如何通过网段隔离将 CNC 设备接入本地网络

• 1
  要点速览
• 2
  隔离方案对比
• 3
  为何接入 CNC 设备以及由此带来的变化
• 4
  采购前如何评估网络设计
• 5
  控制器侧需要安装什么
• 6
  为网络就绪零件选择加工合作伙伴
• 7
  破坏隔离的常见错误
• 8
  分步流程：从图纸到经过测试的边界

将 CNC 设备接入本地网络，首先获得的不是远程控制，而是可见性。加工计数、刀具寿命、报警代码和主轴负载可以从电柜中传出并进入看板，而不是记在记录板上。程序传输不再依赖某人揣在口袋里的 U 盘。对于运行 127 台机床的工厂，仅此一项就会改变任务准备的速度。

第二个收益是维护。技术员可以在办公桌前提取伺服波形或参数集，而不必拿着笔记本在车间里走动。价值确实在这里，风险也从此开始。

CNC 控制器并非按加固网络设备设计。许多运行较旧的嵌入式操作系统，出厂带默认密码，并在无人记录的端口上开放文件共享或网页。一旦该控制器与 ERP 服务器处于同一广播域，一台被感染的笔记本就能访问它。

网段隔离是解决之道。这并不意味着机床离线，而是机床只与一小组合规系统通信，其他一切都在你控制的边界被阻断。

• 1
  可见性加工节拍、报警和刀具数据实时传出电柜。
• 2
  程序流转文件从 CAM 传到控制器，无需 U 盘。
• 3
  攻击面控制器上每增加一个端口，就多一条入侵途径。
• 4
  影响范围分段决定单个故障能波及多远。

从数据开始。写下你需要的每一条数据流：程序下载、刀具偏置上传、状态轮询、报警推送、远程画面。对每一条记录方向、协议和端口。如果无法说出端口，设计就未完成。多数 CNC 协议使用固定端口；少数使用端口范围，该范围必须记录在案。

然后设定边界。4 到 12 台机床的单元应位于一台防火墙或一个路由子网之后。边界设备执行规则：生产流量绝不进入办公 VLAN，办公流量绝不进入单元。如果机床需要服务器上的文件，应在单元内放置跳板机，而不是把服务器开放给车间。

然后检查物理层。使用带屏蔽双绞线的工业以太网电缆、适用于该环境的 M12 或 RJ45 连接器，以及适用于电柜温度的交换机。电缆长度很重要：铜缆以太网每段额定 100 m。超过则需光纤，而光纤会改变交换机型号。

最后验证。未经测试的设计只是图纸。跨边界 ping 应失败。从办公 VLAN 进行端口扫描，不应从单元返回任何结果。在产线投产前确认这两点。

• 1
  为每条数据流命名记录方向、协议和端口。
• 2
  每单元一个边界4–12 台机床位于单一强制边缘之后。
• 3
  检查电缆长度铜缆额定 100 m；超出则规划光纤。
• 4
  测试边界ping 失败且端口扫描为空即为通过条件。

控制器端是大多数设计容易出问题的地方。只有单个以太网口的控制器不应是该网段上唯一的设备。在电柜里加一台小型网管交换机，就能做流量镜像、划分 VLAN，并在不动机器的情况下更换端口。一台 5 口、24 V DC 供电、DIN 导轨安装的网管交换机对单台机器就够用。

注意供电。电柜 24 V 电源轨会带上伺服驱动器的噪声。选用宽输入范围、带反接保护的交换机，并在电柜布局允许时，把它的供电与主轴驱动供电分开走线。

对于只有串口的旧控制器，用串口转以太网网关。该网关成为控制器能看到的唯一网络设备，并且可以在每个方向上只放行一个允许的 TCP 端口。不要把串口直接桥接到带共享文件夹的 PC。

所有东西都要贴标签。端口号、VLAN ID、IP 地址和变更负责人姓名。在几十台机器的车间里，一个没标签的交换机端口要花一小时排查。

• 1
  电柜内网管交换机5 口、24 V DC、DIN 导轨、支持 VLAN。
• 2
  串口网关用于没有以太网的 RS-232 或 RS-485 控制器。
• 3
  独立供电尽量让交换机供电远离驱动器供电。
• 4
  每个端口贴标签VLAN、IP、负责人和变更日期。

这个话题处在机加工的边缘，而这正是它在采购指南中重要的原因。用于分段网络的壳体、支架、面板板、连接器壳体和 DIN 导轨适配器都是机加工零件。如果供应商控制不住面板板的平面度或孔位，你的交换机就装不上，电缆密封接头就密封不住，电柜的防护等级也就不成立。

所以要问具体数字的公差。网络设备壳体面板需要平整的密封面和一致的孔距。钜亮五金（GreatLight）对关键特征做到 ±0.005 mm，密封面 Ra 0.8–1.6 μm，表面处理选项包括阳极氧化、粉末喷涂和激光打标。打标最小字高 1.5 mm，如果你要在零件本体上标注端口，这一点很重要。

要问材料。阳极氧化 6061-T6 常用于面板板和支架。304 或 316L 不锈钢适合冲洗区域。如果零件靠近驱动器，镁或铝有助于减重，但除非增加导电涂层，否则对屏蔽没有帮助。

要问文档。网络零件是系统零件。你需要检测报告、材料证书，以及与出货实物一致的图纸版本。钜亮五金可按要求提供报告，并持有 ISO 9001:2015、IATF 16949:2016、ISO 13485:2016 和 ISO 27001:2022。

• 1
  用数字说公差要平面度和孔位数据，不要形容词。
• 2
  按环境选表面处理室内用阳极氧化铝，冲洗区域用不锈钢。
• 3
  打标可读性激光打标最小字高 1.5 mm。
• 4
  可追溯记录检测报告和材料证书可按要求提供。

最常见的错误是控制器双网卡。有人加第二块网卡，让操作员能从机器面板上网，隔离就没了。每台设备只走一条路径。如果操作员需要屏幕，就在另一个 VLAN 上给他一台独立终端，且没有到控制器的路由。

第二个错误是沿用办公室的扁平 192.168.x.x 地址规划。地址冲突会在几个月后新增单元时出现。为每个单元分配独立地址段，并在拉第一根线之前记录在案。

第三个错误是信任无线网桥。车间里一个弱密码的接入点，就是从停车场进入单元的门。如果无线不可避免，就把它放在独立 VLAN 上，使用 WPA3，并当作不可信处理。

第四个错误是省掉备件。凌晨 2 点交换机端口故障，整个单元就得停工，直到有人带着替换件赶来。每个单元保留 1 台备用交换机和 2 根备用跳线，并记录存放位置。

• 1
  不要双网卡控制器每台设备始终只走一条网络路径。
• 2
  每个单元独立地址段布线开始前就记录好。
• 3
  无线不可信独立 VLAN、WPA3、无到控制器的路由。
• 4
  现场备件每个单元一台交换机和两根跳线。