一、先接受一个前提：单点被攻破是迟早的事

这一节所有结论都建立在同一个前提上：

你不可能保证每一台机器都不被攻破。

理由很实际——设备有漏洞、人有失误、供应商会被攻陷、离职账号可能没收干净。只要有人的地方，就有被打开的口子。

所以成熟的做法不是"追求零失陷"，而是在设计时就说清一件事：一台机器倒下了，它能带走多少。 这个范围有个常用的说法——塌方范围。

分段就是缩小塌方范围的唯一有效手段。

二、DMZ：那一层"缓冲带"

教材里的"DMZ"（隔离区）是最经典的一处分段。它的想法很朴素：

有些服务必须让外人访问（官网、邮件入口、对外接口）。既然必须暴露，就把它单独放在一个区域里——既不属于外网，也不属于内网。

它像什么？像一栋楼里的接待大厅：外人能进来办事，但进不了办公区。

DMZ 的几条硬纪律，每一条都有明确的理由：

1. 缓冲带里不放数据库、不放管理后台。 因为这里的机器是预期会被攻破的——不能把最值钱的东西放在预期失守的地方。
2. 从内网到缓冲带要严格控制，特别是不能允许它主动向内发起连接。 这一条是关键：如果缓冲带里的机器能主动连内网，那它失守之后就等于变成了一座桥。理想的状态是单向的——内网可以主动去看它，它不能主动来看内网。
3. 里面的服务只开必须的端口。 对照 2-9 的最小权限。
4. 日志和监控在这里要更密。 因为这里最可能先出事，所以要保证出事时看得见。

三、除了 DMZ，还要按"信任级别"分区

一个典型的企业网络，分区大致长这样：

两个分区的原则值得单独记：

• 按"信任级别"分，不是按"楼层和部门"分。 同一个部门的两台设备，一台是公司配的、一台是员工自己的手机，信任级别完全不同。
• 把最弱的一圈单独关起来。 摄像头、门禁、空调这些设备最不可能被更新，所以最不该和重要数据在同一个网里。

四、动手 Demo：一台机器被拿下之后，它能摸到多少东西

# 场景：办公区某台电脑点开了钓鱼邮件里的链接，被植入恶意程序
# (资产名, 所属区段, 扁平网络下可达, 分段后可达)
assets = [
    ("办公段文件服务器", "办公段", 1, 1),
    ("办公段打印服务器", "办公段", 1, 1),
    ("财务数据库", "服务器段", 1, 0),
    ("客户数据库", "服务器段", 1, 0),
    ("工资系统", "服务器段", 1, 0),
    ("源码仓库", "研发段", 1, 0),
    ("备份服务器", "备份段", 1, 0),
    ("域控制器（管所有账号）", "管理段", 1, 0),
]

实跑输出：

  场景：办公区某台电脑点开了钓鱼邮件里的链接，被植入恶意程序。

  关键资产                        所属区段        扁平网络        已分段后        差在哪里
  --------------------------------------------------------------------------------------------
  办公段文件服务器                    办公段         可达            可达            同一区段，本来就该能访问
  办公段打印服务器                    办公段         可达            可达            同一区段，本来就该能访问
  财务数据库                       服务器段        可达            不可达           跨段，被策略拦住了
  客户数据库                       服务器段        可达            不可达           跨段，被策略拦住了
  工资系统                        服务器段        可达            不可达           跨段，被策略拦住了
  源码仓库                        研发段         可达            不可达           跨段，被策略拦住了
  备份服务器                       备份段         可达            不可达           跨段，被策略拦住了
  域控制器（管所有账号）                 管理段         可达            不可达           跨段，被策略拦住了

  可达关键资产：分段前 8 / 8 ｜ 分段后 2 / 8

  ① 分段不改【会不会被拿下】，改的是【拿下之后能走多远】。
     单点被攻破在现实里是迟早的事，所以真正要设计的是【塌方范围】。
  ② 剩下的那两台【属于同段】的资产不是漏网之鱼：
     办公段本来就该能访问文件与打印服务，问题只在于——
     要把它们和真正值钱的东西（财务、客户、源码、备份）分开放。
  ③ 中间那层缓冲带的经典做法：把必须对外提供服务的机器单独放一处，
     既不属于外网也不属于内网。它失守了，也进不了内网。
     两条纪律：缓冲区里不放数据库和管理后台；
     从内网到缓冲区要严格控制，尤其不能允许它主动向内发起连接。
  ④ 分段要按【信任级别】分，不能只按【楼层和部门】分。
     访客无线、物联网设备（摄像头、门禁、空调）必须单独隔开——
     它们固件常年不更新，是全公司最弱的那一圈。
  ⑤ 云上还有一层：虚拟机之间的流量根本不过物理网络设备，
     传统按网段划分的办法在这里用不上，要靠按工作负载做策略。
  ⑥ 2026 年的主流思路叫零信任：不再有【内网就是可信的】这回事，
     每次访问都要重新验一遍身份和设备状态。

读这个输出：从 8/8 降到 2/8——这就是分段的全部价值。再注意"剩下的那两台"：它们不是漏网之鱼，而是本来就该能被访问的（办公段访问文件与打印服务是正常业务）。分段的艺术不在"什么都拦"，而在"把该在一起的放在一起，把不该在一起的彻底分开"。

五、从"分段"到"微隔离"

传统分段是按网段切的（这一段和那一段之间放策略）。它在物理机和固定服务器的时代很有效，但遇到两个新场景就不够用了：

1. 云上——同一个网段里的虚拟机之间通信根本不经过物理网络设备，按网段切没有着力点。
2. 同一段内部——即使在一个段里，也不是所有机器都该互相访问。

于是有了微隔离：把策略从"段与段之间"下沉到"单个工作负载与单个工作负载之间"。它管的是"这一台只能跟那几台说话"，而不是"这一片可以跟那一片说话"。

"免疫网络"这个说法，讲的其实是同一个思路的另一种表达：假设你已经被攻破（因为它迟早会发生），设计的目标是让被感染的个体无法造成大范围伤害——每台机器只能做它该做的那几件事，一旦它开始做别的事，就被拦住。

六、⚠️ 2026 现状

• 零信任已经成为主流架构范式。 2026 年的权威架构指南基本都把它当作默认思路："永不信任、始终验证"——每个请求（用户、设备、服务）都必须经过认证、授权和加密，不存在"因为在内网所以可信"。参考架构通常围绕三个支柱：身份感知代理、微隔离、持续验证。
• "内网就是可信的"这个假设已被明确抛弃。 主流观点认为：现在的网络边界不是一个围在办公楼外面的墙，它已经无处不在——员工在家、在咖啡馆、在客户现场；应用跑在多个云和一堆外部服务上；数据在本地服务器、云存储、移动设备和第三方之间流动。所以"墙内可信"的前提不成立了。
• 分段本身也在换代：从网段到"微边界"。 传统的网段划分限制的是广播域；现在的分段限制的是影响范围——每个工作负载、每个服务层、每个用户组都有自己的策略域。有一个具体的实践例子很能说明价值：一家原本是"完全扁平网络"的机构，做完分段之后，当员工三个月后点了钓鱼邮件链接时，恶意程序被困在工作站那一段，根本到不了存客户财务数据的那台服务器——在扁平结构下，这一次点击很可能就是一次重大数据泄露。
• DMZ 是不是"过时了"？——仍有价值，但形态在变。 有观点认为现代零信任架构会质疑传统 DMZ 的必要性，理由是"加密和认证的连接应该允许内部客户端直接访问外部服务"。但主流实践仍然保留它，因为它的价值不在"隔离"这个形式，而在"把预期会被攻破的东西集中放在一处"。所以结论是：DMZ 不会被取消，但它的边界会越来越细（多入口、按应用划分）。
• 一个必须区分的层次：虚拟局域网解决不了所有问题。 传统做法是用虚拟局域网加防火墙策略做分段；但在云环境里"按网络分段"的有效性大幅下降——因为虚拟机之间的流量不过物理设备。所以云上要靠按工作负载做策略（微隔离），这也是为什么主流合规框架越来越把微隔离当作硬性要求。
• 合规侧有明确的文字依据。 等级保护框架在"安全通信网络—网络架构"里要求：应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段。后半句值得反复读——它说的正是"别把值钱的东西放在最外层"。
• 实施顺序有个共识：先摸清依赖，再动刀。 架构指南给出的分阶段做法是：第一阶段盘点资产、画出数据流、先把身份与多因子做起来；第二阶段对最核心的应用做微隔离、在互联网出口启用加密流量检查；第三阶段扩展到生产系统和云；第四阶段持续验证（设备状态检查、基于风险的认证、自动隔离）。 并特别给了一条警告：跳过第一阶段（没有准确的资产与流量数据就切割）的结果是"分段把应用搞坏、并且催生影子资产"。
• 一个务实的自查动作：先跑 72 小时的全网流量分析，把真实的通信关系画出来，再挑三个最核心的应用设计分段策略。没有依赖图就切段，一定会切坏业务——而且切坏之后，业务方会把责任算在安全头上。

30 秒实验

看一眼你家里或办公室的网络，回答三个问题：

1. 智能设备（摄像头、扫地机器人、智能音箱、电视）和你的电脑手机在同一个网络里吗？
2. 来访的客人连的 WiFi，能访问到你的电脑或 NAS 吗？
3. 如果摄像头被攻破（它的固件大概是全家最久没更新的），它能顺着网络摸到你的电脑吗？

如果第 1 题和第 3 题的答案是"是"和"能"，那你就明白这一节要解决的是什么了——你家也有一个"扁平网络"。

这一节要带走的一句是：分段不是为了让攻击进不来（那做不到），而是为了让攻击进来之后走不远——而"走不远"能救下的，往往正是最贵的那几样东西。

常见误区

1. 错误：分段主要是为了防外网攻击。——纠正：分段防的是"内部的扩散"，不是"外部的进入"。 它管的是塌方范围——一台机器被拿下之后能走到哪里。防外网进入是 2-9 那类边界手段的事。把这两件事混起来，会导致分段方案设计得偏（比如把力气全花在边界，内部还是扁平）。

2. 错误：有防火墙就够了，不用再分段。——纠正：防火墙管"段与段之间"，分段管"分不分得开"。 两者是配合关系：先有分区（结构），才谈得上在区间放策略（规则）。而且防火墙看不见同一段内部的通信——如果整个内网是一段，那么内部横向移动根本不会经过任何防火墙。分段是给防火墙创造着力点。

3. 错误：DMZ 里的机器反正暴露在外，安全上怎么配都无所谓。——纠正：DMZ 的纪律恰恰最严。 因为这里的机器是预期会被攻破的，所以更要保证：里面不放数据库和管理后台、只开必须的端口、日志更密、绝对不能允许它主动向内网发起连接。 换句话说，DMZ 的设计前提就是"它一定会被攻破"，设计的目标是"被攻破也不影响内网"。

4. 错误：云上就不用分段了，反正有云厂商的安全组。——纠正：云上更需要分段，只是做法不同。 传统按网段切的办法在云上着力点不足（虚拟机之间的流量不过物理网络设备）。所以要改用按工作负载做策略的微隔离：明确"这一台只能跟那几台说话"。主流合规框架也越来越把微隔离当作硬性要求。

• ☐ 下一节（2-14 管理网络连接）

相关笔记

• 应当在哪里防御 —— 上一篇：内部这一段为什么最容易被忽略
• 管理网络连接 —— 下一篇：最朴素的准入手段，以及它为什么不灵了
• 非法访问的基本防御对策 —— 分段给防火墙创造了着力点
• 权限只交给合适的人 —— 最小权限的落点就是"限制塌方范围"
• 🛡️ 网络与信息安全 · 索引 —— 全课路线图