現場設備網路怎麼規劃
現場設備接上網絡之前，先寫位址怎麼編、哪一段要和其他網段分開、遠端連線停在哪一道邊界，以及線纜、標籤和圖在交接時交給誰。驗收時按圖核對路徑：該通的位址通，圖上寫明不准跨過的邊界不通。
現場網絡和遙測、業務對接分開寫
這份計畫寫的是位址、分段、遠端邊界、線纜標籤和圖，以及驗收當天核對的路徑。讀數用 MQTT 還是 HTTP、讀數寫進哪一個業務欄位，是設備已經有位址、而且路徑按圖核對之後的事。兩篇分別見 設備遙測用 MQTT 還是 HTTP、設備怎麼接到既有業務系統。
圖上的設備用進場時的同一個識別碼，不因為接了網絡就另編一號。識別碼、型號、序號和位置怎樣在進場當天寫下，見 設備進場驗收要檢查什麼。設備可以只買、只租，或與開發放在同一項目，見首頁 採購、租賃，或與開發同一項目推進。
位址先選私用區段並寫清邊界
2026年10月21日閱讀的 RFC 1918 寫明，IANA 為私用網絡保留三段位址：10.0.0.0 至 10.255.255.255（10/8）、172.16.0.0 至 172.31.255.255（172.16/12）、192.168.0.0 至 192.168.255.255（192.168/16）。企業使用這三段，不必先跟 IANA 或網際網路註冊機構協調。這些位址只在該企業之內、或在約定共用這段私用空間的企業之間唯一。文件日期是 1996年2月，類別是 Best Current Practice。
同一份文件寫明，私用位址沒有全球意義，關於私用網絡的路由資訊不得在企業之間的鏈路上傳播，來源或目的為私用位址的封包不應轉送過這些鏈路。不使用私用位址空間的網絡裡的路由器，尤其是網際網路服務提供者的路由器，預期會拒絕關於私用網絡的路由資訊。位址計畫因此寫：這一場用哪一段前綴、設備網和辦公網各用哪一個子網、閘道是哪一個位址、哪些主機不需要連出企業。私用位址不是安全邊界。需要全球唯一位址的主機，仍向註冊機構申請，註冊機構不會從上述三段指派對外連線用的位址。
分段的用意寫在圖上
2026年10月21日閱讀的 NIST SP 800-82 Rev. 3 目錄頁把出版日期寫成 2023年9月，並寫明它取代 2015年6月3日的 Rev. 2。正文依該出版物，DOI 為 10.6028/NIST.SP.800-82r3。指南把營運技術寫成與實體環境互動、或管理這類裝置的可程式系統；這些系統透過監測或控制裝置、過程與事件，偵測或造成直接變化。例子包括工業控制、建築自動化、實體門禁，以及實體環境的監測與量測。指南一般建議把營運技術網絡和企業網絡分開：網際網路、電郵和遠端連線通常允許在企業網絡上，不允許在營運技術網絡上。把企業網絡拿來跑營運技術的通訊協定，可能使設備暴露於攻擊。若業務上必須相連，指南寫明這種連接帶來額外風險，組織可以考慮把連接減到最少，並加上額外控制。
同一指南寫明，可以按管理權責、信任程度、功能關鍵性、資料流或位置來分段，也可以考慮採用已有的模型來組織分段，例如 Purdue 模型、ISA-95 層級或三層工業物聯網架構；這是可考慮的做法，不是每一場都必須套用 Purdue。分段之後，可以在網段之間加一個非軍事區作為執行邊界。把組件分成層級或區域，是加隔離裝置之前的準備。防火牆規則宜只允許相鄰層級之間的連線；指南舉例，採用 Purdue 的組織應避免第 4 層直接和第 2、1 或 0 層通訊。VLAN 寫在附錄：實體分開不可行時，可以用 VLAN 在交換器上按連接埠做邏輯分開；指南並寫明，VLAN 可以是成本較低的做法，支援安全系統這類高關鍵性裝置時，應考慮用實體分開的交換器。圖上寫每一段的用意、用 VLAN 還是獨立交換器，以及安全相關的裝置有沒有被點名。
遠端連線停在邊界，不直達設備
指南第 6.2.10 節寫明，應實施控制以防止未經授權的遠端連入組織的網絡、系統和資料。它把虛擬私人網絡描述成支援安全遠端連線的一組協定，並說明 IPsec、TLS 和 SSH。其中寫明 TLS 只應考慮 1.2 或以上。營運技術的建議是：建立並向組織說明如何申請和開啟遠端連線；只有有理由、而且限於業務所需時才提供；遠端連線不應繞過或取消安全與保安控制；遠端連入營運技術系統應考慮多重要素鑑別。
供應者臨時連入時，指南寫明程序仍然要走。它列出的做法包括：暫時放行的使用者或協定（例如 RDP、SSH）、畫面分享、數據機、虛擬私人網絡。不論用哪一種，應考慮的事項包括：不用預設憑證、不再需要時移除連線、讓操作人員知道預定的遠端活動、考慮由營運技術環境主動發起連線、把遠端連線裝置標明，以便未經授權使用時操作人員能迅速斷開。計畫書寫：誰可以申請、連線落在哪一個邊界（圖上的非軍事區或指名的跳板，而不是設備網本身）、開始前通知誰、結束後誰移除。指南沒有指定產品，也沒有寫等待秒數。
線纜、標籤和供電寫在同一張圖
指南在實體保護一節寫明，非屏蔽雙絞線在辦公室也許可以，在某些營運技術環境未必適合，因為會受磁場、無線電波、極端溫度、濕氣、灰塵和振動干擾；組織應考慮改用更合適的線纜或屏蔽。同一段並寫明，應考慮用顏色區分線纜、接頭、線槽，並加上標籤，以便分清營運技術和資訊技術網段，減少接錯。配線宜整齊，收在機櫃內或地板下。設備機櫃在不需操作或安全所需時應上鎖。
圖上寫交換器在哪一個機櫃、哪一個回路供電、線纜顏色代表哪一個網段。指南另寫，支援實體保安裝置的通訊和電力，應考慮額外的冗餘、隔離、保護和監測；那一句針對的是攝影機、感測器這類保安裝置的供電，不是一條以厘米計的淨距。計畫書不另造淨距。回路名稱寫在圖上，以後巡檢才不會把網絡機櫃的電源和照明算成同一路而一起拉開。
圖和標籤一起點交
每一條線的兩端用同一個編號，編號出現在圖上，並對到設備識別碼、交換器連接埠，以及 VLAN 或網段名稱。遠端邊界在圖上畫成一條線，線的一側寫允許進來的來源，另一側寫設備網。只有標籤、沒有圖，或只有圖、線上沒有標籤，都不算交完。點交的人簽名並寫日期。
標籤寫現場找得到的字，不寫只有繪圖的人認得的簡稱。連接埠改了，圖和兩端標籤同一天改，並留下修改的人。識別碼沿用進場紀錄，不在圖上另起一套。圖的版本寫在封面，和位址計畫的版本互相指到。
驗收只核對圖上點名的路徑
指南寫明，組織通常先畫出資料流，再把必須的通訊寫進網絡裝置的策略，只放行已授權的通訊。驗收按這張資料流做兩筆：同一網段內，圖上點名的設備位址能夠到達；圖上寫明不准跨越的邊界，從指定的主機出發無法完成連線。兩筆都寫時間、操作的人、位址和結果。
同一指南寫明，主動掃描會向網絡注入流量並直接接觸裝置，在運作中的營運技術網絡上要極為小心，因為可能使裝置不穩或干擾過程，宜盡量排在計畫停機時進行。被動掃描不另加流量，但看不到當時沒有在通訊的裝置，也不能檢視加密流量。驗收不做沒有範圍的全網掃描。路徑核對只打向圖上已經點名的位址，並由操作負責人同意時段。
邊界沒寫上，遠端就先不開
位址計畫、分段用意、遠端邊界，三樣有一樣還沒寫在圖上，遠端連線保持關閉。先補圖和標籤，再談供應者連入。圖上沒有指名誰可以斷開，遠端裝置不安裝。
延遲、可用率和到場時限留在合約與公司自己的規則裡。RFC 1918 和這份指南都沒有給現場網絡指定這些數字。計畫可以交出之前，用三件事看：每一段有沒有位址和用意、遠端有沒有停在邊界上、驗收有沒有同時寫下該通的路徑和該斷的邊界。三件事都在圖和紀錄上，才把網絡交給日常操作。