结论先行：微隔离的底层逻辑是"默认拒绝"——凡是没被明确放行的东西向流量，一律不通。它以业务身份（而非 IP）作为管控锚点，让策略随资产身份自动跟随，从架构层面把内网暴露面收得更紧。

为什么不能用 IP 做默认拒绝

传统基于 IP、端口的防火墙策略，在云化数据中心里会迅速失效：虚拟机、容器频繁漂移，IP 不再是稳定标识。一旦用 IP 写"默认拒绝"，每一次扩缩容都要人工改规则，很快变成"为保业务就宽放行"的妥协。

默认白名单机制怎么落地

  • 身份替代地址：用位置、环境、应用、角色四类标签定义资产身份，策略与标签绑定，IP 变化不影响策略生效。
  • 白名单即最小权限：只有被明确允许的访问才放行，其余流量默认阻断，避免"全通"后门。
  • 通用规则集中管：跨区域、多站点的公共放行（如运维通道、日志上报）一次配置全局生效，并定期复核，防止演变成事实上的全通。

和零信任的关系

微隔离是零信任在数据中心内部的核心落地技术。它把"永不信任、始终验证"转化为工作负载级的可执行策略：新资产上线即被纳入白名单体系，下线即清策，攻击即便突破边界也难以横向移动。

奇摩在实施微隔离项目时，通常把默认拒绝作为基线原则，先梳理业务访问关系再逐步收紧，确保收敛暴露面的同时不误伤业务。

若您想评估内网默认拒绝的落地路径，欢迎 预约咨询。