子网划分本身不直接提供安全审计能力，它只是逻辑隔离的基础；真正实现子网间安全审计，依赖在划分后的网络边界部署日志采集、netflow/ipfix流量分析、应用层dpi检测及siem告警等可观测性与访问控制机制。
子网划分本身不直接提供安全审计能力，它只是逻辑隔离的基础。真正实现子网间安全审计，依赖的是在划分后的网络边界上部署可观测性与访问控制机制。
明确审计目标和流量路径
先确认哪些子网间通信需要审计：比如财务子网访问数据库子网、办公网访问生产API子网。不同业务场景关注点不同——是查异常登录？数据外传？还是横向移动？明确后才能针对性部署采集点。
- 关键路径通常在三层设备（路由器、三层交换机）或防火墙的接口上
- 避免只监控终端主机，容易被绕过；优先在网关/出口/跨子网转发节点抓包
- 注意VLAN间通信若走三层网关，该设备就是天然审计锚点
在网络边界部署日志与流量采集
子网边界是审计最有效的位置。例如，在连接办公网（192.168.10.0/24）与服务器区（192.168.20.0/24）的防火墙上开启会话日志：
- 启用NetFlow/sFlow或IPFIX，记录五元组（源IP、目的IP、源端口、目的端口、协议）及字节数、持续时间
- 开启应用层日志（如HTTP URL、DNS查询、TLS SNI），需设备支持深度包检测（DPI）
- 将日志统一发送至SIEM系统（如Elastic Security、Splunk、Graylog），设置规则告警异常行为（如非工作时间大量出向FTP、单IP高频访问多个子网）
结合ACL与身份标识增强可追溯性
纯IP地址审计粒度粗、易伪造。需叠加身份和策略信息：
- 在核心交换机或防火墙上配置带注释的访问控制列表（ACL），例如：
permit tcp 192.168.10.0/24 eq 443 192.168.20.100 eq 443 log "HR-Web-to-App" - 对接AD/LDAP或802.1X认证系统，将IP会话映射到具体用户（尤其对DHCP环境至关重要）
- 对关键子网启用强制源地址验证（如DAI + DHCP Snooping），防止IP欺骗导致审计断链
定期验证与基线比对
审计不是一次配置就完事。需建立常态机制：
- 每月导出各子网间通信TOP 10流量对，对比历史基线，识别新增或突增路径
- 检查ACL日志中“deny”条目——被阻断的尝试本身也是安全线索
- 用nmap或zmap扫描跨子网开放端口，验证实际暴露面是否符合策略设计（例如：运维子网不应能直连数据库端口）
