最新新闻

使用 BACnet 路由器和 BBMD 时的安全实践

BASrouter 和 BASrouterSX 提供了一种简单便捷的方式，让 BACnet MS/TP 设备能够接入互联网。它们的 BBMD（广播管理设备）和 FDR（外部设备注册）功能允许互联网上的设备或 PC 与你的 MS/TP 设备进行通信。然而，这些功能同样也可能让其他人访问你的 MS/TP 设备。以下是一些关于如何最大程度保护自身安全的建议：

更改 BACnet 端口号：将你在互联网上使用的 BACnet 端口号更改为 47808 以外的其他端口。47808 是 BACnet 的知名端口，有很多工具可以通过该端口发现你的 BACnet 设备。将其更改为与 BACnet 无关的其他值是一个非常好的做法。

保护 Web 管理页面：BASrouter 有两个通信端口，通常 80 端口用于网页访问，47808 端口用于 BACnet 通信。当你通过连接互联网的 IP 路由器进行端口转发时，你可以决定是否同时暴露 BASrouter 的网页和 BACnet 通信。如果你认为必须暴露网页，请将外部端口更改为 80 以外的端口。80 是网页的知名端口，互联网上有很多程序在专门扫描这个端口以寻找目标设备。将其更改为通常不与网页关联的端口，它们就无法找到你。更好的做法是完全不暴露 BASrouter 的网页。设备配置完成后，日常运行并不需要开放网页访问。

修改默认凭证：如果你确实需要将网页暴露在互联网上，请务必将用户名和密码更改为默认值以外的强密码。这对于任何接入互联网的 IP 设备来说都是极好的安全建议，即使 BASrouter 没有直接暴露在互联网上也应该这样做。

使用 IP 白名单：BASrouterSX 具有“白名单（Allowlist）”功能，可以指定哪些 IP 设备能够与你的 MS/TP 设备通信。如果你的 BASrouterSX 部署在互联网上，这可以有效控制谁能通过它进行通信，并仅允许你自己的设备或 PC 访问已连接的 MS/TP 网络。

使用 VPN 提供最高级别的安全保障：为了提供最佳的安全性，建议使用 VPN 与 BASrouter 或 BASrouterSX 进行通信。你可以将 BASrouter 或 BASrouterSX 连接到支持 RemoteVPN 选项的 EIGR-V 设备上。这将为你通过互联网与 MS/TP 设备进行的 BACnet 通信提供安全的 VPN 连接。在你的 PC 上安装 OpenVPN 客户端后，即可通过互联网安全地经由 EIGR-V 连接到你的 BASrouter 或 BASrouterSX，进而读写你的 MS/TP 设备。在之前的例子中，你需要在连接互联网的 IP 路由器上执行端口转发才能访问设备；而使用 EIGR-V 和 RemoteVPN 选项则不需要进行端口转发。连接互联网的 IP 路由器可以保持原样不变，你依然能够安全得多地通过互联网与你的 MS/TP 设备通信。

上一个故事下一个故事