设备到场那天，把路由器卡上导轨、拧好天线、接上DC端子，用笔记本连进去之后发生的事，很大程度上决定了这台设备后面几年的维护成本。

工业路由器的网页界面里，VLAN、VPN、防火墙、静态路由、NAT、端口转发这些菜单是平铺在同一层级的。把它们一次配完再通电验证，是这个环节最常见的做法，也是事后最难收拾的一种：等到某台操作屏读不到PLC数据，已经分不清是哪一条规则在拦。

换个顺序会稳得多：每一轮只做一件事，做完立刻验一次，验不过就退回上一步。

先把默认口令处理掉

新设备的管理地址、初始账号写在机身标签或快速手册上，把笔记本设成同网段地址，浏览器就能进界面（常见默认是192.168.1.1，账号admin）。进来之后最该做的动作，是把默认口令换成现场自己的。

这一步常被留到最后，等几十台装完再回头改，一台一台登的成本明显高于当场改。验证也简单：用旧口令再登一次，登不上就对了。

让它先出一条网

不少人在这个阶段就开始规划转发路径，顺序上应该先确认“这台设备能不能出去”。判断依据只有一条：现场能不能拉到固网。

能拉到，有线WAN做主链路；拉不到，就走蜂窝；两条都在，把另一条设成备份，而不是让两条同时转发。像USR-G806w这类机型，蜂窝、有线、Wi-Fi三种上网方式之间支持主备切换，网络异常时能及时恢复。

这一步的验证要动下手：链路通着，拔掉网线，用现场真正要传数据的那台设备ping一次对端，掐表看多久恢复。几十秒还是几分钟、业务等不等得起，这时候就能量出来，不用等投运之后现场打电话进来才发现。

出网稳定了，再回来分区

分区这件事，重点不在“把VLAN配出来”，而在先分清身份：哪些设备必须互相看见，哪些互相看见反而是风险。PLC和上位机之间必须通，质检相机和办公网络之间没必要通。

身份理清，规则反而简单：一条允许规则写清来源、目的地、协议、端口四件事，最后压一条拒绝兜底。写完重启一次再验，比在界面里反复点“保存并应用”干净得多。

多网口的机型在这一步会省事。USR-G809s提供2个WAN/LAN复用口、6个LAN口和2个SFP（其中一个电光二选一），可以按设备类别先接到不同网口，再做VLAN划分；柜里如果还有串口设备和开关量信号，自带的RS485/RS232和DI/DO能一并接进来，不必再挂一层网关。

分区做完，才轮到远程

远程通道排在倒数第二步。常见的五种VPN——OpenVPN、IPsec、PPTP、L2TP、GRE——在同一台机器上支持得越全，后期对接甲方既有平台的余地越大。

增强型OpenVPN的价值在于降低门槛：既能作为客户端同时连到三台不同的VPN服务器，也能本身作为服务端，支持一键导入.ovpn配置文件和PKCS#12证书，不用手填一长串参数。这对没有PKI经验的电气工程师比较实在。

批量投运之后，日常落在两件东西上：一是远程管理平台，能远程打开设备内置网页做参数修改、重启和固件升级；二是告警，设备离线、信号变弱、流量超限这几类事件通过邮件或短信推送，并支持重复推送。USR-G816这一档把两件都做齐了，另外它的双SIM可以在两家运营商之间互为备份，跨区域布点的车队和野外机柜用得上。

最后一件事：留一份能回滚的底

配置定稿后导出文件存档，文件名带上点位编号和日期。原因是恢复出厂迟早会发生——现场人员有时只是想切屏看一眼基础信息，按久了就回到出厂态。USR-G809s这种带屏机型，短按13秒是切屏，长按5-15秒才恢复出厂，两个动作的界限值得写进柜内标签，而不是写进没人翻的说明书。

对正在挑型号、又没配专职网络工程师的制造商，选型的落点可以收得很窄：网口够不够分，决定要不要上G809s这种多口机型；链路要不要备份，决定G816的双SIM和自动Failover有没有必要。剩下的菜单按上面的顺序一轮轮加，配到一半也能保持一半可用。industrial wireless router上手这件事，难的不是功能多，是没给它们排顺序。