VLAN 网络分段指南：设计、映射与测试您的网络
Published
即使网络拥有访客WiFi名称、员工网络和一系列设备网络，但也可能因一条宽松的规则，导致访客笔记本电脑能够访问员工服务器。VLAN列表看起来可能很整洁，但真正有价值的问题是：设备是否能够访问任何不该访问的内容。
VLAN 分段为您提供了一种在共享交换基础设施上分隔流量的实用方法。但这并不能证明分隔就是安全的。请从分组及其必要的连接开始，尽可能按身份分配设备，然后测试应当允许和阻止的路径。
目录
- 适用于访客、员工和设备的参考 VLAN 映射图
- 如何根据资产盘点设计网络分段
- 通过 RADIUS 将身份映射到 VLAN
- 限制横向移动的分段规则
- 随着设备和人员的变化保持 VLAN 分配准确
- 测试分段是否真正生效
- 确认分段映射图并在一个站点试点
适用于访客、员工和设备的参考 VLAN 映射图
VLAN 将一个物理交换架构拆分为独立的广播域，因此一个逻辑网络中的设备不会自动属于另一个网络。IEEE 802.1Q 使用 VLAN 标识符（VID）对以太网帧进行标记，交换机利用该标识符将流量与正确的虚拟 LAN 保持关联，如 IEEE 802.1Q 标准 中所述。
这是包含访客、员工、楼宇设备、承包商和租户的场所的初始规划图。VLAN 编号为示例分配，非通用强制要求。承包商和租户 ID 填写为 50 和 60，以展示为需要独立网段的群体预留空间的一种方式。
| 细分 | 网络 | VLAN | 设备加入方式 | 可从此 VLAN 访问 |
|---|---|---|---|---|
| 访客与自带设备 (BYOD) | 开放 | 10 | 强制门户或 Passpoint，并记录知情同意 | 仅限 Internet，启用客户端隔离 |
| 员工笔记本电脑和手机 | 安全 | 20 | 通过 MDM 的 EAP-TLS，或通过 Entra ID、Okta 或 Google Workspace 的 SSO | 仅限指定的内部服务器和打印机 |
| 门锁、温控器、漏水传感器 | xPSK | 40 | 每台设备绑定一个 MAC 密钥 | 仅限供应商云端，访客无法访问 |
| 运维承包商 | xPSK | 50 | 有时限的密钥，无需 MDM | 仅限工作所需的系统，访问权限在工作最后一天结束 |
| 租户或特许经营商 | xPSK | 60 | 每个租户一个密钥 | 独立 VLAN，与顾客和购物中心系统隔离 |
应将该表视为预期访问的映射图，而不是证明访问方式完全符合书面规定的凭证。VLAN 提供逻辑隔离，可以使不断扩大的网络更容易运营，但 VID 本身并不生成精细的安全策略。干道连接（Trunking）、接入端口分配、路由和边界规则都必须符合设计要求。
VLAN 仍然是一个常见的网络基础：在一项针对 352 位医疗保健和制造业安全领袖的 Omdia 调查中，64% 的受访者已经或计划使用 VLAN。该调查还发现，近 50% 的受访者在过去一年中经历过涉及横向移动的安全事件，这也提醒我们网络区域需要超越 VLAN 标签本身的安全控制能力（Omdia 微隔离报告）。
在对任何交换机配置进行更改之前，请先起草属于您自己的表格版本，其中包含所有者和可达系统。
如何根据资产清单设计网络段
首先思考团队经常忽略的问题：哪些设备必须与哪些设备进行通信？ VLAN 编号可以在后续分配。在了解存在哪些设备及其需要访问的内容之前先分配 ID，会导致创建出难以解释且更难维护的网段。
CISA 网络基础设施安全指南 建议将用途相似的设备归类，并将安全要求不同的组件进行隔离。对于风险较高的环境，这意味着划分独立的 IT 和自动化技术 VLAN，并配以 3 层访问控制和应用感知型防火墙。
请按照以下顺序将资产清单转化为有效的设计：
盘点设备和所有者。 列出终端、系统和管理接口，包括摄像头、收银机、建筑物控制和网络设备。记录每个资产的所有者以及谁可以批准其访问权限。未知设备往往会被连接到任何可以联网的地方，从而获得意料之外的访问权限。
按用途和风险进行分组。 将访客设备、员工终端、支付系统、摄像头、建筑物控制、服务器和网络管理划分开来。当访问需求和风险相当时，类似的业务功能可以共享一个区域。
记录最低合规流量。 对于每个必需的连接，捕获源、目的地、协议和端口。如果团队无法说明为何需要某个流量，请将其视为待删除项，而非待允许的特例。
每个组创建一个 VLAN 和 IP 子网。 在环境需要时，将高风险的运营技术（OT）与 IT 隔离。根据业务和安全需求选择边界，而不是根据交换机的物理位置。
在受控边界处设置跨 VLAN 路由。 通过防火墙或团队可以应用策略的 Layer 3 控制点进行路由。不要仅仅因为 VLAN 的名称不同就保持路由开放。
先拒绝，再添加精准的特例。 将每个已批准的规则限制在所需的协议、端口、方向和目的地。记录所有者对每个特例的批准。
从一开始就记录边界决策日志。 使允许和拒绝的流量可视化，以便团队可以审查规则的作用。
例如，餐饮集团可能会将 POS 终端与厨房显示屏分隔开。如果唯一需要的交互是 POS 系统在一个端口上向刷卡机发送交易，则应仅允许该特定路径，而不是在两个 VLAN 之间开放通用访问。
编号方案可以使策略更易于阅读。例如按区域保留范围，如 10 代表访客，20 代表员工，40 代表设备，为以后的分组留下间隔。在方案符合现有地址规划的前提下，将子网的第三个八位字节与 VLAN ID 对应，也可以使防火墙规则更易于扫描。
对于一条您今天就可以进行审查的规则，不妨询问：我能否说明该规则的负责人及其背后的业务流程？ 如果不能，请勿将其纳入已批准的设计中。
通过 RADIUS 将身份映射到 VLAN
设备不必与共享无线网络上的所有其他设备加入同一个 VLAN。通过基于身份的分配，身份验证决定了网络放置位置。
接入过程中会发生什么
典型的 802.1X 加入遵循清晰的顺序。设备通过无线接入点或交换机发送身份验证请求，网络将其转发至 RADIUS。RADIUS 检查身份，如果接受请求，则返回 VLAN 属性。然后，交换机或无线接入点将该会话置于分配的 VLAN 上。
通常用于识别 VLAN 的属性包括：Tunnel-Type 设置为 VLAN、Tunnel-Medium-Type 设置为 802，以及 Tunnel-Private-Group-ID 设置为 VLAN 编号。这些值需要与网络中配置的 ID 匹配；正确的身份配对错误的属性可能会将设备分配到错误的网段。
将映射应用于人员和设备
对于员工，EAP-TLS 可以使用通过移动设备管理颁发的证书。受管理的员工笔记本电脑在身份验证期间出示其证书，身份策略可以将其置于员工 VLAN 中。这避免了依赖共享的 WiFi 密码作为访问的基础。
第二条路径始于员工身份提供商。来自 Entra ID 或 Okta 的组成员身份可以通过 SAML 和 SCIM 传递，例如，财务组成员可以获取员工 VLAN，而承包商组则获取专属的 VLAN。如需深入了解此架构中访问控制方面的更多内容，请参阅 WiFi 访问控制和基于身份的访问。
某些设备无法运行 802.1X。对于这些设备，绑定 MAC 地址的密钥可以提供单独的凭据和明确的 VLAN 分配。在需要撤销某台设备且不影响使用同一网络的其他设备访问权限时，请使用单设备密钥。
当环境有需求时，条件访问和设备安全状态评估应成为加入决策的一部分。如果设备未能通过所需规则的验证，请在身份验证阶段予以拒绝，而不是将其放置在所谓更安全的 VLAN 上并假设风险已被控制。
在配置 RADIUS 之前，请先在表格中写明组到属性再到 VLAN 的映射关系。同时也需包含回退行为：如果无法连接到 RADIUS，现有会话将保持连接，但新加入的连接请求将直接拒绝，而不是进入员工 VLAN。被停用的账户应在下一次尝试加入时被拒绝，且身份验证日志需记录具体时间和原因。VLAN 分配发生在登录时；除非添加专门的策略，否则在会话期间不会自动重新评估。
限制横向移动的网络段规则
置于可信 VLAN 中的设备，并不仅仅因为其接入位置可信就代表它是安全的。NIST 区分了网络隔离与零信任的概念：VLAN 创建的是子网层级的区域，而访问策略通常是在网关处针对主机组实施的。零信任不会基于网络位置赋予隐式访问权限（NIST SP 800-215）。
使用流量矩阵作为工作策略。相关条件与允许或拒绝的决策同等重要。
| 源 | 目的地 | 规则 | 条件 |
|---|---|---|---|
| 访客 (VLAN 10) | Internet | 允许 | 客户端隔离阻止同级设备 |
| 访客 (VLAN 10) | 员工 (VLAN 20) | 拒绝 | 无路由，默认拒绝 |
| 员工 (VLAN 20) | 访客 (VLAN 10) | 拒绝 | 无路由，默认拒绝 |
| 员工 (VLAN 20) | 指定的文件服务器 | 允许 | 仅限所需端口 |
| 设备 (VLAN 40) | 供应商云端 | 允许 | 仅限出站，目的地固定 |
| 设备 (VLAN 40) | 员工 (VLAN 20) | 拒绝 | 控制器通过一个批准的网关接入 |
| 承包商 | 楼宇控制系统 | 仅按例外情况允许 | 需要所有者批准和截止日期 |
访客规则在允许访问互联网的同时，可阻止访客设备之间发起相互连接。两条访客与员工之间的规则在两个方向上均拒绝访问，而不是依赖单侧策略来保护另一侧。员工仅能通过其服务所需的端口访问指定的文件服务器。设备可以向外联系其厂商的云服务，但厂商连接不应成为进入员工设备的途径。如果承包商需要访问楼宇控制系统，请仅授予所批准工作所需的权限，并在约定的截止日期将其删除。
VLAN 内的控制也很重要。除非有其他控制措施加以阻止，否则同一 VLAN 中的设备通常可以互相访问。在不需要对等通信的访客和设备网络中使用客户端隔离，并在员工终端上使用主机防火墙以限制本地连接。
保留以下网络段级别的安全防护措施：
- 移除默认访问权限：将未使用的交换机端口置于默认 VLAN 之外，并在可行的情况下停用它们。
- 避免使用活动的 Native VLAN：将 Native VLAN 设置为未使用的 ID。
- 限制 Trunk 端口：仅允许在各个交换机链路上传输所需的 VLAN。
- 保护管理网络：将网络管理归入独立的 VLAN，并且不提供从访客网络到该网络的路由。
增加 VLAN 数量并不自动意味着提升安全性。NIST 指南支持将关键资源隔离到不同的信任区，并在能改善遏制和监控能力的情况下逐步细分基础设施。然而，只要执行策略时考虑了身份和策略，较少且基于风险的区域可以比一长串细窄的 VLAN 更安全且更容易操作。在 Omdia 对医疗保健和制造业安全负责人进行的一项调查中，99% 的受访者正在部署或计划部署微隔离，而只有 9% 的受访者利用微隔离保护其关键系统（Omdia 关于微隔离差距的调查）。
在实际操作中，如果两个组具有相同的访问需求和风险级别，则可以将它们归入同一个区域。有关隔离访客访问权限的更多详细信息，请参阅这份 访客网络安全指南。
在设备和人员发生变化时保持 VLAN 分配准确无误
员工离职、承包商完成工作或更换锁具。每项变更都可能导致与 VLAN 关联的凭据过期，因此访问记录需要跟踪每个人或设备的身份与生命周期。
| 事件 | 操作 | 时间安排 | 对访问权限的影响 |
|---|---|---|---|
| 员工离职 | 停用账号；RADIUS 拒绝下一次加入请求 | 当天 | 员工 VLAN 访问权限结束 |
| 设备更换 | 撤销绑定 MAC 的密钥并发放新密钥 | 安装前 | 替代设备加入其设备类别的 VLAN |
| 长住访客退房 | 密钥在发放时设置的截止日期到期 | 截止日期 | 访客 VLAN 访问权限结束 |
| 承包商工作结束 | 有时限的密钥到期 | 工作的最后一天 | 承包商 VLAN 访问权限结束 |
| 租户搬离 | 仅撤销该租户的密钥 | 搬离时 | 其他租户保持连接 |
具有 MAC 绑定密钥的门禁锁在住客更换期间仍会保留其密钥和 VLAN。凭据属于硬件，而非离店住客。请在更换门禁锁时撤销该凭据，而不是在住客退房时。
对于楼宇控制和支付系统等高风险资产，在更改 VLAN 分配前，必须进行明确的变更控制。对于访客和其他临时访问，请设置凭据到期日期，以便在无需手动清理的情况下终止访问。
在多个站点之间，应保持共享的 VLAN 计划，并记录合法的本地差异。否则，交换机配置可能会成为记录位置设置方式的唯一凭据。请定期审查例外情况和未使用的密钥，并清理没有当前所有者的项目。评估该流程的标准应是身份是否仍映射到预期的网段以及访问权限是否在应当终止时终止，而不是根据映射中的 VLAN 数量来判断。
测试网络分段是否切实生效
测试可达性，而非 VLAN 数量。 对于每条预期的路径，请验证允许的连接是否正常，以及禁止的路径是否会在发起流量的设备或网络段中失败。
| 测试 | 源 | 目的 | 通过条件 |
|---|---|---|---|
| 横向连通性 | 访客 VLAN 10 | 员工 VLAN 20 | 零连接成功 |
| 访客内部对等连通性 VLAN | 访客设备 A | 访客设备 B | 被客户端隔离功能阻止 |
| Trunk 泄露 | 接入端口 | 未使用的 VLAN | 没有帧针对未使用的 VLAN 打标记 |
| 设备暴露 | 访客 VLAN 10 | 门禁控制器 | 连接被拒绝 |
| 例外检查 | 员工 VLAN 20 | 指定的文件服务器 | 仅批准的端口开放 |
常见的配置错误可能导致逻辑隔离失效。干道（Trunk）可能会传输不属于该链路的 VLAN 流量。原生 VLAN 可能会以意想不到的方式暴露流量。未管理的交换机端口可能会将设备置于默认 VLAN 中，而宽松的路由或过于宽泛的防火墙规则可能会重新打通设计中意图阻断的路径。
使用三项检查，然后重新测试变更
首先，对交换机和防火墙进行身份验证后的配置审查。检查接入端口上的 VLAN 成员身份、干道（Trunk）上允许的 VLAN、Native VLAN、路由接口以及允许跨 VLAN 流量的规则。
其次，在每个网段上运行漏洞扫描。扫描可以发现不应存在的系统、需要审查的暴露服务，以及预期拓扑图与已部署网络之间的差异。
第三，安排渗透测试，尝试从信任度较低的每个 VLAN 向信任度较高的区域进行横向移动。测试应针对真实的路径，而不仅是确认网络具有不同的 VLAN 名称。有关检查身份验证路径本身的指南，请参阅 如何测试 RADIUS 身份验证。
在针对 POS 供应商实施防火墙变更后，请重新测试从访客 VLAN 到 POS 系统的连通性，并确认访客流量仍被阻断。然后从批准的源端测试供应商例外规则，并确认仅开放了其批准的端口。
在每次发生相关变更后运行以下检查：
- 验证允许的路径：确认所需的应用程序仍可连接。
- 验证拒绝的路径：尝试进行策略规定必须失败的连接。
- 检查端口和 VLAN 分配：确认测试设备进入了预期的网段。
- 审查边界日志：确认已记录允许和拒绝的决定。
- 记录审批信息：为每一个生效的例外情况保留负责人和具体原因。
只有当未经授权的路径失败、边界决策已被记录且每个异常都有明确记录的所有者时，才算通过测试。当测试失败时，请修复规则并在关闭工单前重新运行相同的测试。
确认网络段地图并在一个站点进行试点
可靠的部署始于一份经认可的地图和一个团队能够根据真实设备验证设计的站点。请使用以下决策路径：
- 与负责人确认每个群体。 将该群体与 VLAN、身份源以及其需要访问的系统相匹配。
- 使用规划工具。 勾选当前连接到网络的内容，并检查每个群体在这三个网络中的归宿。
- 在一个站点试点。 与该站点的负责人一起运行可达性测试，并确认日常服务仍正常工作。
- 仅在试点通过后进行推广。 在将配置应用到其他地方之前，确保例外项绑定到指定的负责人。
Purple Access 使用三个 SSID 代替七个，由身份决定 VLAN，并将每个居民、租户或设备组置于其独立的区段中。其规划工具允许团队将当前连接的内容映射到这三个网络，并且专家设计会议可以在部署前对计划进行审查。
VLAN 是您必须证明的边界，而不是您分配的标签。
在更改交换机配置之前，请运行规划工具或预约设计会议。
Purple Access 可以将开放、安全和 xPSK 网络映射到现有无线接入点上基于身份的 VLAN 分配，并具备撤销和审计日志记录功能。使用 Purple Access 规划工具 来映射您当前的设备组，然后在部署前验证可达性规则。
