📚 课程目录第3章多站点网络规划与通信基础

3. 多站点网络规划与通信基础

多站点集中监控的第一道工程门槛，不是软件组态，而是站点之间的网络。EcoStruxure 架构下，各工厂站点通常各自保留本地 SCADA 或 PLC 控制层，同时把关键数据汇聚到中央监控中心。这个“本地自治、集中可视”的模式，决定了站点间网络必须同时满足三件事：数据可靠传输、带宽可预期、安全边界清晰。本节围绕拓扑设计、VPN 与专线选择、工业以太网与无线回传四条主线展开。

一、站点间拓扑：先定层级，再定链路

多站点网络最忌讳“点对点随意拉线”。推荐采用三层结构：现场层（PLC、仪表、变频器，走 PROFINET/EtherNet-IP/Modbus TCP）、站点汇聚层（站点交换机、工业防火墙、边缘网关）、中央汇聚层（总部核心交换机、VPN 集中器、监控服务器区）。站点与中央之间形成星型为主、部分站点互为备份的混合拓扑。

拓扑选型要看站点数量与关键性。站点少于 10 个、且每个站点都有独立出口时，星型最清晰；站点分散且部分站点无固定公网 IP 时，可采用“站点主动拨号到中央”的逆向星型；对连续性要求极高的产线站点，可增加一条 4G/5G 无线链路作为备份，主链路故障时自动切换。

二、VPN 与专线：按数据敏感度分级

站点间链路常见三种选择：MPLS 专线、IPsec VPN over Internet、SD-WAN 混合链路。专线时延稳定、抖动小，适合实时控制数据回传，但成本高、开通周期长；IPsec VPN 成本低、部署快，适合生产报表、能耗、报警等非实时数据；SD-WAN 可在专线与互联网链路之间按应用选路，兼顾成本与质量。

实际规划中，建议按数据敏感度分级：实时控制类数据（如远程 IO、运动控制）走专线或本地闭环，不跨站点；生产管理类数据（产量、OEE、能耗）走 VPN；视频监控类数据单独走一条链路或做本地存储，避免挤占生产带宽。VPN 隧道建议采用 IKEv2 + AES-256 + SHA-256，预共享密钥仅用于初始部署，正式运行应使用证书认证。

三、工业以太网：站点内部的确定性

站点内部网络要解决的是“确定性”问题。普通办公交换机在拥塞时会产生排队抖动，而 PROFINET IRT、EtherCAT 等协议要求周期性数据在固定时间窗内到达。因此，站点汇聚层应选用支持 VLAN、QoS、IGMP Snooping、环网冗余（如 RSTP/MRP）的工业交换机。

一个可参考的配置示例：把站点网络划分为三个 VLAN——VLAN 10 为控制层（PLC、远程 IO），VLAN 20 为监控层（HMI、SCADA 服务器），VLAN 30 为管理层（交换机管理、摄像头）。控制层流量标记为 DSCP EF（ Expedited Forwarding），监控层标记为 AF31，管理层为 Best Effort。这样在链路拥塞时，控制数据优先转发。

# 工业交换机 VLAN 与 QoS 配置示例（示意）
vlan 10
 name CONTROL
vlan 20
 name SUPERVISION
vlan 30
 name MANAGEMENT

interface GigabitEthernet1/0/1
 switchport mode access
 switchport access vlan 10
 qos trust dscp

# 控制层流量标记为 EF
class-map match-any CONTROL-TRAFFIC
 match dscp ef
policy-map SITE-QOS
 class CONTROL-TRAFFIC
  priority percent 40
 class class-default
  bandwidth remaining percent 60
interface GigabitEthernet1/0/24
 service-policy output SITE-QOS

四、无线回传：作为补充而非替代

无线回传适用于光纤难以到达的站点，或作为有线链路的备份。常见方案有 4G/5G 路由器、点对点微波、Wi-Fi 6 桥接。选择时关注三点：时延与抖动（4G 通常 30～60 ms，5G 可到 10～20 ms，但受信号质量影响大）、带宽与资费（按流量计费时需限制视频和大文件传输）、可用性（是否有多运营商 SIM 卡切换）。

无线链路不建议承载实时控制数据，更适合报警上传、历史数据补传、远程维护通道。若必须承载关键数据，应配置双卡双待或双链路热备，并设置心跳检测与自动切换阈值，例如连续 3 个心跳包丢失即切换。

五、安全隔离：边界清晰，最小放行

多站点网络的安全核心是“分区隔离、最小放行”。每个站点出口部署工业防火墙，只允许中央监控所需的 IP 和端口通过。例如，中央 SCADA 服务器需要读取站点 OPC UA 数据，则只放行 TCP 4840 端口，源地址限定为中央服务器 IP，目的地址限定为站点网关 IP。其余流量一律拒绝。

同时，站点之间默认不互通。若站点 A 需要向站点 B 转发数据，应通过中央汇聚层中转，而不是直接建立站点间隧道。这样既便于审计，也避免一个站点被攻破后横向扩散。VPN 隧道两端应启用完美前向保密（PFS），并定期轮换密钥。

规划检查要点：① 每个站点是否有独立的安全边界设备；② 站点到中央的链路是否有备份；③ 控制层与监控层是否 VLAN 隔离；④ 无线链路是否仅承载非实时数据；⑤ 防火墙规则是否按“源 IP + 目的 IP + 端口”最小化放行。

综合来看，多站点网络规划的顺序应是：先明确数据分级与实时性要求，再选择链路类型与拓扑，然后设计站点内部 VLAN 与 QoS，最后用防火墙和 VPN 策略把安全边界固化下来。只有这四步都落地，中央监控系统才能稳定地“看得见、传得回、守得住”。