网络安全
内部网络的分区、访问控制与流量可见性。目标是让「谁能访问什么」变成配置里能读出来的事实，而不是靠约定。
- 更新Updated
- 2026.10.17
6 篇文章6 articles2 个子目录2 sections
网络的默认状态是拒绝。同一网段里两台机器能直接互访，这件事在几十台机器时是方便的，在几百台时是失控的起点。
这一节只解决两个问题：
- 谁能访问什么 —— 分区（VLAN）与访问控制（ACL / 防火墙）怎么设计，边界划在哪里。
- 谁在访问什么 —— 分区做好了不等于可观测，流量必须能被记录和分析（见「安全监控」）。
有件事要先想清楚：网络隔离的优先级高于终端安全软件。所有设备处在同一广播域时，任何一台终端被攻破，攻击者都能直接横向移动——扫 NAS 猜密码、打域控偷凭据、看办公网和生产网之间的敞口。这时候给每台机器装再好的 Agent，也只是给一条畅通无阻的内网增加日志。分区先做，Agent 后补。
两个子目录的分工
- 网络架构 —— 长期不变的那部分：VLAN 划分、ACL 策略、IP 管理、防火墙的区域模型。改一次要动全网，写在这里。
- 安全监控 —— 随攻击手法演进的那部分：流量采集、规则维护、告警分流。写得越具体越容易过期，所以单独成节。
架构和监控分开，是因为它们的变更节奏不一样。把它们混在一节里，改监控规则时会顺手改 VLAN，改完没人记得为什么。