软考系规·第7章「网络环境规划」考点全梳理第2版教程口径摘要网络环境规划是云资源规划的上层载体也是软考系规选择题案例分析论文的三重高频考点。本文严格锚定《系统规划与管理师教程第2版》第7章内容通过架构拆解、真题实战、避坑指南、工程素材四个维度帮助读者建立可落地的网络规划知识体系既满足应试需求也能直接复用于企业数字化转型实践。关键词网络环境规划、等保2.0、VPC、安全组、SD-WAN、软考系规一、本章知识全景图考点热度标注┌──────────────────────────────────────────────────────────┐ │ 第7章 网络环境规划★★★★★核心章 │ ├──────────────────────────────────────────────────────────┤ │ 7.1 概述★★★ │ │ ├─ 定义基于业务需求设计网络拓扑/架构/服务/安全/性能 │ │ ├─ 重要性业务支撑、安全保障、成本控制、合规要求 │ │ ├─ 原则业务驱动、分层设计、安全性、可扩展性、高可用、成本最优│ │ └─ 流程需求调研→架构设计→方案验证→部署实施→运维优化5步 │ │ │ │ 7.2 网络架构规划★★★★ │ │ ├─ 传统三层架构核心层高速转发→汇聚层策略控制→接入层用户接入│ │ └─ 云网络架构骨干网核心→VPC路由表汇聚→子网/安全组接入│ │ │ │ 7.3 网络服务规划★★★★★ │ │ ├─ IP规划私有地址段、CIDR、VLSM、IP冲突校验 │ │ ├─ 路由规划静态路由、动态路由OSPF/BGP、云路由表优先级 │ │ ├─ DNS/DHCP高可用部署、递归/迭代查询 │ │ ├─ 负载均衡四层LVSvs七层Nginx/ALB │ │ └─ NATSNAT内→公、DNAT公→内 │ │ │ │ 7.4 网络安全规划★★★★★ │ │ ├─ 等保2.0网络8要求安全区域划分、访问控制、入侵防范、恶意代码防范、安全审计、集中管控、数据完整性、数据保密性 │ │ ├─ 安全区域划分核心区、汇聚区、接入区、DMZ区、运维区、外联区│ │ ├─ 边界防护安全组有状态、网络ACL无状态 │ │ ├─ 入侵防范IDS旁路检测vs IPS串路防御 │ │ └─ 传输安全IPSec VPN、SSL VPN、数据加密 │ │ │ │ 7.5 网络性能规划★★★★★ │ │ └─ 核心指标带宽bps、时延ms、抖动ms、丢包率%、可用性SLA│ │ │ │ 7.6 云网络规划★★★★★ │ │ ├─ 核心组件VPC、子网、安全组、网络ACL、对等连接、云企业网 │ │ ├─ 跨云互通专线核心业务、VPN非核心业务、SD-WAN分支互联│ │ └─ 混合云规划IP地址规划、路由互通、安全策略同步 │ └──────────────────────────────────────────────────────────┘二、核心考点拆解按教材逻辑7.1 网络环境规划概述7.1.1 官方定义网络环境规划是指基于组织业务发展战略对网络的拓扑结构、技术架构、服务配置、安全策略、性能指标进行系统性设计最终保障业务连续性、数据安全性、系统可扩展性与成本最优化的全过程。7.1.2 重要性4点·选择题必考维度核心内涵业务支撑为应用系统提供稳定、低时延的网络通道匹配业务峰值需求安全保障通过区域划分、访问控制、入侵防范避免网络攻击、数据泄露成本控制合理选择网络技术如SD-WAN替代部分MPLS降低专线租赁成本合规要求满足等保2.0、行业监管要求如金融、政务网络隔离要求7.1.3 规划原则6点·必背记忆口诀业分安扩高成业务驱动以业务需求为核心避免盲目追求高配置。分层设计按核心-汇聚-接入分层降低耦合度。安全性全链路覆盖安全防护最小权限原则。可扩展性预留20%30%容量支持业务未来35年增长。高可用核心组件冗余部署如双核心交换机、双DHCP服务器。成本最优平衡性能与成本非核心业务选用高性价比方案。7.1.4 规划流程5步·顺序不可颠倒记忆口诀需架验施维需求调研收集业务类型、用户规模、性能要求、合规要求。架构设计绘制拓扑图、划分安全区域、配置IP/路由/安全策略。方案验证通过模拟器验证连通性、安全性、性能。部署实施按方案部署硬件/云资源做灰度发布验证。运维优化持续监控网络性能定期优化路由、安全策略。7.2 网络架构规划7.2.1 传统三层架构经典模型层级核心职责部署要求禁止操作核心层高速数据转发连接汇聚层与骨干网双设备冗余、高带宽10G/40G、低时延禁止部署ACL、NAT等事务处理功能汇聚层路由聚合、策略控制、安全隔离部署ACL、防火墙、IDS/IPS禁止接入终端用户接入层终端用户接入、端口安全开启端口安全、VLAN划分禁止部署复杂路由策略7.2.2 云网络架构映射传统三层架构在云环境下的对应逻辑核心层→ 云厂商骨干网用户无需运维规划时需考虑跨地域VPC互通走骨干网降低时延。汇聚层→ VPC路由表控制子网间、VPC与外部的流量转发。接入层→ 子网安全组控制实例级别的流量访问。7.3 网络服务规划核心命题区7.3.1 IP规划必考私有IP地址段RFC 1918类别地址范围掩码适用场景A类10.0.0.0~10.255.255.255/8大型企业、云VPC主CIDRB类172.16.0.0~172.31.255.255/12中型企业、混合云C类192.168.0.0~192.168.255.255/16小型企业、家庭网络CIDR无类域间路由通过IP地址/掩码长度灵活划分网段如10.0.1.0/24包含254个可用IP。VLSM可变长子网掩码将一个大网段拆分为多个小网段提高IP利用率。规划要求混合云场景下必须做全链路IP地址校验避免云上VPC与线下IDC IP冲突。7.3.2 路由规划路由类型特点适用场景静态路由手动配置稳定但无法自动适应拓扑变化小型网络、出口路由OSPF动态内部网关协议收敛快支持负载均衡企业园区网、数据中心内部BGP动态外部网关协议支持跨自治系统路由互联网接入、混合云跨云互通云路由优先级系统路由 自定义路由 动态路由可手动调整。7.3.3 DNS/DHCP高可用DNS部署主备DNS服务器支持递归查询客户端→本地DNS→根DNS→顶级DNS→权威DNS和迭代查询缓存解析结果降低时延。DHCP部署主备DHCP服务器配置IP地址池、网关、DNS、租期支持DHCP Snooping防止伪造DHCP服务器攻击。7.3.4 负载均衡高频辨析对比项四层负载均衡LVS七层负载均衡Nginx/ALB工作层级传输层TCP/UDP应用层HTTP/HTTPS转发依据IP端口URL、Cookie、HTTP头性能高百万级并发中十万级并发功能流量分发、健康检查流量分发、会话保持、SSL卸载、URL重写适用场景数据库、大数据集群Web应用、移动应用、API服务核心机制健康检查TCP端口探测检测端口是否存活、HTTP状态码探测检测返回200 OK。会话保持IP哈希同一IP转发到同一后端、Cookie插入后端插入Cookie标识。7.3.5 NAT网络地址转换类型作用场景SNAT源地址转换将内网私有IP转换为公网IP内网服务器访问公网如VPC内ECS访问互联网DNAT目的地址转换将公网IP映射到内网私有IP公网用户访问内网服务如公网访问VPC内的Web服务器7.4 网络安全规划等保2.0核心考点7.4.1 等保2.0网络安全8项要求必背记忆口诀区访入恶审集完保安全区域划分按业务重要性划分不同安全区域区域间部署访问控制。访问控制配置ACL、安全组、网络ACL实现最小权限访问。入侵防范部署IDS/IPS检测/防御网络攻击。恶意代码防范部署防病毒网关防范蠕虫、木马等恶意代码。安全审计记录网络流量、访问日志日志留存≥6个月。集中管控部署安全管理平台统一管控安全策略、日志、告警。数据完整性采用校验技术如MD5、SHA-256保证传输数据完整性。数据保密性采用加密技术如IPSec、SSL保证传输数据保密性。7.4.2 安全区域划分典型模型┌─────────────┐ ┌─────────────┐ ┌─────────────┐ │ 外联区 │───→│ 核心区 │←───│ 运维区 │ │ (互联网接入) │ │ (核心数据库) │ │ (运维终端) │ └─────────────┘ └──────┬──────┘ └─────────────┘ ↓ ┌─────────────┐ ┌─────────────┐ │ 汇聚区 │───→│ DMZ区 │ │ (防火墙/IDS)│ │ (对外服务) │ └──────┬──────┘ └─────────────┘ ↓ ┌─────────────┐ │ 接入区 │ │ (用户终端) │ └─────────────┘7.4.3 边界防护核心组件对比组件层级状态特点安全组实例级有状态允许入站规则后自动允许出站响应无需配置反向规则。网络ACL子网级无状态允许入站规则后必须手动配置出站规则否则响应被拦截。ACL接口级无状态传统网络设备接口配置控制流量进出。7.4.4 IDS vs IPS组件部署方式功能影响业务IDS入侵检测系统旁路部署检测攻击仅告警不阻断无IPS入侵防御系统串路部署检测攻击主动阻断有设备故障会影响业务7.5 网络性能规划量化考点7.5.1 核心指标必背指标定义单位典型业务要求带宽网络每秒传输的数据量bpsMbps/Gbps视频会议≥2Mbps文件传输≥10Mbps金融交易≥100Mbps时延数据从源到目的的时间ms毫秒金融交易10ms视频会议50ms网页访问100ms抖动时延的变化值ms毫秒视频会议30msVoIP20ms丢包率丢失数据包占总包的比例%金融交易0.01%视频会议1%文件传输2%可用性网络正常运行时间占比%核心业务≥99.99%年 downtime52分钟非核心≥99.9%年 downtime8.76小时7.5.2 性能优化方法带宽优化链路聚合将多个物理链路绑定为一个逻辑链路、压缩传输数据。时延优化选择就近接入点、跨地域VPC走云厂商骨干网、避免路由环路。抖动优化部署QoS服务质量优先保障实时业务视频、语音带宽。丢包优化调整TCP窗口大小、部署冗余链路、启用错误重传机制。7.6 云网络规划云原生核心考点7.6.1 核心组件必背组件功能注意事项VPC虚拟私有云云上隔离的逻辑网络环境主CIDR创建后不可修改仅支持新增辅助CIDR。子网VPC内的IP地址段划分建议跨可用区部署提高可用性。安全组实例级有状态防火墙默认拒绝所有入站允许所有出站。网络ACL子网级无状态防火墙默认允许所有入站/出站需手动配置规则。对等连接同地域VPC互通不支持传递性VPC A连BB连CA不能直接连C。云企业网/转发路由器跨地域VPC互通、混合云互通支持路由自动学习简化配置。专线物理专线线下IDC与云上VPC的专用连接高可靠、低时延、高成本用于核心业务。VPNIPSec VPN线下IDC与云上VPC的加密连接低成本、时延较高用于非核心业务。SD-WAN分支与总部/云端的软件定义连接替代部分MPLS链路降低分支网络成本40%。7.6.2 混合云网络规划要点IP地址规划线下IDC与云上VPC IP段不重叠预留足够IP容量。路由互通通过专线/VPN打通线下与云上路由配置路由优先级专线优先级高于VPN。安全策略同步线下防火墙与云上安全组/网络ACL策略一致避免安全漏洞。性能保障核心业务走专线非核心业务走VPN部署QoS保障关键业务带宽。高可用专线和VPN互为备份单链路故障自动切换。三、真题实战题目1选择题以下关于云网络规划的说法正确的是 A. VPC创建后可以随时修改主CIDR块B. 安全组是无状态的访问控制列表C. 网络ACL是子网级的访问控制无状态D. 对等连接支持跨地域VPC互通答案C解析A错误VPC主CIDR创建后不可修改B错误安全组是有状态的D错误对等连接仅支持同地域VPC互通跨地域需用云企业网C符合教材定义。题目2选择题等保2.0网络安全要求不包括以下哪项 A. 安全区域划分B. 入侵防范C. 定期漏洞扫描D. 数据加密传输答案C解析定期漏洞扫描属于主机安全要求网络安全8项要求为「区访入恶审集完保」C不属于网络层要求。题目3案例分析题某企业混合云网络规划如下① 线下IDC使用192.168.0.0/16网段云上VPC使用192.168.0.0/16网段② 核心业务通过VPN连接线下与云上③ 安全组配置允许所有入站规则④ 网络ACL配置默认拒绝所有入站/出站规则。请指出问题并改进。参考答案IP地址冲突线下IDC与云上VPC网段重叠需修改云上VPC主CIDR为10.0.0.0/8段避免冲突。核心业务链路可靠性不足核心业务应改用物理专线连接VPN作为备份链路保障高可用。安全组配置错误安全组应遵循最小权限原则仅开放业务所需端口如Web服务开放80/443端口拒绝所有其他入站规则。网络ACL配置错误网络ACL是无状态的允许入站规则后需手动配置对应出站规则否则响应流量被拦截建议配置允许业务所需端口的入站/出站规则。四、避坑指南高频考点辨析混淆安全组与网络ACL安全组是实例级、有状态网络ACL是子网级、无状态。SD-WAN与MPLS关系SD-WAN是MPLS的补充核心业务仍需MPLS保障可靠性SD-WAN主要用于降低分支网络成本。VPC主CIDR不可修改规划阶段必须确认IP段创建后无法修改仅支持新增辅助CIDR。抖动与时延混淆抖动是时延的变化值直接影响实时业务视频会议、VoIP体验。等保2.0网络安全8项要求必须全记「区访入恶审集完保」。负载均衡四七层混淆四层基于IP端口七层基于应用内容URL、Cookie等。网络规划指标全面性不能只关注带宽需同时考虑时延、抖动、丢包率、可用性。混合云IP地址冲突规划阶段必须做全链路IP校验避免云上云下网段重叠。路由优先级默认静态路由优先级高于动态路由但可手动调整。NAT类型SNAT是内网访问公网源地址转换DNAT是公网访问内网服务目的地址转换。网络ACL无状态特性配置入站规则后必须配置对应出站规则否则响应流量被拦截。核心层功能限制核心层仅做高速转发禁止部署ACL、NAT等增加时延的事务处理功能。五、案例题与论文万能素材5.1 案例题答题模板网络规划问题定位按以下6步扫描问题IP地址规划是否存在冲突、容量不足。安全区域划分是否合理、边界防护是否到位。路由配置是否正确、优先级是否合理。安全策略安全组/网络ACL是否符合最小权限原则。性能指标是否满足业务时延、抖动、丢包要求。成本优化是否选用高性价比方案如SD-WAN替代MPLS。5.2 论文高频立意附量化成果立意1论混合云网络规划在企业数字化转型中的应用背景企业线下IDC容量不足需迁移非核心业务到云上要求核心业务高可用、成本可控。方法线下IDC使用10.0.0.0/8网段云上VPC使用172.16.0.0/12网段核心业务通过物理专线互通非核心业务通过IPSec VPN互通部署云企业网实现路由自动学习分支通过SD-WAN接入云端。成果网络可用性从99.9%提升至99.99%网络成本降低42%分支接入时间从2周缩短至1天。立意2论等保2.0背景下的网络安全规划背景企业需通过等保2.0三级测评原有网络架构无安全区域划分存在安全漏洞。方法按核心区、汇聚区、接入区、DMZ区、运维区、外联区划分安全区域部署防火墙、IDS/IPS、安全审计系统配置安全组最小权限访问启用IPSec加密传输。成果通过等保2.0三级测评网络攻击拦截率达99.8%安全事件响应时间从4小时缩短至15分钟。立意3论云原生环境下的VPC网络规划背景企业采用微服务架构需部署100服务实例要求网络隔离、高性能、易扩展。方法创建10.0.0.0/8主VPC划分多个/24子网跨可用区部署配置安全组仅开放服务所需端口部署七层负载均衡实现流量分发启用VPC流日志做安全审计。成果服务部署效率提升60%网络时延降低35%安全事件零发生。六、记忆口诀汇总考场秒杀考点口诀网络规划5流程需架验施维网络规划6原则业分安扩高成等保网络8要求区访入恶审集完保安全区域划分核汇接DMZ运外云网络核心组件VPC子安对专VPN SD网络性能指标带宽时延抖动丢包可用负载均衡四七层四传七应NAT类型SNAT出DNAT入安全组vs网络ACL安组实例有状态网ACL子网无状态七、总结网络环境规划是所有IT系统的连通基础本章考点围绕「业务适配、安全合规、性能达标、成本最优」四个核心展开。掌握本文梳理的核心考点、真题案例与避坑指南不仅能轻松应对系规考试更能直接复用于企业网络规划实践。后续章节建议衔接第8章「数据资源规划」形成「计算存储网络数据」的完整IT资源规划知识体系。参考文献《系统规划与管理师教程第2版》清华大学出版社2025《信息安全技术 网络安全等级保护基本要求》GB/T 22239-2019阿里云《云网络架构最佳实践》2025华为《SD-WAN技术白皮书》2025 软考「系统规划与管理师（第2版）」「网络环境规划」
软考系规·第7章「网络环境规划」考点全梳理第2版教程口径摘要网络环境规划是云资源规划的上层载体也是软考系规选择题案例分析论文的三重高频考点。本文严格锚定《系统规划与管理师教程第2版》第7章内容通过架构拆解、真题实战、避坑指南、工程素材四个维度帮助读者建立可落地的网络规划知识体系既满足应试需求也能直接复用于企业数字化转型实践。关键词网络环境规划、等保2.0、VPC、安全组、SD-WAN、软考系规一、本章知识全景图考点热度标注┌──────────────────────────────────────────────────────────┐ │ 第7章 网络环境规划★★★★★核心章 │ ├──────────────────────────────────────────────────────────┤ │ 7.1 概述★★★ │ │ ├─ 定义基于业务需求设计网络拓扑/架构/服务/安全/性能 │ │ ├─ 重要性业务支撑、安全保障、成本控制、合规要求 │ │ ├─ 原则业务驱动、分层设计、安全性、可扩展性、高可用、成本最优│ │ └─ 流程需求调研→架构设计→方案验证→部署实施→运维优化5步 │ │ │ │ 7.2 网络架构规划★★★★ │ │ ├─ 传统三层架构核心层高速转发→汇聚层策略控制→接入层用户接入│ │ └─ 云网络架构骨干网核心→VPC路由表汇聚→子网/安全组接入│ │ │ │ 7.3 网络服务规划★★★★★ │ │ ├─ IP规划私有地址段、CIDR、VLSM、IP冲突校验 │ │ ├─ 路由规划静态路由、动态路由OSPF/BGP、云路由表优先级 │ │ ├─ DNS/DHCP高可用部署、递归/迭代查询 │ │ ├─ 负载均衡四层LVSvs七层Nginx/ALB │ │ └─ NATSNAT内→公、DNAT公→内 │ │ │ │ 7.4 网络安全规划★★★★★ │ │ ├─ 等保2.0网络8要求安全区域划分、访问控制、入侵防范、恶意代码防范、安全审计、集中管控、数据完整性、数据保密性 │ │ ├─ 安全区域划分核心区、汇聚区、接入区、DMZ区、运维区、外联区│ │ ├─ 边界防护安全组有状态、网络ACL无状态 │ │ ├─ 入侵防范IDS旁路检测vs IPS串路防御 │ │ └─ 传输安全IPSec VPN、SSL VPN、数据加密 │ │ │ │ 7.5 网络性能规划★★★★★ │ │ └─ 核心指标带宽bps、时延ms、抖动ms、丢包率%、可用性SLA│ │ │ │ 7.6 云网络规划★★★★★ │ │ ├─ 核心组件VPC、子网、安全组、网络ACL、对等连接、云企业网 │ │ ├─ 跨云互通专线核心业务、VPN非核心业务、SD-WAN分支互联│ │ └─ 混合云规划IP地址规划、路由互通、安全策略同步 │ └──────────────────────────────────────────────────────────┘二、核心考点拆解按教材逻辑7.1 网络环境规划概述7.1.1 官方定义网络环境规划是指基于组织业务发展战略对网络的拓扑结构、技术架构、服务配置、安全策略、性能指标进行系统性设计最终保障业务连续性、数据安全性、系统可扩展性与成本最优化的全过程。7.1.2 重要性4点·选择题必考维度核心内涵业务支撑为应用系统提供稳定、低时延的网络通道匹配业务峰值需求安全保障通过区域划分、访问控制、入侵防范避免网络攻击、数据泄露成本控制合理选择网络技术如SD-WAN替代部分MPLS降低专线租赁成本合规要求满足等保2.0、行业监管要求如金融、政务网络隔离要求7.1.3 规划原则6点·必背记忆口诀业分安扩高成业务驱动以业务需求为核心避免盲目追求高配置。分层设计按核心-汇聚-接入分层降低耦合度。安全性全链路覆盖安全防护最小权限原则。可扩展性预留20%30%容量支持业务未来35年增长。高可用核心组件冗余部署如双核心交换机、双DHCP服务器。成本最优平衡性能与成本非核心业务选用高性价比方案。7.1.4 规划流程5步·顺序不可颠倒记忆口诀需架验施维需求调研收集业务类型、用户规模、性能要求、合规要求。架构设计绘制拓扑图、划分安全区域、配置IP/路由/安全策略。方案验证通过模拟器验证连通性、安全性、性能。部署实施按方案部署硬件/云资源做灰度发布验证。运维优化持续监控网络性能定期优化路由、安全策略。7.2 网络架构规划7.2.1 传统三层架构经典模型层级核心职责部署要求禁止操作核心层高速数据转发连接汇聚层与骨干网双设备冗余、高带宽10G/40G、低时延禁止部署ACL、NAT等事务处理功能汇聚层路由聚合、策略控制、安全隔离部署ACL、防火墙、IDS/IPS禁止接入终端用户接入层终端用户接入、端口安全开启端口安全、VLAN划分禁止部署复杂路由策略7.2.2 云网络架构映射传统三层架构在云环境下的对应逻辑核心层→ 云厂商骨干网用户无需运维规划时需考虑跨地域VPC互通走骨干网降低时延。汇聚层→ VPC路由表控制子网间、VPC与外部的流量转发。接入层→ 子网安全组控制实例级别的流量访问。7.3 网络服务规划核心命题区7.3.1 IP规划必考私有IP地址段RFC 1918类别地址范围掩码适用场景A类10.0.0.0~10.255.255.255/8大型企业、云VPC主CIDRB类172.16.0.0~172.31.255.255/12中型企业、混合云C类192.168.0.0~192.168.255.255/16小型企业、家庭网络CIDR无类域间路由通过IP地址/掩码长度灵活划分网段如10.0.1.0/24包含254个可用IP。VLSM可变长子网掩码将一个大网段拆分为多个小网段提高IP利用率。规划要求混合云场景下必须做全链路IP地址校验避免云上VPC与线下IDC IP冲突。7.3.2 路由规划路由类型特点适用场景静态路由手动配置稳定但无法自动适应拓扑变化小型网络、出口路由OSPF动态内部网关协议收敛快支持负载均衡企业园区网、数据中心内部BGP动态外部网关协议支持跨自治系统路由互联网接入、混合云跨云互通云路由优先级系统路由 自定义路由 动态路由可手动调整。7.3.3 DNS/DHCP高可用DNS部署主备DNS服务器支持递归查询客户端→本地DNS→根DNS→顶级DNS→权威DNS和迭代查询缓存解析结果降低时延。DHCP部署主备DHCP服务器配置IP地址池、网关、DNS、租期支持DHCP Snooping防止伪造DHCP服务器攻击。7.3.4 负载均衡高频辨析对比项四层负载均衡LVS七层负载均衡Nginx/ALB工作层级传输层TCP/UDP应用层HTTP/HTTPS转发依据IP端口URL、Cookie、HTTP头性能高百万级并发中十万级并发功能流量分发、健康检查流量分发、会话保持、SSL卸载、URL重写适用场景数据库、大数据集群Web应用、移动应用、API服务核心机制健康检查TCP端口探测检测端口是否存活、HTTP状态码探测检测返回200 OK。会话保持IP哈希同一IP转发到同一后端、Cookie插入后端插入Cookie标识。7.3.5 NAT网络地址转换类型作用场景SNAT源地址转换将内网私有IP转换为公网IP内网服务器访问公网如VPC内ECS访问互联网DNAT目的地址转换将公网IP映射到内网私有IP公网用户访问内网服务如公网访问VPC内的Web服务器7.4 网络安全规划等保2.0核心考点7.4.1 等保2.0网络安全8项要求必背记忆口诀区访入恶审集完保安全区域划分按业务重要性划分不同安全区域区域间部署访问控制。访问控制配置ACL、安全组、网络ACL实现最小权限访问。入侵防范部署IDS/IPS检测/防御网络攻击。恶意代码防范部署防病毒网关防范蠕虫、木马等恶意代码。安全审计记录网络流量、访问日志日志留存≥6个月。集中管控部署安全管理平台统一管控安全策略、日志、告警。数据完整性采用校验技术如MD5、SHA-256保证传输数据完整性。数据保密性采用加密技术如IPSec、SSL保证传输数据保密性。7.4.2 安全区域划分典型模型┌─────────────┐ ┌─────────────┐ ┌─────────────┐ │ 外联区 │───→│ 核心区 │←───│ 运维区 │ │ (互联网接入) │ │ (核心数据库) │ │ (运维终端) │ └─────────────┘ └──────┬──────┘ └─────────────┘ ↓ ┌─────────────┐ ┌─────────────┐ │ 汇聚区 │───→│ DMZ区 │ │ (防火墙/IDS)│ │ (对外服务) │ └──────┬──────┘ └─────────────┘ ↓ ┌─────────────┐ │ 接入区 │ │ (用户终端) │ └─────────────┘7.4.3 边界防护核心组件对比组件层级状态特点安全组实例级有状态允许入站规则后自动允许出站响应无需配置反向规则。网络ACL子网级无状态允许入站规则后必须手动配置出站规则否则响应被拦截。ACL接口级无状态传统网络设备接口配置控制流量进出。7.4.4 IDS vs IPS组件部署方式功能影响业务IDS入侵检测系统旁路部署检测攻击仅告警不阻断无IPS入侵防御系统串路部署检测攻击主动阻断有设备故障会影响业务7.5 网络性能规划量化考点7.5.1 核心指标必背指标定义单位典型业务要求带宽网络每秒传输的数据量bpsMbps/Gbps视频会议≥2Mbps文件传输≥10Mbps金融交易≥100Mbps时延数据从源到目的的时间ms毫秒金融交易10ms视频会议50ms网页访问100ms抖动时延的变化值ms毫秒视频会议30msVoIP20ms丢包率丢失数据包占总包的比例%金融交易0.01%视频会议1%文件传输2%可用性网络正常运行时间占比%核心业务≥99.99%年 downtime52分钟非核心≥99.9%年 downtime8.76小时7.5.2 性能优化方法带宽优化链路聚合将多个物理链路绑定为一个逻辑链路、压缩传输数据。时延优化选择就近接入点、跨地域VPC走云厂商骨干网、避免路由环路。抖动优化部署QoS服务质量优先保障实时业务视频、语音带宽。丢包优化调整TCP窗口大小、部署冗余链路、启用错误重传机制。7.6 云网络规划云原生核心考点7.6.1 核心组件必背组件功能注意事项VPC虚拟私有云云上隔离的逻辑网络环境主CIDR创建后不可修改仅支持新增辅助CIDR。子网VPC内的IP地址段划分建议跨可用区部署提高可用性。安全组实例级有状态防火墙默认拒绝所有入站允许所有出站。网络ACL子网级无状态防火墙默认允许所有入站/出站需手动配置规则。对等连接同地域VPC互通不支持传递性VPC A连BB连CA不能直接连C。云企业网/转发路由器跨地域VPC互通、混合云互通支持路由自动学习简化配置。专线物理专线线下IDC与云上VPC的专用连接高可靠、低时延、高成本用于核心业务。VPNIPSec VPN线下IDC与云上VPC的加密连接低成本、时延较高用于非核心业务。SD-WAN分支与总部/云端的软件定义连接替代部分MPLS链路降低分支网络成本40%。7.6.2 混合云网络规划要点IP地址规划线下IDC与云上VPC IP段不重叠预留足够IP容量。路由互通通过专线/VPN打通线下与云上路由配置路由优先级专线优先级高于VPN。安全策略同步线下防火墙与云上安全组/网络ACL策略一致避免安全漏洞。性能保障核心业务走专线非核心业务走VPN部署QoS保障关键业务带宽。高可用专线和VPN互为备份单链路故障自动切换。三、真题实战题目1选择题以下关于云网络规划的说法正确的是 A. VPC创建后可以随时修改主CIDR块B. 安全组是无状态的访问控制列表C. 网络ACL是子网级的访问控制无状态D. 对等连接支持跨地域VPC互通答案C解析A错误VPC主CIDR创建后不可修改B错误安全组是有状态的D错误对等连接仅支持同地域VPC互通跨地域需用云企业网C符合教材定义。题目2选择题等保2.0网络安全要求不包括以下哪项 A. 安全区域划分B. 入侵防范C. 定期漏洞扫描D. 数据加密传输答案C解析定期漏洞扫描属于主机安全要求网络安全8项要求为「区访入恶审集完保」C不属于网络层要求。题目3案例分析题某企业混合云网络规划如下① 线下IDC使用192.168.0.0/16网段云上VPC使用192.168.0.0/16网段② 核心业务通过VPN连接线下与云上③ 安全组配置允许所有入站规则④ 网络ACL配置默认拒绝所有入站/出站规则。请指出问题并改进。参考答案IP地址冲突线下IDC与云上VPC网段重叠需修改云上VPC主CIDR为10.0.0.0/8段避免冲突。核心业务链路可靠性不足核心业务应改用物理专线连接VPN作为备份链路保障高可用。安全组配置错误安全组应遵循最小权限原则仅开放业务所需端口如Web服务开放80/443端口拒绝所有其他入站规则。网络ACL配置错误网络ACL是无状态的允许入站规则后需手动配置对应出站规则否则响应流量被拦截建议配置允许业务所需端口的入站/出站规则。四、避坑指南高频考点辨析混淆安全组与网络ACL安全组是实例级、有状态网络ACL是子网级、无状态。SD-WAN与MPLS关系SD-WAN是MPLS的补充核心业务仍需MPLS保障可靠性SD-WAN主要用于降低分支网络成本。VPC主CIDR不可修改规划阶段必须确认IP段创建后无法修改仅支持新增辅助CIDR。抖动与时延混淆抖动是时延的变化值直接影响实时业务视频会议、VoIP体验。等保2.0网络安全8项要求必须全记「区访入恶审集完保」。负载均衡四七层混淆四层基于IP端口七层基于应用内容URL、Cookie等。网络规划指标全面性不能只关注带宽需同时考虑时延、抖动、丢包率、可用性。混合云IP地址冲突规划阶段必须做全链路IP校验避免云上云下网段重叠。路由优先级默认静态路由优先级高于动态路由但可手动调整。NAT类型SNAT是内网访问公网源地址转换DNAT是公网访问内网服务目的地址转换。网络ACL无状态特性配置入站规则后必须配置对应出站规则否则响应流量被拦截。核心层功能限制核心层仅做高速转发禁止部署ACL、NAT等增加时延的事务处理功能。五、案例题与论文万能素材5.1 案例题答题模板网络规划问题定位按以下6步扫描问题IP地址规划是否存在冲突、容量不足。安全区域划分是否合理、边界防护是否到位。路由配置是否正确、优先级是否合理。安全策略安全组/网络ACL是否符合最小权限原则。性能指标是否满足业务时延、抖动、丢包要求。成本优化是否选用高性价比方案如SD-WAN替代MPLS。5.2 论文高频立意附量化成果立意1论混合云网络规划在企业数字化转型中的应用背景企业线下IDC容量不足需迁移非核心业务到云上要求核心业务高可用、成本可控。方法线下IDC使用10.0.0.0/8网段云上VPC使用172.16.0.0/12网段核心业务通过物理专线互通非核心业务通过IPSec VPN互通部署云企业网实现路由自动学习分支通过SD-WAN接入云端。成果网络可用性从99.9%提升至99.99%网络成本降低42%分支接入时间从2周缩短至1天。立意2论等保2.0背景下的网络安全规划背景企业需通过等保2.0三级测评原有网络架构无安全区域划分存在安全漏洞。方法按核心区、汇聚区、接入区、DMZ区、运维区、外联区划分安全区域部署防火墙、IDS/IPS、安全审计系统配置安全组最小权限访问启用IPSec加密传输。成果通过等保2.0三级测评网络攻击拦截率达99.8%安全事件响应时间从4小时缩短至15分钟。立意3论云原生环境下的VPC网络规划背景企业采用微服务架构需部署100服务实例要求网络隔离、高性能、易扩展。方法创建10.0.0.0/8主VPC划分多个/24子网跨可用区部署配置安全组仅开放服务所需端口部署七层负载均衡实现流量分发启用VPC流日志做安全审计。成果服务部署效率提升60%网络时延降低35%安全事件零发生。六、记忆口诀汇总考场秒杀考点口诀网络规划5流程需架验施维网络规划6原则业分安扩高成等保网络8要求区访入恶审集完保安全区域划分核汇接DMZ运外云网络核心组件VPC子安对专VPN SD网络性能指标带宽时延抖动丢包可用负载均衡四七层四传七应NAT类型SNAT出DNAT入安全组vs网络ACL安组实例有状态网ACL子网无状态七、总结网络环境规划是所有IT系统的连通基础本章考点围绕「业务适配、安全合规、性能达标、成本最优」四个核心展开。掌握本文梳理的核心考点、真题案例与避坑指南不仅能轻松应对系规考试更能直接复用于企业网络规划实践。后续章节建议衔接第8章「数据资源规划」形成「计算存储网络数据」的完整IT资源规划知识体系。参考文献《系统规划与管理师教程第2版》清华大学出版社2025《信息安全技术 网络安全等级保护基本要求》GB/T 22239-2019阿里云《云网络架构最佳实践》2025华为《SD-WAN技术白皮书》2025