生产与测试环境须物理或逻辑隔离，禁止共用网络设施；默认不通、按需放行，测试网不得主动访问生产系统，跨网通信须经授权网关、TLS加密及白名单控制，并辅以网络ACL、防火墙、密钥管理与流量审计。

生产与测试环境必须物理或逻辑隔离，不能共用同一套网络基础设施，否则测试误操作、漏洞扫描、配置错误可能直接冲击生产系统。

核心原则：默认不通，按需放行

隔离不是“完全断开”，而是建立可控的边界。关键在于让测试网无法主动访问生产网，而生产网仅在极少数必要场景（如配置同步、日志上报）单向、白名单式接入测试网。

• 禁止测试环境服务器主动发起对生产数据库、API网关、MES/ERP核心服务的连接
• 若需从生产同步基础配置（如字典表、组织架构），应由生产侧定时推送至测试网专用接收接口，而非测试侧轮询拉取
• 所有跨网通信必须经过明确授权的网关节点，禁用直连路由

推荐架构：独立VPC/子网 + 网络ACL + 防火墙策略

云环境优先使用独立VPC，本地IDC可用VLAN+三层交换机实现同等效果。重点不在“分”，而在“控”：

• VPC或子网划分：生产网（如10.10.1.0/24）、测试网（如10.10.2.0/24）、管理网（10.10.99.0/24）严格分离，不重叠
• 网络ACL（Network ACL）设为默认拒绝，只开放白名单规则，例如：
  → 允许测试网10.10.2.0/24 → 生产网10.10.1.100:8080（仅限配置中心API）
  → 拒绝测试网任何IP → 生产网全部其他IP和端口
• 防火墙（物理或虚拟）启用状态检测，记录所有跨网连接尝试，异常流量实时告警

关键增强措施

仅靠网络层隔离不够，需叠加身份与传输安全：

• 跨网通信强制使用TLS 1.2+，服务端验证客户端证书，杜绝未授权调用
• 测试环境不部署生产密钥、数据库密码、API Token；敏感凭证统一由密钥管理服务（如HashiCorp Vault、阿里云KMS）按环境动态下发
• 禁止测试服务器绑定公网EIP或配置NAT出站规则；如需访问外部依赖（如短信网关、地图API），统一走代理出口，并做域名白名单与流量审计

监控与审计不可省略

隔离的有效性需要可观测性支撑：

• 开启VPC流日志或交换机NetFlow，保留至少90天，重点分析跨子网连接源、目标、协议、端口、字节数
• 定期扫描测试网资产，确认无意外暴露的Web管理界面、数据库端口、Redis未授权访问等高危配置
• 每次发布前执行网络连通性检查清单：确认测试网到生产核心服务的非授权端口全部不通