边界为什么要找全
区域边界只有在覆盖全部跨区路径时才有防护意义。实际现场往往不止一条路径：设计时预留的有线链路、后来加的无线接入点、供应商的远程维护通道、调试用的临时网线、通过串口服务器或调制解调器接入的链路、以及历史数据上行到办公网的通道。这些路径任何一条未纳入管理，其他边界做得再严格也会被绕过。因此边界定义的第一步是把路径穷举清楚，第二步才是选设备与定规则。
基本信息
| 识别方法 | 抓包看实际流量、核对路由与地址规划、检查现场端口与配线、访谈运维人员 |
|---|---|
| 常见边界设备 | 工业防火墙、三层交换机的访问控制、专用网关与转换设备、单向传输设备 |
| 选点原则 | 串接在真实通道上，而不是旁路监听；旁路只能发现不能阻断 |
| 性能考虑 | 时延、吞吐、并发会话数与协议识别深度，生产网络的时延敏感度高于办公网 |
| 失效模式 | 明确设备断电或故障时是放行还是阻断，需要与工艺方共同确认 |
| 记录要求 | 每条边界登记位置、设备、规则、责任人与最近一次验证时间 |
典型场景
- 新建跨区通道：先按通道清单评审，再落规则，流量方向与协议逐条写明
- 新增无线接入：现场临时加装无线接入点必须纳入边界管理，否则形成完全开放的跨区通路
- 远程运维接入：供应商通道要经过统一入口，能开关、能审计、能限时
- 临时调试链路：明确规定临时放行的申请、时限与收口动作，到期自动收回
- 数据上行到办公网或云端：单向上行或经缓冲区域中转，避免形成双向连通的暗道
- 老旧非 IP 通道：串口、拨号、现场总线网关同样要算作边界并纳入管理
边界类型对照
| 边界类型 | 典型位置 | 注意点 |
|---|---|---|
| 控制区与办公区之间 | 机房或汇聚点 | 双向流量都要定义，避免只限下行不限上行 |
| 工艺区之间 | 车间级汇聚点 | 规则按必要通信建，跨区联动要留备用路径 |
| 远程接入入口 | 网络出口或独立接入区 | 限时、限人、限权限，全程留审计 |
| 无线接入点 | 现场车间 | 准入与认证必须配置，默认开放即等于无边界 |
| 数据上行通道 | 历史库或报表服务器 | 优先单向或代理，杜绝反向控制能力 |
边界设备的失效模式必须在投产前确认：如果设备掉电后默认透传，等于在故障时自动短路隔离；如果默认阻断，则要考虑生产通信中断的后果。多数现场会选择阻断加冗余设备，但这一决定必须由工艺与安全共同做，不能由设备默认值替人决定。