工业网络方案设计

工业网络方案设计虚拟人生自恒信息科技作者备注包含任何拨款/融资信息和完整的通信地址。摘要回想工业网络的发展，市政工程、企事业单位、工业互联网等等，从无到有，似乎被广泛接受，尽管其市场容量很大。但其核心设计理念、安全技术及应用并不为全部人知晓。甚至人们记住了其抗干扰工业指标、环网指标。从工业的角度来看待工业网络，如其它的工业系统同样（工业设计、功效设计、可用性设计、完整性设计）。其本身涉及了工业网络物理拓扑设计、网络逻辑拓扑设计、网络可用性设计、网络完整性设计。显然缺少了逻辑网络拓扑设计一环，工业网络在功效上似乎与其它民用网络没有区别。真正设计好一种工业网络同样需考虑这四个方面的要素。核心字：工业网络方案、网络方案、逻辑网络工业网络物理拓扑设计工业网络布网和网络链路冗余特点：工业网络不能如办公大楼同样布网，其设备分布比较分散。交换机端口比较少。当添加设备或更改接入端口时需要就近接入，而不能重复再拉光缆或电缆，工业控制系统往往是分层分级控制。如电厂的辅控系统，从中心到分系统（水、灰、煤），再到子系统（废水、凝结水、。。。），同时尚有横向的能源管理系统、生产管理系统需要接入。因此，其布网特点是网格化构造，或管线状物理拓扑构造。事实上楼宇的以太网物理拓扑也往往采用捷联联方式形成环网拓扑构造，以满足弱电系统布线规定，非信息中心机房的布线采用环网或网格化拓扑布线较为合理。交换机捷联环网冗余时，生成树的链路冗余切换时间过长，时还没有快速生成树算法，并且其切换时间受网络规模和拓扑构造的影响。因此工业网络物理拓扑获得成功。如图1所示：星网构造和环网构造，交换机供电电路和星网拓扑布线难以一致，若网络线路不能与弱电系统一起布线，则需要独立布线的成本，楼宇布线相对成本低某些。而公司布独立网线需重新设计走线架等。成本很高。网络逻辑拓扑设计原则的计算机系统网络是以太网架构，当采用TCP-UDP/IP作为三层互联传输合同时，才分为局域网和广域网。局域网也是建立在以太网基础上的，实质上是采用IP合同的以太网。工业以太网基础上的工业合同，如：几乎全部的出名自动化公司都推出了以太网架构上的网络传输和应用合同。直到后又进化成TCP-UDP/IP形式的互联网工业合同。网络逻辑拓扑设计重要的目的是把实际的各类信息系统架构在其专用虚拟局域网内，实现信息业务系统间无扰运行、维护、建设。工业环网和网格化架构，造成一种原本采用工业总线时不存在的问题。由于以太网的带宽远高于现场总线。即如何共享网络资源，让不同系统或分系统都能共享网络带宽资源。考虑到各类应用业务系统有不同的运行、维护、拓展规定。需要把不同的业务系统或子系统置于各自专用的VLAN架构中。使得各系统的运行不受其它信息业务系统的影响。如图2所示，通过对业务系统通讯端口的设立，3个系统及他们间的通讯都能够在VLAN架构内运行。全部这些VLAN的设立和计算都是网管软件解决的。顾客仅需要按导引做就能够设计自己各类信息业务的业务虚拟局域网。如图3所示图3，由于国内的网管软件，大多不支持VLAN逻辑规划设计，借用自恒信息科技公司的网络及网络安全一体化设计平台（网管软件）导引示意阐明具体VLAN拓扑设计过程。完毕了逻辑拓扑设计后各系统运行在自己的专用虚拟局域网内，安全得到了极大的提高。真正的安全隔离，分布式交换，不受限于物理网的拓扑构造。现在诸多系统间的隔离普通采用ACL（访问控制列表），防火墙（五元组）、路由器和交换机无不如此。即用路由网关打通VLAN，再采用ACL普通进出规则限定访问。进出规则是单向防护，例如：进规则，允许系统1的计算机A进入系统2访问计算机B。其它通讯不允许。由于是进规则，系统1内的计算机事实上都能出去访问系统2.的计算机，但是由于系统2计算机的回送包受阻于进规则，故不能ping通，但是事实上系统1的计算机能够通过误设重复的IP攻击系统2的计算机。通过了PING测试，顾客觉得隔离了业务系统，事实上被IP穿透攻击了。采用ACL（访问控制列表），必然受限于物理检测端口的影响，中间网络链路冗余切换需要考虑，并且容易引发数据绕行，加重核心层的交换负担和通讯延迟。无法实现分布式网络交换容量的优势部分状况下无法实现访问控制，例如：在单臂路由的状况下，难以采用ACL，来实现汇聚层和接入层的访问控制。随着虚机技术发展，源IP伪造技术防备的提高，木马病毒能够伪造任意的源IP，造成安全域、系统边界防护失效。而程序无法伪造VLANTAG标签。网络的可用性设计除了某些行业规定外，网络系统的设计应当遵照可用性原则：即系统失效分析。其设计目的在于规划网络系统和信息业务系统整体的可靠性。1）通过系统失效分析，很容易得出某些违反直觉的设计结论，例如：如果网络节点或子系统失效会造成系统整体失效，则这些子系统网络应合并成一种网络以减少通讯设备数量。增加系统可靠性或进行冗余设计。2）当设备或子系统失效不会引发系统失效，则反而能够设计成独立网络，减少对核心子系统运行的影响。显而易见的是虚拟局域网能够大幅减少设备数量，线性正比地提高系统可靠性，需要各类核心子系统并网运行来减少故障概率。网络系统的完整性分析.完整性设计是工业系统设计的重要环节，也是规范化设计的规定，在计算机系统、网络系统和软件系统都有诸多项目。其重要目的是考虑网络和信息系统的意外风险的评定、检测和解决。例如：计算机网络通讯的内存数据和程序指令传送，都需要奇偶校验。TCP、UDP、应用通讯合同都有CRC校验。VLAN应用本身就是隔离应用业务系统，减少不必要的交叉误操作影响，等等不再重复。在此重点采用完整性的评定办法，对网络病毒的作完整性评定解决。未激活的网络病毒和计算机病毒，以程序代码方式传输，为了不破坏程序代码构造。只能以文献方式传输。故防备重点在于计算机的程序运行监控软件，杀毒软件。可采用虚机沙箱技术（邮件检测）、运行监控的白名单技术、杀毒软件的病毒代码检测等。已激活的木马病毒、其原理和功效重要是窃取顾客数据，操控顾客计算机。其操控指令和顾客数据没有病毒代码特性。同时为了打通出网连通黑客计算机，其含有通过IP欺骗手段和伪造源IP的能力。能够自主寻找出网途径。IP欺骗会造成网关劫持、DHCP劫持等危害甚至瘫痪网络的严重成果。后门程序同样如此。已激活的蠕虫病毒必须通过IP扫描寻找存活主机本攻击计算机，并同时有传递病毒代码并重组代码的能力，渗入攻击程序同样如此。现在网络防备方法的缺点：旁路检测：防火墙和反入侵设备的能力重要依赖于代码检测，单个数据包需匹配比较数以万计的病毒特性代码显然无法实现。不仅仅单个数据包难以呈现病毒特性，即使是数个数据包也难以呈现病毒特性。并且检查速度无法匹配网络数据速率。直连检测：防火墙技术普遍采用ACL访问控制列表，同交换机和路由器的ACL同样，没有区别，网络安全检测都和实际网络攻击原理不相符。显然任何完整性设计必须也应当针对每一项风险做出合理的方法。其它完整性风险分析：1）网络端口空置与否会造成非法侵入发生：系统包裹在其VLAN中，不会发生，同时网管软件能自动检测。2）网络交换机物理上联口网管软件有拓扑实时检测。不会发生断网时，无法定位故障点。3）在设计网络冗余时，有冗余拓扑链路检测，避免设计错误引入实际施工，也可避免拓扑测试调节时发生设立错误4）网络本身全部信息系统都运行在自己专用的虚拟局域网中，单系统测试、维护、拓展不会影响到其它系统正常运行等等。。。总结.如何网络设计是一门技术，不