微分段基础原理：零信任模型、工作机制与流量模型

好，咱们正式开始聊微分段。这一章是地基，地基不牢，后面全白搭。我个人习惯把微分段拆成三个核心问题来理解：为什么需要它？它怎么工作的？它管的是哪些流量？这三个问题搞清楚了，微分段在你脑子里就不再是一个模糊的概念，而是一套清晰的逻辑。

零信任模型：不再相信“内网就是安全的”

先聊聊零信任。这个概念这几年火得不行，但很多人理解得比较浅。说白了，零信任的核心就一句话：默认不相信任何人，不管你在网络里面还是外面。

传统安全模型是什么？像个鸡蛋，外壳硬邦邦，里面软乎乎。防火墙一立，VPN 一拨，进了内网就“安全”了。我在项目中遇到过不止一次，客户觉得“内网没事”，结果横向移动攻击一来，整个数据中心就像被捅了马蜂窝。

你想想看，传统模型里，一台 Web 服务器被攻破，攻击者就能在内网里“逛街”。零信任模型下，就算这台服务器沦陷了，它也只能访问它被允许的那几个 IP 和端口，别的什么都干不了。嗯，这就是微分段要干的事——把零信任落地到网络层面。

微分段的工作机制：把网络切成“细胞”

微分段，名字听着玄乎，其实理解起来不难。传统网络分段，靠 VLAN、子网、防火墙，分得比较粗。比如一个“Web 层”一个段，“DB 层”一个段。微分段呢？它能把粒度做到虚拟机级别、容器级别，甚至进程级别。

我习惯用一个比喻：传统分段像用砖墙隔房间，微分段像在每个工位之间装玻璃隔断——看得见，但过不去。

核心工作机制

1. 策略定义：基于身份（VM 标签、应用名称、用户角色）定义访问规则，而不是基于 IP 地址。
2. 策略分发：通过集中控制器，把策略下发给每个主机上的代理或 vSwitch。
3. 策略执行：在数据路径上，每个包都要匹配策略，匹配通过才放行。
4. 日志与审计：所有被拒绝的流量都会被记录，方便排查和优化。

策略示例

假设我们有三层应用：Web、App、DB。微分段策略可以写成这样：

# 允许 Web 层访问 App 层的 8080 端口
FROM group:web TO group:app PORT 8080 PROTOCOL tcp ACTION allow

# 允许 App 层访问 DB 层的 3306 端口
FROM group:app TO group:db PORT 3306 PROTOCOL tcp ACTION allow

# 默认拒绝所有其他流量
FROM ANY TO ANY ACTION deny

你看，这里用的是 group:web 这样的逻辑分组，而不是写死的 IP。Web 层扩容了，新加的 VM 自动继承这个组的策略，不用改任何规则。这就是微分段比传统 ACL 灵活的地方。

东西向流量与南北向流量

聊微分段，绕不开这两个概念。我刚开始接触的时候也觉得有点绕，后来画了一张图就全明白了。

南北向流量

南北向流量，就是进出数据中心的流量。用户从互联网访问你的 Web 服务，这叫南北向。传统安全设备（防火墙、IPS）主要部署在南北向路径上，管得比较严。

东西向流量

东西向流量，是数据中心内部服务器之间的流量。比如 Web 服务器调用 App 服务器的 API，App 服务器查询 DB。传统网络里，东西向流量往往“裸奔”——没有防火墙检查，没有访问控制。攻击者一旦突破外围防线，就能在内网里横向移动，这就是为什么微分段要重点管东西向流量。

微分段 vs 传统分段

为了让你更直观地理解差异，我整理了一个对比表：

维度	传统分段	微分段
粒度	子网 / VLAN 级别	虚拟机 / 容器 / 进程级别
策略依据	IP 地址、端口	身份标签、应用属性
策略变更	改防火墙规则，影响面大	改策略组，自动生效
动态适应	不支持，IP 变了规则就废	支持，VM 迁移策略自动跟随
可见性	东西向流量基本不可见	全流量可见，可审计

嗯，看到这里你应该明白了。微分段不是要替代防火墙，而是补上防火墙管不到的那块——东西向流量。它让零信任模型从理念变成了可落地的技术方案。

我个人觉得，理解微分段的关键不在于记住那些术语，而在于想清楚一个问题：当攻击者已经进了你的内网，你拿什么拦住他？微分段就是答案。