企业局域网与交换

我们分层建设局域网。核心/汇聚层之间以 10/25 Gbps 互联，接入层为 AP、摄像机和 IP 电话提供 PoE 供电。大多数 50–300 人的单位并不需要三层架构，用一对堆叠或 MLAG 的收缩核心交换机就能胜任，成本也更低。

用 VLAN 做网络隔离

员工、服务器、CCTV、VoIP、访客 Wi-Fi 和设备管理各自独立一个 VLAN。它们之间的流量经由核心交换机或防火墙，按明确的规则放行。摄像机没有任何理由能访问财务电脑。

稳定且可审计

我们启用 RSTP/MSTP 并在用户端口开启 BPDU guard，上联使用 LACP，同时启用 DHCP snooping、动态 ARP 检测和语音 QoS。每台交换机都按同一模板配置，配置自动备份。

还有一点常被忽略：供电。在万象很多区域，大约 17:00 到 19:00 之间电力不稳。PoE 交换机一重启，接在上面的摄像机和电话也会全部掉线。所以核心交换机和 PoE 交换机一律配 UPS。