仓库 OT 网络分段：设备网和办公网混在一起，出事就是全仓停摆

先说结论：仓库 OT 网络分段（warehouse OT network segmentation）就一句话——设备网和办公网必须彻底分开，按区域划段、按通道放行，只让该通话的设备通话，其他一律不通。如果你仓库的扫码枪、输送线、PLC 和 WCS 跟办公室电脑、访客 Wi-Fi 跑在同一张网上，那你不是在省钱，你是在给全仓停摆留一个一键开关。下面这套分段清单，你可以直接照着做。

为什么非分不可：这个坑我见过三次

先讲第一个坑。去年秋天，华东一家做电商代发的 3PL 仓，办公室一台电脑点了钓鱼邮件，中了勒索病毒。按说这事跟仓库没关系，对吧？问题是那张网是扁平的，病毒横向扩散，半天之内扫码枪连不上 WMS、输送线 PLC 丢了控制信号、出库波次卡在半路。最后全仓停了大半天，几千单没出去，客户索赔的邮件比病毒来得还快。事后复盘，IT 负责人只说了一句话：我们以为内网就是安全的。

第二个坑更隐蔽。另一家仓上了 AMR，厂商远程运维图方便，直接在办公网给机器人开了个远程口子。某天厂商工程师在家调试，把一台测试环境的调度参数推到了生产车队，十几台 AMR 在主通道上互相避让、原地打转。没有黑客，没有病毒，就是一条没管住的通道。这个坑我见过三次，每次的根子都一样：设备网和办公网之间没有门，任何人、任何一台电脑都能走到设备面前。

第三个案例反过来：分了，但分错了。某制造企业的成品仓按楼层划了网段，输送线、堆垛机、扫码枪全按物理位置分，结果一条跨区的输送线要穿三个网段，防火墙策略写了几十条，运维同事改一条规则要提三天工单。最后大家图省事，把策略全放开，分段名存实亡。这个案例说明一件事：分段不是画格子，而是按"谁跟谁必须说话"来画。

先搞清两个概念：Zone 和 Conduit

分段设计里只有两个主角，warehouse OT network segmentation 的全部工作就是围绕它们展开。Zone 是区域：把网络按功能切成块，比如扫码枪区、输送线控制区、WCS 服务器区、办公区、访客区、远程运维区。Conduit 是通道：区域之间允许的通话路径，每条通道只放行必要的协议和端口，其他全部拒绝。

记住一条铁律：默认全部不通，白名单一条一条加。先默认拒绝、再逐条放行，听起来麻烦，但这是唯一能睡安稳觉的做法。反过来先全通、再慢慢堵，等于先把门打开再研究锁——堵不完的。

OT 网络分段四步法：照着清单做

第一步，盘点资产，列一张表。把所有联网设备扫一遍：扫码枪、PDA、输送线 PLC、堆垛机控制器、AMR、WCS 服务器、打印机、摄像头、门禁。每一台记四项：IP 地址、接在哪个交换机口上、它要跟谁说话、用的什么协议。没有这张表，后面全是猜。这个活别外包给厂商自己报，厂商只会报自己的设备，摄像头和门禁这种"边缘设备"最容易漏，而它们恰恰是最常被利用的入口。

第二步，画流量图，标出"谁跟谁说话"。拿着资产表，一个个问：扫码枪只找 WMS，不找互联网；PLC 只听 WCS 的指令，不接受办公电脑的访问；WCS 服务器需要访问数据库，但不需要上外网。把这些画成一张图，图上的每一条线，就是未来要放行的通道；图上没有的线，一律不放行。这一步最费时间，也最值钱——九成仓的分段失败，都是因为这张图没画就动手划网段了。

第三步，按功能划 Zone，定策略。参考切法如下表，照抄再根据自己仓库微调：

第四步，分阶段上线，绝不停产切换。上线前夜 checklist：先在非高峰时段切一个最小区域试点，比如先切一条输送线；准备好回滚方案，策略一出问题，十分钟内能切回原状；切完盯一班次的日志，确认没有业务流量被误杀；再按区域一批一批扩。记住：分段上线最忌讳"周五晚上全量切换"，这个坑我也见过，代价是周六全仓加班回滚。

一个反常识的判断：OT 网络分段不是越细越好

很多人以为网段切得越碎越安全，错了。切得太碎，防火墙策略成百上千条，运维根本维护不过来，最后要么没人敢改、要么图省事全放开，安全反而更差。我的经验是：一个中等规模仓库，Zone 控制在五个到七个之间最合适；先把设备网和办公网这条最大的口子切开，再处理区内细节。先解决"全仓停摆"这个量级的风险，再抠"某台打印机能不能访问某台 PLC"这种细节。顺序错了，等于给仓库装了十道门却忘了锁大门。