多单位集中接入与分段隔离

项目背景

办公楼内多家单位共用机房与部分设备，此前都接在同一网段，存在互相可见与广播影响；共享打印机、文件服务器权限也无法收敛。

服务内容

1. 分段：按单位划 VLAN 与网段，每段独立网关；共享设备（打印机 / 文件服务器）单独一段
2. 互联：需要互访的业务通过核心路由 + ACL 逐条放行，不做大二层打通
3. 最小化放行：源、目的、端口三要素齐全，默认拒绝
4. 访问矩阵：形成「谁能访问谁、访问什么端口」的书面矩阵并经各方确认
5. 变更机制：跨段访问走书面申请，配置变更留记录

交付物

• 分段表、网段表、网关表、访问矩阵
• ACL 配置与生效位置说明、变更申请模板
• 设备配置备份与拓扑图
• 验收测试记录（应通 / 应不通逐条）

验收方式

按访问矩阵逐条实测：应通的通、应不通的确认不通；共享设备只放通必要端口（如 443 / 445）并实测其它端口不可达；抽查日志确认跨段访问可追溯。

难点与处理

• 难点一：各单位诉求不同，容易互相要求「全通」。处理：以访问矩阵为唯一依据，逐条确认并签字。
• 难点二：共享设备老旧，不支持细粒度权限。处理：网络侧按端口限制，并在设备侧启用账号级权限。
• 难点三：历史配置无人说得清。处理：接手先做配置核对，把现状画成图再改。

项目结果

各单位业务互不影响，跨段访问可解释、可追溯；共享资源访问收敛到必要端口，安全与合规检查均能提供依据。