现场设备网络怎么规划
现场设备接上网络之前，先写地址怎么编、哪一段要和其他网段分开、远程连线停在哪一道边界，以及线缆、标签和图在交接时交给谁。验收时按图核对路径：该通的地址通，图上写明不准跨过的边界不通。
现场网络和遥测、业务对接分开写
这份计划写的是地址、分段、远程边界、线缆标签和图，以及验收当天核对的路径。读数用 MQTT 还是 HTTP、读数写进哪一个业务栏位，是设备已经有地址、而且路径按图核对之后的事。两篇分别见 设备遥测用 MQTT 还是 HTTP、设备怎么接到既有业务系统。
图上的设备用进场时的同一个识别码，不因为接了网络就另编一号。识别码、型号、序号和位置怎样在进场当天写下，见 设备进场验收要检查什么。设备可以只买、只租，或与开发放在同一项目，见首页 采购、租赁，或与开发同一项目推进。
地址先选私用区段并写清边界
2026年10月21日阅读的 RFC 1918 写明，IANA 为私用网络保留三段地址：10.0.0.0 至 10.255.255.255（10/8）、172.16.0.0 至 172.31.255.255（172.16/12）、192.168.0.0 至 192.168.255.255（192.168/16）。企业使用这三段，不必先跟 IANA 或互联网注册机构协调。这些地址只在该企业之内、或在约定共用这段私用空间的企业之间唯一。文件日期是 1996年2月，类别是 Best Current Practice。
同一份文件写明，私用地址没有全球意义，关于私用网络的路由信息不得在企业之间的链路上传播，来源或目的为私用地址的数据包不应转发过这些链路。不使用私用地址空间的网络里的路由器，尤其是互联网服务提供者的路由器，预期会拒绝关于私用网络的路由信息。地址计划因此写：这一场用哪一段前缀、设备网和办公网各用哪一个子网、网关是哪一个地址、哪些主机不需要连出企业。私用地址不是安全边界。需要全球唯一地址的主机，仍向注册机构申请，注册机构不会从上述三段指派对外连线用的地址。
分段的用意写在图上
2026年10月21日阅读的 NIST SP 800-82 Rev. 3 目录页把出版日期写成 2023年9月，并写明它取代 2015年6月3日的 Rev. 2。正文依该出版物，DOI 为 10.6028/NIST.SP.800-82r3。指南把运营技术写成与实体环境互动、或管理这类装置的可编程系统；这些系统通过监测或控制装置、过程与事件，检测或造成直接变化。例子包括工业控制、建筑自动化、实体门禁，以及实体环境的监测与量测。指南一般建议把运营技术网络和企业网络分开：互联网、电邮和远程连线通常允许在企业网络上，不允许在运营技术网络上。把企业网络拿来跑运营技术的通信协议，可能使设备暴露于攻击。若业务上必须相连，指南写明这种连接带来额外风险，组织可以考虑把连接减到最少，并加上额外控制。
同一指南写明，可以按管理权责、信任程度、功能关键性、数据流或位置来分段，也可以考虑采用已有的模型来组织分段，例如 Purdue 模型、ISA-95 层级或三层工业物联网架构；这是可考虑的做法，不是每一场都必须套用 Purdue。分段之后，可以在网段之间加一个非军事区作为执行边界。把组件分成层级或区域，是加隔离装置之前的准备。防火墙规则宜只允许相邻层级之间的连线；指南举例，采用 Purdue 的组织应避免第 4 层直接和第 2、1 或 0 层通信。VLAN 写在附录：实体分开不可行时，可以用 VLAN 在交换机上按端口做逻辑分开；指南并写明，VLAN 可以是成本较低的做法，支持安全系统这类高关键性装置时，应考虑用实体分开的交换机。图上写每一段的用意、用 VLAN 还是独立交换机，以及安全相关的装置有没有被点名。
远程连线停在边界，不直达设备
指南第 6.2.10 节写明，应实施控制以防止未经授权的远程连入组织的网络、系统和数据。它把虚拟专用网络描述成支持安全远程连线的一组协议，并说明 IPsec、TLS 和 SSH。其中写明 TLS 只应考虑 1.2 或以上。运营技术的建议是：建立并向组织说明如何申请和开启远程连线；只有有理由、而且限于业务所需时才提供；远程连线不应绕过或取消安全与保安控制；远程连入运营技术系统应考虑多因素认证。
供应者临时连入时，指南写明程序仍然要走。它列出的做法包括：暂时放行的用户或协议（例如 RDP、SSH）、画面共享、调制解调器、虚拟专用网络。不论用哪一种，应考虑的事项包括：不用默认凭据、不再需要时移除连线、让操作人员知道预定的远程活动、考虑由运营技术环境主动发起连线、把远程连线装置标明，以便未经授权使用时操作人员能迅速断开。计划书写：谁可以申请、连线落在哪一个边界（图上的非军事区或指名的跳板，而不是设备网本身）、开始前通知谁、结束后谁移除。指南没有指定产品，也没有写等待秒数。
线缆、标签和供电写在同一张图
指南在实体保护一节写明，非屏蔽双绞线在办公室也许可以，在某些运营技术环境未必适合，因为会受磁场、无线电波、极端温度、湿气、灰尘和振动干扰；组织应考虑改用更合适的线缆或屏蔽。同一段并写明，应考虑用颜色区分线缆、接头、线槽，并加上标签，以便分清运营技术和信息技术网段，减少接错。配线宜整齐，收在机柜内或地板下。设备机柜在不需操作或安全所需时应上锁。
图上写交换机在哪一个机柜、哪一个回路供电、线缆颜色代表哪一个网段。指南另写，支持实体保安装置的通信和电力，应考虑额外的冗余、隔离、保护和监测；那一句针对的是摄像机、传感器这类保安装置的供电，不是一条以厘米计的净距。计划书不另造净距。回路名称写在图上，以后巡检才不会把网络机柜的电源和照明算成同一路而一起拉开。
图和标签一起点交
每一条线的两端用同一个编号，编号出现在图上，并对到设备识别码、交换机端口，以及 VLAN 或网段名称。远程边界在图上画成一条线，线的一侧写允许进来的来源，另一侧写设备网。只有标签、没有图，或只有图、线上没有标签，都不算交完。点交的人签名并写日期。
标签写现场找得到的字，不写只有绘图的人认得的简称。端口改了，图和两端标签同一天改，并留下修改的人。识别码沿用进场记录，不在图上另起一套。图的版本写在封面，和地址计划的版本互相指到。
验收只核对图上点名的路径
指南写明，组织通常先画出数据流，再把必须的通信写进网络装置的策略，只放行已授权的通信。验收按这张数据流做两笔：同一网段内，图上点名的设备地址能够到达；图上写明不准跨越的边界，从指定的主机出发无法完成连线。两笔都写时间、操作的人、地址和结果。
同一指南写明，主动扫描会向网络注入流量并直接接触装置，在运行中的运营技术网络上要极为小心，因为可能使装置不稳或干扰过程，宜尽量排在计划停机时进行。被动扫描不另加流量，但看不到当时没有在通信的装置，也不能检视加密流量。验收不做没有范围的全网扫描。路径核对只打向图上已经点名的地址，并由操作负责人同意时段。
边界没写上，远程就先不开
地址计划、分段用意、远程边界，三样有一样还没写在图上，远程连线保持关闭。先补图和标签，再谈供应者连入。图上没有指名谁可以断开，远程装置不安装。
延迟、可用率和到场时限留在合同与公司自己的规则里。RFC 1918 和这份指南都没有给现场网络指定这些数字。计划可以交出之前，用三件事看：每一段有没有地址和用意、远程有没有停在边界上、验收有没有同时写下该通的路径和该断的边界。三件事都在图和记录上，才把网络交给日常操作。