纵深防御外贸网络（外贸路由器）

纵深防御外贸路由器的概念并非新鲜事物。网络安全也是如此。增加网络中的防御层次可以降低网络完全被攻破的可能性。当然，在安全性和易用性之间必须保持平衡，特别是如果您的最终用户是外贸公司非常重要！

此外，我们同时也不希望引入恶意行为者希望利用的新攻击向量。虽然反病毒软件仍然是保护设备的重要工具，但这种软件实际上可能会增加您的网络攻击面。如果反病毒公司的软件或供应链中的其他供应商被黑客攻击，那么您实际上可能通过反病毒应用程序感染恶意软件！这有多讽刺啊？这种情况并非不可能发生。例如 CCleaner，它是一款 PC 维护工具，类似于反病毒工具。它试图从您的 PC 中删除不需要的垃圾。

出于外贸网络的目的，考虑如何在不影响用户体验的情况下将安全控制分层到您的网络中是很有用的。仅仅将物联网设备隔离到自己的网络上是一个好的开始，但您可以做得更多，同时仍然在家庭网络上拥有出色的用户体验。当您成功地将各种安全控制分层时，您的用户都不会对网络中断感到不快，也不会被复杂的配置所困扰。当操作得当的时候，一切都应该正常工作。您不应该仅仅因为这不是一个需要如此安全和稳定的企业网络，而忽视这一事实对于您的外贸网络来说——一个安全、可靠、易于使用的家庭网络是非常棒的！

当我刚开始创建更高级的家庭网络冒险时，我不知道我会把我的网络安全提升到什么程度。这最初是一个基于功能和我希望某些设备在我的网络和互联网上的访问级别来分离我网络中设备的练习。一旦我使用 VLAN 分离了我的设备，然后我开始建立防火墙规则来定义设备将如何相互交互（跨 VLAN 通信）。我试图尽可能严格地制定规则，同时仍然允许我所需的 functionality。在建立必要的防火墙规则后，我开始在我的网络交换机上使用端口隔离来进一步限制某些设备对我的网络的访问。特别是，我有一台较旧的第三代 Apple TV，它只需要直接访问互联网，我的网络上不需要任何其他东西。我配置了端口隔离，仅允许所有 Apple TV 3 访问网络交换机上路由器连接的端口。它无法与其他 VLAN 上的任何设备通信，甚至无法与同一 VLAN 上的任何设备通信。

另一个更复杂的例子是我目前用作高质量婴儿监控器的 IP 安全摄像头。为了保护摄像头，我为它们创建了一个 VLAN。然后我阻止了该 VLAN 的所有互联网访问。我的摄像头通过有线连接到网络，如果你不使用无线设备访问它们，这会增加额外的安全性，因为攻击者需要物理网络访问。然而，我使用一个较旧的 iPad mini 作为监控器，因为携带无线监控器比尝试将有线设备设置为婴儿监控器要方便得多。由于我使用 Ubiquiti 无线接入点，我可以为我的无线设备创建 VLAN（最多可以广播 4 个单独的 SSID）。我使用与我的有线摄像头相同的 VLAN ID 创建了一个无线 VLAN。由于它们在同一 VLAN 上，相同的防火墙规则也适用于它们，因此 iPad mini 也与互联网隔离。我实际上为我的婴儿摄像头拥有一个封闭的网络。监视器，这是出于安全目的我所需要的。摄像头有自己的网络界面，我将它设置为使用 HTTPS 而不是 HTTP 以增加安全性。它们还有密码，可以更改默认密码，以及创建具有更有限权限的附加用户的能力。