老旧档案馆有线传感网络改造：温湿度点位布线与网络隔离实战

温度要求：14~24℃（纸质档案），波动≤±2℃/24h
湿度要求：45~60%RH（纸质档案），波动≤±5%RH/24h

监测点密度要求（JGJ 25-2010《档案馆建筑设计规范》）：
- 每 100~150㎡ 至少 1 个监测点
- 库房面积 ≤ 100㎡ 时，不少于 2 个监测点
- 重点区域（入口、窗户附近、空调出风口）需加密

┌─────────────────────────────────────────────────────────────┐
│  档案库房平面示意图（典型 12m × 8m = 96㎡ 库房）            │
│                                                             │
│  ┌─────────────────────────────────────────────────────────┐│
│  │  窗户区（温湿度梯度大）                                  ││
│  │  ● 点位1（窗边，距地1.5m）                              ││
│  │  ● 点位2（窗边，距地0.5m，近地面湿度监测）               ││
│  ├─────────────────────────────────────────────────────────┤│
│  │  ● 点位3（库房中心，距地1.5m）                          ││
│  │  ● 点位4（空调回风口附近，监测回风参数）                 ││
│  ├─────────────────────────────────────────────────────────┤│
│  │  ● 点位5（密集架通道中部，距地1.5m）                     ││
│  │  ● 点位6（库房门内侧，监测开门时的温湿度扰动）           ││
│  ├─────────────────────────────────────────────────────────┤│
│  │  墙体区（外墙传热影响）                                  ││
│  │  ● 点位7（外墙内侧，距墙0.5m，距地1.5m）                ││
│  └─────────────────────────────────────────────────────────┘│
│                                                             │
│  总计：7个监测点 / 96㎡ ≈ 每 13.7㎡ 一个监测点              │
│  （满足规范要求，且考虑了空间梯度和扰动因素）                │
└─────────────────────────────────────────────────────────────┘

老旧档案馆布线线缆选型：

1. 主干线缆（汇聚交换机到接入交换机）：
   - 推荐：Cat6A S/FTP（屏蔽双绞线，23AWG）
   - 理由：屏蔽抗干扰，粗线径降低POE线损，支持未来升级

2. 接入线缆（接入交换机到传感器）：
   - 推荐：Cat6 UTP 或 Cat5e（如果距离<80m）
   - 理由：传感器端无需屏蔽（金属外壳已屏蔽），降低成本

3. 光纤主干（跨楼层/长距离）：
   - 推荐：单模OS2，LC-LC跳线
   - 理由：档案馆楼层间距可能超过100m，光纤不受距离限制

4. 电源线（POE交换机供电）：
   - 推荐：RVV 3×2.5mm²（如果就近取电困难）
   - 理由：承载多台POE交换机功率

现状：
- 办公网：连接互联网，供馆员日常办公
- 业务网：档案管理系统，连接查询终端
- 安防网：视频监控、门禁系统
- 新增：温湿度监控网

风险：
1. 监控网与办公网混用，可能引入病毒/攻击
2. 监控流量占用办公网带宽，影响正常业务
3. 传感器固件漏洞可能被利用作为跳板
4. 温湿度数据被未授权访问

方案A：物理隔离（最安全，成本最高）
  - 独立部署温湿度监控网络
  - 独立交换机、独立光纤链路
  - 独立服务器/网关
  - 优点：完全隔离，安全性最高
  - 缺点：成本高，施工量大

方案B：VLAN逻辑隔离（推荐，性价比高）
  - 共享物理网络基础设施
  - 通过VLAN划分不同业务
  - 通过ACL控制VLAN间访问
  - 优点：成本低，灵活，可管理
  - 缺点：依赖网络设备配置，存在配置错误风险

方案C：VPN隔离（适用于分布式档案馆）
  - 各库房通过VPN连接到中心
  - 加密隧道传输数据
  - 优点：适合多馆区互联
  - 缺点：增加延迟，配置复杂

网络拓扑：

                    ┌─────────────────────┐
                    │   核心交换机        │
                    │   (三层路由)        │
                    └─────────┬───────────┘
                              │
              ┌───────────────┼───────────────┐
              │               │               │
        ┌─────▼─────┐  ┌─────▼─────┐  ┌─────▼─────┐
        │ VLAN 10   │  │ VLAN 20   │  │ VLAN 30   │
        │ 办公网    │  │ 业务网    │  │ 监控网    │
        │ 192.168. │  │ 192.168. │  │ 192.168. │
        │ 10.0/24  │  │ 20.0/24  │  │ 30.0/24  │
        └───────────┘  └───────────┘  └───────────┘
              │               │               │
              │               │               │
        ┌─────▼─────┐  ┌─────▼─────┐  ┌─────▼─────┐
        │ 办公终端  │  │ 档案系统  │  │ 监控网关  │
        │ 打印机    │  │ 查询终端  │  │ 传感器    │
        └───────────┘  └───────────┘  └───────────┘

ACL规则：
- VLAN 30 → VLAN 10：DENY（监控网不能访问办公网）
- VLAN 30 → VLAN 20：DENY（监控网不能访问业务网）
- VLAN 10 → VLAN 30：PERMIT（办公网可查看监控数据，通过Web）
- VLAN 20 → VLAN 30：PERMIT（业务网可读取温湿度数据，用于环境关联）
- VLAN 30 → Internet：DENY（传感器不能访问外网）

# ===== 华为交换机 VLAN与ACL配置 =====

# 创建VLAN
vlan batch 10 20 30

# 配置VLAN接口IP
interface Vlanif 10
 ip address 192.168.10.1 255.255.255.0

interface Vlanif 20
 ip address 192.168.20.1 255.255.255.0

interface Vlanif 30
 ip address 192.168.30.1 255.255.255.0

# 配置端口（接入交换机）
interface GigabitEthernet 0/0/1
 port link-type access
 port default vlan 30
 poe enable              # 为传感器供电

# 配置Trunk端口（上联）
interface GigabitEthernet 0/0/24
 port link-type trunk
 port trunk allow-pass vlan 10 20 30

# 配置ACL
acl number 3000
 rule 10 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.10.0 0.0.0.255
 rule 20 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.20.0 0.0.0.255
 rule 30 permit ip

# 应用ACL到VLAN 30接口
interface Vlanif 30
 traffic-filter inbound acl 3000

老旧档案馆传感器数量估算：
- 小型档案馆（<5000㎡）：约 50~80 个监测点
- 中型档案馆（5000~20000㎡）：约 100~300 个监测点
- 大型档案馆（>20000㎡）：约 300~800 个监测点

单台POE交换机选型：
- 24口POE交换机，总功率预算 370W（802.3at）
- 每端口最大 30W，实际传感器功耗约 2~3W
- 可满载 24 台传感器（余量充足）

交换机数量：
- 小型：3~4台接入交换机 + 1台汇聚
- 中型：8~15台接入交换机 + 2台汇聚
- 大型：20~40台接入交换机 + 4台汇聚

老旧档案馆供电可能不稳定，需考虑：

1. POE交换机双电源：
   - 每台接入交换机配置双电源模块
   - 分别接入不同的UPS回路

2. UPS保障：
   - 监控网络独立UPS（至少2小时续航）
   - 与办公网UPS分开，避免相互影响

3. 核心设备冗余：
   - 汇聚交换机堆叠（CSS/iStack）
   - 网关服务器双机热备

施工限制：
- 禁止在承重墙开孔（>50mm）
- 禁止破坏原有吊顶结构
- 禁止在木制档案柜上打孔
- 线缆不能跨越档案柜顶部（影响通风）
- 施工时间：避开档案利用高峰期（周一至周五工作时间）

1. 与强电线缆间距：
   - 平行间距 ≥ 50mm
   - 交叉间距 ≥ 20mm
   - 无法避免时，使用金属线槽隔离

2. 固定方式：
   - 使用尼龙扎带（非金属，避免划伤档案）
   - 线卡间距 ≤ 500mm
   - 转弯半径 ≥ 4倍线缆外径

3. 标识：
   - 每根线缆两端贴标签
   - 标签格式：库房号-列号-点位号（如 A-03-07）
   - 使用防水防油标签（档案馆湿度可能较高）

安装高度：
- 距地面 1.5m（人体呼吸带，代表档案利用环境）
- 距地面 0.5m（近地面湿度监测，防止档案底部受潮）

安装位置：
- 避开空调直吹（距离出风口 ≥ 2m）
- 避开窗户直射（距离窗户 ≥ 1m）
- 避开灯光热源（距离灯具 ≥ 0.5m）
- 密集架通道内，安装在通道中部（避免被架体遮挡）

固定方式：
- 磁吸底座（钢制密集架顶部）
- 粘胶固定（木质柜体，使用无酸胶）
- 扎带绑扎（桥架/线槽）