矿网真账 · 2026.09-样例 · 指纹 c243913c26…25b2c4
矿网真账
拓扑、地址、人员与厂商均为虚构，只用于演示与测试，不对应任何真实矿井网络。 采集：信息中心 · 现场摸底（样例），2026-09-20 10:00。所有用法都出自这一本账。
01
有什么
设备、位置、地址、供电、备用电源、责任人
| 设备 | 类型 | 区域 | 位置 | 地址 | 供电 | 备用电源 | 负责 |
|---|---|---|---|---|---|---|---|
| 安全监控厂商远维vendor-kj | 外部 | 外部 · 厂商远维 | 厂商侧（VPN 拨入） | 172.31.1.10 | — | — | 安全监控系统厂商 |
| 人员定位厂商远维vendor-loc | 外部 | 外部 · 厂商远维 | 厂商侧（VPN 拨入） | 172.31.2.10 | — | — | 人员定位系统厂商 |
| 视频厂商远维vendor-video | 外部 | 外部 · 厂商远维 | 厂商侧（VPN 拨入） | 172.31.3.10 | — | — | 视频系统厂商 |
| 办公终端off-pc | 工作站 | 管理网（办公） | 办公楼各科室 | 10.10.20.15, 10.10.20.16 | 办公楼配电 | — | 信息中心 |
| 办公核心交换机off-core | 交换机 | 管理网（办公） | 办公楼 3 层弱电间 | 10.10.0.1 | 办公楼配电 | — | 信息中心 |
| 北斗授时服务器ntp | 授时 | 管理网（办公） | 办公楼 3 层弱电间 | 10.10.0.20 | 办公楼配电 | — | 信息中心 |
| 远维 VPN 网关vpn-gw | VPN 网关 | 工业 DMZ | 调度中心机房 1 号柜 | 10.30.0.1 | 调度中心 UPS | — | 信息中心 |
| DMZ 交换机dmz-sw | 交换机 | 工业 DMZ | 调度中心机房 1 号柜 | 10.30.0.2 | 调度中心 UPS | — | 信息中心 |
| 生产数据镜像库hist | 服务器 | 工业 DMZ | 调度中心机房 1 号柜 | 10.30.0.20 | 调度中心 UPS | — | 信息中心 |
| 运维堡垒机bastion | 堡垒机 | 工业 DMZ | 调度中心机房 1 号柜 | 10.30.0.10 | 调度中心 UPS | — | 信息中心 |
| 管理网边界防火墙fw-mgmt | 防火墙 | 工业 DMZ | 调度中心机房 1 号柜 | 10.30.0.254 | 调度中心 UPS / 调度中心市电直供 | — | 信息中心 |
| 生产核心交换机 Acore-a | 交换机 | 生产控制网 · 地面 | 调度中心机房 2 号柜 | 10.20.0.1 | 调度中心 UPS / 调度中心市电直供 | — | 信息中心 |
| 生产核心交换机 Bcore-b | 交换机 | 生产控制网 · 地面 | 调度中心机房 3 号柜 | 10.20.0.2 | 调度中心 UPS / 调度中心市电直供 | — | 信息中心 |
| 人员定位服务器loc-server | 服务器 | 生产控制网 · 地面 | 调度中心机房 2 号柜 | 10.20.0.11 | 调度中心 UPS | — | 调度室 |
| 应急广播主机broadcast-host | 服务器 | 生产控制网 · 地面 | 调度室 | 10.20.0.14 | 调度中心 UPS | — | 调度室 |
| 安全监控主机gas-host | 服务器 | 生产控制网 · 地面 | 调度中心机房 2 号柜 | 10.20.0.10 | 调度中心 UPS / 调度中心市电直供 | — | 调度室 |
| 工程师站engineer | 工作站 | 生产控制网 · 地面 | 调度中心机房操作间 | 10.20.0.12 | 调度中心 UPS | — | 信息中心 |
| 综合自动化主机auto-host | 服务器 | 生产控制网 · 地面 | 调度中心机房 3 号柜 | 10.20.0.13 | 调度中心 UPS / 调度中心市电直供 | — | 机电科 |
| 视频 NVRnvr | 服务器 | 生产控制网 · 地面 | 调度中心机房 3 号柜 | 10.20.0.15 | 调度中心市电直供 | — | 调度室 |
| 主通风机房交换机vent-sw | 交换机 | 生产控制网 · 地面 | 主通风机房 | 10.20.0.30 | 主通风机房配电 | — | 通风科 |
| 主通风机 PLCvent-plc | PLC | 生产控制网 · 地面 | 主通风机房 | 10.20.0.31 | 主通风机房配电 | — | 通风科 |
| 单向网闸diode | 网闸 | 监管交换区 | 调度中心机房 4 号柜 | 10.40.0.1 | 调度中心 UPS | — | 信息中心 |
| 监管数据采集机collector | 服务器 | 监管交换区 | 调度中心机房 4 号柜 | 10.40.0.10 | 调度中心 UPS | — | 信息中心 |
| 监管上传路由器reg-router | 路由器 | 监管交换区 | 调度中心机房 4 号柜 | 10.40.0.254 | 调度中心 UPS | — | 信息中心 |
| 省局监测平台province | 外部 | 外部 · 上级平台 | 上级平台（专线） | 198.51.100.20 | — | — | 上级监管部门 |
| 集团数据平台group | 外部 | 外部 · 上级平台 | 上级平台（专线） | 198.51.100.30 | — | — | 集团信息公司 |
| 井底车场环网交换机ug-sw1 | 交换机 | 生产控制网 · 井下环网 | 井底车场硐室 | 10.20.1.1 | 中央变电所 1# 馈电（井底车场） | — | 信息中心 |
| 中央变电所环网交换机ug-sw2 | 交换机 | 生产控制网 · 井下环网 | 中央变电所 | 10.20.2.1 | 中央变电所 2# 馈电（变电所硐室） | — | 信息中心 |
| 中央水泵房环网交换机ug-sw3 | 交换机 | 生产控制网 · 井下环网 | 中央水泵房 | 10.20.3.1 | 中央水泵房配电 | — | 信息中心 |
| 一采区变电所环网交换机ug-sw4 | 交换机 | 生产控制网 · 井下环网 | 一采区变电所 | 10.20.4.1 | 一采区变电所馈电 | — | 信息中心 |
| 101 工作面交换机ug-sw5 | 交换机 | 生产控制网 · 井下环网 | 101 综采工作面 · 设备列车 | 10.20.5.1 | 101 工作面移动变电站 | — | 信息中心 |
| 定位基站（井底车场）loc-bs1 | 基站 | 生产控制网 · 井下环网 | 井底车场 | 10.20.1.21 | 中央变电所 1# 馈电（井底车场） | 60 分 | 调度室 |
| 井下广播终端（井底车场）ug-speaker | 终端 | 生产控制网 · 井下环网 | 井底车场 | 10.20.1.31 | 中央变电所 1# 馈电（井底车场） | 60 分 | 调度室 |
| 安全监控分站 2#（中央变电所）kj-sub2 | 分站 | 生产控制网 · 井下环网 | 中央变电所 | 10.20.2.11 | 中央变电所 2# 馈电（变电所硐室） | 120 分 | 调度室 |
| 中央变电所综保子站power-relay | PLC | 生产控制网 · 井下环网 | 中央变电所 | 10.20.2.41 | 中央变电所 2# 馈电（变电所硐室） | — | 机电科 |
| 中央水泵房 PLCpump-plc | PLC | 生产控制网 · 井下环网 | 中央水泵房 | 10.20.3.51 | 中央水泵房配电 | — | 机电科 |
| 安全监控分站 3#（一采区回风巷）kj-sub3 | 分站 | 生产控制网 · 井下环网 | 一采区回风巷 | 10.20.4.11 | 一采区变电所馈电 | 120 分 | 调度室 |
| 安全监控分站 1#（101 工作面）kj-sub1 | 分站 | 生产控制网 · 井下环网 | 101 综采工作面 | 10.20.5.11 | 101 工作面移动变电站 | 120 分 | 调度室 |
| 定位基站（101 工作面）loc-bs2 | 基站 | 生产控制网 · 井下环网 | 101 综采工作面 | 10.20.5.21 | 101 工作面移动变电站 | 60 分 | 调度室 |
| 101 工作面摄像机ug-cam | 摄像机 | 生产控制网 · 井下环网 | 101 综采工作面 | 10.20.5.61 | 101 工作面移动变电站 | — | 调度室 |
02
供电回路
上级任意一路在电，本回路就在电
| 回路 | 位置 | 上级 | 挂的网络设备 |
|---|---|---|---|
| 地面变电所 Ⅰ 回路 | 地面 35kV 变电所 | 根回路 | — |
| 地面变电所 Ⅱ 回路 | 地面 35kV 变电所 | 根回路 | — |
| 调度中心 UPS | 调度中心配电室 | 地面变电所 Ⅰ 回路、地面变电所 Ⅱ 回路 | 远维 VPN 网关、DMZ 交换机、生产数据镜像库、运维堡垒机、管理网边界防火墙、生产核心交换机 A、生产核心交换机 B、人员定位服务器、应急广播主机、安全监控主机、工程师站、综合自动化主机、单向网闸、监管数据采集机、监管上传路由器 |
| 调度中心市电直供 | 调度中心配电室 | 地面变电所 Ⅱ 回路 | 管理网边界防火墙、生产核心交换机 A、生产核心交换机 B、安全监控主机、综合自动化主机、视频 NVR |
| 办公楼配电 | 办公楼配电室 | 地面变电所 Ⅰ 回路 | 办公终端、办公核心交换机、北斗授时服务器 |
| 主通风机房配电 | 主通风机房 | 地面变电所 Ⅰ 回路、地面变电所 Ⅱ 回路 | 主通风机房交换机、主通风机 PLC |
| 中央变电所 Ⅰ 段母线 | 中央变电所 | 地面变电所 Ⅰ 回路 | — |
| 中央变电所 Ⅱ 段母线 | 中央变电所 | 地面变电所 Ⅱ 回路 | — |
| 中央变电所 1# 馈电（井底车场） | 中央变电所 | 中央变电所 Ⅰ 段母线 | 井底车场环网交换机、定位基站（井底车场）、井下广播终端（井底车场） |
| 中央变电所 2# 馈电（变电所硐室） | 中央变电所 | 中央变电所 Ⅱ 段母线 | 中央变电所环网交换机、安全监控分站 2#（中央变电所）、中央变电所综保子站 |
| 中央水泵房配电 | 中央水泵房 | 中央变电所 Ⅰ 段母线、中央变电所 Ⅱ 段母线 | 中央水泵房环网交换机、中央水泵房 PLC |
| 一采区变电所馈电 | 一采区变电所 | 中央变电所 Ⅰ 段母线 | 一采区变电所环网交换机、安全监控分站 3#（一采区回风巷） |
| 101 工作面移动变电站 | 101 综采工作面 · 设备列车 | 一采区变电所馈电 | 101 工作面交换机、安全监控分站 1#（101 工作面）、定位基站（101 工作面）、101 工作面摄像机 |
03
怎么连
线缆两端、介质、走向（拔线、排查时用）
| 线缆 | 两端 | 介质 | 走向 / 位置 |
|---|---|---|---|
| 安全监控厂商 VPN 隧道 | 安全监控厂商远维 ↔ 远维 VPN 网关 | 无线 / 隧道 | 运营商专线 → 远维 VPN 网关 |
| 人员定位厂商 VPN 隧道 | 人员定位厂商远维 ↔ 远维 VPN 网关 | 无线 / 隧道 | 运营商专线 → 远维 VPN 网关 |
| 视频厂商 VPN 隧道 | 视频厂商远维 ↔ 远维 VPN 网关 | 无线 / 隧道 | 运营商专线 → 远维 VPN 网关 |
| VPN 网关 — DMZ 交换机 | 远维 VPN 网关 ↔ DMZ 交换机 | 铜缆 | 机房 1 号柜内跳线 |
| VPN 网关 — 生产核心 A（历史遗留直连） | 远维 VPN 网关 ↔ 生产核心交换机 A | 铜缆 | 机房 1 号柜 → 2 号柜，标签「临时调试」 |
| 堡垒机外侧口 | 运维堡垒机 ↔ DMZ 交换机 | 铜缆 | 机房 1 号柜内跳线 |
| 堡垒机内侧口 | 运维堡垒机 ↔ 管理网边界防火墙 | 铜缆 | 机房 1 号柜内跳线 |
| 镜像库 — DMZ 交换机 | 生产数据镜像库 ↔ DMZ 交换机 | 铜缆 | 机房 1 号柜内跳线 |
| 防火墙 DMZ 口 | 管理网边界防火墙 ↔ DMZ 交换机 | 铜缆 | 机房 1 号柜内跳线 |
| 办公接入 | 办公终端 ↔ 办公核心交换机 | 光纤 | 办公楼综合布线 |
| 授时服务器接入 | 北斗授时服务器 ↔ 办公核心交换机 | 铜缆 | 办公楼 3 层弱电间 |
| 办公网 — 边界防火墙 | 办公核心交换机 ↔ 管理网边界防火墙 | 光纤 | 办公楼 → 调度中心机房 1 号柜，单模光缆 |
| 边界防火墙 — 生产核心 A | 管理网边界防火墙 ↔ 生产核心交换机 A | 铜缆 | 机房 1 号柜 → 2 号柜 |
| 生产核心 A — B 堆叠 | 生产核心交换机 A ↔ 生产核心交换机 B | 光纤 | 机房 2 号柜 → 3 号柜 |
| 人员定位服务器接入 | 人员定位服务器 ↔ 生产核心交换机 A | 铜缆 | 机房 2 号柜内 |
| 应急广播主机接入 | 应急广播主机 ↔ 生产核心交换机 A | 铜缆 | 调度室 → 机房 2 号柜 |
| 安全监控主机网卡 1 | 安全监控主机 ↔ 生产核心交换机 A | 铜缆 | 机房 2 号柜内 |
| 安全监控主机网卡 2 | 安全监控主机 ↔ 生产核心交换机 B | 铜缆 | 机房 2 号柜 → 3 号柜 |
| 工程师站接入 | 工程师站 ↔ 生产核心交换机 B | 铜缆 | 操作间 → 机房 3 号柜 |
| 综合自动化主机接入 | 综合自动化主机 ↔ 生产核心交换机 B | 铜缆 | 机房 3 号柜内 |
| 视频 NVR 接入 | 视频 NVR ↔ 生产核心交换机 B | 铜缆 | 机房 3 号柜内 |
| 主通风机房光缆 | 主通风机房交换机 ↔ 生产核心交换机 B | 光纤 | 调度中心 → 主通风机房，架空光缆 1.2 km |
| 主通风机 PLC 接入 | 主通风机 PLC ↔ 主通风机房交换机 | 铜缆 | 主通风机房控制柜 |
| 生产核心 B — 单向网闸 | 生产核心交换机 B ↔ 单向网闸 | 铜缆 | 机房 3 号柜 → 4 号柜 |
| 网闸 — 采集机 | 单向网闸 ↔ 监管数据采集机 | 铜缆 | 机房 4 号柜内 |
| 采集机 — 上传路由器 | 监管数据采集机 ↔ 监管上传路由器 | 铜缆 | 机房 4 号柜内 |
| 省局监测专线 | 监管上传路由器 ↔ 省局监测平台 | 光纤 | 运营商专线（单条） |
| 集团专线 | 监管上传路由器 ↔ 集团数据平台 | 光纤 | 运营商专线（单条） |
| 主井光缆 | 生产核心交换机 A ↔ 井底车场环网交换机 | 光纤 | 主井井筒电缆梯，48 芯 |
| 副井光缆 | 生产核心交换机 B ↔ 中央变电所环网交换机 | 光纤 | 副井井筒电缆梯，24 芯 |
| 环网 井底车场 — 中央变电所 | 井底车场环网交换机 ↔ 中央变电所环网交换机 | 光纤 | 井底车场 → 中央变电所 大巷 |
| 环网 中央变电所 — 中央水泵房 | 中央变电所环网交换机 ↔ 中央水泵房环网交换机 | 光纤 | 中央变电所 → 水泵房 联络巷 |
| 环网 中央水泵房 — 一采区变电所 | 中央水泵房环网交换机 ↔ 一采区变电所环网交换机 | 光纤 | 水泵房 → 一采区 轨道大巷 |
| 环网 一采区变电所 — 井底车场 | 一采区变电所环网交换机 ↔ 井底车场环网交换机 | 光纤 | 一采区 → 井底车场 运输大巷 |
| 一采区 — 101 工作面 | 一采区变电所环网交换机 ↔ 101 工作面交换机 | 光纤 | 一采区 → 101 工作面 运输顺槽（单根） |
| 定位基站接入 | 定位基站（井底车场） ↔ 井底车场环网交换机 | 铜缆 | 井底车场 |
| 广播终端接入 | 井下广播终端（井底车场） ↔ 井底车场环网交换机 | 铜缆 | 井底车场 |
| 分站 2# 接入 | 安全监控分站 2#（中央变电所） ↔ 中央变电所环网交换机 | 铜缆 | 中央变电所 |
| 综保子站接入 | 中央变电所综保子站 ↔ 中央变电所环网交换机 | 铜缆 | 中央变电所 |
| 水泵房 PLC 接入 | 中央水泵房 PLC ↔ 中央水泵房环网交换机 | 铜缆 | 中央水泵房 |
| 分站 3# 接入 | 安全监控分站 3#（一采区回风巷） ↔ 一采区变电所环网交换机 | 铜缆 | 一采区回风巷 |
| 分站 1# 接入 | 安全监控分站 1#（101 工作面） ↔ 101 工作面交换机 | 铜缆 | 101 工作面 |
| 定位基站接入 | 定位基站（101 工作面） ↔ 101 工作面交换机 | 铜缆 | 101 工作面 |
| 摄像机接入 | 101 工作面摄像机 ↔ 101 工作面交换机 | 铜缆 | 101 工作面 |
04
边界策略
自上而下首条命中；未命中取默认动作
管理网边界防火墙默认拒绝 · 手工录入
| # | 规则 | 源 | 目的 | 服务 | 动作 | 备注 |
|---|---|---|---|---|---|---|
| 1 | 生产授时 | 北斗授时服务器 | 安全监控主机 | UDP 123 | 放行 | 北斗授时到安全监控主机 |
| 2 | 办公到生产 any | 管理网（办公） | 生产控制网 · 地面 | 全部端口 | 放行 | 2019 年系统调试期间临时放开，未收回 |
| 3 | 办公查看镜像库 | 管理网（办公） | 生产数据镜像库 | TCP 443 | 放行 | 办公查看生产数据走镜像库 |
| 4 | 生产数据同步到镜像库 | 安全监控主机、综合自动化主机 | 生产数据镜像库 | TCP 5432 | 放行 | 定时同步 |
| 5 | 堡垒机运维 | 运维堡垒机 | 工程师站、安全监控主机、人员定位服务器 | TCP 3389,22 | 放行 | 运维统一经堡垒机 |
远维 VPN 网关默认拒绝 · 手工录入
| # | 规则 | 源 | 目的 | 服务 | 动作 | 备注 |
|---|---|---|---|---|---|---|
| 1 | 安全监控厂商到堡垒机 | 安全监控厂商远维 | 运维堡垒机 | TCP 3389 | 放行 | — |
| 2 | 安全监控厂商直连工程师站 | 安全监控厂商远维 | 工程师站 | TCP 3389 | 放行 | 厂商调试期间加的，未收回 |
| 3 | 人员定位厂商到堡垒机 | 人员定位厂商远维 | 运维堡垒机 | TCP 3389 | 放行 | — |
| 4 | 视频厂商到 NVR | 视频厂商远维 | 视频 NVR | TCP 8000 | 放行 | 视频系统质保期远维 |
运维堡垒机授权默认拒绝 · 手工录入
| # | 规则 | 源 | 目的 | 服务 | 动作 | 备注 |
|---|---|---|---|---|---|---|
| 1 | 安全监控厂商可运维 | 安全监控厂商远维 | 工程师站、安全监控主机 | TCP 3389 | 放行 | — |
| 2 | 人员定位厂商可运维 | 人员定位厂商远维 | 人员定位服务器 | TCP 3389 | 放行 | — |
监管上传路由器 ACL默认拒绝 · 手工录入
| # | 规则 | 源 | 目的 | 服务 | 动作 | 备注 |
|---|---|---|---|---|---|---|
| 1 | 采集机上传 | 监管数据采集机 | 省局监测平台、集团数据平台 | TCP 8443 | 放行 | — |
05
哪条要命
生产不变量清单 2026.09-样例 · 尚未签字
| 链路 | 系统 | 要求 | 从 → 到 | 备份 | 允许中断 | 心跳怎么测 | 依据 | 负责 |
|---|---|---|---|---|---|---|---|---|
| 分站 1#（101 工作面）数据上传 | 安全监控 | 必须通 | 安全监控分站 1#（101 工作面） → 安全监控主机TCP 4001 | 要求 | 10 分 | 安全监控主机收到分站数据的间隔，超过 60 秒记为中断 | 安全监控系统连续运行要求（条款号待矿上核对） | 调度室 |
| 分站 2#（中央变电所）数据上传 | 安全监控 | 必须通 | 安全监控分站 2#（中央变电所） → 安全监控主机TCP 4001 | 要求 | 10 分 | 安全监控主机收到分站数据的间隔，超过 60 秒记为中断 | 安全监控系统连续运行要求（条款号待矿上核对） | 调度室 |
| 分站 3#（一采区回风巷）数据上传 | 安全监控 | 必须通 | 安全监控分站 3#（一采区回风巷） → 安全监控主机TCP 4001 | 要求 | 10 分 | 安全监控主机收到分站数据的间隔，超过 60 秒记为中断 | 安全监控系统连续运行要求（条款号待矿上核对） | 调度室 |
| 安全监控数据送到监管采集机 | 监管上传 | 必须通 | 安全监控主机 → 监管数据采集机TCP 8443 | 要求 | 10 分 | 采集机收到安全监控数据包的间隔，超过 60 秒记为中断 | 安全监控数据联网上传要求（条款号待矿上核对） | 信息中心 |
| 人员定位数据送到监管采集机 | 监管上传 | 必须通 | 人员定位服务器 → 监管数据采集机TCP 8443 | 要求 | 10 分 | 采集机收到人员定位数据包的间隔，超过 60 秒记为中断 | 人员位置监测联网上传要求（条款号待矿上核对） | 信息中心 |
| 监管采集机上传省局 | 监管上传 | 必须通 | 监管数据采集机 → 省局监测平台TCP 8443 | 要求 | 30 分 | 省局平台回执间隔，超过 5 分钟记为中断 | 监管联网上传要求（条款号待矿上核对） | 信息中心 |
| 监管采集机上传集团 | 监管上传 | 必须通 | 监管数据采集机 → 集团数据平台TCP 8443 | — | 60 分 | 集团平台回执间隔，超过 5 分钟记为中断 | 集团数据汇聚要求 | 信息中心 |
| 定位基站（井底车场）数据上传 | 人员定位 | 必须通 | 定位基站（井底车场） → 人员定位服务器TCP 6000 | 要求 | 10 分 | 定位服务器收到基站心跳的间隔，超过 30 秒记为中断 | 人员位置监测系统连续运行要求（条款号待矿上核对） | 调度室 |
| 定位基站（101 工作面）数据上传 | 人员定位 | 必须通 | 定位基站（101 工作面） → 人员定位服务器TCP 6000 | 要求 | 10 分 | 定位服务器收到基站心跳的间隔，超过 30 秒记为中断 | 人员位置监测系统连续运行要求（条款号待矿上核对） | 调度室 |
| 中央水泵房监控（主机轮询 PLC） | 排水 | 必须通 | 综合自动化主机 → 中央水泵房 PLCTCP 502 | 要求 | 30 分 | 综合自动化主机 Modbus 轮询应答，连续 3 次失败记为中断 | 主排水系统监测要求（条款号待矿上核对） | 机电科 |
| 中央变电所供电监控（主机连综保子站） | 供电 | 必须通 | 综合自动化主机 → 中央变电所综保子站TCP 2404 | 要求 | 30 分 | IEC 104 链路测试帧应答，超过 60 秒记为中断 | 供电系统监控要求（条款号待矿上核对） | 机电科 |
| 主通风机监控（主机轮询 PLC） | 通风 | 必须通 | 综合自动化主机 → 主通风机 PLCTCP 502 | 要求 | 10 分 | 综合自动化主机 Modbus 轮询应答，连续 3 次失败记为中断 | 主通风机监测要求（条款号待矿上核对） | 通风科 |
| 应急广播下发到井底车场 | 应急广播 | 必须通 | 应急广播主机 → 井下广播终端（井底车场）UDP 5004 | 要求 | 30 分 | 广播终端在线状态轮询，连续 3 次无应答记为中断 | 应急广播系统要求（条款号待矿上核对） | 调度室 |
| 安全监控主机保持可信授时替代：安全监控主机可切到本机北斗授时模块（需信息中心手动切换） | 授时 | 必须通 | 北斗授时服务器 → 安全监控主机UDP 123 | — | 60 分 | 安全监控主机与授时服务器偏差，超过 100 毫秒记为异常 | 日志与报警时间一致性要求 | 信息中心 |
| 办公终端不得直达工程师站 | 区域隔离 | 不得通 | 办公终端 → 工程师站 | — | — | 边界防火墙命中记录 | GB/T 22239-2019 安全区域边界 · 访问控制 | 信息中心 |
| 办公终端不得直达安全监控主机 | 区域隔离 | 不得通 | 办公终端 → 安全监控主机 | — | — | 边界防火墙命中记录 | GB/T 22239-2019 安全区域边界 · 访问控制 | 信息中心 |
| 上级平台不得反向进入生产网 | 区域隔离 | 不得通 | 省局监测平台 → 安全监控主机 | — | — | 网闸日志 | 监管数据只出不进 | 信息中心 |
| 安全监控厂商远维必须经过堡垒机 | 远程运维 | 必须经过 | 安全监控厂商远维 → 工程师站经 运维堡垒机TCP 3389 | — | — | 堡垒机会话记录 | GB/T 22239-2019 安全运维管理 · 外包运维管理 | 信息中心 |
06
谁动过
每次改动：谁、何时、改了什么、为什么
| 时间 | 改动 | 谁 | 来源 | 前后 |
|---|---|---|---|---|
| 2026-09-18 23:12 | 工程师站上修改分站通讯参数厂商自述：排查分站 3# 通讯 | 安全监控厂商（kj-admin） | 厂商会话 | engineer 分站通讯配置：重试 3 次 → 重试 5 次 |
| 2026-09-10 14:05 | 安全监控主机采集程序升级到 3.2.1厂商版本升级 | 安全监控厂商（kj-ops01） | 厂商会话BG-2026-051 | gas-host 采集程序：3.1.7 → 3.2.1 |
| 2026-08-12 09:30 | 井下环网补齐一采区 — 井底车场段，环网闭合消除一采区单点 | 信息中心 | 变更单BG-2026-044 | 链路：（无） → l-ring-41 环网 一采区变电所 — 井底车场 |
| 2024-04-08 21:40 | VPN 网关上出现「安全监控厂商直连工程师站」规则无变更单；厂商称为夜间调试方便 | 安全监控厂商（kj-admin） | 审计发现 | vpn-gw 规则：（无） → vendor-kj → engineer 3389 allow |
| 2023-06-15 10:00 | 上线运维堡垒机，厂商远维改经堡垒机等保测评整改 | 信息中心 | 变更单BG-2023-031 | vpn-gw 规则：vendor-kj → engineer 3389 → vendor-kj → bastion 3389fw-mgmt 规则：（无） → bastion → engineer/gas-host/loc-server 3389,22 |
| 2019-11-02 15:20 | 边界防火墙新增「办公到生产 any」安全监控系统升级调试，临时放开 | 系统集成商调试人员 | 紧急 | fw-mgmt 规则：（无） → zone:office → zone:prod-surface any allow |
摸底表
十张表，中文表头，Excel 就能填。多个值用分号隔开；服务写成 tcp:3389 或 any。
导入摸底表
防火墙配置解析 · 华为 USG 安全策略（子集）
粘贴 display current-configuration 里的 address-set、service-set 与 security-policy 段。按公开文档语法实现，尚未用真机导出配置逐版本核对；读不懂的语句一律列出来，经过这台防火墙的结论降为“无法判定”。