园区微分段常被理解为“以后不再需要 VLAN”，这会把不同层次的问题混在一起。身份或角色策略可以根据用户、设备和上下文细化访问权限，VLAN 与三层边界仍承担地址、广播域、故障范围和基础转发。合理设计不是用一种机制替代所有网络分区，而是让粗粒度网络边界保持稳定，再用身份策略缩小同一区域内的访问范围。
身份来源先于策略数量
员工账号、设备证书、终端画像、访客流程和物联网登记的可信度不同。身份不稳定，再精细的规则也会频繁误判。应为每类终端定义首选身份、失败时的降级身份、有效期和责任人。MAC 地址可以辅助识别无法认证的设备，却不应被视为强身份。身份源冲突时要有明确优先级，并保留判定证据。
策略矩阵要从业务通信生成
先列出角色到服务的必要访问，包括 DNS、DHCP、认证、管理、打印、语音、业务系统和互联网，再形成允许矩阵。直接从“全部拒绝”开始而没有依赖清单，会制造大量临时放行；从“全部允许”开始又很难收敛。规则应包含方向、协议、目的服务和日志要求，避免用大网段长期替代服务身份。
基础服务不能被策略循环依赖
终端获取身份往往先需要地址、DNS、时间和认证访问。如果这些服务也依赖终端已经获得最终角色，就可能形成接入循环。应设计预认证或受限角色，只开放完成身份所需的最小路径。认证平台、策略控制点和网络设备故障时，系统选择失败关闭还是有限放行必须按业务风险确定，并通过演练验证。
例外终端要有生命周期
打印机、会议设备和工业终端可能无法安装证书或代理，需要画像、静态登记或端口绑定。每个例外都应有所有者、位置、用途、最小访问、复核日期和替换计划。不能把所有不兼容设备放入一个可访问全网的 IoT VLAN。设备移动、维修或更换后，旧身份应及时失效，防止权限被新的未知终端继承。
可观测性要能解释一次拒绝
用户报“网络断了”时，支持团队需要看到身份来源、分配角色、命中规则、源与目的、拒绝位置和相关认证日志。控制器、交换机、NAC 与目录服务时间要同步。若平台只能显示一个策略编号而无法映射业务含义，微分段会显著增加平均修复时间。策略发布前应生成可读差异和影响范围。
策略规模与控制面容量要同步验证
角色和例外不断增加，会扩大规则数量、日志和重新认证压力。平台应监控策略下发时间、失败、设备容量和变更收敛，而不是等到新规则无法应用才发现边界。合并重复角色和清理过期规则既减少风险，也提高排障可读性。
分阶段实施
- 从资产和流量观察生成角色、必要服务与身份可信度清单。
- 先以监控或模拟模式运行策略，修正未知依赖和错误画像。
- 选择可快速恢复的办公区域灰度，再扩展到访客、物联网和关键终端。
- 演练身份源、策略平台和网络控制点故障，验证失败模式符合风险决定。
- 持续清理临时规则与过期例外，用拒绝数据推动业务依赖完善。
基于身份、资源与持续验证的访问控制原则可参考 NIST SP 800-207 官方资料。不同厂商的策略执行点和支持能力不同，本文不假设某个功能在所有设备或版本中可用，实施前应完成平台矩阵和现场验证。
WeChat
Profile