4、工业防火墙部署模式：透明模式、路由模式、旁路模式、混合模式，以及各模式的适用场景
工业防火墙的部署模式决定了其在工业网络中的“插接”位置、数据转发方式以及安全策略的实施粒度。与IT防火墙不同，工业防火墙必须兼顾生产连续性、协议兼容性和极低的时延，因此部署模式的选择往往比策略配置本身更影响安全效果。本章将深入剖析透明模式、路由模式、旁路模式与混合模式的工作原理、配置要点、适用场景及常见误区，帮助工程师在复杂工业现场做出正确决策。
4.1 透明模式：无缝接入的二层安全屏障
核心原理
透明模式（Transparent Mode）又称桥接模式或网桥模式。工业防火墙以二层网桥方式串接在交换机与工业设备（PLC、DCS、RTU等）之间，对网络中的IP地址和路由拓扑完全透明。设备不占用任何IP地址（或仅配置一个管理IP），数据帧基于MAC地址表进行转发。由于工作在二层，透明模式无需修改任何终端设备的IP地址、网关或子网掩码，实现了“即插即用”的安全接入。
透明模式的核心价值在于零改造部署。在连续生产环境中，停机窗口往往以分钟甚至秒计算，重新规划IP地址几乎不可接受。透明模式允许安全团队在不触碰生产网络逻辑结构的前提下，快速串入安全设备。同时，透明模式天然支持所有基于二层的工业协议（如EtherNet/IP、Modbus TCP、PROFINET RT），不会因路由跳数增加而影响实时性。
判断方法与操作流程
判断是否采用透明模式，可依据以下条件：
- 网络架构不可变：现有IP规划、VLAN划分、路由策略均不能调整。
- 停机窗口极短：单次停机时间不超过30分钟，无法完成路由改造。
- 设备老旧：被保护设备为 legacy PLC/RTU，不支持修改网络参数。
- 防护目标明确：主要防范针对单台设备或单个工段的恶意指令注入。
操作流程如下：
- 确认防火墙支持透明桥接，并记录其MAC地址表学习能力（建议至少支持8K MAC条目）。
- 规划管理IP（独立管理VLAN或带外管理口），避免与业务网络冲突。
- 将防火墙的Port1（上行）连接至交换机，Port2（下行）连接至被保护设备。
- 在防火墙上启用透明模式，并配置协议白名单策略（如仅允许Modbus TCP功能码3、4、6、16）。
- 执行连通性测试：从工程师站ping设备IP，确认二层转发正常。
- 逐步收紧策略，观察生产运行状态至少24小时。
案例拆解：某汽车焊装车间PLC防护
某汽车制造厂焊装车间有12台西门子S7-300 PLC，负责机器人运动控制。车间网络为扁平二层结构，PLC IP地址为192.168.10.10~192.168.10.21，网关指向核心交换机。由于生产任务繁重，全年停机窗口仅有春节3天。安全团队需要在不停产、不改IP的前提下，对PLC实施指令级防护。
初始现象：车间频繁出现非预期的机器人急停，经排查发现是上位机误发送了停止指令。目标：在不改变现有网络拓扑和PLC配置的前提下，过滤非法Modbus TCP功能码。
实施过程：
- 选择透明模式，将防火墙串接在每台PLC与车间交换机之间。
- 配置管理IP为192.168.10.254（独立管理VLAN 99），业务口不设IP。
- 策略配置：仅允许来自HMI（192.168.10.50）和机器人控制柜（192.168.10.60~70）的Modbus TCP访问PLC，且功能码仅限3（读保持寄存器）、4（读输入寄存器）、6（写单个寄存器）、16（写多个寄存器）。
- 启用“协议一致性校验”，拒绝非Modbus TCP的TCP负载。
结果对比：部署后，非法指令被全部阻断，急停误触发次数降为0。由于透明模式未增加路由跳数，PLC响应时延增加小于0.1ms，完全满足机器人控制周期要求。风险与代价：透明模式无法实现不同VLAN间的策略控制，且防火墙自身故障会导致链路中断（需配置Bypass硬件旁路）。复盘经验：透明模式最适合“单点防护”，若需跨区域隔离，需配合路由模式。
4.2 路由模式：三层隔离与精细管控
核心原理
路由模式（Route Mode）下，工业防火墙作为三层网关设备，连接两个或多个不同IP子网。每个接口配置独立IP地址，数据包基于路由表进行转发。路由模式天然支持ACL（访问控制列表）、NAT（网络地址转换）、VPN等高级功能，能够实现不同安全域之间的强隔离。
在工业场景中，路由模式常用于划分安全区域，例如将IT网络（办公网）与OT网络（生产网）隔离，或将生产网中的不同车间、不同工艺段进行逻辑分段。路由模式的策略控制粒度更细，可以基于源IP、目的IP、协议、端口、甚至工业协议功能码进行精确匹配。
判断方法与操作流程
采用路由模式的条件：
- 网络需要重新规划：新建工厂或进行整体网络升级。
- 存在多个安全域：如IT/OT隔离、车间与车间隔离、办公区与生产区隔离。
- 需要NAT或端口映射：隐藏内部设备IP，或对外提供服务映射。
- 策略要求高：需要基于IP五元组+工业协议深度检测的组合策略。
操作流程：
- 规划IP地址段，为防火墙每个接口分配不同子网地址。
- 配置静态路由或默认路由，确保各子网间可达。
- 配置NAT策略（如需隐藏内部IP）。
- 编写访问控制策略，遵循“默认拒绝，显式允许”原则。
- 测试各区域间连通性，确认工业协议（如Modbus TCP、S7comm）可正常穿越。
- 启用日志记录，监控异常访问尝试。
案例拆解：某水处理厂IT/OT隔离
某市政水处理厂有SCADA系统（192.168.20.0/24）和办公网络（10.10.10.0/24）。此前两网直连，导致办公网病毒感染SCADA系统，造成数据采集中断。现要求部署工业防火墙实现完全隔离，同时允许办公网特定终端（如厂长办公室10.10.10.88）访问SCADA的报表服务器（192.168.20.200）。
实施步骤：
- 防火墙采用路由模式，接口GE0/1配置10.10.10.1/24（接办公网），GE0/2配置192.168.20.1/24（接SCADA网）。
- 配置默认路由指向核心交换机。
- 策略配置：允许10.10.10.88访问192.168.20.200的TCP 8080端口（报表服务）；允许SCADA网内设备主动访问办公网NTP服务器（10.10.10.53）的UDP 123端口；其余流量全部拒绝。
- 启用NAT：将SCADA网内设备访问互联网的流量源地址转换为防火墙公网IP。
结果：办公网病毒事件未再影响SCADA系统，报表访问正常。风险：路由模式改变了网络拓扑，需同步更新所有设备的网关配置，改造期间存在停机风险。复盘：路由模式是安全区域划分的基石，但需提前做好IP规划，避免地址冲突。
4.3 旁路模式：非侵入式的监测与审计
核心原理
旁路模式（Bypass/SPAN Mode）下，工业防火墙不串接在业务链路中，而是通过交换机的SPAN/Mirror端口或TAP设备获取网络流量副本。防火墙对流量进行深度解析、协议检测、异常行为识别和日志记录，但不直接阻断任何通信。旁路模式本质上是“只读”的，因此即使防火墙故障，也不会影响生产网络。
旁路模式的核心价值在于安全监测与威胁发现。它适用于无法接受串接风险、但需要全面掌握网络通信行为的场景。通过旁路部署，安全团队可以建立工业网络的通信基线，识别异常连接、非法指令尝试、恶意扫描等行为，为后续的串接防护提供策略依据。
判断方法与操作流程
采用旁路模式的条件：
- 业务连续性要求极高：任何串接设备都可能成为单点故障。
- 仅需监测与告警：当前阶段不要求实时阻断。
- 网络流量较大：串接防火墙可能成为性能瓶颈。
- 需要安全审计：满足等保或行业合规要求，记录日志。
操作流程：
- 在核心交换机上配置SPAN端口，将需要监测的VLAN流量镜像到指定端口。
- 将防火墙的监测口连接至该SPAN端口。
- 配置防火墙的旁路监测策略，启用协议解析（如Modbus TCP、DNP3、IEC 104）。
- 设置告警阈值（如每分钟超过10次非法功能码访问则触发告警）。
- 运行1~2周，收集流量数据，建立通信基线。
案例拆解：某风电场SCADA通信基线建立
某风电场有33台风机，SCADA系统通过IEC 104协议与风机控制器通信。运维团队怀疑存在非授权访问，但无法确定攻击源。采用旁路模式部署工业防火墙，镜像核心交换机与SCADA服务器之间的流量。
分析过程：
- 运行3天后，发现IP 192.168.50.66（某风机控制器）频繁向SCADA服务器发送IEC 104的“总召唤”指令，频率为每5秒一次，而正常风机为每60秒一次。
- 进一步分析发现该IP的MAC地址与台账不符，确认为伪造IP的入侵设备。
- 通过交换机端口定位，找到物理接入点，断开该设备。
结果：旁路模式成功发现了一次未授权接入事件，且全程未影响风电场运行。风险：旁路模式无法阻断攻击，若攻击正在造成破坏，需配合人工干预或临时串接防火墙。复盘：旁路模式是“安全巡检”的利器，但需与串接模式配合形成闭环。
4.4 混合模式：复杂网络架构下的综合防护
核心原理
混合模式（Mixed Mode）是指在一台工业防火墙上同时启用多种部署模式，不同接口或接口对分别工作在透明、路由或旁路状态。例如，防火墙的GE0/1和GE0/2配置为路由模式，用于隔离两个车间；GE0/3和GE0/4配置为透明模式，串接保护某条关键设备链路；同时GE0/5连接SPAN端口，用于旁路监测其他流量。
混合模式的核心价值在于灵活性与适应性。大型工业网络往往同时存在多种需求：核心区域需要强隔离（路由模式），关键单点设备需要无缝接入（透明模式），非关键区域需要安全监测（旁路模式）。混合模式允许安全团队在一台设备上实现分层防护，降低设备采购和运维成本。
判断方法与操作流程
采用混合模式的条件：
- 网络规模较大：存在多个安全域和多种防护需求。
- 分阶段改造：部分区域已完成IP规划，部分区域无法改动。
- 设备性能充足：防火墙需同时处理路由转发、透明桥接和流量镜像分析，对CPU和内存要求较高。
操作流程：
- 梳理网络拓扑，明确每个接口的部署模式。
- 为路由接口配置IP和路由，为透明接口配置桥接组，为旁路接口配置监测策略。
- 配置全局安全策略，注意不同模式间的策略优先级。
- 验证各接口的连通性和策略有效性。
- 建立集中日志和告警机制，统一管理。
案例拆解：某钢铁厂全厂网络安全改造
某钢铁厂有炼铁、炼钢、轧钢三个车间，各自独立子网。核心调度中心需要与三个车间通信，同时各车间内部有老旧设备无法改IP。安全改造要求：
- 核心调度中心与三个车间之间采用路由模式隔离，防止病毒横向传播。
- 每个车间内部的关键PLC（如高炉鼓风机控制）采用透明模式串接防护。
- 车间汇聚交换机镜像流量至防火墙旁路口，用于安全审计。
实施配置：
- GE0/1（路由）：连接核心调度中心，IP 10.1.1.1/24。
- GE0/2（路由）：连接炼铁车间，IP 10.1.2.1/24。
- GE0/3（路由）：连接炼钢车间，IP 10.1.3.1/24。
- GE0/4（路由）：连接轧钢车间，IP 10.1.4.1/24。
- GE0/5~GE0/8（透明）：分别串接各车间关键PLC。
- GE0/9（旁路）：连接核心交换机SPAN端口。
结果：实现了车间级隔离，关键设备得到指令级防护，同时保留了审计能力。风险：混合模式配置复杂，需仔细规划接口角色，避免路由冲突。复盘：混合模式是大型工控网络安全建设的推荐方案，但需分阶段实施，先路由隔离，再透明接入，最后旁路监测。
4.5 模式对比与选型决策表
| 对比维度 | 透明模式 | 路由模式 | 旁路模式 | 混合模式 |
|---|---|---|---|---|
| 工作层级 | 二层（桥接） | 三层（路由） | 二层/三层（镜像） | 二/三层混合 |
| IP地址改动 | 无需改动 | 需重新规划 | 无需改动 | 部分区域改动 |
| 业务中断风险 | 低（需Bypass） | 中（需停机窗口） | 极低（无串接） | 中（视具体区域） |
| 策略控制粒度 | 中（基于MAC+协议） | 高（基于IP+协议） | 仅监测（不阻断） | 高（分区域差异化） |
| 典型部署位置 | 设备前/小规模汇聚 | 区域边界/核心 | 核心交换机旁 | 大型网络核心+边缘 |
| 适用协议 | 所有二层协议 | TCP/IP协议族 | 所有可镜像协议 | 视接口配置而定 |
| 运维复杂度 | 低 | 中 | 低 | 高 |
4.6 常见误区与总结复盘
误区一：透明模式可以替代路由模式。透明模式无法实现不同子网间的访问控制，也无法提供NAT和VPN功能。若需区域隔离，必须使用路由模式。
误区二：旁路模式可以阻断攻击。旁路模式本质是“只读”，只能发现威胁并告警，无法实时阻断。若需阻断，必须串接部署或联动交换机ACL。
误区三：混合模式就是多台防火墙堆叠。混合模式是在一台设备上融合多种模式，需要设备支持多实例或多上下文，并非简单堆叠硬件。
误区四：忽略Bypass机制。无论何种串接模式，都必须配置硬件Bypass或软件Bypass（如链路聚合故障切换），否则防火墙宕机即生产中断。
总结复盘：部署模式的选择应遵循“业务优先、逐步收紧”的原则。建议新项目优先考虑路由模式，老旧改造优先透明模式，安全监测优先旁路模式，大型复杂网络采用混合模式。无论选择哪种模式，都必须建立完善的策略变更管理和日志审计机制，确保安全防护与生产运行的平衡。