产线交付时，柜里配一台路由器，下面挂着四五台设备：PLC、触摸屏、读码器、跑老上位机的电脑。需求写得很短：这几台之间要互通，还要访问指定的许可证服务器；不许连到任意外网地址；网口要千兆；无线用不上；预算有限。

这类清单拿到面向家用设备的选购咨询里往往没有答案，家用机给的是手机应用里的家长控制，做不到按设备逐台限制目标地址。落到工业侧，它可以逐项翻译，收在一台4G蜂窝路由器（4g cellular router）上。

不需要无线，先把这项划掉

明确不用无线时，射频规格就不必进选型依据；省下的常常不是设备差价，而是一台接入点、一段布线和一次多余验收的钱。

没有SSID只是少一个入口，柜里的机器照样会主动往外连，出口这段该管的还得管。腾出的预算更该放在口数与供电裕度上。

先算口数，再算带宽

口数按"设备数加上行，再留一两个检修口"算：五台设备加一条上行要六个口。够不够先看LAN口数量。

紧凑机型常常只给三个LAN口，四台设备就插满，第五台只能再挂一台交换机，低成本就变成两台设备的价格。

千兆这一条会筛掉一半候选

同一系列里有的型号网口是10/100Mbps自适应，有的才是10/100/1000Mbps自适应。要千兆就把前者排除，它适合的是不要求千兆、只有两三台设备的小点位。

也不必一上来堆配置。蜂窝出网本身跑不到那么宽，4G上行的量级远低于千兆。这类清单里的千兆服务的是站内互访：机器之间搬数据、上位机批量下发程序。判据是站内有没有横向大流量。

互通那条不用写进规则

清单里"这几台之间要互通"看着和"不许连外网"相互打架，实际两者落在不同位置。防火墙规则作用在转发这一段，管的是跨网段和出网；同一个LAN内两台设备互访走二层交换，不经过这道规则。限制出网的同时保留内网互通，本来就不冲突。

除非为了隔离把这几台划进不同网段或VLAN，一旦跨网段，互通就得靠规则放行。最简单是让这几台留在同一网段，限制集中到出口那一条上。验收也简单：名单内的机器外网不通、彼此仍能ping通。

按MAC 逐台限制要查哪些字段

这类策略做不做得出来，看规则表有没有足够的字段：源MAC或源IP、目标地址、协议、端口、动作，以及顺序能不能自己排。字段不全或顺序写死，策略只能停在"全放行"或"全拒绝"。下单前要一张规则页截图。

两处默认值写进交付文档：源MAC与源IP互斥，按MAC匹配时源IP要留空，两个都填不会命中；兜底拒绝放在最后一条，改完要重启才生效。目标地址不固定时可换域名白名单，但要留意：开启白名单却没添加条目，等于所有域名都访问不了，配完之前别启用。

便宜省在哪，不能省在哪

能省的是不在清单上的东西：PoE、用不到的射频、超出需求一倍的口数、管理型交换机。

不能省的是决定要不要跑一趟现场的那几项。柜内24V在电机启停时会跌落，宽压带反极性保护比标称电压更说明问题；看门狗让设备自己复位，不用等人去按电源；宽温与金属外壳对应的是柜内叠加的热量；导轨安装省掉的是柜板上重新打孔。再加远程管理，能远端改参数、重启、升固件，调整一次白名单就不必派车。

交付目的地在欧洲时，除常规CE标识外还要确认网络安全侧的要求。EN 18031是欧盟针对无线设备的网络安全标准，PUSR多款设备已列其中，下单前确认目标型号在不在清单内。

三台设备对得上哪一条

USR-G809s的以太网为2×WAN/LAN + 6×LAN + 2×SFP，其中一路SFP与WAN/LAN电口二选一；RJ45口10/100/1000Mbps自适应，SFP为千兆光口，带1.5KV网络隔离保护。六个以上LAN口正好吃下五台设备加上行，不必再挂交换机，是这张清单里最贴合的一档。铝合金外壳IP40，导轨或水平放置；供电DC9-60V端子带反极性保护，-25~75℃，内置看门狗。

USR-G816适合出网这一段更吃劲的场合：5G NR SA/NSA双模配高通X62模组，支持WAN Failover自动切换备份网络。以太网是1×WAN（可改配成LAN）+ 3×LAN，均为千兆；DC9-36V带反极性保护，-35~75℃，金属外壳IP30。三个LAN口意味着五台设备时大概率要补一台小交换机，算总账时先计进去。

USR-G806w是退路而不是首选：网口为10/100Mbps自适应，明确要求千兆的场景不适用。它体积紧凑（104×102×28mm），-20~70℃，工业端子与DC插孔双路冗余供电，导轨或壁挂，适合点数少、柜内空间紧的小站点。

收尾

一张短清单翻出六项条款：口数、要不要千兆、规则能不能做到MAC级、同网段互通不必另写规则、认证覆盖范围，以及哪一项省下来会变成跑现场的成本。对四五台有线设备的小网络，一台4G蜂窝路由器（4g cellular router）要做的事不多：把机器接进来，把出口管住，剩下的调整能在远端完成。

FAQ

1.五台设备加一条上行，到底要几个口？六个起步，建议留到七个或八个。多余的口是留给调试笔记本和临时加设备的，插满之后再增容只能买交换机，那时候多花的钱比当初选多口机型更多。

2.只写明"不需要无线"，是不是可以直接不看射频参数？参数可以跳过，安全上不能跳过。没有SSID只意味着少一个入口，有线侧的设备照样会主动往外连，出口这段的限制仍要做。

3.同一批机器内部互访，会不会被白名单规则挡掉？不会。这类规则作用在转发这一段，同一个LAN内两台设备互访走二层交换，不经过规则表。只有把设备划到不同网段或VLAN时，互通才需要额外放行。

4.千兆是在挑出网速度吗？不是。蜂窝出网的量级远低于千兆，4G上行尤其如此。需求里的千兆多半服务的是站内互访、本地录像或批量下发程序，判据是横向流量大不大。

5.规则字段要看哪几项？源MAC或源IP、目标地址、协议、端口、动作，以及顺序能不能自己排。缺任何一项，策略就只能停在"全放行"或"全拒绝"。让供应商提供规则页面截图，是最快的核实办法。

6.配置里最容易返工的是什么？两处默认值。源MAC与源IP互斥，按MAC匹配时源IP必须留空；域名白名单开启但没添加任何条目时，等于所有域名都访问不了。另外规则改完要重启才生效。

7.便宜的那几项能不能先省？PoE、用不到的射频、超出需求的口数都能省。宽压与反极性保护、宽温、看门狗、导轨安装、远程管理这几项省下来，最后多半以跑现场的形式补回去。