等保2.0二级三级系统设备清单与拓扑图绘制避坑指南

简介：一份Word文档系统梳理了等保2.0二级与三级场景下的拓扑图绘制思路及安全设备选型清单，面向等保合规规划人员、安全工程师和企业IT运维人员，可直接用于等保建设方案设计参考。文档内容按二级基础版、三级基础版、三级增强版和三级豪华版四个层级分别展开，逐项说明下一代防火墙、日志审计系统、数据库审计、堡垒机、漏洞扫描、上网行为管理、Web应用防火墙、态势感知等设备的必配与选配关系，同时给出安全区域边界、通信网络、安全计算环境等位置的部署建议，能够帮助读者快速理解不同等级下的安全组件组合与拓扑结构要点。资源包整体为1个Word文档，容量约181KB，轻量便携，便于对照整改或嵌入项目文档。目前已有2232人学习浏览，对正在准备等保测评、规划安全设备采购或完善网络拓扑的读者具有直接参考价值。

1. 等保2.0的二级和三级，真正难的不是测评而是这两件事

接手过等保2.0项目的人基本都有同感：真正卡住进度的不是写报告，而是两个看起来很简单的问题——拓扑图怎么画才符合要求、安全设备到底要买哪些。二级和三级虽然都在等保2.0的框架内，但控制项数量、测评力度、必配设备差得不是一星半点。拿一张二级的拓扑图直接套三级去答辩，测评员一眼就能看出没做过功课。反过来，按三级的标准给二级系统配设备，预算翻一倍还未必加分。这篇文章我就按自己做过多个二级、三级系统的经验，把设备清单怎么定、拓扑图怎么画、哪些坑必须绕开，一次说清楚。

2. 二级和三级差的不只是分数：控制项差异是设备选型的底层依据

2.1 等保2.0技术要求框架：拓扑图和设备清单的源头是这五个层面

等保2.0把安全要求分为安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心这五个技术层面，加上安全管理部分。你画拓扑图时不需要把所有层面都画上去，但设备选型却要逐项对照，因为每一类安全设备背后都对应着一组控制项。

对你画图和买设备影响最大的是其中三个层面：安全区域边界负责网络进出口的防护和访问控制；安全计算环境负责服务器、终端、应用系统本身的安全；安全管理中心则管着日志收集、集中监控和运维审计。很多刚开始做等保的人以为买几台防火墙就能过，看过等保2.0的控制项表就知道，设备清单远不是防火墙一个品类能解决的。

这里有个容易混淆的点：安全物理环境的机房监控、门禁、防雷接地这些要求，并不需要反映在逻辑拓扑图里，但要在系统描述文档里说明。你在画拓扑图之前，先把这五个层面过一遍，哪些是物理措施、哪些是技术设备、哪些是管理制度，分清楚再动手，否则一边画图一边补设备，改来改去特别浪费时间。

2.2 二级和三级在关键控制项上的硬差异：一张表看清边界

二级系统和三级系统最核心的差异集中在身份鉴别、入侵防范、集中管控和恶意代码防范这几个方面。你可以把等保2.0的控制项要求当成一把尺子，二级和三级就是两把不同精度的尺子。

以身份鉴别为例，二级要求对登录用户进行身份标识和鉴别，采用口令、密码技术、生物技术等一种或组合即可；三级则明确要求两种或两种以上组合的鉴别技术，通常就是“口令+动态令牌”或“口令+数字证书”。这一条就直接决定了你有没有必要部署动态令牌网关或CA系统。

入侵防范的差异更典型：二级只要求遵循最小安装原则、关闭不需要的组件和端口；三级则要求“能够检测入侵事件”，这就意味着必须有IDS或带有IPS模块的防火墙设备，不能光靠ACL过滤。还有安全管理中心，三级增加了集中管控的要求，需要把所有安全设备和主机的安全策略、日志统一收集分析，而二级没有这么强的硬性要求。

对比下来可以建立一个大致印象：三级的必配设备里面，入侵检测类、集中审计类、双因素认证类的占比显著提升，而二级更多是“基础边界+基础审计”的组合。下面这张表可以直接用来做差距分析。

2.3 从控制项推导设备清单的方法：别让销售清单替你决定

很多团队选安全设备的方式是找几个厂商各报一套清单，然后照着差不多的方案买。这种做法不能说完全错，但很容易买多或者买漏。我做项目时的习惯是：先拿测评机构对着等保2.0标准整理的控制项检查表，逐条标注“现状是否满足”“用什么设备或措施来满足”“上一套方案里有没有这类设备”，最后汇总出来的才是真正需要的设备清单。

原理很简单：每个控制项都是测评员打分的依据，你买设备不是为了好看，是为了让每个控制项拿到“符合”而不是“不符合”。比如安全计算环境里的安全审计要求，如果没有日志审计系统，测评员就会在审计记录项上判不符合，哪怕你防火墙日志存了三年也没用，因为防火墙日志不等于全系统审计日志。

实操上，我一般分三步走：第一步，把系统定级结果（二级或三级）对应的控制项表拿全；第二步，逐项判断是纯管理措施（如安全管理制度）、纯物理措施（如机房门禁）、还是需要技术设备支撑；第三步，把需要技术设备的控制项合并同类项，比如“边界防护”“访问控制”都可以由防火墙承担，但“入侵防范”需要额外的检测能力。合并之后，剩下的设备类别数量通常就在5到8类左右，这比厂商给你的动辄十几类的方案精简得多。

3. 设备清单怎么定：三级买哪些、二级砍哪些、钱花在哪

3.1 三级系统的设备清单：六个“基本盘”和两个“视情况”

三级系统的设备清单，我按“基本盘”和“视情况”两档来拆。“基本盘”是测评机构普遍看重的、缺了就大概率判不符合的类别，一共六类：边界防火墙、日志审计系统、堡垒机、数据库审计系统、网络防病毒系统、动态令牌或密码认证系统。

边界防火墙放在互联网出口和内部重要区域边界，承担访问控制和最简单的边界防护。日志审计系统旁路部署，采集网络设备、安全设备、服务器、数据库的日志，满足安全审计和集中管控的部分要求。堡垒机是所有运维操作的唯一入口，运维人员先登录堡垒机，再由堡垒机跳转到服务器，满足访问控制和身份鉴别。数据库审计系统在核心业务区旁路镜像数据库流量，对SQL操作做审计。网络防病毒系统覆盖服务器和终端。动态令牌做双因素认证。

“视情况”的类别要看业务形态：有对外Web站点，基本要加Web应用防火墙；有大量用户上网行为，就要考虑上网行为管理系统；系统规模大、资产数量多，态势感知平台会成为加分项，但计入成本时要清楚它主要用来满足集中管控的“统一监控”要求，如果日志审计系统已经能集中收集日志，态势感知可以往后放。

注意一点：三级系统对数据库审计的要求不是明文强制，但测评中一旦涉及重要数据，审计范围不够就容易扣分。我经手的三级系统里，只要核心业务区有独立数据库的，无一例外都配了数据库审计。这是行业里的共识做法，不是标准原文的白纸黑字，但“买方”实践中认可度很高。

3.2 二级系统的设备清单：砍设备但不砍控制项

二级系统做设备清单最忌讳的是直接照搬三级方案。二级的硬性要求比三级低了一个档位，设备配到位的标准是“该有的控制项都有”，而不是“和三级一样全”。

二级系统的基本盘其实只有三个：边界防火墙、日志审计系统、网络防病毒系统。边界防火墙承担访问控制和边界防护；日志审计系统承担安全审计；防病毒承担恶意代码防范。这三个类别能覆盖二级安全区域边界和安全计算环境的核心技术控制项，预算紧张时这套组合勉强能撑起一个二级系统的测评。

剩下两个类别要看具体条件来说。堡垒机在二级里不是强制设备，但如果服务器数量超过十台、有多人运维，我强烈建议配一台，理由很实际：二级的身份鉴别和访问控制要求同样存在，运维人员直接拿管理账号连服务器，登录过程没有统一审计，安全审计项会被质疑。数据库审计的优先级也取决于业务：系统里有敏感数据且数据库是集中部署的，就值得加一台；库少、只做简单存储，用日志审计系统采集数据库日志也能顶一部分。

二级的边界防火墙尽量不要用纯ACL的老式防火墙。二级安全区域边界里的入侵防范虽然没有三级那么严格，但测评时一旦检查边界处的入侵行为检测能力，老式防火墙就露馅了。选择方式也很简单：选带IPS功能模块的下一代防火墙，不开也没关系，至少测评时能从界面看到检测能力配置项。

3.3 部署形态和许可证口径：硬件、虚拟化、云组件的差异

设备清单不等于一堆硬件设备清单。现在的部署形态至少要考虑三种：传统机房的硬件设备、虚拟化平台里的虚拟安全设备、云环境里的云安全组件。

在传统物理机房里，边界防火墙和堡垒机这类承担关键路径的设备我用硬件形态，稳定性好，故障时好排查。日志审计、数据库审计这类旁路设备，虚拟化部署完全够用，还省机柜空间和功耗。如果系统整体跑在虚拟化平台上，防火墙和堡垒机也可以做成虚拟化形态，但要注意虚拟化防火墙的吞吐能力和物理防火墙有差距，核心业务流量很大时谨慎选择。

云上的定级对象逻辑不同。比如系统部署在政务云或公有云上，云平台侧的安全物理环境、部分通信网络安全由云服务商负责，你自己负责的部分更多落在安全区域边界和安全计算环境。这个场景下，云防火墙、云日志服务、云堡垒机都是常见形态，按使用量计费的许可证口径和传统买断制差别很大，做预算时别用传统硬件的单价去参考。

另外提醒一句和钱有关的事：安全设备的“功能模块”和“型号授权”经常是两个报价口径。一台防火墙，基础型号一个价，开IPS模块又是一个价；日志审计的“资产管理数”直接决定许可证价格，支持20个资产和200个资产完全是两个档位。做预算前把资产清单数清楚：服务器几台、网络设备几台、安全设备几台、数据库实例几个，这些都是日志审计、堡垒机、防病毒按点计费的依据。

4. 拓扑图画法拆解：先分区、再连线、后标注

4.1 安全区域划分：没有区域边界，设备就没有位置可放

画拓扑图第一步不是拖设备图标，而是先画安全区域。等保2.0的核心思路之一就是“分区域防护”——不把网络当成一个平面，而是划分成若干安全域，每个域都有自己的边界防护策略。

一个典型的二级或三级系统逻辑拓扑，至少要划分出五个安全区域：互联网边界区、DMZ区、核心业务区、运维管理区、安全管理区。互联网边界区放出口路由器和边界防火墙；DMZ区放面向外部服务的Web服务器、接口网关；核心业务区放应用服务器和数据库；运维管理区放堡垒机、运维终端；安全管理区放日志审计系统、集中管控平台。

区域之间用虚线或不同底色区分，边界上用带标签的线标明“防火墙隔离”“VLAN隔离”“ACL控制”，这样测评员看拓扑图时能直接判断边界防护措施是否覆盖到位。二级系统如果规模小，运维管理区和安全管理区可以合并画成一个管理区，但三级系统我建议一定分开，因为集中管控的控制项要求单独体现。

用表格把区域和承载内容固定下来，再开始画图，能减少返工。

4.2 设备连线和流量走向：串联与旁路不能画反

设备连线是拓扑图里最容易被挑出毛病的地方。串联设计的核心是：业务流量必须要经过防火墙或WAF，旁路设计的核心是：审计设备只接镜像流量，不能串进业务链路。

边界防火墙一定是串联在互联网出口和内部网络之间，图上要画成“进出口流量全部经过防火墙”的走向。很多不专业的图把防火墙画在核心交换机旁边，只连一根线到交换机，看起来是连接了，但实际上流量根本不经过它，这种图画了等于白画。DMZ区的Web服务器如果前面有WAF，WAF也要画成串联形态：外部流量先到WAF，再到Web服务器，再到应用和数据库。

日志审计、数据库审计这类旁路设备，连接方式是从交换机镜像口接一根线出来，画成“旁路监听”的样式，不要把它们画在业务流量的路径中间。如果把它们串进业务链路，反而会新增故障点，而且测评员会质疑设备部署的合理性。连线上要额外标注清楚链路类型：实线表示业务数据流，虚线表示管理控制或日志收集流。

堡垒机的位置比较特殊：运维流量经过堡垒机，但业务流量不经过。正确的画法是运维终端连接到堡垒机所在的管理区，堡垒机再连接到核心业务区的服务器管理口或SSH端口。图上最好用一条单独的虚线把运维链路标注出来，并写明“所有运维操作经堡垒机跳转”。

4.3 画图工具的实操步骤：Visio、draw.io和图层习惯

拓扑图用什么工具画不是重点，画完能不能让测评员看懂才是重点。我习惯用Visio，因为它自带的网络拓扑形状库比较全，画出来排版整齐。没有Visio的情况下，draw.io免费版也能完成同样的工作，形状库虽然要手动加载，但支持的图元基本覆盖防火墙、路由器、服务器、交换机这些常见设备。

画图时我一般按这样的步骤来。第一步，新建Visio的“网络拓扑图”模板，先拖入区域色块，把五个安全区域的框画出来。第二步，在每个区域里按照“边界设备在最外侧、服务器和数据库靠内侧”的逻辑放设备形状，设备名称用“FW-01”“LOG-01”“堡垒机”这种格式，别只用品牌型号，因为测评员看的是角色不是厂商。第三步，用连接线工具把设备连起来，串联的线从防火墙两端接口连出，旁路的线从交换机镜像口垂直引出。第四步，在图形下方加控制项标注，比如防火墙旁边写上“边界防护、访问控制、入侵防范”。最后导出成PDF或高清PNG，在正式文档里引用。

draw.io里的操作逻辑差不多，但要注意图表尺寸设置，默认画布太小，画到一半放不下设备时就只能整体缩放，字也跟着变小。建议开始画之前先把画布调整为A3横向尺寸，网格打开，设备图标统一使用“网络设备”形状库的样式，不要混用不同样式库的图标。

另外养成一个习惯：每一版拓扑图都保存一个源文件版本，Visio存.vsdx，draw.io存.xml，导出的图片文件只做交付用。原因很现实，等保整改通常会持续两三轮，每一轮都要改拓扑图，没有源文件就只能整张重画。

5. 避坑指南：拓扑图里最常见的5个翻车点

5.1 防火墙画在核心交换机内侧，边界防护形同虚设

现象：拓扑图上边界防火墙没有画在互联网出口和内部网络的唯一路径上，而是画在核心交换机旁边，看起来和交换机直连，但进出的业务流量在图上就有了一条完全绕过防火墙的路径。

原因：画图的人把防火墙当普通网络设备，习惯性把安全设备往核心交换机边上一放，表示“网络里有防火墙”，却没有考虑流量路径的逻辑关系。

解决：确认防火墙是不是串接在出口链路上——外部进来的流量全都要经过防火墙才能到达内部网络。如果是双机部署，画成两条链路在防火墙之间做HA；如果有多条ISP出口，每条出口链路都画成先到防火墙再到内部。拓扑图里不允许出现任何一条“直通”路径绕过防火墙。

5.2 漏画无线网络和运维终端，审计范围不完整

现象：拓扑图画了互联网边界、核心业务区、DMZ区，但会议室和办公区的无线接入点没画，运维人员的操作终端也没画。测评员一对照资产清单，发现拓扑图和实际网络设备对应不上。

原因：等保2.0要求覆盖所有联网设备和终端，无线接入点是边界的一部分，运维终端是安全审计和访问控制作用的对象，这些资产如果不进拓扑图，资产管理项就不完整。

解决：把办公网无线路由器或无线控制器单独画成一个“办公接入区”，标注边界防护措施；运维终端在拓扑图里至少用一个终端图标加文字说明表达清楚，说明它归属运维管理区并受堡垒机管控。

5.3 日志审计只接服务器没接网络设备，安全审计项被扣分

现象：日志审计系统在拓扑图里只连着几台服务器，路由器、交换机、防火墙的日志都没接。自认为日志审计很齐全，结果测评时发现“审计范围覆盖网络设备”这一条不满足。

原因：很多人理解“日志审计”就是收集业务系统日志，忽略了等保2.0里安全审计要求覆盖网络设备、安全设备、操作系统、数据库等所有重要资产。

解决：日志审计的采集范围在拓扑图里用虚线明确延伸到核心交换机、路由器、防火墙、堡垒机，并注明通过syslog方式接入。如果日志审计系统支持异构设备日志解析，在图中标注支持的范围，测评时能直接作为证明。

5.4 把态势感知当必买设备，预算翻倍还影响项目进度

现象：厂商方案里报了态势感知平台，说三级系统“必须有”，于是采购流程、部署周期、数据接入调试都按态势感知来做，结果项目迟迟不能上线，测评时间一拖再拖。

原因：部分厂商把态势感知包装成等保三级的标准配置来引导采购。实际上等保2.0控制项里没有“态势感知”这个设备名称，与之最接近的是安全管理中心的“集中管控”要求——统一采集安全日志、统一监控、统一审计。这个要求用日志审计系统配合一套集中管理平台就能满足。

解决：如果预算充足，态势感知可以作为集中管控的增强手段；预算有限时，把日志审计系统作为集中管控的主体。在做设备清单时，优先判断控制项，而不是优先对接厂商方案。运营成本也要考虑——态势感知需要人手持续维护规则和分析告警，团队没有专职安全运营岗位时不建议为测评硬上。

5.5 只画了业务拓扑没有管理拓扑，管理网和业务网混在一起

现象：整张拓扑图只有业务网段，所有设备的管理IP和业务IP混画在同一个网段范围，管理流量和业务流量没有分开，安全管理中心的要求无法体现。

原因：很多网络交付时的原拓扑图就没有区分管理平面和数据平面，做等保时直接把原图拿来改，忘了等保2.0对安全管理中心和运维管理区的独立性有要求。

解决：在拓扑图下方或右侧增加一个“管理网说明”，用独立色块画出安全管理区和运维管理区，标注交换管理VLAN的编号。管理网和业务网有物理或逻辑隔离即可，图中用不同颜色线型表达出来是最直观的方式。

6. 把拓扑图改造成控制项映射图，让测评沟通效率翻倍

一个值得养成的习惯：交付拓扑图时不要只给一张纯网络拓扑，而是给它加一个“控制项映射”维度。具体做法是在每个安全设备的图形旁边加一个标注框，列出该设备承担了哪些控制项。防火墙旁边标注“边界防护、访问控制、入侵防范”；堡垒机旁边标注“身份鉴别、访问控制、安全审计”；日志审计旁边标注“安全审计、集中管控”。这样做之后，测评员对着控制项检查表逐条核验时，速度会快很多，沟通成本也相应降低。

映射关系的整理思路是从控制项反向找设备。你可以先列出这个系统涉及的所有技术类控制项，编号例如“8.1.1身份鉴别”“8.1.3安全审计”，然后在每个编号后面填上对应的设备名称。交付时把这张表附在拓扑图后面，格式就是一个三列的小表：控制项编号、控制项名称、对应设备。

这样做有一个直接的好处：当测评员提出某项不满足时，你不需要再重新翻整张图，直接看映射表就能定位是哪台设备、哪个模块缺了。我自己吃过这个亏：第一套三级系统交付时只有纯拓扑图，测评整改时逐条核对控制项，来来回回翻图花了大量时间。做成映射表之后，第二轮整改所有控制项的对应关系一目了然，整改方案的出具速度快了一倍。

还有一个进阶做法：把映射表和资产清单绑在一起。安全设备的型号、IP地址、部署位置、管理VLAN写进资产表，控制项对照表里直接引用资产编号，例如“FW-01承担边界防护、访问控制、入侵防范”。这样测评员能从设备编号追溯到实物，不会出现图上设备与实际设备对不上的情况。

最后说一个我自己的习惯：每次做等保项目时都会画三个视图——物理拓扑、逻辑拓扑、控制项映射表。物理拓扑用来核对资产，逻辑拓扑用来表达流量和边界，映射表用来对接测评。三个视图配合使用，才能把等保2.0的合规要求讲清楚，也才能让“买设备”和“画拓扑”这两件事真正闭环。希望这些经验能帮你在做二级或三级系统时，少走我当年走过的弯路。

本文还有配套的精品资源，点击获取