04-【政务】某市政务云安全架构

🧠拓扑・全局洞察 | 🔐安全・纵深防御

📡节点・边界管控 | ⚙️架构・持续优化

〇、整体拓扑说明

一、专线接入区

[1. 组成](#1. 组成)

[2. 安全控制措施](#2. 安全控制措施)

[3. 数据流向](#3. 数据流向)

二、互联网接入区

[1. 组成](#1. 组成)

[2. 安全控制措施](#2. 安全控制措施)

[3. 数据流向](#3. 数据流向)

三、核心交换区

[1. 组成](#1. 组成)

[2. 安全控制措施](#2. 安全控制措施)

[3. 数据流向](#3. 数据流向)

四、安全管理区

[1. 组成](#1. 组成)

[2. 安全控制措施](#2. 安全控制措施)

[3. 数据流向](#3. 数据流向)

五、云安全资源池（重点）

[1. 组成](#1. 组成)

[2. 安全管控措施](#2. 安全管控措施)

[3. 数据流向](#3. 数据流向)

4.云资源池共享原理（详细）

[4.1 云资源池共享整体逻辑](#4.1 云资源池共享整体逻辑)

[4.2 WAF 多租户共享两种主流引流方案](#4.2 WAF 多租户共享两种主流引流方案)

1）串联引流

2）旁路镜像（不走回流转发）

[4.3 其余组件（VPN、IPS、防篡改、DLP、FW）共享逻辑](#4.3 其余组件（VPN、IPS、防篡改、DLP、FW）共享逻辑)

[1）SSL VPN / IPSEC VPN](#1）SSL VPN / IPSEC VPN)

2）网页防篡改

[3）DLP 数据防泄密](#3）DLP 数据防泄密)

[4）虚拟化防火墙 vFW](#4）虚拟化防火墙 vFW)

[4.4 云安全集中管控平台](#4.4 云安全集中管控平台)

[六、互联网业务区 + 各行业业务区 1~N](#六、互联网业务区 + 各行业业务区 1~N)

[1. 交换机分工](#1. 交换机分工)

[1.1 业务交换机（万兆蓝线上联核心）](#1.1 业务交换机（万兆蓝线上联核心）)

[1.2 管理交换机（千兆绿线）](#1.2 管理交换机（千兆绿线）)

[1.3 带外管理交换机（IPMI 专用）](#1.3 带外管理交换机（IPMI 专用）)

[1.4 VXLAN 交换机](#1.4 VXLAN 交换机)

[1.5 存储交换机](#1.5 存储交换机)

[2. 安全控制措施](#2. 安全控制措施)

[3. 数据流向](#3. 数据流向)

七、政务场景完整数据流

[场景 1：市民线上办理社保业务（外网→人社业务）](#场景 1：市民线上办理社保业务（外网→人社业务）)

[场景 2：区县人社局公务员通过专线登录市级云上社保系统](#场景 2：区县人社局公务员通过专线登录市级云上社保系统)

[场景 3：民政和医保跨部门数据共享（政策要求数据互通）](#场景 3：民政和医保跨部门数据共享（政策要求数据互通）)

[场景 4：政务安全运维巡检](#场景 4：政务安全运维巡检)

八、政务云架构设计合规亮点

[👍点赞⭐收藏 = ❤️最大支持](#👍点赞⭐收藏 = ❤️最大支持)

〇、整体拓扑说明

Internet = 互联网公众外网（社会来访人员通道），ISP1/ISP2 是政务对外两条公共出入口主干道；
专线接入区= 政务专线专网入口（省直 / 区县政务单位专属公务绿色通道，政务涉密专线、电子政务外网专线专属进门通道）
互联网接入区= 面向社会公众办事访问的对外办事大厅正门；
核心交换区= 政务大院中央政务枢纽调度中心，全园区政务数据必经中转；
安全管理区 =市政务网信安全管控中心，统筹全政务云安全监测、漏洞巡检、风险处置；
云安全资源池= 政务云统一安全服务超市，各委办局租户按需申领 WAF、VPN、防病毒等安全能力，符合政务集约化建设要求；
互联网业务区= 面向市民的政务便民应用专区（政务服务网、小程序、一网通办）；
行业业务区 1~N = 各个委办局独立办公楼（民政局、人社局、住建局、医保局等专属政务业务机房）。

链路释义：

绿色千兆 = 政务管理运维内网通道；

蓝色万兆 = 政务业务数据高速通道；

红色 40GE = 核心枢纽超高带宽政务骨干互联链路。

一、专线接入区

**专线接入区：**省直 / 区县政务专网专用公务出入口。

1. 组成

双 ISP →抗 DDoS→下一代防火墙 NGFW→网络管理审计设备，独立于互联网接入，承载电子政务外网专线、省直纵向互联专线、区县政务横向接入专线。

2. 安全控制措施

（符合政务外网安全规范、等保三级）

抗 DDoS：拦截来自专线侧异常大流量攻击，防范区县单位误操作流量冲击政务云平台，隔离专网异常洪水流量；
下一代防火墙 NGFW ：政务专网边界安全闸机，严格做政务网与互联网逻辑隔离、网间访问白名单管控，仅开通审批过的委办局专线互通策略，禁止专网私自外联互联网，做地址转换、应用管控，封堵违规协议；
网络管理审计：全专线流量日志全留存，满足政务审计、网信溯源、等保合规，所有跨专线访问行为留痕归档备查。

3. 数据流向

入云（区县 / 省直单位访问云上政务系统）：省直 / 区县政务专网→运营商政务专线→抗 DDoS 清洗→NGFW 白名单放行→审计日志采集→核心交换→对应委办局行业业务区；
出云（云上政务系统对接下级区县专网）：委办局业务区→核心交换→专线接入区安全设备→政务专线→下级政务单位机房；

二、互联网接入区

**互联网接入区：**市民公众外网办事访问出入口。

1. 组成

双 ISP →抗 DDoS→下一代防火墙 NGFW→网络管理审计设备，面向社会公众、企业访问一网通办、政务门户等互联网应用。

2. 安全控制措施

**抗 DDoS ：**防护政务门户、便民平台防爬虫、CC 攻击（办事高峰期恶意刷接口）；
**NGFW ：**严格 NAT 映射，仅发布审批后的政务公网业务，关闭高危端口，阻断恶意外联；
**全流量审计：**留存 6 个月以上日志，满足政务监管、网信核查、等保合规硬性要求。

3. 数据流向

市民外网访问政务服务网：Internet→ISP→抗 DDoS→NGFW 端口映射→审计采集→核心交换→互联网业务区（一网通办应用服务器）；
政务应用外联外网（政务平台对接第三方征信、支付接口）：互联网业务区→核心交换→互联网接入区安全设备→ISP→互联网。

关键政务规则：专线（政务专网）和互联网两条接入边界++物理逻辑隔离++ ，跨网访问必须经过++安全审批 + 安全资源池++检测，严禁直接互通。

三、核心交换区

**核心交换区：**政务云骨干枢纽中心（整网政务数据心脏）。

1. 组成

两台核心交换机 40GE（红链路）冗余互联 ，两侧旁挂下一代防火墙，万兆蓝链路下联全业务区、安全管理区、云安全资源池，千兆绿链路承载全网管理运维流量，设备双活冗余。

2. 安全控制措施

核心交换通过 VXLAN/VLAN 实现各委办局租户逻辑强隔离：人社局、民政局、医保局等不同单位业务二层天然隔离，默认禁止跨委办局内网互通，杜绝政务数据越权访问；
跨业务区、跨网（政务专网↔互联网）流量强制经过旁挂 NGFW，所有跨域访问需走审批白名单；
全网关键流量镜像至安全管理区 + 云安全资源池，实现全政务流量安全监测。

VXLAN & VLAN区别？

对比维度 VLAN VXLAN

核心原理 在同一个物理网络内，通过标签（802.1Q） 划分逻辑子网，限制广播域。将二层以太网帧封装在 UDP（IP）包中，在三层网络上传递，形成隧道式重叠网络。

标识长度 12 位 VID，2^12。范围 1--4094（0 和 4095 保留）。 24 位 VNI (VXLAN Network Identifier)，2^24。约 1600 万个（2^24）。

网络范围 二层域（广播域），通常不能跨三层路由（除非借助 VXLAN 或网关）。天然跨越三层网络，基于 IP+UDP 传输，可在任意 IP 网络互通。

封装方式 在以太网头中插入 4 字节 802.1Q Tag（TPID+TCI）。在原始二层帧外添加 VXLAN 头（8 字节）+ UDP（8 字节）+ IP（20 字节）+ 以太网头。

底层依赖 交换机硬件支持，需 Trunk 端口传递带 Tag 帧。依赖 IP 网络（任意路由设备），支持物理或虚拟化 VTEP（VXLAN Tunnel End Point）。

隔离能力 最大 4094 个隔离广播域，大规模云环境下不够用。支持千万级租户隔离，租户间完全独立。

广播处理 广播、未知单播、组播都在 VLAN 内部泛洪。通过 IP 组播 或 BGP EVPN 控制平面 抑制泛洪，更高效。

使用场景 中小企业、传统数据中心、接入层简单的端口隔离。大规模云数据中心、容器网络（如 Flannel）、跨数据中心二层互通、NFV。

对比维度	VLAN	VXLAN
核心原理	在同一个物理网络内，通过标签（802.1Q）划分逻辑子网，限制广播域。	将二层以太网帧封装在 UDP（IP）包中，在三层网络上传递，形成隧道式重叠网络。
标识长度	12 位 VID，2^12。范围 1--4094（0 和 4095 保留）。	24 位 VNI (VXLAN Network Identifier)，2^24。约 1600 万个（2^24）。
网络范围	二层域（广播域），通常不能跨三层路由（除非借助 VXLAN 或网关）。	天然跨越三层网络，基于 IP+UDP 传输，可在任意 IP 网络互通。
封装方式	在以太网头中插入 4 字节 802.1Q Tag（TPID+TCI）。	在原始二层帧外添加 VXLAN 头（8 字节）+ UDP（8 字节）+ IP（20 字节）+ 以太网头。
底层依赖	交换机硬件支持，需 Trunk 端口传递带 Tag 帧。	依赖 IP 网络（任意路由设备），支持物理或虚拟化 VTEP（VXLAN Tunnel End Point）。
隔离能力	最大 4094 个隔离广播域，大规模云环境下不够用。	支持千万级租户隔离，租户间完全独立。
广播处理	广播、未知单播、组播都在 VLAN 内部泛洪。	通过 IP 组播或 BGP EVPN 控制平面抑制泛洪，更高效。
使用场景	中小企业、传统数据中心、接入层简单的端口隔离。	大规模云数据中心、容器网络（如 Flannel）、跨数据中心二层互通、NFV。

3. 数据流向

**全政务业务、跨区、跨网流量全部收敛至核心：**委办局业务区 / 互联网业务区 ↔ 核心交换 ↔ 专线 / 互联网接入区 / 安全资源池 / 安全管理区；
双核心 40GE 链路负载冗余，单台故障不中断跨部门政务数据交互。

四、安全管理区

**安全管理区：**市级政务云网信安全总控中心（等保 & 监管中枢）。

1. 组成

安全感知平台、安全管理平台、云眼态势平台、漏洞扫描系统、虚拟化安全组件 vSSL/vAD/vAF 集群，是政务云统一安全运营底座。

2. 安全控制措施

（政务网信监管核心）

安全感知 + 云眼态势：全市政务云安全态势大屏，实时监测全委办局服务器异常外联、内网横向渗透、病毒勒索攻击，对接市网信、公安网安预警平台，高危威胁一键上报；
漏洞扫描系统：按政务等保要求，周期性对所有委办局云主机、政务系统定期漏洞巡检，对高危漏洞下发整改督办单，落实政务安全整改闭环；
vAF/vAD/vSSL 虚拟化安全底座：为云安全资源池提供底层虚拟化安全能力，统一管理全云安全设备特征库、策略版本；
统一纳管全网防火墙、WAF、审计设备，实现政务安全策略集中审批、统一下发，符合政务集约化运维规范。

3. 数据流向

管理运维流（千兆绿线）：核心交换机镜像全量设备日志、流量样本→安全管理区，汇总做安全分析、等保报表；
管控下发流：安全平台生成漏洞整改、封堵策略→核心交换机→各委办局业务区服务器；
应急处置流：监测到政务系统中勒索病毒、数据外泄风险，联动防火墙 / 交换机自动隔离涉事委办局虚拟机，阻断风险扩散。

五、云安全资源池（重点）

**云安全资源池：**政务云统一集约化安全服务超市（委办局共享安全能力）

1. 组成

租户 A/B/C 对应不同委办局安全组件：WAF/FW/SSL VPN、网页防篡改、终端防病毒、IPSEC VPN、数据防泄密 DLP、IPS 入侵防御、安全审计 + 云安全集中管控平台。

**政务特色：**各委办局不再单独采购硬件安全设备，依托政务云资源池按需开通安全能力，节约财政资金，是政务云主流集约化建设模式。

2. 安全管控措施

（贴合政务数据分级保护）

WAF 网页防火墙：防护政务门户、一网通办系统，拦截 SQL 注入、越权访问等 WEB 漏洞攻击，防止办事数据被窃取篡改；
网页防篡改：锁定政务官网静态页面，防止黑客篡改政务公示、政策公告页面；
IPSEC/SSL VPN：区县公务人员、外派政务人员加密远程接入云上业务系统，实现安全移动办公；
IPS + 终端防病毒：防范政务内网勒索病毒、挖矿病毒横向扩散，保护社保、医保、户籍等敏感政务数据；
数据防泄密 DLP：管控公民敏感信息（身份证、医保、社保数据）违规外发、非法导出，落实政务数据安全法要求；
安全审计：全委办局操作日志留存，满足纪检、审计、等保核查。

3. 数据流向

外网 / 专线访问委办局业务流量→核心交换机→引流至云安全资源池检测→安全放行后再进入对应业务区；
**旁路镜像：**部分业务流量镜像至资源池做安全审计，不影响原有政务业务转发路径；委办局新增业务，在线申领安全防护，资源池弹性开通，无需硬件上架。

4.云资源池共享原理（详细）

4.1 云资源池共享整体逻辑

云安全资源池 类似：政务统一政务安检大厅，里面部署一套集群化 WAF、IPS、防篡改、DLP、VPN 硬件 / 虚拟化集群。

**注意：不是人社局买一台 WAF、住建局再单独买一台 WAF，**或其他硬件。

所有委办局共用同一组安全硬件集群，靠逻辑实例 + 业务引流 + 策略隔离实现 "共用硬件、各自独立防护、互不干扰"。类似：同一个车管所安检线，人社局、住建局两台车先后过检，共用一套安检设备，但分别单独验车、单独开安检单、互不查看对方车况。

资源池底层： 多台物理安全服务器组成分布式集群，CPU、内存、存储池化拆分，通过虚拟化安全架构（NFV 网络功能虚拟化）切分出多套逻辑安全实例：人社 WAF 实例、住建 WAF 实例、民政 IPS 实例等。

4.2 WAF 多租户共享两种主流引流方案

现在，以WAF为示例。其余安全组件类似。

核心逻辑：按租户切分独立 WAF 逻辑实例、实例独占服务 IP，核心交换靠路由把业务流量引到对应实例→检测→回流核心→业务区，这套是政务云串联 WAF 主流实现。

1）串联引流

（政务互联网业务首选：一网通办、政务官网）【人社局外网门户、住建局政务公示网】

（1）资源池怎么实现共用 WAF 集群

底层一套 WAF 硬件集群，NFV 虚拟化拆分逻辑 WAF 实例 ：实例 1 = 人社局专属 WAF、实例 2 = 住建局专属 WAF、实例 N = 其他委办局；分别分配独立的业务服务 IP（实例 IP），端口按需自定义（80/443）。
**硬件资源动态调度：**人社局办事高峰期占用更多算力，闲时资源自动释放给住建或其他单位，资源弹性复用；
云安全管控平台统一管理硬件，但每个租户独立防护规则库、独立告警日志、独立防护策略，配置隔离、数据隔离，住建局看不到人社的 WAF 访问日志和防护规则。

**补充：**不会占用业务服务器原有 IP，实例 IP 是安全池互联网段地址。

（2）数据流：市民访问人社局官网 vs 市民访问住建局官网

①市民访问【人社局社保网上服务大厅（公网业务）】

互联网→ISP→互联网接入区（抗 DDoS→NGFW 公网映射）→核心交换机**【策略路由 PBR】** →云安全资源池：根据目的业务 IP，匹配下一跳 = 对应租户 WAF 实例 IP，即人社专属逻辑 WAF 实例（拦截 SQL 注入、XSS、爬虫、越权访问、恶意提交表单）→实例回包转发回核心交换机→人社局业务区服务器→原路返回数据。

补充容易混淆的两点：

不需要单独区分端口做引流。 引流优先用目的业务 IP 区分租户，不靠端口；也就是说，同一80端口，人社 80 流量去人社实例 IP，住建 80 流量去住建实例 IP。

回流不用额外配置回程路由。 WAF 实例配置回程默认路由指向核心互联网段，检测完++自动原路回送核心++ ，是安全资源池出厂标准化配置。

②市民访问【住建局工程审批公示平台（公网业务）】

过程类似上面，但住建流量发至住建专属逻辑WAF实例。

关键点：

A.物理硬件共用，逻辑防护实例完全隔离，规则互不通用；同一块 WAF 硬件同一时刻并行处理人社、住建两条流量，靠虚拟化分片算力。

B.依靠实例独立 IP 做路由区分人社 / 住建流量，人社流量去往人社 WAF-IP，住建去往住建 WAF-IP。

2）旁路镜像（不走回流转发）

（委办局内网业务、专网业务首选：人社社保内网系统、住建不动产专网系统）

（1）旁路数据流： 专网（区县政务专线）→专线接入防火墙→核心交换机，生产流量不经过安全池串联转发，核心交换机做流量镜像复制一份副本送入资源池。

副本流量进入资源池：人社副本走人社 WAF/DLP 做审计、泄密检测；住建副本走住建专属安全实例；
原业务数据照常直达业务服务器，不改变原有业务路径，不占用安全池转发带宽；
一旦 DLP/IPS 检测到住建不动产数据违规外发、人社公民信息批量导出，安全平台联动边界防火墙自动封堵对应 IP。

**（2）旁路数据流：**区县人社局专线访问云上社保系统

区县政务专网→专线接入 NGFW→核心→人社局业务区（业务原生通行）；镜像副本：核心分光 / 镜像→资源池→人社 IPS+DLP 审计，监测敏感社保数据外泄。

（3）旁路的三种用法

①纯端口镜像（最简IDS，纯事后） ：核心交换机只复制一份流量副本→安全池DLP/IPS实例。
②镜像 + API 联动阻断（不动产系统，事中可拦） ：安全池 IPS/DLP 检测镜像流量发现高危行为后，通过安全管控平台 API 下发指令给边界防火墙 / 核心交换机 vFW，动态拉黑源 IP / 目的 IP，秒级闭环 ，实现++「本轮拦不住、下一秒断掉后续连接」++。
③镜像 + TCP Reset 报文阻断（七层实时断流，高级旁路） ：安全设备分析镜像流量，发现恶意报文后，主动向客户端 + 服务器两端发送 TCP-RST 重置包 ，强制掐断当前正在传输的 TCP 会话，正在跑的连接当场中断，正在外泄的数据传输半路断掉，不改防火墙策略。

住建局不动产 DLP 场景：

员工在外网通过专网批量下载不动产产权库→流量镜像进住建 DLP 实例，识别敏感不动产字段；DLP 主动发 RST 报文双向断连接，正在传输的数据包直接作废，数据传不完、保存失败，近乎实时拦截。

优点：不用改动交换机 / 防火墙配置；缺点：仅 TCP 协议生效，UDP 类业务无法 RST 拦截。

4.3 其余组件（VPN、IPS、防篡改、DLP、FW）共享逻辑

1）SSL VPN / IPSEC VPN

资源池一套 VPN 网关集群，虚拟多 VPN 网关：人社 VPN 网关、住建 VPN 网关。

**区县人社工作人员拨号：**接入人社 VPN 虚拟网关，加密通道直达人社业务区；
**区县住建工作人员拨号：**接入住建 VPN 虚拟网关，隔离无法访问人社内网；共用硬件网关硬件，不同租户独立账户体系、独立网段权限。

2）网页防篡改

统一防篡改集群，拆分逻辑防护实例：

人社官网：静态页面 由人社防篡改实例 实时比对哈希值；

住建官网：由住建实例监控，硬件资源共享、页面快照数据隔离存储。

3）DLP 数据防泄密

一套 DLP 硬件集群，配置不同租户泄密规则：

**人社规则：**拦截身份证、社保编号批量外发；
**住建规则：**拦截不动产产权信息批量导出；流量进对应租户 DLP 实例检测，共用算力，策略分开。

4）虚拟化防火墙 vFW

资源池 FW 集群，每个委办局生成独立逻辑防火墙，人社内网子网、住建内网子网分别绑定自身 vFW，控制部门内子系统互访。

4.4 云安全集中管控平台

硬件资源调度：统一监控整个安全池硬件负载，人社流量突增自动划拨 CPU 内存，闲置资源分配住建；
租户策略隔离管理：管理员在一个平台分别配置人社 WAF 规则、住建 WAF 规则，配置界面分开、存储分开；
统一特征库升级：WAF/IPS 病毒库、攻击特征库全池统一升级，不用人社、住建各自升级设备；
独立报表导出：人社局只能查看自身安全报表，住建局只能查看自身审计日志，权限纵向隔离，符合政务数据保密要求。

六、互联网业务区 + 各行业业务区 1~N

互联网业务区：市民便民应用专区 ：一网通办平台、政务服务小程序、政务官网、企业办事平台等面向公众的互联网应用；--------相当于，各部门直接对外服务的系统。
行业业务区 1~N：各委办局专属政务业务区 ：人社、医保、民政、住建、自然资源等部门核心业务系统（社保系统、医保结算、不动产登记系统等，承载公民敏感涉密政务数据）-------相当于各部门内部系统。

1. 交换机分工

（政务运维三平面分离：业务、管理、带外物理隔离）

1.1 业务交换机（万兆蓝线上联核心）

所有业务服务器的生产业务网卡全部接这台交换机，医保结算、户籍录入、不动产申报、市民在线办事全部走这条链路，万兆大带宽。

数据流 ：市民外网办事→核心交换机→业务交换机→业务服务器→存储交换机落库；区县专线来访数据同样走业务交换机。

只跑用户业务流量，禁止运维登录、远程配置、调试操作；

万兆高速，扛办事高峰期并发（比如医保集中缴费、开学社保参保高峰）；

1.2 管理交换机（千兆绿线）

服务器独立管理口（Mgmt 口）接入 ，运维登服务器改配置、打补丁、系统巡检、后台查业务日志。和业务网卡物理分开、网线分开、交换机分开。

数据流： 运维工作站→核心交换机→管理交换机→服务器管理口，全程不经过业务数据通道。

千兆够用，流量小；和业务网物理隔离，运维操作不会挤占业务带宽、不会误操作影响业务。

1.3 带外管理交换机（IPMI 专用）

单独接服务器IPMI 硬件管理口 ，完全脱离操作系统、脱离业务网、脱离管理网。服务器死机、系统崩溃、系统全盘损坏、网卡故障，系统起不来也能远程开机、关机、重装系统、进 BIOS 设置。

IPMI 硬件管理口： 是服务器主板上一个独立于操作系统的带外管理接口，用于远程监控、控制服务器的物理状态（电源、温度、风扇等），即使服务器操作系统死机或关机也能操作。

**数据流：**运维工作站→带外交换机→服务器 IPMI 芯片（不走服务器系统）。

1.4 VXLAN 交换机

同一个委办局内部多台服务器逻辑组网 ：比如：人社局有社保系统、医保系统、人事系统，分散在多台物理服务器上，靠 VXLAN 实现二层互通；不同委办局天然隔离：人社 VXLAN 网段和住建 VXLAN 网段底层不通，天然禁止跨部门内网乱窜。

数据流：同单位++跨物理主机++互通： 社保服务器→VXLAN 交换机→医保服务器；

跨单位（人社→住建）：VXLAN 底层直接阻断，必须经过核心防火墙审批白名单才能互通。

实现逻辑：人社局内部如：社保系统、医保系统分散在多台物理服务器上，靠 VXLAN 实现二层互通。

每台物理服务器上配置 VXLAN 隧道端点（VTEP） ，由VXLAN 交换机承担。

社保系统所在的虚拟机发送一个二层广播包（如 ARP 请求找网关 MAC），VTEP 将其封装为 VXLAN 包（加上 VNI = 人社局专用 ID），通过物理服务器的业务网卡发送到三层网络。

目标物理服务器的 VTEP 收到包后解封装，还原为原始二层帧，交给医保系统虚拟机。

效果： 社保和医保虚拟机虽然位于不同物理机，但就像接在同一个二层交换机上一样。广播域跨物理机延伸，但底层只走 IP 路由，无需交换机 trunk。