将工业设备连接到 OPC 服务器并保持隔离

Question

我们有两台工业机器（我们称之为 Holding 和 Media），分别配置了网络地址 192.169.0.122 和 192.169.0.123。目前，它们在物理上是隔离的，尽管在逻辑上位于同一子网中。没有选项可以更改机器中的任何配置（它们的控制器非常旧，因此如果没有大量开销，这几乎是不可能的）。我们需要将这些机器连接到另一台运行 Windows 10 的机器，该机器带有 OPC 服务器和 4 个 NIC。如果可能的话，我们希望保留一台机器和一台 OPC 服务器，以降低复杂性和成本（具有所需驱动程序的 OPC 服务器成本高昂），并保持机器像连接前一样隔离 -（机器之间零流量泄漏） - 以避免意外行为并获得更好的网络保护。图表如下：

我们尝试过简单地将 2 个 NIC 配置为具有相同的子网，打算后者为媒体添加 192.169.0.123/32 路由，为 Holding 添加 192.169.0.122/32 路由，以找出 Windows 的出路。使用 Windows 设置和 NetSetMan。似乎 Windows 不会抱怨，但检查 ipconfig 和“路由打印”显示只有一个 NIC 实际上配置正确。

请建议我们的替代方案，你会怎么做？谢谢。亚历克斯

Answer 1

顺便说一下，192.169.0.122/.123 是不私有 IP 地址。您永远不应使用未经授权的公共地址。查看 RFC 1918。

有两种基本方法：

1. 您为每台机器配置一个单独的网络（p2p、交换机、VLAN），并将一个服务器 NIC 连接到每个网络（但都在 192.169.0.120/21 子网或更大子网内 - 机器使用哪个子网掩码？）。然后，您使用服务器路由表中具有低度量的显式条目来控制哪个目的地从哪个接口出去。请注意，主机配置在这里显然是题外话。
2. 您创建了一个共享网络 (VLAN)，但使用带有私有 VLAN又名端口隔离选项用于禁止机器端口之间的流量，而只允许服务器和每台机器之间的流量。

我更喜欢 #2 作为更简洁的解决方案。