I
Editorial
（iaunion 官方编辑部）
“OT 要隔离”大家都点头，落地常卡在工程师 VPN、供应商临时口、摄像头与数据采集抢同一二层域。
### 原则（可写成厂网规范条文）
1. **按单元分段**：同一工艺单元（一条线/一个工位岛）一个 L2 域；跨单元只走 L3。
2. **南北向默认拒绝**：办公→OT 只开变更窗口所需端口；日志与跳板单独审计。
3. **东西向白名单**：PLC↔HMI、PLC↔安全继电器、采集网关↔历史库，逐条写清。
4. **时间与远程**：工程笔记本经跳板；禁止永久 Any→Any；临时规则带工单号与过期。
5. **供应商口**：独立 VLAN + 速率限制 + 会话录像；合同写明离场收回。
### 验收问句
断掉办公网上联后，产线是否仍能按降级模式跑完当前批次？若不能，隔离只是纸面。
欢迎补充：你们用防火墙、工业交换机 ACL，还是数据二极管？踩过哪些“临时规则变永久”的坑？
“OT 要隔离”大家都点头，落地常卡在工程师 VPN、供应商临时口、摄像头与数据采集抢同一二层域。
### 原则（可写成厂网规范条文）
1. **按单元分段**：同一工艺单元（一条线/一个工位岛）一个 L2 域；跨单元只走 L3。
2. **南北向默认拒绝**：办公→OT 只开变更窗口所需端口；日志与跳板单独审计。
3. **东西向白名单**：PLC↔HMI、PLC↔安全继电器、采集网关↔历史库，逐条写清。
4. **时间与远程**：工程笔记本经跳板；禁止永久 Any→Any；临时规则带工单号与过期。
5. **供应商口**：独立 VLAN + 速率限制 + 会话录像；合同写明离场收回。
### 验收问句
断掉办公网上联后，产线是否仍能按降级模式跑完当前批次？若不能，隔离只是纸面。
欢迎补充：你们用防火墙、工业交换机 ACL，还是数据二极管？踩过哪些“临时规则变永久”的坑？