1. 课程导入与体系概览

在企业网络中，安全边界早已不再只是出口防火墙那一道防线。随着园区、分支机构、数据中心与远程办公的融合，东西向流量、物联网终端、访客设备与BYOD大量涌入同一张物理网络，传统"扁平化VLAN+ACL"的做法越来越难以支撑合规与威胁隔离要求。本课程围绕Cisco Catalyst平台，系统讲解如何用网络分段（Segmentation）与访问控制（Access Control）构建一套可落地、可运维、可审计的体系。本章作为导入，先建立整体认知框架，明确"为什么做、用什么做、按什么顺序做"。

一、核心目标：从"能通"到"该通才通"

网络分段与访问控制的核心目标可以概括为三点：缩小攻击面、约束横向移动、满足合规与可视化。传统园区网以VLAN划分广播域，但VLAN本身不是安全边界——只要三层可达，ACL配置疏漏就可能让一台被感染的终端访问到财务服务器。分段的目标是把网络切成若干"信任域"（Trust Zone），例如：员工办公区、服务器区、IoT设备区、访客区、管理区。每个域有明确的信任等级和访问策略，域间流量必须经过策略执行点（PEP）检查。

访问控制则回答"谁在什么条件下可以访问什么资源"。它不只是ACL的源/目的IP+端口，而是结合身份（802.1X、MAB）、设备类型（Profiling）、时间、位置、安全态势（Posture）等上下文的动态决策。Cisco将其归纳为基于身份的网络（Identity-Based Networking）与基于组的策略（Group-Based Policy）：用户或设备先被识别并归入某个安全组（SGT），策略以"组到组"的方式表达，而不是逐台设备写IP规则。这样策略数量从O(N²)降到O(组数²)，可维护性大幅提升。

二、Catalyst平台能力矩阵

Cisco Catalyst系列覆盖接入、汇聚、核心与无线控制器，不同型号对分段与访问控制的支持能力不同。设计前必须明确"哪一层执行什么策略"。下表给出典型能力对照（示例性归纳，具体以对应平台版本Release Notes为准）：

从矩阵可以看出：Catalyst 9000是策略执行的主力，负责在接入端口和上行链路执行SGACL；9800 WLC把无线用户纳入同一套SGT体系；Catalyst Center提供集中编排与可视化。三者配合，才能形成"身份识别—组标签分配—策略执行—流量审计"的闭环。

三、整体设计框架

本课程采用"四层递进"的设计框架，从底层到上层依次是：

1. 物理与逻辑分段层：用VLAN、VRF、SVI、路由泄漏控制划分基础隔离域，确定哪些流量必须经过三层设备。
2. 身份与标签层：通过802.1X、MAB、Profiling识别终端，由ISE分配SGT，实现"身份到组"的映射。
3. 策略执行层：在Catalyst交换机上部署SGACL、ACL、CoPP、Private VLAN等，执行组间访问矩阵。
4. 管理与可视化层：用Catalyst Center、ISE、Stealthwatch/NDFC等实现策略编排、流量分析与合规审计。

这四层不是简单堆叠，而是存在依赖关系：没有准确的身份识别，SGT就是空标签；没有清晰的VRF/VLAN规划，SGACL的源/目的组就难以定义；没有可视化，策略是否生效、是否有遗漏就无法验证。因此后续章节会按"先规划、再识别、后执行、终验证"的顺序展开。

四、学习路径与关键交付物

本课程共30章，按能力递进分为六个阶段。第一阶段（第1–5章）建立分段与访问控制的概念模型，完成VLAN/VRF/SGT的规划方法；第二阶段（第6–12章）深入802.1X、MAB、Profiling与ISE集成，解决"身份从哪来"；第三阶段（第13–19章）讲解SGACL、TrustSec、SXP与策略矩阵设计，解决"策略怎么执行"；第四阶段（第20–24章）覆盖无线9800 WLC、SD-Access与Catalyst Center编排；第五阶段（第25–28章）聚焦自动化、API与合规审计；第六阶段（第29–30章）通过综合案例与排障复盘收束。

每个阶段都对应可交付的工程成果。例如，第一阶段结束时，你应能输出一份分段规划表，字段包括：信任域名称、对应VLAN/VRF、SGT值、典型终端类型、允许访问的目标组、执行设备与接口。这份表是后续所有配置的输入，也是验证策略是否完整的依据。示例片段如下：

信任域         VLAN   VRF      SGT   典型终端        允许访问
员工办公区     10     CORP     10    PC/笔记本       服务器区(20)、互联网
服务器区       20     CORP     20    Linux/Win Server 数据库区(30)
IoT设备区      30     IOT      30    摄像头/传感器    仅NTP/DNS/管理平台
访客区         40     GUEST    40    访客手机/平板    仅互联网
管理区         99     MGMT     99    交换机/控制器    全网设备(受限)

注意：SGT值、VLAN ID和VRF名称均为示例，实际项目中需根据企业地址规划与ISE部署统一分配。表中"允许访问"列最终会转化为SGACL或策略矩阵中的"源组→目的组"条目，而不是逐条IP ACL。

五、常见误区与设计原则

在导入阶段先明确几个高频误区，可以避免后续走弯路。第一，把VLAN当安全边界：VLAN只隔离广播域，三层互通后仍需ACL或SGACL约束。第二，策略写在出口防火墙就够：园区内部东西向流量往往不经过防火墙，必须在接入/汇聚层就近执行。第三，SGT只配交换机不配ISE：没有ISE的动态授权，SGT只能静态绑定端口，失去身份跟随能力。第四，忽略无线与有线的一致性：同一用户从有线切到无线，SGT和策略应保持一致，否则会出现"换个接口就绕过策略"。

对应的设计原则是：先分类、后策略；先身份、后标签；先执行点、后编排；先验证、后推广。分类指信任域划分，身份指802.1X/Profiling，执行点指Catalyst交换机的TCAM与接口，验证指用Catalyst Center或抓包确认策略命中。这四步顺序不能颠倒，否则会出现策略写了但没生效、或者生效了但误阻断关键业务的情况。