从 RJ45 到云端：以太网温湿度变送器通过 TCP/IP 上云，同时暴露 SNMP 与 UDP 服务的安全策略

以太网温湿度变送器
  ├── TCP 502   Modbus TCP  → 可读全量寄存器，可写下发设定值
  ├── UDP 161   SNMP Agent  → 可读系统信息、配置，可写（如果 RW community）
  └── UDP 9000  私有 Trap   → 可被伪造源 IP 发送虚假越限事件

监控网络拓扑：

管理 VLAN 10（交换机管理、NMS）
  │
监控 VLAN 20（传感器、网关、SCADA）
  │
控制 VLAN 30（恒湿机、新风机、风阀 DO）
  │
上云 VLAN 40（边缘网关 → 腾讯云 IoT Explorer）

# 传感器网段：10.10.20.0/24
# 边缘网关：10.10.20.1
# NMS：10.10.10.5

# 规则 1：传感器 → 只允许响应 Modbus TCP，不主动发起连接
deny tcp any 10.10.20.0/24 established  # 阻断传感器主动建连

# 规则 2：Modbus TCP 只允许边缘网关访问
permit tcp host 10.10.20.1 10.10.20.0/24 eq 502
deny tcp any 10.10.20.0/24 eq 502

# 规则 3：SNMP 只允许 NMS
permit udp host 10.10.10.5 10.10.20.0/24 eq 161
deny udp any 10.10.20.0/24 eq 161

# 规则 4：私有 UDP Trap 只允许传感器 → 网关
permit udp 10.10.20.0/24 host 10.10.20.1 eq 9000
deny udp any any eq 9000

# 规则 5：传感器禁止访问互联网（上云走网关代理）
deny ip 10.10.20.0/24 any

云端/SCADA → 边缘网关（认证、鉴权、审计）
                │
                └── Modbus TCP → 传感器（内网，VLAN 隔离）

Modbus TCP 连接建立后，第一个请求必须是"认证帧"：
  Function Code: 0x2B (Device Identification, 或私有功能码)
  Data: HMAC-SHA256(timestamp, device_id, shared_secret)
  认证通过后，该 TCP 连接后续请求才被处理
  超时未认证 → RST

边缘网关和传感器之间建立 IPsec / WireGuard 隧道
传感器只接受隧道内的 Modbus TCP 流量

Holding Register 分区：
  0x0020–0x002F  设定值/下发 → 需要写保护密码
  写流程：
    1. 写 0x003F = unlock_key (32-bit)
    2. 写目标寄存器
    3. 自动重新锁定（或超时锁定）

# 错误配置（默认）：
community = "public"   # 只读
community = "private"  # 读写

# 任何能 ping 通的人都能 snmpwalk 走全部数据

SNMPv3 安全模型：
  - USM (User-based Security Model)
  - 认证：MD5/SHA
  - 加密：DES/AES
  - 用户：独立凭证，可撤销

配置示例（Net-SNMP 风格）：
  createUser sensor_monitor SHA "auth_password" AES "priv_password"
  rwuser sensor_monitor priv

缓解措施：
  1. 改 community 为随机长字符串（32 字符），不用 public/private
  2. ACL 限制 SNMP 源 IP（只允许 NMS）
  3. 只读 community，禁用 RW community
  4. 交换机端口安全：绑定 NMS MAC

UDP Trap 帧结构（扩展）：
  Header (8 bytes):
    Magic: 0xAA55
    Version: 0x02              ← 升级版本
    Sensor ID: 0x00010023
    Payload Len: 0x0020        ← 扩展

  Payload (32 bytes):
    Timestamp: 0x5f3a_2c1b
    Temperature: 0x00e2
    Humidity: 0x0216
    Dew Point: 0x00c3
    Alert Flags: 0x0001
    Nonce: 0x12345678          ← 防重放
    HMAC: 16 bytes             ← HMAC-SHA256(key, payload + nonce)

UDP + DTLS 1.2
  握手：证书/PSK 认证
  加密：AES-128-GCM
  完整性：AEAD

网关侧：
  1. 只接受已知传感器 IP 的 UDP Trap
  2. 每个 IP 每秒最多 5 个 Trap
  3. 超出则丢弃 + 记录日志

传感器 → 边缘网关（内网，VLAN 20）
            │
            边缘网关 → 腾讯云 IoT Explorer（MQTT over TLS 8883）
                        │
                        ├── 设备认证：X.509 证书 / PSK
                        ├── 数据加密：TLS 1.2+
                        └── 云端鉴权：CAM 策略

# 腾讯云 IoT Explorer 连接
client = mqtt.Client(client_id=device_id)
client.tls_set(
    ca_certs="root_ca.pem",
    certfile="device_cert.pem",
    keyfile="device_key.pem",
    tls_version=ssl.PROTOCOL_TLSv1_2
)
client.connect(endpoint, port=8883)

1. 设备级：每个边缘网关独立证书，不可复用
2. 权限级：设备只能发布/订阅自己的 topic
   $thing/up/property/{ProductID}/{DeviceName}
   $thing/down/property/{ProductID}/{DeviceName}
3. 规则引擎：数据流转到 InfluxDB 前做鉴权
4. 审计：所有下发指令记录日志，可追溯

固件更新流程：
  1. 云端签名固件（RSA-2048 / ECDSA）
  2. 网关下载固件 + 签名
  3. 传感器验证签名 → 写入 Flash
  4. 启动前再次验证签名

Bootloader 验证 Application 签名
  → 失败则进入恢复模式
  → 拒绝未签名固件

生产固件：
  - JTAG/SWD 关闭
  - 串口调试关闭（或加密）
  - 默认密码修改