网络架构

核心主张

内网只是「已知区」：里面的东西比外网干净，但还没有干净到可以默认互通。

这句话决定了这一节的四篇文章：

• VLAN 网络划分 —— 先把「谁能访问谁」写成物理上的分区，含一个六网段的完整规划。
• 访问控制列表 —— 分区之后，仍然需要的例外要显式列出。
• IP 地址管理 —— DHCP 保留让「IP ↔ 设备 ↔ 人」的对应关系可追溯。
• 区域防火墙 —— 边界上的最后一道，只做三件事：拒绝、转换、记录。

设计的三个约束

1. 可回滚。任何一次网络变更都要有能在十分钟内退回去的方案，所以我坚持所有关键设备支持配置回滚而不是手工重配。
2. 可读。配置里的区段名用中文业务名（vlan-10-office）而不是 vlan-110。运维半夜值班时看到的是业务，不是编号。
3. 可解释。任何一条 ACL 都必须能回答「谁为了什么加的」。回答不了的 ACL，删掉它比留着安全。