最近三年，制造业数字化转型的项目里，“OT/IT融合”是被提得最多的词。IT部门想把工厂数据接入MES、ERP、云端；OT部门担心安全问题，怕生产网络被外部攻击。

这个矛盾，我见过太多项目卡在这里。

一个真实的项目，卡了8个月。

客户是一个汽车零部件厂，IT部门想采集产线上30台设备的数据到MES系统。OT部门（设备科）坚决反对——理由是“生产网络不能跟办公网连通，万一被攻击了，整条产线停摆”。

IT部门说：“我们用防火墙隔开就行了。”

OT部门说：“防火墙也会被攻破。”

双方僵持了8个月。项目一直没启动。

最后怎么解决的？

用了一台边缘网关，放在OT网络和IT网络之间。网关有两个网口，一个接OT网络（只读采集），一个接IT网络（只转发处理后的数据）。OT网络和IT网络在物理上不连通，但数据可以通过网关从OT流向IT。

关键点：网关在OT网络中只做“只读采集”。 它不能向PLC写任何数据，不能修改任何参数。OT部门的安全顾虑消除了一大半。

这个方案后来成了这个厂的“标准架构”——所有涉及OT/IT数据打通的项目，都用这个模式。

OT安全和IT安全的根本区别是什么？

IT安全的核心目标是保密性——防止数据泄露。所以IT安全的重心是加密、访问控制、审计。

OT安全的核心目标是可用性——确保生产不停。一个IT系统被攻击了，最多是数据泄露或者服务暂时不可用。一个OT系统被攻击了，可能是产线停摆、设备损坏、甚至人员伤亡。

这两个目标的优先级完全不同。

IT安全的做法放在OT环境里，经常是行不通的。比如：

IT要求“所有设备定期打补丁”——OT不行。PLC的固件升级风险极高，一个补丁没打好，产线可能停三天。

IT要求“所有设备安装杀毒软件”——OT不行。工控机上的杀毒软件会占用CPU资源，可能导致控制程序响应延迟。

IT要求“统一密码策略”——OT不行。很多老设备根本不支持复杂的密码，或者密码是硬编码的，改不了。

IT要求“网络流量全量审计”——OT不行。工业协议的实时性要求高，流量镜像和深度包检测会引入延迟。

OT/IT融合的三种架构模式

模式一：物理隔离（最简单，也最安全）

OT网络和IT网络完全隔离，没有任何网络连通。数据靠人工导出（U盘）或者单向传输设备（数据二极管）来流转。

优点是安全——外部攻击无法穿透物理隔离。缺点是数据时效性差，无法做到实时。

适合场景： 安全等级要求极高的场景（军工、核电、化工）。

模式二：防火墙隔离（最常见的方案）

OT网络和IT网络之间用工业防火墙隔开。防火墙配置严格的访问控制规则——只允许特定IP、特定端口、特定方向的流量通过。

优点是兼顾了安全和实时性。缺点是防火墙的配置很复杂，配错了要么安全漏洞，要么正常数据流被阻断。

工业防火墙和普通防火墙不一样。 普通防火墙看不懂Modbus、OPC UA这些工业协议。工业防火墙支持工业协议的深度包检测——能识别“Modbus功能码03读寄存器”和“功能码16写寄存器”的区别，可以只允许读、禁止写。

适合场景： 大部分OT/IT融合场景。

模式三：边缘网关 + 数据单向流动（最推荐的方案）

边缘网关同时连接OT网络和IT网络。在OT网络中，网关只做“只读采集”。采集到的数据经过处理（过滤、聚合、格式化）后，通过IT网络转发到上层系统。

关键设计：数据只能从OT流向IT，不能反向。 网关在OT网络中不开放任何写入接口，不接受来自IT网络的指令。

这种架构的好处是：OT网络和IT网络在逻辑上隔离，通过网关的“单向阀”控制数据流动。OT部门不用担心IT网络入侵OT网络——因为没有任何反向通道。

适合场景： 需要实时数据采集、但安全要求高的场景。

EdgeLiteGateway就是按这个思路设计的——采集端接OT网络，只读采集；转发端接IT网络，通过MQTT或HTTP推送数据。两个网络物理隔离，数据单向流动。

GitHub：suoten/EdgeLiteGateway Gitee：suoten/EdgeLiteGateway

OT安全加固的五个实操要点

第一，关闭不必要的端口和服务。

很多PLC和工控机默认开启了一堆服务——FTP、Telnet、HTTP管理页面、SNMP。这些服务大部分用不上，但每一个都是一个潜在的攻击入口。

做项目的时候，把用不上的端口和服务全部关掉。只保留业务必须的端口（比如Modbus TCP的502）。

第二，修改默认密码和默认IP。

工控设备的出厂默认密码是公开的——admin/admin、admin/123456、root/root。不改默认密码，等于没设密码。

默认IP也是问题。很多设备默认IP是192.168.1.x，插到网络里就跟其他设备冲突。必须改成规划好的IP。

第三，网络分段。

不要把所有设备接到同一个交换机上。按车间、按功能、按安全等级分段。比如：产线控制网络一个VLAN、监控网络一个VLAN、办公网络一个VLAN。

VLAN之间用三层交换机或者防火墙做隔离。即使一个VLAN被攻破了，不影响其他VLAN。

第四，访问控制。

谁能访问哪些设备、能做什么操作——要有明确的规则。

OT网络里，工程师的电脑可以访问PLC的编程端口（102、502）。但操作工的电脑只能访问HMI的端口，不能访问PLC的编程端口。

第五，日志和审计。

所有对OT设备的访问、修改、配置变更，都要记录日志。出了问题能追溯到人。

很多PLC和工控机支持syslog，可以把日志发到中心的日志服务器。交换机和防火墙的日志也要收集。

关于工具

做OT/IT融合方案设计的时候，需要验证网络隔离、数据流向、协议兼容性。可以用ProtoForge模拟OT网络里的各种设备（Modbus、S7、OPC UA），用EdgeLiteGateway做数据采集和转发，在办公室把整个架构跑通。

ProtoForge（工业协议仿真平台，17种协议，90+设备模板）： GitHub：suoten/ProtoForge Gitee：suoten/ProtoForge

EdgeLiteGateway（AI物联网关，13种协议采集，边缘AI推理）： GitHub：suoten/EdgeLiteGateway Gitee：suoten/EdgeLiteGateway