4. 网络层防护：防火墙规则配置、端口管控、IP白名单、VLAN隔离、深度包检测(DPI)
网络层防护，说白了就是给Modbus通信筑起第一道城墙。我做了这么多年工控安全，见过太多因为网络层裸奔导致的生产事故。你想想看，Modbus协议本身没有认证、没有加密，如果网络层再不做防护，那基本等于把工厂大门敞开，谁都能进来溜达一圈。
这一章，我重点聊聊五个核心手段：防火墙规则、端口管控、IP白名单、VLAN隔离，还有深度包检测。每个手段我都踩过坑，也总结了一些实战经验，希望能帮你少走弯路。
4.1 防火墙规则配置：别让规则变成摆设
防火墙是网络层防护的第一道门。但说实话，我在很多工厂里看到的防火墙配置，简直让人哭笑不得——要么是全通策略，要么是规则堆得比人还高，根本没人维护。
我个人习惯，防火墙规则一定要遵循最小权限原则。什么意思？就是只允许必要的流量通过，其他全部拒绝。别想着“先全通，有问题再封”，那基本等于没设防。
核心原则：
- 默认拒绝：所有入站流量默认丢弃，只放行明确允许的
- 双向管控：不仅控制入站，出站也要管，防止横向移动
- 规则精简：每条规则都要有明确用途，定期清理僵尸规则
举个例子，一个典型的Modbus TCP防火墙规则集，大概长这样：
# 允许PLC到HMI的Modbus TCP流量（端口502）
iptables -A FORWARD -s 192.168.1.0/24 -d 192.168.2.0/24 -p tcp --dport 502 -j ACCEPT
# 允许工程师站到PLC的配置流量（端口502）
iptables -A FORWARD -s 10.10.10.0/24 -d 192.168.1.0/24 -p tcp --dport 502 -j ACCEPT
# 拒绝所有其他入站流量
iptables -A FORWARD -i eth0 -j DROP嗯，这里要注意：规则顺序很重要。防火墙是顺序匹配的，匹配到第一条就停止。所以要把最具体的规则放在前面，通用的拒绝规则放在最后。
4.2 端口管控：502端口不是唯一需要管的
说到Modbus，大家第一反应就是端口502。没错，这是Modbus TCP的标准端口。但我在项目中遇到过，有些设备厂商为了“方便”，把Modbus跑在了其他端口上，比如2000、44818这些。
端口管控的核心思路：
- 关闭所有非必要端口：除了502，其他端口一律封掉
- 限制502端口的访问源：只允许可信的IP段访问
- 监控异常端口扫描：如果有人扫你的502端口，大概率是攻击前奏
避坑指南：我曾经遇到一个案例，客户说“我们只开了502端口，绝对安全”。结果我一扫，发现他们的HMI设备上还开着3389（远程桌面）和21（FTP）。一问才知道，是运维人员为了方便远程维护开的。所以，端口管控一定要定期审计，别信“只开了502”这种话。
4.3 IP白名单：简单但有效
IP白名单，说白了就是只允许“自己人”的IP地址访问Modbus设备。这个方法简单粗暴，但在工控环境里非常有效。为什么？因为工控网络的设备数量相对固定，IP地址变化不大，白名单的维护成本很低。
我建议，白名单要分三层：
- 设备级白名单：在PLC或RTU上直接配置允许访问的IP列表
- 网络级白名单：在交换机或防火墙上配置允许访问的IP段
- 应用级白名单：在SCADA或HMI上配置允许连接的客户端IP
举个例子，在西门子S7-1200上配置IP白名单（通过Web界面或TIA Portal）：
// 伪代码示例：在PLC中配置允许访问的IP列表
AllowedIPs = ["192.168.1.10", "192.168.1.20", "10.10.10.5"]
// 每次收到Modbus请求时，检查源IP
if (sourceIP not in AllowedIPs) {
dropConnection()
logEvent("Unauthorized access attempt from " + sourceIP)
}注意：IP白名单不是万能的。如果攻击者已经进入了你的内网，或者伪造了IP地址（IP欺骗），白名单就失效了。所以白名单要配合其他手段一起用。
4.4 VLAN隔离：把网络切成小块
VLAN隔离，说白了就是把一个大的广播域切成多个小的广播域。这样做的好处是：即使某个VLAN被攻破了，攻击者也很难横向移动到其他VLAN。
我个人习惯，在工控网络里至少划分三个VLAN：
| VLAN | 用途 | 包含设备 | 访问策略 |
|---|---|---|---|
| VLAN 10 | 控制层 | PLC、RTU、DCS控制器 | 只允许VLAN 20和VLAN 30访问 |
| VLAN 20 | 监控层 | HMI、SCADA服务器、工程师站 | 可以访问VLAN 10，但不能访问VLAN 30 |
| VLAN 30 | 企业层 | MES、ERP、历史数据库 | 只能通过特定接口访问VLAN 20 |
你想想看，如果攻击者通过钓鱼邮件进入了企业层（VLAN 30），他最多只能访问到监控层（VLAN 20），而控制层（VLAN 10）的PLC他是碰不到的。这就是VLAN隔离的价值。
实战经验：我在一个汽车工厂里做过VLAN改造。原来所有设备都在一个扁平网络里，一个车间的中毒直接影响了另一个车间的生产。后来我们按产线划分VLAN，每个产线一个独立广播域，再通过三层交换机做路由控制。效果立竿见影，横向移动攻击基本被杜绝了。
4.5 深度包检测(DPI)：看穿Modbus协议的“外衣”
前面说的防火墙、端口管控、IP白名单、VLAN隔离，都是基于网络层和传输层的防护。但Modbus协议本身是应用层的，这些手段只能看到“谁在通信”，看不到“通信内容是什么”。
深度包检测（DPI）就不一样了。它能解析Modbus协议的数据包，看到具体的功能码、寄存器地址、数据内容。说白了，就是能看懂Modbus在说什么。
DPI能做什么？
- 检测异常功能码：比如一个HMI突然发了写线圈的命令（功能码05），这明显不正常
- 检测越权操作：比如一个只读设备突然发了写寄存器的请求
- 检测数据异常：比如某个寄存器值突然从100跳到了10000，可能是攻击者在篡改数据
- 检测协议滥用：比如有人用Modbus协议做隧道，传输非Modbus数据
举个例子，一个简单的DPI规则：
# 检测Modbus写操作（功能码05、06、15、16）
if (modbus.function_code in [0x05, 0x06, 0x0F, 0x10]) {
if (source_ip not in WRITE_ALLOWED_IPS) {
alert("Unauthorized write operation from " + source_ip)
drop_packet()
}
}
# 检测异常寄存器范围
if (modbus.register_address > 1000) {
alert("Access to restricted register range")
drop_packet()
}核心价值：DPI是网络层防护的“最后一公里”。它能把前面几层防护的“盲区”补上。我见过太多案例，防火墙放行了502端口，但攻击者通过Modbus协议发送恶意指令，防火墙完全没反应。有了DPI，这种情况就能被及时发现和阻断。
4.6 知识体系总览
说了这么多，我画了一张图，把这五个手段的关系梳理了一下。你一看就明白了：
从这张图你能看出来，这五个手段不是孤立的，而是层层递进的关系。防火墙和端口管控解决“能不能通”的问题，IP白名单和VLAN隔离解决“谁能通”的问题，DPI解决“通了在干什么”的问题。三层防护叠加，才能形成真正的纵深防御。
最后提醒一句：网络层防护再强，也防不住应用层的漏洞。比如Modbus协议本身没有认证，攻击者只要进了内网，就能冒充合法设备发送指令。所以，网络层防护只是第一步，后面我们还要聊应用层加密、身份认证这些更深入的手段。