① 项目背景
稀土高新区一家制造企业，等保测评提了整改项：边界防火墙固件停更四年，核心交换机EOL两年，接入层还有一批百兆设备。信息主管很委屈，说设备又没坏，换一台好几万，老板不批。我让他把设备清单拉出来，三十七台网络设备里，十九台已经过了厂商支持期，其中三台在CVE库里挂着未修补的高危漏洞。
② 咨询设计
先做台账，不是做个Excel就叫台账。字段要有型号、序列号、当前固件、维保到期日、EOL公告日、已知CVE、承载业务、替换优先级。用nmap加SNMP全网扫一遍，把私接的、忘记录的设备全揪出来，实际扫出四十一台，比台账多四台。CMDB用开源的iTop，资产和工单关联，换设备的时候自动带出影响范围。替换排序按三条：边界设备优先、承载核心业务优先、有在野利用漏洞的优先。
③ 施工规划
割接全安排在凌晨零点到四点，提前两天发通知。配置转换先做离线预演，H3C的ACL语法和华为不一样，用脚本转完人工逐条核，尤其注意隐含拒绝和端口组。原设备不拆，断电留在机柜里，新设备上架后跑一周，确认稳定再下架。每台设备贴二维码标签，扫码看台账、看配置备份、看维保到期。
④ 安全补丁
很多客户觉得老设备放内网就安全，实际上攻进来之后横向移动的第一站就是这些设备，它们没有补丁、没有日志、口令还是十年前设的。替换之前的过渡期，先做微隔离，把EOL设备能访问的网段收到最小；关闭telnet、http、CDP这些没用的服务；口令全部改成十六位随机。出口防火墙先换，华为USG6555E开IPS和反病毒，日志送Syslog留存六个月。
⑤ 验收交付
台账覆盖率做到百分之百，四十一台设备全部有主。EOL设备从十九台降到六台，剩下的是产线上不能停的工控交换机，单独做了隔离。漏洞扫描高危项从四十二个降到三个，等保整改项一次过。交付一份三年替换路线图和预算测算，老板签字的时候说早知道这么算，去年就该换。
⑥ 售后承诺
资产台账不是交完就完事，我们承诺2小时到场，每年免费更新一次台账和EOL清单。大年三十电话通着，17704868686。设备选型和替换排序终身免费咨询，预算不够就先做隔离，我们给你排个不花冤枉钱的顺序。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）