2. H3C园区安全架构总体设计
园区网络安全架构设计的第一步，不是选设备、配ACL，而是先把“安全边界画在哪里、信任等级怎么分、流量该走哪条路径”这三件事定下来。H3C园区安全架构总体设计通常采用分层分区模型作为顶层框架：纵向按功能层次划分，横向按安全域切分，再在域间和域内分别定义边界策略与内网策略，形成一张可落地、可扩展、可审计的安全地图。
一、分层分区模型：纵向分层，横向分区
分层解决的是“不同功能区域承担不同安全职责”的问题。典型H3C园区可划分为五层：
- 接入层：终端接入点，包括办公PC、IP电话、打印机、摄像头、无线AP等。安全重点是端口隔离、802.1X认证、DHCP Snooping、ARP Detection。
- 汇聚层：接入交换机的汇聚点，通常也是VLAN终结和策略执行点。安全重点是ACL、QoS标记、跨VLAN访问控制。
- 核心层：高速转发骨干，不承担复杂策略，强调高可用和快速收敛。安全重点是路由协议认证、uRPF、控制平面保护。
- 边界层：园区与外部网络（互联网、专线、合作伙伴）的交界处，由防火墙、IPS、WAF、出口路由器组成。安全重点是NAT、入侵防御、应用识别、DDoS防护。
- 管理区：网管平台、日志服务器、堡垒机、准入控制器所在区域。安全重点是带外管理、最小权限、操作审计。
分区则是在每一层内部按业务属性、信任等级和访问关系切分出独立的安全域。分层与分区交叉后，每个安全域都有明确的“位置”和“职责”，策略才能有的放矢。
二、安全域划分：按信任等级与访问关系切分
安全域划分的核心依据是信任等级和业务访问关系。同一安全域内的设备具有相似的信任级别、相似的安全需求，域内互访相对宽松，域间互访必须经过策略控制。H3C园区常见的安全域包括：
- 办公域：员工PC、IP电话、打印机。信任等级中等，允许访问服务器域和互联网，禁止直接访问管理域。
- 服务器域：内部业务服务器、数据库。信任等级高，仅允许办公域和DMZ域按需访问，禁止主动外联互联网。
- DMZ域：对外提供服务的Web、邮件、DNS服务器。信任等级低，可被互联网访问，但访问服务器域必须经过严格策略。
- 访客域：外来人员终端。信任等级最低，仅允许访问互联网，与内网完全隔离。
- 管理域：网管、日志、堡垒机。信任等级最高，仅允许运维终端通过堡垒机跳转访问。
- 隔离域：摄像头、门禁、工控设备等IoT终端。信任等级特殊，仅允许与指定服务器通信，禁止横向访问。
划分时要注意：安全域不是VLAN的简单复制。一个VLAN可以属于一个安全域，但一个安全域也可以跨多个VLAN。关键是策略执行点要统一——通常放在汇聚层交换机或防火墙上，确保域间流量必须经过策略设备。
三、边界安全策略框架
边界策略解决“园区与外部之间怎么放行”的问题。H3C园区边界通常采用“防火墙+IPS+WAF”三层防护，策略框架按方向组织：
| 方向 | 源区域 | 目的区域 | 策略要点 |
|---|---|---|---|
| 入站 | 互联网 | DMZ | 仅放行80/443/25等业务端口，WAF过滤应用层攻击，IPS检测已知威胁 |
| 入站 | 互联网 | 内网 | 默认拒绝，仅允许VPN用户经认证后访问指定资源 |
| 出站 | 办公域 | 互联网 | 允许HTTP/HTTPS/DNS，限制P2P和代理，记录日志 |
| 出站 | 服务器域 | 互联网 | 默认拒绝，仅允许补丁更新和指定API回调 |
| 跨域 | DMZ | 服务器域 | 仅允许特定源IP访问特定数据库端口，禁止反向访问 |
边界策略的默认动作必须是拒绝，放行规则要精确到源IP、目的IP、端口和协议。建议在防火墙上按“区域对”组织策略，例如“Untrust→DMZ”“Trust→Untrust”“DMZ→Trust”，每条策略附带日志和计数，便于审计和排障。
四、内网安全策略框架
内网策略解决“域内和域间怎么控”的问题。很多园区把安全重心放在边界，内网却“裸奔”，一旦边界被突破或内部人员违规，横向移动几乎不受阻。H3C园区内网策略框架通常包含四个层面：
- 接入控制：802.1X认证、MAC地址认证、Portal认证，确保只有合法终端入网。未认证终端放入隔离VLAN，仅能访问补丁服务器和准入页面。
- 横向隔离：在汇聚层交换机上部署ACL，限制办公域终端之间的互访，尤其是禁止访问服务器域的非业务端口。服务器域内部按业务分组，数据库只允许应用服务器访问。
- 流量清洗：在核心层或汇聚层部署uRPF防止IP欺骗，部署DHCP Snooping和ARP Detection防止中间人攻击，部署端口隔离防止接入层广播风暴。
- 行为审计：通过NetStream或sFlow采集流量，结合日志服务器分析异常访问。对管理域操作启用堡垒机录屏和命令审计。
五、一个可落地的策略示例
假设某园区办公域网段为10.10.10.0/24，服务器域网段为10.10.20.0/24，管理域网段为10.10.30.0/24。在汇聚层交换机上，针对办公域到服务器域的访问，可部署如下ACL：
acl number 3000
rule 5 permit tcp source 10.10.10.0 0.0.0.255 destination 10.10.20.10 0 destination-port eq 80
rule 10 permit tcp source 10.10.10.0 0.0.0.255 destination 10.10.20.10 0 destination-port eq 443
rule 15 permit tcp source 10.10.10.0 0.0.0.255 destination 10.10.20.20 0 destination-port eq 3306
rule 20 deny ip source 10.10.10.0 0.0.0.255 destination 10.10.30.0 0.0.0.255
rule 25 deny ip source 10.10.10.0 0.0.0.255 destination 10.10.20.0 0.0.0.255
rule 30 permit ip source 10.10.10.0 0.0.0.255 destination any
这段ACL的含义是：办公域可以访问服务器10.10.20.10的Web服务、10.10.20.20的数据库服务；禁止办公域访问管理域；禁止办公域访问服务器域的其他地址；其余流量放行（主要是访问互联网）。规则顺序很重要——先精确放行，再明确拒绝，最后默认放行。实际部署时，最后一条建议改为“deny ip”并配合日志，做到默认拒绝、按需放行。
策略部署后，验证方法包括：从办公域终端测试访问服务器Web页面是否正常，测试访问管理域是否被拒绝，查看ACL计数是否命中预期规则。如果发现业务异常，优先检查ACL规则顺序和源/目的地址掩码是否匹配。