小微企业要不要划 VLAN，怎么划
出现「这个不能被那个访问」的需求就该划了，附按用途划分的编号规则、端口配置与互通清单做法。
什么情况下值得划
二三十台设备的小办公室，划 VLAN 的收益不大，反而增加维护难度。我们建议划的情况有四种：终端超过 40 台、装了视频监控、要开访客无线、有财务或者收银这类需要隔离的机器。判断标准其实很简单：如果网络里出现了「这个不能被那个访问」的需求，就该划了。划之前要先把设备数清楚，包括打印机、打卡机、摄像头这些平时不占 IP 又容易漏掉的。还有一种情况值得单独说：老板希望财务的机器跟其他人的机器隔开，但又不希望增加太多维护工作量。这种我们一般只划两到三个段，做最小改动，够用就行，不追求划得细。
按用途分，给每段一个编号和地址段
我们习惯按用途分，不按部门分，因为部门会变，用途不会。常见划分是：办公终端 VLAN 10，地址段 192.168.10.0/24；监控 VLAN 20，192.168.20.0/24；访客无线 VLAN 30，192.168.30.0/24；设备管理 VLAN 99，192.168.99.0/24。编号和地址段后两位对齐，排错的时候一眼能看出是哪一段。地址分配上，前 20 个留给网关、服务器和打印机，从 .21 开始动态分配。这张表要写成文档，贴在机柜门内侧。
access 口和 trunk 口，别配错
接电脑、打印机、摄像头这类终端的端口配成 access，指定一个 VLAN；交换机与交换机、交换机与路由器之间的级联口配成 trunk，允许相应的 VLAN 通过。我们踩过的坑是：一台交换机的级联口还留在默认 VLAN 1，结果下面所有监控都跑到办公段去了，摄像机地址全是办公段的，广播包也跟着进来。所以做完之后一定要逐台登录上去看端口状态，不要只看核心那一台。支持统一管理的交换机，建议在管理界面里把端口用途写进备注。
跨网段带来的麻烦，先想好
VLAN 一划，跨网段访问就要走三层。常见三个麻烦：一是录像机在办公段，摄像机在监控段，添加设备时搜不到，解决办法是把录像机接到监控段的口上，或者给它加一个监控段地址；二是网络打印机在办公段，访客段的人要打印，需要在路由器上开一条放行规则；三是无线 AP 的管理地址和业务地址分属不同段，配的时候容易搞混。这些都要在方案阶段列出来，不要等现场发现。另外提醒一句：管理地址要单独放一个段，交换机和 AP 的管理界面不要放在办公段里，平时用不到，但一旦被误操作或者被扫描，影响面很大。我们一般把这个段限制成只有运维用的两台机器能访问。
我们实际的做法
武汉一个 60 人的办公室，我们划了办公、监控、访客三个业务段加一个管理段。访客段只放行外网，用访问控制列表禁止访问 192.168.10.0/24 和 192.168.20.0/24，访客密码每周换一次。做完后我们做了三件事：把每台交换机的配置导出成文件存档；在机柜贴一张地址段表；教甲方一个人怎么改访客密码、怎么临时放行一台设备。整个调整和调试花了一天半，其中半天在跟甲方核对哪些设备必须互通。这份互通清单我们认为是 VLAN 项目里最该先做的功课。划完之后我们还做一件事：把每个段的用途、网关、掩码和主要成员写成一页纸，放在交付文档第一页。这套文档在甲方换人接手的时候最有用，我们有个客户后来交接的是一个刚来的行政，靠这一页纸自己把访客密码改了。