机器交付到客户厂区，验收那天对方 IT 提了三条：控制网不许有对外的端口，视频网和控制网分开，远程维护谁在什么时候进来过要有记录。三条听着像是提给上位机的，落到柜里是同一台设备在答——工业路由器就卡在公网与内网之间。
常见的一种想法是：有 NAT 挡着，再给管理页设个密码就够了。这个想法漏的是方向。NAT 挡的是从外面主动发起的连接，密码管的是路由器自己的登录页，现场要管的至少有四个方向：设备往外连什么、人从外面怎么进来、进来之后能往旁边走多远、路由器自己那张管理页放在哪。
往外走的那一半，NAT 不管
NAT 做的事是把内部地址换成出口地址，内部主动发起的连接默认放行。一台被随手插进柜内交换机的笔记本、一台固件带后门的摄像机、一台中了木马的上位机，往外连时走的正是这条正常路径，NAT 不拦这一段。
管这一半靠出站规则：把允许的目的地逐条写下来，其余默认拒绝。目标地址固定就写 IP，是域名就走域名白名单。两处默认值容易踩：源 IP 与源 MAC 只能二选一，按 MAC 匹配时源 IP 要留空；域名白名单选中却不加任何规则，结果是所有域名都访问不了，不是全部放行。规则改完要在系统里执行一次重启才生效，这一条最常被漏掉。带宽也能一起管：按 IP 段或 MAC 限速，先限不死再观察。
USR-G806w 的菜单正对这几件事：通信规则写允许与拒绝，访问限制做域名黑白名单，限速按 IP 段或 MAC 分配。104×102×28mm 的体积、导轨或壁挂两种装法、-20 到 70℃，柜内位置紧张的小站点直接塞得进去；端子与 DC 插孔两路冗余供电。
从外面进来的人，走哪道门
远程维护最省事的做法是做一条端口映射，把上位机的登录页挂到一个公网端口上。走得通，代价也清楚：公网地址段天天有人在扫，那个端口一开，没打的补丁和弱口令一起摆到外面。
换成隧道之后，公网侧不需要任何入站端口，管理通道只存在于隧道里。选型时看两件事：协议全不全，以及能不能用证书替代静态口令。证书可按人发放、离场即吊销，弱口令与口令复用一并解决。客户 IT 只肯放行自己那套体系时，让路由器作客户端接入对方的服务端，比要求对方新增一套更容易过验收。
一项自检很省事：用手机从蜂窝网络访问一次路由器的管理页，不经隧道就能打开登录界面，说明这道门是开着的。
USR-G816 在这一层给的是条件：五种 VPN 协议（IPSec、OpenVPN、PPTP、L2TP、GRE），增强型 OpenVPN 可同时连接三台服务端，也能自己充当服务端，分布式站点可以并进同一条隧道，.ovpn 与 PKCS#12 支持一键导入。上行链路这边，5G SA/NSA 配双 SIM（SIM2 可选内置 eSIM）可跨运营商避盲区，以太网与蜂窝自动切换备份。DC9-36V 带反极性保护，金属外壳 -35 到 75℃、IP30，导轨或壁挂，内置看门狗。设备离线、信号弱、流量超限三类告警支持邮件与短信推送。
进来之后，能往旁边走多远
前面两层管的是进出，这一层管的是横向。摄像机是现场被利用得最多的终端之一，而它在任何正常工况下都不需要和 PLC 说话。把控制网、视频网、办公网分开，某个区里的一台设备失守，往隔壁去的路也是断的。
分开的方式先看口数：空闲网口够，就一口一个网段，网关都落在路由器上，拔哪根线就是哪个区，柜内不必再配交换机。口数不够再上 VLAN，此时路由器侧建 VLAN 与子接口、交换机侧配 access 与 trunk、无线侧把 SSID 绑到对应 VLAN，三处一起改；漏一处，分了等于没分。网段按区一次规划并留出空段，后面加设备不必重排地址。
USR-G809s 在这一层给的是余量：2×WAN/LAN + 6×LAN + 2×SFP（其中一个 SFP 与电口二选一），官方方案口径里列了 VLAN 独立子网划分与防火墙、NAT、DMZ，以太网与蜂窝双链路备份，宽压 DC9-60V 带反极性保护，导轨安装。
路由器自己那张管理页
前三个方向都配完，仍可能栽在最靠前的这一步。出厂默认账号与口令是公开的，交付第一件事就是改掉；配置导出时带上点位编号与日期归档，升级固件时勾 Keep settings，规则不至于跟着一起被清。接入云平台的机器，平台那条通道同样算一个入口，账号与权限要和设备本身一起纳管。日常改参数、重启、升固件走远程管理平台处理，不必每次都开隧道。
四个方向，各留一张表
交付时随机器带四份东西：地址与网段表、规则清单（含顺序）、隧道账号清单与有效期、告警接收人与固件版本记录。当场再验两件事：名单内能访问、名单外不能，这一轮测试就是验收记录；拔一次主链路掐表，确认规则有没有跟着链路走。
四个方向分开看，NAT 与密码各自只覆盖了其中一块。把工业蜂窝路由器（industrial cellular router）当成边界设备来配，不是当成一条上网通道，验收时那三条就都有得答。
FAQ
1. 有 NAT 了为什么还要防火墙规则？
NAT 挡的是外部主动发起的连接，内部设备往外连默认放行。出站规则管的是后者：设备能联系谁、不能联系谁。
2. 隧道建好了，PLC 还需要公网地址吗？
不需要。被访问的一侧保持私网地址，公网能看到的只有路由器那一台，公网侧不开任何入站端口。
3. 源 IP 和源 MAC 能不能同时填？
不能，两者互斥。按 MAC 匹配时源 IP 要留空；兜底拒绝规则放在最后一条，改完要在系统里执行重启才生效。
4. 目标不是固定 IP 怎么办？
改用域名白名单。注意默认值：选中白名单却不加任何规则时，所有域名都访问不了，而不是全部放行。
5. 分开两个区一定要用 VLAN 吗？
空闲网口够时，一口一个网段即可，柜内不必配交换机。口数不够再上 VLAN，路由器、交换机、无线三处要同时配齐。
6. 证书比口令好在哪里？
证书可按人或外包单位发放，离场即吊销，弱口令与口令复用两类问题一并解决。选型时确认能否一键导入 .ovpn 与 PKCS#12 文件。
7. 有一台设备在持续往外发数据，怎么定位？
先按 IP 段或 MAC 限速观察，再配合通信规则逐台断开比对。流量超限告警可设阈值并推送邮件与短信。
