拓扑测绘要回答什么
拓扑测绘要回答三个问题：设备在哪里、彼此怎么连、能从哪里访问到哪里。工控网络中这三个答案经常与图纸不符，因为现场存在临时接线、串口转以太网模块、无线网桥与厂商远程模块。测绘的目标不是画一张好看的图，而是得到可验证的通路清单，作为分区设计与策略落地的基础；图纸只是过程产物，通路清单才是可检查的成果。
应产出的清单
| 物理连接图 | 交换机、串口服务器、无线设备、网关与机柜位置 |
|---|---|
| 逻辑网段清单 | VLAN、子网、网关与路由关系 |
| 通路清单 | 源、目的、协议、端口、方向与控制措施 |
| 边界与策略位置 | 防火墙、工业网关、单向设备的部署点与规则概要 |
| 无线与远程接入点 | 无线网桥、蜂窝模块、远程维护通道的名称与用途 |
| 待确认连接 | 图纸与配置不一致、来源不明的连接 |
测绘的五个步骤
- 划定范围与边界：明确本次覆盖的装置与网段，避免进入不属于本项目的系统
- 收集交换机配置与地址表：端口与 MAC 对应关系能直接反映实际连接
- 被动流量补全通信关系：从镜像口采集可识别协议与对端，发现图纸上没有的通信
- 现场核对接线：重点检查机柜间跳线、串口服务器、无线设备与临时接线
- 交叉验证与入册：把配置、流量与现场三者比对，不一致处现场确认后再登记
常见分段问题
| 现象 | 风险 | 处理方向 |
|---|---|---|
| 全厂单一 VLAN | 广播域过大，一台设备异常影响全部 | 按功能与安全等级切分子区域 |
| 控制器与办公终端同网段 | 跨越传统边界，感染面重叠 | 划 VLAN 并用 ACL 限制可达 |
| 串口设备直通暴露 | 串口设备以以太网形式直接可访问 | 限制可访问源，必要时做一对一端口映射 |
| 无线网桥无认证 | 链路可被接入或劫持 | 启用认证与加密，限制接入点物理可达 |
| 图纸与配置不符 | 变更无记录，事故时误判 | 建立变更登记与定期核查 |
交换机的地址表与邻居表是判断「谁和谁直连」的低成本手段，但虚拟化、交换机堆叠与链路聚合会让同一地址出现在多个端口，需要结合配置判断，不能只看一次输出就下结论。
现场核查要避免插拔生产链路：带环网络或未做环网保护的链路在插拔瞬间可能触发广播风暴，导致整段通信中断。核查前应确认冗余与保护机制，并在停机或低负荷窗口进行。