去年秋天去一所乡镇初中做网络巡检，学校机房角落里那台三层交换机还是教育建设2015年买的，风扇嗡嗡响，专网外壳烫手。学校校长说全校就这一条200兆的教育建设宽带，教师办公、专网学生机房、学校监控探头全挤在上面。教育建设期中考试那天，专网网络一断，学校英语听力考试差点开天窗。教育建设这事不是专网孤例，很多学校的学校所谓“专网”，其实就是教育建设一根家用宽带硬撑。

教育专网和普通宽带是专网两码事。它得满足三个硬指标：带宽要能扛住几十个班同时上直播课，延迟要压到50毫秒以内，还得能按角色分配权限——校长能看到全校数据，班主任只能管自己班，学生除了学习资源什么都碰不到。我见过最离谱的案例，某校把监控和教学混在一个VLAN里，结果学生用教室电脑就能看到校门口摄像头画面。这不是技术问题，是规划时根本没想清楚。

建设方案得从物理层往上捋。核心交换机选三层万兆的，别贪便宜买二层设备，后期做VLAN间路由会哭。出口路由器要带行为管理功能，能识别抖音、游戏这些流量并限速。无线AP别用家用级产品，教室场景下单AP带30个终端就撑不住了，建议选支持802.11ax的商用型号，每间教室单独部署，信道错开。有个细节容易被忽略：POE供电模块的功率余量要留足，冬天教室开暖风时电压波动，劣质POE模块会反复重启AP。

IP地址规划是个技术活。按楼栋划子网，教学楼用10.10.x.x，宿舍区用10.20.x.x，服务器区单独划个10.30.x.x。每个子网掩码别超过/24，不然广播风暴够你受的。DHCP地址池要留出至少20%的冗余，我见过学校因为地址池耗尽，新来的实习老师连不上网，折腾一上午才发现是这个问题。

安全策略得做三层。接入层开端口隔离，防止学生机互相ARP攻击；汇聚层做ACL，禁止教学子网访问财务系统；核心层部署防火墙，把教育局下发的黑名单IP直接封掉。认证方面，教师用802.1X认证，学生用Portal认证，访客走单独SSID并限速2Mbps。有个学校图省事全校用一个账号，结果某个老师的密码泄露后，整个学期网络日志里全是半夜两点从学生宿舍发起的异常登录。

运维管理别指望信息老师兼职。建议配一套网管软件，能自动发现拓扑、监控端口流量、告警异常设备。Zabbix或者PRTG都行，关键是要设置短信告警——凌晨三点交换机挂了，总得有人知道。备件库至少放两台同型号接入交换机，坏了直接换，别等厂家走流程。我见过最夸张的，交换机电源坏了，学校等了四天才修好，期间三个班的信息课全改成自习。

预算分配上，别把钱全砸在核心设备上。经验值是：核心设备占30%，接入层40%，无线20%，安全和管理软件10%。有个校长跟我说他们花了八万买核心交换机，结果教室AP还是百兆的，学生传个作业要五分钟。这就像买了辆跑车却配了自行车轮胎。

最后说个真实教训。某校专网验收时测速达标，用了一个月后网速骤降。查了半天发现是食堂新装的智能电表走了教学VLAN，每秒钟发几百个广播包。所以验收时别只看带宽数字，抓包分析一下协议分布，看看有没有奇怪的流量混进来。专网建设不是交钥匙工程，后期运维的坑，比施工阶段多得多。