3、网络安全基础：TCP/IP协议栈安全风险，防火墙与访问控制列表（ACL）配置，VLAN隔离与网络分段策略
各位好，我是老张。在设备安全运维这个行当里摸爬滚打了十几年，今天咱们聊聊网络安全的根基——TCP/IP协议栈、防火墙ACL，还有VLAN隔离。说实话，很多刚入行的朋友觉得这些是“网络工程师”的活，跟设备运维没关系。大错特错。
你想想看，设备要联网吧？联网就得走协议。协议有漏洞，设备就危险。防火墙规则配错了，设备就像没锁门的仓库。VLAN没划好，整个网络就是一个大广播域，抓个包就能把隔壁工位的流量看得一清二楚。所以，这三块内容，是设备安全运维的必修课。
3.1 TCP/IP协议栈的安全风险
TCP/IP协议栈在设计之初，主要考虑的是互联互通，安全性是后来补的。这就导致了很多“先天性疾病”。我个人习惯把风险分成三层来讲：网络层、传输层、应用层。
3.1.1 网络层风险：IP欺骗与ICMP攻击
IP欺骗（IP Spoofing）是最基础的攻击手段。攻击者伪造源IP地址，发送数据包。如果防火墙没做源地址校验，设备就会信任这个假IP。我在项目中遇到过一起事件：内网一台服务器被植入挖矿程序，溯源发现攻击者伪造了内网管理段的IP，绕过了ACL。
- IP欺骗防御：在边界路由器或防火墙上启用uRPF（单播反向路径转发）检查。
- ICMP攻击：Ping of Death、Smurf攻击。说白了就是利用ICMP协议的特性，让目标设备忙于处理大量回应包，耗尽CPU。
- 避坑指南：我曾经见过有人把ICMP全部封掉，结果网络MTU探测失败，导致大包传输卡死。正确做法是限制ICMP速率，而不是一刀切。
3.1.2 传输层风险：SYN Flood与端口扫描
传输层的TCP三次握手是攻击重灾区。SYN Flood攻击就是利用三次握手的漏洞——客户端只发SYN，不回复ACK，让服务器一直保留半连接，直到资源耗尽。
核心要点：SYN Flood防御三板斧——SYN Cookie、缩短SYN超时时间、增大半连接队列长度。但要注意，调参需要根据业务流量来，调太狠会影响正常用户。
端口扫描则是攻击者的“踩点”行为。通过扫描开放的端口，判断设备上跑了哪些服务。我记得有一次做渗透测试，发现一台打印机开放了9100端口（Raw打印协议），攻击者直接利用这个端口向内网发起了横向移动。
3.1.3 应用层风险：协议隧道与中间人攻击
应用层协议最复杂，风险也最多。DNS隧道、HTTP隧道，攻击者能把恶意流量伪装成正常应用流量。中间人攻击（MITM）更是经典——攻击者拦截通信双方的数据，窃听甚至篡改。
我的建议：对于设备运维，应用层安全的核心是“最小化原则”。设备上只开必要的端口，只跑必要的服务。那些默认开启的Telnet、FTP、SNMP v1/v2，能关就关，能升级就升级。
3.2 防火墙与访问控制列表（ACL）配置
防火墙和ACL是网络安全的“守门员”。但很多运维人员配ACL时，要么配得太松（等于没配），要么配得太死（业务全断）。这里我分享一些实战经验。
3.2.1 防火墙的基本类型与选型
| 类型 | 工作原理 | 适用场景 |
|---|---|---|
| 包过滤防火墙 | 检查IP头、端口、协议类型 | 小型网络、边界简单过滤 |
| 状态检测防火墙 | 维护连接状态表，动态放行回包 | 企业网络主流选择 |
| 应用层防火墙（WAF） | 深度解析HTTP/HTTPS载荷 | Web服务器防护 |
我个人习惯在企业内网核心区域使用状态检测防火墙，因为它能识别连接状态，防止“伪装的回包”进入内网。
3.2.2 ACL配置实战：从松到紧
ACL配置有个基本原则：显式拒绝，隐式允许。但很多设备默认是“隐式拒绝”，所以最后一条一定要加上deny ip any any。
下面是一个标准的ACL配置示例，用于限制只有管理段（192.168.1.0/24）能SSH登录核心设备：
!
access-list 100 permit tcp 192.168.1.0 0.0.0.255 host 10.0.0.1 eq 22
access-list 100 deny tcp any host 10.0.0.1 eq 22
access-list 100 permit ip any any
!
line vty 0 4
access-class 100 in
!注意：ACL的匹配顺序是自上而下的。一旦匹配到某条规则，就不再往下检查。所以要把最严格的规则放在前面。我曾经见过有人把permit ip any any写在第一条，结果后面的规则全部失效——这就是典型的“配了等于没配”。
3.2.3 防火墙策略优化：最小权限原则
防火墙策略不是越多越好。策略多了，管理复杂，性能下降，还容易出错。我建议每半年做一次策略审计，清理掉那些“僵尸规则”。
- 源地址：尽量精确到IP段，不要用any。
- 目的地址：明确到具体服务器IP。
- 端口：只开放业务需要的端口，比如只开443，不要同时开80和443。
- 时间：非工作时间可以限制访问。
3.3 VLAN隔离与网络分段策略
VLAN（虚拟局域网）的核心作用是把一个大的广播域，切割成多个小的广播域。说白了，就是让“不该互相通信的设备”隔离开。网络分段则是更宏观的概念，通过VLAN、子网、防火墙等手段，把网络划分成安全等级不同的区域。
3.3.1 VLAN隔离：为什么是必须的？
没有VLAN隔离的网络，就像一个大开间办公室——所有人的谈话（广播包）你都能听到。攻击者只要接入一个端口，就能通过ARP欺骗、DHCP饿死等手段，影响整个网络。
我在项目中遇到过一起典型的ARP欺骗攻击：攻击者接入办公网，伪造网关MAC地址，导致整个部门断网。原因就是办公网和服务器区在同一个VLAN里，没有任何隔离。
VLAN隔离的核心原则：不同安全等级的设备，放在不同VLAN。比如：管理VLAN、业务VLAN、办公VLAN、DMZ VLAN。VLAN之间通过三层交换机或防火墙进行路由控制。
3.3.2 网络分段策略：纵深防御
网络分段不是简单地划几个VLAN就完事了。我习惯用“纵深防御”的思路来设计分段：
- 边界分段：互联网出口部署防火墙，划分DMZ区（对外服务）和内网区。
- 核心分段：内网再细分为服务器区、管理区、办公区、生产区。
- 终端分段：同一区域内的不同业务，通过PVLAN（私有VLAN）进一步隔离。
下面这张图展示了典型的企业网络分段架构：
3.3.3 VLAN间路由与ACL联动
VLAN划分好了，还得控制VLAN之间的流量。这就用到了VLAN间路由（SVI）和ACL。举个例子，管理区（VLAN 20）可以访问服务器区（VLAN 10）的22端口，但办公区（VLAN 30）不能访问服务器区。
!
interface Vlan10
description Server_Network
ip address 10.0.10.1 255.255.255.0
!
interface Vlan20
description Management_Network
ip address 10.0.20.1 255.255.255.0
!
interface Vlan30
description Office_Network
ip address 10.0.30.1 255.255.255.0
!
access-list 110 permit tcp 10.0.20.0 0.0.0.255 10.0.10.0 0.0.0.255 eq 22
access-list 110 deny ip any 10.0.10.0 0.0.0.255
access-list 110 permit ip any any
!
interface Vlan10
ip access-group 110 in
!避坑指南：我曾经在配置VLAN间ACL时，忘记在SVI接口下应用ACL，结果规则写了一大堆，全都没生效。记住：ACL必须应用到接口上，而且要注意方向——inbound还是outbound。
3.4 本章小结
TCP/IP协议栈的风险是客观存在的，我们无法改变协议，但可以通过防火墙、ACL、VLAN隔离来构建防御体系。说白了，安全运维就是“层层设防”——让攻击者即使突破了第一道防线，也还有第二道、第三道等着他。