企业官网建设流程全解析

VLAN

正常情况下，对于一个路由器接口下面的交换机、PC、服务器等处于一个广播域内，互相之前可以自由的访问彼此，如果一台设备失陷，那么十分容易的就可以进行这些所有设备的横传。

当然还有其他的考量，例如广播风暴，可以在一个进行嗅探数据、进行 ARP 欺骗、冒充网关，不方便管理等原因，出现了VLAN技术

VLAN（Virtual Local Area Network）的中文名为"虚拟局域网"。是园区、企业内网最基础的二层隔离手段，通过广播域切割，把一台物理交换机虚拟成多个逻辑网络。

当然VLAN本身只是二层隔离技术，如果规划、配置不当，会出现跨VLAN非法访问等问题。

本文结合等保2.0要求，从VLAN规划、设备配置、三层网关、访问控制、二层防护、动态准入、日常运维、审计验证等维度梳理VLAN相关安全要点，同时厘清三层交换机、二层交换机、防火墙在VLAN体系中的分工

基础概念与组网架构的安全选择

VLAN组网有两种主流架构，两种架构的安全责任主体不一样，安全审计重点完全不同

架构一：核心/汇聚三层及骄傲还击部署VLANIF作为VLAN网关（主流中大型企业）

三层交换机支持VLANIF虚拟三层接口，一个VLANIF固定对应一个VLAN，id要相同，作为该网段的网关，多个VLANIF配置后，设备自动生成直连路由，默认所有VLAN之间三层互通。

二层交换机是不支持配置VLANIF的，同时每个VLANIF配置单独的一个ip地址，作为该VLAN的网关。

安全关键点：默认互通式重大安全风险，不同业务域、办公区、服务器区如果不做访问控制，一旦某台设备被入侵，那么攻击者可横向渗透到其他网段。

优点：跨VLAN流量在核心本地转发，不占用出口带宽，防火墙压力小。

安全短板：内网跨域访问控制依赖交换机ACL,交换机ACL资源有限，负责策略管理难度高。

同时需要注意，配置的ACL是单向的限制，例如vlan 10 禁止访问vlan 20,是限制vlan 10->vlan 20,虽然没有返回包，但这不是真正的隔离，因为 VLAN 20 发往 VLAN 10 的去程流量仍然进入了 VLAN 10。如果是 UDP、扫描、攻击流量，不需要回包也能到达，仍有安全风险，如果想要完全隔离，需要做两个ACL。同时也禁止vlan 20 访问vlan 10。

或者可以写成一个 ACL 包含两条规则，然后应用到两个 VLANif 的入方向。

acl 3000
rule deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255
rule deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255
rule permit ip

interface Vlanif10
traffic-filter inbound acl 3000

interface Vlanif20
traffic-filter inbound acl 3000

架构二：核心/汇聚二层透传，网关部署在出口防火墙/路由器子接口（小型网络架构）

核心交换机仅创建VLAN、透传VLAN标签，不配置VLANIF;Tunk链路把带标签流量直接送到防火墙，防火墙通过子接口+dot1q termination vid终结 VLAN 标签，充当各 VLAN 网关。

安全关键点：所有跨VLAN流量全部经过防火墙，安全策略统一在防火墙配置，策略集中、便于审计；但跨VLAN流量来回穿越Turnk链路，链路故障、防火墙故障会造成全网网关失效，Turnk链路本身成为单点风险（多做一条冗余链路可以解决一部分，同时要配置LACP,避免二层可能形成环路。好歹我也是网络工程专业的，虽然基本都忘了）

安全短板：内网大量跨VLAN通信会消耗上联Trunk带宽与防火墙性能。

二层交换机仅能透传VLAN,无法创建业务VLANIF网关，仅可使用Vlanif1 作为管理ip,不能承载业务网关；三层交换机具备路由能力，可以处理内网静态、动态路由，但不适合承担外网 NAT、IPSec VPN 等边界安全功能，边界安全仍交给防火墙。

相关知识补充

如果Tunk链路把带标签流量直接送到防火墙，防火墙通过子接口，防火墙没有配置 dot1q termination vid 命令终结vlan帧（或等价的 VLAN 终结），那么会把包直接丢弃。

接入层有 VLAN，汇聚/核心也要创建相同 VLAN，并在 Trunk 上允许该 VLAN 通过，否则带标签流量会在中间交换机被丢弃。核心只透传时不需要 VLANIF，但 VLAN 和 Trunk 允许不能少。因为部分厂家的设备默认是不允许通过的。最佳实践始终是显式配置允许列表

VLAN规划层面安全要求

VLAN规划是安全的基础，不合理的划分会带来安全缺陷：

业务域隔离：按业务、部门、安全等级划分独立VLAN,办公网VALN、服务器VLAN、监控VLAN、设备管理VLAN必须相互独立，禁止业务终端与设备管理IP共用一个VLAN

禁用默认VLAN1承载业务：VLAN1是所有端口默认归属VLAN，极易被利用，所有业务网段默认禁止使用VLAN1

VLAN台账管理：建立VLAN资产台账，记录VLAN ID、网段、用户、网关位置、网关IP;不允许存在未备案、临时、废弃残留VLAN,定期清理无用VLAN。

Trunk 链路安全基线

• Trunk端口放行列表禁止配置port trunk allow-pass vlan all,仅放行规划内业务VLAN;

• Trunk链路两端PVID 保持一致，业务VLAN不能作为PVID,防止无标签帧意外注入业务VLAN,防范VLAN跳跃（VLAN Hopping）攻击;

• 终端接入端口必须配置为Access口,关闭DTP协议，严禁PC终端接入Trunk端口，避免攻击者伪造VLAN标签跨VLAN渗透。

• 闲置端口管理： 未使用的接入端口直接shutdown，或划入独立隔离VLAN,不能保留在业务VLAN内，防止非法设备私自接入内网。

二层 VLAN 域内安全防护

VLAN划分仅隔离广播域，同一个VLAN内部，终端之前是二层互通的，存在大量二层攻击风险，需要在接入交换机部署防护：

• DHCP Snooping：防范内网私接非法DHCP服务器，防止终端获取虚假网关
• DAI动态ARP检测：校验ARP报文合法性，防御ARP欺骗、ARP中间人攻击，防止网关ARP被劫持。
• Port-Security 端口安全：限制接入端口允许学习的MAC地址数量，，抑制MAC地址泛洪攻击，限制非法终端接入。
• BPDU 保护：接入端口开启 BPDU 保护，防止恶意接入设备发送 BPDU 篡改二层网络拓扑，造成网络瘫痪。

三层网关与跨 VLAN 访问控制安全

当三层交换机配置VLANIF后，直连路由自动生成，VLAN间默认三层互通，必须按需部署访问控制策略实现隔离

ACL访问控制规则

ACL是三层接口的流量过滤工具，绑定在VLANIF接口上，仅拦截三层IP流量，不影响VLAN内部二层通信。

• 单向隔离：仅在发起端VLANIF的inbound方向绑定ACL;
• 双向隔离（A、B网段互相不能访问，但均可访问外网）：可使用单条ACL编写的deny规则，绑定到两个VLANIF的inbound，或者创建两套ACL分别绑定。
• 验证手段：通过display acl查看ACL命中计数，确认规则有流量命中；不能只看配置，必须做连通性测试。

策略部署位置区分

• 网关在三层交换机：跨VLAN隔离依靠交换机VLANIF绑定ACL
• 网关在防火墙:跨VLAN隔离依靠防火墙安全域与安全策略；交换机仅做二层透传，交换机上无跨VLAN控制能力。

特殊二层隔离方案：NUX VALN、端口隔离

• port-isolate :仅用于同一VLAN内终端二层隔离，不能隔离不同 VLAN 之间的三层流量；适合酒店、监控场景，同网段终端之间不能互访，但均可访问网关。
• MUX VALN：主VLAN、从VLAN架构，多个从VLAN之间互相隔离，但是都可以访问主VLAN(网关/外网)，适合大量用户VLAN互相隔离场景。

为什么绑定在inbound

Inbound 绑定是在“源头”解决问题，不仅省了交换机的算力，也最安全、最清晰

既然三层交换机默认会把所有 VLAN 打通，成了一个安全隐患，那为什么不干脆用路由器来代替核心/汇聚交换机，把每个 VLAN 当成路由器的独立接口，这样不就物理隔离了吗？ 实际上不是这样，用路由器替代三层交换机，不仅不能避免“默认互通”的问题，还会带来更多新问题。

假设你把三层交换机换成路由器：

• 路由器的G0/0接口连 VLAN 10 的交换机，配 IP192.168.10.1/24

• 路由器的G0/1接口连 VLAN 20 的交换机，配 IP192.168.20.1/24

• 路由器的G0/2接口连 VLAN 30 的交换机，配 IP192.168.30.1/24

路由器的默认行为是什么？
它也会自动生成这三条直连路由，并且在默认情况下，VLAN 10、20、30 之间也是互相能够互相访问。

因为路由器的职责就是“寻址和转发”。如果它默认拒绝所有流量，那你的网络就彻底瘫痪了。要实现隔离，你同样需要在路由器上配置 ACL，或者使用 VRF（虚拟路由转发）把不同 VLAN 彻底拆散。

所以，“换路由器”并没有改变“三层设备默认互通”这一底层逻辑。

扩展场景：VLAN 透传、QinQ、VXLAN 的安全风险

传统VLAN ID 范围仅有1-4049，多租户、跨站点场景会用到QinQ(双层VLAN标签)、VXLAN(虚拟扩展局域网)，这类扩展VLAN技术会引入新安全风险

1. QinQ：外层 VLAN、内层 VLAN 双层标签，常用于运营商 / 多租户隔离。风险点：标签篡改、标签剥离攻击，需要在边界设备校验内外层 VLAN，禁止非法标签透传。
2. VXLAN：大二层网络，跨机房、跨服务器的虚拟网络，广泛用于虚拟化 / 云平台。风险点：VXLAN 隧道伪造、BUM 泛洪扩散、VNI（VXLAN 网络标识）规划混乱导致跨租户流量泄露；需要在 VTEP 设备做访问控制，隔离不同 VNI。

审计要点：跨设备 / 跨机房 VLAN 扩展场景，重点核查隧道边界的标签校验、访问控制策略，防止标签逃逸造成域间泄露。

终端准入：802.1X + 动态 VLAN

基础的VLAN划分属于静态配置，任何人接入对应端口就能进入业务VLAN,无法管控终端身份。802.1X 动态 VLAN 分配可以实现基于身份的 VLAN 自动分配

原理：终端接入交换机端口后，必须完账号/证书认证；认证通过后，认证服务器下发策略，交换机自动将端口划入对应VLAN;认证失败则端口不分配业务VLAN,放入隔离VALN

安全价值

• 杜绝非法终端直接接入业务网段
• 同一物理端口，不同账号登录自动分配不同VLAN,实现移动办公场景下的网络隔离
• 可联动终端安全检查，终端存在病毒、系统未打补丁时，直接分配隔离VLAN，禁止访问业务。

运维注意点：需要额外部署认证服务器，交换机开启 802.1X，配置复杂度更高，适合对终端准入管控要求高的企业。

Portal认证（Web认证）：连上WiFi -> 跳转到认证网页 -> 输入账密或手机验证码 -> 才能上网”** 的方式，绝对是终端准入（NAC）的一种，它属于另一种技术流派。

Portal 认证系统通常只检查数据包的源 MAC 地址是否在“已认证白名单”里。由于 MAC 地址本身不具备保密性，且极易被修改，攻击者只需将自己的 MAC 地址伪造成一个已认证设备的 MAC 地址，网关就可能误以为他是合法用户，从而放行其流量。

（Portal认证）和（802.1X+动态VLAN）是并列关系，都是终端准入（NAC）的重要分支，可以按照下面这么做，或者其他方式，比如接入不同的WIFI之类的。

• 有线办公网、高安全区：倾向于用802.1X + 动态VLAN（强管控，需装客户端）。

• 无线网、访客网、BYOD：倾向于用Portal 认证（免客户端，体验好）。

日常安全运维管理要求

配置备份与变更管控

VALN新增、端口VLAN修改、Trunk配置、VALNIF、ACL策略变更，必须执行变更审批流程，变成前备份设备配置，变更后复核并保留记录；所有网络设备必须定期自动备份配置文件。

账号与日志审计

交换机、防火墙启用日志审计功能，将接口状态变更、ACL命中、账号登录、配置修改日志上传至日志审计平台；设备账号最小权限管理，清理弱口令，禁止共用管理员账号。

周期性巡检

月度/季度巡检：核查VLAN清单、Trunk配置、VLANIF接口状态、ACL规则有效性、闲置端口状态、二层安全功（DHCP Snooping、DAI）能启用状态。

安全审计与有效性验证

审计分为配置文件审计和现场测试验证两部分，只看配置文件存在误判风险

配置审计内容

• 核查VLAN划分是否符合规划文档；Trunk、Access端口基线合规
• 核查网关位置（VALNIF/防火墙子接口）、网段网关IP正确性
• 核查跨VLAN访问控制策略，确认策略矩阵（源网段、目的网段、动作）与安全需求一致；
• 检查是否存在废弃ACL、冗余无效规则，检查ACL绑定方向是否正确

现场有效性测试

• 禁止互通的网段：跨VLAN ping、业务访问测试，验证阻断效果；
• 允许流量（访问外网、授权业务互通）验证连同正常。
• 二层安全测试:非法终端接入测试、VLAN跳跃风险测试；
• 验证同VLAN隔离测试（端口隔离/MUX VLAN）是否生效
• 802.1X 场景：测试未认证终端是否被隔离，非法账号无法进入业务 VLAN

常见高风险配置缺陷

1. Trunk 端口放行所有 VLANport trunk allow-pass vlan all；
2. 办公 / 业务 VLAN 之间无任何访问控制策略，默认全互通；
3. 管理网段与业务终端放在同一个 VLAN；
4. 终端接入端口配置成 Trunk，引入 VLAN hopping 风险；
5. ACL 策略方向错误，或者规则顺序错误，策略不生效；
6. 闲置端口未关闭，开放在业务 VLAN；
7. 残留大量废弃 VLAN，长期未清理；
8. 二层交换机管理 VLAN 和业务网段混用，管理 IP 暴露在业务域；
9. 扩展 VLAN 场景（QinQ/VXLAN）未做标签校验，存在标签逃逸风险；
10. 部署 802.1X 但未配置隔离 VLAN，认证失败终端仍可访问业务网络。

总结

VLAN 是内网区域隔离的基础手段，但它只是二层广播域切割技术，不能单独作为安全防护方案。安全需要组合落地：合理的 VLAN 规划 + 二层接入防护（DHCP Snooping、DAI、端口安全） + 可选 802.1X 动态 VLAN 准入 + 三层访问控制（ACL / 防火墙策略） + 流量监测（NDR/IDS） + 严格的变更与日志审计。

组网架构选择直接决定安全管控主体：三层核心 VLANIF 方案把内网访问控制下沉到交换机；二层透传 + 防火墙网关方案将安全策略统一集中在边界防火墙；云 / 虚拟化场景下 QinQ/VXLAN 扩展 VLAN，需要额外关注隧道与标签安全。无论哪种架构，都必须定期审计、现场验证策略有效性，避免 “配置上做了隔离，但实际流量可通行” 的安全盲区。