机电加工企业IT运维的三大隐形坑——从某久机电维保项目看制造业办公网怎么守
干企业IT运维这些年，我越来越觉得：贸易公司和制造企业的"IT"根本不是同一个工种。贸易公司断网了，顶多大家刷会儿手机；制造企业断网、服务器卡顿、图纸打不开——车间那边可能就停着等图，一天工时直接废掉。
最近我们在做某久机电的年度维保，这家做精密零部件和真空腔体的企业，算是机电加工行业里信息化需求比较典型的——CAD图纸、加工代码、客户技术协议全在服务器上，办公网和车间网混在一起，设备品牌杂、使用年限不一。落地过程中我们踩到几个很有代表性的坑，写下来给同行和制造企业IT负责人提个醒。
坑一：图纸服务器"看起来在备份，其实没备上"
某久之前有一套手动备份习惯——行政每周五把重要文件夹拷到一块移动硬盘。听起来没毛病，但一查问题就出来了：
移动硬盘放在同一间办公室，真要是进水、失窃，备份跟着一起没
只备份了"重要文件夹"，设计师桌面上的临时文件、微信接收的修改版图纸根本没纳入
从来没做过恢复演练——你不知道备份文件是不是真的能打开
我们给他们改成了三层备份：服务器系统盘和数据盘分别做镜像 → 定时同步到NAS → 关键目录再推一份到云端。最重要的是每月抽一次恢复演练，随便挑一个文件真的还原出来看能不能用。备份不做恢复测试，等于没备。
坑二：防火墙配了等于没配，NAS管理口直接暴露公网
进场巡检的时候我们在某久的防火墙上看到一条让人后背发凉的配置——NAS的5000/5001管理端口做了端口映射，对公网全开。也就是说，任何人在任何地方输入 http://公司IP:5000 就能看到登录界面，暴力破解或者找个0day漏洞就能进去。
这种配置在小微企业里太常见了，装NAS的时候图方便，技术人员随手一映射，没人意识到风险。我们做的处理很简单：关掉公网映射，需要外网访问走VPN；同时把防火墙固件升到最新版，检查并收紧了ACL策略。
制造企业尤其要注意这点——你们的图纸和技术资料是核心资产，一旦泄露，损失的不是一台设备的钱，可能是整个客户关系和竞争优势。
坑三：办公网和车间网在同一广播域，一损俱损
某久的办公电脑、监控摄像头、车间办公室的无线AP全接在同一个二层网络里。平时没事，一旦某个摄像头或某台电脑中招发广播风暴，整个网络一起瘫。之前他们就遇到过一次——一台中了木马的电脑疯狂发ARP包，全公司断网半个多小时。
我们的方案是做VLAN隔离：办公网、监控网、访客无线分三个网段，之间通过防火墙做受控互访。这样即使某一路出问题，也不会把其他业务带垮。改完之后上个月那次木马事件，只影响了本机，没扩散。
制造企业IT维保的几个建议
结合某久这个项目，给同行的制造企业IT负责人几点实在建议：
别指望行政兼职管IT——行政懂流程但不懂网络协议和权限模型，真出事兜不住
维保合同看SLA别只看价格——2小时到场和第二天到场，对制造企业是"少停一小时产线"和"白交一天工资"的区别
定期巡检比故障抢修值钱——我们给某久定的是每月一次现场巡检+远程实时监控，大部分问题在用户感知之前就处理掉了
弱电和IT找同一家服务商——监控、门禁、网络、电脑一套人马管，出问题不会互相踢皮球
起秀网络目前在松江这边做不少制造企业的混合维保，IT外包+弱电一体化托管这个模式，对二三十人到大几百人的工厂都挺合适。有兴趣的可以聊聊，我们不做"坏了再修"的生意，做的是让你尽量少坏。
T：---
