安装部署手册 台湾电信cn2宽带 家庭和办公室网络配置要点

1.

项目概述與需求確認

- 確認用途：網站/內部伺服器/遠端辦公或影像監控。
- 帶寬需求評估：單位使用建議上行與下行分別 50/200 Mbps 起，最大 1 Gbps。
- 延遲要求：CN2 路徑對台灣到大陸/香港平均延遲可達 20-60 ms。
- 公網 IP 需求：家庭可申請固定 IPv4（若需外網服務），建議至少 1 個固定 IP。
- 安全策略初稿：防火牆、NAT、入侵防護與備援備份頻率需在初期定義。

2.

網路拓撲與設備選型

- 路由器/防火牆：建議使用具 BGP/多線路策略的企業級路由器或支持 CN2 的 ISP 渠道。
- 交換器：辦公室建議 1G 全千兆交換器，關鍵機房使用 SFP+ 10G 上行。
- 無線部分：AP 配置 WPA3，企業級控制器集中管理。
- NAT 與 DMZ：伺服器放入 DMZ，內網電腦使用 NAT+ACL 隔離。
- QoS 設定：語音/視訊流量優先，設定 DSCP 與整體速率上限。

3.

伺服器 / VPS / 主機具體配置範例

- 範例 A（小型辦公）：VPS 4 vCPU / 8GB RAM / 160GB SSD / 1Gbps，位於台灣節點。
- 範例 B（高負載）：實體主機 8 核 / 32GB / RAID1 NVMe 1TB / 10Gbps 連接。
- 作業系統與軟體：Ubuntu 22.04 LTS + Nginx 1.22 + PHP-FPM 8.x 或 Docker Swarm。
- 網路配置：使用 203.0.113.10（示例 IP）作為伺服器主 IP，網關 203.0.113.1，子網 /24。
- 監控與備援：Prometheus + Grafana 監控、每日 rsync 備份到異地 VPS。

4.

域名、DNS 與 CDN 配置要點

- 域名解析：A 記錄指向固定 IP，TTL 依需設低（60s）或高（3600s）調整。
- 反向解析：為郵件與安全性設定 PTR 指向主機域名。
- CDN 佈署：接入邊緣節點以降低靜態資源延遲，對動態內容採用回源策略。
- DNS 安全：啟用 DNSSEC 與監控異動通知。
- 自動化：使用 Terraform 或 Ansible 自動化 DNS 與主機部署流程。

5.

DDoS 防禦與安全強化措施

- 邊界防護：ISP 層級先行過濾（CN2 路徑有時需協商 anti-DDoS）。
- 主機防護：設定 iptables / nftables，預設 DROP 非必要入站端口。範例：iptables -A INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 200 -j REJECT。
- 自動封鎖：使用 fail2ban，SSH 連續 5 次失敗封鎖 1 小時。
- 流量清洗：關鍵服務接 CDN/清洗平台（黑洞與流量再導）以承受突發洪峰。
- 日誌與告警：設置 ELK 堆疊或 Graylog 實時告警與流量基線學習。

6.

真實案例與配置數據示例

- 案例：台北某中小企業使用 CN2 專線，主站由原有 100 Mbps 升級至 500 Mbps，故障恢復時間由 6 小時降為 30 分鐘。
- 伺服器配置（該企業）：VPS 4C/8G, SSD 240GB, 帶寬 500Mbps，月費約 NT$3,200。
- 防護策略：在 ISP 端協調每秒 50,000 pps 清洗能力並配合本地防火牆規則。
- 性能數據：99.95% 可用性，平均 RTO 30 分鐘，平均 RPO 15 分鐘。
- 下表為該案例核心資源與 DNS 設定示例：

項目	數值/設定
伺服器 IP	203.0.113.10
VPS 規格	4 vCPU / 8GB RAM / 240GB SSD / 500Mbps
域名 A 記錄	www.example.com -> 203.0.113.10
CDN 回源	回源為 203.0.113.10, SSL 終止於 CDN
DDoS 能力	ISP 清洗 50k pps，主機防火牆限制 200 conn/s

来源：安装部署手册 台湾电信cn2宽带 家庭和办公室网络配置要点