VLAN在工业网络中为何越来越重要

工业现场的设备数量一直在增长。PLC、传感器、HMI、服务器……一个中等规模的车间可能有几百台设备需要联网。设备一多网络流量就上来了。广播消息占用的带宽、设备处理负担、网络拥堵这些问题慢慢浮现。与此同时网络安全的要求也更高了——不同车间的数据需要隔离不能让所有人随便访问所有设备。虚拟局域网VLAN就是用来解决这些问题的。VLAN是什么简单说VLAN就是在同一个物理交换机上切出多个互相隔离的虚拟子网。每个VLAN像一个独立的网络有自己的广播域和安全策略。举个例子一家工厂把办公网、生产网和仓储网放在同一个物理网络里但通过VLAN把它们分开。办公区的电脑看不到生产设备的实时数据仓储系统也不会收到办公网广播消息的干扰。这种隔离不是靠重新布线实现的而是在交换机上做配置。设备还是连在同一个交换机上但通过VLAN划分后不同VLAN之间不能直接通信就像连在不同交换机上一样。为什么工业现场需要VLAN工业网络和办公室网络不太一样对实时性和可靠性的要求更高。VLAN在工业场景里主要解决两类问题流量管理工业通信里有大量广播消息。设备入网、IP地址分配、服务发现这些过程都会产生广播帧。设备数量少的时候还好但现场有几百个节点时广播流量会占用相当一部分带宽和设备处理能力。VLAN把网络切分成更小的广播域广播消息只在当前VLAN内传播不会扩散到整个网络。这对实时控制通信比如PLC之间的数据交换有帮助少了不必要的干扰。网络安全工业网络里不同区域的设备安全等级不同。比如办公网的电脑权限低控制网的设备权限高。通过VLAN隔离可以限制不同区域之间的访问即使办公网某台电脑中毒了恶意流量也到不了控制网。另外运维人员、工程师、第三方服务商可以按角色分配不同的VLAN访问权限减少误操作和内部威胁的可能性。VLAN怎么划分最常见的划分方式有三种基于端口交换机上的每个端口归属于某个VLAN。接在端口A的设备就在VLAN 10接在端口B的设备就在VLAN 20。这种最简单也最常用。基于MAC地址按照设备的MAC地址来划分不管设备插在哪个端口都属于指定的VLAN。灵活性更高但配置和维护麻烦一些。基于协议按网络协议类型来划分用得比较少。工业现场最常用的是基于端口的方式配置简单容易理解。VLAN间通信怎么办VLAN之间默认是不通的。如果生产管理系统需要读取控制网的数据就需要通过路由来实现VLAN间的通信。通常的做法是在核心交换机或路由器上配置VLAN间路由给每个VLAN分配一个子接口由路由器来转发跨VLAN的数据包。需要注意一点跨VLAN通信会产生延迟虽然对大多数数据采集和监控场景影响不大但如果涉及实时控制最好把需要高频交互的设备放在同一个VLAN里避免跨路由通信。部署VLAN要留意什么VLAN不是什么新东西在商业网络里用了二十多年了。但在工业现场部署有几件事值得提前想清楚先做网络评估哪些设备需要互访哪些需要隔离哪些流量是实时的。先把需求理清楚再规划VLAN划分方案。避免过度复杂VLAN数量不是越多越好。划分太细会增加管理负担出问题也难排查。一般按功能区域控制网、监控网、办公网和通信需求来划分就够了。考虑未来扩展设备会不断增加预留一些VLAN ID和端口避免后续扩容时重新调整整个网络。更新和维护现场设备变动频繁新增设备、设备迁移都要同步更新VLAN配置否则新设备可能拿不到正确的网络访问权限。并不是所有设备都支持VLANVLAN需要在管理型交换机上配置普通的非网管交换机不支持。如果现场用的是非网管交换机想用VLAN功能需要先更换设备。另外老旧设备可能不识别VLAN标签802.1Q连接这类设备的端口需要配置为untagged端口或者使用Access端口模式。最后VLAN不是新东西但在工业网络里越来越实用。设备多了流量大了安全要求高了自然需要一种工具来理清网络关系。它不解决所有问题但能解决网络隔离和广播控制这两个很实际的问题。对于正在扩容或升级网络的中大型工业现场VLAN是值得考虑的一项基础配置。