小型企业网络架构图生成

幂简官方

23 浏览

1 试用

0 购买

Dec 4, 2025更新

本提示词专为小型企业网络架构设计场景开发，通过输入企业类型、网络规模等关键参数，自动生成符合企业实际需求的网络拓扑图技术描述。输出内容涵盖网络设备配置、安全策略部署、数据传输路径等核心要素，采用分层解析与链式推理确保技术方案的可行性与安全性，帮助IT咨询师快速输出标准化网络架构文档，提升方案设计效率与专业度。

1. 网络架构概述（总体设计原则与拓扑类型）

设计目标：满足小型餐饮门店的有线/无线接入、收银支付（POS）、视频监控、后厨与办公终端的稳定联网需求；在经济型预算下实现基础安全分区与访问控制，支持后续门店扩展。
设计原则：
- 有线优先保障关键业务（POS、NVR/录像机、打印机），无线覆盖顾客与员工移动设备；
- 逻辑三层（核心/汇聚/接入）分层，物理设备数量精简，减少初期投入与维护复杂度；
- 以VLAN实现业务隔离，最小权限互访，默认拒绝跨网段访问；
- 采用行业通用标准（IEEE 802.1Q VLAN、802.3af/at PoE、802.11ac/ax WLAN、DHCP、NAT、ACL）。
拓扑类型：星型主干 + 三层逻辑结构（核心-汇聚合并部署），边界安全网关位于出口，核心三层交换机为内部路由与分区，PoE接入交换机供AP与摄像头。

拓扑技术描述（文字版）：

互联网/ISP光猫 → 边界安全网关/防火墙（NAT/安全策略） → 核心/汇聚三层交换机（SVI/ACL/路由） ⇄ 接入层PoE交换机（802.1Q Trunk/LACP）
接入层下挂：
- 有线终端：POS收银机/读卡器（优先有线）、办公PC/打印机、NVR与摄像头、后厨KDS
- 无线AP（2-3台），广播员工SSID与访客SSID，分别映射到对应VLAN

2. 核心设备清单（设备类型、数量、主要功能）

边界安全网关/防火墙路由器 ×1

端口：≥1×WAN千兆、≥2×LAN千兆
能力：≥500 Mbps有状态防火墙吞吐、NAT、策略路由、基础IPS/反恶意软件（入门级）、站点到站点/远程访问VPN、双线或蜂窝备份WAN（可选）
服务：DHCP服务器（多作用域）、DNS转发、时间同步（NTP客户端）
管理：基于角色的管理、日志导出（Syslog）、本地与远程管理分权

核心/汇聚三层交换机 ×1

接口：≥24×1G RJ45，≥2×上行SFP
三层功能：SVI接口、静态路由/OSPF（可选）、ACL（L3/L4）、DHCP中继（Relay）
二层功能：802.1Q VLAN、LACP聚合、STP/RSTP、端口镜像
安全：ACL、端口安全、风暴抑制、BPDU Guard、DHCP Snooping、ARP防护

接入层PoE交换机 ×1

接口：≥16×1G PoE+（802.3at），整机PoE功率预算≥180W，≥2×上行SFP
功能：VLAN、Trunk、LACP、STP、端口隔离、风暴抑制、端口安全
用途：为AP、IP摄像头、部分IP话机供电；为POS/PC等提供接入

无线接入点 ×2–3

标准：双频并发，支持802.11ac Wave2或802.11ax，≥2×2 MIMO
功能：多SSID、WPA2/WPA3、VLAN标签、访客隔离、带宽限速、基本射频优化
供电：PoE/PoE+

配套

UPS ×1（满足防火墙+核心交换机+PoE交换机+AP持续供电15–20分钟）
标准机柜/配线与理线配件、六类布线（Cat6）
可选：4G/5G蜂窝备份网关×1，用于主链路故障的业务保底

说明：数量按单店小型规模规划，可根据实际终端数上/下浮动；避免过度冗余。

3. 网络分层说明（连接关系与数据路径）

A. VLAN与地址规划（示例）

VLAN 10 管理与监控：10.10.10.0/24，网关10.10.10.1（SVI）
VLAN 20 POS/支付：10.10.20.0/24，网关10.10.20.1（SVI）
VLAN 30 办公/后厨：10.10.30.0/24，网关10.10.30.1（SVI）
VLAN 40 物联/CCTV：10.10.40.0/24，网关10.10.40.1（SVI）
VLAN 50 访客Wi-Fi：10.10.50.0/24，网关10.10.50.1（SVI）

地址分配与路由

DHCP：由边界网关统一发放多个作用域；核心交换机对各VLAN启用DHCP中继至网关LAN地址
核心交换机作为各VLAN默认网关（SVI），仅一条默认路由指向边界网关LAN口
IPv4为主，暂不启用IPv6（或仅LAN内部启用，确保WAN侧IPv6入站管理关闭）

B. 三层/二层连接

ISP光猫/ONU → 防火墙WAN
防火墙LAN（Trunk或子接口）→ 核心三层交换机（L3网关、ACL）
核心三层交换机 ⇄ 接入PoE交换机：双链路LACP聚合为Trunk，承载VLAN 10/20/30/40/50
终端接入：
- POS/PC/打印机/NVR/摄像头：接入交换机访问口，打到相应VLAN
- AP：接入交换机PoE口，AP上配置多个SSID，分别Tag至VLAN 30/50（如有无线POS，可映射至VLAN 20）

C. 关键数据路径

POS → Internet：VLAN 20 终端 → 核心L3（SVI）→ 防火墙策略放行443/DNS/NTP → NAT上网
访客Wi-Fi → Internet：SSID-Guest（VLAN 50，客户端隔离）→ 防火墙仅放行HTTP/HTTPS/DNS → NAT
CCTV 摄像头 → NVR：同属VLAN 40，局域网直达；远程查看通过VPN，不做端口暴露
管理终端 → 设备管理：VLAN 10 访问交换机/防火墙/NVR管理口（SSH/HTTPS/SNMP）

D. 端口与布线建议

交换机上行：2×1G光口或电口组成LACP聚合
端口安全：面向POS/摄像头端口启用MAC数量限制（1或2），启用BPDU Guard、环路检测、风暴抑制
无线覆盖：前厅1–2台AP，后厨1台AP，注意金属设备对信号的屏蔽，现场勘测后微调

4. 安全防护配置（防火墙策略、访问控制机制）

A. 区域与NAT

防火墙安全区域：WAN、LAN-POS、LAN-Office、LAN-IoT、LAN-Guest、LAN-Mgmt
NAT：各LAN出网源NAT至WAN；禁止WAN对内的未授权入站；不开放UPnP

B. 边界策略（示例，按最小化放行）

允许：各业务网段到Internet的DNS(53/UDP,TCP)、NTP(123/UDP)、HTTPS(443/TCP)
POS（VLAN 20）：仅放行DNS/NTP/HTTPS出网；禁止非必要端口与P2P；禁止访问内网私有地址段（RFC1918）
访客（VLAN 50）：仅放行HTTPS/HTTP/DNS；启用客户端间隔离；丢弃对内网私网的流量；每客户端限速（如2–5 Mbps）
物联/CCTV（VLAN 40）：仅允许到本地NVR的必要端口（例如554/RTSP、平台管理端口）和少量出网更新；禁止访问其他内网VLAN
办公（VLAN 30）：放行常规办公协议出网；对内仅可访问打印机、必要共享资源
管理（VLAN 10）：允许到各设备管理口（SSH/HTTPS/SNMP）；对外仅必要更新；管理访问需基于源IP白名单
入站：默认拒绝；远程维护建议使用VPN（多因子认证），按需临时开放

C. 内部ACL（部署在核心L3的SVI上，示例逻辑）

VLAN 20 → 内网RFC1918：拒绝（例外：到10.10.10.1/UDP123 NTP、到管理网的监控探针如需）
VLAN 50 → 内网RFC1918：拒绝（仅DNS递归至防火墙允许）
VLAN 40 → 除NVR/IP外的其他内网地址：拒绝
VLAN 30 ↔ VLAN 20：仅允许打印或业务必要端口（如无则全部拒绝）
VLAN 10 → 设备管理口：允许（SSH/HTTPS/SNMPv3）；其他方向最小授权
默认策略：跨VLAN拒绝，出Internet由防火墙统一控制

D. 无线与接入安全

员工SSID（VLAN 30）：WPA2/WPA3-Enterprise（建议）或强PSK，启用定期密钥轮换
访客SSID（VLAN 50）：WPA2/WPA3-PSK或本地简易门户（免责声明/时长限制），启用客户端隔离与每用户限速
无线通用：禁用WPS，启用管理帧保护（PMF），开启2.4/5GHz自适应并优化发射功率与信道
交换机端口：启用DHCP Snooping、ARP Inspection、Port Security（sticky MAC，POS口限制为1）、Storm Control
管理面：禁用设备默认账户/端口、强口令+MFA、仅管理VLAN可达；启用NTP、配置备份与日志远程投递（Syslog，保留≥90天在线，离线归档≥1年）

E. 合规要点（基础级，面向支付场景）

支付终端独立VLAN与最小化访问，默认不与其他VLAN互通
不在本地网络存储持卡人敏感数据；远程支持通过VPN与临时访问策略
同步设备时间与保留安全日志，支持后续审计

5. 扩展性说明（未来升级路径与容量预留）

端口与PoE冗余：当前PoE预算按AP 3台+摄像头4–6台+少量IP话机预留；如终端增长，可平滑新增一台PoE接入交换机并与核心做LACP上行
无线扩展：AP可横向增加；保留至少3个非重叠信道规划，必要时引入轻量控制器或统一云管（需评估运维成本）
多门店互联：边界网关支持站点到站点VPN，后续可构建总部—门店星型互联；各门店沿用相同VLAN规划但使用不同网段，便于集中管理
出口冗余：可添加第二条宽带或蜂窝WAN作为自动故障切换；策略与健康检测由边界网关实现
性能与新特性：核心交换机/网关保留SFP上行接口，后续可升级至更高带宽；如有需要再引入IPS/应用控制的增强订阅
地址与命名：各VLAN预留/24网段，增长后可扩展为/23；统一命名规范（VLAN_20_POS等）便于规模化复制

本方案遵循行业标准，避免超出小型餐饮门店的冗余建设，同时提供清晰的分层拓扑、关键设备配置要点与基础安全策略，便于按图实施与后续扩展。

1. 网络架构概述（总体设计原则与拓扑类型）

适用对象：中型医疗机构（约200–500终端，含HIS/LIS/PACS/EMR与IoMT医疗设备、办公终端、访客与无线终端）
设计目标：在标准预算下实现高可用、可扩展与增强安全等级的院内网络与分支互联，满足医疗数据安全与合规要求
总体原则：
- 分区分域：业务/医疗设备/服务器/管理/访客多VLAN与安全域隔离，默认互访拒绝，按最小权限放行
- 高可用与容错：核心/防火墙关键设备双机冗余，链路聚合与动态路由，双出口链路
- 性能与可扩展：核心万兆、汇聚/接入千兆，PACS等大流量业务走10G路径，预留25G/40G升级
- 标准与合规：采用行业标准协议（802.1Q/802.1X/802.11ax/IPsec/OSPF/VRRP等），满足医疗行业网络安全与设备风险管理（参考ISO/IEC 27001、IEC 80001-1、个人健康信息保护相关法规）
拓扑类型：三层架构（核心层-汇聚层-接入层），园区控制器型WLAN，边界双ISP接入+NGFW高可用，内外DMZ分区，分支通过IPsec VPN星型接入总部
典型逻辑分区与VLAN（示例）：
- 服务器区（HIS/LIS/PACS/EMR/虚拟化/备份）
- 医疗设备IoMT区（影像设备、床旁监护、手持终端）
- 医技/医生办公区、行政办公区
- 语音VoIP区
- 管理/OOB管理区
- DMZ区（患者门户/远程影像访问/反向代理/WAF/VPN门户）
- 访客区（仅互联网）
核心数据路径优化要点：
- PACS/影像业务优先走核心-服务器区10G链路，启用巨帧（如MTU 9000）于服务器与存储网络
- HIS/EMR等关键业务优先级提升（QoS，DSCP AF31/AF41），语音EF优先
- 无线漫游优化（802.11k/v/r）与医用终端兼容性（必要时按终端能力启用WPA2-Enterprise回退）

2. 核心设备清单（设备类型、数量、主要功能）

注：不含品牌与型号，均为通用规格要求，参数为建议下限，满足中型医疗机构标准预算与增强安全等级。

核心三层交换机 ×2（双机虚拟化/堆叠/MC-LAG）
- 端口/性能：≥24×10G SFP+，可扩展40G/100G上联；交换容量≥480 Gbps
- 功能：L3路由（OSPF、静态）、VRRP、ACL/QoS、SVI、DHCP中继、sFlow/NetFlow、Jumbo Frame、MSTP/EVPN（可选）
- 作用：园区核心、三层网关、到防火墙默认路由出口
汇聚交换机 ×4（两两分区冗余）
- 端口：≥24×1G + 4×10G上联
- 功能：LACP(802.3ad)、MSTP、ACL下沉、PoE可选（医技区视需求）
- 作用：汇聚接入，上联核心10G
接入交换机（48口）×16–22（视终端规模）
- 端口：48×1G，PoE+（802.3af/at）占比≥70%以支撑AP与IP电话
- 功能：802.1X端口认证、MAB回退、DHCP Snooping、DAI、IP Source Guard、Port Security、风暴抑制
- 作用：终端与AP接入
下一代防火墙（NGFW）×2（HA）
- 性能：防火墙吞吐≥10 Gbps，IPS吞吐≥4 Gbps，IPsec VPN≥2 Gbps，会话数≥2,000,000
- 接口：≥8×1G，≥4×10G
- 功能：L3/L4/L7策略、IPS/AV/恶意站点/URL分类、TLS 1.3可见性（合规场景）、IPsec/SSL VPN、双ISP策略、VRRP/HA
- 作用：园区边界/内部分段（可部署一台对外、一台内部分段，预算下推荐对外为主+内部ACL下沉）
无线控制器（WLC）×1（可虚拟化，支持冗余许可证）
- 能力：≥120 AP接入；802.11ax、WPA3-Enterprise、Fast Roaming、射频优化
室内AP（Wi-Fi 6）×50–80（按覆盖勘测）
- 双频2x2或4x4 MIMO，支持WPA3-Enterprise/802.1X
认证与准入控制（NAC/RADIUS）×2（主备）
- 功能：802.1X/EAP-TLS、策略下发（VLAN/ACL）、来宾Portal、设备画像与合规检查
安全与基础服务
- 日志与审计：集中日志/SIEM ×1–2（可虚拟化，支持Syslog over TLS、事件关联）
- WAF/反向代理 ×2（可虚拟化，前置患者门户与影像Web）
- NTP ×2、内部CA/PKI ×1、配置备份/版本库 ×1、IPAM/DHCP/DNS ×2（主备）
机房与链路
- 双路市电/UPS，关键设备双电源
- 光纤万兆上联（核心-汇聚、核心-防火墙），接入-汇聚千兆+冗余上联

3. 网络分层说明（连接关系与数据传输路径）

核心层
- 双核心交换机以虚拟化/堆叠/MC-LAG形态工作，承载所有SVI与三层路由，运行OSPF Area 0
- 对外：核心与NGFW通过双10G链路互联（LACP），默认路由指向外联NGFW；双ISP通过NGFW接入
- 对内：与各汇聚交换机通过成对10G上联（LACP），提供路由与ACL下沉
汇聚层
- 每个功能区（医技区、行政区、门诊区等）设置两台汇聚交换机，分别上联双核心（跨设备聚合）
- 运行MSTP/RSTP保障二层环路安全，LACP与核心/接入形成冗余
- 下发基于VLAN的边界ACL，限制不同业务域横向访问
接入层
- 终端接入采用802.1X（EAP-TLS）认证，医疗设备不支持证书时使用MAB白名单+隔离VLAN
- 启用DHCP Snooping/DAI/IP Source Guard/Port Security/风暴抑制，防ARP/伪DHCP/环路
- 语音端口打标（Voice VLAN，LLDP-MED），QoS优先级映射（DSCP EF=46）
无线网络
- 控制器统一管理AP，典型SSID与VLAN映射：
  - MED-STAFF（WPA3-Enterprise，802.1X，动态VLAN）
  - IOMT（按终端画像与接入策略分配到IoMT VLAN）
  - GUEST（访客Portal，带宽/时间/设备数限速，出网仅互联网）
  - ADMIN（仅IT人员，强MFA）
- 启用漫游优化（802.11k/v/r），并针对不兼容医疗设备可定制漫游参数
服务器与DMZ区
- 服务器区：HIS/LIS/PACS/EMR、虚拟化主机、备份与存储，接入核心万兆；服务器网段启用Jumbo Frame、存储平面与业务平面分离
- DMZ区：患者门户、远程影像访问、VPN门户、WAF/反代；对内通过NGFW特定端口白名单访问，默认拒绝
边界与WAN
- NGFW双机HA（A-P或A-A），双ISP接入（BGP或策略路由/双默认），出入口NAT、应用识别、IPS、URL分类
- 分支互联：IPsec VPN（IKEv2、AES-GCM、PFS），总部为Hub，支持动态路由（OSPF/BGP）；可后续演进为基于覆盖的SD-WAN
关键业务数据路径示例（优化点）
- 影像上传/查看：影像设备VLAN -> 汇聚 -> 核心（10G，Jumbo）-> PACS服务器；ACL仅放行DICOM（104/TCP）及管理端口
- 医生站访问HIS/EMR：医生办公VLAN -> 汇聚 -> 核心 -> 服务器区；QoS标记AF31/AF41，限制向IoMT横向访问
- 访客上网：GUEST VLAN -> 汇聚 -> 核心 -> NGFW策略NAT -> 互联网；禁止任何到内网访问
- 语音：IP话机->接入（Voice VLAN）->汇聚->核心->IP-PBX；DSCP EF端到端保障，抖动/丢包监控

4. 安全防护配置（防火墙策略、访问控制机制）

区域与基线策略
- 安全域：LAN-Staff、LAN-IoMT、Server、DMZ、Mgmt、Guest、VPN、WAN
- 缺省互访：跨域默认拒绝；基于业务白名单放行，最小权限
- 边界NGFW：开启IPS/反恶意站点/应用控制/URL分类；对高风险类别默认阻断；合规前提下启用TLS解密策略（豁免医疗设备与敏感应用）
典型防火墙白名单示例（方向/端口按需调整）
- Staff -> HIS/EMR：允许TCP 443、应用标识（HIS/EMR Web/API），其余拒绝
- Imaging(IoMT) -> PACS：允许TCP 104(DICOM)、相关存储端口；禁止到Staff/Guest
- Admin -> Mgmt：允许SSH/HTTPS/SNMPv3/NETCONF至网络设备管理地址段；仅跳板堡垒主机可达
- DMZ -> Server：仅反向代理/WAF至后端Web的TCP 443；数据库访问仅限特定中间层
- Guest -> ANY：仅Internet，禁止到LAN/Server
- VPN(远程医生) -> 应用：基于用户组/MFA下发最小访问策略
访问控制与准入
- 有线802.1X（EAP-TLS）+ NAC策略：按用户/设备/合规检查（补丁/AV/加密）动态分配VLAN与ACL
- 医疗设备不支持802.1X：MAB+准入单端口VLAN+IP/MAC绑定+东向ACL
- 无线WPA3-Enterprise（WPA2-Enterprise回退），各SSID映射独立VLAN，访客Portal隔离
二层/三层防护
- 二层：DHCP Snooping、DAI、IP Source Guard、BPDU Guard、Root Guard、风暴抑制
- 三层：在核心/汇聚布署分布式ACL，基于L3/L4策略控制横向流量；必要处部署内部分段防火墙（ISFW）保护服务器区
加密与VPN
- 站点互联：IPsec IKEv2（AES-256-GCM，PFS group14+），BFD/动态路由保障链路切换
- 远程接入：SSL VPN或IPsec客户端，启用MFA（OTP/证书+口令），端点合规检查
日志审计与监控
- 所有安全与网络设备启用Syslog over TLS，集中到SIEM；保留≥180天（按法规调整）
- SNMPv3加密轮询；启用NetFlow/sFlow至流量分析平台
- 配置与系统基线定期备份，变更留痕；NTP内外源对时
无线安全细节
- 禁止共享密钥跨网使用；隐藏管理SSID；AP间二层隔离（Client Isolation）在GUEST开启
- 禁止开放式SSID承载敏感业务；医用终端按MAC/OUI绑定策略并限制可用端口/协议
应用与数据安全
- WAF前置患者门户与远程影像访问，开启OWASP Top 10防护、Bot防护、速率限制
- 服务器到数据库通信强制TLS1.2+，禁用明文协议；敏感数据脱敏/最小化暴露
- 出口DLP与地理位置策略（可选），限制敏感数据外泄
合规性要点（适配医疗场景）
- 网络变更管理与风险评估（符合IEC 80001-1原则）
- 身份鉴别与最小权限；日志留存与可追溯；数据在传输与静态加密；定期漏洞扫描与渗透测试
- 隐私保护与跨境合规要求按属地法规执行

5. 扩展性说明（未来升级路径与容量预留）

容量与性能
- 核心保留≥40%端口与背板冗余；服务器区可升级至25G上联；PACS存储扩容不影响生产平面
- 无线控制器与AP许可证预留≥30%，便于床位/门诊扩展
分支与广域
- 现阶段：星型IPsec VPN；后续可平滑升级至覆盖型SD-WAN（双链路、应用选路、集中编排）
分段与多租
- 通过VRF/策略路由扩展多院区/多部门逻辑隔离；必要时在核心引入EVPN/VXLAN以支持大规模二层多租
自动化与可观测
- 引入基于API/脚本的配置编排与合规校验；流量遥测（IPFIX）、应用性能监测（APM）集成
IPv6与新技术
- 核心/汇聚/防火墙/WLAN均应支持IPv6双栈；为远程医疗、物联网增长做好地址与策略规划

——

实施要点（简要）

先行现场勘测与无线热力图；细化IP地址与VLAN计划；梳理HIS/LIS/PACS端口清单
分阶段上线：核心与汇聚联通验证→安全域与ACL空跑→服务器区迁移→接入准入分批→无线与访客上线
上线后基准测试：吞吐/时延/Jitter；语音MOS；影像上传下载耗时；故障转移演练（核心堆叠、NGFW HA、双ISP）

本方案遵循行业通用标准与医疗场景最佳实践，兼顾标准预算与增强安全需求，提供清晰拓扑与关键设备配置参考，便于后续实施与运维落地。

1. 网络架构概述（总体设计原则与拓扑类型）

企业类型与规模：制造行业，中型规模（约200–500员工；终端总量约600–1200，含办公终端、无线终端、摄像头、打印机、OT设备等）
安全等级：标准（满足办公与生产网络分区、基本威胁防护与合规审计）
预算：高端型（采用双机冗余、双链路、多出口设计，兼顾当前性能与未来扩展）

设计原则

分区隔离：IT办公网、数据中心/服务器区、DMZ区、访客网、OT（工业控制）网物理/逻辑隔离，OT经工业DMZ受控访问
冗余与高可用：核心/防火墙/汇聚双机冗余，关键链路LACP捆绑，双上联，双运营商接入
可扩展：核心与汇聚具备10/25/40/100G演进能力；接入支持1/2.5G和PoE++以适配Wi-Fi 6/6E与摄像头
易运维：统一网管、日志、告警与可视化；配置模板化、自动化；标准化VLAN与地址规划
合规与标准：遵循IEEE 802.1Q/802.1X/802.3af/at/bt/802.11ax/axE、IETF（OSPF、BGP、IPsec）、IEC 62443（OT分区理念）等

拓扑类型（三级架构）

核心层：双核心L3交换集群（等价路由，承载OSPF/BGP，VRF分区），上联双ISP与互联网，南向多汇聚
汇聚层：各楼层/区域双汇聚（支持MLAG/MC-LAG/VSF类技术），承载SVI与策略路由，南向接入交换机双归
接入层：PoE/非PoE接入交换机按区域部署；无线AP接入；IP电话/摄像头/终端等
安全与分区：互联网边界NGFW冗余，工业DMZ防火墙（IT/OT隔离），外联DMZ（门户/邮件/VPN/控制器）
广域互联：分支/园区间IPsec/SD-WAN（可选）叠加双ISP
数据中心：服务器接入交换机（10/25G），对接存储与虚拟化平台

2. 核心设备清单（设备类型、数量、主要功能）

说明：以下为类型与关键规格，避免品牌与具体型号；数量可随建筑与楼层数微调。

核心层

L3核心交换机 ×2（高可用集群）
- 关键规格：交换容量≥720 Gbps；10/25G上联端口≥16；40/100G端口≥2；支持OSPF、BGP、VRF、EVPN（可选）；支持MPLS（可选）；双电源
- 功能：园区核心路由、VRF分区（WAN/DMZ/USER/OT/MGMT）、与汇聚OSPF、对外BGP多宿主（经防火墙）、流量工程与策略路由
下一代防火墙（边界） ×2（HA，主动/备用）
- 关键规格：NGFW吞吐≥20 Gbps；IPS/反恶意能力启用后≥5 Gbps；并发会话≥2M；IPsec吞吐≥5 Gbps；支持BGP/ECMP、APP识别、URL分类、AV/IPS/DLP、SSL解密（可选）
- 功能：互联网出入口安全、NAT、远程访问VPN、站点间VPN、应用与内容安全

汇聚层

汇聚交换机 ×4（每栋/每区2台，堆叠或MLAG）
- 关键规格：固定或可堆叠L3；10G上联≥8；1/2.5G下行少量；支持MLAG/ISL；SVI/VRRP；ACL/QoS；双电源
- 功能：楼层VLAN网关、策略ACL、接入汇聚、向核心多链路上联
工业DMZ防火墙 ×2（HA）
- 关键规格：吞吐≥10 Gbps；IPS启用≥3 Gbps；支持工业协议识别（Modbus/TCP、DNP3、EtherNet/IP等的基础识别/过滤）；双电源
- 功能：IT与OT间访问白名单控制、工业DMZ分区、单向/最小权限访问
服务器接入交换机 ×2
- 关键规格：10/25G端口≥24；上联40/100G×2；支持VPC/MLAG；DCB（如需存储）；VXLAN/EVPN（可选）
- 功能：连接虚拟化宿主、存储阵列、备份设备与安全设备（WAF/IPS等可选）

接入层与无线

接入PoE交换机（48口） ×10–14（按工位与AP/摄像头密度确定）
- 关键规格：1G接入×48；PoE预算≥740W（PoE+/PoE++混合）；10G上联×2（LACP）
- 功能：终端供电与接入、边缘安全（802.1X、DHCP Snooping、DAI）
接入非PoE交换机（48口） ×4–6
- 关键规格：1G接入×48；10G上联×2
- 功能：PC/打印机/实验终端等
无线控制器 ×2（冗余）
- 关键规格：支持≥200 AP/4000并发；WPA3-Enterprise、802.1X、7×24漫游优化、频谱分析；Guest隧道至DMZ
- 功能：统一AP管理与射频优化、访客与企业SSID策略分离
室内/工业级Wi‑Fi 6/6E AP ×30–50（按覆盖面积与密度规划）
- 关键规格：2x2或4x4 MIMO；PoE+供电；室外/高粉尘区可选工业外壳；支持WPA3
- 功能：办公/产线无线覆盖，企业/访客/物联SSID分离

管理与支撑

AAA/RADIUS服务器 ×2（虚拟/物理）
日志/SIEM/NetFlow采集 ×2
NTP/DNS/DHCP（主备） ×各2
机柜、配线、UPS与环境监测设施（标准化冗余）

3. 网络分层说明（连接关系与数据传输路径）

地址与VLAN建议（示例，可按实际微调）

地址块：10.10.0.0/16（RFC1918）
示例VLAN
- VLAN10 服务器区：10.10.10.0/24
- VLAN20 办公网：10.10.20.0/24
- VLAN30 语音：10.10.30.0/24
- VLAN40 视频监控：10.10.40.0/24
- VLAN50 访客无线：10.10.50.0/23（NAT仅出互联网）
- VLAN60 管理：10.10.60.0/24（带外/带内管理）
- VLAN70 OT区：10.10.70.0/23
- VLAN80 工业DMZ：10.10.80.0/24
- VLAN90 DMZ（对外发布）：10.10.90.0/24

路由与网关策略

接入层：二层接入，启用802.1X，Trunk至汇聚；上联双链路（LACP）分别连接汇聚对
汇聚层：三层网关（SVI）驻留在汇聚对，VRRP为各VLAN提供冗余网关；向核心运行OSPF（Area 0）
核心层：作为园区骨干与策略路由节点，承载VRF（建议：USER、SERVER、DMZ、OT、MGMT、WAN）；与边界防火墙/ISP通过静态或BGP互通

互联与链路规格

接入—汇聚：2×10G LACP（双上联、跨设备捆绑）
汇聚—核心：每台汇聚至每台核心至少2×10/25G LACP（总≥40–100 Gbps/汇聚对）
核心—边界FW：2×40/100G或多×10/25G聚合
核心—服务器接入：2×40/100G聚合
运营商接入：双ISP，独立物理路径，BGP多宿主或策略路由+健康探测

数据路径（典型）

终端访问内部应用：终端→接入→汇聚（SVI转发/ACL）→核心→服务器接入→服务器
终端访问互联网：终端→接入→汇聚→核心→边界NGFW（策略/NAT/IPS）→ISP
IT访问OT：IT来源→核心→工业DMZ防火墙（白名单策略、协议过滤）→OT设备
访客无线：AP→CAPWAP至控制器→DMZ→边界NGFW NAT→互联网（禁止入内网）
分支互联：站点IPsec/SD-WAN隧道→边界FW→核心VRF→目标网段

无线与QoS

SSID划分：Corp（802.1X/EAP‑TLS）、IoT/Handheld（MAC/NAC策略）、Guest（Captive Portal，DMZ出网）
QoS：语音EF优先级，视频AF41，OT控制流高优先级；WMM启用；上行/下行策略在接入/汇聚/核心一致映射

4. 安全防护配置（防火墙策略、访问控制机制）

边界安全区与策略

区域划分：WAN、DMZ、SERVER、USER、OT、MGMT
基础策略（示例，最小权限）
- USER→WAN：允许HTTP/HTTPS/DNS/NTP等必要业务；应用识别与URL分类；恶意域名拦截
- USER→SERVER：按应用端口与目的清单放行（如ERP/PLM/文件服务等）
- SERVER↔DMZ：仅发布服务所需端口（如HTTPS/SMTP/Reverse Proxy）
- GUEST→WAN：仅允许HTTP/HTTPS，禁止至所有内网与OT
- IT→OT：仅通过工业DMZ防火墙，白名单协议/端口与设备对（如MES→PLC网关）。默认拒绝，启用IPS对已知工业协议威胁库的检测/阻断
- 反向（OT→IT/Internet）：默认拒绝，仅允许必要的时间同步、补丁镜像代理等受控流量
反欺骗与DDoS基础：
- 边界启用SYN/ICMP/UDP Flood防护、僵尸网络C2回连拦截、Geo-IP可选
- uRPF/Anti-Spoofing，分区间RFC1918与保留地址过滤
NAT与发布：
- 源NAT：USER/GUEST/OT出网
- 目的NAT：DMZ对外发布（WAF/反向代理可选）
VPN：
- 站点间：IPsec IKEv2，AES-GCM，PFS，BGP over IPsec（可选）
- 远程接入：SSL VPN/AnyConnect类方案，MFA，设备指纹可选

内部网络安全（交换与接入）

访问控制：汇聚SVI处部署有状态ACL/无状态ACL组合；管理网与设备带外口独立VLAN与VRF
端口安全与防护：
- 802.1X/EAP‑TLS（RADIUS），MAB兜底；基于身份/设备类型动态VLAN/下载ACL
- DHCP Snooping、DAI、IP Source Guard防ARP/DHCP攻击
- BPDU Guard/Root Guard、Loop Guard防环路
- 非授权端口关闭，端口速率/风暴控制
分段与微隔离：
- VLAN级隔离+基于角色的ACL
- 服务器区可引入分布式防火墙/微分段（如基于工作负载标签）作为后续升级
日志与审计：
- 所有安全设备、网络设备、服务器与关键系统日志汇聚至SIEM；保留≥180天
- NetFlow/IPFIX启用；告警阈值与基线学习
证书与密钥：
- 内部PKI签发802.1X证书；管理平面仅允SSHv2/HTTPS，禁用Telnet/HTTP；强密码与密钥轮换策略
补丁与基线：
- 网络与安全设备统一补丁窗口；配置版本控制与定期备份；变更记录与回退计划

合规参考（适用性）

制造业OT分区与最小权限控制参考IEC 62443思想
数据保护与日志留存满足本地法规与行业最佳实践

5. 扩展性说明（未来升级路径与容量预留）

带宽与端口扩展：核心与服务器接入预留40/100G端口；汇聚可扩展至25G上联；接入支持2.5G以适配Wi‑Fi 6/6E高并发
多站点与云接入：边界FW支持SD‑WAN叠加，分支零接触上线；对接公有云IPsec/专线，云侧VRF/安全域对齐
IPv6演进：双栈部署（核心/汇聚/边界与DNS/DHCPv6准备）；策略与ACL同步IPv6
安全能力升级：启用SSL解密（合规场景）、沙箱与行为分析、邮箱安全网关、零信任网络访问（ZTNA）与细粒度微分段
无线与IoT：按密度扩展AP；IoT设备独立SSID/VLAN，策略模板化；位置服务与RTLS可选
自动化与可观测性：引入配置自动化与意图验证（API/模板）；流量遥测（gNMI/Streaming Telemetry）；AIOps异常检测
高可用增强：核心/汇聚更高阶堆叠或多活架构；ISP三链路与链路多样化；机房双路供电与UPS/N+1

附：实施要点与参数校验

链路聚合使用IEEE 802.1AX（LACP），跨设备聚合按厂商支持的MLAG/类似技术实现
动态路由：园区用OSPF；边界与ISP建议BGP（或策略路由+健康检测）
时钟同步：NTP主备；日志时间对齐
机房环境：温湿度/烟感/门禁监控；线缆标识与配线架编号
验收测试：冗余倒换、单点失效测试（核心/汇聚/防火墙/ISP/电源）、性能与漫游测试、安全扫描与基线核查

本方案以中型制造企业为基线，遵循行业标准与可验证技术，兼顾高可用、可扩展与标准安全要求，避免超出需求的复杂度，同时为未来业务增长与数字化升级预留空间。

解决的问题

帮助小型企业与服务商在最短时间内产出可直接用于招投标、评审与实施的网络架构方案。用户只需给出企业类型、网络规模、安全等级与预算，系统即可自动生成清晰的拓扑思路、关键设备配置与互联关系、基础安全策略和未来扩展建议；在控制成本的前提下平衡性能与安全，减少反复沟通与返工，统一团队交付标准，显著压缩售前周期并提升成单率。

适用用户

IT咨询顾问

快速汇总客户需求并生成标准化拓扑与设备清单，附带安全策略与扩容建议，用于售前方案与投标。

中小企业信息化负责人

在预算受限下对比多套配置档位，一键导出评审材料，明确风险清单与实施优先级。

MSP/外包服务商项目经理

用模板化方案加速多门店与多分支网络规划，统一交付标准，减少现场沟通与返工。

特征总结

• 一键生成符合行业场景的网络拓扑说明，涵盖核心设备与连线逻辑，开会即可展示落地方案。

• 根据企业规模与预算自动匹配配置档位，平衡性能与成本，让小团队也能做出专业选择。

• 内置安全基线与访问控制建议，自动补齐易漏项，帮你降低合规风险与潜在审计压力。

• 分层结构与数据路径清晰标注，轻松看清瓶颈位置，便于扩容与后续运维交接。

• 支持零售、医疗、教育、制造等多行业语境，按需切换术语与侧重点，减少沟通成本。

• 方案可扩展点与容量预留一目了然，自动给出升级路线，避免重复投入与返工。

• 标准化文档一键输出，结构统一、条理清晰，直接纳入投标书与内部评审材料。

• 通过链式推演校验可行性与安全性，提前识别冲突与缺口，降低上线后修改代价。

• 可参数化定制设备数量与安全等级，常见场景即开即用，复杂需求也能快速落地。

如何使用购买的提示词模板

1. 直接在外部 Chat 应用中使用

将模板生成的提示词复制粘贴到您常用的 Chat 应用（如 ChatGPT、Claude 等），即可直接对话使用，无需额外开发。适合个人快速体验和轻量使用场景。

2. 发布为 API 接口调用

把提示词模板转化为 API，您的程序可任意修改模板参数，通过接口直接调用，轻松实现自动化与批量处理。适合开发者集成与业务系统嵌入。

3. 在 MCP Client 中配置使用

在 MCP client 中配置对应的 server 地址，让您的 AI 应用自动调用提示词模板。适合高级用户和团队协作，让提示词在不同 AI 工具间无缝衔接。

AI 提示词价格

￥20.00元

先用后买，用好了再付款，超安全！

在线免费用提示词

您购买后可以获得什么

✓

获得完整提示词模板

- 共 524 tokens

- 4 个可调节参数

{ 企业类型 } { 网络规模 } { 安全等级 } { 预算范围 }

✓

获得社区贡献内容的使用权

- 精选社区优质案例，助您快速上手提示词

购买

小型企业网络架构图生成

1. 网络架构概述（总体设计原则与拓扑类型）

2. 核心设备清单（设备类型、数量、主要功能）

3. 网络分层说明（连接关系与数据路径）

4. 安全防护配置（防火墙策略、访问控制机制）

5. 扩展性说明（未来升级路径与容量预留）

1. 网络架构概述（总体设计原则与拓扑类型）

2. 核心设备清单（设备类型、数量、主要功能）

3. 网络分层说明（连接关系与数据传输路径）

4. 安全防护配置（防火墙策略、访问控制机制）

5. 扩展性说明（未来升级路径与容量预留）

1. 网络架构概述（总体设计原则与拓扑类型）

2. 核心设备清单（设备类型、数量、主要功能）

3. 网络分层说明（连接关系与数据传输路径）

4. 安全防护配置（防火墙策略、访问控制机制）

5. 扩展性说明（未来升级路径与容量预留）

解决的问题