保密产线的网络怎么隔离：分区、准入、访客和审计

先把网分开#

最小要分成三张逻辑网，物理上能分更好：

「隔离」不是 VLAN 号不同就结束。要看三件事：三层能不能互访、无线会不会漂到错误 SSID、运维跳板会不会同时踩两张网。跳板必须受控，不能变成产线网的后门。

终端准入，而不是信任插口#

产线最常见的口子是「找个空闲网口插上」。应对是：

• 只允许加入域、纳入 Configuration Manager 的电脑进产线或办公有线
• 未注册终端进隔离或直接拒绝
• 存储介质、私接热点、个人电脑按客户要求禁用或登记
• 无线走 802.1X / Portal，企业账号才关联有权限的 SSID

身份底座（AD、证书、RADIUS）在这里不是「IT 内部建设」，而是保密审计能看懂的控制点：人走账号，电脑走清单，网络认这两者。

人的边界：门禁、监控、访客#

网络策略管的是包，管不了「人已经站在工位旁边」。需要安防系统补上：

• 门禁权限最小化，产线区域与办公区域分权，外包和访客单独组
• 视频监控覆盖出入口、产线通道和公共区域，权限、录像周期、异常告警要能拿出来给审计看
• 访客网络单独 VLAN / SSID，默认只能上网，不能进产线网段，也不能扫到内部打印机和文件共享

办公区、公共区域的访问控制经常被当成「无线密码换一下」。在保密项目里，它和产线隔离是同一份答卷。

审计看什么#

审计不太关心你用了哪家防火墙的哪条特性名字，关心的是：

1. 产线网和办公网之间有没有明确的允许列表
2. 离职和项目结束之后，账号、门禁、终端有没有关掉
3. 访客有没有单独的网络和停留记录
4. 变更有没有人审、日志留不留得住

所以日志要能对上人：防火墙会话、RADIUS 认证、AD 登录、门禁事件，至少要能在同一时间轴上对得起来。对不起来的隔离，审计会当成没做。

和日常运维的关系#

这套东西一旦上线，就不能靠「熟悉现场的那个人记得」。策略变更走评审，Zabbix 看着关键链路和服务器，SCCM 看着终端是否还在清单里。保密不是一次施工，是之后每次开端口都要再问一遍：这条路是不是产线需要的。