前言：為什麼「一個大平網」是最大的資安風險
許多中小企業的網路架構仍然是「一個大的扁平網路」——所有裝置、伺服器、印表機、監視攝影機、訪客 Wi-Fi 全部在同一個網段。這意味著一旦任何一個裝置被入侵，攻擊者就能自由地存取網路中的所有其他裝置。
2023 年某國際連鎖飯店的資安事件就是典型案例：攻擊者透過一台連網溫度計入侵了飯店的 IoT 網路，由於沒有網路分段，攻擊者從溫度計跳到了 POS 系統，竊取了數百萬筆信用卡資料。如果飯店有做基本的網路分段，IoT 設備與 POS 系統在不同的 VLAN 中，這起事件根本不會發生。
網路分段（Network Segmentation）是零信任架構的基礎，也是成本效益最高的資安措施之一。本文將從基礎概念到進階的微分隔策略，提供完整的實踐指南。
一、網路分段的核心概念
什麼是網路分段？
網路分段是將一個大型網路劃分為多個較小的子網路（Subnet），每個子網路有獨立的存取控制規則。不同子網路之間的通訊必須經過路由器或防火牆，讓管理員可以控制誰可以存取什麼。
網路分段的三大效益
- 縮小攻擊面（Blast Radius）：即使一個區域被入侵，攻擊者無法橫向移動到其他區域
- 簡化合規：PCI DSS、HIPAA 等法規要求將處理敏感資料的系統與一般網路隔離
- 改善效能：減少廣播域大小，降低不必要的廣播流量，提升網路效率
分段的三個層次
| 層次 | 技術 | 粒度 | 適用場景 |
|---|---|---|---|
| 基礎分段 | VLAN + ACL | 部門 / 功能 | 所有企業（最低要求） |
| 區域分段 | 防火牆區域 | 安全等級 | 有伺服器或對外服務的企業 |
| 微分隔 | Host-based Firewall / SDN | 應用 / 工作負載 | 高安全需求或雲端環境 |
二、VLAN 設計最佳實踐
VLAN（Virtual LAN）是實現網路分段最基本且成本最低的技術。透過在交換器上配置 VLAN，可以在同一組實體網路設備上建立多個邏輯上獨立的網路。
建議的 VLAN 規劃
| VLAN ID | 名稱 | 用途 | 子網 |
|---|---|---|---|
| 10 | Management | 網路設備管理（交換器、AP、防火牆） | 10.0.10.0/24 |
| 20 | Server | 伺服器群組（AD、DNS、ERP、檔案伺服器） | 10.0.20.0/24 |
| 30 | Office | 一般辦公室電腦 | 10.0.30.0/24 |
| 40 | Finance | 財務部門（高敏感區域） | 10.0.40.0/24 |
| 50 | R&D | 研發部門（智慧財產保護） | 10.0.50.0/24 |
| 60 | WiFi-Corp | 企業 Wi-Fi（員工裝置） | 10.0.60.0/24 |
| 70 | WiFi-Guest | 訪客 Wi-Fi（僅限上網） | 10.0.70.0/24 |
| 80 | IoT | IoT 設備（攝影機、門禁、感測器） | 10.0.80.0/24 |
| 90 | VoIP | IP 電話系統 | 10.0.90.0/24 |
| 100 | DMZ | 對外服務（Web Server、Mail Server） | 10.0.100.0/24 |
| 999 | Quarantine | 隔離區（不合規裝置） | 10.0.99.0/24 |
VLAN 設計原則
- 不使用 VLAN 1：VLAN 1 是預設 VLAN，許多交換器的管理流量預設在 VLAN 1，將其保留空白可避免安全隱患
- 留有擴展空間：VLAN ID 之間留間隔（如 10, 20, 30），方便未來新增
- 命名一致：使用清楚且一致的命名規則，方便維運識別
- 文件化：維護 VLAN 對照表，記錄每個 VLAN 的用途、子網、閘道與 DHCP 範圍
- Trunk Port 安全：僅在必要端口啟用 Trunk，且限制允許通過的 VLAN 清單
三、防火牆區域規劃
VLAN 只是第一步。要真正控制不同網段之間的流量，需要在防火牆上定義安全區域（Security Zone）與存取規則。
典型的區域架構
- Trust（信任區）：內部辦公網路，安全等級最高
- Untrust（非信任區）：網際網路，安全等級最低
- DMZ（非軍事區）：對外服務區，介於 Trust 與 Untrust 之間
- Server Zone：內部伺服器區，僅允許必要的服務連接
- IoT Zone：物聯網設備區，嚴格限制對外與對內的通訊
- Guest Zone：訪客區，僅允許 HTTP/HTTPS 對外連線
區域間的存取規則原則
| 來源區域 | 目的區域 | 預設策略 | 例外 |
|---|---|---|---|
| Office | Server | 允許（限特定服務） | 僅允許 AD、DNS、ERP、檔案分享等必要端口 |
| Office | Internet | 允許（經過 UTM 檢查） | 封鎖高風險網站類別 |
| Guest | Server | 全部拒絕 | 無例外 |
| Guest | Internet | 允許（僅 HTTP/HTTPS） | 限制頻寬 |
| IoT | Server | 全部拒絕 | 僅允許特定管理通訊 |
| IoT | Internet | 限制性允許 | 僅允許裝置更新與雲端回報 |
| DMZ | Server | 限制性允許 | 僅允許 Web Server 存取後端資料庫的特定端口 |
| Internet | DMZ | 限制性允許 | 僅允許 80/443 |
| Internet | Trust | 全部拒絕 | 僅透過 VPN |
四、微分隔（Micro-Segmentation）
傳統的 VLAN + 防火牆分段在「東西向」（同一區域內的設備之間）流量控制上有其限制。微分隔將安全邊界推進到每一個工作負載（VM、容器、伺服器）層級。
微分隔的實現方式
- Host-based Firewall：在每台伺服器上啟用 Windows Firewall / iptables，定義精細的連入/連出規則
- SDN 解決方案：VMware NSX、Cisco ACI 等軟體定義網路平台，提供虛擬化的分段能力
- 零信任平台：Illumio、Guardicore（Akamai）等專業微分隔平台
- 雲端原生：AWS Security Groups、Azure NSG、GCP Firewall Rules
微分隔實施策略
- 第一步：可視化 — 使用流量分析工具（如 ntopng、Elastic）了解現有的通訊模式
- 第二步：建立基準 — 記錄合法的通訊關係（哪些伺服器需要與哪些伺服器通訊）
- 第三步：監控模式 — 先以「偵測但不阻擋」模式運行，驗證規則不會中斷正常營運
- 第四步：強制模式 — 確認無誤後切換為強制模式，阻擋所有未經授權的通訊
五、實施網路分段的常見挑戰
1. 老舊設備不支援 VLAN
部分舊型設備（如工業控制器、舊款印表機）不支援 802.1Q VLAN 標記。解決方案：
- 將這些設備連接到專屬的 Access Port（Untagged VLAN）
- 透過實體隔離（獨立交換器）實現分段
- 使用 Port-based VLAN，無需設備端支援
2. 跨 VLAN 的應用需求
某些應用程式需要跨多個 VLAN 通訊（如 ERP 需要存取多個部門的資料庫）。處理方式：
- 在防火牆上建立精確的「允許」規則（指定來源 IP、目的 IP、端口）
- 使用應用程式代理（Application Proxy）集中存取控制
- 考慮將應用伺服器放在獨立的 Server VLAN，各部門透過防火牆規則存取
3. 維運複雜度增加
分段後，網路管理的複雜度確實會增加。建議措施：
- 自動化配置：使用 Ansible、Terraform 等工具管理交換器與防火牆設定
- 集中管理：使用 FortiManager、Cisco DNA Center 等集中管理平台
- 完整文件：維護網路拓撲圖、VLAN 對照表、防火牆規則文件
- 變更管理：所有網路變更需經過審核流程，避免配置錯誤
4. 效能疑慮
跨 VLAN 通訊需要經過三層路由，是否會影響效能？
- 現代三層交換器（L3 Switch）的路由是硬體處理，延遲通常在微秒等級
- 防火牆處理可能增加些微延遲，但對一般企業應用影響可忽略
- 對延遲敏感的應用（如即時通訊、VoIP），可透過 QoS 優先處理
六、網路分段與零信任的結合
網路分段是零信任架構的基礎層。在零信任模型中，網路分段與身份驗證、存取控制形成三位一體的防護體系：
- 網路層：透過 VLAN 與防火牆限制網路可達性
- 身份層：透過 802.1X、NAC 驗證裝置身份，決定放入哪個 VLAN
- 應用層：透過 ZTNA 代理驗證使用者身份，控制應用程式存取
三者結合，才能實現真正的「永不信任，持續驗證」。
七、實施路線圖
對於尚未實施網路分段的企業，建議以下分階段計畫：
第一階段：基礎分段（1-2 週）
- 規劃 VLAN 架構（至少分出 Server、Office、Guest、IoT 四個區域）
- 在交換器上配置 VLAN
- 在防火牆上定義區域與基本規則
- 將訪客 Wi-Fi 隔離到獨立 VLAN
第二階段：細化規則（2-4 週）
- 收集流量數據，了解實際通訊需求
- 建立更精細的防火牆規則（限制端口與協定）
- 將財務、研發等高敏感部門分離到獨立 VLAN
- 啟用 802.1X 或 MAC 認證
第三階段：進階強化（1-3 個月）
- 部署 NAC（Network Access Control）自動化裝置分類
- 在關鍵伺服器啟用 Host-based Firewall 實現微分隔
- 整合 SIEM 監控跨 VLAN 的異常流量
- 定期審查防火牆規則，移除過期或過度寬鬆的規則
重點摘要
- 網路分段是限制勒索軟體橫向擴散的第一道防線
- 基本分四區：辦公、伺服器、訪客/IoT、管理
- VLAN 之間必須用防火牆規則控制存取（最小權限原則）
- 是零信任架構的基礎，也是 ISO 27001 的基本要求
有任何問題，歡迎與我們討論。
預約免費網路架構評估 →