工業(yè)網(wǎng)絡方案設計

工業(yè)網(wǎng)絡方案設計虛擬人生自恒信息科技作者備注包含任何撥款/融資信息和完整的通信地址。摘要回想工業(yè)網(wǎng)絡的發(fā)展，市政工程、企事業(yè)單位、工業(yè)互聯(lián)網(wǎng)等等，從無到有，似乎被廣泛接受，盡管其市場容量很大。但其核心設計理念、安全技術及應用并不為全部人知曉。甚至人們記住了其抗干擾工業(yè)指標、環(huán)網(wǎng)指標。從工業(yè)的角度來看待工業(yè)網(wǎng)絡，如其它的工業(yè)系統(tǒng)同樣（工業(yè)設計、功效設計、可用性設計、完整性設計）。其本身涉及了工業(yè)網(wǎng)絡物理拓撲設計、網(wǎng)絡邏輯拓撲設計、網(wǎng)絡可用性設計、網(wǎng)絡完整性設計。顯然缺少了邏輯網(wǎng)絡拓撲設計一環(huán)，工業(yè)網(wǎng)絡在功效上似乎與其它民用網(wǎng)絡沒有區(qū)別。真正設計好一種工業(yè)網(wǎng)絡同樣需考慮這四個方面的要素。核心字：工業(yè)網(wǎng)絡方案、網(wǎng)絡方案、邏輯網(wǎng)絡工業(yè)網(wǎng)絡物理拓撲設計工業(yè)網(wǎng)絡布網(wǎng)和網(wǎng)絡鏈路冗余特點：工業(yè)網(wǎng)絡不能如辦公大樓同樣布網(wǎng)，其設備分布比較分散。交換機端口比較少。當添加設備或更改接入端口時需要就近接入，而不能重復再拉光纜或電纜，工業(yè)控制系統(tǒng)往往是分層分級控制。如電廠的輔控系統(tǒng)，從中心到分系統(tǒng)（水、灰、煤），再到子系統(tǒng)（廢水、凝結水、。。。），同時尚有橫向的能源管理系統(tǒng)、生產(chǎn)管理系統(tǒng)需要接入。因此，其布網(wǎng)特點是網(wǎng)格化構造，或管線狀物理拓撲構造。事實上樓宇的以太網(wǎng)物理拓撲也往往采用捷聯(lián)聯(lián)方式形成環(huán)網(wǎng)拓撲構造，以滿足弱電系統(tǒng)布線規(guī)定，非信息中心機房的布線采用環(huán)網(wǎng)或網(wǎng)格化拓撲布線較為合理。交換機捷聯(lián)環(huán)網(wǎng)冗余時，生成樹的鏈路冗余切換時間過長，時還沒有快速生成樹算法，并且其切換時間受網(wǎng)絡規(guī)模和拓撲構造的影響。因此工業(yè)網(wǎng)絡物理拓撲獲得成功。如圖1所示：星網(wǎng)構造和環(huán)網(wǎng)構造，交換機供電電路和星網(wǎng)拓撲布線難以一致，若網(wǎng)絡線路不能與弱電系統(tǒng)一起布線，則需要獨立布線的成本，樓宇布線相對成本低某些。而公司布獨立網(wǎng)線需重新設計走線架等。成本很高。網(wǎng)絡邏輯拓撲設計原則的計算機系統(tǒng)網(wǎng)絡是以太網(wǎng)架構，當采用TCP-UDP/IP作為三層互聯(lián)傳輸合同時，才分為局域網(wǎng)和廣域網(wǎng)。局域網(wǎng)也是建立在以太網(wǎng)基礎上的，實質上是采用IP合同的以太網(wǎng)。工業(yè)以太網(wǎng)基礎上的工業(yè)合同，如：幾乎全部的出名自動化公司都推出了以太網(wǎng)架構上的網(wǎng)絡傳輸和應用合同。直到后又進化成TCP-UDP/IP形式的互聯(lián)網(wǎng)工業(yè)合同。網(wǎng)絡邏輯拓撲設計重要的目的是把實際的各類信息系統(tǒng)架構在其專用虛擬局域網(wǎng)內，實現(xiàn)信息業(yè)務系統(tǒng)間無擾運行、維護、建設。工業(yè)環(huán)網(wǎng)和網(wǎng)格化架構，造成一種原本采用工業(yè)總線時不存在的問題。由于以太網(wǎng)的帶寬遠高于現(xiàn)場總線。即如何共享網(wǎng)絡資源，讓不同系統(tǒng)或分系統(tǒng)都能共享網(wǎng)絡帶寬資源。考慮到各類應用業(yè)務系統(tǒng)有不同的運行、維護、拓展規(guī)定。需要把不同的業(yè)務系統(tǒng)或子系統(tǒng)置于各自專用的VLAN架構中。使得各系統(tǒng)的運行不受其它信息業(yè)務系統(tǒng)的影響。如圖2所示，通過對業(yè)務系統(tǒng)通訊端口的設立，3個系統(tǒng)及他們間的通訊都能夠在VLAN架構內運行。全部這些VLAN的設立和計算都是網(wǎng)管軟件解決的。顧客僅需要按導引做就能夠設計自己各類信息業(yè)務的業(yè)務虛擬局域網(wǎng)。如圖3所示圖3，由于國內的網(wǎng)管軟件，大多不支持VLAN邏輯規(guī)劃設計，借用自恒信息科技公司的網(wǎng)絡及網(wǎng)絡安全一體化設計平臺（網(wǎng)管軟件）導引示意闡明具體VLAN拓撲設計過程。完畢了邏輯拓撲設計后各系統(tǒng)運行在自己的專用虛擬局域網(wǎng)內，安全得到了極大的提高。真正的安全隔離，分布式交換，不受限于物理網(wǎng)的拓撲構造。現(xiàn)在諸多系統(tǒng)間的隔離普通采用ACL（訪問控制列表），防火墻（五元組）、路由器和交換機無不如此。即用路由網(wǎng)關打通VLAN，再采用ACL普通進出規(guī)則限定訪問。進出規(guī)則是單向防護，例如：進規(guī)則，允許系統(tǒng)1的計算機A進入系統(tǒng)2訪問計算機B。其它通訊不允許。由于是進規(guī)則，系統(tǒng)1內的計算機事實上都能出去訪問系統(tǒng)2.的計算機，但是由于系統(tǒng)2計算機的回送包受阻于進規(guī)則，故不能ping通，但是事實上系統(tǒng)1的計算機能夠通過誤設重復的IP攻擊系統(tǒng)2的計算機。通過了PING測試，顧客覺得隔離了業(yè)務系統(tǒng)，事實上被IP穿透攻擊了。采用ACL（訪問控制列表），必然受限于物理檢測端口的影響，中間網(wǎng)絡鏈路冗余切換需要考慮，并且容易引發(fā)數(shù)據(jù)繞行，加重核心層的交換負擔和通訊延遲。無法實現(xiàn)分布式網(wǎng)絡交換容量的優(yōu)勢部分狀況下無法實現(xiàn)訪問控制，例如：在單臂路由的狀況下，難以采用ACL，來實現(xiàn)匯聚層和接入層的訪問控制。隨著虛機技術發(fā)展，源IP偽造技術防備的提高，木馬病毒能夠偽造任意的源IP，造成安全域、系統(tǒng)邊界防護失效。而程序無法偽造VLANTAG標簽。網(wǎng)絡的可用性設計除了某些行業(yè)規(guī)定外，網(wǎng)絡系統(tǒng)的設計應當遵照可用性原則：即系統(tǒng)失效分析。其設計目的在于規(guī)劃網(wǎng)絡系統(tǒng)和信息業(yè)務系統(tǒng)整體的可靠性。1）通過系統(tǒng)失效分析，很容易得出某些違反直覺的設計結論，例如：如果網(wǎng)絡節(jié)點或子系統(tǒng)失效會造成系統(tǒng)整體失效，則這些子系統(tǒng)網(wǎng)絡應合并成一種網(wǎng)絡以減少通訊設備數(shù)量。增加系統(tǒng)可靠性或進行冗余設計。2）當設備或子系統(tǒng)失效不會引發(fā)系統(tǒng)失效，則反而能夠設計成獨立網(wǎng)絡，減少對核心子系統(tǒng)運行的影響。顯而易見的是虛擬局域網(wǎng)能夠大幅減少設備數(shù)量，線性正比地提高系統(tǒng)可靠性，需要各類核心子系統(tǒng)并網(wǎng)運行來減少故障概率。網(wǎng)絡系統(tǒng)的完整性分析.完整性設計是工業(yè)系統(tǒng)設計的重要環(huán)節(jié)，也是規(guī)范化設計的規(guī)定，在計算機系統(tǒng)、網(wǎng)絡系統(tǒng)和軟件系統(tǒng)都有諸多項目。其重要目的是考慮網(wǎng)絡和信息系統(tǒng)的意外風險的評定、檢測和解決。例如：計算機網(wǎng)絡通訊的內存數(shù)據(jù)和程序指令傳送，都需要奇偶校驗。TCP、UDP、應用通訊合同都有CRC校驗。VLAN應用本身就是隔離應用業(yè)務系統(tǒng)，減少不必要的交叉誤操作影響，等等不再重復。在此重點采用完整性的評定辦法，對網(wǎng)絡病毒的作完整性評定解決。未激活的網(wǎng)絡病毒和計算機病毒，以程序代碼方式傳輸，為了不破壞程序代碼構造。只能以文獻方式傳輸。故防備重點在于計算機的程序運行監(jiān)控軟件，殺毒軟件?？刹捎锰摍C沙箱技術（郵件檢測）、運行監(jiān)控的白名單技術、殺毒軟件的病毒代碼檢測等。已激活的木馬病毒、其原理和功效重要是竊取顧客數(shù)據(jù)，操控顧客計算機。其操控指令和顧客數(shù)據(jù)沒有病毒代碼特性。同時為了打通出網(wǎng)連通黑客計算機，其含有通過IP欺騙手段和偽造源IP的能力。能夠自主尋找出網(wǎng)途徑。IP欺騙會造成網(wǎng)關劫持、DHCP劫持等危害甚至癱瘓網(wǎng)絡的嚴重成果。后門程序同樣如此。已激活的蠕蟲病毒必須通過IP掃描尋找存活主機本攻擊計算機，并同時有傳遞病毒代碼并重組代碼的能力，滲入攻擊程序同樣如此。現(xiàn)在網(wǎng)絡防備方法的缺點：旁路檢測：防火墻和反入侵設備的能力重要依賴于代碼檢測，單個數(shù)據(jù)包需匹配比較數(shù)以萬計的病毒特性代碼顯然無法實現(xiàn)。不僅僅單個數(shù)據(jù)包難以呈現(xiàn)病毒特性，即使是數(shù)個數(shù)據(jù)包也難以呈現(xiàn)病毒特性。并且檢查速度無法匹配網(wǎng)絡數(shù)據(jù)速率。直連檢測：防火墻技術普遍采用ACL訪問控制列表，同交換機和路由器的ACL同樣，沒有區(qū)別，網(wǎng)絡安全檢測都和實際網(wǎng)絡攻擊原理不相符。顯然任何完整性設計必須也應當針對每一項風險做出合理的方法。其它完整性風險分析：1）網(wǎng)絡端口空置與否會造成非法侵入發(fā)生：系統(tǒng)包裹在其VLAN中，不會發(fā)生，同時網(wǎng)管軟件能自動檢測。2）網(wǎng)絡交換機物理上聯(lián)口網(wǎng)管軟件有拓撲實時檢測。不會發(fā)生斷網(wǎng)時，無法定位故障點。3）在設計網(wǎng)絡冗余時，有冗余拓撲鏈路檢測，避免設計錯誤引入實際施工，也可避免拓撲測試調節(jié)時發(fā)生設立錯誤4）網(wǎng)絡本身全部信息系統(tǒng)都運行在自己專用的虛擬局域網(wǎng)中，單系統(tǒng)測試、維護、拓展不會影響到其它系統(tǒng)正常運行等等。。?？偨Y.如何網(wǎng)絡設計是一門技術，不