内网管理最容易被忽视的内网管理一点，是内网管理它从来不是纯技术问题。我见过一家三十来人的内网管理小公司，技术负责人花两周把内网重新划了VLAN，内网管理防火墙规则写了三百多条，内网管理结果三个月后我去看，内网管理交换机端口上插着一台家用路由器，内网管理WiFi名字叫"TP-LINK_8888"，内网管理密码是内网管理12345678。问起来，内网管理是内网管理市场部为了投屏方便自己接的。规则再细，内网管理架不住有人从物理层绕过去。内网管理

这事说明一个道理：内网管理的内网管理核心矛盾，是内网管理控制粒度和业务灵活性之间的拉扯。你把策略收得越紧，业务部门越倾向于自己找捷径。IP-MAC绑定、端口安全、802.1X认证，这些手段单独拎出来都没问题，但组合在一起，如果没给业务留出合理的申请通道，结果一定是有人偷偷在桌子底下塞一台路由器。

说几个实际管理中容易踩的坑。

资产台账不准，后面全是白干。很多单位的内网管理文档停留在Excel阶段，而且最后更新时间是两年前。新来的设备没登记，报废的设备没注销，IP地址冲突了就靠重启交换机碰运气。我自己的做法是定期跑一遍ARP扫描，把结果和台账做diff，差异超过5%就得重新盘。别指望一次盘清楚，内网是活的，设备每天都在变。

权限管理别搞"一刀切"。有的管理员图省事，全公司一个网段，谁都能访问谁。财务的电脑和前台打印机能互相看到共享文件夹，这种内网等于没有边界。但反过来，按部门划死网段，跨部门协作又要频繁开策略，运维成本陡增。折中方案是按业务流划分安全域，比如财务、HR、研发各一个域，域间默认拒绝，需要互通的走工单审批。听起来麻烦，但比出了事再查日志强。

日志要留，但别指望有人看。交换机、防火墙、准入系统的日志动辄每天几个G，全量留存既费存储又没人分析。我的经验是分层处理：流量日志保留7天用于排障，安全事件日志保留90天用于审计，配置变更日志永久保留。关键是配置变更那部分——谁在什么时候改了哪条ACL，这个记录在追责时最有用。

无线网络是内网管理最大的变量。有线端口你能物理控制，无线信号飘在空气里，隔壁公司都能收到。访客网络和内部网络必须隔离，这个不用讨论。内部WiFi至少上WPA2-Enterprise，别用预共享密钥——一个人离职，全公司换密码的事我干过不止一次，纯属自找麻烦。

还有个容易被忽略的点：内网管理需要业务部门配合，但业务部门没义务配合你。你发一封邮件说"请各部门统计本部门设备MAC地址"，大概率没人理。有效的做法是把管理动作嵌入到业务流程里——新员工入职领电脑时自动登记MAC，设备报废时IT回收并注销，采购新设备时要求供应商提前提供网络参数。让内网管理成为流程的一部分，而不是额外的负担。

最后说个观察。内网管理做得好的单位，往往不是技术最强的，而是和业务部门关系最好的。技术手段解决的是"能不能管"，业务配合解决的是"管了有没有用"。一台未登记的设备接入内网，你可以用技术手段阻断它，但阻断之后业务停摆的责任，最终还是落在IT头上。提前沟通、留好通道、定期复盘，比堆砌安全设备管用得多。