《系统集成中的安全实践》
第4章 网络安全基础
4. 网络安全基础：防火墙策略、VLAN隔离、网络分段与DMZ设计
4.1 防火墙策略设计
防火墙是网络安全的第一道防线，其核心在于基于“最小权限”原则制定访问控制策略。策略设计需明确区分入站、出站流量，并遵循“默认拒绝”原则。
策略设计原则
- 默认拒绝： 未明确允许的流量一律禁止。
- 最小权限： 仅开放业务必需的端口和协议。
- 状态检测： 基于连接状态（如ESTABLISHED, RELATED）放行回包流量。
- 策略生命周期： 定期审计并清理过期或冗余规则。
典型防火墙规则表示例
| 序号 | 源地址 | 目的地址 | 目的端口 | 协议 | 动作 | 说明 |
|---|---|---|---|---|---|---|
| 1 | 10.0.1.0/24 | 10.0.2.100 | 443 | TCP | Permit | 内网用户访问Web服务器 |
| 2 | 0.0.0.0/0 | 10.0.3.10 | 80,443 | TCP | Permit | 公网访问DMZ区Web服务器 |
| 3 | 10.0.2.0/24 | 10.0.4.0/24 | 3306 | TCP | Deny | 禁止应用服务器直连数据库 |
| 4 | Any | Any | Any | Any | Deny | 默认拒绝所有流量 |
4.2 VLAN隔离技术
VLAN（虚拟局域网）通过逻辑划分广播域，实现二层隔离。即使物理上连接在同一交换机，不同VLAN的主机也无法直接通信，必须通过三层路由。
VLAN隔离优势
- 广播控制： 限制广播帧传播范围，减少网络拥塞。
- 安全隔离： 不同部门或安全等级的设备分属不同VLAN。
- 灵活管理： 无需更改物理布线即可调整逻辑分组。
VLAN间路由配置示例
# 交换机配置示例（Cisco IOS）
vlan 10
name IT_Dept
vlan 20
name HR_Dept
vlan 30
name Guest
interface GigabitEthernet0/1
switchport mode access
switchport access vlan 10
interface GigabitEthernet0/2
switchport mode access
switchport access vlan 20
interface GigabitEthernet0/24
switchport mode trunk
switchport trunk allowed vlan 10,20,304.3 网络分段策略
网络分段是将大型网络划分为多个小型子网或安全区域，以限制攻击横向移动。分段可基于物理（防火墙、路由器）或逻辑（VLAN、ACL）实现。
分段模型对比
| 分段类型 | 实现方式 | 隔离粒度 | 管理复杂度 | 典型场景 |
|---|---|---|---|---|
| 物理分段 | 独立防火墙、路由器 | 高 | 高 | 核心数据中心 |
| 逻辑分段 | VLAN + ACL | 中 | 中 | 企业办公网 |
| 虚拟化分段 | 微隔离（Micro-segmentation） | 极高 | 高 | 云环境、容器 |
4.4 DMZ（非军事区）设计
DMZ是位于内部网络和外部网络之间的缓冲区域，用于部署对外提供服务的服务器（如Web、Mail、DNS）。即使DMZ服务器被攻破，攻击者也无法直接进入内网。
DMZ设计要点
- 三网卡架构： 防火墙至少需要三个接口（外部、DMZ、内部）。
- 严格策略： 外部仅能访问DMZ的特定服务；DMZ不能主动访问内网；内网可有限访问DMZ。
- 服务隔离： 不同服务（Web、Mail）建议部署在不同DMZ子网中。
DMZ访问控制策略示例
# 防火墙策略（简化）
1. 外部 -> DMZ: 允许 TCP 80,443 (Web服务)
2. 外部 -> DMZ: 允许 TCP 25 (邮件服务)
3. 外部 -> 内部: 拒绝所有
4. DMZ -> 内部: 拒绝所有（防止横向移动）
5. 内部 -> DMZ: 允许 TCP 22 (SSH管理), 3306 (数据库同步)
6. 内部 -> 外部: 允许 HTTP/HTTPS (员工上网)4.5 综合实践建议
- 默认拒绝一切流量，然后逐条开放必要规则。
- VLAN与ACL结合：在VLAN基础上配置访问控制列表，实现精细隔离。
- DMZ独立部署：避免将数据库等敏感服务放置在DMZ区。
- 日志审计：防火墙、交换机开启日志，定期分析异常流量。
- 定期渗透测试：验证分段和隔离策略的有效性。
专注课程资料整理