企业内网管理与维护操作手册

企业内网管理与维护操作手册前言本手册旨在规范企业内网环境的管理与维护流程，保证内网系统稳定、安全、高效运行，适用于企业IT部门网络管理员、系统运维人员及相关业务部门对接人员。手册涵盖内网环境规划、日常运维、故障处理、安全管理等核心场景，提供标准化操作步骤与实用模板，助力企业内网管理规范化、流程化。目录一、内网环境规划与搭建（一）场景说明（二）操作步骤详解（三）相关模板参考（四）关键注意事项二、日常运维管理（一）场景说明（二）操作步骤详解（三）相关模板参考（四）关键注意事项三、常见故障排查与处理（一）场景说明（二）操作步骤详解（三）相关模板参考（四）关键注意事项四、安全管理规范（一）场景说明（二）操作步骤详解（三）相关模板参考（四）关键注意事项五、应急响应流程（一）场景说明（二）操作步骤详解（三）相关模板参考（四）关键注意事项一、内网环境规划与搭建（一）场景说明本部分适用于企业新办公室网络部署、业务系统上线前内网环境搭建、现有内网架构升级改造等场景，需根据企业规模、业务需求规划网络拓扑、IP地址分配、设备选型等，保证内网架构满足当前及未来3-5年扩展需求。（二）操作步骤详解需求调研与方案设计与行政部、业务部门沟通，明确办公区域划分（如开放办公区、独立办公室、会议室）、终端设备数量（电脑、打印机、监控设备等）、业务系统需求（如带宽要求、隔离需求）。设计网络拓扑结构，推荐采用“核心层-汇聚层-接入层”三层架构，核心层部署双机热备设备，汇聚层按部门划分VLAN，接入层支持PoE供电（需监控、IP电话等设备时）。IP地址与VLAN规划按部门、功能划分VLAN，例如：行政部：VLAN10，网段/24财务部：VLAN20，网段/24（需与业务VLAN隔离）服务器区：VLAN100，网段/24管理VLAN：VLAN1000，网段/24（用于设备管理）IP地址采用DHCP动态分配+静态绑定结合方式，服务器、打印机等关键设备使用静态IP，终端设备使用DHCP预留地址。设备选型与采购核心交换机：选择支持三层路由、万兆上行的模块化交换机（如S7703系列）。汇聚交换机：选择千兆接入、支持PoE的固定端口交换机（如H3CS5120系列）。接入交换机：根据终端数量选择端口密度（24口/48口），支持千兆到桌面。路由器：选择支持多WAN口、VPN功能的路由器（如AR6120系列），用于出口互联。网络设备部署与配置物理安装：交换机、路由器放置在标准机柜，预留散热空间，电源接入UPS不间断电源。基础配置：交换机配置VLAN、端口划分、DHCP服务（若接入层启用）；核心交换机配置静态路由、OSPF动态路由（多核心时）；路由器配置NAT地址转换、策略路由、VPN隧道（远程办公需求时）。测试与验收连通性测试：使用ping命令测试跨VLAN通信、互联网访问是否正常。带宽测试：使用iperf工具测试核心层与汇聚层、汇聚层与接入层带宽是否符合设计要求。业务验证：模拟业务系统访问（如ERP、OA系统），确认无延迟、无丢包。验收文档：由IT经理、行政部、业务部门共同签字确认《内网环境验收报告》。（三）相关模板参考表1-1：IP地址分配表序号设备名称所在VLANIP地址子网掩码网关用途负责人备注1财务部服务器VLAN200财务系统*经理静态绑定2行政部打印机VLAN100网络打印*主管DHCP预留3核心交换机管理VLAN100054-设备管理*工号带外管理IP表1-2：网络设备配置清单设备名称型号数量部署位置核心配置负责人配置日期核心交换机1S77031机房A区VLAN路由、OSPF、双机热备*工程师2023-10-01汇聚交换机(行政)H3CS5120-28P23楼弱电间VLAN10、PoE、端口安全*助理2023-10-05接入路由器AR61201机房A区NAT、VPN、策略路由*主管2023-10-03（四）关键注意事项IP地址规划需预留30%扩展空间，避免后期地址不足；VLAN划分遵循“业务隔离、最小权限”原则，财务、研发等敏感部门需独立VLAN。核心设备（交换机、路由器）必须支持双电源模块，接入UPS电源，保证断电后持续运行30分钟以上。设备配置前需备份原配置（若有），配置过程需双人复核，避免误操作导致网络中断。验收测试需覆盖所有业务场景，包括高峰期带宽压力测试，保证网络稳定性。二、日常运维管理（一）场景说明本部分适用于企业内网日常运行维护，包括网络设备巡检、用户权限管理、终端接入管控、功能监控等场景，旨在及时发觉并解决潜在问题，保障内网持续稳定运行。（二）操作步骤详解网络设备定期巡检巡检周期：核心设备每日巡检（通过远程监控），汇聚/接入设备每周现场巡检。巡检内容：设备状态：指示灯是否正常（电源、风扇、端口），设备温度是否过高（手触机身或查看系统温度）。端口状态：查看是否有端口down掉（通过CLI命令displayinterface），确认对应终端是否在线。配置备份：核心交换机、路由器配置每周备份一次（至FTP服务器），备份文件命名格式为“设备名_日期.cfg”。日志分析：查看设备系统日志（displaylogbuffer），重点关注端口频繁up/down、认证失败等异常日志。用户权限与账号管理账号申请：新员工入职时，由部门经理提交《账号申请表》（表2-1），IT管理员根据岗位分配权限（如普通员工仅访问内网资源、管理员拥有设备配置权限）。权限变更：员工转岗/离职时，部门经理提交《权限变更申请表》（表2-2），IT管理员及时调整权限或禁用账号（离职账号需禁用7天后删除）。密码策略：管理员密码需每90天更换一次，密码复杂度要求“12位以上，包含大小写字母、数字、特殊字符”，禁止使用生日、工号等弱密码。终端接入与网络访问控制终入网认证：终端接入内网前需安装企业版杀毒软件、终端管理系统（如域控），通过802.1X认证或MAC地址绑定接入网络。访问控制：通过ACL（访问控制列表）限制非授权访问，例如：禁止VLAN10（行政部）访问VLAN20（财务部），仅允许服务器区（VLAN100）对特定端口（如80、443）开放。流量监控：使用流量分析工具（如SolarWinds、eSight）监控实时流量，发觉异常流量（如带宽突增）及时定位并阻断。功能监控与优化监控指标：CPU使用率、内存占用率、端口带宽利用率、网络延迟、丢包率。告警阈值：CPU/内存持续超过80%、端口带宽利用率超过90%、延迟超过100ms时触发告警（邮件/短信通知管理员）。优化措施：端口带宽利用率过高时，检查是否有大流量终端，可调整端口限速；网络延迟过高时，检查核心设备路由表、是否存在环路，可启用STP（树协议）防环。（三）相关模板参考表2-1：账号申请表申请人姓名工号所属部门岗位申请权限（可多选）备注部门经理签字申请日期*员工A2023001行政部文员内网访问、OA系统、打印权限需访问共享文件夹*经理2023-10-10表2-2：权限变更申请表员工姓名工号变更类型原权限新权限变更原因部门经理签字IT负责人签字执行日期*员工A2023001离职内网访问、OA系统禁用账号劳动合同终止*经理*主管2023-10-15表2-3：网络设备巡检记录表设备名称巡检日期巡检人设备状态（正常/异常）端口状态（正常/异常）备份状态异常问题描述处理结果核心交换机12023-10-11*工程师正常端口GE0/1down已备份对应终端离线重启终端网卡，端口恢复up（四）关键注意事项巡检发觉设备异常时（如风扇异响、端口频繁flapping），需立即启动备用设备（若有），并在2小时内处理故障，记录在《故障处理记录表》中。用户权限变更必须经部门经理书面确认，严禁私自提升权限；离职账号禁用后需保留30天日志，以备审计。终端接入认证必须开启“MAC地址与IP地址绑定”，防止ARP欺骗；禁止员工私自使用路由器（无线路由器）共享网络，避免广播风暴。功能监控数据需保存6个月以上，定期分析网络趋势，提前扩容或优化架构（如带宽升级、设备更换）。三、常见故障排查与处理（一）场景说明本部分适用于企业内网常见故障场景，包括终端无法上网、网络访问缓慢、特定业务系统无法连接、设备离线等，提供标准化排查流程，快速定位并解决问题，减少故障对业务的影响。（二）操作步骤详解故障信息收集与初步判断接收故障报告：通过IT服务台电话/系统、员工反馈收集故障信息，记录故障时间、现象（如“无法打开网页”“访问OA系统超时”）、影响范围（单个终端/部门/全网）。初步判断：单终端故障：检查终端自身问题（网卡IP配置、杀毒软件拦截、浏览器设置）；部门故障：检查对应VLAN内的汇聚交换机、端口、网线；全网故障：检查出口路由器、核心交换机、互联网链路。分层排查（物理层→数据链路层→网络层→应用层）物理层检查：网线：检查两端RJ45头是否松动、水晶头是否氧化（用网线测试仪测试通断）；设备：检查交换机、路由器电源指示灯、端口指示灯（绿色常亮为正常，橙色闪烁为异常）。数据链路层检查：VLAN与端口：确认终端接入的端口是否划入正确VLAN（通过displayportvlan查看）；MAC地址：检查端口是否绑定MAC地址（displaymac-address），若MAC地址变化则可能存在非法终端接入。网络层检查：IP配置：终端IP是否与网段匹配（ipconfig/all查看），网关、DNS是否正确；路由与连通性：ping网关（如）、核心交换机管理IP（如54），若通则问题在出口，若不通则检查核心路由。应用层检查：服务状态：检查业务系统服务器是否在线（如ping服务器IP）、端口是否开放（telnet服务器IP端口）；安全策略：确认防火墙是否拦截访问（如服务器端口未放行、终端IP被ACL限制）。故障处理与验证根据排查结果处理：物理层故障：重新插拔网线、更换损坏的网线/水晶头；设备故障：重启设备（优先软重启，若无效则硬重启），更换故障模块（如光模块、电源模块）；配置故障：修正VLAN划分、IP地址、路由配置（修改前需备份原配置）；安全策略故障：调整防火墙规则、解除终端IP封禁。处理后验证：让用户重复故障操作，确认故障已解决，测试相关业务功能（如网页打开、OA登录）正常。故障记录与归档填写《故障处理记录表》（表3-1），记录故障时间、现象、排查过程、处理结果、责任人等信息。每周汇总故障数据，分析高频故障类型（如终端IP冲突、网线故障），制定预防措施（如启用DHCP地址租约、定期更换老化网线）。（三）相关模板参考表3-1：故障处理记录表故障编号故障时间故障现象影响范围报告人处理人排查过程摘要处理结果解决时间NET202310110012023-10-1109:30行政部5台终端无法上网行政部VLAN10*员工*工程师检查汇聚交换机S5120-28P，发觉端口GE0/1-down，更换网线后恢复网线水晶头损坏2023-10-1110:15NET202310110022023-10-1114:20全网访问外网缓慢全网*主管*主管检查出口路由器AR6120，CPU使用率95%，定位为BT流量，启用QoS限速后恢复非法大流量占用带宽2023-10-1115:00（四）关键注意事项排查故障需遵循“先易后难、先简后繁”原则，优先排查物理层（网线、设备电源）等常见问题，避免复杂配置操作导致故障扩大。重启设备前需确认业务影响（如核心交换机重启需在业务低峰期操作），并通知相关部门。处理涉及安全策略的故障（如解除IP封禁）需记录原因，事后审计，防止滥用权限。高频故障（如终端IP冲突）需制定预防方案，如启用DHCP地址租约（租期设为24小时）、终端绑定MAC地址。四、安全管理规范（一）场景说明本部分适用于企业内网安全管理，包括访问控制、数据安全、漏洞管理、安全审计等场景，旨在防范网络攻击、数据泄露等安全风险，保障企业信息资产安全。（二）操作步骤详解访问控制管理网络边界防护：部署下一代防火墙（NGFW），配置安全策略（如允许内网访问外网HTTP/端口，禁止外网主动访问内网服务器），启用IPS（入侵防御系统）实时检测攻击行为。内网区域隔离：按安全级别划分区域（如服务器区、办公区、访客区），通过ACL限制低安全级别区域访问高安全级别区域，例如：访客区（VLAN200）禁止访问办公区（VLAN10）和服务器区（VLAN100）。终端准入控制：部署终端准入系统（如iMasterNCE-Campus），强制终端安装杀毒软件、系统补丁，未达标终端接入隔离区（VLAN300），仅能升级补丁或杀毒软件。数据安全防护数据分类分级：根据敏感程度将数据分为公开、内部、秘密、机密四级，秘密以上数据需加密存储和传输。加密技术应用：传输加密：服务器与客户端之间采用SSL/TLS加密（如、VPN）；存储加密：服务器硬盘启用全盘加密（如WindowsBitLocker、LinuxLUKS），数据库敏感字段（如身份证号、密码）采用哈希加密（如SHA-256加盐）。数据备份与恢复：备份策略：重要数据每日增量备份+每周全量备份，备份数据异地存放（如总部与分支机构互备），保留30天备份历史。恢复测试：每月进行一次数据恢复演练，验证备份数据的完整性和可用性。漏洞与补丁管理漏洞扫描：每月使用漏洞扫描工具（如Nessus、绿盟）扫描内网服务器、终端设备，漏洞报告（高危漏洞需24小时内修复，中危漏洞72小时内修复）。补丁分发：服务器补丁：通过WSUS（WindowsServerUpdateServices）或Linuxyum源分发，测试环境验证后推送至生产环境；终端补丁：通过终端管理系统（如LANDesk）自动分发，重启时间设为每日凌晨2点（非工作时间）。安全审计与事件响应审计范围：设备登录日志（交换机、路由器、防火墙）、系统操作日志（服务器、数据库）、用户访问日志（业务系统、文件服务器）。审计内容：记录“谁在什么时间做了什么操作”，例如：管理员登录核心交换机修改配置、员工访问财务服务器文件。事件响应：安全事件分级：一级（紧急）：如数据泄露、核心系统被入侵，立即启动应急响应预案（见第五章）；二级（严重）：如病毒爆发、DDoS攻击，2小时内响应，24小时内解决；三级（一般）：如弱密码告警、端口扫描，48小时内处理。（三）相关模板参考表4-1：安全策略配置表策略名称源区域目标区域协议/端口动作备注配置人配置日期允许办公区访问外网办公区(VLAN10)外网ANY允许启用应用层过滤（禁止BT/迅雷）*工程师2023-10-01禁止访客区访问办公区访客区(VLAN200)办公区(VLAN10)ANY禁止访客仅能访问互联网*主管2023-10-01允许管理员远程登录管理VLAN(1000)核心交换机TCP22允许仅允许指定IP访问*经理2023-10-05表4-2：数据备份记录表备份日期备份内容备份方式（增量/全量）存储位置备份负责人验证结果（成功/失败）备注2023-10-10财务数据库全量异地存储服务器*助理成功备份文件大小：50GB2023-10-11OA系统文件增量本地NAS*工程师成功增量数据：2GB（四）关键注意事项防火墙策略需遵循“最小权限”原则，禁止默认允许所有策略，定期清理过期策略（如离职员工访问权限）。敏感数据（如财务报表、客户信息）禁止通过邮件、即时通讯工具外传，需通过企业加密传输平台发送。漏洞修复前需在测试环境验证，避免补丁不兼容导致业务中断；修复后需重新扫描确认漏洞已消除。安全日志保存时间不少于6个月，关键日志（如管理员操作、数据库访问）需实时至SIEM（安全信息和事件管理）平台分析。五、应急响应流程（一）场景说明本部分适用于企业内网突发安全事件或重大故障场景，如网络中断、病毒爆发、数据泄露、核心设备宕机等，通过标准化应急响应流程，快速控制事态、降低损失，保障业务连续性。（二）操作步骤详解事件上报与启动预案事件上报：发觉人立即拨打IT服务台（如分机8000）或通过应急响应系统上报，报告事件类型、严重程度、影响范围（如“核心交换机宕机，全网断网，请立即处理”）。预案启动：IT负责人根据事件等级（见第四章4.4）决定是否启动应急响应预案：一级事件：立即成立应急小组（组长：IT总监，成员：网络组、系统组、安全组负责人），30分钟内到达现场；二级事件：2小时内启动预案，相关组员到位；三级事件：按日常故障处理流程执行。事件研判与控制初步研判：应急小组通过远程监控（如查看设备状态、流量日志）或现场勘查，确定事件原因（如硬件故障、黑客攻击、病毒感染）。控制措施：网络中断：立即启用备用设备（如备用核心交换机），切换至备用链路；病毒爆发：断受感染终端网络，使用杀毒工具清除病毒，更新病毒库；数据泄露：封泄露源IP（如服务器、终端），保留日志证据，评估泄露范围。处置与恢复根据事件类型采取处置措施：硬件故障：更换故障设备，恢复配置（从备份服务器配置文件），业务切换至备用系统；黑客攻击：分析攻击路径（如漏洞利用、弱密码），修补漏洞，加固安全策略（如修改密码、启用双因素认证）；数据泄露：按《数据安全事件处置规范》通知受影响用户（如邮件、短信），配合公