网络区域划分需按业务功能与敏感度分层隔离，如对外服务区、办公区、核心数据库区，通过防火墙硬隔离并严格控制端口；辅以vlan/子网逻辑隔离、南北向与东西向流量限制、nat地址隐藏等措施，构建纵深防御体系。
明确网络区域划分，隔离高风险资产
把系统按业务功能和敏感程度切分成不同区域，比如对外服务区（Web服务器、API网关）、内部办公区、核心数据库区。每个区域之间用防火墙做硬隔离，只放行明确需要的协议和端口。例如，数据库区默认拒绝所有外部访问，仅允许应用服务器通过特定IP+指定端口（如3306）连接，其他任何流量一律拦截。这样即使攻击者扫到Web服务器，也很难横向打穿到数据库。
用VLAN和子网实现逻辑隔离
在交换机层面配置VLAN，让不同部门或系统的设备处于独立广播域；再配合三层交换或路由器做子网划分，每个子网配独立网段（如172.16.10.0/24、172.16.20.0/24）。关键点在于：不跨VLAN通信时，ARP请求发不出去，nmap的主机发现（ping scan）基本失效；而端口扫描若没有路由可达，连TCP SYN包都送不到目标主机。实际部署中，建议将测试环境、开发环境与生产环境彻底分网，避免因测试误配置导致生产系统意外暴露。
限制南北向与东西向流量规则
南北向（外网进内网）：在边界防火墙上设置严格入站策略，只开放80/443等必要端口，其余全部拒绝，并关闭ICMP响应（防主机发现）。
东西向（内网互访）：启用微隔离策略，比如用云平台安全组或零信任网络策略，规定A服务器只能访问B服务器的22端口，不能碰C服务器的任何端口。这样即使某台服务器被攻陷，攻击者也无法自由扫描内网其他主机——因为底层网络根本不允许它发包过去。
结合NAT隐藏真实地址结构
对外服务使用DNAT映射（如公网IP:443 → 内网10.1.1.5:443），内部服务器不直接暴露公网IP；对内访问采用SNAT或私有地址互通。攻击者通过扫描只能看到有限的几个公网端口，无法反推出内网拓扑、IP段范围和服务分布。注意：NAT不是万能的，需配合防火墙规则，否则仍可能被穿透。比如，若DMZ区某台跳板机配置不当，就可能成为扫描跳转节点，所以跳板机本身也要做最小化服务加固。
