某中小企业园区网升级改造设计与实施

一、项目背景：网络“凑合用了好多年”
这是一家典型的中小企业：
总部在一栋写字楼里，大约 200 人左右，有办公区、会议室、一个小机房，原来网络基本是“拉根线、接个交换机、再买个家宽带路由器”这么搭起来的。
随着业务发展，问题越来越明显：
网络经常卡顿
上网高峰期打开网页都要转圈，视频会议一开就更卡，老板在会上吐槽：“这网比我家里的还慢。”
无线信号“看缘分”
办公区有不少位置 Wi‑Fi 信号只有一两格，经常掉线，有些同事干脆自己买小路由接在工位下面，结果内网“路由器套路由器”，IP 冲突、广播风暴一堆问题。
访问控制基本靠“君子协定”
谁都能访问共享服务器，重要财务数据、设计文件只靠大家自觉不乱动。
扩展困难
新增一个会议室、增加几台监控摄像头，网络工程师都要在机房里查半天线、临时拉线，很被动。
公司决定：这次网络改造，要一步到位，为后面三到五年打好基础。

二、现状调研：先摸清“网到底烂在哪里”
我们进场后先做了两周调研，重点搞清楚三件事：
物理环境和业务分布
办公区、会议室、财务室、服务器机房、前台接待区；
主要业务：邮件、OA、文件共享、视频会议、财务软件，还有少量对外展示的 Web 应用。
网络现状和“历史遗留问题”
核心是一台老旧三层交换机 + 一堆接入交换机，没有汇聚层概念；
出口是家宽路由器 + 简单拨号，没有统一认证、带宽管理；
无线是几个家用级 AP，各自为战，没有统一控制器。
访谈关键部门
财务：担心数据被随便访问；
研发/设计：文件传输要快、要稳定；
行政：访客上网要方便，但不能乱访问内网。
把这些摸清楚，后面设计才有依据，而不是“凭感觉堆设备”。

三、总体设计思路：从“大平层”到“三层架构 + 安全域”
我们提出的设计原则比较简单：可靠、安全、好管、能扩展，这也是业界做园区网设计时的常见思路。
1. 网络架构：核心–汇聚–接入三层模型
结合园区网最佳实践，我们把网络从“扁平大二层”改造成标准三层架构：
核心层：双核心交换机，负责高速转发，避免单点故障；
汇聚层：按区域/部门汇聚流量，做 VLAN 终结、ACL 策略；
接入层：PoE 交换机直接连接终端和 AP，上联双归属到汇聚。
这样做的目的，一是把广播域和故障域收窄，二是为后续扩容和运维打基础。
2. 安全域划分：不再“一张网通吃”
根据业务和安全等级，我们把网络划分为几个逻辑安全域：
办公区：普通员工终端；
财务/核心业务区：财务服务器、核心数据库；
服务器区：OA、文件共享、内部 Web 应用；
访客区：访客 Wi‑Fi，仅访问互联网；
管理运维区：带外网管、日志服务器等。
不同安全域之间通过 VLAN + ACL 做隔离，核心业务区访问互联网还需要经过防火墙。

四、详细设计：从拓扑到 IP 规划
1. 网络拓扑示意
用一个简化拓扑说明改造后的结构：
flowchart LR
    Internet[互联网出口] FW[出口防火墙]
    Core1[核心交换机 A]
    Core2[核心交换机 B]
    subgraph Aggr[汇聚层]
      AggrA[汇聚交换机 A]
      AggrB[汇聚交换机 B]
    end
    subgraph Access[接入层]
      Acc1[办公接入交换机]
      Acc2[财务/服务器接入交换机]
      Acc3[监控/物联网接入交换机]
    end
    AP[无线 AP] AC[无线控制器 AC]
    Internet --> FW --> Core1
    Internet --> FW --> Core2
    Core1 --> AggrA
    Core2 --> AggrB
    AggrA --> Acc1
    AggrA --> Acc2
    AggrB --> Acc1
    AggrB --> Acc3
    Acc1 --> AP
    Acc2 --> Server[财务/业务服务器]
    Acc3 --> Camera[监控摄像头]
    AP --> AC

关键点：
出口防火墙双机热备，负责 NAT、VPN、攻击防护；
核心交换机双机虚拟化为一台逻辑设备，避免单点故障；
汇聚层按区域/楼宇划分，接入层双上联到不同汇聚设备。
2. VLAN 与 IP 规划（示例）

采用私有地址 + 可变长子网掩码，方便后续扩展：
区域    VLAN ID    网段    用途    
办公区    10    10.1.10.0/24    员工终端    
财务/核心业务    20    10.1.20.0/24    财务服务器    
服务器区    30    10.1.30.0/24    OA/文件服务器    
访客 Wi‑Fi    40    10.1.40.0/24    访客终端    
管理运维区    99    10.1.99.0/24    网管、日志    
网关统一部署在核心/汇聚交换机上，采用 VRRP/虚拟化网关实现冗余。

3. 路由与出口设计
内部采用 OSPF 单区域，核心与汇聚之间运行动态路由，便于以后多区域扩展；
出口默认路由指向防火墙，关键业务网段通过静态路由精确控制访问互联网路径。
五、无线与有线一体化：让 Wi‑Fi 真正“好用”
这次改造，我们把无线从“补丁”变成“主干网的一部分”。
1. AC+AP 架构
部署一台无线控制器（AC），统一管理所有 AP；
采用瘦 AP + 集中转发模式，所有无线流量都经过 AC，便于统一认证和策略下发。
2. 无线网络规划
办公 SSID：Company-Office，对接 802.1X 认证，结合 Radius 服务器，员工用自己的域账号登录；
访客 SSID：Company-Guest，仅允许上网，通过 Portal 认证 + 短信验证，禁止访问内网网段；
财务/敏感区域：额外部署一个独立 SSID，仅允许特定终端接入，并做 MAC 地址 + 证书双重绑定。
同时，我们对信道、功率做了规划，避免同频干扰，并开启负载均衡，避免某个 AP 过载。
六、安全设计：从“裸奔”到多层防护
改造前，安全几乎只靠“大家自觉”。这次我们参考等保基本思路，做了几层防护：
边界防护
出口防火墙：NAT、端口过滤、基础攻击防护（如防扫描、防端口扫描）；
互联网访问仅开放必要端口（HTTP/HTTPS、邮件端口等）。
内网隔离
不同安全域之间通过 ACL 严格限制访问；
财务区仅允许特定 IP/端口访问，其他区域默认禁止。
接入安全
802.1X 认证：有线端口只允许已登记终端接入；
端口安全 + MAC 地址学习限制，防止私接小路由。
运维与审计
日志服务器统一接收设备日志，便于事后追溯；
关键服务器配置堡垒机，运维操作全程审计。

七、实施步骤：从“摸着石头过河”到“有条不紊”
我们把整个项目拆成几个阶段，避免“一刀切”影响业务：
割接准备
新设备到货后，在测试环境搭建完整拓扑，预配置 VLAN、IP、路由、安全策略；
编写割接方案和回退方案，和甲方一起评审。
并行运行
新旧网络并行运行一周，逐步迁移部分业务流量到新网；
通过 ping、traceroute、业务访问测试确认无异常。
分批割接
先迁移办公区有线网络和 Wi‑Fi；
再迁移服务器区和财务区；
最后迁移监控、物联网等非核心业务。
集中观察
割接后两周内集中观察性能指标和告警，及时调优。

八、验收与效果：从“吐槽不断”到“基本满意”
改造完成后，我们按照网络工程验收的一般流程做了系统测试：
功能测试：VLAN 互通、ACL 阻断、无线认证、VPN 接入；
性能测试：带宽、时延、丢包率，在高峰时段进行压力测试；
冗余测试：拔掉一根核心链路、关闭一台核心交换机，观察业务是否平滑切换。
实际效果
带宽和体验明显改善
出口带宽从 100Mbps 升级到 500Mbps，关键业务优先级得到保障；
视频会议卡顿明显减少，员工抱怨大幅下降。
无线覆盖和稳定性提升
办公区信号全覆盖，会议室高密度场景也能稳定接入；
访客上网通过 Portal 自助认证，不再到处问“Wi‑Fi 密码是多少”。
安全边界清晰
财务、核心业务区域得到有效隔离，访问记录可追溯；
内网不再“谁都能访问谁”，被攻击面明显缩小。

九、经验教训：中小企业园区网改造的几个“坑”
最后总结几点实战经验，给后面做类似项目的人参考：
需求比设备更重要
很多项目一上来就问“用什么型号交换机”，其实先搞清楚业务痛点、流量模型，再选型才合理。
无线不要省钱买“家宽路由”
中小企业往往觉得“Wi‑Fi 随便买几个路由器就行”，结果后期问题一堆。
用企业级 AC+AP 方案，初期投入稍高，但长期运维成本反而更低。
文档和验收要跟上
网络改造不是“线接通就完事”，拓扑图、VLAN 规划、IP 规划、设备配置、测试报告，都要作为竣工资料移交，方便后续运维。
结语
对这家中小企业来说，这次园区网升级改造，不仅解决了“网慢、Wi‑Fi 差、不安全”的老大难问题，更重要的是，为后续三到五年的信息化建设打下一个相对扎实的基础。
对工程师而言，这类项目虽然不像大型数据中心那样“高大上”，但却是非常锻炼实战能力的一类：
要在预算有限、环境复杂、业务不能停的前提下，把一个“凑合用”的网络，改造成“可靠、安全、好管”的网络。
如果你也在做类似项目，不妨把这次改造当作一个模板，结合自己公司的实际情况，做一次“体检 + 升级”，让网络真正成为业务加速器，而不是瓶颈。