📚 课程目录第3章安全域划分与网络隔离架构

3. 安全域划分与网络隔离架构

安全域划分是纵深防御体系中最基础、也最容易被低估的一环。它的本质是把一张物理网络按照“资产价值、威胁暴露面、访问关系”切成若干逻辑区域，再在区域边界上施加可控的访问策略。没有安全域，防火墙策略就会变成一张巨大的、无法审计的“任意到任意”规则表；有了安全域，策略才能收敛为“域间关系”这一层可管理的抽象。

安全区域的定义方法

安全区域（Security Zone）不是按机房位置或部门名称划分的，而是按“信任等级 + 访问需求”划分。一个可落地的定义方法包含四个要素：区域名称、信任级别、典型资产、允许的跨域关系。常见的企业安全域包括：

互联网区（Untrust）：信任级别最低，直接暴露于公网，仅承载对外发布服务。
DMZ 区：半信任区，放置需要被公网访问但不应接触内网核心数据的系统，如反向代理、邮件网关、对外 API 网关。
办公接入区（Trust-Office）：员工终端所在区域，信任级别中等，可访问业务系统但不可直连服务器管理面。
服务器区（Trust-Server）：核心业务系统，信任级别高，仅接受来自办公区、DMZ 的特定端口访问。
管理区（Management）：堡垒机、跳板机、网管平台，只允许运维终端通过受控通道进入。
数据区（Data）：数据库、存储，只接受服务器区的应用访问，禁止办公终端直连。

信任级别决定了默认策略方向：高信任区可以按需访问低信任区，低信任区访问高信任区必须逐条显式放行。这条“默认拒绝、显式允许”的原则，是安全域策略与普通 ACL 的根本区别。

VLAN 与子网隔离

安全域在二层通常用 VLAN 落地，在三层用独立子网落地。二者配合才能形成真正的隔离：同一 VLAN 内的主机处于同一广播域，二层可直接通信；跨 VLAN 必须经过三层设备，此时才有机会施加 ACL 或防火墙策略。

一个常见的规划示例（示例参数，非实测）：办公区使用 10.10.10.0/24（VLAN 10），服务器区使用 10.10.20.0/24（VLAN 20），DMZ 使用 10.10.30.0/24（VLAN 30），管理区使用 10.10.40.0/24（VLAN 40）。网关均配置在核心交换机或防火墙上，VLAN 间路由默认关闭，仅按策略开启必要方向。

# 以三层交换机为例，创建 VLAN 并配置网关
vlan 10
 name OFFICE
vlan 20
 name SERVER
vlan 30
 name DMZ
vlan 40
 name MGMT

interface Vlanif10
 ip address 10.10.10.1 255.255.255.0
interface Vlanif20
 ip address 10.10.20.1 255.255.255.0
interface Vlanif30
 ip address 10.10.30.1 255.255.255.0
interface Vlanif40
 ip address 10.10.40.1 255.255.255.0

# 办公区访问服务器区仅放行 443，其余拒绝
acl number 3000
 rule 5 permit tcp source 10.10.10.0 0.0.0.255 destination 10.10.20.0 0.0.0.255 destination-port eq 443
 rule 10 deny ip source 10.10.10.0 0.0.0.255 destination 10.10.20.0 0.0.0.255

需要强调的是，VLAN 隔离只解决“能不能通”，不解决“通的时候能看到什么”。同一 VLAN 内如果存在 ARP 欺骗或横向扫描，二层隔离并不能阻止。因此高价值区域还应叠加端口隔离、私有 VLAN 或主机防火墙。

DMZ 设计要点

DMZ 的核心思想是“让公网能访问服务，但服务不能反向进入内网”。典型设计采用“双防火墙”或“防火墙三区”结构：外网防火墙只放行 80/443 到 DMZ 的反向代理，内网防火墙只允许反向代理访问真实业务服务器的特定端口，业务服务器不直接暴露。

DMZ 内部还应进一步细分：Web 前端、应用中间件、对外数据库不应放在同一子网。若必须共存，至少用主机防火墙限制 DMZ 内部横向访问。DMZ 中的主机不应保存核心数据，也不应加入内网域，避免被攻陷后成为跳板。

微隔离技术

传统安全域是“粗粒度”的，一个服务器区内部可能有几十台主机互相可达。微隔离（Micro-segmentation）把策略粒度下沉到单台主机或单个工作负载，按“谁可以访问谁的哪个端口”定义规则，而不是按网段。

微隔离的落地方式主要有三类：基于主机代理的软件防火墙、基于 SDN/Overlay 的分布式策略、以及基于云平台安全组的原生能力。其策略模型通常包含：源工作负载标签、目的工作负载标签、协议端口、动作。例如：

# 微隔离策略示例（标签化表达）
allow: app=order-service -> app=payment-service : tcp/8443
allow: app=payment-service -> db=payment-db : tcp/3306
deny : any -> db=payment-db : any

微隔离的价值在于：即使攻击者拿下一台 Web 服务器，也无法直接扫描并连接数据库，因为主机级策略默认拒绝。它的难点不在技术，而在资产标签的准确性和策略变更的持续维护。

跨域访问控制策略

跨域访问控制应遵循“最小权限 + 路径唯一 + 可审计”三条原则。具体做法是：

路径唯一：任何跨域流量必须经过指定的策略执行点（防火墙、代理、网关），不允许旁路。
端口收敛：只放行业务必需端口，禁止 any-any、禁止 ICMP 全通、禁止管理端口跨域。
身份叠加：对管理区、数据区等高敏感区域，除 IP 策略外再叠加用户身份或证书认证。
日志留存：跨域拒绝和允许都要记录，便于事后审计和策略优化。

判断一条跨域策略是否合理，可以问三个问题：这条流量真的需要跨域吗？能否通过代理或跳板收敛？如果被利用，最坏影响范围有多大？

安全域与访问关系示意

下图用拓扑方式展示典型安全域划分、信任级别与跨域访问路径。实线表示允许的受控访问，虚线表示默认拒绝或需显式放行的方向。

从图中可以看出，跨域访问并不是“打通即可”，而是每一条连线都对应一条明确的策略、一个明确的端口和一个明确的策略执行点。安全域划分的最终产出，不是一张漂亮的拓扑图，而是一份可审计、可变更、可收敛的域间访问矩阵。只有把矩阵维护好，纵深防御才有稳定的基础。