子网划分不能实现严格网络隔离，仅提供地址边界；必须结合VLAN、三层路由、ACL及安全加固措施才能达成严格隔离。
子网划分本身不能直接实现“严格”的网络资源隔离，它只是为隔离提供基础条件。真正起隔离作用的是三层设备（如三层交换机或路由器）对不同子网间通信的控制能力。子网划分是逻辑分段的第一步，后续必须配合VLAN、路由策略和访问控制才能达成严格隔离。
子网划分是隔离的前提，不是隔离本身
子网划分把一个大IP网段切分成多个小网段，比如把192.168.10.0/24拆成192.168.10.0/26、192.168.10.64/26等。这一步只定义了地址空间边界，不改变设备间的连通性。同一台二层交换机上，只要没做VLAN或ACL，不同子网的主机仍可能通过ARP欺骗或直连方式互通。所以仅靠划分子网，无法阻止跨部门访问。
必须绑定VLAN并启用三层路由控制
企业实践中，“一个子网对应一个VLAN”是标准做法，原因在于：
- VLAN在二层切断广播域，天然隔离ARP、DHCP Discover等广播流量
- 三层交换机为每个VLAN创建VLANIF接口（即网关），该接口拥有对应子网的IP地址
- 不同VLAN间的通信必须经过三层路由，此时可部署ACL、防火墙策略或路由过滤
例如：财务部用VLAN 20 + 192.168.20.0/24，研发部用VLAN 10 + 192.168.10.0/24。默认情况下，两部门主机无法互访；若需有限互通（如研发访问财务服务器），则在三层交换机上配置精确的ACL规则，只放行特定端口和IP，而非开放全部流量。
关键配置动作缺一不可
要实现真正严格的隔离，以下四步必须全部落实：
- 为每个部门分配唯一VLAN ID，并将接入端口静态划分到对应VLAN（避免使用默认VLAN 1）
- 为每个VLAN配置独立的VLANIF接口和IP地址，作为该部门的网关
- 关闭不必要的跨VLAN路由，或默认拒绝所有VLAN间通信（华为设备可用traffic-filter inbound acl）
- 对确需互通的业务，按最小权限原则编写ACL：限定源IP、目的IP、协议、端口，不写any any
额外加固建议
仅靠子网+VLAN+ACL仍可能被绕过，可叠加以下措施提升严格性：
- 在核心出口防火墙上再设一层策略，审计并阻断异常跨部门流量
- 对高敏部门（如财务）启用端口安全或MAC绑定，防止非法终端接入
- 禁用交换机上的代理ARP、ICMP重定向等可能削弱隔离的特性
- 定期检查ARP表和路由表，确认无意外学习到的跨网段条目
