Blog

办公网多 VLAN 与跨三层 ACL：一张能讲给老板听的分段图

June 16, 2025 3 min read
网络VLANACL

最早办公网是「一个 /24 打天下」：财务电脑、前台访客 Wi-Fi、监控 NVR、打印服务器全在同一广播域。某次勒索样本在实验机上跑起来后，我终于有了政治理由做分段。目标不是 Cisco 教材级三层，而是 一张图能画清、一套 ACL 能讲清、半夜能回滚。

分段原则（先写纸上）

VLAN 用途 示例网段
10 员工终端 10.10.10.0/24
20 服务器 / AD / 文件 10.10.20.0/24
30 访客 10.10.30.0/24
40 弱信任（打印/IoT/监控） 10.10.40.0/24
99 网络设备管理 10.10.99.0/24

原则：

  1. 访客默认只能上网，不能进 10/20/99
  2. 终端访问服务器：只放必要端口（文件、AD、业务）
  3. 管理网只有 IT 跳板和运维网段能进
  4. 弱信任区不能主动连终端

地址与网关

核心/三层交换或防火墙上建 SVI（或子接口）。DHCP 按 VLAN 分开，Option 下发正确 DNS（指向内网 DNS，而不是只指运营商）。

VLAN10 SVI 10.10.10.1/24
VLAN20 SVI 10.10.20.1/24
...
默认路由 -> 出口防火墙

交换机 access 口贴标签：墙插面板写 VLAN，比只在脑子里记端口表可靠。Trunk 上联只放行需要的 VLAN，避免「全放行当习惯」。

ACL 最小集（示例逻辑）

在网关方向用「从源网段到目标网段」描述，落地时改成设备语法（编号 ACL / 对象组均可）。

# 访客 -> 任意内网 RFC1918 : deny
# 访客 -> 互联网 : allow
# 终端 -> 服务器 : allow TCP 445, 88, 389, 443, 业务端口
# 终端 -> 管理网 : deny（除 IT 组）
# 弱信任 -> 终端 : deny
# 管理网 -> 设备 : allow SSH/HTTPS（源限制跳板）

常见错误：ACL 写在错误方向；放行了 any any 在最后却把 deny 写在后面；只拦 TCP 不拦同网段已经二层直达的流量——同 VLAN 内 ACL 管不住，分段才是前提。

变更顺序（避免把自己锁死）

  1. 先建 VLAN/SVI/DHCP，终端仍在旧网
  2. IT 电脑迁到新 VLAN，验证上网、AD、共享
  3. 服务器迁入 VLAN20（或新建服务器直接进 20）
  4. 再贴 ACL；ACL 先 monitor/日志再 enforce（设备支持的话）
  5. 访客 SSID 绑定 VLAN30

回滚点：旧 SVI 与旧 DHCP 先别删，保留一个「跳回大二层」的窗口期。

打印机与扫描：分段后的哭声

跨 VLAN 后发现类协议（Bonjour/mDNS、部分厂商发现）会哭。处理策略：

  • 打印机进 VLAN40，驱动用 IP 添加
  • 扫描到邮箱走服务器，不走「电脑发现打印机」
  • 不为了省事把 40 和 10 做二层互通

验收

  • 访客电脑扫不到 \\files
  • 员工映射盘与登录 AD 正常
  • 管理地址仅 IT 跳板可 SSH
  • 出口流量与核心 CPU 无异常尖刺

小结

办公网分段是网络工程师的基本交付物： 图、地址表、端口角色、ACL 意图、回滚步骤 五件套。技术不难，难的是在「先上网再说」的文化里卡住变更窗口。等出了事再分段，成本永远高于安静的那个周末。

← Back to Blog