02-以太网与网关组网

5.2 以太网与网关组网

本节摘要：Modbus TCP 把设备接入以太网后，组网问题随之而来：IP 规划、交换机、防火墙、串口服务器与网关的选型。本节讲清常见拓扑、网关的三个角色，以及"把工控网络接进办公网"的安全边界。位置：5.1 管好了串口物理层，本节看以太网这一侧怎么组。

三种典型拓扑

拓扑一：全 TCP——设备带网口，直连交换机，上位机 TCP 轮询。适合新设备、数量少、距离近的场景。拓扑二：串口汇聚——RS-485 总线经串口服务器/网关转 TCP 接入交换机，上位机统一走 TCP。适合存量串口设备多的现场。拓扑三：多级汇聚——多条串口总线 + 多个网关 + 核心交换机，MES/云平台从核心交换机访问。适合大厂区多车间。

拓扑二示意：
RS-485 总线A(20台) ─┐
RS-485 总线B(15台) ─┼─→ 网关(8口) ─→ 交换机 ─→ 上位机/MES
RS-485 总线C(10台) ─┘
​

网关的三个角色

一台"Modbus 网关"通常同时扮演三个角色：协议转换器（TCP ↔ RTU/ASCII 互转）、地址映射器（TCP 单元标识 ↔ 串口从站地址）、汇聚器（多条串口合成一个以太网口）。选网关看三样：串口数量（要接几条总线）、协议支持（RTU/ASCII/TCP 全支持）、并发能力（多少 TCP 客户端可同时访问）。小厂区一台 2-4 口网关够用，大厂区按总线数选 8 口或上工业交换机。

IP 规划与网络隔离

工控网络要有独立的 IP 规划与网段：设备与上位机一个网段（如 192.168.10.x），网关固定 IP（设备按 IP 配置，别用 DHCP——重启后地址漂移会让上位机找不到设备）。工控网与办公网隔离是安全底线：中间加防火墙或工业防火墙，只放行 Modbus 502 端口与必要的管理端口。第 7 章会展开安全话题，这里先记住：Modbus TCP 无认证，裸露在办公网等于裸奔。

一个组网复盘案例

某食品厂把 3 条产线的 Modbus TCP 设备直接接到了办公网交换机上。一次办公网广播风暴，产线数据大面积中断。复盘整改：产线设备改接独立工业交换机，与办公网之间加防火墙只放行 502 端口与上位机的固定 IP——此后办公网再出问题，产线不受影响。结论：工控网与办公网物理或逻辑隔离，是 Modbus TCP 组网的第一条规则。

易错点清单

• 设备用 DHCP：地址漂移导致上位机连不上，工控设备一律静态 IP；
• 网关背板带宽不足：多客户端并发访问时网关处理不过来，选型时按并发数留余量；
• 不做网络隔离：Modbus TCP 无认证无加密，直接接办公网等于把产线控制权暴露给全公司网络；
• 忽略交换机端口配置：工业交换机可能默认关闭某些端口或开启风暴抑制，设备"插上不通"先查端口配置。

要点回顾：三种拓扑覆盖全 TCP、串口汇聚与多级汇聚；网关是协议转换+地址映射+汇聚三位一体；静态 IP + 网段规划 + 工控办公隔离是组网三原则。网络搭好了，下一章回到数据本身——字序与数据类型这些"看着对、读着错"的陷阱。

网关的选型参数速查

选 Modbus 网关时按这张清单核对参数：接口数量（RS-485 口数、以太网口数）；协议（RTU/ASCII/TCP、Modbus/TLS、MQTT/OPC UA 是否支持）；并发（同时支持的 TCP 客户端数）；映射能力（寄存器到语义的映射表、字节序配置、缩放）；缓冲（断网时本地缓存容量）；安全（TLS、证书、Web 管理鉴权）；供电与可靠性（双电源、看门狗、工作温度）。没有映射表可视化的网关慎选——"寄存器裸转"的网关会让云端代码和寄存器号耦合，运维噩梦。

网段规划的落地步骤

工控网络 IP 规划的四步：1 划独立网段（如 192.168.10.0/24，与办公网 192.168.1.0/24 分开）；2 设备静态 IP（避免 DHCP 漂移）；3 网关固定 IP 并预留扩展段；4 防火墙规则只放行必要端口（502/802、管理端口）与白名单源 IP。落地时最容易漏的两件事：交换机上没做 VLAN 隔离（设备与办公电脑同广播域）；防火墙规则写了"允许全部"（等于没隔离）。

一个"网络风暴"的复盘

某项目设备全接办公网交换机，一次病毒扫描广播风暴，产线全部"设备离线"。复盘：风暴期间办公网广播帧占满带宽，Modbus TCP 请求超时。整改后设备接独立工业交换机并 VLAN 隔离，风暴只影响办公网。结论：Modbus TCP 对网络质量敏感，工控网必须独立并做风暴抑制——这不是安全建议，是可用性底线。

易错点补充

• 网关与上位机不同网段：路由没配好导致"能 ping 通网关管理口但连不上 502"，先查路由与防火墙；
• 交换机端口关闭：工业交换机默认可能关闭未用端口或限制广播，设备接上不通先看端口配置；
• 忽略双网卡上位机的路由：上位机同时接办公网与工控网时，路由表要配好，否则 502 流量走了办公网。

现场问答

问：工控网与办公网必须隔离吗？ 强烈建议。Modbus TCP 无认证，办公网被攻破即可横向摸到设备；且办公网广播风暴会拖垮工控流量。至少 VLAN 隔离 + 防火墙白名单。

问：设备用 DHCP 行吗？ 不建议。设备重启后地址漂移，上位机与网关的配置全要跟着改。工控设备一律静态 IP 并登记台账。

问：网关选几口的合适？ 按总线数算：每条 RS-485 总线一个口，预留 1-2 个扩展口。口数宁多勿少，后期加总线不用换网关。