4、网络基础与协议栈：TCP/IP协议栈回顾、常用工业协议（Modbus、OPC UA、MQTT、CoAP）、协议安全风险分析

各位好，我是老赵。做边缘网关安全这些年，我最大的感触就是：协议是网关的灵魂，也是漏洞的温床。今天咱们聊聊网络基础与协议栈，重点放在工业场景里那些“老熟人”身上——Modbus、OPC UA、MQTT、CoAP。别小看这些协议，我见过太多项目因为协议配置不当，被攻击者钻了空子。

4.1 TCP/IP协议栈回顾

先简单回顾一下TCP/IP。边缘网关本质上就是个“协议翻译官”，它得把现场总线的数据打包成IP包，再扔到上层网络。所以，理解TCP/IP的分层模型是基本功。

我个人习惯把TCP/IP分成四层来看：

• 应用层：HTTP、Modbus TCP、MQTT、CoAP 都在这一层。说白了，数据长什么样，由它决定。
• 传输层：TCP 和 UDP。TCP 可靠但慢，UDP 快但容易丢包。工业场景里，控制类指令多用 TCP，数据采集类有时用 UDP。
• 网络层：IP 协议。负责寻址和路由。边缘网关通常跑在 NAT 后面，这点要注意。
• 网络接口层：以太网、Wi-Fi、4G/5G。物理介质不同，MTU 也不同，容易引发分片问题。

4.2 常用工业协议详解

工业协议种类繁多，但边缘网关最常打交道的就这四种。我按“亲密度”排个序：Modbus 最老，OPC UA 最重，MQTT 最轻，CoAP 最省。

4.2.1 Modbus

Modbus 是工业界的“普通话”。它有两种变体：RTU（串口）和 TCP（以太网）。

• Modbus RTU：RS-232/485 物理层，主从架构。一个主站最多带 247 个从站。数据帧简单，没有认证，没有加密。
• Modbus TCP：在 TCP 502 端口上跑。去掉了 CRC 校验（因为 TCP 自己会做），但依然没有安全机制。

你想想看，一个没有认证、没有加密的协议，在 OT 网络里跑了三四十年。攻击者只要扫到 502 端口，就能直接读写寄存器。我见过最离谱的一次，某工厂的 Modbus 网关直接暴露在公网上，任何人都能控制传送带启停。

4.2.2 OPC UA

OPC UA 是工业 4.0 的“贵族协议”。它比 Modbus 复杂得多，但安全机制也完善得多。

特性	Modbus	OPC UA
认证	无	X.509 证书
加密	无	AES-256
签名	无	SHA-256
会话管理	无状态	有状态
数据模型	扁平寄存器	面向对象

OPC UA 的安全模型分为三个等级：

1. None：不加密、不签名。仅用于测试。
2. Sign：签名但不加密。能防篡改，但内容可见。
3. SignAndEncrypt：签名且加密。这才是生产环境该用的。

我记得有一次帮客户做安全审计，发现他们的 OPC UA 服务器配置成了 None 模式。问原因，答曰“配置太复杂，懒得搞”。嗯，这种“懒”是要付出代价的。

4.2.3 MQTT

MQTT 是物联网的“轻骑兵”。它基于发布/订阅模式，非常适合带宽有限、设备数量多的场景。

• Broker：中央服务器，负责转发消息。
• Topic：消息主题，支持通配符。
• QoS：服务质量等级，0/1/2。

MQTT 的安全要点有三个：

1. 用户名/密码认证：基础防护，但密码不能明文传输。
2. TLS 加密：必须开启。我见过太多 MQTT Broker 裸奔在 1883 端口上。
3. Topic 权限控制：细粒度 ACL，防止设备订阅不该看的主题。

4.2.4 CoAP

CoAP 是“为受限设备而生”的协议。它基于 UDP，使用 RESTful 风格，非常适合资源受限的传感器节点。

CoAP 的安全机制主要依赖 DTLS（Datagram TLS）。DTLS 是 TLS 的 UDP 版本，但握手开销依然不小。对于内存只有几十 KB 的设备，DTLS 可能跑不起来。

我建议的做法是：

• 如果设备支持 DTLS，优先开启。
• 如果不支持，考虑使用 OSCORE（Object Security for CoAP），它能在应用层提供端到端加密。
• 实在不行，至少做 IP 白名单过滤。

4.3 协议安全风险分析

协议安全风险，说白了就是“攻击者能利用协议做什么”。我总结了三类常见风险：

4.3.1 认证与授权缺失

Modbus 和早期 MQTT 都没有认证机制。攻击者可以伪造设备身份，发送恶意指令。我曾经在渗透测试中，用一台树莓派模拟了 50 个 Modbus 从站，直接把主站 CPU 打满。

4.3.2 明文传输

很多工业协议默认不加密。攻击者只要接入网络，就能抓包分析。我记得有个项目，现场工程师用 Wireshark 抓了五分钟，就把 PLC 的寄存器地址和数据类型全摸清了。

4.3.3 协议实现漏洞

协议栈本身也可能有漏洞。比如 OPC UA 的某些 SDK 存在缓冲区溢出，CoAP 的某些实现存在拒绝服务漏洞。这些漏洞往往在 CVE 里能找到，但很多运维人员从不关注。

4.4 协议安全架构图

下面这张图是我自己画的，展示了边缘网关在协议栈中的位置，以及各层的安全防护要点。

这张图想表达的是：安全不是某一层的事，而是层层设防。应用层做好认证和加密，传输层开启 TLS/DTLS，网络层用 VPN 隔离，物理层控制接入。少了任何一层，都可能被攻破。

4.5 实战建议

最后，给各位几个实操建议：

1. 盘点协议清单：先搞清楚你的边缘网关里跑了哪些协议。我见过有人同时开了 Modbus TCP、OPC UA 和 MQTT，但只给 MQTT 配了密码。
2. 最小化暴露面：不用的协议端口全部关闭。比如只用 MQTT，就把 Modbus 502 端口禁掉。
3. 升级协议版本：老版本协议往往有已知漏洞。比如 MQTT 3.1.1 比 3.1 更安全，OPC UA 1.04 比 1.02 修复了多个漏洞。
4. 定期做协议审计：用 Wireshark 或 tcpdump 抓包，看看有没有异常流量。我习惯每周跑一次自动化脚本，检查是否有非授权设备在发 Modbus 请求。