我們搞工業(yè)自動(dòng)化的對(duì)PLC、變頻器、伺服這些東西熟悉得很但一說(shuō)到網(wǎng)絡(luò)很多人其實(shí)心里是發(fā)虛的。尤其是“交換原理”這四個(gè)字聽(tīng)起來(lái)像通信專業(yè)才需要啃的硬骨頭跟咱們寫(xiě)梯形圖、調(diào)PID沒(méi)什么關(guān)系。但實(shí)際在產(chǎn)線上跑過(guò)幾回你就會(huì)發(fā)現(xiàn)一條生產(chǎn)線幾十臺(tái)設(shè)備全靠那臺(tái)不起眼的工業(yè)交換機(jī)在中間撐著它要是鬧脾氣什么程序邏輯、工藝參數(shù)全白搭。這一講我就把工業(yè)網(wǎng)絡(luò)里最核心也最容易被忽略的交換原理掰開(kāi)揉碎講一遍。這一講不是給通信工程師看的是給咱們搞設(shè)備、搞電氣、搞集成的工程師看的。你不需要搞懂芯片級(jí)的轉(zhuǎn)發(fā)機(jī)制但你必須明白交換機(jī)為什么要學(xué)MAC地址、為什么會(huì)出現(xiàn)廣播風(fēng)暴、環(huán)網(wǎng)冗余到底在冗余什么、VLAN和QoS在工業(yè)現(xiàn)場(chǎng)到底怎么用。講清楚這些再去排查那些“網(wǎng)線明明插著但PLC時(shí)通時(shí)斷”的詭異故障心里就有底了。1. 為什么工業(yè)網(wǎng)絡(luò)需要交換——先理解交換要解決什么問(wèn)題1.1 從Hub到交換機(jī)工業(yè)現(xiàn)場(chǎng)經(jīng)歷了什么很多年輕工程師可能沒(méi)見(jiàn)過(guò)集線器Hub但在前些年的老產(chǎn)線上Hub還是能碰到的。Hub的工作原理是物理層設(shè)備它沒(méi)有任何“智能”收到電信號(hào)就往所有端口廣播一遍。一臺(tái)PLC發(fā)包其余所有設(shè)備都得跟著聽(tīng)一遍。這就帶來(lái)兩個(gè)問(wèn)題一是帶寬全被浪費(fèi)了10M的Hub接8臺(tái)設(shè)備每臺(tái)設(shè)備理論上只能分到十分之一的流量而且設(shè)備越多沖突越嚴(yán)重二是安全性為零誰(shuí)都能聽(tīng)到誰(shuí)的數(shù)據(jù)想隔離都隔離不了。交換機(jī)就是沖著這兩個(gè)問(wèn)題來(lái)的。它是數(shù)據(jù)鏈路層設(shè)備核心能力是能“記住”每個(gè)MAC地址在哪個(gè)端口然后只把數(shù)據(jù)幀從對(duì)應(yīng)端口發(fā)出去。這就像以前一個(gè)辦公室十個(gè)人公用一部電話誰(shuí)打電話全屋人都聽(tīng)得見(jiàn)現(xiàn)在每個(gè)人桌上分了一部?jī)?nèi)線電話交換機(jī)就是那個(gè)接線員知道張三的分機(jī)號(hào)就只接通張三。這個(gè)“只發(fā)給該收的人”的動(dòng)作就是交換。工業(yè)現(xiàn)場(chǎng)為什么比辦公網(wǎng)絡(luò)更需要交換因?yàn)楣I(yè)協(xié)議對(duì)實(shí)時(shí)性和確定性要求極高。比如Profinet的實(shí)時(shí)通信一個(gè)數(shù)據(jù)包晚到幾毫秒可能導(dǎo)致整個(gè)運(yùn)動(dòng)控制系統(tǒng)抖一下甚至觸發(fā)安全急停。Hub那種大家一起搶信道的模式在這種場(chǎng)景下根本沒(méi)法用所以工業(yè)網(wǎng)絡(luò)必須靠交換來(lái)保證每個(gè)端口獨(dú)享帶寬、降低延遲。1.2 工業(yè)交換機(jī)的定位不只是“能通就行”經(jīng)常有人問(wèn)我“辦公室那種50塊錢的交換機(jī)插到產(chǎn)線上用行不行”這個(gè)問(wèn)題得分兩層看。從純交換原理上說(shuō)商用交換機(jī)和工業(yè)交換機(jī)干的是同一件事都在做MAC地址學(xué)習(xí)和轉(zhuǎn)發(fā),傳輸數(shù)據(jù)包的能力沒(méi)有本質(zhì)區(qū)別。但從現(xiàn)場(chǎng)長(zhǎng)期可靠性來(lái)說(shuō)差別就大了。工業(yè)交換機(jī)的“工業(yè)”二字體現(xiàn)在幾個(gè)維度。一是環(huán)境適應(yīng)性寬溫設(shè)計(jì)常見(jiàn)的是-40℃到75℃放在沒(méi)有空調(diào)的配電柜里也不會(huì)死機(jī)二是冗余供電雙路電源輸入一路掛了另一路頂上三是安裝方式DIN導(dǎo)軌卡扣直接卡在柜體上不占地方四是電磁兼容產(chǎn)線變頻器一啟動(dòng)就是強(qiáng)干擾源工業(yè)交換機(jī)在EMC抗干擾方面有明顯強(qiáng)化商業(yè)交換機(jī)在這種環(huán)境下可能會(huì)出現(xiàn)偶發(fā)丟包甚至重啟。再往功能層面說(shuō)工業(yè)交換機(jī)通常內(nèi)置了環(huán)網(wǎng)冗余協(xié)議、VLAN、QoS、端口鏡像、風(fēng)暴抑制這些特性這些是商業(yè)交換機(jī)不一定具備或者即使具備也沒(méi)針對(duì)工業(yè)協(xié)議做優(yōu)化的功能。所以我的建議很直接如果只是臨時(shí)調(diào)試用手頭有什么交換機(jī)都行如果是長(zhǎng)期跑產(chǎn)線一定要用工業(yè)交換機(jī)。不要在這上面省錢一次非計(jì)劃停機(jī)造成的損失夠你買一柜子交換機(jī)了。2. 交換核心機(jī)制拆解一臺(tái)工業(yè)交換機(jī)到底在忙什么2.1 MAC地址學(xué)習(xí)交換機(jī)的“記憶”怎么建立交換機(jī)的核心工作機(jī)制第一件事就是學(xué)MAC地址。MAC地址就是網(wǎng)卡的物理地址每張網(wǎng)卡出廠時(shí)燒錄了一個(gè)全球唯一的48位十六進(jìn)制編號(hào)就像設(shè)備的身份證號(hào)。交換機(jī)內(nèi)部維護(hù)著一張表叫MAC地址表或者叫CAM表至少要記錄三項(xiàng)信息MAC地址、所屬VLAN、所在端口。這張表是動(dòng)態(tài)學(xué)習(xí)的。假設(shè)PLC1MAC為AA-AA-AA-AA-AA-01接在交換機(jī)的1號(hào)口PLC2MAC為BB-BB-BB-BB-BB-02接在3號(hào)口。當(dāng)PLC1向PLC2發(fā)包時(shí)交換機(jī)先從幀頭里讀出源MAC是AA-AA-AA-AA-AA-01就把“AA-AA-AA-AA-AA-01 → 端口1”記到表里。這是第一步學(xué)習(xí)源MAC。然后它再查目的MAC看看表里有沒(méi)有BB-BB-BB-BB-BB-02的記錄。如果已經(jīng)學(xué)過(guò)直接查到它在3號(hào)口就把這個(gè)幀只從3號(hào)口發(fā)出去其他端口不受打擾。這個(gè)過(guò)程聽(tīng)起來(lái)不復(fù)雜但它是所有交換行為的基礎(chǔ)。如果哪一天你發(fā)現(xiàn)網(wǎng)絡(luò)行為不正常先查這張表的記錄有沒(méi)有錯(cuò)亂往往能快速鎖定問(wèn)題。大多數(shù)工業(yè)交換機(jī)都支持通過(guò)命令行或者Web界面查看MAC地址表比如用show mac-address-table命令能看到每一臺(tái)設(shè)備在哪個(gè)端口下。這是一線排查故障時(shí)最常用的一個(gè)命令。2.2 轉(zhuǎn)發(fā)決策命中、泛洪與丟棄MAC地址表的關(guān)鍵用途是轉(zhuǎn)發(fā)決策。交換機(jī)會(huì)對(duì)每個(gè)收到的數(shù)據(jù)幀執(zhí)行三步判斷第一查源MAC學(xué)習(xí)并更新到表里如果表里已有刷新一下老化計(jì)時(shí)器。第二查目的MAC看表里有沒(méi)有匹配項(xiàng)。第三根據(jù)查表結(jié)果執(zhí)行動(dòng)作有匹配項(xiàng)就從對(duì)應(yīng)端口單播轉(zhuǎn)發(fā)沒(méi)有匹配項(xiàng)就把幀從除接收端口以外的所有端口發(fā)出去這個(gè)行為叫“泛洪”如果這個(gè)幀是廣播幀或組播幀也要做泛洪處理。泛洪這個(gè)機(jī)制很多人不理解為什么會(huì)有“未知單播”這種包想一想剛開(kāi)機(jī)的場(chǎng)景交換機(jī)剛上電MAC地址表是空的此時(shí)任何一臺(tái)設(shè)備發(fā)包交換機(jī)都不知道該往哪送只能“問(wèn)”所有端口。這個(gè)“問(wèn)”的動(dòng)作其實(shí)挺不講道理但它保證了任何設(shè)備剛接入網(wǎng)絡(luò)時(shí)彼此之間都能通過(guò)廣播讓其他人發(fā)現(xiàn)自己。ARP請(qǐng)求就是以廣播形式發(fā)出去的——我要找某臺(tái)IP地址對(duì)應(yīng)哪個(gè)MAC所有人都聽(tīng)得到只有目標(biāo)IP回復(fù)我其他人保持沉默。用生活類比來(lái)理解你手里有一封信要送給某個(gè)人但只知道名字不知道住址快遞站的一般做法是抄送一份給全樓住戶讓那個(gè)真正收信的人站出來(lái)認(rèn)領(lǐng)。這個(gè)“抄送全樓”的動(dòng)作就是泛洪。泛洪是必要的但如果網(wǎng)絡(luò)上這種泛洪流量太多就會(huì)形成廣播風(fēng)暴這個(gè)后面細(xì)聊。還有一種情況是丟棄。如果某個(gè)數(shù)據(jù)幀的目的MAC地址指向的端口恰好就是接收這個(gè)幀的端口交換機(jī)就不會(huì)把它再翻回去直接在內(nèi)部丟棄。這種情況比較少見(jiàn)但在配置了端口鏡像或者特殊VLAN場(chǎng)景下會(huì)遇到知道交換機(jī)有“丟棄”這個(gè)動(dòng)作就好。2.3 地址表老化與靜態(tài)綁定地址表不是永遠(yuǎn)不變的。交換機(jī)給每條動(dòng)態(tài)學(xué)習(xí)到的MAC表項(xiàng)加了一個(gè)生存時(shí)間通常是300秒這個(gè)時(shí)間叫老化時(shí)間。每次收到源MAC匹配的數(shù)據(jù)幀這個(gè)計(jì)時(shí)器就刷新一次。如果在一個(gè)老化周期內(nèi)沒(méi)再收到該設(shè)備的幀交換機(jī)就把這條記錄刪掉了。為什么要老化為了適應(yīng)設(shè)備移動(dòng)的場(chǎng)景。假如某臺(tái)設(shè)備從1號(hào)口拔下來(lái)插到5號(hào)口如果表里永久保留“該MAC在1號(hào)口”這條記錄交換機(jī)就會(huì)一直把發(fā)給它的幀往1號(hào)口送結(jié)果這臺(tái)設(shè)備永遠(yuǎn)收不到數(shù)據(jù)。有了老化機(jī)制設(shè)備在5號(hào)口重新發(fā)包時(shí)交換機(jī)會(huì)學(xué)習(xí)到新的映射關(guān)系覆蓋舊記錄通信自然就恢復(fù)了。老化機(jī)制本身是為了“靈活”但也帶來(lái)一個(gè)問(wèn)題如果某個(gè)設(shè)備的幀流量不大超過(guò)300秒不發(fā)一次包它的表項(xiàng)可能被清掉下次再發(fā)包時(shí)交換機(jī)就要泛洪一次可能引起短暫的轉(zhuǎn)發(fā)延遲。關(guān)鍵設(shè)備如果要避免這種情況可以做靜態(tài)MAC綁定手動(dòng)在交換機(jī)上把某個(gè)MAC地址固定指向某個(gè)端口永不過(guò)期。這在一些安全要求高或者對(duì)實(shí)時(shí)性要求極高的場(chǎng)景里很有用。工業(yè)交換機(jī)一般支持靜態(tài)MAC配置比如在接入PLC的端口上做綁定既能防止其他設(shè)備冒用MAC又能避免因老化導(dǎo)致的首包泛洪延遲。3. 工業(yè)場(chǎng)景下的關(guān)鍵交換特性3.1 環(huán)形冗余為什么工業(yè)網(wǎng)絡(luò)不能忍受斷網(wǎng)聊完基礎(chǔ)交換原理咱們進(jìn)入工業(yè)網(wǎng)絡(luò)的專屬領(lǐng)域——環(huán)網(wǎng)冗余這是工業(yè)交換機(jī)和交換機(jī)最關(guān)鍵的差異之一。先想想現(xiàn)場(chǎng)為什么會(huì)需要環(huán)網(wǎng)。一條產(chǎn)線如果全部用星型拓?fù)渌性O(shè)備都連到中心交換機(jī)那這根“中心”一旦出了故障整條線癱瘓。工業(yè)現(xiàn)場(chǎng)不允許這種單點(diǎn)故障常見(jiàn)做法是讓設(shè)備組成環(huán)形拓?fù)涿颗_(tái)交換機(jī)都有兩條物理路徑可以到達(dá)主站一條斷了數(shù)據(jù)還能走另一條。但這里有一個(gè)邏輯矛盾物理上成環(huán)之后如果哪臺(tái)交換機(jī)哪個(gè)端口還傻傻地做泛洪廣播幀就會(huì)在環(huán)里繞圈一臺(tái)交換機(jī)的端口一進(jìn)一出再出門再進(jìn)門循環(huán)往復(fù)瞬間就把網(wǎng)絡(luò)帶寬耗盡形成廣播風(fēng)暴。所以環(huán)網(wǎng)協(xié)議的核心思路就是物理上允許成環(huán)邏輯上用協(xié)議讓交換機(jī)“阻塞”某個(gè)端口把環(huán)切斷讓它在邏輯上仍然是一條鏈。正常時(shí)所有數(shù)據(jù)都走這條鏈鏈路斷了協(xié)議自動(dòng)把阻塞端口恢復(fù)為轉(zhuǎn)發(fā)狀態(tài)讓數(shù)據(jù)走另一條路徑。RSTP是通用的快速生成樹(shù)協(xié)議收斂速度通常在1~2秒。但對(duì)于運(yùn)動(dòng)控制這種對(duì)中斷時(shí)間要求極高的系統(tǒng)1秒的恢復(fù)時(shí)間太長(zhǎng)了所以工業(yè)現(xiàn)場(chǎng)更常用的是專為工業(yè)設(shè)計(jì)的MRPIEC 62439-2標(biāo)準(zhǔn)協(xié)議。MRP會(huì)在環(huán)上指定一臺(tái)交換機(jī)作為環(huán)網(wǎng)管理器MRM它會(huì)周期性發(fā)送測(cè)試幀在環(huán)上跑一圈如果收不到說(shuō)明鏈路斷了立刻把阻塞端口放開(kāi)恢復(fù)時(shí)間能做到50毫秒以內(nèi)有些設(shè)備甚至能到10毫秒以內(nèi)。10毫秒是什么概念操作員可能還沒(méi)來(lái)得及看到報(bào)警燈閃一下網(wǎng)絡(luò)就已經(jīng)恢復(fù)通信了。3.2 廣播風(fēng)暴與環(huán)路防護(hù)廣播風(fēng)暴這個(gè)坑基本每個(gè)搞網(wǎng)絡(luò)的人都踩過(guò)?，F(xiàn)象很典型某天產(chǎn)線突然全線通信超時(shí)交換機(jī)所有端口指示燈瘋狂閃爍CPU使用率飆到接近百分之百你ping誰(shuí)都丟包甚至整個(gè)網(wǎng)絡(luò)癱掉。廣播風(fēng)暴的常見(jiàn)根源有兩個(gè)物理環(huán)路加上沒(méi)有配置冗余協(xié)議或者協(xié)議沒(méi)生效形成了一個(gè)“環(huán)路泛洪”的完美風(fēng)暴循環(huán)。廣播幀在環(huán)里被各臺(tái)交換機(jī)反復(fù)學(xué)習(xí)、轉(zhuǎn)發(fā)每一圈都不重樣風(fēng)暴指數(shù)級(jí)放大。另一個(gè)根源是某臺(tái)設(shè)備的網(wǎng)卡或者交換機(jī)端口出現(xiàn)故障持續(xù)發(fā)出大量廣播或錯(cuò)誤包超過(guò)交換機(jī)CPU承載極限。怎么防護(hù)最簡(jiǎn)單的思路是上聯(lián)網(wǎng)絡(luò)前先檢查拓?fù)鋭e把環(huán)連成“錯(cuò)環(huán)”。但現(xiàn)場(chǎng)接線有時(shí)候就是會(huì)混亂特別是臨時(shí)調(diào)試接了幾根跳線。此時(shí)交換機(jī)自身必須有防護(hù)能力工業(yè)交換機(jī)一般會(huì)有這三種措施一是配置環(huán)網(wǎng)協(xié)議RSTP/MRP邏輯上打破拓?fù)洵h(huán)二是配置廣播風(fēng)暴抑制設(shè)定廣播幀的速率上限比如每秒只能通過(guò)3000個(gè)廣播包超出的直接丟棄三是開(kāi)環(huán)路檢測(cè)功能交換機(jī)能識(shí)別到端口出現(xiàn)了“自己收到自己發(fā)出去的幀”這種異常就自動(dòng)把端口關(guān)掉或者告警。實(shí)操細(xì)節(jié)上我曾經(jīng)排查過(guò)一個(gè)現(xiàn)場(chǎng)PLC站和遠(yuǎn)程IO站之間偶爾通信超時(shí)查了半天最后發(fā)現(xiàn)是一條廢棄的跳線兩端都插在了交換機(jī)上形成了一個(gè)物理環(huán)而正好那臺(tái)交換機(jī)老型號(hào)不支持STP也沒(méi)有人工配置風(fēng)暴抑制結(jié)果廣播幀在環(huán)里自我繁殖系統(tǒng)接近癱瘓。后來(lái)把跳線拔掉網(wǎng)絡(luò)秒恢復(fù)。從那以后我接手任何項(xiàng)目的第一件事就是檢查所有交換機(jī)是否開(kāi)啟了RSTP或MRP、是否配置了風(fēng)暴抑制。這兩個(gè)措施是工業(yè)網(wǎng)絡(luò)的保險(xiǎn)絲平時(shí)看不出作用關(guān)鍵時(shí)刻能救你一條產(chǎn)線。3.3 VLAN與QoS在工業(yè)現(xiàn)場(chǎng)的實(shí)戰(zhàn)價(jià)值接下來(lái)說(shuō)說(shuō)VLAN和QoS。這兩個(gè)概念在辦公網(wǎng)絡(luò)里也常用但在工業(yè)現(xiàn)場(chǎng)它們的價(jià)值更直接。VLAN是虛擬局域網(wǎng)核心作用是劃分廣播域。交換機(jī)天然會(huì)把廣播幀泛洪到所有端口而通過(guò)VLAN可以把端口分組讓廣播幀只在同一VLAN內(nèi)部泛洪?，F(xiàn)場(chǎng)最常見(jiàn)的做法是把控制網(wǎng)絡(luò)和視頻網(wǎng)絡(luò)分開(kāi)PLC、伺服、HMI這些實(shí)時(shí)控制設(shè)備放進(jìn)VLAN 10監(jiān)控?cái)z像頭和錄像機(jī)放進(jìn)VLAN 20。這樣攝像頭的視頻流再怎么滿天飛也不會(huì)擠占PLC的控制通信帶寬。第二個(gè)場(chǎng)景是不同工段的數(shù)據(jù)隔離一個(gè)車間可能有A線和B線兩條線的PLC之間不需要互相通信用VLAN隔開(kāi)既提高安全性也減少無(wú)關(guān)廣播流量。QoS則是解決優(yōu)先級(jí)問(wèn)題的。想象一下交換機(jī)一個(gè)出站口同時(shí)要發(fā)兩個(gè)包一個(gè)是PLC的位置控制指令一個(gè)是攝像頭的視頻幀。從“公平”角度先到先發(fā)但這樣會(huì)讓控制指令排在視頻幀后面。工業(yè)控制的實(shí)時(shí)性要求不能接受這種排隊(duì)所以QoS機(jī)制會(huì)讓關(guān)鍵幀“插隊(duì)”。QoS通過(guò)檢查幀里的802.1p優(yōu)先級(jí)字段位于VLAN Tag的優(yōu)先級(jí)域中范圍0~7或DSCP字段把高優(yōu)先級(jí)報(bào)文放入高優(yōu)先級(jí)隊(duì)列交換機(jī)的出站調(diào)度器會(huì)優(yōu)先清空高優(yōu)先級(jí)隊(duì)列再處理低優(yōu)先級(jí)隊(duì)列。底層機(jī)制通常是嚴(yán)格優(yōu)先SP或加權(quán)輪詢WRR工業(yè)交換機(jī)里SP更常用因?yàn)樗鼙ＷC高優(yōu)先級(jí)幀永遠(yuǎn)不被低優(yōu)先級(jí)擠掉。實(shí)操中配置QoS時(shí)要記住兩個(gè)方向都要考慮。PLC發(fā)給交換機(jī)的上行幀你要在交換機(jī)入口方向信任或改寫(xiě)優(yōu)先級(jí)交換機(jī)轉(zhuǎn)發(fā)給PLC的下行幀也要在出口方向按優(yōu)先級(jí)調(diào)度。有些工程師只配了入方向結(jié)果從站到主站的路徑還是被視頻流擠占排查起來(lái)特別隱蔽。配QoS的時(shí)候把每個(gè)端口的入口和出口策略都過(guò)一遍能省很多后續(xù)排障時(shí)間。4. 實(shí)操案例一臺(tái)工業(yè)交換機(jī)的配置過(guò)程4.1 場(chǎng)景規(guī)劃與需求梳理光講原理比較抽象我拿一個(gè)去年做的模擬項(xiàng)目X來(lái)走一遍完整配置流程。這個(gè)項(xiàng)目的拓?fù)浜芎?jiǎn)單一臺(tái)8口千兆導(dǎo)軌式工業(yè)交換機(jī)某國(guó)產(chǎn)型號(hào)支持RSTP/MRP、VLAN、QoS、風(fēng)暴抑制下掛設(shè)備如下端口接的設(shè)備用途IP段1PLC1主站控制192.168.0.1/242PLC2從站控制192.168.0.2/243PLC3從站控制192.168.0.3/244HMI1監(jiān)控192.168.0.10/245伺服驅(qū)動(dòng)器1控制192.168.0.20/246高速攝像頭1視頻192.168.1.6/247高速攝像頭2視頻192.168.1.7/248上位機(jī)管理/查看192.168.0.100/24需求梳理一下控制層PLC、HMI、伺服必須與視頻層攝像頭隔離互不干擾控制層的關(guān)鍵報(bào)文要有高優(yōu)先級(jí)交換機(jī)本身要有一個(gè)獨(dú)立的管理IP方便遠(yuǎn)程維護(hù)所有端口都要開(kāi)啟風(fēng)暴抑制為了以后擴(kuò)展交換機(jī)要支持后續(xù)接入冗余環(huán)網(wǎng)?；谶@些需求規(guī)劃的方案是VLAN 10承載控制層VLAN 20承載視頻層端口1/2/3/4/5/8劃入VLAN 10端口6/7劃入VLAN 20。管理IP單獨(dú)用VLAN 10的一個(gè)空閑地址比如192.168.0.99/24。QoS方面對(duì)PLC和伺服的端口在入方向改寫(xiě)優(yōu)先級(jí)為5高攝像頭端口不信任優(yōu)先級(jí)維持默認(rèn)0。這樣視頻流量再大也不會(huì)讓控制報(bào)文排隊(duì)。4.2 命令行配置實(shí)例一般在現(xiàn)場(chǎng)操作用console線連交換機(jī)的console口然后用終端軟件如SecureCRT波特率設(shè)115200登錄。不同廠商的命令風(fēng)格有差異但思路一致。以這款設(shè)備的命令行風(fēng)格為例關(guān)鍵配置過(guò)程大致是這樣第一步進(jìn)入系統(tǒng)視圖配置設(shè)備基礎(chǔ)信息enable config hostname IES-3108第二步創(chuàng)建VLAN并把端口劃入對(duì)應(yīng)VLANvlan 10 vlan 20 interface gigabit-ethernet 0/1 port mode access port access vlan 10 interface gigabit-ethernet 0/2 port mode access port access vlan 10 interface gigabit-ethernet 0/3 port mode access port access vlan 10 interface gigabit-ethernet 0/4 port mode access port access vlan 10 interface gigabit-ethernet 0/5 port mode access port access vlan 10 interface gigabit-ethernet 0/6 port mode access port access vlan 20 interface gigabit-ethernet 0/7 port mode access port access vlan 20 interface gigabit-ethernet 0/8 port mode access port access vlan 10這里有個(gè)細(xì)節(jié)視頻口我用的是access模式端口直接歸屬VLAN 20。如果一臺(tái)下掛設(shè)備需要同時(shí)承載多個(gè)VLAN的幀比如上位機(jī)既訪問(wèn)控制網(wǎng)又訪問(wèn)視頻網(wǎng)那時(shí)端口才需要配trunk模式加上tagged幀處理。在這個(gè)項(xiàng)目里設(shè)備到交換機(jī)的連接都是單VLAN直連所以用access簡(jiǎn)單清零。第三步配置各業(yè)務(wù)VLAN三層管理地址如果交換機(jī)支持三層可配置如果純二層管理地址走管理VLANinterface vlan-interface 10 ip address 192.168.0.99 255.255.255.0第四步開(kāi)啟RSTP防止拓?fù)涑森h(huán)spanning-tree spanning-tree mode rstp第五步配置廣播風(fēng)暴抑制端口入方向限制廣播包的轉(zhuǎn)發(fā)速率interface gigabit-ethernet 0/1 storm-control broadcast pps 3000 interface gigabit-ethernet 0/2 storm-control broadcast pps 3000 interface gigabit-ethernet 0/3 storm-control broadcast pps 3000 interface gigabit-ethernet 0/4 storm-control broadcast pps 3000 interface gigabit-ethernet 0/5 storm-control broadcast pps 3000 interface gigabit-ethernet 0/6 storm-control broadcast pps 3000 interface gigabit-ethernet 0/7 storm-control broadcast pps 3000 interface gigabit-ethernet 0/8 storm-control broadcast pps 30003000 pps這個(gè)值是拍腦袋定的嗎不是。常規(guī)PLC廠家的標(biāo)準(zhǔn)以太網(wǎng)廣播幀很小但每臺(tái)設(shè)備正常ARP請(qǐng)求、DHCP、協(xié)議周期廣播加起來(lái)也就幾十到幾百pps。普通產(chǎn)線一個(gè)廣播域里50臺(tái)設(shè)備每秒廣播包總量通常在1000pps以內(nèi)設(shè)3000pps足夠兜底又能防止風(fēng)暴蔓延。如果你有廠商設(shè)備支持以帶寬百分比做閾值那更簡(jiǎn)單直接設(shè)總帶寬的5%。第六步配置QoS優(yōu)先處理控制關(guān)鍵報(bào)文priority mapping interface gigabit-ethernet 0/1 traffic priority 802.1p 5 interface gigabit-ethernet 0/2 traffic priority 802.1p 5 interface gigabit-ethernet 0/3 traffic priority 802.1p 5 interface gigabit-ethernet 0/5 traffic priority 802.1p 5上面這樣配置之后交換機(jī)在這幾個(gè)端口上會(huì)把收到的幀改寫(xiě)成高優(yōu)先級(jí)標(biāo)記。出口調(diào)度則保持默認(rèn)的嚴(yán)格優(yōu)先隊(duì)列也就是只要隊(duì)列里有高優(yōu)先級(jí)的幀就優(yōu)先把它發(fā)出去。第七步配置靜態(tài)MAC地址綁定防止未授權(quán)設(shè)備接入interface gigabit-ethernet 0/1 mac-address static AA-AA-AA-AA-AA-01 vlan 10 interface gigabit-ethernet 0/2 mac-address static BB-BB-BB-BB-BB-02 vlan 10這里我只綁定了PLC1和PLC2的MAC因?yàn)檫@兩臺(tái)是核心控制器防止有人惡意或者無(wú)意地仿冒它們的MAC。其他端口不用一個(gè)個(gè)綁按需來(lái)做。4.3 驗(yàn)證與測(cè)試配置完成以后不要急著收工驗(yàn)證環(huán)節(jié)很關(guān)鍵。先在交換機(jī)上查看MAC地址表確認(rèn)所有設(shè)備都已經(jīng)被學(xué)習(xí)到正確端口enable show mac-address-table你會(huì)看到這樣一張表MAC Address VLAN Port Type AA-AA-AA-AA-AA-01 10 GE0/1 Static BB-BB-BB-BB-BB-02 10 GE0/2 Static CC-CC-CC-CC-CC-0C 10 GE0/3 Dynamic ...然后從上位機(jī)分別ping PLC1、PLC2和攝像頭IP確認(rèn)VLAN之間的隔離是否生效。注意VLAN 10里的上位機(jī)默認(rèn)是ping不通VLAN 20里的攝像頭IP的要跨VLAN通信必須有三層路由設(shè)備。在這個(gè)項(xiàng)目里管理端想看視頻走的是另一條通道不在VLAN 10的網(wǎng)絡(luò)里這里就不展開(kāi)。測(cè)試QoS是否生效用兩臺(tái)電腦一臺(tái)接在VLAN 20的攝像頭口上跑大流量比如不斷向網(wǎng)絡(luò)里灌視頻流另一臺(tái)接在VLAN 10的PLC口上一邊做長(zhǎng)時(shí)間ping測(cè)試一邊觀察是否存在明顯的延遲抖動(dòng)。實(shí)測(cè)下來(lái)我這邊打500M視頻流量進(jìn)去高優(yōu)先級(jí)隊(duì)列的控制報(bào)文延遲依然是幾毫秒以內(nèi)而低優(yōu)先級(jí)報(bào)文的延遲已經(jīng)沖到了幾百毫秒。差異非常明顯QoS的效果不需要抓包分析看延遲曲線就夠了。最后測(cè)試RSTP把兩根線臨時(shí)接成物理環(huán)路把接線架上兩根網(wǎng)線都插到交換機(jī)相鄰口形成環(huán)然后觀察交換機(jī)告警燈再拔掉其中一根記錄控制通信的恢復(fù)時(shí)間。實(shí)測(cè)這臺(tái)設(shè)備RSTP恢復(fù)時(shí)間在1.5秒左右而如果后續(xù)接到支持MRP的環(huán)網(wǎng)上恢復(fù)時(shí)間可以做到50毫秒以內(nèi)。這兩種協(xié)議的選擇要看你的實(shí)時(shí)性需求如果設(shè)備間是Profinet IRT這類對(duì)時(shí)延極其敏感的應(yīng)用就直接選MRP方案。提示所有配置完成后一定要保存配置?，F(xiàn)場(chǎng)最悲催的事情就是配置完交換機(jī)忘了執(zhí)行保存命令斷電重啟后一切回到解放前。不同廠商保存命令不同常見(jiàn)的如copy running-config startup-config或save自己記牢自己設(shè)備的命令。5. 常見(jiàn)問(wèn)題與排查技巧實(shí)錄5.1 現(xiàn)象網(wǎng)口燈亮但PLC通信時(shí)通時(shí)斷這類問(wèn)題在工業(yè)現(xiàn)場(chǎng)太常見(jiàn)了。首先確認(rèn)交換機(jī)的端口協(xié)商是否正常連接或斷開(kāi)時(shí)端口指示燈是否穩(wěn)定。多數(shù)PLC網(wǎng)口與外置交換機(jī)連接是1G全雙工協(xié)商或者100M全雙工如果協(xié)商異常比如出現(xiàn)半雙工就很容易出現(xiàn)時(shí)通時(shí)斷。查看交換機(jī)端口狀態(tài)可以用show interface命令確認(rèn)速率和雙工模式。如果這邊顯示400M或者半雙工就說(shuō)明鏈路有問(wèn)題通常是網(wǎng)線質(zhì)量差、水晶頭接觸不良、或者屏蔽層破損。換根網(wǎng)線往往立刻解決。還有一類情況是MAC地址表抖動(dòng)。如果交換機(jī)上兩臺(tái)設(shè)備用了同一個(gè)MAC地址這臺(tái)發(fā)包MAC表就學(xué)過(guò)去那臺(tái)再發(fā)包表項(xiàng)又被改過(guò)來(lái)兩邊來(lái)回改結(jié)果兩邊通信都不穩(wěn)定。排查辦法是在交換機(jī)上查看MAC地址表找連續(xù)學(xué)不定的表項(xiàng)然后用靜態(tài)MAC綁定把它釘住。有時(shí)候設(shè)備誤配置了相同的MAC比如兩臺(tái)工控機(jī)的克隆MAC就用這種手段識(shí)別出來(lái)。5.2 現(xiàn)象大流量時(shí)整個(gè)網(wǎng)絡(luò)卡頓CPU告警先看是不是廣播風(fēng)暴登錄交換機(jī)看CPU利用率如果持續(xù)接近滿負(fù)荷優(yōu)先考慮廣播包是否過(guò)多再看端口統(tǒng)計(jì)里的廣播包計(jì)數(shù)show port statistics當(dāng)一個(gè)端口每秒收到數(shù)千個(gè)廣播幀時(shí)大概率有問(wèn)題。處理方式是按第3.2節(jié)講到的三件套來(lái)辦啟用RSTP/MRP打破環(huán)、開(kāi)啟風(fēng)暴抑制限制pps、檢查是否有設(shè)備網(wǎng)卡故障在瘋狂發(fā)包。另一種可能是因?yàn)榻M播流量沒(méi)被管控。工業(yè)協(xié)議里會(huì)用到一些組播通信比如Profinet的實(shí)時(shí)通信就大量使用組播MAC地址。如果交換機(jī)不配置IGMP Snooping交換機(jī)就把組播幀當(dāng)成廣播幀來(lái)泛洪所有端口都收一遍流量大時(shí)也會(huì)把出口帶寬吃滿。工業(yè)交換機(jī)里啟用IGMP Snooping是個(gè)好習(xí)慣它讓組播幀只發(fā)送到訂閱了該組播組的端口大幅減輕無(wú)關(guān)端口流量。很多工程師對(duì)VLAN很重視卻忽略了IGMP Snooping實(shí)際上它對(duì)Profinet設(shè)備多的網(wǎng)絡(luò)尤其重要。5.3 現(xiàn)象交換機(jī)重啟后配置丟失或者管理IP訪問(wèn)不了先確認(rèn)保存配置的操作做了沒(méi)有。設(shè)備重啟后如果恢復(fù)出廠狀態(tài)十有八九是沒(méi)執(zhí)行保存命令。工業(yè)交換機(jī)的配置保存機(jī)制和路由器類似運(yùn)行配置在內(nèi)存中掉電即失必須顯式保存。管理IP訪問(wèn)不了可以從三個(gè)方向排查。第一管理IP是不是跟業(yè)務(wù)IP段沖突如果管理IP跟PLC在同一網(wǎng)段又恰好跟某臺(tái)PLC的IP重復(fù)就有沖突了。所以在實(shí)際項(xiàng)目中管理VLAN最好單獨(dú)劃一個(gè)管理網(wǎng)段跟業(yè)務(wù)VLAN徹底分開(kāi)。第二檢查PC的IP跟交換機(jī)的管理IP是否同網(wǎng)段。第三看看管理口是不是只允許特定VLAN通過(guò)。比如我習(xí)慣把管理地址放在VLAN 10如果管理口的PVID配成了VLAN 20那從VLAN 10里來(lái)的上位機(jī)自然訪問(wèn)不了。5.4 現(xiàn)象環(huán)網(wǎng)協(xié)議設(shè)了但鏈路斷了還是不恢復(fù)這種情況最坑因?yàn)槔碚撋显撌諗康臎](méi)收斂。第一步確認(rèn)所有交換機(jī)上環(huán)網(wǎng)協(xié)議都啟用了嗎——很多項(xiàng)目里只在一臺(tái)交換機(jī)上開(kāi)了另外幾臺(tái)沒(méi)開(kāi)導(dǎo)致協(xié)議協(xié)商不出來(lái)整個(gè)環(huán)沒(méi)有邏輯阻斷點(diǎn)。第二步確認(rèn)“阻塞端口”選在哪臺(tái)設(shè)備上。如果你指定某臺(tái)設(shè)備為環(huán)網(wǎng)管理器MRM把其他設(shè)備設(shè)為環(huán)網(wǎng)客戶機(jī)MRC那狀態(tài)的判斷就看MRM的端口——你可以在MRM上看它的主端口和副端口狀態(tài)正常是副端口處于“Discarding”或“Blocking”狀態(tài)。如果副端口一直是“Forwarding”說(shuō)明協(xié)議沒(méi)收斂成功整個(gè)環(huán)處于風(fēng)暴邊緣。第三步把環(huán)斷開(kāi)一處確認(rèn)是否恢復(fù)再做拔線測(cè)試。我通常的做法是把環(huán)路分幾次斷每斷一處等幾秒看MRM的狀態(tài)是否切換用日志確認(rèn)收斂時(shí)間是否符合標(biāo)稱值全部通過(guò)才算是真正配好了。6. 一個(gè)現(xiàn)場(chǎng)小技巧和我的經(jīng)驗(yàn)體會(huì)最后分享一個(gè)我個(gè)人的習(xí)慣。每次做完交換機(jī)的配置我會(huì)把設(shè)備信息貼在交換機(jī)外殼的角落上管理IP、VLAN劃分、環(huán)網(wǎng)角色、端口分配表。這個(gè)習(xí)慣救過(guò)我很多次。人不是機(jī)器半年后回訪這個(gè)現(xiàn)場(chǎng)誰(shuí)記得當(dāng)年把攝像頭劃到哪個(gè)VLAN、把哪個(gè)端口設(shè)成了靜態(tài)MAC綁定有了這張紙條哪怕?lián)Q了一個(gè)完全不熟悉項(xiàng)目的工程師來(lái)處理故障他也能快速掌握這臺(tái)交換機(jī)的邏輯架構(gòu)不用爬到柜子里一根線一根線捋。還有一個(gè)小技巧如果交換機(jī)不支持Web界面或者命令行操作不熟很多國(guó)產(chǎn)工業(yè)交換機(jī)配有上位機(jī)管理工具基本上圖形化界面端口劃VLAN、開(kāi)RSTP、風(fēng)暴抑制都是打勾勾的事。對(duì)很多做設(shè)備維護(hù)的工程師來(lái)說(shuō)這種方式比命令行更直觀。但不管用什么界面你理解的交換原理都是一樣的界面的差異只是工具形態(tài)的差異不是一個(gè)“懂網(wǎng)絡(luò)”和“不懂網(wǎng)絡(luò)”的分界線。說(shuō)實(shí)話交換原理這門知識(shí)不是那種天天都用的技能但一旦用到就是救火級(jí)別的。能在現(xiàn)場(chǎng)把“廣播風(fēng)暴”“VLAN隔離”“QoS優(yōu)先級(jí)”“環(huán)網(wǎng)收斂”這些機(jī)制講清楚排起故障來(lái)就有章法。我遇到過(guò)太多設(shè)備工程師程序?qū)懙煤芎迷O(shè)備組裝也沒(méi)問(wèn)題網(wǎng)絡(luò)一卡就抓瞎最后只能靠廠商遠(yuǎn)程支持。其實(shí)只要把交換原理的核心機(jī)制過(guò)一次腦很多故障的判斷就不再是玄學(xué)而是有據(jù)可查的邏輯推理。希望這一講能幫你在下一次遇到網(wǎng)絡(luò)故障時(shí)多一層思路少一點(diǎn)焦慮。