做企业IT服务这些年，我发现一个规律：很多中小公司不是不重视网络安全，而是不知道自己的网络到底有多”裸奔”。这次服务的客户是一家位于广州海珠区的30人外贸公司，主营家居用品出口，业务员每天要跟十几个国家的客户发邮件、传样品图、开视频会议。网络一出问题，丢的不只是时间，更是实打实的订单。
客户背景：30人外贸团队，网络全靠一台家用路由器撑着
这家外贸公司成立不到五年，员工30人，分成业务、跟单、财务三个小组，办公室在海珠区一栋写字楼的整层，面积约260平方米。公司有一台用了四年的老服务器，跑着财务软件和共享文件，另有一台NAS做简单备份。乍一看设备都有，但深入一查，问题比想象中多得多。
最扎眼的是网络出口：全公司共用一台家用级无线路由器上网，没有防火墙，没有行为管理，服务器直接暴露在公网，远程桌面端口对外开放。财务电脑上还装着好几个来路不明的”免费”工具软件。老板跟我说：”上个月有两台电脑中了勒索病毒，文件全被加密了，最后花钱找人恢复，还丢了半个月的报价单。”
服务需求：防勒索、防入侵，还要不影响业务员正常工作
客户的需求很明确，一共三条：第一，堵住外网入侵的口子，服务器和财务电脑不能再裸奔；第二，员工电脑要防勒索病毒和钓鱼邮件，之前中招的教训不能再来一次；第三，改造不能影响正常办公，业务员白天要不停地发邮件、传文件，只能利用下班后和周末施工。
我上门勘测后，又发现两个隐患：办公室没有划分内外网，访客连上WiFi就能直接访问财务服务器所在的网段；备份虽然做了，但NAS就放在服务器旁边，一旦中勒索病毒，备份会一起被加密，等于没备份。
服务方案：硬件防火墙+内网隔离+备份加固，三层一起上
针对这家公司的规模和预算，我定的方案是三层防护，层层兜底：
- 出口层：部署一台企业级硬件防火墙飞塔FortiGate 60F，接管全网出口，开启入侵防御（IPS）和防病毒网关，关闭所有不必要的对外端口，远程桌面改走SSL VPN；
- 内网层：用防火墙+可网管交换机划分三个VLAN：办公网、财务网、访客网，财务网段与其他网段逻辑隔离，访客WiFi只能上网、看不到任何内网设备；
- 终端与备份层：30台电脑统一部署企业版杀毒软件并开启勒索防护，关闭Office宏自动运行；NAS改成异地备份策略，每周一把增量备份同步到老板办公室的另一台NAS，并做离线冷备。
方案里特意避开了一个坑：没有一上来就推最贵的下一代防火墙。对30人规模的公司来说，FortiGate 60F的吞吐和功能已经够用，把预算省下来做备份加固和员工培训，性价比更高。
执行过程：分三步走，周末两天完成割接
第一步：周五下班后做准备。我先给全网设备做了资产登记：30台电脑、2台打印机、1台服务器、1台NAS、3台AP，逐台记录IP和MAC。然后在防火墙上预配好策略：放行邮件、ERP、视频会议等业务端口，屏蔽P2P下载和已知恶意域名，配置SSL VPN账号给经常出差的两个业务员。
第二步：周六上午割接。早上8点到场，先把防火墙串进光猫和核心交换机之间，全网断网约25分钟。随后逐台交换机划分VLAN，财务部的5台电脑单独划进财务VLAN，打印机做跨VLAN共享策略。割接完逐台电脑测试：能上网、能发邮件、能访问服务器，访客WiFi确实访问不到内网，全部通过才算过关。
第三步：周六下午做终端和备份。给30台电脑批量安装企业版杀毒软件，卸载掉那几个来路不明的工具，关闭不必要的开机启动项。NAS重新配置备份任务，做了第一次全量异地同步，实测恢复一个2GB的报价文件夹只用了9分钟。最后给全员做了半小时的安全培训：怎么认钓鱼邮件、陌生附件不要点、中了病毒第一时间断网别重启。
服务效果：一个月拦截上千次攻击，勒索病毒再没进过门
改造完成一个月后，我调了一次防火墙日志给客户看：一个月内拦截外部扫描和入侵尝试1200多次，拦截恶意网址访问87次，其中两次是伪装成客户询盘邮件里的钓鱼链接，被网关直接拦下。之前每个月总有那么一两次”电脑突然变慢、中毒重装”的情况，这一个月一次都没发生。
业务员的感受最直接：以前高峰期视频会议总卡顿，现在网络稳定多了——这其实是防火墙顺带做了流量管控，P2P下载和视频网站被限速，带宽都让给了业务流量。财务也安心了：财务电脑只能在财务VLAN内访问服务器，访客连上WiFi什么都看不到。
唯一的小插曲是上线第一周，有个业务员出差用SSL VPN连不上，查下来是他酒店的网络屏蔽了VPN端口，改走备用端口后解决。后来我把这条写进了运维手册，类似问题十分钟就能处理。
费用说明：硬件加部署约1.25万，后续按年收运维费
这次网络安全防护升级的总费用约1.25万元，明细如下：飞塔FortiGate 60F防火墙约6800元（含一年特征库授权），可网管交换机及布线整改约2200元，30台电脑企业版杀毒软件一年授权约1800元，部署调试与员工培训人工约1700元。以上为参考价，具体以实际上门勘测和实际需求为准。
后续运维按年收取，每年约3000元，包含防火墙特征库续费、每月一次安全巡检和远程应急响应。客户还顺带签了我们的月度IT运维托管，日常的小问题直接微信找我，不用再为”电脑出问题找谁”发愁。
如果你在广州开公司，办公室网络也是”一台路由器打天下”，或者中过勒索病毒、丢过重要文件，建议尽快做一次网络安全检查。很多隐患平时看不见，等病毒发作、数据丢了再补救，花的钱往往是提前防护的好几倍。广州本地上门勘测，检查完再给方案，不合适不强推。