项目类型：网络安全升级改造工程（含竣工验收），验收之日起提供三年服务支持
我的角色：主持该项目的规划设计，并主持现场实施
客户：某市自然资源和规划主管部门（政务单位）
改造前的网络：2000 年建成，此后基本维持初建状态
客户自 2000 年前后开始网络办公。随着 OA、国土空间一张图、智慧守土、不动产登记等系统陆续上线，使用权限逐步延伸到下辖区镇，网络结构已无法承载业务对数据安全的要求。
四个结构性问题
- 安全设备近乎为零：全网仅在互联网出口、与市级主管部门互联处各有一台防火墙，业务系统侧无任何网络安全设备
- 主体设备无管理能力：主体为早期接入交换机，不具备管理与安全功能，故障频发；故障发生后无法倒推溯源，单次故障处理周期长
- 二层扁平架构：业务网与互联网混用，各业务系统之间不做隔离
- 数据性质与防护等级不匹配：承载的业务包含土地利用现状、基本农田、土地变更调查与基础地理等多源信息，并与行政监管系统叠加，数据属机密级
这条改造的性质因此很明确：不是加设备，是先重建一个能被防护的结构。设备装在扁平二层网络上，边界仍然是敞的。
改造内容
① 机房与供电
腾出机房空间、安装新机柜、机柜间构建桥架、清理旧设备与旧线路、替换原有老旧机柜。新装配电箱分配至每个机柜，并部署新的不间断电源系统。
② 网络架构：二层改三层
重构拓扑与 IP 体系，构建核心—汇聚—接入三层架构。各业务系统与部门划入不同网段，独立管理、相互隔离。汇聚层统一汇聚大楼内网、区镇分支、省市县专网、电子政务内网、外联业务单位与移动监控平台等全部接入网。
③ 安全加固
六个方向同时落地：边界加固、核心加固、终端安全、服务器安全、行为安全、日志安全。
④ 终端管控
部署终端安全管理平台，统一管理病毒特征库下发、操作系统补丁分发、软件安装与移动介质使用管控，中心管理节点部署于机房。
工程规模
网络设备
- 接入层交换机：接入机柜、外联接入机柜、行政审批中心窗口共 6 台，另备 2 台
- 大楼内网接入交换机 5 台
- 下辖区镇接入交换机 10 台（每镇 1 台）
- 行政审批中心窗口接入交换机 1 台
- 汇聚层一体化安全网关 1 台，汇聚全部接入网
- 服务器区域核心设备 4 台，组成双机堆叠
安全设备
- 防火墙 / 防病毒网关 5 台：外联单位、电子政务内网、电子政务外网、市县联网、管理区各 1 台
- 安全隔离与信息传输系统（网闸）1 套：内外网受控数据交换
- Web 应用防火墙 1 套
- 上网行为管理及流控 1 套
- 运维审计（堡垒机）1 套
- 日志审计系统 1 套
- 数据库审计系统 1 套
- 安全管理平台 1 套
- 终端防病毒系统 1 批：中心服务器及全部办公终端统一纳管
机房设备：服务器机柜与核心机柜若干、配电箱与新 UPS 1 套、动力环境监控系统 1 套（温湿度、电源、空调、烟雾、门禁、远程监控）。
同步配套：18 个外联单位的接入安全策略与端口映射、设备配置表与端口对应表、拓扑图、设备地址规划表。
三个值得说明的技术决策
① 服务器区为什么刻意不改 IP 体系
该区域的数据直通国家部委与省级厅级平台。上级平台的接入白名单通常绑定到具体网段，变更本地网段意味着需要协调上级单位同步调整，属于跨单位变更，周期不可控且存在窗口期风险。
因此这一段保留原有网段不变，把改造限定在设备层：两台自安全接入交换机分别接入两台一体化安全网关，四台设备组成双机堆叠（虚拟交换），实现双机热备与静默倒换。链路或设备故障时切换对业务无感知，上级链路无感知。
代价是这个网段不符合新的全网地址规划规范。这是一次刻意保留的例外——在业务连续性面前，地址规范性可以让步。
② 为什么接入层以二层为主，地址交给汇聚层
接入层只做二层转发，不参与三层路由；地址由汇聚层启用 DHCP 服务统一分配，各区镇与窗口区域各自构成独立网络域。
理由是运维规模：接入层分布在大楼、区镇、窗口等多处，终端数百。手工配置地址是长期运维中最容易出错、也最难排查的一环。把地址管理收敛到汇聚层一个点，新增终端不需要逐台配置，地址冲突与非法接入也随之可控。
③ UPS 容量是算出来的，不是选出来的
UPS 主机额定 20KVA，配置 16 节 100AH 电池组。改造完成后实测全网设备功耗约 5KW，负载率仅约四分之一，因此实际后备时间显著长于标称值。
这一条的实际意义是：断电时能撑多久是算出来的结论，不是采购参数。前端按 1 路输入 8 路输出分配，每路单独配置漏电保护。