上个月帮朋友的网络公司搭了一套内部网络，预算砍到只剩两万三，平台还得跑他们的搭建ERP系统加视频会议。当时我就明白，网络所谓方案，平台不是搭建买最贵的设备堆上去，而是网络把每一分钱花在真正会产生瓶颈的地方。

他们的平台旧网络其实没那么烂，问题出在拓扑结构上——所有部门挤在同一台24口交换机下，搭建财务那边一跑大报表，网络全公司看视频都卡成PPT。平台我做的搭建第一件事，是网络把网络切成三层：核心层、汇聚层、平台接入层。搭建听起来唬人，说白了就是让数据别都挤一条道。核心交换机换了个带万兆上联口的，汇聚层用两台千兆堆叠，接入层保留原有设备，只把办公室和仓库物理隔离成两个VLAN。VLAN这东西，以前我觉得是给大企业用的，直到看见财务的广播风暴把门禁系统都冲掉线，才明白隔离不是奢侈，是刚需。

无线覆盖那块，我原本想用面板AP，后来去现场转了一圈，发现仓库全是铁皮货架，信号反射得乱七八糟。干脆换成两个吸顶式AP，一个架在办公区走廊尽头，一个挂在仓库中间通道上方，信道错开，一个用36，一个用149。别小看这细节，之前他们请的“网络公司”把所有AP设成自动信道，结果互相干扰，手机连着Wi-Fi却刷不出朋友圈。手动指定信道后，漫游切换时掉包率从百分之七降到了零点三。

安全策略上，我没上防火墙，就用了原有路由器自带的ACL规则。但加了条狠的：所有员工设备必须绑定MAC地址才能上网，访客单独开一个SSID，限速每人2Mbps。刚开始有人抱怨麻烦，后来发现隔壁公司被勒索病毒搞瘫三天，我们这边因为禁了445端口和UDP高危端口，啥事没有。安全这件事，有时候不是靠多贵的设备，而是靠你愿不愿意花半小时把默认密码改掉，把用不着的服务关掉。

最后是运维。我给他们装了个免费的Zabbix，画了几张简单的拓扑图，设了三个告警：核心交换机CPU超百分之八十、出口带宽占用连续五分钟超百分之九十、任一AP离线超过两分钟。就这么点东西，上个月帮他们抓到一个员工偷偷跑P2P下载，把出口带宽全占了。老板后来跟我说，这套“便宜货”比之前花八万块找集成商做的方案好用多了。我当时没接话，心里想的是——方案不在贵，在于你有没有蹲在机房里，看那些数据到底怎么流的，谁在什么时候卡，卡在哪个端口上。

网络搭完那天晚上，我坐在他们空荡荡的办公室里，手机连上Wi-Fi，测速跑满五百兆。窗外下着雨，机柜里的风扇嗡嗡响着，指示灯一闪一闪的。那种感觉，比签合同拿尾款实在多了。

(责任编辑：休闲)