WT32 и устройства локальной сети | Да, для работы моста |
| Ethernet | Выключен | Только сам WT32 | Да, для интернета |
| Wi-Fi | Выключен | Только сам WT32 | Нет |
RS-485 можно включить в любом из этих режимов. Тогда через VPN будет доступен и подключённый к нему прибор.
Доступ к локальной сети: мост включён
Включите «Ethernet-мост включён» и подключите WT32 кабелем к сети объекта. Удалённый компьютер обращается к её устройствам по их собственным IP-адресам.
Не подключайте одну локальную сеть к одному Virtual Hub двумя параллельными мостами. Это может создать сетевую петлю: трафик начнёт циркулировать между мостами и нарушит связь.
Переход к работе без Ethernet-кабеля
При включённом Ethernet-мосте оставляйте кабель подключённым, в том числе при интернете через Wi-Fi. Перед отключением кабеля выберите режим без моста и примените настройки. Переключение выполняется пользователем в Web-интерфейсе.
Доступ только к WT32 и RS-485: мост выключен
Снимите «Ethernet-мост включён» и нажмите «Применить и перезагрузить». Через VPN используйте прежний статический IP-адрес Ethernet для открытия веб-интерфейса и подключения к RS-485. Устройства локальной сети через этот WT32 доступны не будут.
В этом режиме с интернетом через Wi-Fi Ethernet-кабель не нужен: VPN, веб-интерфейс и включённый RS-485 продолжают работать. После извлечения кабеля физический интерфейс Ethernet может показывать 0.0.0.0; для доступа через VPN по-прежнему используйте сохранённый статический адрес.
Выключение моста закрывает доступ через него к локальной сети, но не является фильтром отдельных служб самого WT32. Доступ к ним ограничивайте правами пользователей VPN. Другие мосты или маршруты на VPN-сервере настраиваются отдельно. Передача IPv6 и сетей VLAN в режиме без моста не предоставляется.
Удалённый компьютер
На компьютере нужна программа SoftEther VPN Client. Она создаёт виртуальный сетевой адаптер — отдельное сетевое подключение Windows для доступа к объекту через VPN.
- Создайте в программе подключение к тому же серверу и Virtual Hub, что указаны на WT32. Используйте отдельный логин и пароль компьютера.
- В настройках IPv4 виртуального адаптера задайте свободный адрес из подсети WT32. Например: WT32 — 192.168.220.100, VPN-адаптер компьютера — 192.168.220.200, маска у обоих — 255.255.255.0.
- Если VPN нужен только для доступа к объекту, оставьте шлюз и DNS этого адаптера пустыми.
- Подключитесь к VPN. Откройте в браузере адрес WT32, например http://192.168.220.100/. Используйте этот же IP для программы Remote COM.
- Если включён Ethernet-мост, проверьте также доступ к нужным устройствам локальной сети по их IP-адресам.
Как избежать конфликта адресов
Не назначайте компьютеру IP самого WT32 или другого устройства. Домашняя либо офисная сеть компьютера должна отличаться от сети объекта: иначе компьютер может отправлять запросы не через VPN, а в свою локальную сеть.
При изменении подсети объекта обновите адрес и маску WT32 и VPN-адаптера. Для интернета WT32 через Ethernet проверьте также шлюз и DNS. Администратор VPN должен разрешить нужный трафик в правилах доступа Virtual Hub.
RS-485 через VPN
Этот режим позволяет программе на удалённом компьютере работать с RS-485 через виртуальный COM-порт. Подключите прибор по схеме RS-485. На одной линии должен работать один опрашивающий мастер; не запускайте одновременно вторую программу опроса.
- Во вкладке RS-485 включите сервис.
- Задайте скорость, биты, чётность, стоп-биты, TCP-порт и таймаут простоя.
- Сохраните. VPN для изменения RS-настроек останавливать не требуется, но изменение параметров линии разрывает активный COM-сеанс.
- На удалённом ПК подключите SoftEther. В WT32 Remote COM укажите IP WT32, порт 4001 (или выбранный), параметры линии и виртуальную COM-пару Windows. Настройка программы и COM-пары.
- Пользовательское приложение открывает парный виртуальный COM-порт.
По умолчанию RS-485 выключен. Параметры: 9600 бод, 8 бит данных, без чётности, 1 стоп-бит (8N1), TCP-порт 4001, таймаут простоя 300 секунд.
Допустимы скорости 1200–921600 бод, 7 или 8 бит данных, чётность N (нет), E (чётная) или O (нечётная), 1 или 2 стоп-бита. Таймаут простоя — 0–3600 секунд; 0 отключает таймаут. TCP-порт — 1–65535, кроме 80. Выбирайте параметры, поддерживаемые подключённым прибором; допустимая скорость зависит также от длины, кабеля и согласования линии.
Один активный COM-клиент; второе соединение отклоняется. «Отключить COM-клиента» завершает сеанс, не выключая VPN. Для полного отключения сервиса снимите его флажок и сохраните. Настройки RS-485 хранятся отдельно от SoftEther.
Данные передаются между сетевым соединением и RS-485 без преобразования протокола. Например, программа с Modbus RTU продолжает работать с Modbus RTU через виртуальный COM-порт. Для преобразования Modbus TCP в RTU нужен режим конвертера в Worker Remote COM / конвертер Modbus TCP ↔ RTU.
Режим передаёт поток данных без управляющих сигналов BREAK/RTS/DTR и команд RFC2217. В программе опроса задайте таймаут ответа для обмена через VPN.
Сетевой порт RS-485 не имеет собственного пароля и доступен через работающие сетевые интерфейсы. Не открывайте его и веб-интерфейс напрямую в интернет. Используйте доверенную локальную сеть или VPN с ограничением прав пользователей. Выключайте RS-485, если он не нужен.
Индикация D3 / D4
- D3: установлен сеанс SoftEther. Подключение к конкретному прибору проверяется в программе, которая с ним работает.
- D4: подтверждён интернет хотя бы через Ethernet или Wi-Fi, не обязательно через соединение, выбранное для VPN. Наличие кабеля и IP-адреса ещё не означает доступ в интернет.
Для индикатора D4 устройство примерно раз в 10 секунд проверяет TCP-порт 53 сервера 1.1.1.1, затем 8.8.8.8. Если эти сервисы заблокированы, индикатор может не гореть при доступности других ресурсов. Обновление индикации не мгновенное. Индикаторы D3 и D4 не показывают обмен по RS-485.
Диагностика
Сначала откройте вкладку SoftEther и нажмите «Обновить состояние SoftEther». Посмотрите состояние подключения и причину последнего сбоя, затем проверьте журнал устройства.
| Что произошло | Что проверить |
|---|---|
| VPN не подключается | Выбран ли нужный источник интернета; работают ли интернет и DNS; верны ли адрес сервера, порт, Virtual Hub, логин и пароль. При проверке сертификата проверьте также сертификат, имя сервера и время устройства. |
| WT32 доступен, а другие устройства сети — нет | Включён ли Ethernet-мост и подключён ли кабель. Проверьте адреса и маски, отсутствие одинаковых IP, правила Virtual Hub и брандмауэр целевого устройства. |
| После извлечения кабеля пропал доступ к WT32 | Для работы без кабеля нужны интернет через Wi-Fi, выключенный мост и статический адрес Ethernet. Если кабель вынули при включённом мосте, верните его и измените режим. |
| RS-485 не работает | Сначала откройте WT32 через VPN. Затем проверьте включение RS-485, лицензию, TCP-порт, отсутствие другого COM-клиента, параметры линии и подключение прибора. |
| После остановки VPN оборвалось соединение браузера | Если браузер был подключён через этот VPN, обрыв ожидаем. Для повторного запуска потребуется другой доступ к WT32, например по локальной сети. |
| Настройки не сохраняются | Прочитайте сообщение формы и исправьте указанные поля. Не очищайте память устройства: вместе с настройками можно потерять лицензию. |
API для интеграции
API позволяет собственной программе получать состояние WT32 и управлять им без браузера. Для обычной настройки используйте веб-интерфейс; этот раздел нужен при автоматизации.
Сначала выполните POST /login с паролем веб-интерфейса. Сохраните полученную cookie сессии и передавайте её в следующих запросах. Это не пароль учётной записи VPN.
| Метод и адрес | Назначение |
|---|---|
| GET /status | Получить состояние устройства. |
| GET /api/softether/#settings | Прочитать настройки VPN; сохранённый пароль не возвращается. |
| POST /api/softether/#settings | Сохранить настройки SoftEther. |
| POST /api/softether/apply | Сохранить настройки и перезагрузить устройство. |
| POST /api/softether/connect | Запустить подключение к VPN. |
| POST /api/softether/stop | Остановить VPN. Доступ через него будет прерван. |
| GET /api/softether/diagnostic | Получить диагностические сведения VPN. |
| GET /api/rs485-bridge | Прочитать настройки RS-485. |
| POST /api/rs485-bridge | Сохранить настройки RS-485. |
| POST /api/rs485-bridge/disconnect | Отключить активного COM-клиента. |
| POST /reboot | Перезагрузить WT32. |
Настройки SoftEther включают wifi_uplink (интернет через Wi-Fi), bridge_enabled (мост), autostart (автоподключение), verify_certificate (проверка сертификата) и данные учётной записи. Состав полей запроса должен соответствовать версии Worker. Не отправляйте пустой набор полей в расчёте на частичное изменение.
Не записывайте пароли в общедоступные журналы. При установке более ранней прошивки формат сохранённых настроек может оказаться несовместимым: заранее сохраните параметры сети, VPN и сведения о лицензии и обеспечьте доступ по локальной сети. Не очищайте память с настройками и лицензией для выполнения отката.