今年9月，协会发布了《商场ICT基础设施运维与业务系统运维指南》。

在零售行业深度数字化的浪潮下，商场早已不只是商品买卖的场所，而是升级为融合沉浸体验、智慧服务与数据决策的综合零售空间。而支撑这场变革的，是以 ICT（信息与通信技术）为核心的基础设施：它贯穿企业运营的各个环节，交织成一张高度复杂、彼此协同的技术生态网。

为构建标准化、体系化的运维框架，中国百货商业协会携手零售企业和行业专家，起草本指南，以“安全为基、流程为纲、全栈覆盖”为核心思路，整合运维安全通用策略与管理流程，覆盖从网络、服务器、安全设备到终端、IoT、公有云等软硬件基础设施，以及数据库、应用软件、业务系统的全软件链条，旨在为商场 ICT 运维提供可落地的操作规范，实现 “故障可预防、问题可追溯、风险可管控” 的目标，最终保障商场数字化运营的稳定性、安全性与高效性。

指南的起草单位和人员包括：

因指南内容较多，协会将通过公众号对指南内容进行连载。今天为第一部分“商场网络系统运维指南”。

今天为第一部分“商场网络系统运维指南”，在指南全文中，为第3部分，前两部分为通用策略和通用流程。

3 网络系统运维

核心目标： 构建并维护一个稳定、高效、安全、可扩展的网络基础设施，为零售连锁企业的门店运营、线上电商、供应链管理、办公协同、顾客服务等业务提供可靠、高性能的连接，保障业务连续性，保护数据安全与用户隐私，并实现高效的集中管理与运维。

3.1  资产生命周期管理

3.1.1 运维期间资产采购与入库

需求分析与规划：根据业务需求预测和系统扩容计划，明确网络设备的采购需求，包括性能指标、容量需求、扩展性要求等。

供应商评估与选择：评估供应商的资质、产品质量、售后服务及安全保障能力，选择信誉良好、符合安全标准的供应商。

采购与验收：依据采购合同与技术指标进行验收，检查硬件设备外观、配置参数，测试软件系统功能、兼容性与安全性。

资产标签与登记：为每台网络设备粘贴物理标签，并在资产管理系统中详细登记资产信息，包括型号、序列号、位置、用途、IP地址、配置详情、维保状态等。

3.1.2 配置基线

标准化配置模板：基于安全基线和最佳实践，为不同类型设备，如核心交换机、门店接入交换机、防火墙、无线控制器等，创建标准配置模板，包括OS版本、管理安全、VLAN划分、端口安全、基础路由/ACL等。使用脚本、运维系统等自动化工具批量部署。

安全加固基线：更改默认凭证、关闭不必要服务，如HTTP管理、启用管理加密SSH/HTTPS、配置访问控制列表ACL、禁用未用端口。

3.1.3 在役运营与维护

资产与拓扑登记：在CMDB和网管系统准确记录设备信息，如型号、序列号、IP/MAC、位置、用途、配置备份等、逻辑与物理的网络拓扑图、IP地址规划。日常执行重点指标监控、配置备份、性能优化、漏洞修复。同时定期进行配置审计和健康检查。

3.1.4 升级与变更

固件/OS升级：评估必要性，制定计划，包括测试、回滚计划等，在维护窗口执行。充分测试兼容性。

配置变更：所有变更，如VLAN调整、路由变更、ACL修改等，必须通过变更管理流程审批，使用标准化模板或自动化工具实施，更新文档。

3.1.5 退役与处置

安全下线：清除配置，尤其敏感信息，断开物理连接。

配置擦除：使用专用工具或命令彻底清除设备配置。

资产注销：更新CMDB、网管系统、IP地址库等。

合规处置：环保处理电子废弃物。

3.2  IP地址规划与管理

3.2.1 规划原则

结构化与可扩展：按区域、功能、设备类型划分地址块，预留增长空间。

IPv4 & IPv6 双栈策略：推荐逐步部署IPv6双栈。明确各网段、VLAN是IPv4-only、IPv6-only或Dual-stack。

聚合：设计利于路由聚合的地址块，减小路由表，提升稳定性。

3.2.2 IPv4 规划

私有地址空间：主要使用RFC 1918地址，包括10.0.0.0/8、172.16.0.0/12、192.168.0.0/16。

VLAN 编址：为每个逻辑分区，如支付、有线办公、办公/访客Wi-Fi、IoT、管理、服务器等，分配独立VLAN和IP子网。子网大小匹配设备数量，建议预留20%-30%。

关键设备静态分配：核心交换机、路由器、防火墙、无线控制器、服务器使用预留的静态IP。

动态分配：办公PC、无线客户端、IoT设备等使用DHCP。配置DHCP作用域、保留地址、租期，租期策略建议门店设备可较长，访客较短。

NAT 规划：明确公网地址池、NAT策略。

3.2.3 IPv6 规划

全球单播地址GUA：从ISP或自分配获取前缀，通常为/48或/56。

子网划分：使用清晰的子网ID分配给各VLAN、站点。

地址分配机制：

Ø  SLAAC：是一种无状态地址自动配置技术，适用于大多数PC或手机客户端，设备根据RA消息自动生成地址。需配合RA Guard, SEND等安全措施。

保留与静态分配：关键网络设备、服务器使用手动配置的IPv6 GUA或ULAs。

3.2.4 管理工具

IP地址管理IPAM系统、功能：可用于实现IP资源集中管理、自动化分配、DNS、DHCP集成以及可视化，地址规模体量较大时，建议配置。

文档：维护详细的IPv4、v6地址规划表，包含子网、VLAN、网关、用途、分配状态。

3.3  网络性能与可靠性管理

3.3.1 关键指标监控

设备健康：CPU、内存利用率、温度、电源状态等。

链路状态：端口Up、Down、错包、丢包率、流量速率、核心、上联、门店互联等链路的带宽利用率、延迟、抖动等。

协议状态：OSPF、BGP邻居状态、STP根桥、端口状态等。

无线网络：AP在线率、信道利用率、客户端数、信号强度、漫游成功率、认证成功率等。

工具：部署集中网络监控系统，如Zabbix、SolarWinds或厂商配套监控工具等，Flow分析 (NetFlow、sFlow、IPFIX)，无线分析仪。

3.3.2 性能基线

建议建立正常流量模型基线，通过对网络流量数据的收集、分析和处理，确定网络在正常运行状态下的流量特征和行为模式，能够帮助网络运维人员及时发现网络异常，提高网络故障排查和安全防护的效率，确保网络持续稳定、安全地运行。

3.3.3 容量规划

分析带宽趋势，预测新店、视频、云应用等带宽的增长。确保关键链路利用率峰值<70%。

大促保障：提前评估并临时扩容关键链路，尤其门店互联网接入。

3.3.4 故障排查与优化

快速定位解决中断、性能劣化（延迟/丢包）、无线问题。

优化路由、调整STP、优化无线信道、功率、针对POS, 视频会议、VoIP等关键业务实施QoS保障。

3.4  网络安全管理

3.4.1 访问控制

设备管理安全：强制SSHv2、HTTPS管理，限制源IP访问，如只能通过堡垒机、管理网段才可对资产进行管理，禁用Telnet、HTTP。管理员强密码、证书认证。

网络分区隔离，可采用VLAN + ACL/Firewall方式：

端口安全：接入层启用端口安全，如MAC绑定、学习数量限制等。

3.4.2 安全防护

无线安全：采用WPA2/WPA3-Enterprise或802.1X/Portal + RADIUS,用于员工办公Wi-Fi。禁用WEP/WPS。访客Wi-Fi使用独立SSID + Portal认证方式。

IPv6 安全：部署ACLv6，启用RA Guard, DHCPv6 Guard，监控IPv6流量。

3.4.3 漏洞与补丁

定期扫描设备漏洞。

及时更新OS、固件安全补丁。高危漏洞应紧急处理。

3.4.4 日志与审计

集中日志管理：所有设备日志送SIEM、日志平台。

关键日志：管理员操作、安全事件、状态变更等。

留存与审计：按合规留存日志，定期审计。

3.5  广域网与门店连接管理

3.5.1 连接策略

主链路：按需选择光纤、高质量宽带。互联方案建议采用SD-WAN。

备份链路：重要门店必备4G/5G备份。配置自动切换。

集中管控：利用SD-WAN控制器或网管统一管理门店CPE。

3.5.2 性能与可靠性

监控门店链路状态、性能。

可采用QoS优化关键业务流量优先级。

快速响应门店网络故障。

链路关键性能指标(延迟<60ms, 抖动<20ms, 丢包率<0.5%)

3.5.3  安全

门店防火墙、CPE启用基础安全策略。

强制加密：门店到DC、云的连接使用IPSec VPN或SD-WAN加密隧道，加密标准应采用AES-256及以上，推荐采用国密SM4标准。

严格管理远程访问。

3.6  无线网络管理

3.6.1 针对运维期扩容点位的规划与部署

需求区分：员工办公Wi-Fi vs 顾客访客Wi-Fi。

覆盖设计：无线现场勘察，根据无线覆盖热力图，合理避免干扰。

标准化部署：AP型号、位置、安装方式标准化。

3.6.2 配置与安全

员工Wi-Fi：WPA2/WPA3-Enterprise、802.1X、Portal等。

访客Wi-Fi：独立SSID、VLAN，Portal认证，严格隔离。

优化：信道、功率规划，Band Steering，漫游优化。

3.6.3 监控与优化

监控AP、客户端状态、性能，定期优化调整。

3.7  运维工具与文档

3.7.1 网络管理系统 (NMS)

建议部署网络管理系统或运维管理系统，具备设备发现、监控、告警、配置备份、拓扑管理、IP地址管理等功能。

3.7.2 关键运维文档

最新网络拓扑图、机房物理连接拓扑、资产部署图等

详细IP地址规划表

设备清单与配置备份

VLAN规划表

相关标准操作流程 (SOP)