3. 微隔离核心概念与技术原理

微隔离（Microsegmentation）不是某一台设备或某一条命令，而是一套围绕“工作负载”建立细粒度访问控制的方法论。要真正理解它，需要先厘清五个基础概念：工作负载、标签、策略、东西向流量，以及“微分段”与“微隔离”的区别；随后再比较两种主流落地形态——基于主机的微隔离与基于网络的微隔离。

工作负载：策略真正保护的对象

工作负载是微隔离的最小保护单元，指能够独立运行并承载业务的一段计算实体，例如一台虚拟机、一个容器 Pod、一个裸金属进程组，甚至一个 Serverless 函数实例。它与“主机”“IP 地址”并不等价：一台物理机可能运行多个容器，每个容器都是独立工作负载；一个工作负载也可能在迁移后更换 IP。因此微隔离策略的绑定对象应是工作负载身份，而非易变的网络地址。

工作负载通常带有若干属性：名称、所属应用、环境（生产/测试）、角色（Web/应用/数据库）、版本、所在主机、IP、开放端口。这些属性正是后续标签体系的来源。

标签：把策略从 IP 中解耦

标签（Label/Tag）是附加在工作负载上的键值对，用于描述其身份与归属。例如 app=order、tier=db、env=prod。策略不再写“允许 10.0.1.5 访问 10.0.2.7:3306”，而是写“允许 tier=web 访问 tier=db 的 3306 端口”。这样当工作负载扩容、迁移或重建时，只要标签一致，策略自动适配，无需逐条改 IP。

标签设计要遵循“少而稳定”原则：环境、应用、层级三类标签通常足够表达绝大多数访问关系；过多动态标签会让策略难以审计。

策略：允许清单而非拒绝清单

微隔离策略本质是“默认拒绝 + 显式允许”。默认情况下，工作负载之间不允许任何通信；只有被策略明确放行的流量才能通过。策略五元组通常包括：源标签、目的标签、协议、端口、动作（允许/拒绝/记录）。相比传统防火墙按网段放行，微隔离策略粒度可细到“某个应用的某个角色到另一个角色”。

东西向流量：微隔离的主战场

南北向流量指数据中心与外部之间的进出流量，东西向流量指数据中心内部工作负载之间的横向通信。攻击者一旦突破边界，往往在内部横向移动，因此东西向流量是微隔离的核心管控对象。下图展示了标签化策略如何作用于东西向流量：

微分段与微隔离：手段与目标

“微分段”与“微隔离”常被混用，但侧重点不同。微分段（Micro-segmentation）强调把网络划分为极细的逻辑段，是一种分段手段；微隔离强调在分段基础上对工作负载间访问进行策略化隔离，是一种安全目标与能力。可以理解为：微分段是“把大网切成小格”，微隔离是“规定小格之间谁能和谁说话”。工程实践中两者通常一起出现，先分段再定策略。

基于主机与基于网络的微隔离对比

微隔离有两种主流落地形态。基于主机的微隔离在每台工作负载的操作系统内安装代理（Agent），由代理在本机拦截并过滤流量；基于网络的微隔离则依托物理或虚拟网络设备（如分布式防火墙、SDN 控制器、交换机 ACL）在网络路径上执行策略。

实际工程中，两者常组合使用：在关键工作负载上部署主机代理实现进程级精细控制，在网络层用分布式防火墙兜底未装代理的设备，形成纵深防御。理解这些概念与形态差异，是后续设计标签体系与策略模型的基础。