独立 IP 网口温湿度传感器实战：跨网段采集、防火墙放行规则配置笔记

概述

近期机房改造项目，批量部署带独立IP的盛世宏博H-THRJ45网口温湿度传感器，通信协议采用Modbus TCP。传感器划分在独立动环VLAN，Zabbix监控平台部署于业务服务器网段。同网段调试通信正常，跨网段部署后出现典型故障现象：能够ping通传感器，Modbus TCP却无法读取寄存器数据。

很多调试人员第一时间怀疑传感器硬件故障，实际该场景下绝大多数问题来自三层ACL访问控制、防火墙安全策略、TCP会话老化参数配置不当。

本文整理一套可直接落地的实战笔记，包含网络规划、传感器IP参数配置、路由连通性检查、防火墙白名单策略配置、Zabbix采集配置以及故障排查清单，方便工控项目复用，也可作为动环现场调试速查文档。

设备说明：独立IP以太网温湿度传感器，支持PoE供电，Modbus TCP默认端口502；传感器作为Modbus从站，监控平台Zabbix作为主站主动轮询采集数据。

1 组网架构说明

先明确网段规划，是跨网段采集的前提：

监控平台网段（Zabbix服务器）：10.0.10.0/24，Zabbix IP：10.0.10.100

动环传感器VLAN网段：192.168.80.0/24，传感器静态IP范围：192.168.80.10~192.168.80.50

三层转发：核心交换机 + 工业防火墙，两个网段三层互通，防火墙负责访问控制。

通信流向：Zabbix（Modbus主站）主动发起TCP连接 → 访问传感器TCP 502端口 → 传感器返回寄存器数据

⚠️ 重点：Modbus TCP为主站主动发起连接，不是传感器主动上传数据，防火墙策略方向极易配置错误。 ❗误区提醒：ping通 ≠ TCP 502端口放行。ICMP与TCP访问控制相互独立。

（👉【此处插入拓扑图】图注：图1 网口温湿度传感器跨网段Modbus TCP采集组网拓扑）

2 传感器基础参数配置（同网段先调通）

跨网段上线前，务必在同网段验证传感器工作正常：

PC接入传感器同网段交换机，使用厂商设备搜索工具搜索传感器；

修改传感器为静态IP，禁止DHCP；动环设备IP漂移会直接造成采集中断；

填写子网掩码、网关（网关必须填写动环VLAN三层接口IP，否则回程路由异常）；

记录Modbus从站ID、寄存器地址、数值缩放系数；常规温湿度寄存器原始值除以10，例如寄存器返回251代表25.1℃；

同网段使用Modbus模拟器读取寄存器，确认温湿度数据读取正常，再上架接入远端VLAN。

寄存器示例（仅作参考，最终以设备手册为准）

温度：0号保持寄存器，INT16，倍率0.1

湿度：1号保持寄存器，INT16，倍率0.1

3 三层路由连通性检查

在Zabbix服务器执行ping测试：

ping 192.168.80.20

ping不通：排查VLANIF接口、静态路由/OSPF，重点检查回程路由：传感器网段必须存在指向10.0.10.0/24的路由；

ping通但Modbus连接超时：进入防火墙策略排查环节。

路由核心原则：双向可达。Zabbix可以访问传感器网段，传感器也要有路由返回Zabbix网段，TCP三次握手才能正常完成。

4 防火墙放行规则配置（最小权限白名单）

安全设计原则：工控生产环境采用白名单机制，禁止any-any全通策略。动环采集区域独立隔离，仅开放业务必需端口，缩小攻击面。

4.1 策略匹配逻辑（自上而下依次匹配）

✅ 推荐放行策略

源地址：10.0.10.100/32（仅Zabbix服务器）→ 目的地址：192.168.80.0/24，服务：TCP 502，动作允许

调试可选：放行Zabbix IP访问传感器网段ICMP（ping），项目正式上线后建议删除

默认策略：拒绝其余跨网段访问

❌ 不推荐配置方式

直接放开整个业务网段10.0.10.0/24访问传感器网段；

无限制开放全部端口；

策略方向颠倒：配置传感器主动访问Zabbix 502端口（Modbus采集场景不需要）。

4.2 防火墙CLI配置示例（华为/华三风格，仅示意）

# 创建地址对象
ip address-object ZABBIX_SERVER 10.0.10.100 255.255.255.255
ip address-object SENSOR_NET 192.168.80.0 255.255.255.0

# 创建服务对象
ip service MODBUS-TCP tcp 502

# 安全策略
security-policy
 rule name Allow_Zabbix_Modbus
  source-zone Server_Zone
  destination-zone Sensor_Zone
  source-address ZABBIX_SERVER
  destination-address SENSOR_NET
  service MODBUS-TCP
  action permit
 rule name Default_Deny
  action deny

4.3 TCP会话老化超时（容易踩坑点）

经济型网口传感器的TCP协议栈资源有限，如果防火墙默认会话老化时间较短（例如30s），而Zabbix采集间隔设置为60s，现象为：偶尔读数正常、频繁超时、随机断连。

优化方案：针对Modbus TCP业务单独调整会话超时时间，推荐120~300s，匹配轮询采集周期。

补充：传感器如果支持SNMP采集，额外放行UDP 161；Trap告警放行UDP 162。本文Modbus TCP方案仅需要TCP 502。

5 Zabbix配置跨网段Modbus采集

Zabbix 5.0及以上版本原生支持Modbus采集，无需额外部署Modbus网关。

添加主机

主机名称：机房A-机柜温湿度01

接口地址：192.168.80.20

创建监控项，监控项类型选择【Modbus】

Endpoint：tcp://192.168.80.20:502

从站ID：1（和传感器配置保持一致）

寄存器类型：保持寄存器

寄存器地址：0

数据类型：有符号16位整数

单位：℃

倍率：0.1

湿度监控项同理，寄存器地址配置为1；

配置触发器：温度＞30℃或者湿度＞70%触发告警。

配置完成查看最新数据，正常出值代表跨网段采集调试成功。

6 故障排查清单（按顺序排查）

✅ 同网段Modbus模拟器读取，确认传感器硬件、固件正常；

✅ Zabbix服务器ping传感器IP，验证三层路由双向可达；

✅ 使用nc或者telnet测试端口连通性

nc -zv 192.168.80.20 502

- Connection refused：端口未开启、从站ID错误、传感器固件异常
- Timeout：防火墙/ACL拦截（最高发故障）

✅ 查看防火墙策略命中计数，确认数据包是否命中拒绝策略；

✅ 核对传感器网关参数，很多现场调试人员遗忘填写传感器网关；

✅ 检查防火墙会话老化时间，采集间隔大于会话超时会随机断连；

✅ 检查核心交换机VLAN ACL，三层ACL+防火墙双层控制容易遗漏；

✅ 内网跨VLAN采集不需要NAT端口映射，排查错误NAT配置。

抓包排查技巧：在防火墙或者Zabbix服务器抓包，观察SYN报文是否抵达传感器网段、是否收到SYN+ACK回包，快速定位拦截节点。

7 工控现场优化建议

传感器单独划分独立VLAN，PoE交换机端口配置Access、开启端口隔离，抑制广播风暴；低成本传感器网络栈性能弱，广播量大容易死机断连；

全部使用静态IP，建立设备台账，备注安装位置、从站ID、寄存器版本；

调试结束上线后，关闭ICMP放行策略，降低网络扫描风险；

重要机房可增加本地数据记录仪或者双采集链路；

等保项目优先选用支持Modbus DPI深度解析的工业防火墙，限制非法功能码访问。

8 小结

独立IP盛世宏博H-THRJ45网口温湿度传感器跨网段采集，难点大多不在传感器本身，核心三点：双向可达路由 + 防火墙精准白名单放行TCP 502 + 会话超时适配轮询周期。

不少工控调试人员卡在ping通但是采集不到数据，记住：ICMP和TCP是两套独立控制策略，ping通不能代表业务端口放行。本方案可以直接复用在机房、库房、配电室动环项目，IO模块、电力采集器等Modbus TCP跨网段设备调试思路通用。