【儀表網 行業(yè)科普】與許多網絡技術一樣，虛擬局域網已經進入工業(yè)設施。它通過滿足網絡管理員對流量管理和安全的雙重需求，正成為一種關鍵工具。
自20世紀90年代后期起以來，虛擬局域網(VLAN)一直是現代網絡策略的重要組成部分。在VLAN技術出現之前，若需對流量進行劃分和隔離，網絡工程師必須創(chuàng)建多個物理上獨立的局域網。
VLAN允許工程師在數據鏈路層將終端設備分組到不同網段，將單個物理局域網劃分為多個邏輯或虛擬局域網，每個局域網擁有獨立的廣播域。這種方式不僅將廣播消息限制在特定設備范圍內，還實現了對網絡訪問權限的精細化控制。
如今，VLAN已廣泛用于中大型商業(yè)網絡，可有效緩解流量擁堵、提升網絡安全性，并簡化網絡的配置、管理與擴展。與許多網絡技術一樣， VLAN已應用于工業(yè)設施領域。在工業(yè)場景中，VLAN通過滿足網絡管理員對流量管理和安全防護的雙重要求，正成為一種重要工具。
什么是虛擬局域網？
簡而言之，VLAN是在物理網絡基礎設施中創(chuàng)建的、相互隔離的虛擬網絡。每個VLAN都像一個獨立運行的網絡，擁有自己的規(guī)則、安全策略、網絡資源和廣播域。根據部門、功能或安全需求等因素，設備被劃分到不同的VLAN中。
為便于理解，以一家小型制造公司為例。該公司將其單一的物理局域網劃分為三個相互隔離的VLAN網絡，分別用于生產、銷售和財務部門。為簡化起見，我們假設每個部門各有2臺網絡設備，這些設備均連接至公司配置的12個端口且支持VLAN功能的管理型交換機。
VLAN的實施方式多樣，具體取決于運營需求。最常用的是基于端口的VLAN，通過設備與交換機的物理端口連接進行分組；基于MAC地址的VLAN則根據設備MAC地址劃分網絡，以提供更高的靈活性；而基于協議的VLAN雖較少使用，但支持按網絡協議細分流量，可實現更精準的流量管理。
在本例中，采用基于端口的VLAN實現方式：網絡管理員通過交換機管理界面來創(chuàng)建新的 VLAN，即 VLAN 10 用于生產部門、VLAN 20 用于銷售部門、VLAN 30 用于財務部門，并將12口交換機的端口分配至對應的VLAN。設備連接至所分配的VLAN端口后，管理員將其與相應的VLAN ID綁定。為標識VLAN流量，交換機會在IP層報頭的幀中插入VLAN標簽，每個VLAN具有唯一的12位VLAN ID(范圍：1至4095)，嵌入于VLAN標簽中。
端口分為接入端口和干道端口兩種類型。主機設備通過接入端口連接網絡，接入端口通常屬于單個VLAN，正如本例中的設置。而干道端口則可以被分配給多個VLAN，用于在單一物理連接上傳輸多個VLAN的流量。為實現這一功能，網絡設備(如交換機或路由器)構建VLAN干道，這是一種能夠同時承載多個VLAN的鏈路或連接。該操作被稱為VLAN間路由，需要在路由器上為每個VLAN創(chuàng)建子接口，并為這些子接口分配獨立的IP地址。
隨著企業(yè)的不斷發(fā)展壯大，新的網絡段可以輕松添加至同一網絡之中，或者對舊網絡段進行重新配置，而無需擾亂整個網絡架構或追加硬件投資。VLAN使得網絡能夠迅速且經濟高效地實現擴展。
VLAN在工業(yè)控制系統中的作用
在工業(yè)控制系統中，連接數百個輸入/輸出(I/O)設備的情況十分常見。這些設備包括遠程終端單元(RTU)、可編程邏輯控制器(PLC)、傳感器、人機界面(HMI)、繼電器，以及用于應用程序、工程設計、前端處理和數據存檔的服務器等。
然而，隨著設備數量的增加，廣播消息的數量也會急劇上升，占用設備更多的處理帶寬將導致網絡擁塞并影響整體性能。在這種環(huán)境下， VLAN成為網絡管理的重要工具，能夠同時滿足流量管理和安全防護的需求：
· 工業(yè)控制系統的流量管理：工業(yè)控制系統的響應能力和運營效率直接受網絡流量管理效率的影響。通過將網絡分段，VLAN能夠有效減少不必要的廣播流量，而這些流量在工業(yè)環(huán)境中可能造成嚴重的干擾。
通過VLAN的分段管理，關鍵應用程序可以在網絡上更順暢地運行，同時減少網絡擁塞的發(fā)生。對于依賴控制指令和實時數據及時傳輸的實時控制系統，VLAN提供了為關鍵系統設置流量優(yōu)先級的能力，從而確保系統的穩(wěn)定運行。
· 工業(yè)控制系統的網絡安全：通過將物理網絡劃分為多個相互隔離的虛擬網絡， VLAN有助于實施網絡安全策略、規(guī)范訪問權限，并通過建立虛擬邊界將惡意活動的傳播限制在有限范圍內。
工業(yè)控制系統通常包含多個不同系統和設備，其敏感程度和安全要求各不相同。管理員可以根據每個網段的具體需求定制安全措施，在不影響網絡運營效率的前提下，提升整體安全態(tài)勢。此外，通過設置VLAN，可以根據用戶的角色和職責限制訪問權限，從而降低內部威脅或無意中對關鍵系統造成干擾的可能性。
部署VLAN的注意事項
盡管VLAN具備諸多優(yōu)勢，但相較于大家更為熟悉的子網劃分或路由技術，其配置和管理工作更為復雜。在工業(yè)控制系統上實施VLAN之前，必須全面了解系統的網絡基礎設施和運行要求。
首要步驟是進行網絡評估。網絡評估的第一步是識別關鍵資產，并確定使用VLAN對其進行分段的最佳方法。通過分析網絡流量模式，可以明確哪些設備需要相互通信。為避免VLAN間路由延遲，應將實時通信設備連接到同一個VLAN。
需要注意的是，VLAN不受距離或物理位置的限制，屬于同一VLAN的設備可以分布在工業(yè)控制系統的物理網絡中，但仍能像連接到同一本地網絡交換機一樣正常運行。
在滿足所有網絡需求的同時避免過度復雜化可能是最具挑戰(zhàn)性的任務之一。過于復雜的VLAN配置可能增加管理和監(jiān)控的難度，從而引發(fā)潛在的安全漏洞。
一旦VLAN配置完成，定期更新和檢查配置就顯得尤為重要。在工業(yè)控制系統環(huán)境中，設備的添加、現有設備的重新利用等變化，都需要對VLAN設置進行相應調整，以確保網絡的持續(xù)優(yōu)化和安全。
VLAN是物理網絡基礎設施內部相互隔離的虛擬網絡，能夠獨立運行，如同一個自給自足的網絡，擁有自身的一套規(guī)則、安全策略、網絡資源以及廣播域。支持VLAN功能的管理型以太網交換機，能夠將任意規(guī)模的網絡劃分為邏輯上相互隔離的網段。這種劃分無需部署新的電纜或網絡設備，也無需將網絡節(jié)點遷移到其他地方或重新布線。
潮安县|
日照市|
共和县|
沙洋县|
南和县|
丘北县|
台东市|
拉孜县|
秦皇岛市|
桐城市|
武宁县|
苗栗县|
新平|
宣威市|
樟树市|
工布江达县|
喀喇|
齐齐哈尔市|
邛崃市|
昔阳县|
铁岭县|
普格县|
府谷县|
孟津县|
旌德县|
信阳市|
兴安县|
博湖县|
镶黄旗|
四子王旗|
惠安县|
镇坪县|
乐至县|
嵩明县|
和平区|
新和县|
青河县|
瑞丽市|
渭南市|
姚安县|
砀山县|
所有評論僅代表網友意見，與本站立場無關。