客户现场情况
公司 35 人，一层写字楼 300 平米，做的是面向东南亚的小商品出口。做事的人不多，管 IT 的人没有专门的一个，是行政兼任的。
网络的状况是这样的：一条企业宽带进户，接一台家用路由器，下面挂着三台小的桌面交换机；同事把上网密码直接给来访的客户，和内部用的是同一个 SSID。出口没有任何过滤，工作时间有人在下载视频，报关上传的时候整个公司都慢。
真正让他们下决心的是邮件。公司收到过客户转来的一封报价单，发件人邮箱和公司域名只差一个字母，内容是改收款账号。虽然最后没造成损失，但老板意识到这事不处理好迟早要出事。
方案与做法
先把网络结构定下来。换掉那台家用路由器，上一台带行为管理的企业网关，划分四个网段：员工、财务、访客无线、打印机与网络设备等。访客用单独的 SSID，只能上网，访问不了任何一台内部电脑；打印机单独一个网段，避免随意设备接入。出口配了应用限速和 DNS 过滤，工作时间限制大流量下载。
无线用 3 台吸顶 AP 覆盖 300 平米，原来那 5 台家用路由器全部撤掉。终端这一侧做了五件事：统一重装系统镜像、把日常登录改为标准账户而不是管理员账户、装统一的终端防护软件并买了 35 个授权、设置补丁更新策略、统一安装了一个密码管理工具给业务同事存放站点密码。
共享权限的清理是这次最花人力的一处。原来的情况是财务盘全公司可读可写，谁都能打开。我们按部门重建了目录权限：财务目录只有财务组，合同目录只有业务组和老板，公共材料目录全员可读。改完之后找了三个不同岗位的同事分别用自己的账号登录验证。
邮件方面在域名的解析记录上补了 SPF、DKIM 和 DMARC 三条记录，让外部收件方能够校验发件来源，然后对全员做了一次 40 分钟的识别培训。备份用一个双盘位 NAS 做 RAID1（2 块 8TB），每天夜里备份财务与合同目录并在本地保留 30 天版本，同时把加密压缩包传到异地。
交付清单
企业网关 1 台、吸顶 AP 3 台、24 口交换机 2 台、12U 挂墙柜 1 台；双盘位 NAS 1 台配 8TB 硬盘 2 块。
终端安全软件授权 35 个；域名解析记录三条（SPF、DKIM、DMARC）配置及验证截图。
文档：网络拓扑图、四个网段的 IP 与用途表、共享目录权限清单、账号清单（含这次清理出的 12 个弱口令账号）、备份策略说明与还原步骤、钓鱼演练两次的记录与后续跟踪表。
另外把重建后的目录清单做成一张表贴在 NAS 的管理首页上，写清每个目录谁可读谁可写、由谁负责维护、要不要备份，以后有人要开权限就照这张表执行。
交付后的情况
两次钓鱼演练的结果我写进报告里了。第一次是 10 月下旬，35 人里有 9 人点了邮件里的链接；培训之后隔了一个月做第二次，点链接的人数是 2 人。对这两位同事我们没有通报，是单独沟通了一次，也重新用强口令重置了账户。
备份这块做过还原演练：随机抽了三个不同时间点的文件，从 NAS 上还原到一台临时电脑上打开确认内容正确。这一条我觉得比重组预算还重要，因为没验证过的备份不算备份。
遗留一条：公司还有一台跑业务的服务器，操作系统比较旧，已经无法升级。我们把它移到一个单独的网段，只能被指定的几台电脑访问，日常不用它上网和收邮件，列入下一期的更换计划。
交付清单
- 现场设备与账号清点，出具网络拓扑图
- 出口网关更换与四网段划分、访客隔离
- 35 台终端镜像、标准账户与终端防护部署
- 共享目录权限重建与三岗位账号验证
- 邮件三条解析记录配置与两次钓鱼演练