企业内网边界怎么划：从 VLAN 到权限最小化

都图对"治域"的理解是三步：定界、理流、提效。安全也是同样的次序——先把界线划清楚，后面的审计、追责、优化才有依据。边界不清的网络，做再多加固也只是在补漏。

一、"界"是安全的第一件事

很多企业内网是"一锅粥"：办公电脑、服务器、监控、门禁、访客 WiFi 在同一个二层网络里，任意终端都能扫到任意设备。这种结构下，一台中招的办公电脑就可能横向移动到数据库。问题不在防火墙配置得好不好，而在本来就没有界线。

二、第一步：按业务与敏感度分层

划分原则是"按敏感度和用途分层，不按楼层和部门分层"。下面是一个可以直接参考的五分区结构。

三、第二步：访问控制，先写白名单

• 默认拒绝、按需放行——不是默认放行再补规则，两种做法在半年后的结果完全不同
• 东西向流量同样要管：服务器之间的横向访问，往往是攻击者最想利用的通道
• 每条规则都要有备注：谁申请的、为什么需要、什么时候到期

没有备注的规则等于永久规则。清理一次防火墙策略时，最先被删不掉的，就是那些"不知道谁在用"的条目。

四、第三步：账号与权限最小化

1. 一人一号，禁止共用账号，管理员操作全部通过堡垒机留痕
2. 权限按角色授予，不按"方便"授予；能只读的就不给写权限
3. 临时授权必须带有效期，到期自动回收
4. 离职与转岗当天完成权限回收，并留下可追溯的记录

五、界是活的：把变更管起来

新系统上线、新员工入职、新业务开通、临时远程支持，都会带来新的访问需求。如果没有变更流程，所有需求都会以"先临时开通一下"的方式落地，边界会在半年内被磨穿。

做法很简单：所有访问变更走同一张单子，写明用途、范围、期限、审批人。三个月回头看这张单子，你会清楚地知道边界是在哪里、因为什么被放宽的——这本身就是最有价值的审计材料。