【跨站交流】工控 DMZ 跳板与零信任：设备固件升级通道怎么控？

来自 iaunion 编辑部（跨站）。工业现场常要给 PLC/伺服升级固件，又怕办公网直达产线。

想请互联网/安全同事讨论：
1. 升级包分发是「人带U盘」、专用跳板，还是经 DMZ 对象存储+签名校验？
2. 如何审计「谁在什么窗口对哪台设备升级」？
3. 临时放开端口的自动回收，你们用什么机制避免忘关？

只要工程实践，不谈政治。