监控网络越扩越大，摄像机、NVR、平台与办公电脑混在同一张网里，广播泛洪、地址冲突和越权访问会接踵而来。规划的正解是按业务拆分 VLAN：监控视频与设备管理各自成段，用三层交换终结网关，仅在必要端口上放通互访。先定 VLAN 清单和 IP 段，再配三层网关与访问策略，再核算上联带宽。
为什么要给监控网单独划 VLAN
监控流量带宽大、持续时间长，与办公流量混跑时，ARP 和 DHCP 广播会灌满每个端口，某个摄像机异常发包还可能拖垮整网。把监控划成独立广播域后，视频流、管理流和办公流互不干扰，故障影响也能限制在单个 VLAN 内，排查和扩容都更清晰。
| 混用网络的问题 | 表现 | 划 VLAN 后的变化 |
|---|---|---|
| 广播泛洪 | 大量 ARP、DHCP 广播占带宽、抬 CPU | 广播只在各自 VLAN 内传播 |
| 地址冲突与误分配 | 摄像机与办公设备 IP 相撞 | 网段隔离后冲突面大幅缩小 |
| 越权访问 | 办公网可随意访问摄像机与 NVR | 通过网段与访问策略受控 |
| 故障扩散 | 单点环路或异常发包拖垮整网 | 广播域缩小后影响局部化 |
规划遵循几个常见原则：物理线路复用、逻辑上隔离；单一功能划单一 VLAN，监控、门禁、办公、设备管理不混用；广播域尽量做小，节点过多时按区域再拆分；VLAN 间的互访在三层设备上受控终结，只开放必要端口。这样既保住带宽，也把安全边界收紧。
VLAN 怎么划、IP 段怎么分
划分粒度按规模定：中小项目按业务划三个段即可，规模大时再按区域或楼栋拆分。每个 VLAN 分配独立网段与网关地址，设备按段归位，管理起来有规律可循。
| VLAN 用途 | 建议分段 | 承担的设备 | 互访需求 |
|---|---|---|---|
| 视频监控 VLAN | 独立网段 | 摄像机、NVR、解码器 | 与平台、客户端受控互通 |
| 设备管理 VLAN | 独立网段 | 交换机管理地址、平台服务器 | 运维人员管理用 |
| 门禁等子系统 VLAN | 独立网段 | 门禁控制器、读卡器 | 与平台按需互通 |
| 办公网 VLAN | 独立网段 | 办公电脑、业务终端 | 仅放行必要的访问 |
IP 段规划要预留扩展空间，同一网段内摄像机数量控制在可管理范围内，避免广播风暴和地址表溢出。设备地址建议静态分配或 DHCP 预留绑定，防止摄像机重启后拿到陌生地址失联。各 VLAN 的网段写在拓扑与台账里，巡检时按表核对端口归属，减少后续排查成本。
三层交换与网关怎么配
VLAN 之间要通信，必须由三层设备终结各网段的网关。接入层交换机负责按端口划 VLAN 和上联，汇聚或核心交换机创建各 VLAN 的虚拟接口作为网关，启用三层路由后跨网段流量按路由转发。
| 配置项 | 做法 | 用途 |
|---|---|---|
| 接入端口划分 | 端口划入对应 VLAN | 前端设备归位到正确网段 |
| Trunk 上联 | 上联口放行必要 VLAN | 多 VLAN 流量上行到汇聚核心 |
| SVI 网关 | 每个 VLAN 建虚拟接口配 IP | 各网段终结点，转发跨段流量 |
| 路由启用 | 三层交换机启用路由功能 | VLAN 间互访按路由表转发 |
| ACL 策略 | 按源目网段与端口放行 | 只允许必要协议通过 |
Trunk 是 VLAN 互访的咽喉，上联口必须放行实际用到的 VLAN，未放行的 VLAN 流量到不了三层设备，就会出现单通或互访失败。原生 VLAN 建议改用未使用的编号，避免与业务 VLAN 混用产生环风险。三层设备作为网关要关掉不必要的服务，管理口独立成段，控制面不接收来自摄像机网段的任意流量。
访问控制与带宽怎么规划
VLAN 划分完成后，互访策略按最小必要原则收紧：平台与摄像机之间只放行视频接入所需端口，办公网对监控网的访问只到平台和客户端，不给摄像机开放任意互访。带宽按上联峰值路数乘码流再留余量估算，避免并发回放时期限带宽不足。
- 摄像机网段默认禁止主动访问互联网，只允许向平台注册与上报。
- 办公网访问监控只放行平台与客户端地址，其余端口一律拒绝。
- 上联带宽按峰值路数乘单路码流并预留余量，参考常见经验按需求放大。
- 接入层端口做广播抑制与端口安全，限制单端口接入设备数，绑定常用 MAC。
- 交换机开启环路防护，接入端口启用边缘端口与保护功能，防止误插环路。
常见配置错误集中在几处：Trunk 忘放行 VLAN 导致互访不通、网关地址配错导致跨段失联、原生 VLAN 未改导致环路风险、ACL 顺序不对导致应放行的流量被拦截。排查时按物理链路、VLAN、网关、策略逐层核对，用端口统计观察流量是否符合预期，边配置边验证，避免大量点位上线后再返工。
TL;DR 检查清单
- 按业务划分视频、管理、门禁、办公独立 VLAN，广播域最小化，故障不扩散。
- IP 段按 VLAN 分配独立网段，设备静态或 DHCP 预留绑定，预留扩展空间。
- 三层交换终结各 VLAN 网关，Trunk 放行必要 VLAN，原生 VLAN 改用未使用编号。
- ACL 按最小必要放行，上联带宽按峰值码流留余量，端口做广播抑制与环路防护。
参考资料
- surveillance-ip-address-planning
- network-loop-broadcast-storm
- vlan-interop-troubleshooting