Switch quản lý không phải là thiết bị tự động quy hoạch mạng cho bạn ngay khi cắm vào. Thiết bị chuyển tiếp các khung Ethernet do thiết bị đầu cuối gửi theo các quy tắc, đồng thời cho phép quản trị viên sửa đổi những quy tắc đó. Trình tự đúng khi thiết lập ban đầu là: trước tiên bảo đảm quản lý an toàn, sau đó quy hoạch cổng và VLAN, cuối cùng lưu cấu hình và xác minh các dịch vụ thực tế. Bài viết này giải thích nguyên lý vận hành chung và không cung cấp địa chỉ mặc định, mật khẩu hoặc lệnh chưa được xác nhận cho một model cụ thể.
1. Phân biệt kênh quản lý với kênh dịch vụ
Khi PLC gửi dữ liệu tới HMI, lưu lượng dịch vụ thường được chuyển tiếp qua chip chuyển mạch; khi nhân viên bảo trì mở trang web quản lý, họ đang truy cập dịch vụ quản lý của thiết bị. Đây là hai việc khác nhau. Switch lớp 2 có thể chuyển tiếp lưu lượng dịch vụ bình thường ngay cả khi không có địa chỉ IP dành cho quản trị viên; việc gán IP quản lý cho switch không có nghĩa là gán địa chỉ cho tất cả thiết bị đầu cuối.
Việc quản lý có thể thực hiện qua cổng Console chuyên dụng hoặc qua địa chỉ quản lý trên mạng. Console là kênh quản lý cục bộ; ngay cả khi đầu nối trông giống cổng Ethernet RJ45, cũng không thể coi đó là cổng Ethernet. Định nghĩa điện, cáp và thông số truyền nối tiếp của cổng phải dựa trên tài liệu hướng dẫn. Quản lý qua mạng đòi hỏi địa chỉ, VLAN và đường truy cập chính xác giữa máy tính với thiết bị; khi đi qua các phân đoạn mạng, còn phải xem xét gateway, định tuyến và chính sách.
2. Chuẩn bị phương án khôi phục trước khi thay đổi thông số
Trước tiên, ghi lại model, phiên bản phần cứng, phiên bản firmware và cách đấu nối cổng, đồng thời lưu mọi cấu hình hiện có có thể xuất ra máy tính. Xác nhận phương pháp hợp lệ để khôi phục quyền truy cập quản lý, sau đó mới tiến hành trong khung thời gian bảo trì. Không trực tiếp khôi phục thiết bị đang vận hành về cài đặt gốc chỉ để tìm một địa chỉ chưa biết; thao tác này cũng có thể xóa VLAN, vai trò trong mạng vòng, xác thực và cấu hình uplink.
Tốt nhất nên hiệu chỉnh và kiểm tra thiết bị mới trong môi trường thử nghiệm cách ly trước. Tắt các kết nối card mạng không cần thiết trên máy tính, sử dụng cáp đã xác nhận hoạt động tốt và nguồn điện phù hợp, đồng thời hoàn tất lần đăng nhập đầu tiên theo hướng dẫn của model. Trước khi thay đổi IP quản lý, hãy dành trước địa chỉ mới trong sổ quản lý địa chỉ, xác nhận không có xung đột và nắm rõ cách máy tính sẽ truy cập địa chỉ mới sau đó. Nếu cũng cần thay đổi VLAN quản lý, trước tiên hãy bảo đảm đường truy cập quản lý mới hoạt động để tránh tự làm mất quyền truy cập ngay khi lưu.
3. Sử dụng bảng cổng để làm rõ VLAN
VLAN là mạng cục bộ ảo: trên cùng một hệ thống thiết bị chuyển mạch vật lý, nó chia giao tiếp lớp 2 thành các phạm vi logic khác nhau. Có thể hiểu đây là việc phân nhóm khung, chứ không phải thêm một bức tường vật lý vào cáp mạng. Khung do thiết bị đầu cuối thông thường gửi thường không có thẻ VLAN; switch cần xác định chúng thuộc nhóm nào dựa trên quy tắc đầu vào, rồi xử lý theo phạm vi chuyển tiếp của nhóm đó.
Giả sử PLC thuộc VLAN 10 và camera thuộc VLAN 20; các số này chỉ là ví dụ minh họa. Cổng kết nối thiết bị đầu cuối có thể được đặt ở chế độ access theo quy tắc của thiết bị, nghĩa là truy cập một VLAN duy nhất; nếu đường uplink giữa các switch cần mang hai nhóm dịch vụ, có thể đặt ở chế độ trunk cho phép các VLAN tương ứng. Thẻ trên đường trunk giúp đầu bên kia biết khung thuộc nhóm nào, và khi gửi tới thiết bị đầu cuối không nhận biết thẻ, thẻ sẽ được loại bỏ theo cấu hình đầu ra.
PVID là mã thành viên mặc định dành cho một số khung đầu vào không gắn thẻ trên một cổng. Đây không phải là công tắc “cho phép tất cả VLAN”, cũng không tự quyết định việc có loại bỏ thẻ ở đầu ra hay không. Một số thiết bị sử dụng cổng thành viên, Tagged và Untagged để biểu thị cùng quy trình hoạt động này. Cần kiểm tra đồng thời tư cách thành viên ở đầu vào, danh sách cho phép và việc gắn thẻ ở đầu ra, chứ không chỉ tạo hai tên VLAN.
4. Xác minh riêng khả năng kết nối và quyền được phép kết nối
Đường truyền lớp 2 chính xác trong cùng một VLAN không có nghĩa là các VLAN khác nhau tự động giao tiếp được với nhau. Nếu PLC và máy tính chủ được phân vào các phân đoạn mạng khác nhau, có thể cần router hoặc thiết bị có chức năng lớp 3 tương ứng. Ngược lại, khi đã có định tuyến, các dịch vụ vốn được phân nhóm cũng có thể truy cập lẫn nhau, đòi hỏi các chính sách truy cập bổ sung. VLAN không phải là mã hóa và cũng không thể thay thế quyền tài khoản cùng các ranh giới bảo mật.
Sau lần đăng nhập đầu tiên, hãy thay đổi thông tin xác thực mặc định, chọn các phương thức quản lý an toàn như HTTPS và SSH tùy theo khả năng hỗ trợ của model, đồng thời hạn chế các nguồn được phép truy cập. HTTP và Telnet không cung cấp mức bảo vệ truyền dẫn tương đương; không thể gọi chúng là an toàn như nhau chỉ vì đều cho phép đăng nhập từ xa. Không đưa trực tiếp giao diện quản lý hệ thống sản xuất ra mạng công cộng; bảo trì từ xa nên sử dụng giải pháp truy cập an toàn đã được cho phép.
5. Bật từng chức năng một và thực sự lưu cấu hình
Đối với các liên kết dự phòng, hãy quy hoạch giao thức bảo vệ trước rồi mới khép kín cấu trúc liên kết; một vòng lặp lớp 2 thông thường không có cơ chế chống vòng lặp có thể gây bão quảng bá. Đối với multicast video, hãy xem xét cả bên nhận và bộ truy vấn; đối với các chức năng ưu tiên, hãy gắn chúng với mục tiêu xử lý tắc nghẽn. Không bật đồng loạt mọi tùy chọn chỉ để “sử dụng tất cả chức năng”; mỗi chức năng cần có vấn đề cần giải quyết và phương pháp nghiệm thu.
Nhiều thiết bị phân biệt cấu hình đang chạy với cấu hình khởi động. Nhấp Apply có thể chỉ làm cấu hình có hiệu lực ngay lúc đó và có thể không giữ lại cấu hình sau khi tắt nguồn rồi khởi động lại. Hoàn tất việc lưu, xuất và đánh dấu phiên bản theo tài liệu hướng dẫn; chỉ xác minh khả năng lưu giữ cấu hình sau khi khởi động lại trong môi trường thử nghiệm được phép hoặc trong khung thời gian bảo trì. Nâng cấp firmware cũng đòi hỏi kiểm tra tính tương thích phiên bản, chuyển đổi cấu hình và phương pháp khôi phục; không thử các gói nâng cấp chưa rõ trong giờ hoạt động cao điểm.
6. Nghiệm thu bằng dịch vụ thực tế, không chỉ nhìn đèn cổng
Trước tiên, kiểm tra máy tính quản lý vẫn truy cập được và các nguồn không được phép không thể tùy ý sửa đổi; tiếp theo kiểm tra trạng thái thương lượng cổng, tư cách thành viên VLAN và thẻ trên đường uplink; cuối cùng cho PLC và máy tính chủ thực hiện trao đổi yêu cầu–phản hồi thực tế, đồng thời cho camera truyền liên tục luồng video mục tiêu. Ping chỉ là một công cụ và không thể chứng minh multicast, thông lượng và thời gian đáp ứng dịch vụ đều bình thường.
Ghi lại số khung lỗi, số khung bị loại bỏ và mức tăng lưu lượng trước và sau khi thay đổi. Nếu mất kết nối, trước tiên hãy kiểm tra trạng thái dọc theo kênh quản lý đã quy hoạch và hoàn tác; không thay đổi liên tiếp nhiều thông số một cách thiếu căn cứ. Khi bàn giao, hãy để lại bảng sử dụng cổng, địa chỉ quản lý, bảng VLAN, vị trí lưu, phiên bản firmware và điều kiện hoàn tác; những thông tin này có giá trị hơn ảnh chụp màn hình “đăng nhập thành công”.
Trang sản phẩm switch lớp 3 10G với 4 cổng quang và 8 cổng đồng của Feichang Technology liệt kê Console, HTTPS, SSH và khả năng nhập/xuất cấu hình, có thể dùng làm tài liệu tham khảo khi lựa chọn thiết bị cần nhiều kênh bảo trì. Menu và lệnh thực tế vẫn phải được xác nhận theo model và firmware được bàn giao; không thể khái quát các chức năng được sản phẩm này hỗ trợ thành phương pháp vận hành thống nhất cho mọi switch quản lý.
Tài liệu tham khảo:Thông tin chi tiết sản phẩm bộ chuyển mạch có quản lý của Feichang Technology, Giải thích quy tắc đầu vào và đầu ra của VLAN. Tài liệu bên thứ ba được sử dụng để xác minh các cơ chế chung và không phải là tài liệu hướng dẫn lệnh của Feichang Technology. Các hình minh họa là sơ đồ nguyên lý chung, không phải ảnh thử nghiệm thực tế hoặc ảnh thiết bị thực.
Dịch từ bài viết kỹ thuật tiếng Trung. Nguồn được xuất bản lần đầu: 2020-01-15. Nguồn được sửa đổi lần cuối: 2026-10-13T18:52:49+08:00. Đọc nguồn tiếng Trung
