4. 网络安全基础：TCP/IP 安全、防火墙与入侵检测、VPN 与隧道技术、网络隔离与分段、DDoS 防护策略

网络层面的安全，是整个架构的基石。很多人在应用层花了大功夫，结果底层一个漏洞就让所有努力白费。我当年刚接触安全时，也觉得网络协议离业务太远，直到亲眼看到一次基于IP欺骗的横向移动攻击……嗯，从那以后我再也不敢小看这层了。

4.1 TCP/IP 协议栈的安全困境

TCP/IP 协议在设计之初，主要考虑的是连通性，而不是安全性。说白了，它默认所有人都是“好人”。

这里面有几个经典问题：

• IP 欺骗：IP 层本身不做源地址校验，攻击者完全可以伪造源IP。
• SYN Flood：TCP 三次握手的半连接队列资源是有限的，攻击者发送大量 SYN 但不完成握手，直接把队列填满。
• 无认证与无加密：早期协议（如 Telnet、FTP）的认证信息直接明文传输。

为什么这些老问题到现在还没消失？因为替换协议栈是一件极其痛苦的事。IPv6 推广了这么多年，还是有很多遗留网络跑在 IPv4 上。我们能做的，是在 OSI 模型的每一层都加上防护。

4.2 防火墙与入侵检测

防火墙是你网络的第一道门，但很多人把它当成了万能锁。

我个人习惯这样分类——

入侵检测与防御（IDS/IPS）

IDS 是报警，IPS 是直接动手切断。我个人的策略是——在核心业务区部署 IPS，在流量监控区部署 IDS。为什么要分开？因为 IPS 误报可能导致业务中断，这个锅我背不起。

常见的检测方法就两种：

• 签名检测：匹配已知攻击模式。优点是准确，缺点是对变种和 0-day 无能为力。
• 异常检测：基于基线，发现偏离。优点是能发现未知攻击，缺点是误报率极高，需要人工调参。

4.3 VPN 与隧道技术

VPN 的核心价值：在不可信网络上，建立一条可信的加密通道。

目前主流的有两种——

• IPsec VPN：工作在 OSI 第三层，加密所有 IP 数据包。适合站点到站点（Site-to-Site）连接。
• SSL/TLS VPN：工作在 OSI 第四层以上，通常通过浏览器访问。适合远程用户接入。

我个人更倾向于用 IPsec 做分支机构互联，用 SSL VPN 做员工远程办公。原因很简单：IPsec 配置复杂但稳定，SSL VPN 部署快但受浏览器限制。

4.4 网络隔离与分段

如果你把所有资产都放在一个二层平面里，即使有防火墙，也是刀尖上跳舞。隔离的本质，是缩小攻击半径。

常用的分段手段：

• VLAN 分段：二层隔离，不同 VLAN 通信须经过三层路由。
• 防火墙分段：在关键网段之间加防火墙，做精细化策略。
• 物理隔离：通过网闸实现，不同安全等级区域之间无网络连接。

举个例子，我习惯把办公网、生产网、DMZ 区完全隔开。办公终端即使被控，也无法直接访问数据库。攻击者想横向移动？必须跨越防火墙，而防火墙上有严格的 ACL 和 IPS 策略。

微隔离（Micro-Segmentation）

传统分段是针对物理网络或 IP 网段的。但到了云原生时代，Pod 的 IP 是动态的，传统 VLAN 不好使了。微隔离通过主机 Agent 或网络策略导向器（如 Cilium、Tungsten Fabric）来做东西向流量的动态隔离。我在项目中遇到过因为微隔离策略配置不当，导致业务 Pod 之间无法通信的故障。所以建议先“监控模式”跑两周，再“阻断模式”上线。

4.5 DDoS 防护策略

DDoS 攻击的思路很简单：要么榨干你的带宽，要么消耗尽你的计算资源。

防护也不是一套方案通吃，要分层：

1. 边界清洗：委托 ISP 或 CDN 厂商做流量清洗，在攻击流量到达你的入口之前就干掉。
2. 本地防护：在数据中心入口部署抗 DDoS 设备和流量整形策略。
3. 应用层防护：针对 HTTP Flood 等应用层攻击，WAF 和限流策略是最后一道防线。

我曾经参与过一所高校的出口防护项目。攻击目标是一个排名系统，峰值流量接近 80Gbps。如果只靠本地防火墙，肯定打死。最后还是靠运营商在做引流清洗，本地只放行干净的源 IP 列表。