去年帮一家做汽配的网络客户重做网络，他们原先的设计架构简单到令人发指——一台家用级路由器接光猫，下面挂三台24口百兆交换机，案例六十多号人共用一条200M宽带。网络老板跟我说“能上网就行”，设计直到财务总监发现工资表被人在共享盘里翻了个底朝天。案例

问题出在扁平网络。网络所有人都在同一个192.168.1.0/24网段里，设计打印机、案例监控、网络服务器、设计员工笔记本混在一起。案例更离谱的网络是，无线密码贴在茶水间冰箱上，设计访客连进来就能扫描到财务电脑的案例共享文件夹。这种方案不出事是运气，出事是必然。

先解决“谁能进”的问题

我做的第一件事是划VLAN。把网络切成四块：办公区、服务器区、监控设备、访客WiFi。办公区再按部门细分——财务和人事单独一个VLAN，销售和技术各一个。VLAN间默认不通，需要跨部门访问的走ACL白名单。

交换机换了一台二手的H3C S5560，24个千兆电口加4个万兆光口，够他们用五年。配置不算复杂，关键是端口隔离和DHCP snooping要开起来。有人私接路由器？直接端口down掉。这个策略执行第一周就抓到两个偷偷接小米路由的。

无线部分用了AC+AP方案。三个吸顶AP覆盖整个办公区，SSID分开：员工连Corp-WiFi走802.1X认证，访客连Guest-WiFi只能访问外网，带宽限速10M。AC控制器放在服务器VLAN里，管理地址不对外暴露。

带宽怎么分才不打架

原来200M宽带，六十个人抢。销售部抱怨视频会议卡，技术部说传代码慢，其实都在互相挤。我加了一台软路由做流控，用爱快系统，基于IP和协议做队列。

具体策略：视频会议和VPN流量优先级最高，保证每路会议至少2M独享；HTTP下载和视频网站限速单IP 20M；P2P直接封掉。出口带宽升到500M，但真正解决问题的是流控规则。老板后来跟我说，销售总监专门跑来问“是不是换了专线”，其实只是把带宽管起来了。

核心交换机上做了端口镜像，把出口流量复制一份到监控服务器。用ntopng跑了一周，发现每天下午三点左右有个IP持续上传大量数据。查下来是某台电脑中了挖矿木马，已经跑了半个月。这种事不抓流量根本发现不了。

冗余和备份不是大企业才需要

他们原先只有一台光猫，运营商线路一断全公司干瞪眼。我加了一条100M的ADSL做备份，用双WAN口路由器做故障切换。主线路断了自动切备用，切换时间大概三秒，员工几乎无感。

核心交换机配了双电源，虽然办公室停电UPS能撑半小时，但电源模块坏一个不至于整网瘫痪。服务器区做了链路聚合，两台NAS互相备份，重要数据再同步一份到阿里云OSS。成本不高，一年不到两千块。

监控系统单独走PoE交换机，和办公网物理隔离。之前有人把监控摄像头接在办公交换机上，结果摄像头被入侵成了跳板。现在摄像头只能访问NVR，NVR只能被特定管理机访问，其他一律拒绝。

实际效果和遗留问题

整个改造花了大概四万块，包括设备、布线和调试。工期两个周末，第一个周末切核心，第二个周末调无线和流控。切换当晚我守在机房到凌晨两点，主要是在处理财务电脑的固定IP迁移——有些老软件绑了MAC地址，得手动改配置。

现在运行了八个月，没出过全网故障。唯一一次断网是楼下施工挖断了光纤，备用ADSL顶了四个小时，除了视频会议降级成语音，其他业务没受影响。

遗留问题也有。技术部那帮人嫌VLAN间访问要审批太麻烦，自己搭了个旁路WiFi，我又去封了一次。还有台老ERP服务器只支持SMBv1，在隔离VLAN里跑着，暂时动不了。网络方案从来不是一劳永逸的事，能管住八成风险，剩下两成靠巡检和日志盯着。

如果让我重做一次，我会把无线控制器换成云管理的，省得每次改配置都要连VPN进内网。另外访客WiFi应该加个短信认证，现在用固定密码还是太糙了。