工业设备的远程通信方法、装置以及设备与流程

1.本技术涉及云计算技术领域，尤其涉及一种工业设备的远程通信方法、装置以及设备。


背景技术：

2.在一些工业制造场景中，需要通过终端设备远程控制各工业控制器件，以实现对工业设备的控制。目前，终端设备和工业设备之间的远程通信方案，需要通过路由器以端口映射的方式将工业设备暴露在公网中，以建立远程的终端设备与工业设备之间的通信链路。此种情况下，为工业生成、维护带来较大的安全隐患。因此，如何实现工业设备的远程通信，以确保工业设备远程通信的安全性，是当前亟待解决的问题。


技术实现要素：

3.本技术实施例提供的一种工业设备的远程通信方法、装置以及设备，以期提高工业设备远程通信的安全性。
4.第一方面，本技术实施例提供一种工业设备的远程通信方法，应用于边缘设备，该边缘设备与至少一个工业设备在第一局域网内实现通信连接，包括：通过虚拟专用网络(virtual private network，vpn)通道，获取来自于终端设备的第一数据包，该第一数据包包括目的地址，该第一数据包中的目的地址为目标工业设备在该第一局域网内的网际互联协议(internet protocol，ip)地址，该目标工业设备为该至少一个工业设备中的一个；将该第一数据包发送至该目标工业设备。
5.第二方面，本技术实施例提供一种工业设备的远程通信方法，应用于vpn服务器，包括：向边缘设备发送第一配置信息，该第一配置信息携带第二局域网的网段的信息，该第二局域网的网段为通过vpn通道进行通信时采用的局域网；向该边缘设备转发来自于终端设备的第一数据包，该第一数据包包括源地址和目的地址，该第一数据包中的源地址为该终端设备的在该第二局域网内的ip地址，该第一数据包中的目的地址为目标工业设备在第一局域网内的ip地址，该目标工业设备为在第一局域网内与该边缘设备实现通信连接的至少一个工业设备中的一个。
6.第三方面，本技术实施例提供一种工业设备的远程通信方法，应用于终端设备，包括：通过vpn通道，向边缘设备发送第一数据包，该第一数据包包括源地址和目的地址，该第一数据包中的源地址为该终端设备的在第二局域网内的ip地址，该第一数据包中的目的地址为目标工业设备在第一局域网内的ip地址，该目标工业设备为在第一局域网内与该边缘设备实现通信连接的至少一个工业设备中的一个；通过该vpn通道，接收该边缘设备发送的第二数据包。
7.第四方面，本技术实施例提供一种边缘设备，该边缘设备与至少一个工业设备在第一局域网内实现通信连接，该边缘设备包括：获取单元，用于通过虚拟专用网络vpn通道，获取来自于终端设备的第一数据包，该第一数据包包括目的地址，该第一数据包中的目的
地址为目标工业设备在该第一局域网内的网际互联协议ip地址，该目标工业设备为该至少一个工业设备中的一个；收发单元，用于将该第一数据包发送至该目标工业设备。
8.第五方面，本技术实施例提供一种服务器，包括：收发单元，用于向边缘设备发送第一配置信息，该第一配置信息携带第二局域网的网段的信息，该第二局域网的网段为通过vpn通道进行通信时采用的局域网；该收发单元还用于向该边缘设备转发来自于终端设备的第一数据包，该第一数据包包括源地址和目的地址，该第一数据包中的源地址为该终端设备的在该第二局域网内的ip地址，该第一数据包中的目的地址为目标工业设备在第一局域网内的ip地址，该目标工业设备为在第一局域网内与该边缘设备实现通信连接的至少一个工业设备中的一个。
9.第六方面，本技术实施例提供一种终端设备，包括：收发单元，用于通过vpn通道，向边缘设备发送第一数据包，该第一数据包包括源地址和目的地址，该第一数据包中的源地址为该终端设备的在第二局域网内的ip地址，该第一数据包中的目的地址为目标工业设备在第一局域网内的ip地址，该目标工业设备为在第一局域网内与该边缘设备实现通信连接的至少一个工业设备中的一个；该收发单元还用于通过该vpn通道，接收该边缘设备发送的第二数据包。
10.第七方面，本技术实施例提供一种电子设备，包括：至少一个处理器和存储器；该存储器存储计算机执行指令；该至少一个处理器执行该存储器存储的计算机执行指令，使得该至少一个处理器执行如第一方面、第二方面或第三方面提供的方法。
11.第八方面，本技术实施例提供一种计算机可读存储介质，该计算机可读存储介质中存储有计算机执行指令，当处理器执行该计算机执行指令时，实现如第一方面、第二方面或第三方面提供的方法。
12.第九方面，本技术实施例提供一种计算机程序产品，包括计算机指令，该计算机指令被处理器执行时实现第一方面、第二方面或第三方面提供的方法。
13.在本技术实施例中，边缘设备与终端设备之间通过vpn通道进行加密通信，再由边缘设备在第一局域网中将终端设备发送的第一数据包发送至目标工业设备，在不将工业设备暴露于公网的情况下，实现了终端设备与边缘设备之间的通信，提高了工业设备的远程通信的安全性。
附图说明
14.图1为本技术是实施例提供的一种工业设备的远程通信场景100的示意图；
15.图2为本技术实施例提供的一种工业设备的远程通信方法200的交互流程示意图；
16.图3为本技术实施例提供的一种工业设备的远程通信方法300的交互流程示意图；
17.图4为本技术实施例提供的一种电子设备400的示意性框图；
18.图5为本技术实施例提供的一种电子设备500的示意性结构图；
19.图6为本技术示例性实施例提供的一种云服务器600的结构示意图。
具体实施方式
20.工业(industry)是对自然资源的开采、采集和对各种原材料进行加工的物质生成产业。通常可以包括但不限于轻工业、重工业和化工业。轻工业可以包括但不限于：以农产
品为原料的轻工业，例如食品制造、烟草加工、纺织、造纸、印刷等；以非农产品为原料的轻工业，例如文教体育用品、化学药品制造、合成纤维制造、日用品制造、手工工具制造、医疗器械制造等。重工业可以包括但不限于能源开采、金属冶炼及加工、水泥加工、电力等。化工业可以包括但不限于塑料及橡胶制品、涂料、化学废料处理等。本技术实施例中的工业设备可应用于上述任一工业领域，以实现工业生产或维护。工业设备包括但不限于计算机数字控制机床(computerised numerical control machine，cnc)
21.在目前工业自动化的实现中，常通过工业控制器件对工业设备进行控制，以实现工业生产或维护。应理解，这里的工业控制器件可以独立于工业设备，或者可以集成于工业设备。当工业设备集成有工业控制器件时，该工业设备可称作工业控制设备(简称工控设备)。工业控制器件例如可以是可编程逻辑控制器(programmable logic controller，plc)。
22.为便于说明，下文将以工业控制器件集成于工业设备为例。
23.针对目前工业制造场景中，通过路由器将工业设备暴露在公网中以实现对工业设备的远程通信，导致工业设备的远程通信安全性差的问题，本技术实施例中，边缘设备与远程的终端设备之间通过vpn进行通信，再由边缘设备在第一局域网内与工控设备进行通信，工控设备的ip不需要暴露于公网中即可实现与远程的终端设备之间的通信。
24.同样由于借助路由器实现工业设备的远程通信，需要在路由器中进行配置，以实现工业设备与终端设备之间的路由关系，然而当工业设备数量较多时，配置过程较为复杂。而本技术实施例中，不同工业设备可以复用边缘设备与终端设备之间建立的vpn通道，不需要每个工业设备均与终端设备建立连接，降低了配置的复杂度，并且，基于vpn通道实现的边缘设备与终端设备之间的通信具有较高的网络穿透性。
25.图1为本技术是实施例提供的一种工业设备的远程通信场景100的示意图。结合图1所示，边缘设备110与至少一个工业设备120在第一局域网内实现通信连接。其中，边缘设备110可以实现为一种网关。工业设备120可以实现为上述工控设备，或者工业设备120可以替换为上述工业控制器件。
26.边缘设备110与终端设备130通过虚拟专用网络(virtual private network，vpn)通道连接，vpn是在公用网络上建立的专用网络，vpn通道可以实现边缘设备110与终端设备130之间的加密通信。
27.一般来说，边缘设备110和终端设备130之间可以通过vpn服务器140建立vpn通道，并基于vpn服务器140的转发实现边缘设备110与终端设备130之间的通信，终端设备130和边缘设备110通过vpn通道进行通信时可以采用第二局域网。当然，vpn服务器140可以以功能模块的形式集成于终端设备130或边缘设备110中，本技术对此不做限定。
28.vpn服务器140可以实现为普通服务器、服务器集群，或者云端服务器、服务器集群。
29.终端设备130的数量可以是一个或者多个，本技术对此不做限定。在终端设备130的数量为多个时，多个终端设备130可以通过vpn服务器140与边缘设备110进行通信，具体而言，多个终端设备130可以在同一局域网(例如上文中的第二局域网)内与边缘设备110进行加密通信，多个终端设备130的ip地址均属于该第二局域网的网段内。
30.边缘设备110可以将接收到的来自于终端设备130的数据包转发给工业设备120中
的至少一个，也可以将接收到的来自于工业设备120的数据包转发给终端设备130，以实现终端设备130和工业设备120之间的通信。
31.示例性的，边缘设备110和终端设备130中均部署有vpn的客户端；vpn服务器140中部署有vpn的服务端。
32.上述第一局域网和第二局域网中的“第一”、“第二”用于区分不同的局域网，不代表先后顺序，也不限定第一局域网和第二局域网的类型不同。
33.需要说明的是，图1所示场景仅作为一种示例给出了本技术实施例相关场景的组成部分，并不对本技术构成任何限定。
34.下面将结合附图对本技术实施例提供的工业设备的远程通信方法做详细说明。
35.应理解，下文仅为便于理解和说明，以终端设备、边缘设备和工业设备之间的交互为例详细说明本技术实施例所提供的方法。该终端设备例如可以是图1中的终端设备130，边缘设备例如可以是图1中的边缘设备110，工业设备例如可以是图1中的工业设备120。在一些实施例中，vpn服务器也参与交互以实现本技术实施例提供的方法，该vpn服务器例如可以是图1中的vpn服务器140。
36.但应理解，这不应对本技术提供的方法的执行主体构成任何限定。只要能够通过运行记录有本技术实施例的提供的方法的代码的程序，以实现本技术实施例提供的方法，便可以作为本技术实施例提供的方法的执行主体。例如，下文实施例所示的终端设备也可以替换为该终端设备中的部件，比如芯片、芯片系统或其他能够调用程序并执行程序的功能模块，边缘设备也可以替换为该边缘设备中的部件，比如芯片、芯片系统或其他能够调用程序并执行程序的功能模块，工业设备也可以替换为该工业设备中的部件，比如芯片、芯片系统或其他能够调用程序并执行程序的功能模块，vpn服务器可以替换为该vpn服务器中的部件，比如芯片、芯片系统或其他能够调用程序并执行程序的功能模块。
37.图2为本技术实施例提供的一种工业设备的远程通信方法200的交互流程示意图。如图2所示，该方法200包括以下部分或者全部过程：
38.s210，终端设备通过vpn通道向边缘设备发送第一数据包。
39.相应的，边缘设备通过vpn通道，获取来自于终端设备的第一数据包。
40.s220，边缘设备将第一数据包发送至目标工业设备。
41.本技术实施例中，该第一数据包至少包括目的地址，该第一数据包中的目的地址为目标工业设备在第一局域网内的ip地址。如前所述，工业设备与边缘设备在第一局域网内实现通信连接，而目标工业设备可以是在第一局域网内与边缘设备实现通信连接的至少一个工业设备中的任意一个，而终端设备通过第一数据包中的目标地址指示了该目标工业设备。
42.边缘设备将该第一数据包发送至该第一数据包中的目的地址所指示的目标工业设备。示例性的，边缘设备和目标工业设备之间可以基于二者在第一局域网的ip地址，通过第一局域网进行通信。
43.第一数据包中的数据可以用于控制或维护目标工业设备。目标工业设备的数量可以是一个或者多个，本技术对此不做限定。当目标工业设备的数量不止一个时，终端设备可以向边缘设备发送各目标工业设备对应的第一数据包，再由边缘设备分别将各第一数据包转发至对应的目标工业设备。
44.因此，在上述s210和s220中，边缘设备与终端设备之间通过vpn通道进行加密通信，再由边缘设备在第一局域网中将终端设备发送的第一数据包发送至目标工业设备，在不将工业设备暴露于公网的情况下，实现了终端设备与边缘设备之间的通信，提高了工业设备的远程通信的安全性。
45.可以理解的是，第一数据包中除目的地址和数据之外，还可以包括源地址，在目标工业设备接收到第一数据包后，可以将第一数据包中的源地址作为目的地址，并向该目的地址发送数据包(如下文中的第二数据包)，以实现信息交互。而第一数据包中的源地址为终端设备在第二局域网内的ip地址，也即vpn下的虚拟ip地址，此种情况下，连接于第一局域网内的目标工业设备无法将第二数据包发送至该终端设备。因此，在一些实施例中，边缘设备为了确保在向目标工业设备发送第一数据包之后，能够将来自于目标工业设备的第二数据包转发至该终端设备，可以在转发第一数据包之前将第一数据包中的源地址修改为该边缘设备在第一局域网内的ip地址，再将修改后的一数据包发送至目标工业设备，以使目标工业设备将边缘设备在第一局域网内的ip地址作为目的地址发送第二数据包。
46.上述边缘设备对第一数据包中的源地址的修改可以包括以下可能的实现方式：边缘设备在接收到终端设备发送的第一数据包后，可以对第一数据包是否来自于vpn通道进行判断，例如边缘设备根据第一数据包中的源地址所属的网段确定是否属于第二局域网的网段，若第一数据包中的源地址所属的网段属于第二局域网的网段，则该第一数据包来自于vpn通道，或者说终端设备通过vpn客户端发送了该第一数据包，此种情况下，边缘设备可以对第一数据包中的源地址进行修改。例如，第二局域网的网段为192.168.40.x，第一数据包中的源地址为192.168.40.4，则边缘设备确定第一数据包中的源地址属于第二局域网的网段，进而修改该第一数据包中的源地址。
47.接续上述可能的实现方式，边缘设备可以根据预配置的源网络地址转换(source network address translation，snat)条目，将第一数据包中的源地址修改为边缘设备在第二局域网内的ip地址。需要说明的是，该snat条目用于指示将属于第二局域网的网段的源地址修改为该边缘设备的ip地址，该snat条目可以理解为一种snat策略，其中可以包括边缘设备在第一局域网内的ip地址与第二局域网的网段的映射关系。
48.通过结合vpn通道和snat的方式建立终端设备与工业设备之间的网络隧道，使通信在传输控制协议(transmission control protocol，tcp)/ip网络层进行，而不对三层网络以上的网络产生影响。
49.当然，上述可能的实现方式中，边缘设备修改第一数据包中的源地址，仅为一种示例而非限制性的说明。例如，边缘设备还可以将边缘设备在第一局域网内的ip地址作为附加源地址添加至第一数据包。基于snat的方式修改第一数据包中的源地址，同样仅为一种示例而非限制性的说明，例如边缘设备可以基于预设的第二局域网的网段，与，边缘设备在第一局域网的ip地址之间的映射关系，修改第一数据包中的源地址。
50.在一些实施例中，该方法200还包括如下步骤s230和s240。
51.s230，目标工业设备向边缘设备发送第二数据包。
52.相应的，边缘设备接收目标工业设备发送的第二数据包。
53.s240，边缘设备通过vpn通道，将第二数据包发送至终端设备。
54.相应的，终端设备通过vpn通道，接收第二数据包。
55.需要说明的是，上述传输第一数据包的过程和传输第二数据包的过程可以是时间重叠的，例如边缘设备将终端设备发送的第一数据包转发至目标工业设备的同时，还将目标工业设备发送的第二数据包转发至终端设备；或者上述传输第一数据包的过程和传输第二数据包的过程可以不是时间重叠的，例如第二数据包是基于第一数据包中的数据生成的，此种情况下，边缘设备可以向目标工业设备转发来自终端设备的第一数据包，再向终端设备转发来自于目标工业设备的第二数据包。本技术对此不做限定。
56.与第一数据包类似的，第二数据包可以包括目的地址、源地址和数据。第二数据包的目的地址可以是接收到的第一数据包的源地址，第二数据包的源地址可以是接收到的第一数据包的目的地址。具体而言，第二数据包的目的地址可以是边缘设备在第一局域网内的ip地址，第二数据包的源地址可以是目标工业设备在第一局域网内的ip地址。目标工业设备在第一局域网内传输该第二数据包。
57.边缘设备接收到目标工业设备发送的第二数据包后，可以将第二数据包中的目的地址修改为终端设备在第二局域网内的ip地址，进而通过vpn通道，将第二数据包转发至终端设备。示例性的，边缘设备在修改第一数据包的源地址时，可以保留第一数据包的源地址修改记录，该第一数据包的源地址修改记录至少可以包括第一数据包的原始源地址(即终端设备在第二局域网内的ip地址)和目的地址(即目标工业设备在第一局域网内的ip地址)，进而，边缘设备可以根据第一数据包的源地址修改记录和第二数据包的源地址(即目标工业设备在第一局域网内的ip地址)，将第二数据包的目的地址修改为终端设备在第二局域网内的ip地址，例如边缘设备可以在第二数据包的源地址与第一数据包的源地址修改记录中的目的地址一致时，将第二数据包的目的地址修改为终端设备在第而局域网内的ip地址。进而，边缘设备可以基于终端设备在第二局域网内的ip地址，通过vpn通道向终端设备发送第二数据包。
58.本实施例中，边缘设备通过第一局域网接收目标工业设备发送的第二数据包，并通过vpn通道将第二数据包发送至终端设备，在不将工业设备暴露于公网的情况下，实现了终端设备与边缘设备之间的通信，提高了工业设备的远程通信的安全性。
59.上述实施例中的vpn通道可以是基于vpn服务器建立并实现通信的网络通道。下面结合图3进行说明。
60.图3为本技术实施例提供的一种工业设备的远程通信方法300的交互流程示意图。该方法300可以包括以下部分或者全部过程：
61.首先对vpn服务器配置终端设备的vpn环境进行示例性的说明。
62.vpn服务器可以获取第二客户端配置请求，例如图3所示，vpn服务器获取用户输入的第二客户端配置请求。该第二客户端配置请求用于请求配置至少一个终端设备分别对应的vpn环境，例如第二客户配置请求可以携带有终端设备的数量和/或标识等。vpn服务器响应于第二客户端配置请求，可以确定第二局域网的网段以及各终端设备分别对应的vpn证书。进一步地，vpn服务器将第二局域网的网段的信息和至少一个vpn证书分别携带于至少一个第三配置信息，或者将属于第二局域网的网段的ip地址和一个vpn证书携带于一个第三配置信息，其中，第二种方式相比于第一种方式而言，终端设备从第三配置信息中可以之间确定自身的ip地址，而不需要终端设备从第二局域网的网段中确定自身的ip地址。
63.接续上述终端设备的vpn环境部署方式，vpn服务器可以将第三配置信息发送至终
端设备，当vpn服务器连接有多个终端设备时，vpn服务器可以将多个第三配置信息分别发送至对应的终端设备。进而，终端设备可以根据第三配置信息确定自身在第二局域网内ip地址，以及进行证书安装，已完成vpn环境的配置。
64.vpn服务器中部署的服务端可以设置为桥接(tap)模式，以使服务端实现为安全套接字协议(secure sockets layer，ssl)服务端。相应的，终端设备中部署的客户端可以是ssl客户端。
65.针对vpn服务器配置边缘设备的vpn环境进行示例性的说明。
66.结合图3所示，vpn服务器接收边缘设备发送的第一客户端配置请求，该第一客户端配置请求用于请求vpn服务器发送第二配置信息。该第一客户端配置请求可以是边缘设备在初次上电时发送的，当然，这不应理解为对本技术的任何限定，例如，第一客户端配置请求也可以是边缘设备响应于用户输入的指令发送的请求。
67.需要说明的是，第二配置信息可以包括：vpn客户端安装包、vpn证书、vpn启动指令中的至少之一。示例性的，边缘设备可以通过运行第二配置信息中的vpn客户端安装包安装vpn客户端；边缘设备可以通过安装第二配置信息中的vpn证书；边缘设备还可以响应于第二配置信息中的vpn启动指令启动vpn客户端。
68.在一些实施例中，边缘设备需要配置snat条目。边缘设备可以根据第二局域网的网段进行snat条目的配置，以建立第二局域网的网段与边缘设备在第一局域网内的ip地址之间的映射关系。
69.第二局域网的网段可以是边缘设备中预设置的，或者是边缘设备接收vpn服务器发送的。例如vpn服务器响应于第二客户端配置请求确定第二局域网的网段，并将第二局域网的网段的信息携带于第一配置信息，发送至边缘设备。
70.上述结合图3所说明的vpn环境的部署仅为一种示例性的说明，并不对本技术构成任何限定，例如上述vpn环境的部署方式中的部分或者全部过程还可以是响应于用户输入的配置而完成的。
71.终端设备和边缘设备部署vpn的服务端后，终端设备和边缘设备之间可以通过vpn服务器实现vpn通道上的数据传输。例如，终端设备可以向vpn服务器发送第一数据包，vpn服务器将终端设备发送的第一数据包转发至边缘设备，以实现终端设备通过vpn通道向边缘设备发送第一数据；和/或，边缘设备向vpn服务器发送第二数据包，vpn服务器将接收到的第二数据包转发至终端设备，以实现边缘设备通过vpn通道向终端设备发送第二数据包。
72.在图3所示实施例中，边缘设备与目标工业设备之间仍通过第一局域网实现通信，其实现方式可以参见上述任一实施例中的边缘设备与目标工业设备之间的通信方式。例如，边缘设备将第一数据包中的源地址修改为边缘设备在第一局域网内的ip地址后，将第一数据包发送至目标工业设备，再例如，边缘设备接收目标工业设备发送的第二数据包后，将第二数据包中的目的地址修改为终端设备在第二局域网内的ip地址后通过vpn通道发送至终端设备。
73.本技术实施例中，在工业设备的数量不止一个时，可以将多个工业设备和边缘设备部署于同一局域网中，即可通过边缘设备与终端设备之间的vpn通道，实现远程通信。相比于现有技术中针对每个工业设备建立通信链路而言，提高了远程部署的便利性。
74.需要说明的是，本文中的“第一”、“第二”“第三”等描述，是用于区分不同的局域
网、数据包、配置信息、请求等，不代表先后顺序，也不限定“第一”和“第二”是不同的类型。
75.在本技术的各个实施例中，如果没有特殊说明以及逻辑冲突，各个实施例之间的术语和/或描述具有一致性、且可以相互引用，不同的实施例中的技术特征根据其内在的逻辑关系可以组合形成新的实施例。
76.图4为本技术实施例提供的一种电子设备400的示意性框图。如图4所示，该电子设备300可以实现为上述方法实施例中的执行主体，例如边缘设备、vpn服务器或终端设备。该电子设备400至少包括收发单元410，在一些实施例中，电子设备400还可以包括获取单元420和/或处理单元430。
77.可选的，该电子设备400可对应于上文方法实施例中的边缘设备，例如可以为边缘设备的一种实现，或者配置于边缘设备中的部件(如芯片或芯片系统等)。
78.其中，获取单元420可以用于通过虚拟专用网络vpn通道，获取来自于终端设备的第一数据包，该第一数据包包括目的地址，该第一数据包中的目的地址为目标工业设备在该第一局域网内的网际互联协议ip地址，该目标工业设备为该至少一个工业设备中的一个；收发单元410，用于将该第一数据包发送至该目标工业设备。
79.在一些实施例中，该第一数据包还包括源地址，该第一数据包中的源地址为该终端设备在第二局域网内的ip地址，该第二局域网为通过vpn通道进行通信时采用的局域网；该收发单元410具体用于：将该第一数据包中的源地址修改为该边缘设备在该第一局域网内的ip地址；将该第一数据包发送至该目标工业设备。
80.在一些实施例中，该收发单元410具体用于：在该第一数据包中的源地址属于第二局域网的网段的情况下，根据预配置的源网络地址转换snat条目，将该第一数据包中的源地址修改为该边缘设备在该第二局域网内的ip地址，该snat条目用于指示将属于第二局域网的网段的源地址修改为该边缘设备的ip地址。
81.在一些实施例中，该收发单元420还用于：接收该vpn服务器发送的第一配置信息，该第一配置信息携带该第二局域网的网段的信息；处理单元430用于根据该第一配置信息，配置该snat条目。
82.在一些实施例中，该获取单元420具体用于：接收该vpn服务器转发的该第一数据包。
83.获取来自于终端设备的第一数据包，该收发单元410还用于接收该目标工业设备发送的第二数据包，该第二数据包包括源地址和目的地址，该第二数据包中的目的地址为该边缘设备在该第一局域网内的ip地址；处理单元430还用于根据该第一数据包的源地址修改记录和该第二数据包的源地址，将该第二数据包的目的地址修改为该终端设备在该第二局域网内的ip地址；收发单元410还用于通过该vpn通道，将该第二数据包发送至该终端设备。
84.在一些实施例中，该收发单元410还用于接收该vpn服务器发送的第二配置信息，该第二配置信息携带有vpn客户端安装包、vpn证书、vpn启动指令中的至少之一；处理单元430还用于根据该第二配置信息，配置vpn环境，以搭建该vpn通道。
85.在一些实施例中，在该接收该vpn服务器发送的第二配置信息之前，该收发单元410还用于：在初次上电时，向该vpn服务器发送第一客户端配置请求，该第一客户端配置请求用于请求该vpn服务器发送该第二配置信息。
86.可选的，该电子设备400可对应于上文方法实施例中的vpn服务器，例如可以为vpn服务器的一种实现，或者配置于vpn服务器中的部件(如芯片或芯片系统等)。
87.其中，收发单元410可以用于：向边缘设备发送第一配置信息，该第一配置信息携带第二局域网的网段的信息，该第二局域网的网段为通过vpn通道进行通信时采用的局域网；向该边缘设备转发来自于终端设备的第一数据包，该第一数据包包括源地址和目的地址，该第一数据包中的源地址为该终端设备的在该第二局域网内的ip地址，该第一数据包中的目的地址为目标工业设备在第一局域网内的ip地址，该目标工业设备为在第一局域网内与该边缘设备实现通信连接的至少一个工业设备中的一个。
88.在一些实施例中，该收发单元410还用于：向该边缘设备发送第二配置信息，该第二配置信息携带有vpn客户端安装包、vpn证书、vpn启动指令中的至少之一。
89.在一些实施例中，收发单元410还用于：接收该边缘设备在初次上电时发送的第一客户端配置请求，该第一客户端配置请求用于请求该vpn服务器发送该第二配置信息。
90.在一些实施例中，该获取单元420用于获取第二客户端配置请求，该第二客户端请求用于请求配置至少一个终端设备分别对应的vpn环境；处理单元430用于根据该第二客户端配置请求，生成该第一配置信息和/或该至少一个终端设备分别对应的至少一个第三配置信息，该第三配置信息包括该第二局域网的网段和/或该终端设备对应的vpn证书；收发单元410还用于向该至少一个终端设备分别发送该第三配置信息。
91.在一些实施例中，该vpn服务器被配置为桥接模式。
92.可选的，该电子设备400可对应于上文方法实施例中的终端设备，例如可以为终端设备的一种实现，或者配置于终端设备中的部件(如芯片或芯片系统等)。
93.其中，收发单元410可以用于：通过vpn通道，向边缘设备发送第一数据包，该第一数据包包括源地址和目的地址，该第一数据包中的源地址为该终端设备的在第二局域网内的ip地址，该第一数据包中的目的地址为目标工业设备在第一局域网内的ip地址，该目标工业设备为在第一局域网内与该边缘设备实现通信连接的至少一个工业设备中的一个；通过该vpn通道，接收该边缘设备发送的第二数据包。
94.应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。
95.图5为本技术实施例提供的一种电子设备500的示意性结构图。图5所示的电子设备500可以实现为终端设备、边缘设备或vpn服务器，用于实现上文方法实施例中终端设备、边缘设备或vpn服务器所执行的步骤。该电子设备500包括处理器520，处理器520可以从存储器中调用并运行计算机程序，以实现本技术实施例中的方法。
96.在一些实施例中，如图5所示，电子设备500还可以包括存储器530。其中，处理器520可以从存储器530中调用并运行计算机程序，以实现本技术实施例中的方法。
97.其中，存储器530可以是独立于处理器520的一个单独的器件，也可以集成在处理器520中。
98.在一些实施例中，如图5所示，电子设备500还可以包括收发器510，处理器520可以控制该收发器510与其他设备进行通信，具体地，可以向其他设备发送信息或数据，或接收其他设备发送的信息或数据。
99.其中，收发器510可以包括发射机和接收机。收发器510还可以进一步包括天线，天
线的数量可以为一个或多个。
100.在一些实施例中，该电子设备500可以实现本技术实施例中终端设备、边缘设备或vpn服务器侧的各个方法的相应流程，为了简洁，在此不再赘述。
101.图6为本技术示例性实施例提供的一种云服务器600的结构示意图。该云服务器600可以为上文方法实施例中vpn服务器的一种实现。如图6所示，该vpn服务器600包括：存储器610和处理器620。
102.存储器610，用于存储计算机程序，并可被配置为存储其它各种数据以支持在vpn服务器上的操作。该存储器610可以是对象存储(object storage service，oss)。
103.处理器620，与存储器610耦合，用于执行存储器610中的计算机程序，以用于实现上文方法实施例中由vpn服务器实现的方法。
104.进一步，如图6所示，该vpn服务器还包括：防火墙630、负载均衡器640、通信组件650、电源组件660等其它组件。图6中仅示意性给出部分组件，并不意味着vpn服务器只包括图6所示组件。
105.应理解，图6所示的vpn服务器500能够实现上文方法实施例中涉及vpn服务器的各个过程。vpn服务器500中的各个模块的操作和/或功能，分别为了实现上述方法实施例中的相应流程。具体可参见上述方法实施例中的描述，为避免重复，此处适当省略详细描述。
106.本技术还提供了一种处理装置，包括至少一个处理器，所述至少一个处理器用于执行存储器中存储的计算机程序，以使得所述处理装置执行上述方法实施例中终端设备、边缘设备或vpn服务器执行的方法。
107.本技术实施例还提供了一种处理装置，包括处理器和输入输出接口。所述输入输出接口与所述处理器耦合。所述输入输出接口用于输入和/或输出信息。所述信息包括指令和数据中的至少一项。所述处理器用于执行计算机程序，以使得所述处理装置执行上述方法实施例中终端设备、边缘设备或vpn服务器执行的方法。
108.本技术实施例还提供了一种处理装置，包括处理器和存储器。所述存储器用于存储计算机程序，所述处理器用于从所述存储器调用并运行所述计算机程序，以使得所述处理装置执行上述方法实施例中终端设备、边缘设备或vpn服务器执行的方法。
109.应理解，上述处理装置可以是一个或多个芯片。例如，该处理装置可以是现场可编程门阵列(field programmable gate array，fpga)，可以是专用集成芯片(application specific integrated circuit，asic)，还可以是系统芯片(system on chip，soc)，还可以是处理器(central processor unit，cpu)，还可以是网络处理器(network processor，np)，还可以是数字信号处理电路(digital signal processor，dsp)，还可以是微控制器(micro controller unit，mcu)，还可以是可编程控制器(programmable logic device，pld)或其他集成芯片。
110.在实现过程中，上述方法的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。结合本技术实施例所公开的方法的步骤可以直接体现为硬件处理器执行完成，或者用处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。为避免重复，这里不再详细描述。
111.应注意，本技术实施例中的处理器可以是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法实施例的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器、数字信号处理器(dsp)、专用集成电路(asic)、现场可编程门阵列(fpga)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本技术实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本技术实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。
112.可以理解，本技术实施例中的存储器可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(read-only memory，rom)、可编程只读存储器(programmable rom，prom)、可擦除可编程只读存储器(erasable prom，eprom)、电可擦除可编程只读存储器(electrically eprom，eeprom)或闪存。易失性存储器可以是随机存取存储器(random access memory，ram)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的ram可用，例如静态随机存取存储器(static ram，sram)、动态随机存取存储器(dynamic ram，dram)、同步动态随机存取存储器(synchronous dram，sdram)、双倍数据速率同步动态随机存取存储器(double data rate sdram，ddr sdram)、增强型同步动态随机存取存储器(enhanced sdram，esdram)、同步连接动态随机存取存储器(synchlink dram，sldram)和直接内存总线随机存取存储器(direct rambus ram，dr ram)。应注意，本文描述的系统和方法的存储器旨在包括但不限于这些和任意其它适合类型的存储器。
113.根据本技术实施例提供的方法，本技术还提供一种计算机程序产品，该计算机程序产品包括：计算机程序代码，当该计算机程序代码在计算机上运行时，使得该计算机执行上述方法实施例中的终端设备、边缘设备或vpn服务器执行的方法。
114.根据本技术实施例提供的方法，本技术还提供一种计算机可读存储介质，该计算机可读存储介质存储有程序代码，当该程序代码在计算机上运行时，使得该计算机执行上述方法实施例中的终端设备、边缘设备或vpn服务器执行的方法。
115.以上所述，仅为本技术的具体实施方式，但本技术的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本技术揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本技术的保护范围之内。因此，本技术的保护范围应以所述权利要求的保护范围为准。