4、网络分段与防火墙策略：工业防火墙特性、DMZ区域设计、基于IEC 61850的GOOSE/SV报文过滤规则

大家好，欢迎来到第四讲。今天聊的话题，我个人认为是整个工控安全架构里最落地、也最容易被忽视的一环——网络分段与防火墙策略。

很多刚入行的朋友总觉得，给PLC和上位机之间加个防火墙就完事了。嗯，真这么干过的人都知道，后果往往很惨。要么业务全断，要么防火墙被直接旁路。为什么会这样？因为工业网络和IT网络，本质上就不是一个物种。

4.1 工业防火墙的特性：它和IT防火墙有什么不同？

先说说工业防火墙。我见过不少项目，甲方直接拿IT防火墙往工业环网里怼，结果没撑过三天就撤了。原因很简单——工业防火墙有几个硬性要求，IT防火墙根本满足不了。

特性	IT防火墙	工业防火墙
协议深度解析	只解析TCP/IP五元组	支持Modbus TCP、IEC 61850、DNP3、PROFINET等工控协议
延迟要求	毫秒级可接受	微秒级，GOOSE报文要求<3ms
环境适应性	机房恒温恒湿	-40℃~85℃，防尘防潮抗振动
更新策略	频繁打补丁、重启	7×24小时不间断运行，补丁需离线验证
白名单机制	以黑名单为主	默认白名单，只允许已知流量通过

4.2 DMZ区域设计：工控网络的“隔离带”

DMZ，说白了就是缓冲区。把对外暴露的服务（比如Web服务器、历史数据库、OPC UA网关）放在DMZ里，让它们既不能直接访问控制层，也不能直接访问办公网。

我个人习惯把DMZ设计成三层结构：

1. 办公网层：ERP、MES、报表系统。这些系统对实时性没要求，但需要访问生产数据。
2. DMZ层：反向代理、OPC UA聚合服务器、日志审计服务器。所有跨区域流量必须经过DMZ。
3. 控制网层：PLC、RTU、IED、HMI。这一层原则上不允许主动发起对外连接。

DMZ的防火墙策略，我建议遵循“最小权限原则”：

• 办公网→DMZ：只允许HTTP/HTTPS、OPC UA（二进制或TLS）
• DMZ→控制网：只允许Modbus TCP、IEC 61850 MMS、SNMP（只读）
• 控制网→DMZ：禁止主动连接，除非是心跳或告警上报
• 控制网→办公网：绝对禁止

4.3 基于IEC 61850的GOOSE/SV报文过滤规则

好，到了今天最硬核的部分。IEC 61850是智能变电站的核心协议，其中GOOSE（面向通用对象的变电站事件）和SV（采样值）报文，对实时性要求极高。你想想看，GOOSE报文要在3毫秒内送达，SV报文更是要求微秒级同步。这时候防火墙如果还按传统方式做深度包检测，那延迟直接爆炸。

所以，针对GOOSE/SV的过滤，不能走“拆包-分析-转发”的老路。我推荐的做法是：

4.3.1 基于VLAN+优先级标记的过滤

把GOOSE和SV报文打上特定的VLAN标签，并设置802.1p优先级为最高（7）。防火墙只检查VLAN ID和优先级，不拆包。这样延迟可以控制在1毫秒以内。

# 示例：在工业交换机上配置GOOSE VLAN
vlan 100
 name GOOSE_VLAN
!
interface GigabitEthernet1/0/1
 switchport access vlan 100
 switchport priority 7
!
# 防火墙规则：只允许VLAN 100的GOOSE报文通过
access-list GOOSE_ACL permit vlan 100 priority 7

4.3.2 基于MAC地址的白名单

GOOSE报文是组播的，目标MAC地址范围是01-0C-CD-01-00-00到01-0C-CD-01-01-FF。我建议在防火墙上建立白名单，只允许已知的源MAC（保护IED的MAC）发送GOOSE报文。

4.3.3 基于APPID的深度过滤（高级选项）

如果防火墙支持IEC 61850协议解析，可以进一步检查GOOSE报文中的APPID（应用标识）和gocbRef（控制块引用）。比如，只允许APPID=0x1001的跳闸报文通过，其他APPID一律丢弃。

# 伪代码示例：GOOSE报文过滤逻辑
if (etherType == 0x88B8) {  // GOOSE的EtherType
    if (vlan == 100 && priority == 7) {
        if (appID == 0x1001 || appID == 0x1002) {
            allow();
        } else {
            drop("Unknown APPID");
        }
    } else {
        drop("Invalid VLAN or priority");
    }
} else {
    // 非GOOSE报文，走常规过滤
    process_normal_traffic();
}

4.4 实战案例：一个500kV变电站的GOOSE过滤配置

我记得去年做一个500kV智能变电站项目，保护装置和智能终端之间跑GOOSE报文，采样值用SV。甲方要求：不允许任何非授权设备发送GOOSE报文，但又要保证跳闸延迟不超过2毫秒。

我的方案是这样的：

1. 在过程层网络（GOOSE/SV网）部署工业防火墙，启用“直通模式”（Bypass on failure），防止防火墙宕机导致保护失效。
2. 配置VLAN 200给GOOSE，VLAN 300给SV，优先级都设为7。
3. 在防火墙上建立MAC白名单，只允许保护装置A（MAC: 00:1A:2B:3C:4D:5E）和保护装置B（MAC: 00:1A:2B:3C:4D:5F）发送GOOSE。
4. 启用APPID过滤，只放行APPID=0x2001（跳闸）和0x2002（合闸）的报文。
5. 所有其他报文（包括ARP、ICMP、TCP）全部丢弃。

结果呢？延迟测试显示，GOOSE报文从保护装置到智能终端平均延迟1.2毫秒，完全满足要求。而且运行半年，没发生一次误过滤或漏过滤。

好，今天就聊到这里。下一讲我们聊聊远程访问安全——怎么让工程师在家也能安全地连上PLC，又不给黑客留后门。