公司网络优化 核心交换机做ACL实现安全策略的问题

组网现状梳理
设备：F1000-AK125 防火墙、S5500 核心、S5120 汇聚、2024D/2016D 接入、AC+POE+AP 无线
当前架构：防火墙做所有 VLAN 三层网关 + DHCP；核心 S5500 仅二层转发；无线 VLAN4000 单独路由器出口；内网安全策略、高危端口拦截全部在防火墙实现
终端规模：有线 170 台、无线 200 台，总终端近 400 台
1、VLAN 网关 & DHCP 是否全部迁移到核心 S5500？
推荐方案：网关、DHCP 统一迁移至核心 S5500，防火墙仅保留出口 NAT + 边界安全
优势
性能分担：防火墙释放大量三层转发、DHCP 地址分配压力，专注边界防攻击、外网访问控制；S5500 三层转发性能远高于防火墙内网转发吞吐量。
扩展性更强：后续新增 VLAN、地址池、三层业务无需改动防火墙配置，变更风险更低。
故障隔离：内网三层转发故障不会影响外网边界安全策略。
配套改造点
S5500 创建所有业务Vlan-interface三层接口，配置各网段网关 IP；
S5500 全局配置 DHCP 地址池，绑定对应 Vlan-interface；
S5500 配置默认路由下一跳指向防火墙内网互联 IP；
防火墙删除所有内网 VLAN 接口，仅保留和 S5500 三层互联接口，配置回程静态路由指向 S5500 三层网段。
不建议保留防火墙做网关的场景：终端持续扩容、内网跨 VLAN 访问量大。
2、内网 VLAN 单独下沉到 S5120 汇聚是否合适？
结论：不建议全部下沉，仅按需局部下沉
不推荐全量下沉弊端
三层网关分散在多台 S5120，网段路由配置分散，运维复杂；
跨机房 / 跨 S5120 互访流量必须上穿核心 S5500，若 S5120 做三层会产生路由迂回；
DHCP、ACL、安全控制多设备重复配置，一致性难保障。
合理设计
所有业务 VLAN 三层网关统一在核心 S5500；
S5120、2024D/2016D 仅作为二层透传设备，Trunk 允许对应业务 VLAN；
仅特殊独立业务（如监控、工控）可在 S5120 做本地三层，单独隔离。
3、核心交换机 S5500 与防火墙是否改为三层互联？
结论：必须改成三层互联（推荐），放弃现有二层串联架构
当前二层互联缺陷
所有内网 VLAN 广播、未知单播全部透传到防火墙，占用防火墙 CPU；
防火墙需要配置全部内网 VLAN 接口，配置臃肿、故障排查困难；
内网广播风暴会直接冲击防火墙，存在边界断网风险。
三层互联标准配置
S5500 与防火墙各拿出一个独立千兆口，三层口配置同段互联地址（例：10.0.0.1/24、10.0.0.2/24）；
S5500：ip route-static 0.0.0.0 0 10.0.0.2 所有流量转发防火墙；
防火墙：静态回程路由，所有内网业务网段下一跳 10.0.0.1；
互联口只放行三层路由流量，隔绝内网广播报文。
4、无线单独路由器能否去掉，把无线出口整合到防火墙？
结论：可以拆除独立无线路由器，统一由防火墙做无线 VLAN4000 外网出口
改造方案
AC 上联 S5500 二层 Trunk，放行 VLAN4000；
S5500 创建Vlan-interface 4000三层网关，纳入统一 DHCP 地址池；
防火墙回程路由增加 VLAN4000 网段，NAT 策略同步新增无线网段访问外网；
无线、有线共用防火墙边界安全策略，统一管控上网行为、高危端口拦截；
收益
减少一台出口设备，简化拓扑，省去多设备路由维护；
有线 / 无线统一一套边界安全策略，权限管控一致；
无线流量不再经过额外路由器，转发链路缩短，降低延迟。
5、交换机 ACL 如何落地，替代原有防火墙内网安全策略？
分层 ACL 设计（核心 S5500 做内网访问控制，防火墙保留边界安全）
分层分工
核心 S5500 ACL（替代原有内网业务互访策略：shuzihua/caiwu/office/server 互访权限）
调用位置：所有业务Vlan-interface的 inbound 方向；
匹配逻辑：基于源 VLAN / 源 IP、目的服务器 IP 做允许 / 拒绝；
示例需求：财务仅能访问数据服务器、办公可访问监控 + 数据服务器，在 S5500 三层虚接口 ACL 实现跨 VLAN 访问隔离。
接入 / 汇聚 S5120/2024D ACL（端口安全、终端基础隔离）
调用位置：接入端口 inbound；
用途：限制单端口多 IP、禁止终端发起高危端口、防私接路由。
防火墙安全策略（仅保留外网边界管控）
外网 ↔ 内网访问控制、NAT、应用过滤、入侵防御、外网高危拦截。
ACL 编写规范
标准 ACL：匹配源 IP，用于端口限速、简单阻断；
高级 ACL 3000~3999：匹配源 / 目的 IP、端口、协议，实现业务互访权限；
执行顺序：精细化允许规则在前，末尾 deny all 兜底。
6、内网高危端口（21/135/139/445/3389 等）拦截，部署在 Vlanif 还是互联口？
最优分层部署方案（两处同时配置，纵深防御）
1）核心 S5500：所有业务 Vlan-interface inbound 拦截终端向外发起高危端口
作用：内网终端之间互访阻断高危端口，杜绝内网病毒横向扩散；
位置：每个业务Vlan-interface入方向高级 ACL，禁止源终端主动发起 135/445/3389 等端口访问任意内网地址。
2）S5500 ↔ 防火墙三层互联口 inbound（防火墙侧）
作用：拦截内网向外网发起高危端口请求，同时阻断外网主动访问内网高危端口；
补充：防火墙安全策略同步封禁对外高危端口，双层防护。
不推荐仅在互联口拦截的缺陷
如果只在防火墙互联口封禁，内网病毒仍可通过 445/135 在内网各 VLAN 横向传播，无法阻断内网横向渗透。
整体优化后标准架构总结
三层核心：S5500 承担全部内网 VLAN 网关、DHCP、内网 ACL 业务互访隔离、内网高危端口拦截；
三层边界：S5500 与 F1000 三层互联，防火墙仅负责外网出口 NAT、边界安全、外网攻击防御；
无线整合：拆除独立无线路由器，VLAN4000 无线流量统一走核心 + 防火墙出口；
二层接入：S5120、2024D/2016D、AC/POE 仅做二层转发，接入端口配置简易 ACL 做终端管控；
纵深安全：内网横向高危端口在核心 Vlanif 拦截，内外网边界高危端口在防火墙拦截，业务访问权限由核心交换机 ACL 实现。
补充风险提示
网关、DHCP 迁移属于重大变更，需窗口操作，提前导出新旧配置，做好回滚方案；
三层互联改造后，需完整测试跨 VLAN 互访、无线上网、服务器访问、打印、监控等全部业务；
ACL 批量部署前先在测试 VLAN 验证，避免 deny all 导致业务全断。

标准组网

核心网关加基础ACL【基于五元组控制，如禁止445，禁止跨网段等】

核心到FW走三层

在核心交换机上使用ACL（访问控制列表）实现安全策略，是进行网络隔离和访问控制的一种高效且常见的做法。

💡 为什么推荐在核心交换机上做ACL？

因为核心交换机通常是所有业务网段的三层网关，所有跨网段的流量都必须经过它。在这里做控制，可以实现“一次拦截，全局生效”，效率最高，无需将内网流量绕行到路由器再回来，避免了带宽浪费和延迟。

📝 核心配置思路与步骤

核心配置思想是：在需要被限制的VLAN接口的入方向（inbound）应用ACL，控制进入该网段的流量。

第一步：创建高级ACL

使用编号在 3000～3999 之间的IPv4高级ACL。

第二步：编写ACL规则

规则的顺序至关重要，设备会从上到下依次匹配。通常遵循“先精确匹配放行或拒绝，最后允许所有”的原则。

关键语法说明：

• rule [编号] {permit | deny} ip source [源地址] [通配符掩码] destination [目的地址] [通配符掩码]

• 通配符掩码：用于指定一个地址范围，与子网掩码作用相反（0表示精确匹配，1表示忽略）。例如，192.168.1.0 0.0.0.255 代表 192.168.1.0/24 网段。

第三步：应用ACL到VLAN接口

在对应的VLAN接口视图下，使用 packet-filter 命令应用ACL。通常应用在 inbound（入方向），以控制进入该VLAN的流量。

🎯 常见需求配置案例

场景一：限制访客网络（VLAN 51）不能访问内网，只能上网

场景二：只允许特定部门（VLAN 10）访问服务器（VLAN 100），禁止其他访问

说明：将此ACL应用到除VLAN 10外的其他所有VLAN接口的入方向，即可实现“只允许VLAN 10访问服务器”的效果。

⚠️ 重要注意事项

• ACL的默认行为：在Comware V7平台上，ACL默认行为是拒绝所有（deny）。因此，如果没有最后一条permit ip规则，所有未匹配的流量都会被丢弃。

• ACL应用的生效方向：

  • inbound：控制进入该VLAN接口的流量。

  • outbound：控制离开该VLAN接口的流量。

• 小心“放行所有”规则：在需要严格管控的场景，最后一条 permit ip 可能会放行你不希望放行的流量。请根据实际需求决定是否添加。

• 配置保存：配置完成后，务必执行 save 命令保存配置。

• 先测试再部署：在现网部署前，强烈建议在测试环境中验证ACL规则，避免因配置错误导致网络中断。

• 注意ACL资源限制：不同型号的交换机支持的ACL规则数量有限，配置过多规则可能耗尽硬件资源。