工厂网不敢动？生产网和办公网的隔离讲究

---

---

一、开场：工厂网为什么"不敢动"

做过工厂项目的兄弟都有体会：工厂网是全网最"不敢动"的网。办公网割接可以挑周末，工厂网不行——产线 24 小时转，PLC（可编程逻辑控制器）、机器人、AGV（自动导引车）全靠网络指挥，你断网一分钟，可能就是一批次品、一次停机、一笔损失。

工厂网和前面讲的办公网、校园网、医院网最大的不同：它要跟工业设备打交道。生产网一断，不是"打不了卡"的问题，是"产线停了"的问题。这一课把工厂园区网的三件事讲透：生产网和办公网怎么隔、环网怎么做、工业级设备和商业级设备差在哪。

---

二、生产/办公物理隔离：别让办公网"连累"产线

1. 为什么必须物理隔离

办公网什么设备都有：员工电脑、手机、打印机，还有各种来历不明的 U 盘、外接设备。让办公网和生产网混在一起，等于让产线设备暴露在"不可控"的网络里：一次病毒感染、一次误操作，都可能波及 PLC 和产线。

所以工厂园区网的铁律是：生产网和办公网物理隔离——两套独立的核心、独立的汇聚、独立的交换机，只在必要的地方通过隔离设备（防火墙/网闸）做受控互通。

2. 隔离的两个层次

• 物理隔离：生产网、办公网各自独立组网，设备不共用、线路不共用，物理上就是两张网；
• 受控互通：确需互通（比如 MES 生产管理系统要上报数据），走防火墙/网闸单向控制，只放行必要流量。

隔离项	生产网	办公网
核心设备	独立核心	独立核心
网络设备	工业级为主	商业级
互通方式	防火墙/网闸受控	—
故障影响	独立运维	独立运维

3. 隔离做没做好，怎么验证

隔离不是"配完了事"，要验证生产网和办公网真的互不相通：

# 第一步：先在办公网核心 ping 自己的网关，确认本机网络是通的
ping 10.20.1.1
  Reply from 10.20.1.1: bytes=56 time=1ms TTL=255

# 第二步：再 ping 生产网设备，必须不通；通了就说明隔离没做成
ping 10.50.1.1
  Request time out

# 第三步：查看 ACL 策略是否真的生效
display acl 3001
  Rule 5 permit tcp destination 10.50.0.0 0.0.255.255 eq 8000
  Rule 10 deny ip source 10.20.0.0 0.0.255.255

关键看两点：办公网 ping 生产网网关不通（默认隔离生效）、ACL 只放行了必要端口（如 MES 的 8000 端口）。如果办公网能随便 ping 通生产网，说明隔离形同虚设，赶紧整改。

4. 类比

• 生产网和办公网隔离像化工厂的原料区和办公区：原料区（生产网）管得严、闲人免进，办公区（办公网）人来人往——不隔开，原料区就可能被"带进一颗火星"（病毒/误操作）；
• 受控互通像安检通道：办公网要进生产网，得经过安检（防火墙）逐个查包放行，不是随便放行。

这里要特别提醒一句：车间环境的物理条件比办公室苛刻得多。高温、高湿、粉尘、振动、金属粉尘导电，都是网络设备的隐形杀手。所以产线机柜要防尘密封、设备要选工业级、线缆要穿管保护，别拿办公室的标准去套车间——省下的设备钱，最后都会在故障和停机里还回去。

---

三、环网：工厂网络的"环形防线"

1. 为什么工厂用环网

工厂车间布线有个特点：产线是环形布局的（流水线转一圈），而且车间环境复杂，线路断一根是常有的事（被叉车压、被高温烤、被金属割）。如果像办公网那样用"星型"布线，断一根线就断一台设备。环网就是给产线设计的"双保险"：链路绕成一个环，任意一处断开，数据从另一侧绕过去，设备不掉线。

2. 环网怎么做

环网的核心是"冗余 + 自动切换"：平时流量走主路径，环上某处断开时，协议自动把流量切到备份路径。工厂环境里常见的环网协议有：

• RRPP（华为快速环网保护协议）：华为设备专用的环网协议，收敛快；
• ERPS（以太网多环保护技术）：基于 ITU-T G.8032 标准，跨厂商通用；
• 工业交换机的自愈环：很多工业交换机内置自愈环功能，配置简单。

# 华为交换机：配置 RRPP 环网
system-view
rrpp enable
rrpp ring 1
 control-vlan 100
 protected-vlan all
rrpp ring 1 role primary
# 查看环网状态
display rrpp
RRPP Ring 1
  State: Normal
  Role:  Primary
# 若 State 显示 Detecting 或 Blocked，先查控制 VLAN 两端是否一致、环上端口是否 Up

关键看 State：环网正常时是 Normal（Ring OK），某处断开时自动进入切换状态，故障恢复后回到 Normal；环网状态异常就要马上查链路，别让"环"变成"断线"。

3. 环网的排障重点

环网最怕"断环不自知"：链路断了但没触发切换，流量绕不过去，设备悄悄掉线。日常巡检一定要看 display rrpp 的环状态，还要做"断链演练"——故意拔一根线，看环网是不是真的能自动切换、切换时间多少。演练过才知道环网是真能用还是摆设。

4. 类比

• 环网像消防逃生通道：大楼平时从主楼梯下楼，主楼梯堵了（链路断），消防通道（备份路径）立刻顶上，人（数据）不用被困在楼上；
• 断环不自知像备用钥匙丢了却以为还在：平时用主钥匙开门（主链路正常），真到主钥匙丢了（链路断），才发现备用钥匙（备份路径）也没了，门打不开。

---

四、工业级 vs 商业级设备：差的不只是"壳子"

1. 为什么产线不能用普通交换机

很多项目图便宜，把商业级交换机直接丢进车间——结果不是高温死机就是灰尘短路，还怪设备质量差。工业级和商业级设备差的不是外观，是设计和认证：工业级按工业环境设计，商业级按办公室环境设计，两者从根上就不一样。

2. 四大差异一眼看清

差异项	工业级	商业级
工作温度	-40℃~75℃ 宽温	0℃~40℃
防护等级	IP40+ 防尘防水	无明确防护
冗余设计	双电源/双链路冗余	单电源为主
接口形态	M12 工业接口/导轨安装	RJ45/机架安装

工业级设备贵，但贵在"坏不起"：产线设备 7×24 转，一台商业级交换机高温死机一次，产线停机的损失就远超设备差价。该花的钱要花在产线上。

3. 工业设备的状态怎么看

# 查看工业交换机温度、告警和端口状态
display system temperature
  Board Temperature: 45℃ (Normal)
display alarm
  Current alarms: 0
display interface brief
Interface        Status
GE0/0/1          Up
GE0/0/2          Up
# 温度超过 70℃ 或 alarms 不为 0，先查风扇和双电源，别等设备自己保护关机

关键看三个数：温度（工业设备宽温，但长时间高温运行要查散热）、告警数（0 是最佳）、端口状态。车间环境粉尘大，定期看温度和告警，比等设备坏了再换强。

4. 类比

• 工业级 vs 商业级像军规手机和普通手机：普通手机掉水里就废，军规手机防水防摔——产线环境就是那个"水坑"，商业级设备掉进去就废；
• 宽温设计像南极科考站的设备：办公室里用的设备在南极会冻死，科考站设备都按极端温度设计——车间 40℃ 的夏天，就是产线的"南极"。

---

五、Mermaid：工厂园区网设计决策一图看全

工厂网络设计的核心决策就一个：生产网独立不独立。独立了就物理隔离、环网、工业设备三件套；不独立就先把风险评估清楚，别拿产线开玩笑。

---

六、常见故障排查表：工厂网络应急排障

现象	命令	看到什么	判断	动作
某台产线设备掉线	display rrpp	环状态异常	环网链路断裂	查链路、恢复断点、确认切换
产线设备集体抖动	display interface brief	多端口 Up/Down 翻转	供电或环境问题	查电源、温度、粉尘
办公网访问生产网失败	display acl	ACL 未放行	互通策略配置问题	查防火墙/网闸策略
工业交换机温度高	display system temperature	温度超过阈值	散热环境差	清尘、加风扇、查机柜
产线设备频繁重启	display alarm	电源告警	供电不稳定	查电源、双电源冗余
环网断链未切换	display rrpp	状态仍 Normal 但断链	备份链路失效	演练断链、修备份路径

工厂排障口诀：先保产线，再查原因。产线设备掉线先确认环网有没有切换、设备有没有电，再慢慢查细节——产线停机一分钟都是钱。

---

七、🔧 运维视角 & 📐 设计视角

🔧 运维视角：

• 环网状态是日常巡检第一项：display rrpp 看环是否 Normal，display alarm 看有没有告警；
• 断链演练定期做：故意断一根产线链路，测环网切换时间和恢复能力，演练过才放心；
• 车间环境巡检要勤：温度、粉尘、线缆磨损，都是产线网络的隐形杀手。

📐 设计视角：

• 生产网和办公网物理隔离是底线，互通必须走防火墙/网闸受控；
• 产线用环网，办公网用星型，别把办公网的设计思路套到产线上；
• 工业级设备贵有贵的道理：宽温、防尘、冗余，都是为"坏不起"的产线设计的。

---

八、思科对照

目的	华为	思科
配环网	rrpp ring	redundancy / 第三方环网
看环状态	display rrpp	show redundancy
看温度	display system temperature	show environment
看告警	display alarm	show diagnostics
看端口	display interface brief	show interface status

命令不同，生产办公隔离、环网冗余、设备状态监控的逻辑完全一致。

---

九、小结与命令速查表

• 工厂园区网铁律：生产网和办公网物理隔离，互通走防火墙/网闸受控；
• 产线用环网：链路绕成环，断一处自动绕行，RRPP/ERPS 是常见协议；
• 工业级 vs 商业级：宽温、防尘、冗余、接口四大差异，产线设备"坏不起"；
• 排障先保产线：环网状态、温度、告警是日常巡检三件套。

本篇命令速查表：

目的	关键命令
看环网状态	display rrpp
看温度	display system temperature
看告警	display alarm
看端口	display interface brief
看 ACL	display acl

---

十、思考题 & 评论区接招

💬 互动题（评论区接招）：

工厂环网用的什么协议？做过的来交流

1. 你们工厂的生产网和办公网是物理隔离还是逻辑隔离？为什么这么选？
2. 产线环网你家用 RRPP、ERPS 还是工业交换机自愈环？收敛时间多少？
3. 遇到过"断环不自知"的坑吗？最后怎么发现的？

把你们工厂的隔离方案和环网协议发评论区，做过的兄弟来对对经验。

---

系列导航：

• 上一课：第 57 课《案例三：医院园区网》
• 下一课：第 59 课《出口设计》
• 专栏主页：[网络工程师进阶：企业组网实战——从交换机配置到园区网交付]

我是你们的老网工。工厂网的四件事——物理隔离、环网、工业设备、应急排障，件件都是"产线不能停"的硬要求。四个园区案例讲完了，下一课回到大家都绕不开的地方：出口设计。防火墙用路由模式还是透明模式？DMZ 区到底怎么画？我们下一课聊。