工厂网络改造怎么做？办公网、生产网和服务器区如何通过 VLAN 与防火墙隔离？
工厂网络改造不建议只靠不同IP网段。应明确办公、生产、服务器、无线和管理网络边界，通过VLAN、三层路由、防火墙策略与ACL实现最小必要访问，并保留维护与回退路径。
先盘点，再变更企业基础架构涉及业务连续性。生产变更前应保留配置备份、维护窗口、验证项和回退条件。
1. 先按业务边界划分，而不是先买设备
工厂扩建或办公区搬迁时，最容易出现的问题是把新交换机接通后继续沿用一个大网段。短期能用，但后续会出现广播范围过大、地址冲突、生产设备被办公终端直接访问、服务器策略难以收敛等问题。应先明确办公网、生产网、服务器区、无线、访客和设备管理网的边界，再决定 VLAN、网关和防火墙位置。
2. 一个常见的分区思路
- 办公终端进入办公 VLAN，只访问必要的 ERP、文件、打印、域服务和互联网。
- 生产终端或车间设备进入独立 VLAN，原则上不直接访问办公终端；需要访问 MES/ERP/文件服务器时只开放对应服务器和端口。
- 服务器区放在独立网段，通过内网防火墙或三层策略控制来源、目标和服务。
- 无线办公、访客、AP 管理、交换机管理可根据规模继续拆分，避免管理面暴露给普通终端。
3. 防火墙与交换机 ACL 应如何分工
核心交换机负责 VLAN、三层转发和必要的基础 ACL；防火墙负责需要审计、按业务端口控制或跨安全域的访问。不要在多个设备上重复堆大量互相矛盾的规则。服务器区的关键访问建议落到“源网段 → 目标服务器 → 具体端口”，而不是长期保留 ANY 到 ANY。
4. 改造前必须准备回退和割接清单
备份交换机、防火墙和无线配置；记录上联口、光模块、VLAN、Trunk、网关、STP、DHCP、静态地址和关键服务器端口。先在非关键区域验证，再分批切办公、生产和服务器访问。任何阶段出现网关、认证、ERP/MES、打印或共享异常，都要有明确回退点。
5. 改造完成后的验收
分别验证办公到服务器、生产到业务服务器、域认证、DNS、DHCP、打印、文件共享、互联网和远程运维路径。再从不同 VLAN 做反向测试，确认不应该互访的网段确实被阻断。最后更新拓扑、IP/VLAN表、端口表、防火墙策略和配置备份。
远程还是现场处理？日志、配置、策略和小范围验证通常可先远程；涉及物理设备、机房布线、核心网络割接、生产系统切换或恢复演练时，应安排受控现场窗口。浙江、上海、江苏可根据项目情况上门，其他地区可远程协助。
常见问题
生产网和办公网只用不同IP段就算隔离吗？
不算。不同IP段只是逻辑地址划分，还需要三层设备、防火墙或ACL明确控制它们之间能否互访。
所有跨网段流量都必须经过防火墙吗？
不一定。应根据安全边界和审计需要决定。关键服务器区、生产与办公之间通常更适合由防火墙控制；低风险内部VLAN也可由三层交换与ACL承担部分控制。