楼宇自控被办公网ping通了：楼控网和办公网要不要隔

网管老张早上一查告警，发现一件让他后背发凉的事：楼宇自控（BA）的控制器 IP，从办公网的任意一台电脑都能 ping 通。门禁、空调、照明、排风，全在一张能随便访问的网里。更要命的是，几个弱电分包当初图省事，把楼控网和办公网接进了同一个交换机，地址段也没分。

这不是个例。很多园区和写字楼的楼控网，都是这么"顺手"并进办公网的。等到要做等保、要应对公安检查、真出了安全事故，才发现当初那根网线，把整栋楼的控制权敞开了。

一、一次"顺手"的连通，埋下多大雷

楼控网里跑的不是文档，是门禁的开合、消防的联动、机房的供电。这些系统一旦被办公网里的某台中毒电脑摸到，后果不是丢文件，是物理空间失守。

为什么偏偏是楼控网最容易被"顺手"并进办公网？因为楼控系统多由弱电分包施工，他们关注的是设备通不通、能不能控，安全意识往往不在职责内；而园区 IT 又通常只管办公网，两套人、两套台账，中间那根线谁都没盯。等真正出事，责任却算到网络这边。

更现实的风险链是：办公网终端数量大、人员杂、易中招，一台电脑中了钓鱼木马，攻击者就能以它为跳板横向移动，顺着那根"顺手"的网线摸到楼控控制器所在的网段。楼控设备出厂口令雷同、固件老旧、补丁更新慢，等于把门禁权限、空调排程的修改权，递到了攻击者手上。攻击面就这么被放大了。

所以问题不是"要不要隔"，而是"怎么隔得干净、又不影响必要业务"。

二、楼控网和办公网，本该是两辆车的两个道

智慧光迅以全光为底座、音视频为引擎、安全为护盾，打造 “通密一体”解决方案，楼控网与办公网的划分从规划阶段就定下来：两张网做 VLAN 隔离，在二层把广播域切开，楼控设备不暴露在办公网的广播域里，办公终端默认看不到、也 ping 不通楼控地址段。

底层用两层扁平架构承载，弱电间免空调机房、布线工程量少，楼控点位和办公点位各走各的 ONU 上联，物理层面先把路分开。楼控系统既享受全光底座带来的稳定与低时延，又不被办公网的"热闹"波及；机房空间省七成以上、能耗也跟着降下来，向 50G/200G PON 还能平滑演进。

三、要互通，就只给"最小的口子"

完全不通也不现实——物业要在办公网里看楼控状态，运维要从办公网管设备。原则是仅必要业务互通、最小权限：

白名单式放行：只开放楼控系统真正需要的那几个端口和协议，其余一律默认拒绝；

单向访问：办公网可以查楼控状态，但楼控网不主动连办公网，避免回连风险；

非法终端自动隔离：接进来的设备先做准入校验，MAC 白名单之外的终端进不来；

防私接检测：私接路由器、私开热点会被发现并阻断，防止有人又"顺手"把两张网并回去。

统一管控，谁在什么时候连了什么，策略上清清楚楚。梦想网关一体集成路由、AC 与防火墙，在两张网的交界处把守，让必要的互通有迹可循、不必要的访问根本到不了门口。

门禁、消防、监控这类系统，建议进一步划入安防/楼控专网，与办公网、访客网彻底分开，不当公网映射、不开放远程直连。远程维护走受控通道，配合强口令和基线校验。

梦想网关作为多业务安全融合网关，一体集成路由、AC、防火墙，内置下一代防火墙、IPS 入侵防御，在专网边界挡住外部扫描和异常流量；多楼宇场景通过总部集中纳管，全网拓扑可视、策略统一下发，哪条路通、哪条路封，一张图看明白。高可靠方面，核心设备双电源、双主控热备，链路故障毫秒级倒换，单点出问题不至于整栋楼失联。

FAQ

Q：楼控网和办公网完全物理隔离，成本会不会很高？

A：不一定。用 VLAN 逻辑隔离配合独立上联，可在同一套全光底座上实现隔离，不必为楼控网单独拉一整套独立布线；具体隔离等级按系统重要性和等保要求评估。

Q：已有楼控网已经并进办公网了，怎么改？

A：先做地址段与访问关系梳理，在网关上把楼控段划出独立 VLAN、收紧互通策略，再逐步把关键控制器迁到安防专网，过程不影响现有业务持续运行。

Q：楼控厂家要求远程维护，怎么兼顾安全？

A：给厂家单独划受控访问通道，走 VPN 加双因素，仅开放其维护所需端口，操作纳入审计；不把楼控设备直接暴露公网，远程会话到期自动回收权限。