① 项目背景
阿尔丁广场边上某写字楼，一家三十来人的贸易公司，每天下午三点以后全公司网页打不开，微信能发文字但图片转圈。ping外网通，DNS解析正常，重启路由器能好十分钟。我登到出口设备上看，H3C ER8300的NAT会话数显示64211/65000，几乎打满。这不是带宽不够，是会话表被耗光了。
② 咨询设计
抓包看了半小时，Top talker是一台装了某下载器的电脑，单机维持了18000多条半开连接；另有一条来自内网摄像头的554端口流量，目的地址是境外IP段，说明摄像头被扫穿后在往外推流。方案分三层：出口换H3C F1000-AK125，会话容量提到100万，每IP连接数限制500；内网按办公、访客、物联切三个VLAN，物联段只允许NTP和内部NVR，其余全禁；出口做QoS，443和办公OA的流量进优先队列，下载类限速到20Mbps。
③ 施工规划
切换安排在周六，先把新防火墙配好策略导入，再改核心交换机S5130的trunk。IP规划沿用原网段，只把物联网段挪到192.168.30.0/24，避免ARP表混乱。布线顺手理了一遍：机柜里原来十几根跳线乱缠，全换成0.5米和1米的成品线，贴两端标签，配线架按楼层编号。写字楼夏季空调回风温度32度，机柜后门温度测到41度，加了两只机柜风扇，前后风道打通。
④ 安全补丁
那台摄像头是最大的雷：出厂密码admin，UPnP开着，端口映射自动打洞到公网。我们关了UPnP，把摄像头挪进物联VLAN，ACL只允许内网NVR网段访问，固件升到最新版，密码换成16位。顺带做了一次弱口令扫描，内网还有三台打印机用888888，一台NAS用admin/admin，全部改掉。很多老板觉得摄像头跟公司数据没关系，实际上它是最容易被当成跳板的一台设备。
⑤ 验收交付
连续观察三个工作日，下午高峰会话峰值2.1万，网页首包时间从平均420ms降到78ms，下载满速时办公系统响应不受影响。用IxChariot做了并发测试，200个并发连接下丢包0%。给行政留了一张A4纸的故障自查表：先看指示灯，再看会话数，再看Top IP，三步能定位八成问题。
⑥ 售后承诺
出口设备我们承诺2小时到场，配置备份留在本地和云端各一份，坏了直接换机恢复。大年三十也是这个号，17704868686。终身免费咨询，网络再断流，先把会话数截图发我，不用等我们到现场就能判断个大概。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）