4、逻辑隔离技术：VLAN划分、防火墙策略、ACL控制、VPN隧道
各位同学，咱们今天聊逻辑隔离。说白了，就是不用物理上把网线剪断，而是在网络层面把数据隔开。我做了这么多年安全，发现很多团队一上来就想着买硬件防火墙、买物理隔离设备，其实很多时候，逻辑隔离用好了，成本低、效果好，关键是灵活。
嗯，咱们一个一个来看。
4.1 VLAN划分：把一台交换机变成多台
VLAN，全称是Virtual Local Area Network。你想想看，一个公司里，财务部、研发部、行政部，他们的数据能混在一起吗？当然不能。但物理上拉三套网线、买三台交换机，太浪费了。VLAN就是干这个的——在一台交换机上，把端口分成不同的组，组之间默认不通。
我习惯把VLAN比作「楼里的隔断墙」。同一层楼，隔成几个房间，每个房间的人只能看到自己屋里的人。交换机就是这层楼，VLAN就是隔断。
核心要点：VLAN划分后，不同VLAN之间的通信必须经过三层设备（路由器或三层交换机）。这就给了我们做安全策略的机会。
举个例子，配置一个简单的VLAN：
# 在交换机上创建VLAN 10和VLAN 20
Switch(config)# vlan 10
Switch(config-vlan)# name Finance
Switch(config-vlan)# exit
Switch(config)# vlan 20
Switch(config-vlan)# name R&D
Switch(config-vlan)# exit
# 将端口分配给VLAN
Switch(config)# interface gigabitEthernet 0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config)# interface gigabitEthernet 0/2
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 20
我在项目中遇到过一件事：有个客户说他们财务数据被研发部的人看到了。我一查，好家伙，整个公司都在一个VLAN里，连广播域都没分开。后来我帮他们划分了VLAN，财务一个、研发一个、行政一个，问题立马解决。说白了，这就是最基础的隔离，但很多人就是懒得做。
我的经验：VLAN划分时，建议把管理流量（比如SNMP、SSH）单独放一个VLAN。我曾经见过有人把管理口和业务口混在一起，结果一个广播风暴把整个交换机管理都打掉了，那叫一个惨。
4.2 防火墙策略：谁可以过，谁必须拦
VLAN把网络隔开了，但总有一些数据需要跨VLAN流动吧？比如财务要访问HR的考勤系统。这时候就需要防火墙出场了。
防火墙策略，说白了就是一张「通行证清单」。你告诉防火墙：哪些IP、哪些端口、哪些协议可以过，剩下的统统拦住。我个人的习惯是「默认拒绝，按需放行」。你想想看，如果你先放行所有，再慢慢去拦，那漏掉的风险太大了。
举个例子，一个典型的防火墙策略：
# 允许财务部（192.168.10.0/24）访问HR系统（192.168.20.100）的443端口
access-list 100 permit tcp 192.168.10.0 0.0.0.255 host 192.168.20.100 eq 443
# 拒绝其他所有流量
access-list 100 deny ip any any
# 应用到接口
interface gigabitEthernet 0/0
ip access-group 100 in
这里要注意，防火墙策略的顺序很重要。ACL是顺序匹配的，匹配到第一条就执行，后面的就不看了。我曾经见过一个团队，把拒绝所有写在前面，结果后面放行的规则全废了。嗯，这种低级错误，犯一次就记住了。
避坑指南：防火墙策略一定要定期审计。我见过太多「僵尸规则」——几年前开的端口，业务早不用了，但规则还留着。这些规则就是攻击者的后门。我曾经帮一个客户清理防火墙，发现一条五年前开的FTP规则，端口21还开着，吓得我当场就关了。
4.3 ACL控制：精细到每一个数据包
ACL，访问控制列表。它比防火墙策略更细粒度。防火墙通常基于IP和端口，ACL可以做到基于MAC地址、协议类型、甚至数据包中的特定字段。
我个人觉得，ACL是逻辑隔离的「最后一公里」。VLAN把大网切开了，防火墙控制了跨VLAN的流量，ACL则在同一个VLAN内部做精细控制。比如，同一个研发部里，有些服务器只有项目经理能访问，其他人不行。这时候ACL就派上用场了。
一个扩展ACL的例子：
# 只允许项目经理（192.168.30.10）访问服务器（192.168.30.100）的SSH
access-list 110 permit tcp host 192.168.30.10 host 192.168.30.100 eq 22
access-list 110 deny tcp any host 192.168.30.100 eq 22
access-list 110 permit ip any any
你想想看，如果没有ACL，同一个VLAN里的设备默认是互通的。那VLAN划分的意义就大打折扣了。所以我的建议是：VLAN做粗隔离，ACL做细控制，两者配合使用。
关键点：ACL的匹配顺序是从上到下，匹配即停止。所以要把最严格的规则放在最前面，通用的放后面。我习惯把「拒绝特定高危流量」放在最前面，比如拒绝所有来自外网的SSH请求。
4.4 VPN隧道：在公共网络上建一条私密通道
前面说的VLAN、防火墙、ACL，都是在一个可控的网络内部做隔离。但如果你要连接两个异地网络呢？比如北京总部和上海分公司，中间走的是互联网。这时候就需要VPN了。
VPN，虚拟专用网络。它是在公共网络上建立一条加密的隧道。数据在隧道里传输，外面的人看不到内容。说白了，就是给数据穿了一件隐身衣。
我常用的VPN类型有两种：
- IPSec VPN：适合站点到站点（Site-to-Site），比如总部和分公司之间。配置稍复杂，但安全性高。
- SSL VPN：适合远程用户接入，比如员工在家办公。客户端不用装额外软件，浏览器就能用。
一个简单的IPSec VPN配置片段（以思科设备为例）：
crypto isakmp policy 10
encryption aes 256
hash sha
authentication pre-share
group 5
lifetime 86400
crypto isakmp key mySecretKey address 203.0.113.1
crypto ipsec transform-set MY-SET esp-aes 256 esp-sha-hmac
crypto map MY-MAP 10 ipsec-isakmp
set peer 203.0.113.1
set transform-set MY-SET
match address 120
我在项目中遇到过一个问题：有个客户用VPN连接两个数据中心，但速度特别慢。我一查，发现他们用的是3DES加密，性能差还容易被破解。后来我建议换成AES 256，速度提升了不少。嗯，选加密算法时，别光看安全性，也要考虑性能。
我的建议：VPN隧道建立后，一定要做连通性测试和带宽测试。我曾经遇到过隧道建好了，但路由没配好，数据包走了公网，等于没加密。这种问题，用traceroute一查就现原形。
小结一下
逻辑隔离这四种技术，各有各的用处：
| 技术 | 作用范围 | 核心价值 | 我常用的场景 |
|---|---|---|---|
| VLAN划分 | 局域网内部 | 广播域隔离，粗粒度 | 财务、研发、行政分网 |
| 防火墙策略 | 网络边界 | 跨网访问控制 | 内外网隔离、DMZ区域 |
| ACL控制 | 同一VLAN内部 | 精细到IP、端口、协议 | 服务器访问权限控制 |
| VPN隧道 | 跨公网连接 | 加密传输、远程接入 | 总部与分公司、远程办公 |
你想想看，这四种技术组合起来，基本上能覆盖90%以上的逻辑隔离需求。而且它们都是软件层面的，不需要额外买硬件，成本可控。我个人的习惯是：先做VLAN划分，再配防火墙策略，然后ACL收尾，最后用VPN打通远程。这个顺序，基本不会出大问题。
最后提醒一句：逻辑隔离不是万能的。如果攻击者已经进入了你的网络内部，逻辑隔离只能延缓他的脚步，不能完全阻止。所以，逻辑隔离要和物理隔离、数据加密、访问审计配合使用。别指望一个技术解决所有问题。