📚 课程目录第2章网络隔离实战

网络隔离实战：VLAN划分与ACL策略、微隔离技术、防火墙策略配置

网络隔离这事儿，说白了就是“谁跟谁能说话，谁跟谁不能说话”。

我在红蓝对抗里见过太多案例——攻击者打穿一台Web服务器，然后像逛超市一样在内网横向移动。为什么？因为网络没隔开。今天咱们就聊聊怎么用三种手段把路堵死。

一、VLAN划分：物理网络的逻辑手术刀

VLAN不是新技术，但很多人用错了。我见过不少团队，VLAN划了跟没划一样——同一个VLAN里几百台机器，攻击者拿到一台就等于拿到一片。

核心原则：按业务功能和信任等级划分，而不是按物理位置。

VLAN编号	用途	包含设备	信任等级
VLAN 10	Web服务器区	Nginx、Apache	低（暴露面大）
VLAN 20	应用服务器区	Tomcat、Node.js	中
VLAN 30	数据库区	MySQL、Redis	高（核心资产）
VLAN 99	管理区	堡垒机、监控	最高

我的习惯：每个VLAN的网关都放在不同的物理交换机上。这样即使一台交换机被攻破，攻击者也没法直接跳到另一个VLAN的网关。

二、ACL策略：VLAN之间的守门员

VLAN划好了，但默认情况下VLAN之间是互通的。这时候就需要ACL（访问控制列表）来定规矩。

实战配置示例（华为交换机）：

# 创建ACL规则
acl number 3000
 rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 destination-port eq 8080
 rule 10 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.30.0 0.0.0.255
 rule 15 permit ip source 192.168.99.0 0.0.0.255 destination any

# 应用到VLAN接口
interface Vlanif10
 traffic-filter inbound acl 3000

这段规则的意思是：VLAN 10只能访问VLAN 20的8080端口，不能碰数据库区（VLAN 30），但管理区（VLAN 99）可以访问所有地方。

我曾经踩过的坑：ACL规则顺序很重要。交换机是从上往下匹配的，一旦匹配就停止。我曾经把一条deny all写在了permit前面，结果整个业务挂了半小时。记住：先写精确的permit，再写deny all兜底。

三、微隔离技术：零信任架构的落地

传统VLAN+ACL有个问题：边界太粗。同一个VLAN内部，攻击者还是可以横向移动。微隔离就是解决这个问题的——它把隔离粒度从“网段”降到“进程”甚至“容器”。

微隔离的核心逻辑：

默认拒绝：没有明确允许的流量，一律拦截
基于身份：不依赖IP，而是依赖标签（如“Web服务”、“数据库”）
动态策略：容器迁移或扩缩容时，策略自动跟随

你想想看，攻击者即使拿下了Web容器，想横向到数据库容器——对不起，策略没允许，连都连不上。

微隔离 vs 传统VLAN：

VLAN：隔离粒度是“网段”，静态配置，适合物理/虚拟化环境
微隔离：隔离粒度是“工作负载”，动态策略，适合容器/云原生环境

两者不是替代关系，而是互补。我建议：边界用VLAN+ACL，内部用微隔离。

四、防火墙策略配置实战

防火墙是网络隔离的最后一道闸。但配置不当，它就是摆设。

策略配置五步法：

明确源和目的：谁访问谁？用IP还是地址组？
指定服务/端口：只开放业务需要的端口，别开any
设置动作：permit还是deny？默认最后一条deny all
配置日志记录：记录deny的流量，方便溯源
定期审计：清理无效策略，合并重复策略

一个典型的Web三层架构策略示例：

源区域	目的区域	服务/端口	动作	日志
Internet	Web服务器	HTTP(80), HTTPS(443)	permit	开启
Web服务器	应用服务器	HTTP(8080)	permit	开启
应用服务器	数据库	MySQL(3306)	permit	开启
任何区域	任何区域	any	deny	开启

我个人的小技巧：在防火墙策略里，把管理地址单独建一个地址组，然后写一条“仅允许管理地址访问设备管理端口”的规则。这样即使攻击者进了内网，也改不了防火墙配置。

五、三种隔离技术的协同

这三种技术不是选一个就行，而是层层递进：

第一层：VLAN——把网络切成大块，减少广播域和攻击面
第二层：ACL——控制VLAN之间的流量，只开必要通道
第三层：微隔离/防火墙——在VLAN内部和边界做精细化控制

嗯，这里要注意：微隔离和防火墙不是互斥的。防火墙管南北向（进出数据中心），微隔离管东西向（内部服务器之间）。

说实话，很多公司只做了第一层，甚至第一层都没做好。攻击者横向移动的平均时间，从突破到拿到域控，不到两小时。你想想看，如果网络隔离到位，这个时间能拖到多久？

避坑指南：我曾经遇到一个客户，VLAN划了20多个，ACL写了上千条，结果一查——最后一条deny all没写。攻击者只要绕过前面的permit规则，就能畅通无阻。记住：没有deny all的ACL，等于没做隔离。

好了，网络隔离这块，核心就是：划清楚、控住口、默认拒绝。下一层一层叠上去，攻击者的路就越来越窄。