網路威脅主要針對資訊資產與設備，軟體漏洞與後門是駭客首選攻擊面。三層交換機除核心路由交換功能外，其安全策略（物理安全策略 + 存取控制策略）可有效協助病毒防禦。

一、物理安全策略：守護實體基礎設施

• 防範自然災害、人為破壞、竊線攻擊。
• 驗證用戶身分與權限，防越權操作。
• 確保良好電磁相容環境，減少干擾誘發錯誤。

二、存取控制策略：網路安全核心

任務：保證網路資源不被非法使用/存取。包含：

• 入網存取控制（802.1X、MAC 鑑別、Portal 認證）。
• 網路權限控制（RBAC、VLAN 劃分、ACL）。
• 目錄級/屬性級安全控制（檔案系統 ACL）。
• 伺服器安全控制（最小服務、補丁管理、日誌審計）。
• 網路監測與鎖定控制（流量基線、異常自動阻斷）。
• 埠口與節點安全控制（Port Security、Storm Control、BPDU Guard）。

各策略需相互配合，存取控制為核心樞紐。

三、封包過濾與病毒防禦

三層交換機 ACL 工作於網路層，依封包頭資訊（來源/目的 IP、協定、埠號、TCP 旗標、ICMP 類型）比對規則表決定轉發/丟棄。可用於：

• 阻擋外部非法存取內部敏感段。
• 封鎖高危埠（135, 137-139, 445, 1433, 3306, 3389 等）。
• 限制特定協定（如僅允許 HTTP/HTTPS/DNS 通過）。

局限：無法識別應用層惡意承載（需搭配 IPS/WAF）、無法處理 UDP/RPC/動態埠協定。需依各區域防毒需求制定針對性 ACL 策略。

四、VLAN 劃分：邏輯隔離縮小攻擊面

VLAN 解決衝突域、廣播域、頻寬問題。三層交換機支援兩種劃分：

1. 依協定劃分：多協定環境（IP、IPX、AppleTalk）各自成 VLAN。
2. 依網路層位址劃分（最常用）：依 IP 子網劃分（如 192.168.10.0/24 = VLAN 10，192.168.20.0/24 = VLAN 20）。

同一協定工作站自動歸屬對應 VLAN，減少人工配置，支援用戶自由移動/新增/變更。不同 VLAN 站點可跨物理段，同物理段站點可屬不同 VLAN。

效能權衡：網路層定義 VLAN 需解析協定位址格式轉換，速度較 MAC 基礎 VLAN 稍慢，但管理彈性大幅提升。

五、綜合部署建議

1. 核心層：部署嚴格 ACL 保護伺服器區、管理區。
2. 匯聚層：VLAN 路由 + 區域 ACL，限制橫向滲透。
3. 接入層：Port Security + DHCP Snooping + DAI + 802.1X，終端准入管控。
4. 全網：啟用 NetFlow/sFlow 流量可視化，異常流量自動告警聯動封鎖。

結語

三層交換機安全策略非單一功能，而是「物理防護 + 存取控制 + 封包過濾 + VLAN 隔離 + 流量監控」的系統工程。將病毒防禦前移至網路基礎設施層，配合端點防毒，構建纵深防禦體系。