网络设计的基本原则你得懂
搞网络运维，最怕的就是网络一出问题，整个公司瘫痪。会议室里视频会议卡成PPT，财务等不了报表发不出去，销售连客户系统都登录不上。这时候才意识到，当初做网络设计时没考虑周全，临时救火根本来不及。
网络不是拉根网线、插个交换机就完事的事。真正靠谱的网络，得从设计阶段就把基本原则吃透。
可扩展性：别让网络长大就喘不过气
很多公司一开始几十号人，内网简单搭一搭够用就行。但业务一扩张，新部门加人、新服务器上线，原来的架构扛不住了。比如核心交换机端口不够，带宽跑满，连打印机都抢不到网络资源。
设计时就得预判未来两三年的发展。选设备留点余量，IP地址规划用私有网段合理划分子网，比如用10.x.x.x而不是192.168.0.x这种容易撞车的。这样以后加分支、上云服务，不至于推倒重来。
可靠性：别指望设备永不坏
任何硬件都有寿命。一台核心交换机挂了，整栋楼断网，损失可能远超设备本身价格。所以关键节点必须冗余。双电源、双上联、堆叠或者VRRP热备，这些不是高级配置，是基本操作。
比如用两条光纤分别接入两台出口路由器，走BGP动态切换。一条线路断了，流量自动切到另一条，用户几乎无感。这比等报修、重启、排查快得多。
<interface GigabitEthernet0/1>
< ip address 203.0.113.1 255.255.255.252
< standby 1 ip 203.0.113.2
< standby 1 priority 110
< standby 1 preempt</interface>安全性：别把大门钥匙挂在网上
有些公司为了方便，把监控系统、门禁直接接在内网，甚至对外开放远程桌面。一旦被扫到弱口令，黑客就能顺着进内网打横。
设计之初就要分区域隔离。办公网、服务器区、IoT设备各自划分VLAN，通过ACL控制访问权限。防火墙策略遵循最小权限原则，只放必要的端口和服务。
比如财务系统的数据库，只允许财务部终端访问，其他一律拒绝。哪怕有人中了钓鱼邮件，横向移动也难。
可管理性：别等到出事才翻日志
一个没有监控的网络就像一辆没仪表盘的车。你不知道流量高峰是什么时候，也不知道哪台设备快撑不住了。
设计时就要考虑统一管理。启用SNMP采集设备状态，部署NetFlow或sFlow分析流量模型。日志集中转发到SIEM平台，异常登录、接口频繁up/down都能及时告警。
比如看到某交换机端口每小时闪断一次，查下去可能是某个会议室的AP电源不稳，提前处理，避免某天开会时集体掉线。
成本与性能平衡：不追求最贵，也不贪便宜
不是所有公司都需要万兆骨干。小企业几百人，千兆到桌面完全够用。把预算花在刀刃上，比如买支持PoE++的交换机，省去额外布电；或者选模块化防火墙，以后升级吞吐不用换整台。
反过来，数据中心内部如果还用百兆中继，那再好的应用也跑不起来。要根据业务类型定标准，视频剪辑团队和文员对网络的要求能一样吗？
网络设计不是一锤子买卖。它得能适应变化，经得起压力，还得让人管得了、修得快。把这些原则融进方案里，才能少些半夜被电话叫醒的时刻。