监控网和办公网混在一个广播域里，是前端设备批量掉线最常见的成因之一。可行的做法不是买两台物理独立的交换机，而是在同一台可网管交换机上做业务型 VLAN：监控一个 VLAN、办公一个 VLAN、门禁与报警主机再单独一个，然后只在这些 VLAN 网关之间放行必要的几条 ACL。下面给出可落地的划分与配置骨架。
为什么监控网不能和办公网共用广播域？
GB 50395-2007 第 5.0.3 条要求"系统的信号传输应保证图像质量、数据的安全性和控制信号的准确性"。这条要求落到网络层，就是两件事：视频流不能被其他业务的广播与突发流量挤占，设备之间不能被随意访问。
办公网的典型特征是 DHCP 广播、组播发现、大量 ARP。几十路 H.265 主码流常年稳定占用上行，遇上办公网的广播风暴或病毒扫描，监控 VLAN 的上联口会瞬间打满，表现为 NVR 部分通道离线、回放卡顿。更隐蔽的风险是越权：办公电脑能直接访问摄像机 Web 后台，摄像头成了攻击跳板。
业务型 VLAN 怎么切？
按业务切，不按楼栋切。楼栋切法在园区场景下确实能限制故障域，但会让跨楼调阅录像时流量在核心来回绕。可参考下面这张划分表：
| VLAN | 用途 | 网段示例 | 互通策略 |
|---|---|---|---|
| 10 | 办公终端、打印机 | 172.16.10.0/24 | 不得主动访问 VLAN 60 |
| 60 | 视频前端与存储 | 192.168.60.0/24 | 仅接受授权终端访问 |
| 61 | 门禁、道闸、报警主机 | 192.168.61.0/24 | 与视频网单向桥接 |
| 99 | 设备管理（交换机、NVR 管理口） | 192.168.99.0/24 | 仅网管主机可入 |
点位规模较小时可以做合并，但监控与办公分属不同 VLAN 这条底线不能省。GB 50395 对传输的要求是安全、可靠，物理共缆可以接受，逻辑共域不行。
网段规划上有两个细节：摄像机用静态 IP，不用 DHCP，避免地址池耗尽或租约变更导致通道离线；每个网段预留两成以上空闲地址，扩容时不必重编。
接入端口与上联端口怎么配？
配置骨架以主流 Comware / VRPV8 风格为例，端口号按现场替换：
# 建 VLAN
vlan 60
description CCTV_FRONTEND
vlan 99
description DEVICE_MGMT
# 摄像机接入口：Access，划入监控 VLAN
interface GigabitEthernet 1/0/1
port link-type access
port access vlan 60
port-isolate enable group 1
stp edged-port
dhcp snooping trust undo
# 上联口：Trunk，只放行本交换机需要的 VLAN
interface GigabitEthernet 1/0/24
port link-type trunk
port trunk permit vlan 60 99
port trunk pvid vlan 999
undo poe enable
# 空闲口：直接关掉，别留可插的洞
interface range GigabitEthernet 1/0/20 to GigabitEthernet 1/0/23
shutdown
port access vlan 999
三个要点值得单独说。端口隔离（port-isolate）让同一交换机下的摄像机二层互不可达，单台设备中毒或发广播不会传染整片；但隔离组不能把上联口也加进去，否则整片摄像机断网。上联口要关掉 PoE 输出，避免对上联设备反向供电。空闲口默认敌对，关闭或划入黑洞 VLAN 是常规动作。
非网管 PoE 交换机上常见的"视频监控模式"开关，作用与端口隔离类似：各 PoE 口之间不能通信，只能与上联口通信。在小项目中这是个省事的替代方案，但它没有 ACL、没有 VLAN 标签，无法与办公网做三层隔离。
ACL 该放行什么、拒绝什么？
隔离不是"什么都不通"。办公区需要看预览，运维需要进管理口，NVR 需要被授权终端访问。下面三条 ACL 覆盖了最常见的需求：
# ACL 3000：阻止办公网主动访问视频前端，放行 VMS 平台单点访问
acl advanced 3000
rule 0 permit ip source 172.16.10.50 0 destination 192.168.60.0 0.0.0.255
rule 5 deny ip source 172.16.10.0 0.0.0.255 destination 192.168.60.0 0.0.0.255
rule 10 permit ip
quit
interface Vlan-interface 10
packet-filter 3000 inbound
# ACL 3001：视频网只允许访问 NVR，不允许主动访问办公网
acl advanced 3001
rule 0 permit ip source 192.168.60.0 0.0.0.255 destination 192.168.60.0 0.0.0.255
rule 5 deny ip source 192.168.60.0 0.0.0.255 destination 172.16.10.0 0.0.0.255
rule 10 permit ip
quit
interface Vlan-interface 60
packet-filter 3001 inbound
# ACL 3002：管理 VLAN 只允许网管主机进入
acl advanced 3002
rule 0 permit ip source 192.168.99.10 0 destination 192.168.99.0 0.0.0.255
rule 5 deny ip destination 192.168.99.0 0.0.0.255
rule 10 permit ip
quit
interface Vlan-interface 99
packet-filter 3002 inbound
三条 ACL 的方向都在"入方向"应用，也就是在流量进入三层接口时判断，比在出方向拦更省转发资源。
注意 ACL 的默认动作：多数厂商的高级 ACL 末尾是 permit，所以"拒绝特定网段"之后必须显式 deny，再写一条兜底 permit 放行其余流量。写成默认拒绝而不清理规则，会把正常的录像回放也拦掉。
隔离到底生效没有，怎么验证？
配置写完不等于隔离成立，必须逐条验证。下面五项是现场最容易漏的：
- 跨网段可达性：从办公网终端 ping 摄像机 IP，应当不通；从放行的 VMS 平台主机 ping，应当通。
- 反向可达性：在摄像机侧（可用 telnet 到同网段测试机）ping 办公终端，应当不通，证明 ACL 双向都生效。
- 同 VLAN 隔离：同一接入交换机下两台摄像机互 ping，启用端口隔离后应当不通。
- 广播域大小：在核心交换机上看监控 VLAN 的广播包占比。广播占比长期超过 5%，说明有设备在异常发包。6. 上联口利用率：上联口峰值持续超过 70%，说明带宽或用例有问题，与隔离是否生效无关，但会表现成同类故障。
常见误配与后果对照
| 现象 | 常见原因 | 处理 |
|---|---|---|
| 整片摄像机同时离线 | 端口隔离组误加上联口 | 把上联口移出隔离组 |
| 办公网看不到预览 | ACL 未放行 VMS 平台 IP | 单独 permit 平台主机 |
| 跨 VLAN 回放延迟高 | 未配 QoS，视频流与文件流量同级 | 视频流标 EF 队列 |
| 设备 IP 频繁变化 | 摄像机走了 DHCP | 改静态 IP，配台账 |
| 上联口反复协商成百兆 | 网线或光模块等级不足 | 换 Cat6 或核对光模块型号 |
第 5 条常被忽略：一台 24 口千兆交换机上联百兆，20 路 400 万像素主码流合计超过 100Mbps，监控 VLAN 隔离做得再好，回放一样卡。隔离解决的是"互相干扰"，解决不了"总带宽不够"。
TL;DR 检查清单
- 监控、办公、门禁、管理四类业务各自成 VLAN，至少监控与办公必须分开。
- 摄像机全部静态 IP，网段预留两成以上地址。
- 接入端口设 Access 并启用端口隔离，上联口 Trunk 只放行必要 VLAN。
- 上联口关闭 PoE 输出，空闲口 shutdown。
- ACL 在入方向应用，按"先精确放行、再拒绝网段、最后兜底"的顺序写。
- 验证时做双向测试，别只看办公网能不能访问。
- 监控 VLAN 广播占比控制在 5% 以内。
- 上联口利用率按峰值预留，千兆起步，路数多时上光纤。
参考资料
- GB 50395-2007《视频安防监控系统工程设计规范》第 5.0.3 条
- GB 50348《安全防范工程技术标准》