第4章 安装和维护防火墙配置——防火墙策略、网络分段
防火墙这玩意儿，说白了就是门卫。它决定了谁可以进，谁不能进，进了之后能去哪儿。我做PCI DSS评估这些年，防火墙配置出问题的比例相当高——不是说没装防火墙，而是策略写得稀里糊涂，分段也没分明白。
这一章咱们就聊两个核心：防火墙策略怎么写才合规，以及网络分段怎么做才能把CDE真正隔离出来。
4.1 防火墙策略的核心原则
先讲原则。原则不清楚，规则写得再多也是废纸。
我给团队培训时常说一句话：策略不是用来“管理流量”的，是用来“保护数据”的。出发点一旦偏了，后面全歪。
PCI DSS 对防火墙策略的核心要求：
- 1.1 建立并维护防火墙配置标准
- 1.2 限制进出 CDE 的流量
- 1.3 默认拒绝所有流量（Default Deny）
- 1.4 实施网络分段，缩小审计范围
我个人习惯把策略原则拆成四条，好记也好执行：
- 默认拒绝——没写“允许”的，一律拦。别搞“默认放行，个别拒绝”，那是给自己挖坑。
- 最小权限——只开业务必须的端口和协议。数据库端口（比如3306）只对应用服务器开，别搞成通。
- 白名单机制——明确写出允许的源、目标、端口、协议。别用“any to any”这种偷懒写法。
- 规则审计与清理——每半年至少审一次，把僵尸规则、宽松规则清掉。
实战小贴士：我见过一个客户，防火墙规则堆了2300多条。一查，有效在用的不到400条。剩下那些，有的是三年前项目临时开的，项目早结束了规则还在。你想想看，2300条规则，每条都得审——审计师来了，光看规则就要两天。
4.2 网络分段的设计与实施
为什么要做网络分段？直接说答案：把CDE圈起来，让审计范围变小。
如果整个办公网都能访问数据库，那PCI DSS的评估范围就得覆盖整个办公网——几百台PC、打印机、摄像头全得查。分段之后，CDE就变成一个“安全孤岛”，审计只查这个孤岛，工作量降一大半。
典型的PCI DSS分段架构长这样：
- DMZ 区——放面向互联网的服务（Web、邮件、API网关）。这个区域不存持卡人数据。
- CDE 环境——持卡人数据的“家”。数据库、应用服务器、支付网关全在这里。这是核心保护区。
- 非敏感区——办公网络、Wi-Fi、打印机。这些设备不允许直连CDE。
- 管理网络——堡垒机、日志服务器、监控系统。运维人员先登录堡垒机，再跳转进CDE，全程审计。
⚠️ 常见错误：有些团队把管理网络直接放在CDE内部，觉得“管理方便”。
这是典型的分段不彻底——管理流量和数据流量混在一起，一旦堡垒机被攻破，CDE直接暴露。
下面这张图展示了典型的防火墙策略与网络分段架构，我建议你把它当成模板来用：
4.3 实战：防火墙策略配置示例
光讲理论不行，咱们上手看一组规则。下面是一个符合PCI DSS要求的防火墙策略表：
| 规则编号 | 源区域 | 目标区域 | 端口 | 协议 | 动作 | 说明 |
|---|---|---|---|---|---|---|
| R-001 | 互联网 | DMZ | 443 | TCP | 允许 | HTTPS 访问 Web 服务 |
| R-002 | 互联网 | DMZ | 80 | TCP | 允许 | HTTP 重定向到 HTTPS |
| R-003 | 互联网 | CDE | 任何 | 任何 | 拒绝 | 互联网禁止直连 CDE |
| R-004 | DMZ | CDE | 3306 | TCP | 允许 | 应用服务器访问数据库 |
| R-005 | 管理网络 | CDE | 22 | TCP | 允许 | 堡垒机 SSH 管理 |
| R-006 | DMZ | 互联网 | 8080 | TCP | 拒绝 | 禁止 DMZ 主动外连非标准端口 |
| R-007 | 任何 | 任何 | 任何 | 任何 | 拒绝 | 默认拒绝（兜底规则） |
配置要点：
- 允许规则一定要写具体——源、目标、端口、协议写清楚，别用
any/any/any。 - 拒绝规则在最后一条兜底，确保未明确允许的流量全部被拦。
- 每条规则都要加说明字段，写清楚为什么开这条规则。三年后的人回头看才知道当初为什么这么配。
4.4 避坑指南
做了这些年评估，我总结出防火墙配置最常见的四个坑：
- 规则爆炸——规则越堆越多，没人清理。我曾经评估过一家公司，规则超过3000条，其中一半是重复或者冲突的。审计师一看就摇头。
- 分段不彻底——CDE和非敏感区之间还有“暗路”。比如数据库备份走的是办公网交换机，根本没经过防火墙。
- 管理网络裸奔——堡垒机本身没做加固，或者管理账号共用。一旦堡垒机被拿下，整个CDE等于没保护。
- 忽略出站策略——只盯着入站，出站全放行。我记得有个案例，攻击者就是通过出站连接把数据外泄的——检测方案根本没看出站流量。
⚠️ 我曾经踩过的坑：有个项目，防火墙规则配得很严，但CDE和办公网之间有一条“紧急管理链路”，用的时候才开。结果某次故障后这条链路忘了关，敞了三个月，审计时被开了严重不符合项。
从此以后，我要求所有临时规则必须带自动过期时间，比如24小时后自动禁用。
4.5 要点回顾
这一章的核心，其实就是两件事：
- 写策略——默认拒绝 + 最小权限 + 白名单 + 定期审计。
- 做分段——把CDE圈起来，用防火墙隔开非敏感区和管理区。
你如果能把这两件事做到位，PCI DSS 要求1的绝大部分问题就已经解决了。审计师来查，先看规则表，再看拓扑图——这两样东西如果干净，后面基本不会有大问题。