生产数据不能外泄：车间的上网边界怎么划

车间主任老李最近犯愁：质检工位要把检测结果回传系统，工人也想在休息区刷手机，可产线的工艺参数、图纸是全厂的命根子，哪能随便出网。一根网线通到哪，边界没划清，生产数据就可能从没人注意的口子溜出去。

车间联网是刚需，数据不出网是底线。边界画在哪、怎么画，决定了安全防护是实是虚。

一、车间上网，先想清楚"哪张网卡什么"

车间里的终端分两类，诉求完全不同：

生产终端：PLC、工控机、质检系统，只该连生产内网，跑工艺和控制系统；

人员上网终端：工人手机、休息区 WiFi、访客设备，只该连互联网，与产线无关。

混在一张网里，风险就来了：生产终端被上网流量里的木马摸到，数据从同一出口溜走；或者有人用车间电脑顺手插 U 盘、连私网，把图纸带走。

两类终端必须分开承载。 很多车间出事，不是因为边界设备不够强，而是从一开始就没把"产线"和"人员上网"当两张网来规划，等到要补，牵一发动全身。

还有一层容易被忽略：生产数据外泄未必是黑客干的。图纸通过微信文件传输助手、私人网盘带走，产线工艺被工人随手拍了发到社交平台，这类"无意识出网"同样构成泄露。边界划清，既要挡住外部木马，也要给内部人员一个明确的"数据不出内网"的围栏。

二、生产网与办公/访客/互联网隔离

智慧光迅"通密一体"把全光底座、音视频引擎和安全护盾原生融合，车间网络从规划起就分网：

生产网独立 VLAN：与办公网、访客网 VLAN 隔离，在二层把广播域切开，生产地址段不对办公和互联网开放；

一张光纤网承载多业务：数据、语音、监控、IoT、Wi-Fi 同缆跑，隔离靠策略实现，不用给生产网另起一套布线；

- PON + 工业 Wi-Fi 6 双频：光纤直达车间，AGV 调度低时延、低丢包、漫游切换快，生产流量最高优先级，保障产线协同不掉链子。

底层两层扁平架构让车间点位光纤直达、弱电间免空调机房，布线工程量明显下降，同时支持向 50G/200G PON 平滑演进。对老车间改造尤其友好，不必为生产网另挖沟、另布线，光纤到机台即可，停产窗口也能压到最短。

三、生产数据不出内网：权限、审计、加密三件套

隔离解决"进不来"，数据管控解决"带不走"：

文件权限管控：工艺参数、图纸按岗位授权，越权访问被拒；

行为审计：谁在什么时间调阅、下载、外发了哪份文件，全程留痕；

传输加密：生产数据在内网传输走全链路加密，工控协议按白名单放行、工控 IDS 监测异常。

梦想网关内置 IPS、WAF、AV，在边界挡住异常外联；配合工业协议白名单，陌生协议一律拦在产线之外，避免非生产流量混进控制网络。

四、必要的出网业务，走受控通道

车间不是完全不能出网。ERP 上报、远程运维、云质检这类必要出网业务，走专用受控通道：

仅开放必需端口与目的地址，默认拒绝其余出向流量；

出网流量经防火墙策略校验与审计，异常即阻断；

远程维护走 VPN 加双因素，不暴露管理口到公网。

多厂区通过总部集中纳管，生产网与办公网策略统一纳管、拓扑可视，哪条路通、哪条路封一目了然，故障还能远程定位处置，少跑现场、多靠平台，运维压力明显下降。

车间上网的边界，不是一刀切断网，而是分清楚谁该连什么、数据往哪走。生产网隔离 + 数据权限审计加密 + 必要出网走受控通道，三件事落地，生产数据才真正留在厂里。

FAQ

Q：工人休息区 WiFi 会不会连到生产网？

A：不会。休息区 WiFi 划入访客/人员上网网段，与生产网 VLAN 隔离，默认互不可见，工人刷手机走互联网出口，碰不到产线系统。

Q：必要出网的业务怎么确认范围？

A：由产线业务方梳理确有外联需求的系统清单（如 ERP 上报、在线质检），在网关上按"最小必要"开放端口与地址，范围写入安全策略并定期复核。

Q：车间里的 AGV、扫码枪也要隔离吗？

A：生产相关的工业终端归入生产网统一承载，享最高优先级与低时延保障；仅人员使用的手机、访客设备走独立上网网段，两者隔离，互不越界。