## 适用场景
所有服务器挤在同一内网网段，一台失陷即可扫描全网，这是横向移动最肥沃的土壤。分段的价值就在于把这片土壤切开后逐块隔离，单点失陷的影响半径从全网缩到一区，处置窗口也随之宽裕许多。网络分段的第一个最小方案，就是把业务区与管理区拆开：对外服务的机器一个区，运维入口与内部系统一个区，两区之间只留受控通道。
## 步骤清单
第一步，画图。列全资产，标注每台机器的角色、对外暴露面与互访关系，这张图就是分段的设计图。第二步，划区。业务区、数据区、管理区至少三块，数据库尽量单独成区，只接受业务区指定端口访问。第三步，设通道。管理区是进入各区的唯一入口，运维先登录跳板，再访问目标机器，跳板机开多因素认证。第四步，落规则。用防火墙规则实现区际策略：默认拒绝，按需放行，管理区到各区放行管理端口，业务区到数据区只放行数据库端口，其余全部拒绝。顺云防火墙规则可以承载这类策略的落地。
## 验证方法
从业务区机器尝试扫描管理区与数据区，应当不通；从跳板访问目标管理端口，应当通。用真实运维路径走一遍，确认没有影响正常工作，再收尾文档化。
## 注意事项
分段是一次性改造加长期维护，新增机器必须归区，否则规则逐渐失效。规则变更走工单留痕。分段不必一步到位，先分管理区，再逐步细化数据区。分段落地后要防止策略漂移：新服务的接入申请里必填目标分区与所需互访关系，评审时当场更新网络图，图与规则不一致就暂停放行。每季度做一次策略核对，清理不再需要的放行项，规则集越精简，安全性与可维护性越高。跳板机的登录记录纳入例行巡检，管理通道的纪律比分区本身更关键。