Compatibilidad y directrices para el uso de UltraVNC y RealVNC con SIMATIC PCS 7

Si bien RealVNC Enterprise Edition ha sido históricamente la única aplicación de escritorio remoto certificada para servidores SIMATIC PCS 7 OS, Siemens lanzó oficialmente UltraVNC V1.3.8.1 a partir de PCS 7 V9.1 SP2. En estaciones críticas que alojan servicios de servidor (servidores OS, estaciones de mantenimiento y hosts WebNavigator), el uso de escritorio remoto inédito o software VNC genérico corre el riesgo de finalizar los servicios en segundo plano de WinCC, provocar desconexiones de DCOM y dañar la representación gráfica. Para los clientes de sistema operativo estándar sin funciones de servidor, las restricciones de acceso remoto son menos críticas, pero las instalaciones de producción deben cumplir con la herramienta de compatibilidad de Siemens.

Índice de contenidos

• Arquitecturas de escritorio remoto certificadas para sistemas industriales
• Riesgos técnicos del software VNC no aprobado en servidores OS
• Estado de lanzamiento: RealVNC frente a UltraVNC en las versiones de PCS 7
• Verificación
• Limitaciones y precauciones operativas
• Preguntas frecuentes del ingeniero
• Referencias técnicas
• Artículos relacionados
• Etiquetas relacionadas

Arquitecturas de escritorio remoto certificadas para sistemas industriales

En los sistemas de control distribuido SIMATIC PCS 7, el establecimiento de ingeniería remota y acceso de operadores requiere una estricta validación de la compatibilidad del software. A diferencia de los entornos de TI estándar, los servidores industriales de interfaz hombre-máquina (HMI) ejecutan subsistemas gráficos de baja latencia, representación directa de vídeo por hardware y transacciones de bases de datos multiproceso.

Siemens publica pautas de acceso remoto certificadas documentadas con el ID de entrada de SIOS 78463889:
* RealVNC (Enterprise Edition): Históricamente, el único software de acceso remoto oficialmente probado y aprobado por Siemens para la conexión a PCS 7 Engineering Stations (ES), servidores OS, clientes OS y servidores WebNavigator.
* Protocolo de escritorio remoto (RDP) estándar de Windows: Prohibido en servidores OS activos y ES porque al abrir una sesión RDP estándar de Windows se crea una sesión de escritorio virtual que desconecta la sesión de la consola (sesión 0), suspendiendo la administración de pantalla de WinCC DirectX y finalizando los anunciadores de alarma activos.
* UltraVNC: Considerada durante mucho tiempo una herramienta de terceros inédita, UltraVNC obtuvo pruebas formales de Siemens y se lanzó oficialmente a partir de PCS 7 V9.1 SP2 (específicamente la versión UltraVNC V1.3.8.1).

Riesgos técnicos del software VNC no aprobado en servidores OS

La implementación de distribuciones VNC de código abierto o no certificadas (como TightVNC o versiones UltraVNC heredadas) en estaciones PCS 7 V9.0 introduce riesgos operativos mensurables:

1. Controlador de espejo y colisiones de superficie de DirectX: muchos paquetes VNC instalan controladores de espejo de pantalla virtual que interceptan llamadas de interfaz de dispositivo gráfico (GDI) de Windows. Estos controladores pueden entrar en conflicto con el motor WinCC Graphics Designer (GCSAdmin.exe) y los canales de renderizado DirectX, provocando roturas de gráficos, pantallas negras o fallos de WinCC Explorer.
2. Desestabilización de los servicios del servidor WinCC: Los servidores OS alojan servicios críticos en segundo plano (instancias CCProjectMgr.exe, CCDataServer.exe y SQL Server). Una aplicación remota que falla o administra mal los identificadores de sesión de usuario de Windows puede finalizar los procesos del servidor principal, cortando la comunicación cliente-servidor en toda la planta.
3. Bloqueos de eventos de teclado y mouse: las placas frontales y los enclavamientos industriales se basan en un seguimiento preciso de eventos al mover el mouse hacia abajo y hacia arriba. Los servidores VNC no lanzados pueden descartar eventos de liberación del mouse durante la fluctuación de los paquetes de red, enclavando inadvertidamente botones de avance o comandos de apertura manual de válvulas en el PLC.

Estado de lanzamiento: RealVNC frente a UltraVNC en las versiones de PCS 7

Al seleccionar software remoto, respete la matriz certificada:

Para los clientes de SO que no alojan servicios de servidor, motores WebNavigator o bases de datos de ingeniería, el riesgo de conflictos con herramientas remotas es significativamente menor. Sin embargo, mantener la uniformidad en toda la flota simplifica el cumplimiento de la ciberseguridad y la auditoría del ciclo de vida del software.

Verificación

• Abra la Herramienta de compatibilidad de Siemens (https://support.industry.siemens.com/kompatool).
• Seleccione su versión exacta de PCS 7 (por ejemplo, V9.1 SP2) y agregue UltraVNC o RealVNC a la lista de evaluación. Confirme que la herramienta informa Compatible.
• Después de instalar la versión VNC autorizada, establezca una sesión remota con el servidor OS mientras WinCC Runtime esté activo.
• Verifique que:
• Las curvas de WinCC OnlineTrendControl se reproducen suavemente sin caídas en la velocidad de fotogramas.
• Al hacer clic y mantener presionados los botones de la placa frontal del operador, se rastrean los eventos de liberación de manera determinista.
• El Visor de eventos de Windows no registra eventos de bloqueo de GDI32.dll o WinCC.

Limitaciones y precauciones operativas

• Configure siempre el cifrado VNC (por ejemplo, complemento SecureVNC o túnel SSH/TLS). La transmisión de paquetes de protocolo RFB no cifrados a través de redes corporativas expone las contraseñas de los operadores y las pantallas de las plantas al rastreo de la red.
• Restrinja los puertos de escucha del servidor VNC (TCP 5900 predeterminado) a subredes de administración autorizadas mediante las reglas de Firewall de Windows Defender.
• Nunca utilice Windows RDP para acceder a un sistema operativo de estación única activo o a un servidor OS redundante durante las operaciones de la planta.

Preguntas frecuentes del ingeniero

• ¿Por qué Microsoft Remote Desktop (RDP) causa problemas en los servidores WinCC?
  RDP crea una sesión de usuario virtualizada separada (Sesión 1+) y bloquea la consola física (Sesión 0). WinCC Runtime está estrechamente acoplado a la sesión 0; El cambio de sesiones suspende los scripts gráficos y los controladores de bocina de alarma.
• ¿Puedo usar UltraVNC en PCS 7 V9.0 si la compra de RealVNC se retrasa?
  Si bien muchos integradores informan que utilizaron UltraVNC en V9.0 sin incidentes, técnicamente no se ha publicado para esa versión. Si se produce una falla del servidor, el servicio de atención al cliente de Siemens solicitará que se reproduzca el problema sin UltraVNC instalado.
• ¿WebNavigator requiere VNC?
  No. WinCC WebNavigator proporciona acceso al navegador de cliente ligero a través de HTTPS/HTTP sin necesidad de ningún software VNC en el servidor.

Referencias técnicas

• ID de entrada de Siemens Industry Online Support 78463889: acceso remoto a sistemas PCS 7 (VNC, RDP y clientes ligeros).
• Herramienta de Compatibilidad Siemens para Software Industrial y Sistemas Operativos.
• Concepto de seguridad y directrices de acceso remoto de SIMATIC PCS 7.

Artículos relacionados

• Fortalecimiento del acceso remoto industrial para estaciones de operador y de ingeniería PCS 7.
• Mejores prácticas para implementar WinCC WebNavigator y WebUX en DMZ corporativas.

Etiquetas relacionadas

PCS 7, WinCC, Acceso Remoto, RealVNC, UltraVNC, RDP, Ciberseguridad, Mantenimiento