隔离要解决的问题
控制器（PLC、DCS 控制器、运动控制器）与 SCADA 主站是生产的执行与监视核心，而办公网是终端类型最多、人员流动性最大、外部邮件与浏览器使用最频繁的区域。两者一旦处于同一个广播域或可任意互相访问的网络，办公网的一台中毒笔记本就有机会直接改写控制逻辑或中断生产。隔离的目的不是制造信息孤岛，而是在保留必要数据流与管理流的前提下，把「办公网被攻破」与「产线停摆」这两件事解耦。
基本信息
| 防护对象 | PLC 与控制器、SCADA 主站、工程师站、历史数据库 |
|---|---|
| 隔离维度 | 物理链路、二层广播域、三层可达性、应用与协议层、通道方向 |
| 保留的必要通道 | 生产数据上行（报表、MES、历史库）、运维管理下行、时间同步、补丁与备份通道 |
| 常见边界设备 | 工业防火墙、三层交换机访问控制、单向网关或数据二极管、跳板机 |
| 设计依据 | 区域与管道模型：先划区，再定义跨区通道，最后选边界设备 |
从弱到强的落地手段
- 独立物理链路与独立交换机：控制网自成一套线缆与设备，办公网无法在二层触达，代价是布线成本高
- VLAN 划分加三层访问控制：成本最低，但需要严格维护访问控制列表，且共用设备仍存在管理面风险
- 工业防火墙做区域边界：在控制区与办公区之间强制过滤，可基于源目的与端口，也可识别工控协议内容
- 跳板机或堡垒机集中运维：办公室终端不直接登录控制设备，所有操作经受控通道并留审计
- 单向网关与数据二极管：只允许控制网数据单向上行到办公或云端，杜绝下行控制指令
- 建立独立的中间区：把历史库、报表服务器、防病毒更新服务放在缓冲区域，两侧都不直连对方核心
隔离手段对照
| 手段 | 隔离强度 | 主要代价 |
|---|---|---|
| 物理独立组网 | 高 | 布线、设备与运维成本高 |
| VLAN 加访问控制 | 中 | 配置错误即失效，需要持续复核 |
| 工业防火墙分域 | 中高 | 需要协议识别能力与规则维护投入 |
| 单向网关 | 高（对下行而言） | 双向业务无法直接支持，需改造数据流 |
| 集中运维通道 | 中（针对管理面） | 依赖堡垒机自身可用性与审计质量 |
最容易失效的环节是「临时桥接」：一台双网卡笔记本、一根临时网线、一个跨网无线接入点，都能把精心设计的隔离直接短路。隔离方案里必须同时写明临时接入的审批与登记流程，否则技术措施会被绕过。