生产设备过去相对独立时，PLC与HMI之间的网络大多留在机器内部，工程师把IP地址配置好、交换机接通，设备能够稳定通信就算完成了网络部分。工厂开始采集生产数据以后，情况发生了明显变化。工控机需要把记录送到服务器，设备管理系统需要读取PLC状态，维修人员还可能通过厂内网络进入某些工程站，原来封闭在控制柜里的工业以太网因此不断向外延伸。这个时候，仅仅确认“网络能通”已经不够，哪些设备应该互相访问、哪些通信只允许单向或指定方向发生、哪些端口根本没有生产用途，都开始成为设备网络设计中的实际问题。工业防火墙通常就布置在这些网络区域的连接位置，让生产需要的通信继续通过，同时对不需要进入控制网络的数据进行限制。

自动化生产线连接厂级数据系统时最容易出现这样的边界。PLC负责设备动作，HMI完成现场操作，工业计算机承担数据记录或视觉应用，上层系统只需要获取特定生产信息。如果这些设备全部处在没有明确限制的网络环境中，办公电脑、其他生产区域和控制设备之间的访问关系就容易变得模糊。实际生产并不需要所有网络节点都能够互相通信，工业防火墙的价值也不在于把网络完全封闭，而是把允许通过的通信按照项目需要整理清楚。上层服务器需要访问哪台设备、使用什么通信方式，工程维护从哪里进入，其他没有业务需要的连接则不必开放。网络结构变得清楚以后，后续增加设备也更容易知道应该接入哪个区域。

设备厂交付整线项目时，这种需求已经不只出现在大型工厂。视觉检测机、机器人工作站、装配设备和测试系统内部都可能带有工控机和多个网络接口，客户又希望设备能够接入MES、数据采集或其他厂内平台。设备本身运行正常并不意味着直接插入客户整个网络就是最合适的方式。给整机留下明确的网络入口，并在需要的位置配置工业防火墙，可以让机器内部控制网络与厂内其他系统形成相对清楚的分界。设备调试人员知道哪里属于机器内部，客户IT或自动化人员也知道数据从哪个位置进入生产设备，后期出现通信问题时不至于在整张网络里寻找边界。

老生产线增加联网功能以后，网络结构比新设备更需要重新整理

很多运行十年以上的设备最初并没有考虑联网。PLC网口只用于HMI或工程师调试，控制柜里甚至没有独立工业交换机。后来工厂增加生产追溯、能源统计和远程维护，把原来的控制网络接入厂内系统，如果只是不断增加网线和交换机，很容易形成一张“所有设备都能碰到所有设备”的网络。

这种老线改造适合先把真实通信关系整理出来。哪些PLC需要上传数据，哪些设备只需要本地通信，维护电脑是否必须进入控制区域，生产数据库又需要从哪里获取信息。关系明确以后，再决定网络怎样分段以及工业防火墙放在哪里。真正有价值的不是控制柜里多安装了一只网络设备，而是把过去长期叠加出来的连接重新分出边界。

改造过程中还经常遇到旧PLC、旧HMI和专用软件。这些设备已经稳定工作多年，贸然修改网络配置可能影响生产。工业防火墙位于网络边界后，可以在尽量少改变原控制设备的前提下，对外部访问关系进行整理，但具体方案仍然要结合原系统通信方式验证。老设备最怕为了增加安全设备把原有通信全部打乱，因此施工前把现有IP、端口、通信对象和程序资料记录清楚，比直接安装硬件更加重要。

远程维护通道开通以后，更不能把生产设备直接变成普通网络终端

设备发生故障时，远程诊断能够减少工程师到现场的次数，尤其是跨地区交付的自动化设备，远程查看PLC、HMI或工控机已经成为不少项目的实际需求。但远程维护真正需要的是在规定条件下到达指定设备，而不是从外部进入以后就能访问整个生产网络。

工业防火墙可以成为远程维护体系中的网络边界之一，根据设备和工厂的实际架构限制访问范围。远程工程师只需要处理某个设备单元，就没有必要同时具备访问其他生产区域的条件。维护完成以后，相应通道是否继续开放，也应按照工厂自身管理要求处理。

这里尤其需要避免一种简单理解：安装工业防火墙以后，远程访问就自然安全。防火墙只承担整体安全体系中的一部分功能，账号权限、远程连接方式、系统更新、工程电脑管理以及人员操作仍然需要分别考虑。网络设备不能代替完整管理流程，真正有效的是把技术措施和维护制度同时建立起来。

通信规则不是设置一次以后多年不动

生产设备投产初期，工业防火墙通常按照当时的网络结构配置。几年以后设备增加了数据采集，PLC程序更换了通信方式，新服务器上线，维修电脑地址也发生变化，原来的规则就可能不再完全适合。如果每次遇到通信不通都简单增加一条允许规则，时间长了以后，防火墙虽然还安装在那里，边界却可能重新变得模糊。

因此工业防火墙也应进入设备变更管理。新增通信前先确认为什么需要、哪两个节点之间需要连接，再按照实际业务修改。设备退役或某项功能取消以后，不再需要的规则也应适时整理。网络维护和电气图纸其实很相似，接线改过很多次却从不更新图纸，最终谁也不知道哪根线还能拆；防火墙规则不断增加却没有记录，同样会让维护越来越困难。

终端工厂还需要保存基本配置资料。工业防火墙损坏后更换新设备，如果没有原来的网络接口、地址和规则记录，维修人员只能重新分析整套通信关系。对不停产要求较高的生产线来说，这类配置文件和网络资料与PLC程序备份一样具有实际维护价值。

工业环境对防火墙本体也有自己的安装要求

工业防火墙进入控制柜后，要面对的使用条件与普通办公室网络设备不同。控制柜安装空间、供电方式、环境温度以及长期运行条件都需要根据具体产品确认。生产设备一年运行时间很长，网络边界设备一旦故障，可能同时影响数据通信和相关生产系统，因此供电和安装不能只追求“能放进去”。

接口数量也不是越多越好。设备真正需要连接几个网络区域，就按照网络架构选择合适产品。机器内部控制网络与厂内网络之间只有明确边界时，结构简单反而容易维护；为了预留功能不断增加没有使用的接口，后期人员可能随手接入其他线路，原来清楚的网络区域又会发生变化。

工业防火墙出现异常以后，维修人员也要分清是设备本体故障、配置变化还是后端网络问题。PLC与HMI本地通信正常，但数据上传中断，可以沿着网络边界逐层检查；所有问题都直接归到防火墙，再通过临时旁路让网络恢复，虽然短时间看似解决了故障，却可能把原有边界一起取消。工业网络维修同样需要遵循清楚的排查顺序。

设备联网越多，真正重要的是知道数据为什么要通过

智能制造项目很容易把“联网率”作为设备升级的一部分，但生产现场并不是连接越多越好。PLC需要可靠控制机器，HMI需要稳定操作，服务器需要获取必要数据，每一条网络连接都应该有实际用途。工业防火墙的作用正好位于这些用途之间：允许生产真正需要的通信通过，把没有明确必要性的连接挡在对应网络区域之外。

它不会提高PLC运算速度，也不会增加设备产量，正常生产时操作人员甚至感觉不到它的存在。真正到了设备联网扩展、远程维护、网络改造或者通信异常排查时，一个清楚的网络边界才会体现价值。控制系统内部保持原来的稳定通信，上层数据也能按照规定路径交换，网络结构不会因为不断增加新系统而变成无法区分的整体。

工业设备从独立运行走向数据互联以后，防火墙已经不只是办公室机房里的产品。PLC、工控机、工业交换机和上层系统之间出现越来越多网络边界，只要生产控制和其他网络需要连接，又不能毫无限制地互通，工业防火墙就有明确的安装位置。真正成熟的设备联网，不是把所有网线接通，而是每条需要通过的通信都有理由，每条不需要进入控制系统的连接也都有边界。