# 现场勘查：采集网 / 工业环网 / 办公网拓扑与隔离策略

> 对应 EPIC #2「[M1] 数据准备」子任务 **#19**（0.5d）：
> 现场勘查采集网 / 工业环网 / 办公网三层网络拓扑，编制**隔离策略**。
> 目标：边缘网关**严格只读、不反控**（PRD 5.1 / 9 章安全-网络），
> 满足等保 2.0 三级路线（PRD 12 章），不因网络问题阻塞上线
> （PRD 13 章：网络与机房环境 → 现场勘测前置）。

---

## 1. 目的与范围

- **目的**：明确三网拓扑与隔离边界，保证数据「采得进、传得出、控不住」——
  平台只读采集现场数据，**任何场景下不得向生产控制系统下发控制指令**；
- **范围**：边缘网关、DCS/PLC（OPC UA / S7）、数据总线（Kafka）、
  平台服务（应用/配置台/驾驶舱）的网络位置与互通规则；
- **交付物**：本拓扑与隔离策略文档 + 现场勘查清单（§6），
  供实施工程师现场执行并回填实测数据。

---

## 2. 三网拓扑模型

```
┌─────────────── 采集网（OT · 现场层） ───────────────┐
│   DCS 系统        PLC（S7）       称重/能源表        │
│  (和利时 DCS)   (西门子 S7-1200)  (Modbus/称重/能源) │
│        │             │               │              │
│        └──────┬──────┴───────┬───────┘              │
│          只读镜像点/OPC UA 只读会话                  │
│                │                                     │
│          ┌─────▼─────┐                              │
│          │ 边缘网关    │ ← 部署于采集网，严格只读      │
│          │(Edge GW)  │   断点续传、本地缓存           │
│          └─────┬─────┘                              │
└────────────────┼────────────────────────────────────┘
                 │ 单向网闸 / 工业防火墙（仅数据外发）
┌───────────────▼────────────── 工业环网（服务层） ────┐
│   Kafka 数据总线   TDengine   PostgreSQL   MinIO     │
│            │      AI 模型服务 / LLM 网关 / RAG        │
│   （内部通信 mTLS；与办公网经应用防火墙隔离）          │
└────────────────────────┬─────────────────────────────┘
                         │ 应用防火墙（仅 Web 端口）
┌────────────────────────▼──────── 办公网（IT） ───────┐
│   驾驶舱（Web/移动）   配置台（OAuth2 + RBAC）        │
│   运维监控（Prometheus/Grafana）                     │
└──────────────────────────────────────────────────────┘
```

---

## 3. 各网段职责与设备

| 网段 | 定位 | 主要设备 | 关键约束 |
| --- | --- | --- | --- |
| 采集网（OT） | 现场生产层 | DCS、PLC、称重/能源表、边缘网关 | 网关**只读**采集；严禁反控；与办公网物理/逻辑隔离 |
| 工业环网 | 平台服务层 | Kafka、TDengine、PostgreSQL、MinIO、AI/LLM 服务 | 内部通信 mTLS；承载核心数据，最小暴露面 |
| 办公网（IT） | 使用与运维层 | 驾驶舱、配置台、监控 | 仅开放必要 Web 端口；RBAC + OAuth2 |

---

## 4. 隔离策略

1. **只读采集（最高优先级）**：边缘网关仅建立 OPC UA 只读会话 / S7 只读连接
   （`read-only`），驱动层不实现任何写寄存器动作；验收含「零控制指令下发」。
2. **单向网闸/工业防火墙**：采集网 → 工业环网**仅数据外发**单向放行；
   反向（工业环网 → 采集网）默认拒绝，杜绝远程控制通道。
3. **服务间 mTLS**：边缘网关 ↔ 数据总线（Kafka）双向证书认证
   （PRD 8.2 认证鉴权①），传输加密、防伪造。
4. **应用防火墙**：工业环网 → 办公网仅放行 Web（HTTPS 443）与
   驾驶舱/配置台必需端口；其余全拒绝。
5. **等保 2.0 三级路线**：按等保三级要求部署安全审计、边界防护、
   恶意代码防范（网闸/防火墙规则纳入基线管理，见 PRD 12 章）。

---

## 5. 通信矩阵（源 → 目的）

| # | 源 | 目的 | 协议/端口 | 方向 | 措施 |
| --- | --- | --- | --- | --- | --- |
| 1 | DCS/PLC | 边缘网关 | OPC UA 4840 / S7 102 | 单向（读） | 只读会话；白名单测点 |
| 2 | 边缘网关 | 数据总线（Kafka） | mTLS 9093 | 单向（发） | 双向证书；断点续传 |
| 3 | 边缘网关 | 配置台（心跳/健康） | HTTPS 443 | 单向（发） | 健康度上报（丢失率/P99） |
| 4 | 驾驶舱 | 平台 API | HTTPS 443 | 双向 | OAuth2 + RBAC；只读 API |
| 5 | 配置台 | 平台 API | HTTPS 443 | 双向 | OAuth2 + API Key 双因子 |
| 6 | 运维监控 | 平台指标 | HTTPS 443（Prometheus） | 单向（拉） | 白名单网段 |
| 7 | 任何 | DCS/PLC 写寄存器 | — | **禁止** | 防火墙/网闸双向拦截 |

---

## 6. 现场勘查清单（实施现场回填）

| 勘查项 | 说明 | 回填内容 |
| --- | --- | --- |
| 网络拓扑图 | 客户提供或现场测绘 | 三网拓扑图文件（含设备/交换机/防火墙） |
| 采集网 IP 段 | DCS/PLC/网关网段 | 网段与子网掩码 |
| 工业环网 IP 段 | 服务层网段 | 网段与子网掩码 |
| 办公网 IP 段 | 使用层网段 | 网段与子网掩码 |
| 隔离设备 | 网闸/防火墙品牌型号 | 型号、版本、当前规则集 |
| OPC 服务器 | 各 DCS 的 OPC 服务器信息 | 地址、是否支持只读会话、认证方式 |
| PLC 访问权限 | S7 连接授权 | 只读连接是否可开通、证书要求 |
| 机房条件 | 网关/服务器部署位置 | 机柜、供电、散热、动环监控 |
| 安全合规要求 | 客户等保/内网管理要求 | 等保级别、VPN/堡垒机要求、审批流程 |

---

## 7. 落地检查表（验收）

- [ ] 边缘网关部署于采集网，DCS/PLC 仅开放只读会话；
- [ ] 网闸/工业防火墙配置完成：采集网 → 工业环网单向放行，反向拒绝；
- [ ] 边缘网关 ↔ Kafka 启用 mTLS（双向证书）；
- [ ] 办公网访问仅经应用防火墙开放 HTTPS 443 等必要端口；
- [ ] 写寄存器/控制指令连通性测试为**零通过**（负向用例）；
- [ ] 勘查清单回填完整，拓扑图归档至项目文档库；
- [ ] 等保三级边界防护要求映射完成（见 PRD 12 章路线图）。

---

## 8. 关联任务

- **#27「① 采集网只读隔离 + 网闸配置文档」**：本策略的网关侧落地
  （网闸具体配置、规则集、验证脚本）；
- **#16「DCS 点表需求模板」**：§2 网络隔离要求字段与本策略一致；
- **PRD 13 章**：网络/机房环境不符时启用云端 SaaS 演示环境或租赁方案。