1. 食品工厂网络现状与分段需求分析

在动手配置任何一台交换机或防火墙之前，必须先回答一个更基础的问题：这家食品工厂的网络现在长什么样，为什么非得分段不可。网络分段不是把网线拆成几捆、把IP地址切成几段那么简单，它本质上是对"谁可以和谁通信"这件事做一次有依据的重新规划。规划的依据来自三个方面：物理上设备怎么分布、业务上数据怎么流动、合规上哪些边界必须被证明存在。本节先把这三件事讲清楚，为后续的VLAN划分、工业防火墙策略和区域边界配置打下基础。

典型食品工厂的网络拓扑现状

多数中型食品工厂的网络是"历史叠加"出来的，而不是一次设计出来的。典型形态可以概括为三层：最上面是办公网，承载ERP、OA、邮件和互联网出口，通常由IT部门管理，设备以商用交换机和无线AP为主；中间是生产网，承载MES、SCADA、 historian历史数据库、配方管理和批次追溯系统，服务器多放在机房，操作站分布在车间；最下面是最贴近设备的控制层，包括PLC、远程I/O、变频器、称重仪表、条码扫描器、视觉检测相机和机器人控制器，通过Profinet、EtherNet/IP、Modbus TCP等工业以太网协议互联。

问题往往出在这三层之间的连接方式上。常见现状是：办公网与生产网通过一台普通路由器或一台"临时用一下"的交换机直连，生产网内部所有设备处于同一个大二层广播域，控制层与SCADA服务器之间没有任何访问控制。这种结构在工厂规模小时看不出毛病，一旦产线增加、设备联网、远程运维接入，广播风暴、IP冲突、误操作和勒索软件横向移动的风险就会同时暴露。

设备类型与区域划分的实际依据

分段的第一步不是画VLAN，而是给设备"归堆"。归堆的依据应当是功能职责、通信关系和物理位置三者的交集，而不是简单地按楼层或按部门。以一条典型的无菌灌装线为例，可以识别出几类通信特征完全不同的设备：

• 实时控制设备：PLC、远程I/O、伺服驱动器和变频器，通信周期常在1～10 ms量级，对延迟和抖动极敏感，任何跨网段绕行都可能造成停机。
• 过程仪表与称重设备：流量计、温度变送器、称重终端，多为Modbus RTU经网关转Modbus TCP，数据量小但要求稳定。
• 质量与追溯设备：条码/RFID读取器、视觉检测相机、金属检测机，产生的事件数据需要上传到MES，但本身不应被办公网直接访问。
• 监控与人机交互设备：HMI、操作站、SCADA客户端，需要同时访问控制层和生产层服务器，是分段策略中最需要精细放行的一类。
• 基础设施设备：CIP清洗系统、空调机组、空压机、水处理，往往由不同供应商提供，协议各异，容易被遗漏。

把这些设备按"生产单元"归堆，比按"设备品牌"或"安装年份"归堆更有意义。同一灌装单元内的PLC、HMI、变频器之间存在高频通信，应放在同一VLAN或同一控制区；不同单元之间通常只需要通过SCADA或MES间接交换数据，因此单元之间默认阻断是合理的。这种划分方式直接对应IEC 62443提出的"区域（Zone）与通道（Conduit）"模型：区域内部通信自由，区域之间只允许经过定义的通道。

合规要求对分段提出的硬约束

食品工厂的网络分段不只是工程优化，还承担合规举证的责任。两类要求最常被提及：

FDA 21 CFR Part 11 针对电子记录与电子签名，核心是记录的完整性、可追溯性和访问控制。它并不直接规定"必须划VLAN"，但当审计人员问"谁能修改这条批次记录、修改路径是否可证明"时，如果生产网与办公网处于同一广播域、任何办公电脑都能直连MES数据库，这个问题的答案就很难成立。分段在这里的作用是把"访问边界"变成可配置、可审计、可复核的对象。

GB/T 22239（网络安全等级保护基本要求） 则更直接地要求"划分不同网络区域"、"在区域边界设置访问控制设备"、"对重要网络区域进行边界完整性检查"。对于通常定为等保二级或三级的食品生产企业，这意味着办公网与生产网之间、生产网与控制网之间应当存在明确的边界设备，而不是一台普通路由器。

分段的核心目标与落地挑战

综合来看，食品工厂网络分段要同时达成四个目标：收敛广播域，让单点故障不扩散；实施最小权限，只放行业务真正需要的协议与端口；支撑可追溯，让跨区访问有路径、有日志、有责任人；不破坏实时性，控制层通信不被安全设备引入不可接受的延迟。

真正的难点集中在三处。其一是通信关系不清：很多工厂没有完整的设备通信清单，PLC和MES之间到底走哪些端口、由谁发起连接，往往要抓包才能确认。其二是遗留设备不支持：部分老PLC或仪表只支持二层广播发现，一旦跨网段就"找不到设备"，需要在边界上做协议代理或谨慎放行。其三是运维习惯冲突：工程师习惯用笔记本直连设备调试，分段后这种操作需要改为经跳板机或专用调试口，必须配套流程，否则会被绕过。