VLAN 网络划分

按业务划，不按楼层划

最常见的错误是「按物理位置划分 VLAN」——办公区一个、机房一个。这在只有一栋楼时成立，一旦有了第二栋楼、第三条园区链路，地址规划立刻崩掉：跨楼区的两台机器被放进不同子网，理由仅仅是「它们不在同一层」。

正确的划分依据是访问模式：经常互相访问的机器放在一起，这就是一个安全域。

上图里的划分逻辑很朴素：财务能访问 OA，OA 访问不了财务；研发能访问测试，测试访问不了生产数据库。四个 VLAN 之间的可达性完全由防火墙决定，不由 VLAN 本身决定。

示意图是另一套示例编号，讲原则用的；下面这套六网段规划才是能照着落地的版本。

一个六网段的完整规划

原则讲完了，给一套可直接落地的六段规划。它的核心不是网段编号，是每一段只回答一个问题：这段里的设备需要被保护到什么程度。

┌──────┴──────┐ ┌──────┴──────┐ ┌──────┴──────┐ ┌──────┴──────┐
│   VLAN 10   │ │   VLAN 20   │ │   VLAN 30   │ │   VLAN 40   │
│   办公网    │ │   生产网    │ │   生活网    │ │   访客网    │
│10.10.10.0/24│ │10.10.20.0/24│ │10.10.30.0/24│ │10.10.40.0/24│
└──────┬──────┘ └──────┬──────┘ └──────┬──────┘ └──────┬──────┘
       │               │               │               │       
┌──────┴───────────────┴───────────────┴───────────────┴──────┐
│            三层防火墙（区域模型）· default deny             │
│ 跨段可达性由防火墙决定，不由 VLAN 决定                      │
└───────────┬────────────────────────────────────┬────────────┘
            │                                    │             
    ┌───────┴───────┐               ┌────────────┴────────────┐
    │    VLAN 90    │               │    VLAN 99 · 管理区     │
    │   NAS 存储    │               │      10.10.99.0/24      │
    │ 10.10.90.0/24 │               │ AD · Wazuh · NPS · LAPS │
    └───────────────┘               └─────────────────────────┘

网段	用途	设计意图
VLAN 10 办公网	员工 PC、日常办公	最先建设、最先测试的网段，跑通之后再把规则和 Agent 下发到别的段
VLAN 20 生产网	生产测试系统、核心代码所在终端	默认拒绝与其他 VLAN 互通，只放行必要业务端口。策略最严、认证最多，前期用起来会麻烦一点——这是故意的
VLAN 30 生活网	手机、私人电脑等非受控设备	禁止访问办公网与生产网，只给互联网。这一段存在的意义就是把不受控设备放在一个够不着内网的地方
VLAN 40 访客网	访客设备	只能访问互联网，且禁止访问所有 RFC1918 私有网段（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）
VLAN 90 存储区	NAS、文件共享	NAS 是核心数据资产，必须独立于办公网与生产网，不直接暴露在员工终端网段里
VLAN 99 管理区	AD 域控、Wazuh、NPS、管理终端	全架构访问控制最严的一段，只放行必要的域服务端口

VLAN 20 和生产终端的「麻烦」是设计的一部分：最严格的策略放在最关键的数据上，多一层认证，换来的是「这一层被突破之前，别处已经报警了」。等各组件完成联动之后，认证可以平滑掉——先安全，后顺手。

每一段要配的东西

一个 VLAN 建起来只是第一步，真正做完要落实五项：

项	约定	为什么
网段	从一张全局地址表分配，不随手起	避免撞段，也避免将来合并时无处可去
名称	vlan-<id>-<业务拼音>	配置里看到名字就知道是什么
网关	三层交换机上的 SVI，不是路由器	少一跳，链路故障域更清晰
DHCP	固定池 + 排除网关与服务器段	服务器永远拿保留地址（见 IP 地址管理）
监控	纳入流量采集范围	不被看见的 VLAN 等于不存在

地址表是这个网络里唯一需要长期维护的东西。写在文档里，不要凭记忆。

接入层设备要求

网段划得再对，交换机不支持也落不了地。接入层至少要有：

• 802.1Q VLAN —— 基础，不支持就不用谈分区
• ACL —— 分区的策略最终落在访问控制上
• STP / RSTP —— 防环。办公区随手插线是常态，没生成树保护一次误插就能让全网瘫痪
• DHCP Snooping + ARP Inspection —— 防私接小路由器发起中间人攻击
• LACP —— 上行链路聚合，单链故障不断网
• SNMP —— 流量与状态监控的数据来源
• Port Mirroring（SPAN） —— 流量采集的前置条件
• 802.1X + RADIUS —— 网络准入（第六阶段才启用，硬件要先预留）

配置：交换机侧

# 创建 VLAN（先建库，再进接口）
vlan 10
 name vlan-10-office
vlan 20
 name vlan-20-prod
vlan 30
 name vlan-30-life
quit

# 业务口：access，只属于一个 VLAN
interface GigabitEthernet0/0/10
 port link-type access
 port default vlan 10
 switchport mode access
 switchport port-security enable
 switchport port-security max-mac 1
quit

# 跨 VLAN 走三层
interface Vlanif10
 ip address 10.10.10.1 255.255.255.0
quit

port-security 那两行不是可选项。办公区端口默认不做端口安全的话，一根网线插上交换机就能冒充网关接管整个段。

配置：Trunk 侧

Trunk 是这套设计里最容易出事的地方，因为它默认放行所有 VLAN。

interface GigabitEthernet0/0/24
 port link-type trunk
 port trunk allow-pass vlan 10 20 30 90 99
 port trunk pvid vlan 99
quit

allow-pass 一定要显式列出。写 port trunk allow-pass vlan all 的那一刻，这根线就成了跨段的旁路，而且没有任何日志会告诉你。

踩过的坑

• Native VLAN 不一致。两端 PVID 不同会造成 VLAN 跳跃（VLAN hopping），这是真实可利用的漏洞，不是理论问题。
• 把家用路由器插在办公交换机上。很多环境为了图方便这么干，结果是一台「可信内网中的不可信节点」：没有隔离、同一个广播域，攻击者插上去就能做信息收集、横向移动，甚至接管整个网段。生活网和访客网必须走独立的 AP 或独立上联口，物理上也不能插错。
• 先建 VLAN 再放行 ACL。VLAN 建好但防火墙规则没跟上，等于刚做完隔离就开了个洞——这段时间窗口里的流量是没有任何策略的。