监控网与办公网应分网建设。摄像头一旦上线就常年不间断上传视频流，办公网流量则集中在上班时段突发波动，两类流量模型完全不同，共网会造成带宽挤占、卡顿丢帧；嵌入式摄像头更新慢、默认口令风险高，打通网络后还会放大横向渗透风险。物理隔离用独立设备与线缆，逻辑隔离走 VLAN 加 ACL 并配防火墙深度检测，一般以专网独立建设为主、受控跨区访问为辅。
监控网和办公网为什么要分开
两种网络服务的业务完全不同。监控网的核心任务是持续上传视频流，几百路摄像头 7×24 小时在线推流；办公网是突发型流量，上午收邮件、下午开视频会议、下班传文件，高峰低谷分明。把两种流量模型塞进同一套交换设备，等于让匀速长跑和短距离冲刺共用一条跑道，互相干扰不可避免。
安全风险是更关键的因素。监控摄像头多是嵌入式设备，系统更新慢、默认口令长期不改，防护能力远低于办公电脑。办公网一台电脑中了勒索软件，威胁可能顺着同网段直接触达摄像头和录像机，摄像头被控制后既是画面泄露源，也可能变成攻击者向内网渗透的跳板。网络安全等级保护基本要求（GB/T 22239）对安全区域边界有明确要求，不同安全等级的区域之间应当采取隔离措施，分区隔离正是等保落地的基础动作。
| 对比项 | 监控网 | 办公网 |
|---|---|---|
| 流量模型 | 持续上传，平稳无峰谷 | 突发集中，高低峰明显 |
| 设备属性 | 嵌入式终端，更新慢 | 桌面终端，补丁及时 |
| 主要威胁 | 弱口令、固件漏洞 | 钓鱼、勒索软件 |
| 隔离方案 | 独立专网/受控接入 | VLAN 分区/边界防护 |
带宽账怎么算：一路 4M 一百路 400M
合并组网的直接代价是带宽互相挤占。一路高清摄像机常规码流约 4Mbps，一百路就是 400Mbps 的持续流量，这还没算同时开启子码流预览多画面时的额外压力；办公网主干链路通常按业务峰值设计，不会为监控预留这么大的持续带宽。共用之后的结果很典型：要么办公应用卡顿，要么监控录像出现时间断层，极端情况两者同时出问题。
- 单路主码流按 4Mbps 估算，子码流另占 1Mbps 左右；
- 100 路摄像机的持续流量约 400Mbps，主干要求千兆起步；
- 办公高峰瞬时大流量与视频流叠加，交换机 buffer 溢出即丢帧；
- 全链路按峰值预留带宽，并给视频配置独立 QoS 策略保证优先级。
按上述测算，视频流网络应配置独立的 QoS 策略，高清视频流的带宽保障不能因为其他业务突发而被挤占。
物理隔离怎么做：独立设备与线缆彻底断开
物理隔离是指监控网使用独立的交换机、线缆与上联链路，与办公网在物理层完全断开，任何跨网通信都要经过受控的人工或设备摆渡环节。它适用于安全等级较高的场景，代价是设备与布线成本高、跨网调取数据不方便。
| 实现方式 | 做法 | 适用场景 |
|---|---|---|
| 独立组网 | 专用交换机与线缆自成一体 | 多数政企项目的基础做法 |
| 双网卡隔离 | 服务器双网卡分接两网，禁用网卡间通信 | 平台侧数据交换 |
| 空气开关/光纤熔接 | 物理层断开，仅特定协议转换设备交换 | 高密级场景 |
园区层面对物理隔离的常见做法是把核心安防设备放在独立广播域，机房门禁、UPS、消防联动也接入安防专用网络，杜绝非授权人员通过物理线缆或无线信号接入核心区域；跨网互访采用受控接入点，不在交换机上随意打通。
逻辑隔离与边界防护怎么做
逻辑隔离通过软件手段在同一套物理网络里划分安全域，适合需要一定交互、又不希望重复布线的环境。交换机用 802.1Q 协议划分 VLAN，配 ACL 规则限制跨 VLAN 通信；边界部署下一代防火墙（NGFW）并启用深度包检测，对进出安防专网的流量做特征匹配与行为分析，非授权访问自动阻断并记录日志。
微隔离是更细粒度的做法，把视频流处理、报警逻辑处理与数据交换分层隔离，各层之间按最小必要原则放通。与物理隔离相比，逻辑隔离成本低、调整灵活，但隔离强度依赖配置正确性，ACL 与防火墙策略长期不维护会逐渐失效。
- 划分 VLAN：视频流、报警控制、平台管理各占独立网段；
- 配置 ACL：默认拒绝跨 VLAN 访问，按业务逐条放通；
- 边界防火墙：NGFW 开启深度包检测，阻断-告警-溯源联动；
- 定期审计：巡检 ACL 与防火墙策略，清理失效规则。
跨网访问怎么管控
视频监控往往需要远程查看与平台对接，完全断网不现实，因此要设计受控的跨网访问通道。办公区调看视频走平台或客户端，走独立的远程查看接入点，不做裸路由打通；视频上云或上级平台对接遵循 GB/T 28181 等标准走平台级互联（参见视频云接入与端口放行专题），数据导出按审批流程执行并留存审计日志。
- 远程查看：独立接入点加身份认证，禁直连摄像头；
- 平台对接：跨网只开放指定协议与端口，时段受控；
- 数据导出：审批留痕，日志可追溯；
- 等级保护：按系统定级开展测评，区域边界措施逐项验证。
运维上建立变更管理流程，新增设备、调整网段都要同步更新 ACL 与防火墙策略，避免出现"开通后忘记关闭"的长期放行。
TL;DR 检查清单
- 监控网按独立专网建设，流量模型与安全属性都不适合与办公网共网；
- 带宽按单路 4Mbps 估算，100 路约 400Mbps 持续流量，千兆主干加 QoS 保障；
- 高安全等级用物理隔离，常规项目用 VLAN 加 ACL 逻辑隔离并配防火墙；
- 跨网访问走受控接入点与平台级对接，策略变更纳入台账长期维护。
参考资料
- surveillance-network-ports-protocols
- surveillance-video-cloud-migration
- gb35114-explained