網絡與信息安全 / 局域網訪問控制
企業局域網訪問控制
煜企從業務流、設備、網段與服務器資源開始，把 VLAN 分區、跨 VLAN ACL、防火墻執行點和權限矩陣連成一條可驗證、可交接的訪問路徑。它解決的是“哪些設備能訪問哪些資源”，不是物理通行。
讓設備、網段與服務器權限形成清晰的管理邊界。
01先把業務流和訪問問題說清楚
訪問權限不能只停在“分了幾個 VLAN”
辦公終端、服務器、管理設備和受限終端之間，真正需要回答的是誰訪問什么、使用哪個服務、由哪里執行、結果如何留痕。
先把業務流和現有拓撲還原出來，再決定網段、網關、ACL、防火墻策略與日志責任。沒有實際路徑和資源清單時，不把“默認互通”或“全部經過防火墻”當成事實。
業務需求沒有落到網段
應用、終端和服務器之間的真實調用關系沒有被整理，VLAN 變成孤立的編號，策略也無法解釋誰為什么能訪問。
分區有了，執行點不清楚
網段劃分只是邊界起點；跨 VLAN 訪問要在實際三層網關、ACL 或規劃的防火墻路徑上執行，不能把 VLAN 當成完整授權。
權限表沒有變成規則
如果源、目標、服務、動作、責任人和日志要求沒有對應關系，臨時放行會越積越多，變更也很難回退。
02分區、執行點與權限矩陣
把訪問控制放到真正會執行的地方
業務需求先進入網段和資源分區，再由三層網關 ACL 或規劃的防火墻邊界執行具體規則；權限矩陣把源、目標、服務、動作和證據對齊。圖示是關系說明，不代表某個項目的實際拓撲，也不把所有流量都畫成經過防火墻。
業務訪問需求進入 VLAN 和網段分區，經過三層網關 ACL 作用到服務器與業務資源；權限矩陣提供規則依據，指定的跨區路徑才進入防火墻策略。示意不表示同一 VLAN 內流量必經防火墻。
東向流量必須經過已經配置并驗證的執行點；出口防火墻存在，并不意味著它會自動管住所有內網流量。
EXAMPLE權限矩陣示例
示例值，需按現網拓撲、業務流、端口與設備能力核對；同一 VLAN 內流量通常不會經過防火墻。
| 源網段 / 主體 | 目標資源 | 服務 | 動作 | 執行點與證據 |
|---|---|---|---|---|
| 辦公終端 VLAN（示例） | 應用服務器 VLAN（示例） | HTTPS / 443 | 按業務允許 | 三層 ACL 或指定防火墻邊界；記錄命中 |
| 辦公終端 VLAN（示例） | 管理網段（示例） | 任意 | 默認拒絕 | 網關 ACL 拒絕并記錄；例外需審批 |
| 運維終端 VLAN（示例） | 服務器管理地址（示例） | SSH / 22、HTTPS / 443 | 按角色允許 | 管理邊界 ACL/防火墻；保留操作日志 |
| 訪客或受限終端 VLAN（示例） | 內部服務器 VLAN（示例） | 任意 | 拒絕 | 三層網關拒絕；驗證隔離和告警 |
03煜企如何參與
煜企能為客戶做什么
把業務流需求、分區、策略執行點、設備供貨和驗證交付放在同一份實施范圍里，按真實設備、網段、服務器和維護窗口逐步確認。
業務流與資產盤點
從應用調用、終端類型、服務器角色、網段和現有路由開始，確認本次要管的對象、依賴、責任人和不能直接假設的路徑。
VLAN 分區與訪問邊界設計
按辦公、服務器、管理、受限終端等用途整理網段和網關邊界；VLAN 負責分區，不把它單獨寫成完整訪問控制。
跨 VLAN ACL 與防火墻策略
把源、目標、協議端口、動作、日志和例外寫成有執行點的規則，按現網拓撲決定由三層網關 ACL、路由策略還是防火墻承載。
權限矩陣與最小授權
將業務角色、設備/網段、服務器資源和服務端口逐項對應，明確允許、拒絕、觀察和臨時例外的責任邊界。
設備選型、供貨與配置
結合交換、路由、防火墻、服務器和日志條件，協助選型、報價、供貨、上架與配置銜接，不把示例規則冒充現網結論。
分批測試、交付與維護
先在代表性網段驗證業務訪問、隔離、日志和回退，再逐批擴大范圍，交付拓撲、矩陣、配置備份、測試記錄和變更路徑。
05常見問題
先把網段、執行點和驗證條件問清。
VLAN 本身就是完整的訪問控制嗎？
不是。VLAN 主要劃分廣播域和網絡分區；跨 VLAN 的路由、ACL、防火墻策略、資源授權和日志，才共同決定具體訪問權限。同一 VLAN 內的本地交換流量也不應默認被描述為經過防火墻。
跨 VLAN 流量一定要經過防火墻嗎？
不一定。是否經過防火墻取決于實際網關、路由和安全邊界設計；可以在三層網關執行基礎 ACL，也可以把指定跨區路徑送到防火墻檢查，必須先按現網拓撲確認執行點。
權限矩陣中的網段和端口可以直接照抄嗎？
不能。頁面中的表格明確是示例，實際需要結合業務流、服務器角色、協議端口、設備能力、日志要求和維護窗口核對，再分批測試、觀察和回退。
下一步 / POLICY REVIEW
從一條真實業務流開始。
告訴我們終端、網段、服務器資源、現有網關與防火墻邊界，以及維護窗口，一起確認盤點、策略、試點、測試和交接范圍。