สรุปก่อน: ทั้งการแยกทางกายภาพและการแยกเชิงตรรกะต้องตอบคำถามว่า “ข้อมูลจากเครือข่ายต่างกันสามารถข้ามไปยังอีกฝั่งได้หรือไม่?” แต่ใช้วิธีต่างกัน แบบแรกเน้นขอบเขตของฮาร์ดแวร์และช่องสัญญาณ ส่วนแบบหลังอาศัยการจัดการแพ็กเก็ตและนโยบายการเข้าถึงภายในอุปกรณ์ที่ใช้ร่วมกัน ใยแก้วนำแสงเป็นเพียงสื่อส่งสัญญาณ การใช้ใยแก้วนำแสงไม่ได้หมายความว่าเครือข่ายจะถูกแยกโดยอัตโนมัติ และการที่หลายบริการใช้ใยแก้วนำแสงร่วมกันก็ไม่ได้หมายความว่าบริการเหล่านั้นจะสื่อสารถึงกันได้ ในการประเมินอุปกรณ์มัลติเพล็กซ์เครือข่ายผ่านใยแก้วนำแสงหรือตัวแปลงสื่อใยแก้วนำแสง ต้องพิจารณาว่าพอร์ตส่งต่อข้อมูลถึงกันอย่างไร จัดสรรแบนด์วิดท์อย่างไร และขอบเขตยังคงอยู่หรือไม่ภายใต้เงื่อนไขด้านการจัดการและความขัดข้อง
เมื่ออ่านแผนภาพ ให้เริ่มจากติดตามเส้นทางข้อมูลสีน้ำเงินและสีส้ม รูปที่ 1 เปรียบเทียบสถาปัตยกรรมทั้งสองแบบ รูปที่ 2 อธิบายว่าช่องสัญญาณอิสระใช้การส่งผ่านทางแสงร่วมกันอย่างไร และรูปที่ 3 แยกการตรวจสอบการแยกเครือข่าย แบนด์วิดท์ และความขัดข้องออกจากกัน บทความนี้เน้นการเชื่อมต่อ Ethernet แบบหลายช่องสัญญาณ โดยอธิบายเป็นหลักถึงวิธีทำความเข้าใจและตรวจสอบความสามารถของผลิตภัณฑ์
1. ก่อนอื่นต้องแยกให้ออก: สิ่งที่ถูกแยกคือเครือข่ายหรือการเชื่อมต่อทางไฟฟ้า?
ใยแก้วนำแสงส่งข้อมูลด้วยสัญญาณแสง และปลายลิงก์ทั้งสองไม่จำเป็นต้องส่งข้อมูลผ่านตัวนำโลหะ จึงช่วยลดปัญหาจากความต่างศักย์กราวด์และสัญญาณรบกวนแม่เหล็กไฟฟ้าได้ แต่อุปกรณ์ที่ปลายทั้งสองยังคงแลกเปลี่ยนข้อมูลกัน ดังนั้น การแยกทางไฟฟ้าไม่ได้หมายความว่าไม่มีเส้นทางการสื่อสารระหว่างเครือข่าย ตัวแปลงสื่อใยแก้วนำแสงทั่วไปมักทำหน้าที่เพียงแปลงสัญญาณ Ethernet ระหว่างพอร์ตไฟฟ้ากับพอร์ตแสง และไม่ได้กลายเป็นไฟร์วอลล์โดยอัตโนมัติ
การแยกเชิงตรรกะพบได้ทั่วไปใน VLAN บนสวิตช์ที่ใช้ร่วมกัน VLAN คือเครือข่ายท้องถิ่นเสมือน ซึ่งอาจเข้าใจได้ว่าเป็นการแบ่งโดเมนบรอดคาสต์ Layer 2 ที่แตกต่างกันภายในอุปกรณ์เดียวกัน โดยตามกฎการส่งต่อ Layer 2 ตามปกติ เฟรมบรอดคาสต์ที่อยู่ใน VLAN 10 จะไม่ถูกส่งตรงไปยังพอร์ตใน VLAN 20 เฟรมข้อมูลสามารถถูกส่งสลับกันบนใยแก้วนำแสงอัปลิงก์เส้นเดียวกัน แล้วส่งไปยังเครือข่ายที่ตรงกันตามแท็ก การใช้อัปลิงก์ร่วมกันไม่ได้หมายความว่าการแบ่งกลุ่มจะหยุดทำงาน แต่หากมีเราเตอร์ การสวิตช์ Layer 3 หรือการกำหนดค่าบริดจ์ที่ไม่ถูกต้องด้วย เครือข่ายทั้งสองอาจยังสื่อสารกันได้ และยังจำเป็นต้องมีนโยบายควบคุมการเข้าถึงเพื่อจำกัดการสื่อสาร
การแยกอุปกรณ์และลิงก์ทางกายภาพออกจากกันเป็นสถาปัตยกรรมการแยกที่เข้าใจได้ค่อนข้างง่าย แต่ยังต้องตรวจสอบว่ามีสายเครือข่ายเพิ่มเติม อินเทอร์เฟซไร้สาย อุปกรณ์จัดการ หรือทางเลี่ยงอื่นเชื่อมสองฝั่งเข้าด้วยกันหรือไม่ ไม่สามารถใช้เพียงข้อเท็จจริงว่า “มีชิปสองตัว” หรือ “ไม่มีฟังก์ชันเราติง” เป็นข้อสรุปที่ครบถ้วนได้ และยิ่งไม่อาจรับประกันว่าความผิดพลาดในการกำหนดค่า การเดินสาย และการปฏิบัติงานจะไม่มีวันทำให้เกิดการเชื่อมต่อข้ามเครือข่าย
2. เหตุใดช่องสัญญาณบริการอิสระจึงยังใช้ใยแก้วนำแสงร่วมกันได้?
ผลิตภัณฑ์อีกประเภทหนึ่งคืออุปกรณ์มัลติเพล็กซ์เครือข่ายผ่านใยแก้วนำแสงหรือตัวแปลงสื่อใยแก้วนำแสง ซึ่งช่อง Ethernet หลายช่องใช้ช่องสัญญาณบริการอิสระ อุปกรณ์ประเภทนี้ไม่จำเป็นต้องเดินใยแก้วนำแสงเฉพาะหนึ่งเส้นต่อพอร์ตไฟฟ้าหนึ่งพอร์ต แต่จะประมวลผลแต่ละบริการแยกกันก่อน แล้วบรรจุลงในช่องส่งสัญญาณแสงตามความสัมพันธ์ที่กำหนดตายตัว จากนั้นแยกกลับไปยังพอร์ตของแต่ละบริการที่ปลายทาง สิ่งที่ใช้ร่วมกันคือสื่อส่งสัญญาณ ส่วนจะมีเส้นทางที่ส่งต่อข้อมูลระหว่างบริการได้หรือไม่นั้นขึ้นอยู่กับสถาปัตยกรรมภายใน.
เฟยช่าง เทคโนโลยี ตัวแปลงสื่อใยแก้วนำแสง Ethernet 100M แบบแยกทางกายภาพ 1–4 พอร์ต ข้อมูลสาธารณะอธิบายอินเทอร์เฟซ FE อิสระและช่องสัญญาณแบ่งเวลาเฉพาะ รวมถึงการออกแบบที่แต่ละช่องจากทั้งหมดสี่ช่องมีส่วนการส่งสัญญาณของตนเอง การแบ่งเวลาอาจเข้าใจได้ว่าเป็นการบรรจุข้อมูลของแต่ละช่องตามลำดับลงในตำแหน่งที่กำหนดไว้ล่วงหน้า และแยกข้อมูลที่ฝั่งรับตามกฎเดียวกัน วิธีนี้จัดระเบียบบริการต่างจากสวิตช์ Ethernet ที่มัลติเพล็กซ์เฟรมข้อมูลเชิงสถิติบนอัปลิงก์ที่ใช้ร่วมกัน รูปที่ 2 อธิบายเพียงความแตกต่างนี้ ไม่ได้แสดงผังชิปจริง ความยาวช่วงเวลา หรือรายละเอียดโปรโตคอลเฉพาะของรุ่นใด
การเปรียบเทียบกับถนนยังช่วยให้เข้าใจได้ อัปลิงก์ที่ใช้ร่วมกันเปรียบเหมือนกระแสจราจรหลายสายเข้าสู่ถนนเส้นเดียว ส่วนช่องสัญญาณอิสระเปรียบเหมือนการสงวนสัดส่วนการผ่านทางแยกไว้ให้แต่ละกระแส แต่ในใยแก้วนำแสงไม่มี “ช่องทางเดินรถ” สี่ช่องที่มองเห็นได้ และไม่อาจใช้การเปรียบเทียบนี้พิสูจน์ความปลอดภัย ชิปอินเทอร์เฟซอิสระเป็นส่วนหนึ่งของสถาปัตยกรรม และยังต้องตรวจสอบการจับคู่พอร์ต ความสามารถในการส่งต่อภายใน และขอบเขตการจัดการ
ยกตัวอย่างช่องสัญญาณ 100M สี่ช่องที่ใช้อัปลิงก์ 100M หนึ่งลิงก์ร่วมกัน ในกรณีนี้ทราฟฟิกพร้อมกันอาจแย่งความจุอัปลิงก์กันจริง แต่อุปกรณ์ VLAN ไม่ใช่ทุกรุ่นที่มีอัปลิงก์เพียง 100M ในทางกลับกัน ความสามารถในการให้บริการอย่างอิสระของช่องสัญญาณ 100M สี่ช่อง ไม่อาจนำไปสู่ข้อสรุปโดยตรงว่าอัตราสายแสงทางกายภาพเท่ากับ 400M พอดี เพราะการส่งสัญญาณอาจมีโอเวอร์เฮดจากการเข้ารหัสและโปรโตคอลด้วย การเลือกใช้งานควรเปรียบเทียบความจุบริการของอุปกรณ์แต่ละรุ่น ไม่ใช่เปรียบเทียบเพียงชื่อ “ทางกายภาพ” หรือ “เชิงตรรกะ”
3. ตรวจสอบขอบเขตการแยก แบนด์วิดท์ และความขัดข้องอย่างไร?
เริ่มจากระบุความสัมพันธ์ในการสื่อสาร เช่น A เข้าถึงได้เฉพาะ A ที่ปลายทาง และ B เข้าถึงได้เฉพาะ B ที่ปลายทาง หากอนุญาตให้บางบริการข้ามโดเมน ให้บันทึกทิศทาง โปรโตคอล และพอร์ตที่อนุญาต จากนั้นยืนยันหมายเลขพอร์ตไฟฟ้าที่ปลายทั้งสอง ช่องสัญญาณที่ตรงกัน อัตราเร็ว ดูเพล็กซ์ ข้อกำหนดพอร์ตแสง และวิธีเข้าถึงเพื่อการจัดการ ความสามารถของช่องสัญญาณอิสระที่ระบุในข้อมูลผลิตภัณฑ์บนเว็บไซต์ทางการต้องเชื่อมโยงกับรุ่นที่สั่งซื้อจริงและการกำหนดค่าที่ส่งมอบ และไม่อาจเหมารวมว่าตัวแปลงสื่อของ Feichang Technology ทุกรุ่นมีฟังก์ชันเดียวกัน
ขั้นตอนที่ 1: ตรวจสอบช่องสัญญาณที่ตรงกัน ในสภาพแวดล้อมทดสอบที่แยกเป็นอิสระ ให้เชื่อมต่ออุปกรณ์ทดสอบทีละช่องและยืนยันความสัมพันธ์ในการสื่อสาร เช่น A ถึง A และ B ถึง B จากนั้นส่งทราฟฟิกทดสอบที่ระบุแยกแยะได้จากช่องหนึ่ง และตรวจสอบว่ามีเฟรมข้อมูลที่ไม่ควรมาถึงปรากฏในช่องอื่นหรือไม่ ควรตรวจสอบทั้งทิศทางบริการจริงและการจัดการบรอดคาสต์กับที่อยู่ปลายทางต่าง ๆ การ ping ไปยังที่อยู่หนึ่งไม่สำเร็จอาจเกิดจากไฟร์วอลล์ ที่อยู่ หรือการเดินสายเท่านั้น จึงไม่อาจใช้พิสูจน์การแยกได้เพียงอย่างเดียว
ขั้นตอนที่ 2: ตรวจสอบแบนด์วิดท์เมื่อใช้งานพร้อมกัน หลังทดสอบช่องเดียวแล้ว ให้ทุกช่องทำงานพร้อมกัน และบันทึกการเปลี่ยนแปลงของอัตรารับส่งข้อมูล การสูญเสียแพ็กเก็ต และความหน่วงของแต่ละช่อง ขอบเขตการทดสอบควรครอบคลุมความยาวเฟรม ทิศทาง โหลด และระยะเวลาทดสอบ การที่พอร์ตแสดงอัตราที่เจรจาได้ 100M หรือความหน่วง ping ไม่เปลี่ยนในการตรวจหนึ่งครั้ง ไม่ได้หมายความว่าช่องนั้นยังคงมีความจุบริการอิสระภายใต้โหลดพร้อมกัน ความสามารถสองทิศทางก็ต้องตรวจสอบแยกกันทั้งสองทิศทาง
ขั้นตอนที่ 3: ตรวจสอบการจัดการและความขัดข้อง ตรวจสอบบัญชีจัดการ เครือข่ายที่ได้รับอนุญาตให้เข้าถึงอินเทอร์เฟซจัดการ สิทธิ์ในการกำหนดค่า และการจับคู่พอร์ตหลังการเริ่มระบบใหม่ การขาดช่วงของเส้นทางแสง และการกู้คืน การที่บริการต่าง ๆ ไม่ส่งต่อข้อมูลถึงกันไม่ได้หมายความว่าใยแก้วนำแสงที่ใช้ร่วมกันขาดหรือไฟเลี้ยงทั้งเครื่องดับจะกระทบเพียงช่องเดียว เมื่อต้องการความพร้อมใช้งานสูงขึ้น ควรประเมินเส้นทางแสงสำรอง แหล่งจ่ายไฟ และความขัดข้องของอุปกรณ์แยกกัน “แบนด์วิดท์อิสระ” ไม่สามารถทดแทนการออกแบบระบบสำรองได้
การสังเกตลูปแบ็กที่พอร์ตช่วยได้อย่างมากเพียงค้นพบพฤติกรรมการสวิตช์บางอย่าง และไม่อาจใช้เป็นหลักฐานเพียงพอในการตัดสินการแยกเครือข่าย อย่าเชื่อมต่อสองพอร์ตโดยตรงด้วยสายเครือข่ายจนเกิดลูปในเครือข่ายบริการที่กำลังใช้งาน หากจำเป็นต้องทดสอบความขัดข้องเป็นพิเศษ ให้ปฏิบัติตามคู่มืออุปกรณ์ และเตรียมมาตรการจำกัดกระแส การบันทึก และการกู้คืนในสภาพแวดล้อมห้องปฏิบัติการที่แยกเป็นอิสระ
5. อย่าอธิบายการแยกบริการว่าเป็นการเข้ารหัสหรือการแยกความปลอดภัยแบบทางเดียว
ช่องสัญญาณบริการอิสระจำกัดความสัมพันธ์ในการส่งต่อภายในระหว่างบริการต่าง ๆ และไม่ได้เข้ารหัสข้อมูลที่ส่งตามปกติโดยอัตโนมัติ ใยแก้วนำแสงช่วยลดเส้นทางนำไฟฟ้าระหว่างสถานที่ได้ แต่ไม่สามารถตรวจสอบตัวตนผู้ส่ง ป้องกันเทอร์มินัลที่ได้รับอนุญาตจากการส่งคำสั่งผิด หรือทดแทนการยืนยันความถูกต้องของข้อความ CRC เป็นการตรวจสอบที่ใช้ตรวจหาข้อผิดพลาดในการส่งข้อมูล และไม่อาจใช้เป็นพื้นฐานในการป้องกันการแก้ไขข้อมูลหรือการอนุญาตให้เข้าถึง ต้องระบุให้ชัดเจนว่าฟังก์ชันเหล่านี้เป็นหน้าที่ของอุปกรณ์ใดในสถาปัตยกรรมทั้งหมด
อุปกรณ์มัลติเพล็กซ์ทางแสงแบบสองทิศทางยังคงอนุญาตให้พอร์ตที่ตรงกันแลกเปลี่ยนข้อมูลได้ทั้งสองทิศทาง และไม่อาจเรียกว่าเป็นอุปกรณ์ส่งข้อมูลทางเดียว ระบบที่แยกขาดจากเครือข่ายอื่นแบบ air gap หรืออุปกรณ์ที่ได้รับการรับรองความปลอดภัยบางประเภท เพียงเพราะชื่อมีคำว่าการแยกทางกายภาพ หากโครงการต้องการขอบเขตความปลอดภัยที่เข้มงวด ควรตรวจสอบการนำไปใช้จริงของผลิตภัณฑ์นั้น จุดเข้าถึงเพื่อการจัดการ การเชื่อมบริดจ์ภายนอก และข้อกำหนดที่เกี่ยวข้อง คู่มือความปลอดภัย OT ของ NIST เน้นการแบ่งโซนและการสื่อสารที่ควบคุมได้ ซึ่งต้องออกแบบร่วมกับความเสี่ยงของสถานที่ บริการที่อนุญาต และวิธีบำรุงรักษา
การแยกทางไฟฟ้าช่วยจัดการความต่างศักย์กราวด์ได้ ช่องสัญญาณบริการอิสระช่วยรักษาการจับคู่ของแต่ละช่องได้ แต่ตัวเครื่องและสายใยแก้วนำแสงที่ใช้ร่วมกันยังอาจขัดข้องพร้อมกัน รายงานตรวจรับควรแยกข้อสรุปเหล่านี้และบันทึกทิศทางทดสอบ โหลด เวอร์ชัน การจับแพ็กเก็ต และพฤติกรรมการกู้คืน การ ping ไม่สำเร็จ ไฟสถานะพอร์ตปกติ หรือการไม่มีบรอดคาสต์สตอร์ม ไม่อาจพิสูจน์ได้ด้วยตัวมันเองว่าระบบถูกแยกอย่างสมบูรณ์
หมายเหตุข้อมูล: รูปสามรูปแรกเป็นภาพอธิบายหลักการทั่วไป ไม่ใช่ผลิตภัณฑ์จริง วงจรภายใน หรือข้อมูลที่วัดได้ของรุ่นใดรุ่นหนึ่ง ความจุ ช่องสัญญาณ และผังชิปในรูปไม่ได้แสดงข้อกำหนดของผลิตภัณฑ์ทั้งซีรีส์ ความสามารถเฉพาะให้ยึดตามเอกสารส่งมอบของรุ่นที่เลือก เอกสารสำหรับตรวจสอบ: หมวดตัวแปลงสื่อแบบแยกทางกายภาพของ Feichang Technology, ข้อมูลผลิตภัณฑ์ 1–4 พอร์ต 100M, คำอธิบายการเราติงระหว่าง VLAN ของ Cisco, คู่มือความปลอดภัย OT ของ NIST.
แปลจากบทความเทคนิคภาษาจีน ต้นฉบับเผยแพร่ครั้งแรก: 2019-10-14 ต้นฉบับแก้ไขล่าสุด: 2026-10-13T13:42:26+08:00 อ่านต้นฉบับภาษาจีน
