去年帮一家做精密仪器的建企公司排网络故障，他们的业网IT主管抱怨每天下午三点准时卡顿。我到现场一看，建企核心交换机是业网台用了八年的Cisco 2960，机柜里还塞着三台百兆小交换机做级联。建企这种场景在国内中型企业太常见了——设备老、业网拓扑乱、建企VLAN随便划。业网后来用两台Cisco 9300做了堆叠，建企把接入层换成2960X，业网故障再没复现过。建企企业网这东西，业网真不是建企买几台设备插上就能跑。
选型先看规模。业网五十人以下的建企办公室，一台Cisco 9200系列做核心加接入就够了，别听代理商忽悠上什么C9500。我见过一家三十人的设计公司，被忽悠买了C9500-40X，光授权就花了六万多，结果端口用了不到八个。反过来，两百人以上的园区，核心必须上C9500或C9600，背板带宽和转发表项摆在那，用C9300堆叠做核心，高峰期跨VLAN流量一上来就丢包。
拓扑设计有个坑很多人踩：接入层交换机双上行到核心，却不开PortFast和BPDU Guard。结果员工把家用路由器插到工位网口，生成树震荡，整个楼层断网。正确做法是接入端口开PortFast，配BPDU Guard，边缘端口收到BPDU直接err-disable。这个配置我在至少二十个现场补过，每次都是血泪教训。
VLAN划分别按部门，按物理位置和功能。财务和研发在同一楼层，划到同一VLAN没问题，用ACL控制互访就行。跨楼层的部门硬要划一个VLAN，广播域拉得太大，DHCP故障能影响半个园区。我习惯按楼层划VLAN，每层再按用途分两三个，比如办公、IP电话、无线AP各一个。IP电话和PC混在同一VLAN，QoS策略很难做干净。
路由协议的选择上，中小型企业网OSPF足够。别碰EIGRP，那是Cisco私有，哪天换设备就被锁死。静态路由加OSPF组合最稳：核心到出口防火墙用静态，内部三层交换机之间跑OSPF，区域就一个area 0，简单直接。我见过用BGP做企业内网的，一问是之前外包商留下的，维护的人自己都说不清AS号怎么来的。
无线部分，Cisco的9800系列控制器配9120AXI AP是当前主流。但有个细节：AP的供电。PoE+端口给Wi-Fi 6 AP供电，如果接的是老款2960S，PoE预算不够，AP会反复重启。换2960X或9300才能稳定输出30W。这个坑我在三个客户那遇到过，症状都是AP随机掉线，查日志显示power denied。
安全策略别只依赖防火墙。交换机端口开DHCP Snooping，防止私接DHCP服务器；开Dynamic ARP Inspection，防ARP欺骗；开IP Source Guard，防IP盗用。这三件套配上，内网能干净一大半。出口防火墙做NAT和基本ACL，别把所有安全压力都堆在防火墙上，内网东西向流量它根本管不过来。
最后说维护。Cisco设备买回来，Smart Net服务别省。我有个客户为了省每年两千多的服务费，核心交换机电源模块坏了，等备件等了五天，产线停了两天。那点服务费还不够半天产值。设备配置定期备份到TFTP，改配置前先show run存一份，这些老生常谈的操作，出事的时候能救命。