标签：防御性架构

1. 网络分段与边界控制 - 步骤：在交换机/防火墙上采用VLAN分段，生产应用、数据库、管理接口分别放在不同VLAN/子网。 - 操作示例：在防火墙上建立三条策略链，允许公网到应用层的端口（如80/443），禁止直接访问数据库端口（如3306），仅允许应用层IP访问数据库。 - 检查项：使用nmap从外网扫描不同子网，确认不可达；审查ACL与