[{"content":"本案針對企業既有防火牆進行汰換評估。使用者反映目前的 Log 與報表難以直接判斷異常流量來源，同時希望提升邊界防護能力，因此以現有流量、完整安全功能開啟後的效能，以及管理可視性作為主要評估依據。\n規劃方向是將既有 ShareTech NU-860H 汰換為 Palo Alto PA-520，從傳統以 IP、Port 為主的控管方式，提升到可辨識應用程式、使用者、裝置與威脅行為的次世代防火牆架構。本頁記錄的是現況分析，是汰換提案。\n專案摘要 # 項目 內容 專案類型 次世代防火牆汰換與資安可視化規劃 既有設備 ShareTech NU-860H 規劃設備 Palo Alto PA-520 流量基線 量測峰值約 672.30 Mbps 核心需求 異常流量判讀、L7 應用識別、威脅防護與直覺化報表 專案階段 現況盤點、效能比較與汰換方案完成，尚待正式導入驗證 現況與使用者回饋 # 既有防火牆可提供基本網路控管，但使用者在查看 Log 時，難以快速確認流量是由哪一個應用程式、裝置或威脅行為產生。發生異常時仍需要逐筆比對 IP 與 Port，增加分析時間與維運負擔。\n本案整理出的兩項主要需求為：\n報表須能直接呈現應用程式、威脅來源與裝置資訊。 完整安全功能開啟後，設備仍須承受目前及未來成長的流量。 流量基線與效能需求 # 現況報告顯示峰值流量約為 672.30 Mbps。設備評估需要比較啟用 IPS、防毒、應用識別與威脅防護後剩餘的 Threat Prevention Throughput，反映實際營運時的安全效能。\n提案資料中的主要比較數據如下：\n評估項目 Palo Alto PA-520 ShareTech NU-860H Firewall Throughput 2.8 Gbps 4.8 Gbps 完整防護效能 1.8 Gbps 600–900 Mbps IPsec VPN 1.5 Gbps 800 Mbps 網路介面 8 × 1G RJ45 6 × 1G RJ45 防火牆能力差異 # 從 L4 控管提升到 L7 識別 # 傳統 L4 防火牆主要依照來源、目的 IP、Port 與通訊協定判斷流量。現代應用經常共用 80、443 等連接埠，單純依靠 Port 難以分辨實際使用的服務。\nPalo Alto App-ID 會進一步辨識流量所屬應用程式，讓管理者可以針對軟體與行為制定政策，而不是只允許或封鎖一個連接埠。\n威脅防護與未知流量分析 # 規劃中的次世代防護包含惡意程式、入侵行為、C2 連線、惡意網站與未知威脅分析。透過全球威脅情資及機器學習輔助判斷，降低只依靠固定特徵碼而無法即時辨識新型攻擊的限制。\n加密流量與單次掃描架構 # 企業大部分網路服務已使用 TLS 加密。評估設備時，需要同時考量 SSL 解密、安全掃描與應用識別開啟後的效能，單純比較未啟用安全功能時的封包轉送數字無法當作實際效能。\n管理與威脅可視化 # 威脅流量地圖 # 圖形化威脅地圖可快速呈現異常連線的來源與目的地，讓管理者無須查看原始 Log，亦可了解事件分布，再進一步調查相關應用、使用者與連線紀錄。\nApp-ID 與裝置識別 # App-ID 用於辨識實際應用程式；裝置識別則協助盤點目前連線的電腦、行動裝置、網通及其他終端。兩者結合後，可以把安全政策從單純的 IP 控管，提升為依照使用者、裝置及應用情境進行管理。\n使用者與報表介面 # 以圖形化報表呈現流量、應用程式與威脅事件。 透過 User-ID 與既有目錄服務整合，將連線行為對應至實際使用者。 支援多國語系管理介面，降低日常維運與交接門檻。 使用內建儲存空間保留日誌，提升事件查詢與追蹤效率。 汰換方案 # 本次方案規劃導入一台 Palo Alto PA-520，取代既有 ShareTech NU-860H，並重新整理 Internet 邊界政策、應用程式識別、威脅防護及日誌報表。\n正式導入階段預計包含：\n備份既有防火牆設定，整理介面、路由、NAT、政策與 VPN。 將既有規則轉換為可辨識應用程式與使用者的 L7 政策。 啟用威脅防護、DNS 安全、SSL 檢測與日誌功能後進行效能驗證。 驗證 Internet、內部服務、VPN 與主要應用程式連線。 建立切換失敗時的回復條件與既有設備還原流程。 預期改善 # 完整安全功能開啟後仍保留相對充足的效能空間。 從 IP 與 Port 紀錄提升到應用程式、使用者及裝置層級的可視性。 透過圖形化介面快速掌握異常流量與威脅來源。 加強未知惡意程式、C2 連線與新型態攻擊的偵測能力。 降低人工逐筆查閱 Log 的時間與判讀難度。 我的職責 # 彙整使用者對 Log 判讀與防護能力的實際需求。 分析既有環境流量報告並建立 672.30 Mbps 峰值基線。 比較 ShareTech NU-860H 與 Palo Alto PA-520 的效能及安全能力。 說明 L4、L7、App-ID、威脅情資與機器學習防護的差異。 規劃防火牆汰換範圍、政策轉換、驗證項目與回復流程。 整理提案簡報，將技術差異轉化為使用者可理解的改善效益。 ","externalUrl":null,"permalink":"/projects/enterprise-next-gen-firewall/","section":"專案","summary":"從流量基線、L4／L7 防護差異到 App-ID、威脅地圖與裝置識別，完成次世代防火牆汰換方案。","title":"企業次世代防火牆汰換與威脅可視化規劃","type":"projects"},{"content":"本案針對餐飲企業既有辦公網路進行改善規劃。原環境沒有部署企業級防火牆與區域網路隔離，使用者透過 Hub 及電信數據機直接連上 Internet，內部設備、營運資料與對外連線都缺乏完整的安全及管理機制。\n規劃核心不是單純增加設備，而是同時解決邊界防護、網路效能、連接埠擴充與資料備份問題，建立可以支援後續人員、設備及服務成長的基礎架構。\n專案摘要 # 項目 內容 專案類型 企業網路安全與集中儲存改善規劃 原始架構 使用者、Hub、電信數據機與 Internet 直接串接 核心設備 次世代防火牆、Aruba Instant On 1930、Synology NAS 改善重點 邊界防護、L7 應用控管、流量穩定、集中儲存與自動備份 擴充方向 VPN、QoS、10G 上行、權限管理與錄影儲存 專案階段 現況盤點、風險分析與新架構規劃完成 現況與問題背景 # 原有網路由電信數據機與 Hub 承擔對外連線及內部資料轉發。這種架構雖然能提供基本連線，但缺少企業網路需要的安全檢查、流量管理及集中監控能力。\n當使用人數、資料量或網路服務增加後，既有設備不只容易成為效能瓶頸，也會讓所有內部終端直接暴露在外部威脅之下。公司檔案則分散在不同使用者電腦，沒有一致的權限、備份及版本復原方式。\n影響營運的三項主要風險 # 缺乏網路邊界防護 # 原環境沒有企業級防火牆，無法有效檢查惡意封包、阻擋入侵或辨識高風險應用。如果遭遇惡意掃描、勒索軟體或帳號遭濫用，威脅可能直接進入內部網路並影響多台設備。\n核心設備效能不足 # 內外部流量集中由家用級電信設備及 Hub 處理。當多人同時下載大型檔案、觀看高畫質影音或執行備份時，可能發生碰撞、重傳、封包遺失及連線不穩，進而影響營運效率。\n資料分散且缺少備份 # 重要文件與專案資料散落在個人電腦，缺少集中儲存及自動備份。若終端硬碟損壞、電腦中毒、檔案誤刪或人員異動，可能造成資料無法復原與交接困難。\n規劃後的網路架構 # 新架構由次世代防火牆負責 Internet 邊界防護，下接 Aruba Instant On 1930 核心交換器，再分別連接辦公室使用者與 Synology NAS。各設備角色清楚分工，避免所有功能集中在電信數據機上。\n資料流量先經過防火牆檢查，再由核心交換器完成內部高速轉發；公司文件、備份與監控錄影則集中存放於 NAS，形成安全、效能與資料保護三個層次。\n次世代防火牆規劃 # 外部威脅防禦 # 防火牆作為企業網路第一道安全防線，檢查來自 Internet 的連線與封包，搭配 IPS、防毒及威脅防護功能，降低駭客入侵及勒索軟體進入內部網路的風險。\nL7 應用程式辨識 # 傳統防火牆主要依照 IP 與 Port 進行判斷，但現代應用可能共用相同連接埠。次世代防火牆可透過深度封包檢測辨識實際應用，針對 P2P、影音串流、翻牆工具或其他高風險流量套用不同政策。\n內容與行為控管 # 依照公司政策限制非工作相關網站及高耗頻寬應用，並可進一步控制應用程式內的特定行為，例如允許使用網頁信箱，但限制上傳附件，降低資料外洩風險。\n安全遠端連線 # 保留 VPN 導入能力，讓員工未來在外出差或遠端工作時，可以透過加密通道安全連回公司資源，不需要直接將內部服務暴露在 Internet。\nAruba 1930 核心交換器規劃 # 取代 Hub 的共享與碰撞環境 # 企業級交換器會為每個連接埠提供獨立的傳輸路徑，避免 Hub 共享頻寬與碰撞網域造成的封包重傳。多台設備同時傳輸時，能維持較穩定的網路效能。\n連接埠與未來擴充 # 24 個 Gigabit 連接埠可支援現有電腦與 NAS，也能保留新增印表機、IP Phone 或員工電腦的空間。4 組 10G 上行介面則為未來骨幹及儲存網路升級預留彈性。\nQoS 服務品質 # 透過 QoS 將視訊會議、營運系統或 NAS 備份等重要流量設定優先順序，避免單一使用者或設備大量占用頻寬，影響其他人的工作連線。\nSynology NAS 集中儲存規劃 # 集中檔案與共享 # 將公司文件與專案資料集中存放，讓不同部門依照權限共同存取，減少檔案散落在個人電腦及版本不一致的問題。\n權限與資料隔離 # 可依部門及職務建立資料夾權限，例如限制財務、管理或敏感資料只有指定人員可以查看及修改，降低不必要的存取風險。\n自動備份與版本復原 # 依排程將使用者電腦及重要資料備份到 NAS，並保留多個歷史版本。當檔案遭誤刪、覆蓋或受到惡意程式影響時，可回復到先前可用版本。\n監控錄影儲存 # NAS 同時可納入監控錄影的集中儲存規劃，依容量、保存天數與攝影機數量評估空間，避免錄影資料與一般文件混放而缺少管理。\n規劃成果 # 完成現有網路、資安風險與資料保存問題的盤點。 將防火牆、核心交換器與 NAS 的角色拆分，建立清楚的設備分工。 規劃 Internet 邊界防護、L7 應用控管與未來 VPN 能力。 改善 Hub 共享頻寬、碰撞及設備擴充不足的問題。 建立集中檔案、權限控管、自動備份與版本復原方向。 保留 10G 骨幹、更多終端與後續服務擴充空間。 我的職責 # 盤點既有 Internet、Hub、使用者及資料儲存方式。 整理外部威脅、核心效能與資料遺失等營運風險。 規劃次世代防火牆的安全政策、內容控管及 VPN 用途。 規劃 Aruba Instant On 1930 的核心交換、QoS 與擴充方式。 規劃 Synology NAS 的檔案共享、權限、備份及版本復原用途。 整理改善架構與設備功能，形成可供後續建置執行的專案方案。 ","externalUrl":null,"permalink":"/projects/restaurant-network-security-storage/","section":"專案","summary":"改善網路邊界防護、流量穩定與資料備份，建立可擴充的企業網路及集中儲存架構。","title":"餐飲企業網路安全與集中儲存改善規劃","type":"projects"},{"content":"這是一個從單點核心走向高可用性的企業網路改造專案。專案包含設備上架、架構盤點、風險控制、失敗回復與第二次正式切換。\n專案摘要 # 項目 內容 建置目標 消除防火牆與核心交換器的單點故障 核心架構 雙 FortiGate HA、雙 FortiSwitch MCLAG、全網備援 主要工作 架構規劃、設備設定、現場切換、故障排除與驗證 關鍵挑戰 設備世代不相容、非預期 DHCP 服務、停機時間控制 背景與需求 # 原有網路由單一核心設備承擔主要流量，若防火牆、交換器或上行鏈路故障，內外網服務都有機會中斷。此次建置的核心目標，是讓防火牆、核心交換與上行線路都具備備援能力，同時保留可回復的切換流程。\n高可用性架構 # 整體架構以兩台 FortiGate 建立 HA，兩台 FortiSwitch 以 MCLAG 組成核心交換層，再透過雙路徑連接伺服器區與各樓層交換器。任一單一設備或線路失效時，流量仍可由另一條路徑承接。\n規劃與建置重點 # FortiGate HA # 確認兩台設備的型號、硬體世代與 FortiOS 版本一致。 規劃 Heartbeat、管理介面與資料介面。 驗證主備切換、設定同步與連線恢復時間。 FortiSwitch MCLAG # 以兩台核心交換器建立 MCLAG Peer。 將伺服器、儲存設備與樓層交換器分散連接至兩台核心。 透過 LACP 與雙上行降低單一線路故障的影響。 切換與回復 # 先完成離線設定與接線表，再進行現場切換。 每一階段都設定驗證點與回復條件。 發現核心服務異常時，優先回到既有架構，避免延長停機。 第一次上架失敗：設備世代不相容 # 第一次上架未成功的真正原因，是客戶環境需要第一代防火牆設備，但現場帶去的是第二代設備。兩者雖然型號系列相近，硬體世代與相容條件不同，因此 HA 無法正常同步。\n這次事件讓後續流程增加了明確的施工前檢核：新增了核對設備型號，以及確認硬體世代、序號、韌體版本與 HA 相容矩陣。更換為正確世代的設備後，設定同步與 HA 建立才恢復正常。\n非預期 DHCP 問題 # 切換測試期間，部分終端取得錯誤網段。追查發現，辦公區有人自行接入家用 Wi-Fi 路由器，裝置上的 DHCP 服務向企業網路發送位址。\n處理方式包括：\n透過交換器 MAC 位址表與連接埠逐層定位來源。 移除未授權路由器並重新取得正確位址。 在存取層導入 DHCP Snooping 與連接埠管理原則，降低問題再次發生的機率。 成果 # 防火牆具備主備切換與設定同步能力。 核心交換器以 MCLAG 提供設備與鏈路備援。 伺服器區及樓層網路不再依賴單一路徑。 建立設備世代、韌體、接線與回復條件的上架檢核表。 將實際失敗經驗轉化為可重複使用的施工流程。 我的職責 # 現況盤點與高可用性架構規劃。 FortiGate HA、FortiSwitch MCLAG 與介面設定。 現場接線、切換、驗證及故障排除。 分析第一次上架失敗原因並調整第二次施工計畫。 整理設定、接線與驗證紀錄，供後續維運使用。 ","externalUrl":null,"permalink":"/projects/core-network-ha/","section":"專案","summary":"雙 FortiGate HA、雙 FortiSwitch MCLAG、全網備援，以及第一次上架失敗原因的完整處理紀錄。","title":"企業核心網路高可用性建置","type":"projects"},{"content":"這個專案從使用者反映 NAS、印表機與 Internet 速度不穩開始。經過現場盤點後，確認問題是多樓層接線、網路迴圈與存取層管理方式共同造成。\n專案摘要 # 項目 內容 場域 四個樓層的辦公網路 主要症狀 NAS、印表機及 Internet 速度慢，連線偶發中斷 核心設備 Aruba Instant On 1930 存取設備 六台 Zyxel GS1200-8 保護機制 STP、BPDU Guard、DHCP Snooping 問題背景 # 原有網路經過多次增設，樓層之間缺乏一致的拓樸與標示。部分線路採用非標準分線方式，同一樓層也存在重複上行，導致二層迴圈、廣播流量增加與設備學習表不穩定。\n規劃後的分層網路架構 # 資訊機箱內的防火牆與 Aruba 1930 作為網路出口及核心交換；六台 Zyxel GS1200-8 分別服務 1F、2F、3F Front、3F Back、4F Front 與 4F Back。各樓層以明確的單一上行回到核心，避免臨時串接形成不受控的路徑。\n檢測結果 # 多樓層 Network Loop # 1F 至 4F 的存取交換器之間存在未文件化的交叉連線。當兩條路徑同時啟用時，網路會形成迴圈，造成廣播封包持續放大，進而拖慢 NAS、印表機與 Internet 連線。\n非標準分線 # 部分網路線曾以拆分線對的方式同時服務兩個端點。這種作法限制速度，也增加接觸不良與查修困難。此次施工將其改回標準八芯端接，並重新整理配線與標示。\n優化設計 # 核心與存取層 # Aruba 1930 負責核心交換與集中管理。 六台 Zyxel GS1200-8 明確對應各樓層與前後區域。 樓層交換器採星狀回接核心，不再互相任意串接。 二層保護 # 將核心交換器 STP Root Priority 設為 4096，固定 Root Bridge。 在終端連接埠啟用 BPDU Guard，阻止未授權交換器造成拓樸變動。 啟用 DHCP Snooping，限制只有可信任的上行埠可傳送 DHCP Server 回應。 文件化 # 建立樓層、交換器、連接埠與終端用途對照。 為上行、AP、PC、NAS 與印表機線路重新標示。 將正常拓樸與查修路徑整理成維運文件。 成果 # 排除跨樓層二層迴圈與不明重複上行。 NAS、印表機與 Internet 連線恢復穩定。 核心與六台 Zyxel GS1200-8 的角色清楚可追蹤。 STP、BPDU Guard 與 DHCP Snooping 降低後續誤接風險。 配線、設備與連接埠資訊完成文件化，縮短後續查修時間。 我的職責 # 現場拓樸、線路與設備盤點。 分析網路迴圈、分線與效能問題。 規劃 Aruba 1930 與六台 Zyxel GS1200-8 的分層架構。 執行 STP、BPDU Guard、DHCP Snooping 與連接埠設定。 完成施工驗證、標示與維運文件。 ","externalUrl":null,"permalink":"/projects/office-network-optimization/","section":"專案","summary":"從四個樓層的 Network Loop 與非標準分線開始，重新規劃核心、存取層及二層網路保護。","title":"多樓層辦公網路核心與存取層優化","type":"projects"},{"content":"這是一個企業邊界防火牆汰換與多據點連線復原專案。將舊 FortiGate 60F 更新為 FortiGate 71G，在短暫停機窗口內重建既有政策、SD-WAN、IPsec VPN、AD/FSSO 與對外服務。\n專案摘要 # 項目 內容 舊設備 FortiGate 60F，FortiOS 7.4.4 新設備 FortiGate 71G，最終 FortiOS 7.6.6 核心服務 Policy、VLAN、LACP、SD-WAN、IPsec VPN、AD/FSSO、VIP 執行方式 離線重建、分段升級、兩次正式切換與回復 背景與挑戰 # 舊設備承擔 Internet、DMZ、內部 VLAN、多條站點對站點 VPN 與身分驗證服務。新舊設備跨越硬體平台與 FortiOS 版本，如果介面名稱、物件、憑證或版本行為不同，可能導致政策與 VPN 看似存在卻無法通訊，因此在轉移過程中以手動設定為主。\n汰換與復原流程 # 離線重建 # 先在 FortiOS 7.4.6 建立可驗證的基礎設定，再依序升級至 7.4.9、7.4.12 與 7.6.6。每個版本階段都檢查設定完整性，避免跨版本一次升級時難以判斷問題來源。\n重建範圍包括：\nLACP、實體介面與 VLAN。 WAN、DMZ、DNS、靜態路由與 VIP。 防火牆政策、位址物件與服務物件。 IPsec VPN、SD-WAN 與健康檢查。 AD、FSSO、憑證與安全服務設定。 第一次切換與回復 # 第一次正式切換後，部分政策、VPN 與 AD/FSSO 驗證未全部符合預期。為控制停機時間，依照事前規劃回復到 FortiGate 60F，讓營運先恢復，再離線比對設定與流量路徑。\n這次切換確認了幾個問題：部分政策與物件的相依關係未完整對應；VPN 資料中的預共享金鑰資訊有誤；舊 FSSO 憑證也無法直接沿用於新環境。\n修正與第二次切換 # 重新建立乾淨的 7.4.6 基線，逐項匯入可驗證設定。 依服務流向核對 Policy、NAT、Route 與 SD-WAN 規則。 重新確認各據點 VPN 參數與正確的預共享金鑰。 更新 FSSO 憑證與連線設定，重新驗證 AD 使用者識別。 分段測試 Internet、跨 VLAN、DMZ、VPN 與身分政策後，再進行第二次切換。 第二次切換完成後，多據點 VPN、內外網、對外服務與 AD/FSSO 均通過驗證，新設備正式接手企業邊界流量。\n成果 # 完成 FortiGate 60F 至 FortiGate 71G 的平台汰換。 FortiOS 由 7.4 系列分段升級至 7.6.6。 復原多據點 IPsec VPN、SD-WAN、VIP 與身分驗證服務。 透過明確的回復條件控制第一次切換失敗的營運影響。 建立可重複使用的切換、驗證與回復清單。 我的職責 # 舊環境設定盤點與新設備基線規劃。 FortiGate 71G 介面、政策、路由、VPN 與 AD/FSSO 建置。 規劃版本升級路徑與每階段驗證項目。 執行兩次現場切換、回復與問題排除。 整理施工紀錄、差異分析與最終維運資料。 ","externalUrl":null,"permalink":"/projects/firewall-refresh/","section":"專案","summary":"FortiGate 60F 汰換為 71G，重建政策、SD-WAN、IPsec VPN 與 AD/FSSO，完成兩次切換與回復。","title":"企業防火牆汰換與多據點 VPN 復原","type":"projects"},{"content":" 關於我 # 我是 Julius Yu，任職於SI公司，擔任過系統工程師與網路工程師，工作內容包含企業網路規劃、資訊安全、伺服器、儲存設備、硬體規劃以及排查IT問題。\n具備網路工程、系統建置及客戶技術支援經驗，參與及主導過網路專案規劃、網路架構優化、防火牆建置維護、交換器建置維護、連線狀況排除、系統配置與硬體整修經驗，網路技術範圍涵蓋雙核心高可用架構、無線網路、儲存設備，能配合業務釐清客戶需求，完成規格配置、現場建置、功能驗證與技術文件交付，並具備跨部門溝通及團隊合作能力。\n面對問題時，會先還原現況、確認影響範圍，再逐步進行排查以及紀錄問題點。\n","externalUrl":null,"permalink":"/about/","section":"企業網路、資安與基礎架構","summary":"關於我 # 我是 Julius Yu，任職於SI公司，擔任過系統工程師與網路工程師，工作內容包含企業網路規劃、資訊安全、伺服器、儲存設備、硬體規劃以及排查IT問題。\n具備網路工程、系統建置及客戶技術支援經驗，參與及主導過網路專案規劃、網路架構優化、防火牆建置維護、交換器建置維護、連線狀況排除、系統配置與硬體整修經驗，網路技術範圍涵蓋雙核心高可用架構、無線網路、儲存設備，能配合業務釐清客戶需求，完成規格配置、現場建置、功能驗證與技術文件交付，並具備跨部門溝通及團隊合作能力。\n面對問題時，會先還原現況、確認影響範圍，再逐步進行排查以及紀錄問題點。\n","title":"About","type":"page"},{"content":"","externalUrl":null,"permalink":"/categories/","section":"Categories","summary":"","title":"Categories","type":"categories"},{"content":"","externalUrl":null,"permalink":"/tags/","section":"Tags","summary":"","title":"Tags","type":"tags"},{"content":"本案是生技企業邁向 IPO 前的第一階段 IT 基礎建設規劃。目標是採購設備以及建立一套符合內稽內控方向、具備資安防護、資料備援與擴充彈性的地雲混合架構。\n規劃範圍同時涵蓋地端網路、Microsoft 365 雲端身分、端點設備管理及 Synology 備份，讓不同系統使用一致的帳號、安全政策與管理方式。\n專案摘要 # 項目 內容 專案類型 IPO 前期網路與系統基礎建設規劃 地端核心 FortiGate、防火牆政策、核心與存取交換器、VLAN 雲端服務 Microsoft 365、Entra ID、MFA、Intune 資料保護 Synology NAS、Active Backup for Business、NAS 間備份 管理方向 統一身分、端點合規、集中管理、零信任存取 專案階段 架構與導入計畫完成，依階段執行建置與驗證 背景與需求 # 企業準備進入 IPO 階段後，IT 環境須要具備可管理、可追蹤與可驗證的控制機制。原本分散的帳號、端點設定、網路設備及備份方式，要重新整理成一致的管理架構。\n這次規劃面對的核心問題包括：\n網路邊界需要更完整的威脅防護與集中管理。 辦公區、伺服器區與重要設備需要透過 VLAN 進行分區隔離。 使用者身分與公司設備需要具備 MFA、合規性及存取控制。 PC、實體伺服器、虛擬機與檔案資料需要可驗證的備份及還原機制。 架構須要能隨人員、辦公空間與資料量成長而擴充。 四項核心目標 # 強化網路邊界安全 # 導入 Fortinet 整合式資安架構，將防火牆、交換器與無線網路納入一致的管理範圍，並使用防毒、網頁過濾、應用程式控管等 UTM 功能降低外部威脅。\n落實資料保護與備援 # 以新購 Synology NAS 搭配既有 NAS，規劃集中備份、自動同步、排程與還原測試，讓備份不只存在，也能確認資料可以實際復原。\n建立雲端身分與存取管理 # 使用 Entra ID 作為主要身分平台，讓 Windows、電子郵件與雲端資源使用同一組公司帳號，並強制使用 MFA，降低帳號遭竊後直接存取企業資源的風險。\n現代化端點管理 # 透過 Intune 納管公司電腦，統一派發 Windows 更新、Defender、防火牆、BitLocker、應用程式及連線設定。即使設備不在公司內網，仍能持續套用合規政策。\n規劃後的地雲混合架構 # 地端網路以 FortiGate 作為 Internet 出口與安全控制核心，下接核心交換器，再分別連接辦公區存取交換器與 Server Farm。辦公區包含使用者電腦與印表機；伺服器區則集中 NAS、伺服器及檔案服務。\n雲端部分以 Microsoft 365、Entra ID 與 Intune 建立身分和設備管理平面。遠端 VPN 可進一步透過 SAML SSO 與 Entra ID 整合，讓員工使用公司帳號與 MFA 安全連回內部資源。\n網路安全與分層設計 # FortiGate 提供 Internet 邊界防護、VPN、UTM 與安全政策。 核心交換器承擔網路匯聚，辦公區由 Edge Switch 提供終端接取。 以 VLAN 區隔 Server Farm、使用者電腦及其他設備，降低不同安全區域互相影響。 防火牆、交換器與 AP 由單一管理介面集中監控，減少多套管理工具造成的維運負擔。 未來擴編或搬遷時，可延伸交換器及 AP，同時沿用既有的網路與資安政策。 Microsoft 365 身分與端點管理 # Entra ID 與 MFA # 員工使用同一組 Microsoft 365 帳號登入 Windows、電子郵件及雲端資源。MFA 作為第二層驗證，避免密碼外洩後帳號立即被冒用。\nIntune 合規性政策 # 規劃的端點控制包含：\n強制 Windows 更新與必要的安全基線。 啟用 Microsoft Defender 與裝置防護設定。 要求 BitLocker 硬碟加密，降低遺失設備造成的資料外洩。 自動派發公司應用程式、Wi-Fi、VPN 與其他設定檔。 讓新進人員的電腦能以標準流程完成註冊與配置。 Synology 備份與還原規劃 # Synology Active Backup for Business 可集中備份公司 PC、實體伺服器與虛擬機，並降低依設備數量額外購買備份授權的成本。\n本案規劃的資料保護方式包括：\n新 NAS 完成硬碟、RAID、容量與保留政策規劃。 重要電腦、伺服器與虛擬機納入集中備份。 新舊 NAS 之間建立自動同步或備份排程。 透過實際還原測試確認備份可用，而非只檢查工作是否成功。 視 NAS 型號與支援條件評估 Entra ID 整合，減少重複帳密管理。 導入與建置階段 # 1. 網路基礎建設 # 上架防火牆、核心交換器與存取交換器。 建立 VLAN、Server Farm 與辦公區隔離。 配置基礎防火牆政策並驗證跨區及對外連線。 2. 儲存與備份 # 上架 Synology NAS 並完成 RAID 設定。 建立備份、NAS 間同步與排程。 執行還原測試並留下驗證紀錄。 3. 雲端身分與 Intune # 建立 Microsoft 365 租用戶與 Entra ID 帳號。 設定 Intune 註冊條件、合規政策與設定檔。 建立 BitLocker、密碼、安全性及應用程式派發規則。 4. 端點導入與交付 # 先將既有三台 PC 加入 Entra ID 並註冊 Intune。 驗證端點政策、內部網路與 NAS 存取。 交付管理員文件、系統權限與後續維運方式。 規劃成果 # 完成 IPO 第一階段 IT 基礎架構藍圖。 將網路安全、雲端身分、端點管理與資料備份整合為同一套導入計畫。 建立可分階段執行的設備上架、政策配置、驗證及交付流程。 將備份還原、MFA、磁碟加密及設備合規納入控制要求。 保留人員、設備、辦公空間及資料量成長時的擴充彈性。 我的職責 # 釐清 IPO 前期的網路、身分、端點與資料保護需求。 規劃 Fortinet 網路安全與 VLAN 分層架構。 規劃 Microsoft 365、Entra ID、MFA 與 Intune 導入方式。 規劃 Synology NAS、Active Backup for Business 與還原驗證流程。 整理設備服務、導入階段、驗證項目與交付內容。 ","externalUrl":null,"permalink":"/projects/biotech-ipo-infrastructure/","section":"專案","summary":"面向 IPO 的第一階段 IT 基礎建設規劃，涵蓋網路分層、零信任身分、端點合規與企業資料備援。","title":"生技企業 IPO 前期地雲混合基礎架構規劃","type":"projects"},{"content":" 專案紀錄 # ","externalUrl":null,"permalink":"/","section":"企業網路、資安與基礎架構","summary":"專案紀錄 # ","title":"企業網路、資安與基礎架構","type":"page"},{"content":" 網路與資安 # TCP/IP、Firewall、Switch、CCNA、Access Point、Policy、VLAN、FortiLink、HA、MCLAG、LACP\n系統與虛擬化 # ProxmoxVE、KVM、Linux與 Windows Server\n儲存與方案 # SAN、NAS、CCTV、NVR、VMS 、ISCSI、RAID、基礎架構規劃\n硬體 # 工作站規劃、組裝檢測\n品牌 # Fortinet、Paloalto、HPE、Lenovo、HPE Aruba、Synology、ShareTech、ASUS、HP、MSI\n","externalUrl":null,"permalink":"/skills/","section":"企業網路、資安與基礎架構","summary":"網路與資安 # TCP/IP、Firewall、Switch、CCNA、Access Point、Policy、VLAN、FortiLink、HA、MCLAG、LACP\n系統與虛擬化 # ProxmoxVE、KVM、Linux與 Windows Server\n","title":"技術","type":"page"},{"content":"","externalUrl":null,"permalink":"/projects/","section":"專案","summary":"","title":"專案","type":"projects"}]