我的文档

主题

一个购物中心从 0 到 1 的网络规划与实施实录（华为全栈方案） ​

项目角色：唯一网络工程师，负责需求调研、方案设计、设备选型、配置实施、联调验收全流程。 设备体系：华为 CloudEngine 交换机 + USG 防火墙 + AirEngine 无线 + OceanStor 存储 + TaiShan/FusionServer 服务器。 写作目的：既是项目复盘，也是一份可复现的工程参考。文中所有命令均为华为 VRP / USG 语法，密码均为示例占位（如 Huawei@Mall2026）。

项目概述 ​

2025 年 9 月，我作为唯一网络工程师进场，负责某新建购物中心的整网建设，2026 年 5 月开业，网络必须一次建成、开业当天零重大故障。

项目底子是这样的：

  • 商业建筑面积约 6 万㎡，地上 4 层（F1-F4）+ 地下 2 层（B1 超市及部分商业、B2 停车场）；
  • 约 250 个商铺租户，POS 收银点位约 300 个（含 B1 超市 40 台）；
  • 业态：超市、餐饮、零售、影院（预留弱电与 VLAN，本期不实施）、儿童业态；
  • 客流 WiFi 预估并发 3000 终端（开业实测峰值 3200+，预估基本命中）；
  • 核心业务系统：POS 收银（营收链路，最高优先级）、会员/CRM、ERP、停车场收费、视频监控约 400 路、客流统计、信息发布屏、办公 OA（企业微信）；
  • 1 个核心机房（B1，约 40㎡）+ 各楼层弱电间（B1 弱电即核心机房，B2/F1-F4 共 5 个楼层弱电间）；
  • 双运营商互联网接入：主链路 500M 专线 + 备链路 300M 专线，另有 5G CPE 作为 POS 应急兜底；
  • 合规要求：网络安全等级保护二级（等保 2.0），测评要过、日志要留 180 天；
  • 工期：弱电施工 8 周（2025-11 ～ 2025-12），网络实施与联调 6 周（2026-01 ～ 2026-02），POS 联调 2 周（2026-03），随后试营业压测、开业。

6 周实施窗口内，我一个人要完成 2 台框式核心 CSS 集群、12 台汇聚堆叠、近 40 台接入、2 台防火墙 HRP 双机、2 台 AC 双链路热备、350 个 AP 上线、双 DHCP 服务器、网管/日志/堡垒机、等保整改和全量验收测试。整个方案的取舍逻辑只有一条：POS 收银是营收生命线，一切设计围绕"收银不能停"展开，其余业务给 POS 让路。

一、网络设计说明 ​

1.1 架构设计：核心-汇聚-接入三层，核心 CSS 集群 + 防火墙 HRP 主备 ​

整网采用经典三层架构，这是我反复权衡后的选择：

  • 核心层：2 台华为 CloudEngine S12700E-4 框式交换机组建 CSS 集群（1+1 虚拟化为一台逻辑设备），承担全网 L3 网关（全局 VLAN）与高速转发；
  • 汇聚层：每个楼层弱电间 2 台 S6730-H48X6C 万兆盒式交换机堆叠（iStack），承担本楼层业务 VLAN 的网关、DHCP 中继、本楼层子网间首跳转发，并作为 ABR；
  • 接入层：每层若干台 S5735-H（PoE，接 AP/摄像头）与 S5735-L（非 PoE，接 POS/办公/停车/发布），双 10GE 上联至本层汇聚双机（跨设备 Eth-Trunk）；
  • 出口区：2 台 USG6650E 防火墙 HRP 主备双机热备，直连双运营商线路（中间各加一台出口交换机做线路分配），不设独立出口路由器；
  • 无线：2 台 AC6805 双链路热备（AC1 主 / AC2 备），旁挂核心；
  • 服务器区/DMZ：业务服务器与支撑服务器（DHCP/DNS/NTP/网管/日志/堡垒机）接核心机房服务器区交换机；对外服务（Portal 认证页、官网/小程序前端）放防火墙 DMZ 区。

逻辑拓扑（示意）：

text
                    ┌─────────────┐   ┌─────────────┐
   ISP1 500M 专线 ──┤ 出口SW1      ├───┤ FW-A USG6650E├──┐
   ISP2 300M 专线 ──┤ 出口SW2      ├───┤ FW-B USG6650E├──┤ HRP 主备（心跳直连光纤）
   5G CPE（应急）───┤             │   └──────┬───────┘  │
                    └─────────────┘          │ GE 下联（VRRP 虚地址）
                                   ┌─────────┴──────────┐
                                   │  核心 CSS 集群      │
                                   │  S12700E-4 × 2     │
                                   │（全网网关/OSPF 骨干）│
                                   └─┬────┬────┬────┬───┘
              10GE Eth-Trunk ×4/层  │    │    │    │      旁挂：AC1/AC2（双链路热备）
             ┌──────────────────────┤    │    │    ├────────── 服务器区 SW ×2（堆叠）
             │        │        │    │    │
          ┌──┴──┐ ┌──┴──┐ ┌───┴─┐ ┌┴───┐ ┌┴────┐
          │B2汇聚│ │F1汇聚│ │F2汇聚│ │F3汇聚│ │F4汇聚│   每层 2 台 S6730-H48X6C 堆叠
          │stack│ │stack│ │stack│ │stack│ │stack│   （B1 汇聚位于核心机房）
          └──┬──┘ └──┬──┘ └──┬──┘ └──┬──┘ └──┬──┘
             │双10GE LAG 下联接入交换机（PoE 接 AP/监控，非 PoE 接 POS/办公/停车/发布）

几个关键架构决策的取舍理由（面试常被问，单独拎出来）：

  1. 为什么核心用 CSS 集群而不是 VRRP 双机？ 如果核心是两台独立设备，全网几十个网关就得配 VRRP 备份组，汇聚上联还得靠 MSTP 阻塞一半链路，配置量大、排障复杂，而且 VRRP 的主备角色是"每网关独立"的，故障时的流量模型很难一眼看清。CSS 把两台框式虚拟成一台：网关只有一个、配置只写一份、跨机箱 Eth-Trunk 全活转发（没有阻塞口）、单机箱故障收敛在秒级以内。代价是集群软件升级需要整体重启、存在分裂（双主）风险——前者用变更窗口解决，后者用 MAD 多主检测兜底。对"只有一个网络工程师"的商场，可运维性 > 一切，CSS 是明确更优解。
  2. 为什么出口防火墙用 HRP 主备而不是负载分担？ 双出口本身是"主备专线"而不是"双活专线"（500M 主 + 300M 备，运营商也是这么卖的）；负载分担模式下会话快速备份、NAT 地址池端口分段这些复杂度对一个 3000 并发的商场出口毫无收益，反而增加排障成本；POS 支付会话对稳定性极敏感，主备模式下任何时刻只有一台设备处理流量，路径确定、心智简单。等保测评时，主备拓扑的边界描述也更清晰。
  3. 为什么防火墙直连运营商、不设出口路由器？ USG6650E 的端口与性能（开启 IPS 后仍留有余量）完全够 500M+300M 出口，中间加两台 AR 路由器只会多两跳、多两个故障点、多两份配置，NAT 也会被拆到两台设备上。除非未来要上 MPLS 专线或 SD-WAN，出口路由器在本项目没有存在价值。
  4. 为什么汇聚层做三层网关、而不是把所有网关都压在核心？ 商场有几类 VLAN 天然是"全局"的（POS 终端全楼分布、服务器集中在核心机房），但也有大量 VLAN 是"楼层属性"的（办公、监控、客流 WiFi、租户）。把楼层属性的业务下沉到每层汇聚做网关：二层域被限制在单楼层内（广播风暴的爆炸半径小）、核心路由表通过 ABR 汇总从 30+ 条精简到 6+ 条、楼层故障只影响本楼层。这是一个"全局业务走核心、楼层业务走汇聚"的混合模型，两类 VLAN 各得其所。

1.2 VLAN 规划 ​

设计原则：按业务定界，按位置分层。POS/服务器/停车/信息发布/管理这几类"全局业务"用全网统一 VLAN，网关在核心；办公/监控/客流统计/客流 WiFi/租户这几类"楼层业务"按楼层划分子网，网关在本层汇聚堆叠（VLAN ID 各层复用，不同楼层是不同的二层域，由汇聚三层隔离）。

楼层编码：F1=1、F2=2、F3=3、F4=4、B1=11、B2=12（下表用 x 表示楼层编码）。

VLAN ID业务名称网段网关（位置）说明
10POS 收银（全局）10.0.10.0/2310.0.10.254（核心）300 台 POS + POS 服务器/打印机，/24 放不下所以用 /23
20会员/CRM（全局）10.0.20.0/2410.0.20.254（核心）CRM/会员服务器区
30ERP（全局）10.0.30.0/2410.0.30.254（核心）ERP 服务器区
40x（40）办公 OA（按层）10.x.40.0/2410.x.40.254（本层汇聚）物业办公，企业微信
50视频监控（按层）10.x.50.0/2410.x.50.254（本层汇聚）400 路摄像头，静态 IP
55客流统计（按层）10.x.55.0/2410.x.55.254（本层汇聚）出入口客流探针/客流相机
60客流 WiFi（按层）10.x.60.0/2210.x.60.254（本层汇聚）SSID "MALL-Free"，Portal 认证
70租户经营网（按层）10.x.70.0/2210.x.70.254（本层汇聚）SSID "MALL-Shop" + 租户有线点
80停车收费（全局）10.0.80.0/2410.0.80.254（核心）车道道闸/收费岗亭/寻车机
90信息发布（全局）10.0.90.0/2410.0.90.254（核心）约 60 块广告屏/导购屏
100设备管理 + AP 管理（全局）10.0.100.0/2210.0.100.254（核心）全网网管地址与 AP 管理地址
200DMZ（防火墙 dmz 区）10.0.200.0/2410.0.200.1（FW 虚地址）Portal 服务器、官网/小程序前端
210支撑服务器区（全局）10.0.210.0/2410.0.210.254（核心）DHCP/DNS/NTP/eSight/eLog/CBH/VMS
201~206核心-汇聚互联网段（按层）10.255.255.0/30 起每层一段—OSPF 骨干 transit，见 1.5
999核心-防火墙互联网段10.254.0.0/29—核心 VLANIF999=.6，FW-A=.1、FW-B=.2、虚地址=.3
110影院（预留）10.0.110.0/24—本期只预埋管路与信息点，不配置

1.3 IP 地址规划（含设备管理地址表） ​

网段规则：10.0.<业务>.0 = 全局业务；10.<楼层>.<业务>.0 = 楼层业务。网关统一 .254，静态地址用 .1～.100，DHCP 动态地址用 .101 起。公网出口地址均为示例占位。

设备/区域管理地址（VLANIF100 或 mgmt 口）
核心 CSS 集群10.0.100.1
FW-A / FW-B（MGMT 口 GE0/0/0）10.0.100.11 / 10.0.100.12
AC1 / AC2（CAPWAP 源）10.0.100.21 / 10.0.100.22
汇聚堆叠（B2/F1/F2/F3/F4/B1）10.0.100.31 / .33 / .35 / .37 / .39 / .41
接入交换机10.0.100.101～10.0.100.160（按层分段：F1=.101-.106、F2=.111-.116、F3=.121-.125、F4=.131-.135、B2=.141-.145、B1(服务器区)=.151-.153）
AP 管理地址池10.0.101.1～10.0.102.250（DHCP，option 43 指向双 AC）
出口/DMZ 交换机10.0.100.171～.174
DHCP/DNS/NTP 服务器10.0.210.11/.12（DHCP 双机）、10.0.210.13/.14（DNS，兼 NTP）
eSight / eLog / 堡垒机 CBH10.0.210.5 / 10.0.210.6 / 10.0.210.7
视频管理平台 VMS10.0.210.61 / 10.0.210.62
POS 服务器/数据库/打印机10.0.10.5～10.0.10.20（静态，VLAN 10 内）
Portal/DMZ 服务器10.0.200.21 / 10.0.200.22
运营商互联ISP1：202.100.10.0/29（.1 运营商网关，FW-A=.2、FW-B=.3，NAT 池=.4，对外映射=.5）；ISP2：61.150.20.0/29（同规则）；5G CPE：桥接，FW 口 DHCP 获取

1.4 DHCP 规划 ​

DHCP 服务器采用两台 Linux（虚机，isc-dhcp-server，主备 failover 模式），集中放在支撑服务器区。除摄像头、停车设备、信息发布屏、服务器等固定地址设备走静态配置外，其余终端全部 DHCP：

scope网段地址范围租期备注
POS10.0.10.0/23按台 MAC 绑定固定地址（host 保留）24h收银机插即用、地址可追溯
客流 WiFi（6 层）10.x.60.0/22.60.101～.63.2501h高并发短租期，地址快速回收
租户经营网（6 层）10.x.70.0/22.70.101～.73.2504h面板 AP/收银辅机/点餐机
办公（6 层）10.x.40.0/24.101～.2508h物业办公 PC
AP 管理10.0.100.0/2210.0.101.1～10.0.102.25024hoption 43 下发双 AC 地址

网关设备（核心/汇聚）只做 DHCP 中继（dhcp select relay），指向 .11/.12 两台服务器。为什么 POS 也用 DHCP 而不是全静态： 收银机 300+ 台分布在 250 个商铺，开业前还在不断调整位置，静态 IP 的台账根本维护不住；用 MAC 绑定的固定地址，既保留"一台机一个终身 IP"的可追溯性（对账、审计、定位一台机在哪层哪个口都查得到），又把改地址的活儿从人工变成服务器配置。

1.5 路由设计：OSPF 单进程多区域，边界静态 ​

内网 IGP 用 OSPF（进程 1），区域规划：

  • 骨干 area 0.0.0.0：核心 CSS + 6 个汇聚堆叠，跑在核心-汇聚互联网段（VLAN 201~206，10.255.255.0/30 起，每层一段 /30：F1=.0/30、F2=.4/30、F3=.8/30、F4=.12/30、B1=.16/30、B2=.20/30；核心侧 VLANIF=.2，汇聚侧 VLANIF=.1）；
  • 楼层区域：area 0.0.0.1（F1）、0.0.0.2（F2）、0.0.0.3（F3）、0.0.0.4（F4）、0.0.0.11（B1）、0.0.0.12（B2），每个汇聚堆叠作为 ABR 只注入本层网段，并在 ABR 上做路由汇总 abr-summary 10.x.0.0 255.255.0.0；
  • 核心：注入各全局 VLANIF 网段；配置静态默认路由 0.0.0.0/0 → 10.254.0.3（防火墙下联虚地址），并在 OSPF 里 default-route-advertise，让所有汇聚自动获得默认路由；
  • 防火墙-核心：静态互指（FW 回 10.0.0.0/8 静态 → 10.254.0.6）。不在 FW 与核心之间跑 OSPF：HRP 主备切换时动态路由邻居重建存在不确定性，静态 + VRRP 虚地址 + 免费 ARP 的切换路径最短、行为最确定，这是华为防火墙双机场景的推荐姿势；
  • 用户侧 VLANIF 全部 silent-interface 抑制，OSPF Hello 不发给终端网段。

这样核心路由表里，6 个楼层各 1 条汇总 + 全局网段若干，干净得一眼能看完。出现路由黑洞时，display ip routing-table 的排查范围极小。

1.6 安全设计 ​

安全区域划分（防火墙上）：

  • trust：内网（下联核心，GE1/0/1，VRRP 虚地址 10.254.0.3）；
  • untrust：ISP1（GE1/0/3）、ISP2（GE1/0/4）、5G CPE（GE1/0/7）；
  • dmz：对外服务区（GE1/0/2，VRRP 虚地址 10.0.200.1）。

内网再做"软分区"：VLAN 之间默认不互通，全部在网关（核心/汇聚）用 ACL 显式放行，即白名单式互访。

访问控制矩阵（网关 ACL，摘要）：

源区域可访问明确禁止
POS（VLAN 10）POS 服务器/打印机（VLAN 10 内）、DNS/NTP、支付网关公网段（经 FW 出去）、POS 厂商远程运维段（临时开）一切其他内网网段，禁止互访办公/监控/租户/访客
客流 WiFi（VLAN 6x）仅互联网（经 FW NAT）+ DNS + Portal 认证相关整个 10.0.0.0/8 内网（访客与内网硬隔离）
租户（VLAN 7x）仅互联网 + DNS内网所有网段；租户间二层用 port-isolate 隔离
监控（VLAN 5x）仅 VMS（10.0.210.61/62）+ NTP；允许 VMS 主动访问摄像头其他一切网段（单向：只许推流给平台，不许反向）
办公（VLAN 4x）内网资源 + 互联网—
管理（VLAN 100）堡垒机 10.0.210.7、全网设备 SSH/SNMP只允许堡垒机与运维终端网段访问设备 vty
DMZ（VLAN 200）RADIUS/会员接口（VLAN 20 指定端口）禁止主动访问内网其他网段

代表 ACL 举例（核心交换机上，POS 网白名单）：

text
acl number 3001 name POS-out
 rule 5 permit ip destination 10.0.10.0 0.0.1.255        // VLAN10 内互通（POS机↔POS服务器/打印机）
 rule 10 permit ip destination 10.0.210.13 0              // DNS/NTP
 rule 15 permit ip destination 10.0.210.14 0
 rule 20 permit ip destination 203.0.113.0 0.0.0.255      // 支付网关公网段（示例网段，按收单机构实际填写）
 rule 1000 deny ip
#
interface Vlanif10
 ip address 10.0.10.254 255.255.254.0
 traffic-filter inbound acl 3001

放行/新增一律加 rule 到 1000 之前，deny 永远是最后一条——POS 网的哲学是"没写的都不许"。

监控网单向（汇聚交换机上，以 F1 为例）：

text
acl number 3101 name CAM-F1-in
 rule 5 permit ip destination 10.0.210.61 0
 rule 6 permit ip destination 10.0.210.62 0
 rule 10 permit udp destination-port 123                   // NTP
 rule 1000 deny ip
#
acl number 3102 name CAM-F1-out
 rule 5 permit ip source 10.0.210.61 0 destination 10.1.50.0 0.0.0.255   // VMS 主动管理摄像头
 rule 6 permit ip source 10.0.210.62 0 destination 10.1.50.0 0.0.0.255
 rule 10 permit tcp tcp-flag established                   // 放行回程
#
interface Vlanif50
 ip address 10.1.50.254 255.255.255.0
 traffic-filter inbound acl 3101
 traffic-filter outbound acl 3102

访客网隔离（汇聚交换机上）：

text
acl number 3201 name GUEST-F1
 rule 5 permit ip destination 10.0.210.13 0                // DNS
 rule 6 permit ip destination 10.0.200.21 0                // Portal 服务器
 rule 7 permit ip destination 10.0.200.22 0
 rule 1000 deny ip destination 10.0.0.0 0.255.255.255      // 封内网
 rule 1010 permit ip                                      // 放行互联网（去往公网默认路由）
#
interface Vlanif61
 traffic-filter inbound acl 3201

同时 SSID "MALL-Free" 在 AC 的 traffic-profile 下开启 user-isolate l2（同 VAP 内用户二层隔离），访客之间也互相看不见。

1.7 QoS 设计 ​

商场流量的特点是"三类流量抢一条出口"：POS 支付（极小带宽、极敏感）、视频监控回传（持续大流量、内网为主）、访客上网（突发大流量）。QoS 三层布置：

  1. 接入层打标记（MQC）：POS 接入端口入方向将流量重标记 DSCP EF；监控端口入方向重标记 DSCP AF41。标记离源越近越可信。
  2. 汇聚/核心队列调度：默认信任 DSCP（trust dscp 缺省行为），EF 进高优先级队列；核心-出口瓶颈主要在防火墙出口带宽，不在内网（内网最小链路是 10GE）。
  3. 出口防火墙带宽管理：给访客 VLAN 段做出向限速（合计 250M），POS 段保障 60M，监控/办公按剩余分配——这一段我是在防火墙 Web 界面的带宽管理模块配置的（策略在 traffic-policy 视图，界面配置后用 display current-configuration | include traffic-policy 核对落盘），比手敲命令更直观也不易错。
  4. 无线侧每用户限速：客流 WiFi 每终端上行 4M/下行 8M（kbit/s，在 traffic-profile 下 rate-limit client up 4096 down 8192），防止个别终端跑满空口。
text
# 接入交换机：POS 流量标记 DSCP EF
acl number 3002 name mark-pos
 rule 5 permit ip source 10.0.10.0 0.0.1.255
#
traffic classifier c-pos operator or
 if-match acl 3002
traffic behavior b-pos
 remark dscp ef
traffic policy p-pos
 classifier c-pos behavior b-pos
#
interface range GigabitEthernet0/0/1 to GigabitEthernet0/0/12   // POS 端口段（示例）
 traffic-policy p-pos inbound

1.8 无线设计 ​

容量测算（先算清楚再选型，拍脑袋会翻车）：

  • 客流并发 3000 终端，其中约 70% 集中在 F1-F3 公共区域与餐饮层；按公共区 AP 单台并发 40～50 台、面板 AP 单台 10～15 台估算；
  • 公共区域放装 AP（吸顶）约 60 台（走廊/车库/出入口，覆盖为主）；
  • 高密三频 AP 约 40 台（中庭、美食广场、超市、儿童业态——双 5G 射频，单台并发可扛 60+）；
  • 租户面板 AP 250 台（每商铺 1 台，面板式，PoE 供电，承担商铺内经营 WiFi）；
  • 合计 350 台（另备 5 台备件）。

SSID 与认证规划（双 SSID）：

SSID用途绑定 VLAN安全策略认证
MALL-Free顾客客流 WiFi楼层 VLAN 61~66（每层一个 /22）开放（Open）外置 Portal + RADIUS（对接会员系统：手机号验证码登录，登录送积分券——运营部门的需求，网络侧做成可运营的 WiFi）
MALL-Shop商户经营 WiFi楼层 VLAN 71~76WPA2-PSK（WPA2/WPA3 混合过渡，密钥按楼层轮换）PSK + 用户隔离 + 每 SSID 每用户限速

MALL-Shop 用共享 PSK 是权衡后的决定：开业前商户装修进场时间不一，802.1X 或每户独立 Portal 的开户流程在当时的人手下跑不起来，先 PSK + user-isolate + 楼层子网隔离把风险压住，等保测评对访客网的关注点在"可审计"（Portal + RADIUS 记录）而不是商户网，这个短板我写进了运维交接文档，列为二期整改项（升级为 MAC 认证 + Portal）。

信道与功率规划（按楼层）：

  • 2.4G 只用 1/6/11 蜂窝复用（放装 AP 间距 15～18m，错层错频；高密区关闭低速率集，减少空口占用时间），并压低 2.4G 发射功率引导终端走 5G；
  • 5G 低密区 40MHz（36-64 信道组），高密区（中庭/美食广场/超市）压到 20MHz 提高信道复用率（149-165 信道组），三频 AP 的两个 5G 射频分领两组信道；
  • 上线后开 DRRM 自动调优（calibrate enable auto，默认每日凌晨触发），开业前两周每晚人工触发一次全量调优并复核高密区信干噪比；
  • 直接转发模式（本地转发）：客流大，数据面不进 AC 隧道，AP 就近从接入交换机进入楼层 VLAN；管理面 CAPWAP 走 VLAN 100。
  • AP 上线发现：DHCP option 43 下发双 AC 地址（AC1 主、AC2 备），AP 与两台 AC 同时建立 CAPWAP，双链路热备。

1.9 等保二级合规设计 ​

按"二级系统"要求，把网络侧控制项落到设备上：

  • 边界防护与访问控制：FW 双机 HA 出口，缺省全 deny 的安全策略 + 按 dest 精确放行；IPS 特征库（含 1 年升级授权）对互联网入口策略引用 profile ips default；开启攻击防范（flood/scan）；
  • 入侵防范：USG IPS + 反病毒（AV）授权，出口策略同时引用；
  • 安全审计：全网设备 Syslog 外送 eLog（10.0.210.6），防火墙开启会话日志，日志留存 ≥180 天（eLog 虚机挂 8TB 日志盘，按日均增量测算可存 10 个月以上）；
  • 运维审计：所有设备 SSH 仅允许堡垒机（CBH，10.0.210.7）和应急运维终端地址登录（vty ACL），操作留痕；网络设备账号禁用默认 admin，双人双账号；
  • 身份鉴别：设备口令 12 位以上复杂度（aaa 下启用本地密码策略，90 天过期），管理协议只留 SSHv2/SNMPv3/HTTPS，Telnet/HTTP 全关；
  • 网络架构：管理面（VLAN 100）与业务面物理同网逻辑分域，DMZ 独立安全域，无线访客与内网隔离。

1.10 网络管理设计 ​

  • eSight 统一网管（VM 部署于支撑服务器区）：纳管全部交换机/防火墙/AC/AP，拓扑呈现、告警、配置备份（每周自动备份一次配置到 eSight 服务器，这是救命稻草，后面讲 故障 时会说）；
  • SNMPv3：认证 SHA + 加密 AES128，只读团体给 eSight，Trap 上报启用；
  • Syslog：全部设备 info-center loghost 10.0.210.6，严重级别 informational 以上外送，本地 logbuffer 保留缺省；
  • NTP：全网统一时钟源 10.0.210.13（chrony，上游对齐国家授时中心），认证/审计日志的时间戳才有法律效力；
  • Zabbix（可选，自建）：对 DHCP/DNS/Portal 服务器与出口链路质量做主动探测（ICMP/HTTP），补 eSight 对服务器侧的盲区——这个是我自掏腰包搭的虚机，20 分钟搭好，开业后多次在用户报障前发现 Portal 服务异常。

二、设备选型与清单 ​

选型总原则：容量按"开业日峰值 × 3 年增长"算，钱花在可用性和冗余上，不买指标好看的寂寞。以下逐项说明为什么选、数量怎么算出来的。

2.1 核心交换机：S12700E-4 × 2（CSS 集群） ​

设计院初稿给的是 2 台 S12700E-8。我拿到 BOM 后算了一笔账：

  • 下行需求：6 个汇聚位置 × 4×10GE（每汇聚堆叠双机各 2 条上联，跨机箱 Eth-Trunk）= 24×10GE；加上防火墙 2、双 AC 4、服务器区 2×10GE ×2，合计约 34×10GE；
  • 上行 500M+300M 出口走防火墙，核心-防火墙 GE 即可，核心无需大上行；
  • 终端规模：有线点位约 2000、无线并发 3000+，背板与交换容量对 S12700E 系列是毛毛雨。

结论：S12700E-8（8 槽位）明显过重，压缩为 S12700E-4（4 槽位）：每框 2 块主控（1+1 冗余）+ 2 块 24×10GE 业务板（48×10GE/框，两框合计 96 口，实际用量 34 口，留足 3 年扩容）。平台仍保留 S12700E 旗舰级的 CSS 集群、不中断升级能力与 10 年以上生命周期——商场物业的设备是要服役十年的，这一层不能省；省的是槽位，不是可靠性。

数量：2 台（+ 主控冗余、CSS 采用业务口集群，不占用额外 CSS 板卡预算）。

2.2 汇聚交换机：S6730-H48X6C × 12（每层 2 台堆叠） ​

  • 为什么盒式不框式：每层汇聚需要的 10GE 端口数 = 下联接入（约 6-7 台接入 × 2×10GE ≈ 14）+ 上联核心 4 ≈ 18 口，一台 48×10GE 盒式绰绰有余，框式纯属浪费；
  • 为什么 S6730-H48X6C：48×10GE SFP+ + 6 个 100GE/高速上行口，当前在售主流型号，未来若楼层带宽需要升级，100GE 口直接对接核心扩容板卡，不用换设备；
  • 为什么每层 2 台堆叠（iStack，堆叠卡 + 2 条堆叠线缆）：本层网关设备级冗余，接入交换机可以双上联做跨设备 Eth-Trunk，楼层内无 STP 阻塞口；堆叠配置只维护一份。

数量：6 个位置（B2/F1/F2/F3/F4 + B1 机房）× 2 台 = 12 台，堆叠卡 12 块。

2.3 接入交换机：PoE 与非 PoE 分开选型 ​

按信息点实测统计（各层装修图纸 + 物业清单）：

楼层POS租户点(面板AP+有线)监控公共AP办公停车发布/客流小计
B2––60126508136
B170105805520–22352
F180120707525–20390
F260110707020–16346
F35090605715–14286
F44080605212–14258
合计3005054003219850941768

（租户点 505 = 面板 AP 250 + 租户有线 255；含 10% 冗余后规划信息点约 1950，取整 2000。）

  • PoE 接入：S5735-H48P4X × 22 台（48×GE PoE+ + 4×10GE 上联）。PoE 需求 = 监控 400 + 公共 AP 321 + 面板 AP 250 ≈ 971 口；按每台实接 ≤44 口（留管理余量）需 22.1 台，分层落位 B2:2、B1:4、F1:4、F2:4、F3:3、F4:3 共 20 台，加 2 台备件 = 22 台。PoE 预算按面板 AP 约 15W、普通半球约 10W、高密三频 AP 约 30W 估算，高密楼层（B1/F1）交换机配双电源；施工后实测整框 PoE 峰值约 300W，预算充足。
  • 非 PoE 接入：S5735-L48P4X × 17 台（48×GE + 4×10GE）。非 PoE 需求 = POS 300 + 办公 98 + 停车 50 + 发布/客流 94 + 预留 ≈ 590 口，需 13.4 台，落位 15 台（B2:3、B1:3、F1~F4 各 2、1），另服务器区 2 台（堆叠）合计 17 台。
  • 为什么 PoE/非 PoE 分开：PoE 机型比同端口非 PoE 贵 30%+，POS/办公/发布点位不需要供电，分开设型直接省出一台核心的钱。

2.4 出口防火墙：USG6650E × 2（HRP 主备） ​

  • 吞吐核算：互联网出口峰值 ≤ 800M + IPS 开销（启用 IPS 后吞吐通常打折，USG6650E 开 IPS 后仍有 G 级能力）→ 满足且留 3 年余量；
  • 双机 HRP 主备（不是负载分担，理由见 1.1），心跳线直连光纤，会话自动同步，另外开启 hrp mirror session enable 做会话快速备份——支付类 TCP 会话建立瞬间同步到备机；
  • 端口需求：下联核心 1、DMZ 1、ISP×2、5G CPE 1、心跳 1、MGMT 1，共 7 个 GE，USG6650E 板载口足够；
  • 附加授权：IPS + AV 特征库 1 年升级授权（等保测评必查项）。
  • 出口交换机：S5735-L24T4S × 2，每条运营商线路 1 台，把一条专线"分"给两台防火墙（同一公网网段两台 FW 各占一个实地址 + NAT 池独立地址），同时兼做运营商侧配线；DMZ 区 1 台 S5735-L24T4S。合计 3 台。

2.5 无线：AC6805 × 2 + AirEngine 系列 AP ​

  • AC 容量：350 台 AP，双链路热备要求每台 AC 单独能扛全量（主 AC 故障时备机接管全部 AP），选 AC6805（配 400 AP 授权），AC1 主/AC2 备；
  • AP 选型三类：AirEngine 5761-11（双频 Wi-Fi6 放装）×60、AirEngine 6761-21T（三频高密）×40、AirEngine 5761R-11（面板式）×250，备件 5761R-11 ×5。全 Wi-Fi6 为后续 6 年生命周期考虑。

2.6 服务器与存储 ​

  • TaiShan 200（2280，鲲鹏）× 2：POS 数据库 + 会员/CRM 数据库（主备集群，信创要求，数据库对 ARM 生态已验证）；
  • FusionServer 2288H × 2：ERP、Portal、eSight/eLog/CBH/DHCP/DNS 等（虚拟化承载，双机）；
  • OceanStor 5310（双控全闪）× 1：业务数据存储，规划可用 ≥20TB；
  • 视频监控存储：OceanStor 5000 系列双控 + 扩展柜（3.5" NL-SAS 12TB ×75）。容量测算：400 路 × 平均 2.5Mbps（H.265 1080p 主码流+子码流）≈ 10.5TB/天，30 天滚动存储 ≈ 315TB，RAID6 + 热备后可用容量需 ≥350TB，规划约 650TB 可用（按后期加摄像头 30% 余量）；
  • 堡垒机：华为 CBH × 1（100 资产授权，当前设备约 60 台，余量够）；
  • UPS：核心机房 UPS5000-E 40kVA × 2（1+1 并机，满载后备 60 分钟）+ 电池组；楼层弱电间 UPS2000-A 2kVA × 5（每弱电间 1 台，后备 2 小时）——弱电间断电时至少保汇聚 + 少量接入存活，整层瘫痪和整层降级是两个等级的事故。

2.7 整网设备总清单（BOM 摘要） ​

类别型号数量用途
核心交换机S12700E-4（双主控 + 24×10GE 板 ×2/框）2CSS 集群核心
汇聚交换机S6730-H48X6C（+堆叠卡）12（+堆叠卡12）每层堆叠，楼层网关/ABR
接入交换机 PoES5735-H48P4X22AP/摄像头接入
接入交换机 非 PoES5735-L48P4X17POS/办公/停车/发布/服务器区
出口/DMZ 交换机S5735-L24T4S3运营商线路分配 ×2、DMZ ×1
防火墙USG6650E（IPS+AV 授权）2HRP 主备出口
无线 ACAC6805（400AP 授权）2双链路热备
放装 APAirEngine 5761-1160公共区域覆盖
高密 APAirEngine 6761-21T40中庭/美食广场/超市/儿童
面板 APAirEngine 5761R-11250（+5 备）商铺经营 WiFi
服务器TaiShan 200（2280）2POS/CRM 数据库
服务器FusionServer 2288H2ERP/Portal/管理面虚拟化
存储OceanStor 5310（全闪双控）1业务存储
监控存储OceanStor 5000 系列（双控+扩展柜，12TB×75）1400 路视频 30 天
堡垒机华为 CBH1运维审计
UPSUPS5000-E 40kVA / UPS2000-A 2kVA2 / 5机房 1+1 / 弱电间
5G CPE运营商 5G CPE（桥接）1（+1 备）POS 断网应急
10GE 光模块10GE 单模 LR（10km，LC）约 64（含备）核心-汇聚主干
10GE 高速线缆10GE DAC 3m约 100同柜互联（接入上联/服务器）

2.8 综合布线清单 ​

  • 主干光纤：G.652 单模 12 芯 ×2 条/弱电间（主备两条路由，走不同竖井桥架——施工时和总包确认过两个竖井物理隔离，这是抗"一把火/一次断缆"的关键）。核心机房至 5 个弱电间平均距离约 130m，合计约 1500m（12 芯 ×2 条 ×5 处）。
  • 水平铜缆：六类非屏蔽（U/UTP），信息点约 2000 个，平均点位长度 45m，305m/箱约布 6.5 个点，需约 310 箱，含 10% 余量采购 340 箱；POS 点与监控点在要求高的区域上超六类（F1 中庭大屏、收银主线）。
  • 配线架/跳线：24 口六类配线架约 110 个（含预留）、光纤配线箱（ODF）每弱电间 24 芯 ×1、核心机房 144 芯 ODF ×1；六类跳线约 2200 根、LC-LC 尾纤跳线按 ODF 配。
  • 机柜：核心机房 42U ×6（网络 2、安全出口 1、服务器 2、存储 1）+ 电池柜 2；各弱电间 42U ×2（汇聚+接入+配线+UPS）。
  • 标签规范（我定的规矩，验收按此检查）：信息点编号规则 楼层-区域-序号（如 F1-A-023），跳线两端、配线架、点位面板三处一致；光缆两端挂牌注明芯数/起止/长度；机柜 U 位表贴打印。开业后任意一个点的台账 30 秒可查——这 8 周布线施工我盯得最多的就是这个。

三、分阶段配置部署（6 周窗口的施工日志） ​

实施节奏：W1-W2 核心与出口（阶段 1-4），W3 汇聚（阶段 5），W4 接入（阶段 6），W4-W5 无线（阶段 7），W5 服务器与管理面（阶段 8-9），W5-W6 POS 专项与等保（阶段 10-11），W6 验收（阶段 12）。每阶段的原则：配置前备份（新设备先导一份出厂配置）、配置后 save 落盘、每条高危命令想好回滚、验证不过不进入下一阶段。

通用约定：所有命令基于 VRP V200R022（交换机/AC）、USG V600（防火墙）风格；示例密码均为占位。框式交换机业务板槽位以实际机框为准，本文示例核心业务板在 2、3 槽。

阶段 1（W1）：核心交换机基础 + CSS 集群（第 1~2 天） ​

设备信息：S12700E-4 × 2（CoreA/CoreB），Console 登录，两台先独立配置再组建集群。

实施步骤（业务口集群方式，2 条集群链路交叉互联：CoreA 槽 2 口 1-2 ↔ CoreB 槽 2 口 1-2，CoreA 槽 3 口 1-2 ↔ CoreB 槽 3 口 1-2，两路集群链路分布在不同业务板，防止单板故障导致集群分裂）：

text
<CoreA> system-view
[CoreA] sysname MALL-CORE-A
[MALL-CORE-A] set css id 1                          # 框 1
[MALL-CORE-A] set css priority 150                  # 优先级高者为主，确保框 1 为主
[MALL-CORE-A] interface css-port 1
[MALL-CORE-A-css-port-1] port interface xgigabitethernet 2/0/1 to xgigabitethernet 2/0/2 enable
[MALL-CORE-A-css-port-1] quit
[MALL-CORE-A] interface css-port 2
[MALL-CORE-A-css-port-2] port interface xgigabitethernet 3/0/1 to xgigabitethernet 3/0/2 enable
[MALL-CORE-A-css-port-2] quit
[MALL-CORE-A] display css status saved              # 重启前务必确认配置已保存正确
[MALL-CORE-A] css enable
Warning: The CSS configuration will take effect only after the system is rebooted...
Reboot now? [Y/N]:y
text
<CoreB> system-view
[CoreB] sysname MALL-CORE-B
[MALL-CORE-B] set css id 2                          # 框 2，优先级用缺省值即可
[MALL-CORE-B] interface css-port 1
[MALL-CORE-B-css-port-1] port interface xgigabitethernet 2/0/1 to xgigabitethernet 2/0/2 enable
[MALL-CORE-B-css-port-1] quit
[MALL-CORE-B] interface css-port 2
[MALL-CORE-B-css-port-2] port interface xgigabitethernet 3/0/1 to xgigabitethernet 3/0/2 enable
[MALL-CORE-B-css-port-2] quit
[MALL-CORE-B] css enable
Reboot now? [Y/N]:y

两台重启后集群自动协商，以框 1 为主，登录任一主控均进入同一系统。集群成功后配置 MAD 多主检测（直连方式，两框各出一个 GE 直连光纤），防集群线全断时双主脑裂：

text
[MALL-CORE] interface XGigabitEthernet1/2/0/23
[MALL-CORE-XGigabitEthernet1/2/0/23] undo stp enable
[MALL-CORE-XGigabitEthernet1/2/0/23] mad detect mode direct
[MALL-CORE-XGigabitEthernet1/2/0/23] quit
[MALL-CORE] interface XGigabitEthernet2/2/0/23
[MALL-CORE-XGigabitEthernet2/2/0/23] undo stp enable
[MALL-CORE-XGigabitEthernet2/2/0/23] mad detect mode direct
[MALL-CORE] save

管理地址与基础项（集群后只需配置一次，建议顺手在阶段 9 前把 SSH 关掉 telnet，这里先立基本项）：

text
[MALL-CORE] vlan 100
[MALL-CORE-vlan100] quit
[MALL-CORE] interface Vlanif100
[MALL-CORE-Vlanif100] ip address 10.0.100.1 255.255.252.0
[MALL-CORE] stp mode rstp                            # 全网 RSTP 兜底（拓扑本身靠堆叠+LAG 无环）
[MALL-CORE] save

验证命令：

text
display css status                     # 集群使能状态、本框角色
display device                         # 两框单板在位
display css channel                    # 集群链路状态（应为 UP，2 条）
display mad                            # MAD 配置与检测状态

回滚预案：集群组建前每台各自只有本机配置；若 css enable 后协商异常，Console 登录故障框，undo css enable 后重启即回到单机状态（实施时我额外准备了两根 Console 线和一台笔记本守在机柜旁——框式设备重启一次 8 分钟，赌不起远程）。

阶段 2（W1）：VLAN / VLANIF / DHCP 中继 / OSPF（核心侧） ​

为什么没有 VRRP：核心是 CSS 集群，全网网关的 VLANIF 只有一份配置、一个地址，主备箱之间主控切换时表项同步、网关地址不变，天然不需要 VRRP——VRRP 是给"两台独立三层设备"准备的网关冗余协议，上了 CSS 再叠 VRRP 属于穿雨衣打伞。楼层汇聚同理用堆叠实现网关冗余（阶段 5）。全网唯一跑 VRRP 语义的地方在防火墙 HRP 里的 VGMP/VRRP 备份组（阶段 3），那是防火墙双机的机制，不由我手工规划虚拟 IP 抢占细节。

第一步：全局 VLAN 与网关（核心）

text
[MALL-CORE] vlan batch 10 20 30 80 90 100 110 200 210 201 to 206 999
#
interface Vlanif10
 ip address 10.0.10.254 255.255.254.0
 dhcp select relay
 dhcp relay server-ip 10.0.210.11
 dhcp relay server-ip 10.0.210.12
#
interface Vlanif20
 ip address 10.0.20.254 255.255.255.0
#
interface Vlanif30
 ip address 10.0.30.254 255.255.255.0
#
interface Vlanif80
 ip address 10.0.80.254 255.255.255.0
#
interface Vlanif90
 ip address 10.0.90.254 255.255.255.0
#
interface Vlanif100
 ip address 10.0.100.254 255.255.252.0
 dhcp select relay                                # AP 管理地址由中心 DHCP 分配
 dhcp relay server-ip 10.0.210.11
 dhcp relay server-ip 10.0.210.12
#
interface Vlanif210
 ip address 10.0.210.254 255.255.255.0
#
interface Vlanif201
 description To-Agg-F1
 ip address 10.255.255.2 255.255.255.252
#（Vlanif202~206 同理：.6/.10/.14/.18/.22，对应 F2/F3/F4/B1/B2）
#
interface Vlanif999
 description To-Firewall-HA
 ip address 10.254.0.6 255.255.255.248
#
dhcp enable

第二步：核心下联各楼层汇聚的跨机箱 Eth-Trunk（以 F1 为例，Eth-Trunk11，其余 F2/B1/B2 为 12~16 同法）

text
[MALL-CORE] interface Eth-Trunk11
 description To-IDF-F1-Agg-Stack
 port link-type trunk
 port trunk allow-pass vlan 10 80 90 100 201      # 全局业务 + 本层互联网段
#
interface XGigabitEthernet1/2/0/1
 eth-trunk 11
interface XGigabitEthernet1/2/0/2
 eth-trunk 11
interface XGigabitEthernet2/2/0/1
 eth-trunk 11
interface XGigabitEthernet2/2/0/2
 eth-trunk 11

跨机箱 Eth-Trunk 是 CSS 的核心价值：4 条成员链路同时转发，任一机箱故障流量秒级哈希到剩余链路。

第三步：OSPF（核心为骨干）与默认路由

text
[MALL-CORE] ip route-static 0.0.0.0 0.0.0.0 10.254.0.3      # 指向防火墙下联虚地址
#
[MALL-CORE] ospf 1 router-id 10.0.100.1
[MALL-CORE-ospf-1] area 0.0.0.0
[MALL-CORE-ospf-1-area-0.0.0.0] network 10.255.255.0 0.0.0.3
[MALL-CORE-ospf-1-area-0.0.0.0] network 10.255.255.4 0.0.0.3
[MALL-CORE-ospf-1-area-0.0.0.0] network 10.255.255.8 0.0.0.3
[MALL-CORE-ospf-1-area-0.0.0.0] network 10.255.255.12 0.0.0.3
[MALL-CORE-ospf-1-area-0.0.0.0] network 10.255.255.16 0.0.0.3
[MALL-CORE-ospf-1-area-0.0.0.0] network 10.255.255.20 0.0.0.3
[MALL-CORE-ospf-1-area-0.0.0.0] network 10.0.10.0 0.0.1.255
[MALL-CORE-ospf-1-area-0.0.0.0] network 10.0.20.0 0.0.0.255
[MALL-CORE-ospf-1-area-0.0.0.0] network 10.0.30.0 0.0.0.255
[MALL-CORE-ospf-1-area-0.0.0.0] network 10.0.80.0 0.0.0.255
[MALL-CORE-ospf-1-area-0.0.0.0] network 10.0.90.0 0.0.0.255
[MALL-CORE-ospf-1-area-0.0.0.0] network 10.0.100.0 0.0.3.255
[MALL-CORE-ospf-1-area-0.0.0.0] network 10.0.210.0 0.0.0.255
[MALL-CORE-ospf-1-area-0.0.0.0] network 10.254.0.0 0.0.0.7
[MALL-CORE-ospf-1] default-route-advertise
[MALL-CORE-ospf-1] silent-interface Vlanif10
[MALL-CORE-ospf-1] silent-interface Vlanif20
[MALL-CORE-ospf-1] silent-interface Vlanif30
[MALL-CORE-ospf-1] silent-interface Vlanif80
[MALL-CORE-ospf-1] silent-interface Vlanif90
[MALL-CORE-ospf-1] silent-interface Vlanif100
[MALL-CORE-ospf-1] silent-interface Vlanif210
[MALL-CORE] save

用户网段全部 silent，OSPF Hello 不进业务网；核心与防火墙之间保持静态（理由见 1.5）。

验证命令：

text
display vlan                                   # VLAN 与端口归属
display ip interface brief                     # 各 VLANIF 状态/地址
display ospf interface                         # OSPF 接口使能情况（邻居需等阶段 5 汇聚上线）
display ip routing-table 10.255.255.0          # 互联网段路由存在

踩坑记录：第一次配 Vlanif10 时我把掩码按 /24 输入，DHCP 绑定地址规划在 .11.x 的 POS 服务器全部失联——/23 与 /24 的网关掩码错误是最典型的"网关能 ping 通、下挂机器互访异常"事故源。改掩码后我养成了习惯：每新增一个 VLANIF，立即 display ip interface brief | include Vlanif 核对掩码位数。

阶段 3（W1-W2，重点）：防火墙 HRP 主备双机热备 ​

设备信息：USG6650E × 2（FW-A 主 / FW-B 备），心跳线两台 GE1/0/8 直连光纤（两台防火墙同机柜背靠背安装）。

接口与地址规划：

接口FW-AFW-B虚地址(VRRP)安全区域
GE1/0/1 下联核心10.254.0.1/2910.254.0.2/2910.254.0.3（vrid 10）trust
GE1/0/2 DMZ10.0.200.2/2410.0.200.3/2410.0.200.1（vrid 20）dmz
GE1/0/3 ISP1202.100.10.2/29202.100.10.3/29—（NAT 池独立地址）untrust
GE1/0/4 ISP261.150.20.2/2961.150.20.3/29—untrust
GE1/0/7 5G CPEDHCP 获取（预留）—untrust
GE1/0/8 心跳172.16.255.1/30172.16.255.2/30—不加入区域
GE0/0/0 MGMT10.0.100.1110.0.100.12—管理网

物理连接：FW-A/FW-B 的 GE1/0/1 分别接核心两个机箱（核心侧 VLAN 999 两个 access 口）；GE1/0/3 同接出口交换机 1（ISP1 线路），GE1/0/4 同接出口交换机 2（ISP2 线路）；DMZ 口同接 DMZ 交换机。

步骤 1：两台分别完成接口与安全区域基础配置（HRP 使能前必须先配好）

FW-A（FW-B 将 active 全部替换为 standby，其余一致）：

text
<USG> system-view
[USG] sysname MALL-FW-A
[MALL-FW-A] interface GigabitEthernet1/0/1
[MALL-FW-A-GigabitEthernet1/0/1] ip address 10.254.0.1 255.255.255.248
[MALL-FW-A-GigabitEthernet1/0/1] vrrp vrid 10 virtual-ip 10.254.0.3 active
[MALL-FW-A-GigabitEthernet1/0/1] quit
[MALL-FW-A] interface GigabitEthernet1/0/2
[MALL-FW-A-GigabitEthernet1/0/2] ip address 10.0.200.2 255.255.255.0
[MALL-FW-A-GigabitEthernet1/0/2] vrrp vrid 20 virtual-ip 10.0.200.1 active
[MALL-FW-A-GigabitEthernet1/0/2] quit
[MALL-FW-A] interface GigabitEthernet1/0/3
[MALL-FW-A-GigabitEthernet1/0/3] ip address 202.100.10.2 255.255.255.248
[MALL-FW-A-GigabitEthernet1/0/3] quit
[MALL-FW-A] interface GigabitEthernet1/0/4
[MALL-FW-A-GigabitEthernet1/0/4] ip address 61.150.20.2 255.255.255.248
[MALL-FW-A-GigabitEthernet1/0/4] quit
[MALL-FW-A] interface GigabitEthernet1/0/7
[MALL-FW-A-GigabitEthernet1/0/7] ip address dhcp-alloc
[MALL-FW-A-GigabitEthernet1/0/7] quit
[MALL-FW-A] interface GigabitEthernet1/0/8
[MALL-FW-A-GigabitEthernet1/0/8] ip address 172.16.255.1 255.255.255.252
[MALL-FW-A-GigabitEthernet1/0/8] quit
[MALL-FW-A] firewall zone trust
[MALL-FW-A-zone-trust] add interface GigabitEthernet1/0/1
[MALL-FW-A-zone-trust] quit
[MALL-FW-A] firewall zone dmz
[MALL-FW-A-zone-dmz] add interface GigabitEthernet1/0/2
[MALL-FW-A-zone-dmz] quit
[MALL-FW-A] firewall zone untrust
[MALL-FW-A-zone-untrust] add interface GigabitEthernet1/0/3
[MALL-FW-A-zone-untrust] add interface GigabitEthernet1/0/4
[MALL-FW-A-zone-untrust] add interface GigabitEthernet1/0/7

步骤 2：配置心跳线与 HRP（两台都配，顺序很重要：先心跳，后 enable）

text
[MALL-FW-A] hrp interface GigabitEthernet1/0/8
[MALL-FW-A] hrp enable
HRP state updated to active.        # FW-B 上提示 standby
[MALL-FW-A] hrp mirror session enable      # 会话快速备份：TCP 会话建立瞬间同步备机（含半开连接）
[MALL-FW-A] hrp auto-sync config static-route   # 先开静态路由同步，再在主设备上配静态路由
[MALL-FW-A] hrp track interface GigabitEthernet1/0/1   # 监控下联核心口，链路异常触发整体主备切换

HRP 使能后 FW-A 提示符变为 HRP_M[MALL-FW-A]，FW-B 变为 HRP_S[MALL-FW-B]。此后所有业务配置只在主设备（HRP_M）上做，配置自动同步到备机——这是主备模式最大的运维红利，也是最容易踩的坑：在备机上手敲的配置不会反向同步，割接前我做了两台配置文件 diff 确认一致。

说明两点：主备角色由 VGMP 管理组统一裁决（VRRP 备份组 + 被监控接口共同决定优先级），不需要也不建议手工指定"备机"；会话表、Server-map 表由 HRP 自动备份，配合 hrp mirror session enable 的快速备份，主备切换时 POS 支付长连接可以不断。

步骤 3：安全策略（只在 HRP_M 上配置，含 POS 精细化策略）

text
[HRP_M] security-policy
[HRP_M-policy-security] default action deny
#
 rule name mgmt-from-bastion                 # 运维平面：堡垒机登录防火墙
  source-zone trust
  destination-zone local
  source-address 10.0.210.7 mask 255.255.255.255
  action permit
#
 rule name local-to-untrust                  # 设备自身：DNS/NTP/特征库升级
  source-zone local
  destination-zone untrust
  action permit
#
 rule name pos-to-payment                    # POS → 支付网关（白名单网段，挂 IPS）
  source-zone trust
  destination-zone untrust
  source-address 10.0.10.0 mask 255.255.254.0
  destination-address 203.0.113.0 mask 255.255.255.0
  profile ips default
  action permit
#
 rule name support-server-out                # 支撑服务器区定向出网（补丁/备份/特征库）
  source-zone trust
  destination-zone untrust
  source-address 10.0.210.0 mask 255.255.255.0
  profile ips default
  action permit
#
 rule name guest-to-internet                 # 访客+租户各楼层子网 → 互联网
  source-zone trust
  destination-zone untrust
  source-address 10.1.60.0 mask 255.255.252.0
  source-address 10.2.60.0 mask 255.255.252.0
  source-address 10.3.60.0 mask 255.255.252.0
  source-address 10.4.60.0 mask 255.255.252.0
  source-address 10.11.60.0 mask 255.255.252.0
  source-address 10.12.60.0 mask 255.255.252.0
  profile ips default
  action permit
#（租户 7x 网段、办公 4x 网段规则同法：source-address 逐段列出，全挂 ips default）
#
 rule name dmz-to-crm                        # DMZ Portal/小程序后端 → 会员系统指定地址
  source-zone dmz
  destination-zone trust
  destination-address 10.0.20.21 mask 255.255.255.255
  action permit
#
 rule name internet-to-dmz                   # 互联网 → 官网/Portal（仅映射地址）
  source-zone untrust
  destination-zone dmz
  destination-address 202.100.10.5 mask 255.255.255.255
  profile ips default
  profile av default
  action permit

策略设计口径：出口策略全部挂 IPS、入向映射加挂 AV；源地址段全部用网关侧已隔离的"干净网段"，不存在 any-to-any 的放行。等保测评老师对这份策略表的评价是"边界访问控制粒度合格"。

验证命令：

text
display hrp state                          # 主备状态、优先级、心跳正常
display hrp interface                      # 心跳口状态
display firewall session table             # 业务会话（含 remote 标记的为备份所得/待备份）
display security-policy rule name pos-to-payment
display firewall session table verbose destination global 203.0.113.10   # 支付链路实测

回滚预案：HRP 配置阶段唯一高危动作是 hrp enable 之后的自动同步覆盖——回滚思路是备机先 undo hrp enable 退出双机再调整；两台配置基线在 HRP 使能前各备份一份到 FTP（display current-configuration 导出存档）。

阶段 4（W2）：出口 NAT 与双运营商链路选路（主备切换） ​

先说一个双机热备的经典坑：HRP 主备模式下源 NAT 不能用 Easy-ip（直接复用接口公网地址）。因为会话同步到备机后，备机上没有那个接口地址，会话表项无效；上行设备的 ARP 也只学到主机 MAC。所以两条运营商线路都申请了小地址段，用独立 NAT 地址池（202.100.10.4 / 61.150.20.4），两台防火墙配置一致，主备切换后出口公网地址不变，长连接不中断。

步骤 1：NAT 地址池与 NAT 策略（HRP_M 上配置）

text
[HRP_M] nat address group nat-isp1 1
[HRP_M-nat-address-group-nat-isp1] mode pat
[HRP_M-nat-address-group-nat-isp1] section 0 202.100.10.4 202.100.10.4
[HRP_M-nat-address-group-nat-isp1] quit
[HRP_M] nat address group nat-isp2 2
[HRP_M-nat-address-group-nat-isp2] mode pat
[HRP_M-nat-address-group-nat-isp2] section 0 61.150.20.4 61.150.20.4
[HRP_M-nat-address-group-nat-isp2] quit
#
[HRP_M] nat-policy
[HRP_M-policy-nat] rule name nat-isp1
[HRP_M-policy-nat-rule-nat-isp1] source-zone trust
[HRP_M-policy-nat-rule-nat-isp1] egress-interface GigabitEthernet1/0/3
[HRP_M-policy-nat-rule-nat-isp1] source-address 10.0.0.0 mask 255.0.0.0
[HRP_M-policy-nat-rule-nat-isp1] action source-nat address-group nat-isp1
#（nat-isp2 同法：egress-interface GE1/0/4 → address-group nat-isp2）
#
# DMZ 对外映射（官网/Portal，走主运营商固定地址）
[HRP_M] nat server name dmz-web protocol tcp global 202.100.10.5 www inside 10.0.200.21 www

（NAT 地址池 section 的写法在部分版本命令参数有差异，实施时我以 Web 界面配置后 display current-configuration | begin nat address 核对落盘为准。）

步骤 2：默认路由主备 + IP-Link 链路探测 + 回程路由

text
[HRP_M] ip-link check enable
[HRP_M] ip-link 1 destination 202.100.10.1 interface GigabitEthernet1/0/3 mode icmp
[HRP_M] ip-link 2 destination 61.150.20.1 interface GigabitEthernet1/0/4 mode icmp
#
[HRP_M] ip route-static 0.0.0.0 0.0.0.0 202.100.10.1 preference 60 track ip-link 1
[HRP_M] ip route-static 0.0.0.0 0.0.0.0 61.150.20.1 preference 70 track ip-link 2
# 支付网段 5G 兜底（仅当主备互联网全部失效时生效）
[HRP_M] ip route-static 203.0.113.0 255.255.255.0 GigabitEthernet1/0/7 preference 120
# 回内网（静态路由已被 hrp auto-sync config static-route 同步到备机）
[HRP_M] ip route-static 10.0.0.0 255.0.0.0 10.254.0.6

（track ip-link 联动关键字随版本略有差异，以对应版本命令参考为准；本项实施后做过拔纤演练验证。）5G 路由示例写的是出接口方式，实施时按 CPE 实际下发的网关地址改为逐跳写法。

这套出口的故障切换矩阵（验收时逐项演练过）：

故障场景检测机制切换动作实测收敛
ISP1 光纤物理断接口 down → 路由撤销剩余默认路由指向 ISP21~3 秒，用户无感
ISP1 上联逻辑故障（光路通、对端断）ip-link ICMP 探测连续失败撤销 preference 60 路由 → 走 ISP2约 15~30 秒
FW-A 整机故障心跳超时 → VGMP 切换FW-B 升主，虚地址/会话接管1~3 秒，丢 1~2 个 ping
主备互联网全断两条默认路由均被撤销支付网段走 5G CPE（preference 120）30 秒内，仅 POS/会员业务

验证命令：

text
display ip routing-table | include 0.0.0.0/0
display ip-link state all
display firewall session table | include 202.100.10.4      # NAT 生效
tracert 203.0.113.10    # 在 POS 测试机执行，确认第一跳 10.0.10.254、出口 202.100.10.4

阶段 5（W3）：汇聚交换机（堆叠 + 楼层网关 + PoE 供电规划） ​

设备信息：每层 2 台 S6730-H48X6C，堆叠卡 + 2 条堆叠线缆环形连接。以 F1（楼层编码 1，OSPF area 1）为例，其余 5 个位置同法（改 VLANIF 地址、area 号与 Eth-Trunk 编号）。

步骤 1：组建堆叠（两台分别配置后统一重启）

text
<IDF-F1-A> system-view
[IDF-F1-A] sysname IDF-F1-AGG
[IDF-F1-AGG] stack slot 0 priority 150          # 成员 1，主
[IDF-F1-AGG] save
# 成员 2：
[IDF-F1-B] sysname IDF-F1-AGG-2
[IDF-F1-AGG-2] stack slot 0 renumber 1          # 改成员编号为 2（0→1）
[IDF-F1-AGG-2] save
# 两台同时重启后堆叠成立，堆叠口由堆叠卡自动生成

步骤 2：上联核心 / 下联接入的 Eth-Trunk

text
[IDF-F1-AGG] vlan batch 10 40 50 55 60 70 80 90 100 201
#
interface Eth-Trunk1                              # 上联核心 CSS（跨机箱聚合）
 description To-Core-CSS
 port link-type trunk
 undo port trunk allow-pass vlan 1
 port trunk allow-pass vlan 10 80 90 100 201
 mode lacp-static
#
interface XGigabitEthernet1/0/1
 eth-trunk 1
interface XGigabitEthernet1/0/2
 eth-trunk 1
interface XGigabitEthernet2/0/1
 eth-trunk 1
interface XGigabitEthernet2/0/2
 eth-trunk 1
#
interface Eth-Trunk2                              # 下联接入 ACC-F1-01（每台接入一个 Trunk，Eth-Trunk2~7 同法）
 port link-type trunk
 undo port trunk allow-pass vlan 1
 port trunk allow-pass vlan 40 50 55 60 70 100
 mode lacp-static

步骤 3：楼层网关 VLANIF + DHCP 中继

text
interface Vlanif40
 ip address 10.1.40.254 255.255.255.0
 dhcp select relay
 dhcp relay server-ip 10.0.210.11
 dhcp relay server-ip 10.0.210.12
#
interface Vlanif50
 ip address 10.1.50.254 255.255.255.0            # 监控静态地址，无 DHCP
#
interface Vlanif55
 ip address 10.1.55.254 255.255.255.0
#
interface Vlanif60
 ip address 10.1.60.254 255.255.252.0            # /22：60~63 第三字节
 dhcp select relay
 dhcp relay server-ip 10.0.210.11
 dhcp relay server-ip 10.0.210.12
#
interface Vlanif70
 ip address 10.1.70.254 255.255.252.0
 dhcp select relay
 dhcp relay server-ip 10.0.210.11
 dhcp relay server-ip 10.0.210.12
#
interface Vlanif100
 ip address 10.0.100.31 255.255.252.0            # 本堆叠管理地址
#
interface Vlanif201
 description To-Core
 ip address 10.255.255.1 255.255.255.252
#
dhcp enable

此处同时把 1.6 节定义的监控/访客 ACL（3101/3102/3201）应用到 Vlanif50、Vlanif61（楼层 WiFi 第一个 /24 的网关在 Vlanif60 上，ACL 绑定在 Vlanif60/70 的 inbound 方向即可覆盖整段）。

步骤 4：OSPF 多区域（本堆叠为 area 1 的 ABR）

text
[IDF-F1-AGG] ospf 1 router-id 10.0.100.31
[IDF-F1-AGG-ospf-1] area 0.0.0.0
[IDF-F1-AGG-ospf-1-area-0.0.0.0] network 10.255.255.0 0.0.0.3
[IDF-F1-AGG-ospf-1] area 0.0.0.1
[IDF-F1-AGG-ospf-1-area-0.0.0.1] network 10.1.40.0 0.0.0.255
[IDF-F1-AGG-ospf-1-area-0.0.0.1] network 10.1.50.0 0.0.0.255
[IDF-F1-AGG-ospf-1-area-0.0.0.1] network 10.1.55.0 0.0.0.255
[IDF-F1-AGG-ospf-1-area-0.0.0.1] network 10.1.60.0 0.0.3.255
[IDF-F1-AGG-ospf-1-area-0.0.0.1] network 10.1.70.0 0.0.3.255
[IDF-F1-AGG-ospf-1-area-0.0.0.1] abr-summary 10.1.0.0 255.255.0.0
[IDF-F1-AGG-ospf-1] silent-interface Vlanif40
[IDF-F1-AGG-ospf-1] silent-interface Vlanif60
[IDF-F1-AGG-ospf-1] silent-interface Vlanif70
[IDF-F1-AGG] save

PoE 供电规划：PoE 全部落在接入层（S5735-H，PoE+ 30W/口能力）。逐口预算：面板 AP 约 15W、普通半球摄像头约 10W、高密三频 AP 约 30W。B1/F1（高密 AP 多的楼层）接入交换机选配双电源模块；装完实测整框 PoE 峰值约 300W，余量充足（以官方数据手册整框 PoE 预算为准校核过）。

验证命令：

text
display stack                                # 堆叠成员/角色
display eth-trunk 1                          # 跨设备成员口全部 UP
display ospf peer brief                      # 与核心 10.0.100.1 邻居 Full
display ip routing-table protocol ospf       # 学到其余楼层汇总路由与默认路由
display dhcp relay statistics                # 中继报文统计
display poe power                            # （接入侧）整机 PoE 功率与端口供电状态

阶段 6（W4）：接入交换机（端口安全 / DHCP Snooping / 环路检测 / BPDU 保护） ​

设备信息：以 F1 一台 PoE 接入 ACC-F1-01（S5735-H48P4X）为例。接入不堆叠：每台双 10GE 上联至本层汇聚堆叠双成员（Eth-Trunk 跨设备 LACP），链路冗余足够，堆叠的开销留给汇聚层。

text
<ACC> system-view
[ACC] sysname ACC-F1-01
[ACC-F1-01] vlan batch 40 50 55 60 70 100
[ACC-F1-01] interface Vlanif100
[ACC-F1-01-Vlanif100] ip address 10.0.100.101 255.255.252.0
[ACC-F1-01-Vlanif100] quit
#
# ---- 上联（双 10GE 跨堆叠 LACP）----
[ACC-F1-01] interface Eth-Trunk1
[ACC-F1-01-Eth-Trunk1] port link-type trunk
[ACC-F1-01-Eth-Trunk1] undo port trunk allow-pass vlan 1
[ACC-F1-01-Eth-Trunk1] port trunk allow-pass vlan 40 50 55 60 70 100
[ACC-F1-01-Eth-Trunk1] mode lacp-static
[ACC-F1-01-Eth-Trunk1] dhcp snooping trusted            # 只有上联口是信任口
[ACC-F1-01-Eth-Trunk1] quit
[ACC-F1-01] interface XGigabitEthernet0/0/1
[ACC-F1-01-XGigabitEthernet0/0/1] eth-trunk 1
[ACC-F1-01-XGigabitEthernet0/0/2] eth-trunk 1
#
# ---- 全局防护三件套：DHCP Snooping / 环路检测 / 边缘口 + BPDU 保护 ----
[ACC-F1-01] dhcp enable
[ACC-F1-01] dhcp snooping enable
[ACC-F1-01] loopback-detect enable
[ACC-F1-01] stp bpdu-protection
[ACC-F1-01] error-down auto-recovery cause bpdu-protection interval 300   # BPDU 保护误伤自动恢复
[ACC-F1-01] port-isolate group 1

下行端口按角色分五类模板（信息点台账对应贴标签，工程队按标签接跳线）：

text
# 1) 面板 AP 口（租户经营 WiFi）：管理 VLAN 打 pvid，业务 VLAN 透传，端口隔离
interface GigabitEthernet0/0/1
 description To-Tenant-AP-F1-001
 port link-type trunk
 port trunk pvid vlan 100
 port trunk allow-pass vlan 70 100
 port-isolate enable group 1
 stp edged-port enable
#
# 2) 公共放装 AP 口：同上，业务 VLAN 换 60
interface GigabitEthernet0/0/25
 description To-Public-AP-F1-ATR-01
 port link-type trunk
 port trunk pvid vlan 100
 port trunk allow-pass vlan 60 100
 port-isolate enable group 1
 stp edged-port enable
#
# 3) 摄像头口：access VLAN 50，环路检测动作 shutdown
interface GigabitEthernet0/0/26
 description To-CAM-F1-026
 port link-type access
 port default vlan 50
 stp edged-port enable
 loopback-detect enable
 loopback-detect action shutdown
#
# 4) POS 口：access VLAN 10 + 入向标记 DSCP EF + 端口安全（防私接 AP/交换机）
interface GigabitEthernet0/0/27
 description To-POS-F1-001
 port link-type access
 port default vlan 10
 stp edged-port enable
 port-security enable
 port-security max-mac-num 2
 port-security protect-action restrict
 traffic-policy p-pos inbound
 loopback-detect enable
 loopback-detect action shutdown
#
# 5) 租户有线/办公口：access VLAN 70/40 + 端口隔离（租户口）
interface GigabitEthernet0/0/28
 description To-Tenant-Wired-F1-012
 port link-type access
 port default vlan 70
 port-isolate enable group 1
 stp edged-port enable
 dhcp snooping enable

设计口径：凡下联口一律 stp edged-port enable（边缘口不参与生成树计算、立即转发），配合全局 stp bpdu-protection——商户私接小交换机一旦发出 BPDU，端口立即 error-down，从根上防私接成环（开业前我用一台 TP-Link 在商铺做过实测：插上 10 秒内端口 shutdown 并上报告警，物业拿着工单去处理，网络侧无感知）。摄像头口不配 port-security 是维护性考虑：换设备要改 MAC 绑定，商场的摄像头维修频度不低。

验证命令：

text
display stp brief                     # 全部下联口为 DESI/Forwarding，无异常角色
display dhcp snooping
display port-security
display loopback-detect               # 环路检测状态
display eth-trunk 1
display error-down                    # 被 BPDU/环路关断的端口清单一目了然

阶段 7（W4-W5）：无线 AC + AP（双链路热备 / SSID / Portal / 射频规划） ​

设备信息：AC6805 × 2（AC1 主 / AC2 备，双链路热备：AP 同时与两台 AC 建 CAPWAP 隧道，主 AC 故障时 AP 秒级切换到备 AC，用户会话有数秒感知，属无线侧可接受范围）。两台 AC 配置完全一致（模板体系逐条相同），仅主机名与优先级不同。

步骤 1：AC 基础与双链路（两台都配）

text
<AC> system-view
[AC] sysname MALL-AC1
[MALL-AC1] vlan 100
[MALL-AC1] interface Vlanif100
[MALL-AC1-Vlanif100] ip address 10.0.100.21 255.255.252.0
[MALL-AC1] ip route-static 0.0.0.0 0.0.0.0 10.0.100.254
[MALL-AC1] capwap source interface vlanif100
[MALL-AC1] capwap dtls no-auth enable      # V200R021+ 默认开 DTLS，首次上线放行；AP 全部上线后关闭
#
[MALL-AC1] wlan
[MALL-AC1-wlan-view] ac protect enable     # 双链路备份总开关
# AC 全局优先级：AC1 配低数值（主），AC2 配高数值（备）——命令 ac priority，数值越小越优先（以版本命令参考为准）

步骤 2：业务模板（安全/SSID/流量）

text
[MALL-AC1-wlan-view] regulatory-domain-profile name rd-mall
[MALL-AC1-wlan-regulate-domain-rd-mall] country-code cn
#
[MALL-AC1-wlan-view] security-profile name sec-guest
[MALL-AC1-wlan-sec-prof-sec-guest] security open                     # 访客开放 + Portal 认证
[MALL-AC1-wlan-view] security-profile name sec-shop
[MALL-AC1-wlan-sec-prof-sec-shop] security wpa2 psk pass-phrase Mall@Shop2026 aes
#
[MALL-AC1-wlan-view] ssid-profile name ssid-guest
[MALL-AC1-wlan-ssid-prof-ssid-guest] ssid MALL-Free
[MALL-AC1-wlan-view] ssid-profile name ssid-shop
[MALL-AC1-wlan-ssid-prof-ssid-shop] ssid MALL-Shop
#
[MALL-AC1-wlan-view] traffic-profile name tf-guest
[MALL-AC1-wlan-traffic-prof-tf-guest] user-isolate l2                 # 同 VAP 用户二层隔离
[MALL-AC1-wlan-traffic-prof-tf-guest] rate-limit client up 4096 down 8192
[MALL-AC1-wlan-view] traffic-profile name tf-shop
[MALL-AC1-wlan-traffic-prof-tf-shop] user-isolate l2
[MALL-AC1-wlan-traffic-prof-tf-shop] rate-limit client up 8192 down 16384

步骤 3：Portal 认证链（外置 Portal + RADIUS，对接会员系统）

text
[MALL-AC1] radius-server template rd-member
[MALL-AC1-radius-rd-member] radius-server authentication 10.0.20.21 1812
[MALL-AC1-radius-rd-member] radius-server accounting 10.0.20.21 1813
[MALL-AC1-radius-rd-member] radius-server shared-key cipher Huawei@Mall2026
#
[MALL-AC1] aaa
[MALL-AC1-aaa] authentication-scheme auth-member
[MALL-AC1-aaa-authen-auth-member] authentication-mode radius
[MALL-AC1-aaa-authen-auth-member] quit
[MALL-AC1-aaa] accounting-scheme acct-member
[MALL-AC1-aaa-accounting-acct-member] accounting-mode radius
[MALL-AC1-aaa-accounting-acct-member] accounting realtime 15
#
[MALL-AC1] url-template name url-portal
[MALL-AC1-url-template-url-portal] url http://10.0.200.21:8080/portal
[MALL-AC1-url-template-url-portal] url-parameter ssid ssid redirect-url url
#
[MALL-AC1] web-auth-server srv-portal
[MALL-AC1-web-auth-server-srv-portal] server-ip 10.0.200.21
[MALL-AC1-web-auth-server-srv-portal] port 50200
[MALL-AC1-web-auth-server-srv-portal] shared-key cipher Huawei@Mall2026
[MALL-AC1-web-auth-server-srv-portal] url-template url-portal
#
[MALL-AC1] portal-access-profile name pap-guest
[MALL-AC1-wlan-portal-ac-prof-pap-guest] web-auth-server srv-portal direct
#
[MALL-AC1] free-rule-template name fr-guest
[MALL-AC1-wlan-free-rule-fr-guest] free-rule 1 destination ip 10.0.210.13 mask 255.255.255.255   # DNS 免认证
[MALL-AC1-wlan-free-rule-fr-guest] free-rule 2 destination ip 10.0.200.21 mask 255.255.255.255   # Portal 页面
[MALL-AC1-wlan-free-rule-fr-guest] free-rule 3 destination ip 10.0.200.22 mask 255.255.255.255
#
[MALL-AC1] authentication-profile name authp-guest
[MALL-AC1-wlan-authen-prof-authp-guest] portal-access-profile pap-guest
[MALL-AC1-wlan-authen-prof-authp-guest] free-rule-template fr-guest
[MALL-AC1-wlan-authen-prof-authp-guest] authentication-scheme auth-member
[MALL-AC1-wlan-authen-prof-authp-guest] accounting-scheme acct-member
[MALL-AC1-wlan-authen-prof-authp-guest] radius-server rd-member

顾客连上 MALL-Free 后任意 HTTP 访问被重定向到 Portal（DMZ 服务器），手机号验证码登录（RADIUS 到会员系统校验），认证通过后按 free-rule 之外全放行上网，计费实时报文用于运营侧上网行为留痕（等保审计数据源之一）。

步骤 4：VAP 模板与 AP 组（按楼层，公共区与商铺区分组）

text
[MALL-AC1-wlan-view] vap-profile name vap-guest-F1
[MALL-AC1-wlan-vap-prof-vap-guest-F1] forward-mode direct-forward      # 直接转发，业务不进 AC 隧道
[MALL-AC1-wlan-vap-prof-vap-guest-F1] service-vlan vlan-id 61
[MALL-AC1-wlan-vap-prof-vap-guest-F1] security-profile sec-guest
[MALL-AC1-wlan-vap-prof-vap-guest-F1] ssid-profile ssid-guest
[MALL-AC1-wlan-vap-prof-vap-guest-F1] traffic-profile tf-guest
[MALL-AC1-wlan-vap-prof-vap-guest-F1] authentication-profile authp-guest
#（vap-shop-F1 同法：service-vlan 71 / sec-shop / ssid-shop / tf-shop，无认证模板）
#（其余楼层 F2~F4/B1/B2 各建一对 vap-profile，service-vlan 62~66 / 71~76）
#
[MALL-AC1-wlan-view] ap-group name g-F1-pub          # F1 公共区域放装/高密 AP
[MALL-AC1-wlan-ap-group-g-F1-pub] regulatory-domain-profile rd-mall
[MALL-AC1-wlan-ap-group-g-F1-pub] vap-profile vap-guest-F1 wlan 1 radio all
[MALL-AC1-wlan-view] ap-group name g-F1-shop         # F1 商铺面板 AP
[MALL-AC1-wlan-ap-group-g-F1-shop] regulatory-domain-profile rd-mall
[MALL-AC1-wlan-ap-group-g-F1-shop] vap-profile vap-shop-F1 wlan 1 radio all
#
[MALL-AC1-wlan-view] ap auth-mode mac-auth           # AP 白名单准入
[MALL-AC1-wlan-view] ap-id 1 ap-mac 68a8-28xx-xx01
[MALL-AC1-wlan-ap-1] ap-name AP-F1-ATR-01
[MALL-AC1-wlan-ap-1] ap-group g-F1-pub

350 台 AP 的 MAC 由施工方扫码登记进台账，我用脚本批量转换成 ap-id/ap-mac/ap-name/ap-group 命令块一次贴入，两小时完成全部上线录入。

步骤 5：射频与信道规划落地

text
[MALL-AC1-wlan-view] rrm-profile name rrm-mall
[MALL-AC1-wlan-view] radio-5g-profile name r5-mall
[MALL-AC1-wlan-radio-5g-prof-r5-mall] rrm-profile rrm-mall
[MALL-AC1-wlan-view] radio-2g-profile name r2-mall
[MALL-AC1-wlan-radio-2g-prof-r2-mall] rrm-profile rrm-mall
# 射频模板绑定到 AP 组/AP，高密组另建 20MHz 专用射频模板
#
[MALL-AC1-wlan-view] calibrate enable auto interval 1440 start-time 03:00:00

人工规划基线 + DRRM 自动调优：放装 AP 按图纸蜂窝布点（2.4G 用 1/6/11，5G 低密区 40MHz/高密区 20MHz），上线后每天凌晨自动调优一次；开业前两周我每晚 22 点手动触发全量调优，早高峰用 display radio all 复核高密区信道利用率，把中庭三个手动固定信道以外的 AP 交给 DRRM 收敛。第一版图纸里美食广场的 AP 间距被设计成了 12m，模拟负载测试空口利用率冲到 70%+，我把间距调整到 18m 并压窄波瓣角后回落到 40% 以下——覆盖设计不看图纸看实测。

验证命令：

text
display ap all                              # 350 台 AP 全部 nor（正常）
display vap ssid MALL-Free                  # 各 VAP 业务 VLAN 正确
display station all                         # 在线终端/关联 AP
display radio all                           # 信道/功率/利用率
display station assoc-info mac-address      # 单终端信号与速率
# Portal 联调：手机连接 MALL-Free → 弹出认证页 → 验证码登录 → 上网 → RADIUS 计费记录可查
# 漫游测试：持终端从中庭走到美食广场，ping 不间断（同频/邻频切换 <100ms，跨 AP 漫游正常）

阶段 8（W5）：DHCP 服务器（Linux isc-dhcp 双机 failover，POS 静态绑定） ​

设备信息：支撑服务器区两台 Linux 虚机（10.0.210.11 主 / 10.0.210.12 备），isc-dhcp-server 主备 failover（互为热备，地址池共享管理，主机故障备机接管分发）。

/etc/dhcp/dhcpd.conf 核心内容（节选，全量脚本按楼层复制展开）：

conf
# ---- 全局 ----
option domain-name-servers 10.0.210.13, 10.0.210.14;
default-lease-time 3600;
max-lease-time 7200;
ddns-update-style none;

# ---- failover 定义（主备两台除 primary/secondary 与 address 外完全一致）----
failover peer "mall-dhcp" {
    primary;                       # 备机改为 secondary 并互换 address/peer address
    address 10.0.210.11;
    peer address 10.0.210.12;
    port 647;
    peer port 647;
    max-response-delay 60;
    max-unacked-updates 10;
    mclt 600;
    split 255;
    load balance max seconds 3;
}

# ---- 华为 AP option 43（下发双 AC 地址）----
option space hwap;
option hwap.ac code 3 = text;
option hwap.ac "10.0.100.21,10.0.100.22";

# ---- AP 管理地址池（VLAN 100，全局 L2）----
subnet 10.0.100.0 netmask 255.255.252.0 {
    option routers 10.0.100.254;
    vendor-option-space hwap;
    pool {
        failover peer "mall-dhcp";
        range 10.0.101.1 10.0.102.250;
        default-lease-time 86400;
    }
}

# ---- POS：绑定段 + 少量工程调试动态段 ----
subnet 10.0.10.0 netmask 255.255.254.0 {
    option routers 10.0.10.254;
    pool {
        failover peer "mall-dhcp";
        range 10.0.11.200 10.0.11.250;      # 仅工程调试用，常态空闲
        default-lease-time 86400;
    }
}
# POS 静态绑定（台账：商铺号-MAC-IP 三对应，共 300+40 条，脚本生成）
host pos-f1-001 { hardware ethernet 58:69:6a:01:01:01; fixed-address 10.0.10.101; }
host pos-f1-002 { hardware ethernet 58:69:6a:01:01:02; fixed-address 10.0.10.102; }
host pos-b1-sm-040 { hardware ethernet 58:69:6a:01:02:40; fixed-address 10.0.11.40; }
# …（POS 服务器/打印机 10.0.10.5~20 仍为服务器侧静态配置，不进 DHCP）

# ---- 楼层客流 WiFi / 租户网 / 办公网（F1 示例，其余楼层同法）----
subnet 10.1.60.0 netmask 255.255.252.0 {    # 10.1.60.0/22
    option routers 10.1.60.254;
    pool {
        failover peer "mall-dhcp";
        range 10.1.60.101 10.1.63.250;
        default-lease-time 3600;            # 访客 1 小时短租期
    }
}
subnet 10.1.70.0 netmask 255.255.252.0 {
    option routers 10.1.70.254;
    pool {
        failover peer "mall-dhcp";
        range 10.1.70.101 10.1.73.250;
        default-lease-time 14400;
    }
}
subnet 10.1.40.0 netmask 255.255.255.0 {
    option routers 10.1.40.254;
    pool {
        failover peer "mall-dhcp";
        range 10.1.40.101 10.1.40.250;
    }
}

部署与验证（两台均执行）：

bash
dhcpd -t -cf /etc/dhcp/dhcpd.conf      # 语法检查
systemctl enable --now isc-dhcp-server
journalctl -u isc-dhcp-server -f        # 观察 DISCOVER/OFFER/REQUEST/ACK
grep -A5 "pos-f1-001" /var/lib/dhcp/dhcpd.leases
tcpdump -i eth0 udp port 67 or port 68  # 中继报文（giaddr=网关地址）观察

failover 状态通过主备机的 dhcpd.leases 中 failover state 行确认（normal 状态）。验收项：关掉主 DHCP，300 模拟终端续租无失败（备机接管，业务无感）。

阶段 9（W5）：监控与管理（eSight / SNMPv3 / NTP / Syslog / 堡垒机） ​

NTP（先做，日志时间戳才有意义）：10.0.210.13 部署 chrony，上游对齐公共 NTP，允许 10.0.0.0/8 客户端。每台网络设备：

text
[MALL-CORE] ntp-service unicast-server 10.0.210.13
# 验证：display ntp-service status / display clock

SNMPv3（全网设备统一模板）：

text
[MALL-CORE] snmp-agent
[MALL-CORE] snmp-agent sys-info version v3
[MALL-CORE] snmp-agent group v3 netops privacy
[MALL-CORE] snmp-agent usm user v3 esight netops authentication-mode sha Huawei@Snmp2026 privacy-mode aes128 Huawei@Snmp2026
[MALL-CORE] snmp-agent target-host trap address udp-domain 10.0.210.5 params securityname esight v3 privacy

Syslog 外送 eLog：

text
[MALL-CORE] info-center enable
[MALL-CORE] info-center loghost 10.0.210.6 facility local5

SSH 运维通道 + 密码策略 + 堡垒机白名单（全网设备模板）：

text
[MALL-CORE] stelnet server enable
[MALL-CORE] undo telnet server enable
[MALL-CORE] ssh user netadmin authentication-type password
[MALL-CORE] ssh user netadmin service-type stelnet
[MALL-CORE] aaa
[MALL-CORE-aaa] local-user netadmin password irreversible-cipher Huawei@Mall2026!
[MALL-CORE-aaa] local-user netadmin privilege level 15
[MALL-CORE-aaa] local-user netadmin service-type ssh
[MALL-CORE-aaa] local-aaa-user password policy administrator
[MALL-CORE-aaa-local-password-policy] password min-length 10
[MALL-CORE-aaa-local-password-policy] password expire 90
[MALL-CORE] acl 2001 name vty-allow
[MALL-CORE-acl-basic-2001] rule 5 permit source 10.0.210.7 0            # 堡垒机
[MALL-CORE-acl-basic-2001] rule 10 permit source 10.1.40.240 0.0.0.15   # 应急运维终端固定段
[MALL-CORE] user-interface vty 0 4
[MALL-CORE-ui-vty0-4] authentication-mode aaa
[MALL-CORE-ui-vty0-4] protocol inbound ssh
[MALL-CORE-ui-vty0-4] acl 2001 inbound

从防火墙到接入交换机共 60 余台设备逐台灌入该模板（我用 python + netmconf/ssh 批量下发，逐台 display current-configuration | include ssh 抽检）。此后所有运维登录走堡垒机 CBH：CBH 中录入设备清单与凭据，运维人员先登录 CBH 再跳转设备，全程录像；直连设备 SSH 除堡垒机网段外全部被 vty ACL 拒绝。

eSight：添加全部设备（SNMPv3 凭据），生成物理拓扑；配置每周日凌晨自动备份各设备配置（TFTP/SFTP 拉取 vrpcfg.zip 存档）——这份自动备份在开业前救过我一次：一台汇聚被我一条错误的 undo 清掉了半份配置，eSight 上一份周备配置 5 分钟回灌恢复。配置变更纪律从那天起再加一条：改前手工备份一次，无论多小的改动。

验证命令：

text
display ntp-service status
display snmp-agent usm user
display info-center
# eSight 侧：拓扑出现全部设备、Trap 告警可达（拔一根上联线验证）
# 堡垒机侧：非白名单 IP 直连设备 SSH 被拒

阶段 10（W5-W6）：POS 收银网络专项（最高优先级业务） ​

POS 专项不是一个独立配置，而是把散在各阶段的控制点串成一条完整的"营收链路保障线"。我给 POS 的定义是：二层独立成域、三层白名单、出口专用策略、链路三级兜底、终端一台一址。

POS 链路全貌（汇总）：

层面控制点落地位置
二层独立 VLAN 10（/23），与所有其他 VLAN 二层隔离；POS 口 port-security（max 2 MAC）+ 环路检测接入交换机
三层VLANIF10 网关白名单 ACL 3001：只放行 VLAN10 内互访、DNS/NTP、支付网关段，末尾 deny ip核心
质量接入入向 DSCP EF 重标记；出口 FW 带宽管理保障 60M接入/防火墙
出口FW 专用策略 pos-to-payment（仅支付网关网段 + IPS）；HRP 会话快速备份防火墙
兜底ISP1→ISP2→5G 三级路由（preference 60/70/120），5G 仅承载支付网段防火墙
终端DHCP MAC 绑定固定地址，台账可追溯DHCP 服务器

为什么 POS 单独 VLAN（面试必问）：POS 是直接碰钱的网络，它的暴露面必须最小化——单独 VLAN 让它在二层就与办公、访客、租户物理逻辑隔离，任何一个 VLAN 出现广播风暴、私接设备、蠕虫扩散都烧不到收银网；三层再叠白名单，收银机只能看到收银服务器和支付网关，即使某台 POS 中了挖矿木马它也"摸不到"其他网段。同时独立 VLAN 让 POS 流量可标记、可保障、可监控——一次支付卡顿，我能从 QoS 队列、出口会话、运营商链路三层五分钟内给出证据链。

断网应急预案（演练过的，不是纸面）：

  1. 一级（ISP1 故障，含逻辑故障）：路由自动切换 ISP2，POS 无感。恢复后自动回切。
  2. 二级（双 ISP 全断，如区域光缆被挖断）：支付网段静态路由（preference 120）自动走 5G CPE。此时仅 POS 支付与会员回调可用（约 20M 带宽，够支付流量），客流 WiFi 断网（可接受——顾客没网会去问收银台，收银台能收款）。POS 本机离线记账兜底由收银软件自身承担。
  3. 三级（场内网络故障，如核心机房灾难）：预案为"收银机离线模式 + 手持 5G 备用 POS 机"（物业采购了 10 台 5G 便携 POS 作为灾备物资，不依赖商场网络）。
  4. 处置纪律：任何一级切换值班人员不需处置（自动）；二级及以上按《网络应急预案》15 分钟内通报店总值，我方（服务商）30 分钟响应。

POS 联调（2 周窗口）实测项：300 台 POS 全量开关机压力（DHCP 绑定地址 100% 正确下发）；交易回归（刷卡/扫码/退款各 200 笔，链路经 POS 服务器 + 支付网关全通）；拔纤演练三级切换各 2 次；高峰模拟（脚本模拟 200 台并发交易 + 3000 无线终端背景流量，支付时延 < 50ms）。

阶段 11（W6）：等保二级合规整改项 ​

等保测评机构入场前自评，网络侧整改/落实项清单：

测评控制点落实情况整改动作
日志审计留存 ≥180 天eLog 收集全网设备 Syslog + 防火墙会话日志，8TB 日志盘，实测日均约 1.5GB，可存 10 个月+上线即落实
运维审计（堡垒机）全部设备 SSH 经 CBH，录像留存 180 天；直连被 vty ACL 拒绝上线即落实
身份鉴别（口令）全网 local-aaa-user password policy administrator（≥10 位、90 天过期）、双人双账号、SNMPv3/SSHv2 加密管理上线即落实
边界防护/访问控制FW 双机 + 缺省 deny + IPS/AV；内网 VLAN 间白名单上线即落实
入侵防范IPS 策略引用 + 攻击防范；特征库自动升级（local-to-untrust 放行升级流量）上线即落实
网络架构管理面/业务面分域、DMZ 独立、无线访客与内网隔离上线即落实
遗留风险商户经营 WiFi 共享 PSK（租户网可审计性弱）已列入二期整改：升级 MAC 认证 + 独立 Portal，测评时以"已识别并有整改计划"备案

测评结果：网络与通信部分、安全管理部分控制项基本符合，无高危风险项，通过二级测评。经验：等保不是测评前突击，是设计时就把控制点画进架构图——整改的成本永远是设计期的一倍以上。

阶段 12（W6）：验收测试与检查清单 ​

验收测试记录（节选，全部留档有测试人和时间戳）：

测试项方法标准结果
全网连通性各楼层点位抽测 20%（约 400 点）ping 网关/跨网段/公网100% 通通过
VLAN 间隔离访客终端扫内网段、POS 终端 telnet 办公/监控段全部拒绝通过（ACL 计数器有 deny 命中）
CSS 冗余拔主框一块主控 / 拔主框整框电源业务丢包 ≤ 2 ping实测 1 秒内收敛
汇聚堆叠冗余重启堆叠主 / 拔堆叠线楼层业务秒级收敛通过
链路冗余拔任意一条上联（核心-汇聚/汇聚-接入）无感知通过（Eth-Trunk 哈希迁移）
防火墙 HRP 主备强制切换（关 FW-A 电）会话保持、丢包 ≤ 2 ping通过（在线支付会话未断）
双 ISP 切换拔 ISP1 光纤 / 模拟逻辑故障（ip-link）30 秒内切 ISP2实测 2 秒 / 18 秒
POS 断网演练拔双 ISP → 5G 承载支付支付业务可用通过（切换 25 秒）
无线漫游中庭→美食广场→超市连续 ping + 视频通话无断流通过（同频漫游 <100ms）
无线并发压测模拟 1500 终端 + 试营业实测 3200+认证成功率 ≥ 99%、Portal 页面 3 秒内弹出通过（认证成功率 99.4%，失败多为终端自身）
DHCP 双机关主 DHCP续租无失败通过
PoE 满载高密楼层 AP 全功率 + 摄像头全开无掉电重启通过
开业前全量压测营业模拟日（POS 交易 + 3200 WiFi + 400 路视频满码流）核心流量 < 40%、无丢包告警通过（核心峰值 11Gbps，CPU 18%）

交付检查清单（Checklist）：

  • [x] 全网设备配置备份（eSight 周备 + 手工版本库，含每次变更前后双备份）
  • [x] IP/MAC/点位台账（2000 信息点、300 POS、350 AP 三张表，点位编号与机柜/端口/配线架一一对应）
  • [x] 拓扑图（物理拓扑 + 逻辑拓扑 + VLAN/路由架构图，Visio 源文件交付）
  • [x] 全套配置文档（按设备逐台 display current-configuration 导出）
  • [x] 应急预案（三级故障处置流程、联系人矩阵、备件清单）
  • [x] 运维手册（日常巡检项、常用排障命令、变更流程模板）
  • [x] 弱电竣工资料（布线测试报告：六类链路 Fluke 认证测试抽检 100% 通过、光缆 OTDR 曲线）
  • [x] 等保测评报告与整改备案

四、写在最后：复盘 ​

做对了的三件事：

  1. 一切设计先算账再选型：从 2000 信息点、3000 无线并发、400 路视频倒推端口、带宽、容量，S12700E-8 压到 -4、PoE/非 PoE 分开、不设出口路由器，省下的预算全部投到冗余（双机、双链路、双电源、双运营商）上——可用性是算出来的，不是堆出来的。
  2. POS 优先级贯穿全案：独立 VLAN、白名单 ACL、EF 标记、会话快速备份、三级出口兜底，每一条都能回答"这对收银意味着什么"。
  3. 变更纪律救过场：改前备份、配置后 save、高危操作想好回滚、验收逐项演练——开业至今最大的一次变更事故（汇聚半份配置被误清）靠周备 5 分钟恢复，业务零感知。

留了尾巴（诚实记录）：商户 WiFi 的共享 PSK、面板 AP 的逐户独立认证、信息发布网的准入控制，都进了二期整改清单；DRRM 调优在高密区的收敛速度一般，最终是人工信道基线 + 自动微调的组合拳。

开业当天，我坐在 B1 机房里盯着 eSight 大屏，看着在线终端从早上 10 点的 1200 爬到午后峰值 3247，核心流量峰值 11Gbps，全天告警：0 条高危。一个网络工程师的成就感，大概就是全世界都在逛商场，而没有人知道网络的存在。