網絡拓撲與網絡文件模板：拓撲圖、IP 地址表、VLAN 清單和設備清單

簡短回答： 網絡測繪（network mapping）就是摸清網絡上到底有甚麼，並把結果記成幾份持續更新的文件：拓撲圖、IP 地址表、VLAN 清單、設備清單，以及憑據存放位置的說明。先掃描並實地走一遍線路，畫一張邏輯圖和一張物理圖，然後按固定週期覆核。文件裡永遠不要寫真實密碼。

本文寫給要為中小企業辦公室網絡建立文件的 IT 負責人和工程師，也適合接手了一個沒有任何記錄的網絡的人。讀完後，你會得到每份文件的模板、填寫方法和覆核節奏。

網絡測繪包括甚麼

網絡測繪是兩件事。發現：弄清楚實際有甚麼。文件化：把結果記成別人能用的形式。看不懂或已經過期的網絡圖比沒有更糟，因為人們會信它。

要區分兩種視圖：

1. 物理拓撲： 設備在哪裡、線怎麼接。維基百科把物理拓撲描述為網絡組件的佈置，包括設備位置和線纜敷設（2026 年 10 月 28 日核對）。
2. 邏輯拓撲： 不管線怎麼接，流量如何走：VLAN、子網、路由和防火牆區域。同一來源指出兩者可以不同，例如物理上是星形，邏輯上卻像匯流排。

兩種都需要。找端口時看物理視圖，查兩個系統為何不通時看邏輯視圖。

需要的五份文件

1. 拓撲圖（邏輯圖和物理圖）
2. IP 地址表
3. VLAN 和子網清單
4. 設備清單
5. 憑據與訪問規則（寫規則，不寫密碼本身）

如果有，再加第六份：線路與供應商清單，記錄互聯網線路的帳號編號和支援聯絡方式。

第一步：摸清網絡上有甚麼

1. 從邊界開始。 登入防火牆和路由器，記下 WAN 線路、公網 IP、NAT 規則和 VPN 隧道。
2. 走核心。 在每部可管理交換機上記錄型號、固件版本、管理 IP、上聯和端口使用情況。多數交換機能匯出 MAC 地址表和鄰居發現資訊（LLDP 或廠商的對應協議），從中看出甚麼插在哪裡。
3. 查看 DHCP 服務器。 租約列表顯示在線客戶端和使用中的地址池。
4. 掃描各子網。 在每個 VLAN 內的一部電腦上做 ping 掃描或使用掃描工具。Windows 的 ARP 快取可以快速列出鄰居，但它只顯示這部電腦最近通訊過的主機，所以要先做 ping 掃描，不要把它當成完整掃描：

arp -a
Get-NetNeighbor -AddressFamily IPv4 | Sort-Object IPAddress

1. 查看無線控制器或 AP 列表： 名稱、位置、SSID，以及每個 SSID 所屬的 VLAN。
2. 實地走一遍。 把工具顯示的結果與機房、弱電箱和辦公區裡看到的對照，每個機櫃都拍照。
3. 標出未知設備。 網絡上沒人說得清的東西，列入待查清單。弄清用途之前不要拔掉。

掃描只能發現會回應的設備。休眠的打印機、屏蔽 ping 的設備和另一張網絡上的設備都掃不到，所以實地走查不能省。

第二步：畫圖

邏輯圖。 每個子網或 VLAN 一個方框，標出各自的閘道、防火牆區域、它們之間的路由，以及互聯網和 VPN 鏈路。方框上寫 VLAN ID 和子網。控制在一頁內。

物理圖。 畫出每個據點、每個機櫃，機櫃裡的交換機，以及交換機之間和到防火牆的上聯。鏈路兩端標端口號和線纜類型（銅線或光纖）。

作圖要點：

1. 統一用一個工具和一套圖形，保留源文件，不要只留匯出的圖片。
2. 只畫讀者需要的內容，細節放進表格。
3. 每張圖都標題目、日期和作者。
4. 圖上、表裡、設備標籤上和監控裡使用同樣的名稱。

第三步：模板

以列表或表格欄位的形式套用，填入你自己的值。示例值只是佔位。

IP 地址表

每個地址或地址段一行：

1. 子網： 10.10.20.0/24
2. VLAN ID 和名稱： 20，Staff
3. 閘道： 10.10.20.1
4. DHCP 範圍： 10.10.20.100 至 10.10.20.250
5. 靜態範圍： 10.10.20.2 至 10.10.20.99
6. DNS 服務器： 派發給客戶端的地址
7. 用途與負責人： 誰決定放甚麼
8. 備註： 預留地址、例外

靜態設備再按設備一行：IP、主機名稱、MAC 地址、設備類型、位置、負責人、最後確認日期。

VLAN 清單

1. VLAN ID 和名稱
2. 用途： 員工、訪客 Wi-Fi、服務器、語音、打印機、攝影機、管理
3. 子網和閘道
4. 存在範圍： 哪些交換機和 Trunk 端口承載它
5. 防火牆規則： 它能訪問甚麼，甚麼能訪問它
6. 對應的 Wi-Fi SSID（如有）

設備清單

每部設備一行：

1. 主機名稱和資產標籤
2. 類型和角色： 防火牆、核心交換機、接入交換機、AP、服務器、NAS、打印機、UPS
3. 品牌、型號和序號
4. 位置： 據點、房間、機櫃和 U 位
5. 管理 IP
6. 固件或軟件版本 及檢查日期
7. 保養或支援到期日 及合約編號
8. 供電來源： 哪部 UPS 或哪路電
9. 負責人或支援聯絡人
10. 配置備份： 存放位置和最近備份日期

端口與線纜記錄

每個配線架或交換機記錄端口號、所連設備、VLAN 和線纜標籤。工作位搬遷時這是最常被用到的文件。

線路與供應商清單

1. 供應商、服務類型和頻寬
2. 線路編號和帳號
3. 公網 IP
4. 支援電話和升級聯絡人
5. 合約到期日

憑據：寫甚麼，不寫甚麼

真實密碼、密鑰、恢復碼，永遠不要放進圖、表格或 wiki 頁面。

1. 記錄憑據放在哪裡， 例如密碼庫的名稱和文件夾，而不是密碼本身。
2. 記錄誰可以訪問， 以及誰批准訪問。
3. 記錄每部設備的帳號類型： 具名管理員帳號、緊急（break-glass）帳號或廠商帳號。
4. 記錄輪換： 密碼最後一次修改的時間和下次到期時間。
5. 密碼庫要有訪問控制和審計， 啟用 MFA，並確保至少兩個人能訪問。
6. 文件本身也是敏感資訊。 完整的網絡圖對攻擊者有幫助，要限制誰能閱讀。

保持更新

1. 隨變更更新。 把更新文件寫進變更流程：圖和表沒更新，變更就不能關閉。
2. 按週期覆核。 每月用監控所見核對設備清單，每季度做一次完整覆核，是合理的起點。
3. 用工具輸出對照文件。 掃描發現了表裡沒有的地址，就是一項要跟進的發現。
4. 文件加版本， 並在第一頁寫明最近覆核日期。
5. 每份文件指定負責人。

如果網絡有監控，監控工具裡的設備列表是很好的對照。運維團隊看甚麼，可參考網絡運營中心和該監控哪些指標。如果網絡從未做過文件，想要一份獨立的基線，請看我們的 IT 評估與審計服務。

常見錯誤

1. 一張巨大的圖。 拆成邏輯頁、物理頁和各據點頁。
2. 文件只在某個人的腦子或手提電腦裡。 放到共享且有備份的位置。
3. 表格裡寫密碼。 改為寫指向密碼庫的說明。
4. 不寫版本和日期， 沒人知道圖有多舊。
5. 只信掃描。 掃描會漏掉休眠或隱藏的設備，要實地走查。
6. 各處名稱不一致。 定一個命名規範並處處使用。
7. 沒人負責更新。 把它放進變更流程。

如何確認文件可用

1. 新來的工程師僅憑文件就能找到某位用戶的端口、VLAN 和交換機。
2. 新掃描出的每部設備都在 IP 表裡，或在帶日期的未知設備清單裡。
3. 設備清單裡的每部設備要麼能連通，要麼標為已退役。
4. 圖與防火牆的接口列表、交換機 Trunk 配置一致。
5. 作者以外的人照著文件完成一項測試任務，沒有發現缺口。

常見問題

甚麼是網絡測繪？

網絡測繪是發現網絡上的設備、連接和地址段，並以圖和表記錄下來，讓你看清網絡是怎樣搭建的，並能排查故障。

網絡測繪用甚麼工具？

通常是組合：防火牆、交換機和 DHCP 記錄，子網掃描器，監控系統的自動發現，再加一個畫圖工具。選團隊會長期使用的工具，並用實地走查核對輸出。

怎樣查看我的網絡圖？

先看監控或網管工具能否根據發現數據生成。沒有的話，用交換機鄰居表、ARP 快取和 DHCP 租約列表整理，再用畫圖工具畫出來。

Windows 上哪個網絡測繪工具最好？

取決於規模，以及是否還需要監控。看它能否通過 SNMP 和 LLDP 發現設備（不能只靠 ping）、能否匯出 CSV 等開放格式，以及能否定時重新掃描並顯示變化。文件要比工具活得久。這裡不做產品排名。

下一步

如果希望在日常 IT 運維中由我們建立並持續更新這些文件，請看我們的管理型IT外判服務。

2026 年 10 月 28 日核對的來源：維基百科「Network topology」條目（en.wikipedia.org/wiki/Network_topology）。