最近在整理公司内部 IT 基础设施和信息安全建设的一些经验，发现中小公司从 0 到 1 做这套东西，坑真的不少。 我目前接触比较多的是这些方向： 基础网络规划：出口、防火墙、核心交换、VLAN、ACL AD 域控：加域、账号规范、权限分组、GPO 终端管理：资产编号、系统版本、软件基线 监控体系：Zabbix / Prometheus / Grafana 安全建设：防火墙策略、账号权限、日志审计、VPN / 远程访问 跨地区访问：国内、香港、台湾、美国之间链路稳定性和访问体验 目前我的感受是： 很多公司 IT 问题不是"技术做不了"，而是前期没有规范，后面越补越痛苦。 比如几个比较典型的坑： 账号体系一开始没规划好 员工账号、邮箱、域账号、工号、资产没有统一关系，后期权限回收和离职处理很麻烦。 网络没有分区意识 办公网、服务器区、访客网、测试设备、监控设备全混在一起，排障和安全控制都很难做。 防火墙策略只加不减 临时放行越来越多，最后没人知道哪条策略还能不能删。 监控只监"活着没"，不监"质量好不好" Ping 通不代表业务正常。链路延迟、丢包、磁盘 IO、证书过期、服务端口、日志异常这些更容易被忽略。 终端资产管理滞后 电脑是谁的、什么系统、有没有加域、有没有安装安全软件、有没有本地管理员权限，很多时候靠 Excel 人肉维护。 权限回收没有流程 入职很重视，离职和转岗反而容易漏。尤其是 VPN、NAS、Git、云平台、各种后台账号。 文档缺失 出问题时才发现，网络拓扑、账号规范、IP 地址规划、防火墙策略说明都没人维护。 我现在比较倾向于把 IT 基础设施分成几层来做： 第一层：网络和出口稳定 第二层：账号体系统一 第三层：终端和资产可管理 第四层：监控和告警可见 第五层：安全策略和审计闭环 第六层：文档和流程沉淀 想听听各位大佬的经验： 中小公司 IT 建设，你们觉得最应该优先做哪一块？ AD 域控、终端管理、资产管理这几块，有没有比较推荐的实践？ 防火墙策略、VPN、远程访问这类东西，怎么避免后期变成"历史包袱"？ 有没有什么你们踩过一次之后，再也不想踩第二次的坑？ 如果大家感兴趣，我后面可以继续整理一版： AD 加域推进表模板 中小企业 VLAN / ACL 规划思路 Prometheus + Grafana 监控实践 防火墙策略整理方法 离职账号权限回收清单 欢迎补充，也想看看不同公司的真实做法。 2 个帖子 - 2 位参与者 阅读完整话题