用途：在 IEC 62443 区域与通道模型下，为 OT 远程访问构建安全通道架构，替代 IT 或供应商直连 OT 控制网络的 VPN，适用于第三方维护 ICS 设备、特权访问审批流程、以及整改 SCADA 非受控远程访问的审计发现。不适用于整体 Purdue 模型分段设计、纯 IT 远程访问方案或 PLC 本地控制台配置。
主要能力：设计远程访问通道（RA-001）与供应商访问通道（VA-001），目标安全等级 SL3；所有远程访问终止于 OT DMZ（Level 3.5），不直接穿透到 OT。组件包括企业 DMZ 的 VPN 集中器、OT DMZ 的跳板机（禁用本地管理员、USB、剪贴板，启用会话录制、应用白名单、4 小时会话上限、15 分钟空闲注销）、OT 访问网关（仅可达预批准目标 IP，仅允许 RDP/SSH/VNC，限时会话，需厂区经理授权）。数据流为：MFA 认证企业 VPN → 连接 DMZ 跳板机（RDP with NLA）→ 在审批与时间窗内访问指定 OT 系统。禁止直连 Level 1/2 设备、拆分隧道、未扫描文件传输、持久 VPN 自动重连。供应商流程含提前 24 小时申请、审批后生成限时凭证、专用 VPN 网关与隔离跳板机、实时监控、到时自动终止并吊销凭证、录像归档 90 天、日志转发 SIEM。
使用方式：提供 Python 示例 OTConduitManager，含策略加载、请求提交与策略校验（时长上限、禁止目标如 SIS-/SAFETY-）、待审批列表、审批/拒绝、审计报告生成；策略字段包括 max_session_hours、idle_timeout_minutes、mfa_required、session_recording、clipboard_transfer、file_transfer、advance_notice_hours、vendor_escort_required、allowed_protocols、blocked_protocols。
限制：需先部署双防火墙 IT/OT DMZ、跳板机或 PAM（CyberArk、BeyondTrust）、MFA、会话录制与审批工单系统；资料未提供具体收费、平台版本或部署命令。