1988年11月2日晚上，典型的计洞康奈尔大学研究生罗伯特·莫里斯在键盘上敲下最后一行代码，算机释放了后来被称为"莫里斯蠕虫"的网络程序。六千多台计算机在几小时内瘫痪——那不过是结构及安互联网的雏形阶段。三十多年过去，全漏网络结构翻了不知道多少倍，典型的计洞但漏洞这东西，算机像老房子的网络裂缝，补了旧的结构及安又冒出新的。

先看一张典型的全漏网络拓扑图长什么样。最外层是典型的计洞边界路由器，它把内部网络和互联网隔开。算机往里走，网络通常有一台防火墙，结构及安再往里是全漏DMZ区——放Web服务器、邮件服务器这些对外服务的机器。核心区域是内网，交换机连着办公终端、数据库服务器、文件共享服务器。有些企业还会在核心区部署IDS/IPS做流量监控。这套结构看起来层次分明，实际上每一层都有各自的麻烦。

边界路由器：第一道门，也是最容易被忽视的门

路由器本身跑的是IOS或者类似的操作系统。2018年，Cisco的Smart Install协议被曝出一个漏洞（CVE-2018-0171），攻击者只需要向路由器发一个特制数据包，就能读取设备内存甚至远程执行代码。很多企业的边界路由器从来没打过补丁，因为"它一直好好的"。默认密码的问题更普遍——admin/admin这种组合在Shodan上搜一搜，能揪出一大把。

防火墙：规则越多，洞可能越大

防火墙的访问控制列表（ACL）是另一个重灾区。我见过一家公司，防火墙规则有四百多条，其中三分之一标着"临时测试"，日期是2019年。规则堆积会导致冲突和冗余，管理员自己都搞不清哪些该留哪些该删。更麻烦的是，有些防火墙允许出站流量无限制通行，攻击者一旦拿下内网一台机器，就能畅通无阻地把数据传出去。

DMZ区：暴露面最大的地方

Web服务器放在DMZ，意味着全世界都能访问它。SQL注入、跨站脚本、文件上传漏洞，这些老生常谈的问题每年还在OWASP Top 10里霸榜。2021年Log4j漏洞爆发时，DMZ区简直是重灾区——大量Java应用直接中招。问题在于，DMZ的服务器通常和內网有某种连接，一旦被攻破，攻击者可以把它当跳板往里渗透。

内网：最危险的地方往往最放松

很多人觉得进了内网就安全了。恰恰相反。内网通常缺乏足够的分段隔离，一台被感染的办公电脑可以扫描到数据库服务器的端口。ARP欺骗、中间人攻击在内网里实施起来门槛极低。2013年Target被入侵的案例很典型：攻击者先拿下了一家暖通空调供应商的账号，然后横向移动到Target的POS系统，窃取了四千万张信用卡信息。内网没有任何东西拦住他们。

人的因素

拓扑图画得再漂亮，配错了一样完蛋。我见过运维把数据库端口3306直接映射到公网，理由是"方便在家办公"。也见过开发把API密钥硬编码在前端代码里。这些不是拓扑结构的问题，但它们是安全漏洞里最致命的那一类——因为它们完全绕过了所有技术防护。

网络结构本身没有原罪。问题在于，每一层都假设下一层是安全的，而实际上没有任何一层能真正兑现这个承诺。

(责任编辑：探索)