网络安全架构：从分层模型到零信任
聊网络安全架构，我习惯先从网络分层模型说起。为什么呢？因为你不把通信过程拆开，就不知道安全该卡在哪个位置。OSI 七层模型和 TCP/IP 四层模型，就是两把最常用的手术刀。
网络分层模型 — 你是哪一层的人？
OSI 七层：物理、数据链路、网络、传输、会话、表示、应用。TCP/IP 四层：网络接口、互联网、传输、应用。你想想看，现实中的防火墙通常部署在哪？大部分在 3～4 层，但新一代的已经能拆到 7 层。
我在项目中遇到过一件事：客户说防火墙能防 SQL 注入，结果攻击者通过 HTTPS 加密流量进来的，防火墙根本看不懂。为什么？因为它只看了 3、4 层，没有能力解密做 7 层检测。所以后来我建议客户上下一代防火墙。
| 维度 | OSI 模型 | TCP/IP 模型 | 安全关注点 |
|---|---|---|---|
| 物理层 | 比特流传输 | 网络接口（硬件） | 物理隔离、电磁屏蔽 |
| 数据链路层 | 帧封装/MAC | 网络接口（驱动） | MAC 欺骗、ARP 攻击 |
| 网络层 | IP 路由 | 互联网层 | IP 欺骗、路由劫持 |
| 传输层 | TCP/UDP 端口 | 传输层 | 端口扫描、SYN 洪水 |
| 应用层（5-7） | 会话/表示/应用 | 应用层 | SQL 注入、XSS、恶意文件 |
防火墙与入侵防御系统 — 门口的保安和室内的巡警
防火墙，说白了就是按规则放行或拦截。但传统包过滤防火墙只看 IP 和端口，很多攻击藏在应用层。所以后来出现了状态检测防火墙和下一代防火墙（NGFW）。IPS（入侵防御系统）和防火墙最大的区别？IPS 能识别攻击行为并主动阻断，不只是看头部。
我曾经在一个电商平台项目里，只部署了防火墙，以为万事大吉。结果 DDoS 攻击一来，防火墙直接被打瘫。后来加了 IPS 和流量清洗设备，才算顶住。记住：防火墙是准入，IPS 是检测+阻断，两者是互补关系，不是二选一。
- 防火墙：基于规则集（ACL）、状态检测、应用识别
- IPS：基于签名、异常行为、协议分析，零日漏洞也能尝试防御
- 部署位置：防火墙在边界，IPS 常串联在关键链路上
VPN 与远程访问 — 加密隧道没那么简单
远程办公方案里，VPN 是标配。但我要提醒：VPN 只是加密了隧道，不代表安全了。我在某金融项目里见过一个案例：员工用 VPN 连回内网，结果他机器上有蠕虫，直接通过 VPN 隧道蔓延到整个内网。所以 VPN 一定要搭配端点安全检查（比如是否打了补丁、是否有杀毒软件）。
常见的 VPN 技术：IPSec、SSL VPN、WireGuard。我个人习惯推荐 SSL VPN 做远程用户接入，因为它不需要客户端预装复杂配置，Web 页面就能建立隧道。但 IPSec 站点到站点还是得好好用。
| VPN 类型 | 适用场景 | 安全特点 | 注意事项 |
|---|---|---|---|
| IPSec VPN | 站点到站点 | 强加密，支持 IKEv2 | 配置复杂，容易出策略冲突 |
| SSL VPN | 远程用户 | 浏览器即可接入 | 需注意浏览器插件漏洞 |
| WireGuard | 轻量/移动 | 代码少，速度快 | 密钥管理需严谨 |
网络分段与微隔离 — 别让攻击者横向跳舞
网络分段的理念很古老：用 VLAN、防火墙子接口、VRF 把大网络切成小区域。但坦率讲，传统分段对内部流量基本是盲区。微隔离就不一样了。它是在主机/容器/虚拟机层面做细粒度白名单策略，不管流量走哪条路，都得按身份来。
我实施过一个数据中心微隔离项目，用了云平台上的安全组 + 第三方代理。效果明显：以前一次渗透测试能从 Web 一路扫到数据库，现在连同一台虚拟化宿主机上的不同租户都互相看不见。但微隔离的坑也不少——
- 策略太多容易丢包或延迟
- 分布式防火墙的日志很难统一分析
- 需要自动化工具维护策略基线
零信任网络设计 — 不信任、始终验证
零信任的核心原则就是：不再假设内网可信。无论你从哪接入，必须验证身份、设备健康、访问权限。实现路径通常是：身份和访问管理（IAM）+ 微隔离 + 持续监控。
我记得有一家客户问：“我零信任了，还需要防火墙吗？” 我说：“当然要。零信任解决的是访问控制粒度问题，防火墙解决的是边界对抗问题。两个不冲突。” 零信任更像是安全架构的顶层设计，把网络分层、防火墙、IPS、VPN、分段、微隔离这些点串成一条线，用“最小权限”和“持续信任”来驱动。
下面这张图，把零信任和本章各模块串在一起——
最后总结一句：网络安全架构没有银弹。分层模型给你“在哪做”的坐标系，防火墙/IPS 守住第一道线，VPN 解决远程接入，分段和微隔离管住内部，零信任把你所有策略拧成一股绳。我自己的经验是，先从网络分段和边界防火墙开始，然后逐步加微隔离和零信任控制点，每一步都要配合监控和自动化，否则安全变成运维的噩梦。就这样，剩下的靠你们自己去踩坑了。