将所有公司服务器放在同一个网络中是个坏主意，因为如果其中一台服务器受到威胁，攻击者很容易扩散到其他服务器。服务器通常被配置为在前端是安全的，但是当涉及到服务器之间的通信时，有多种方法可以找到漏洞。此外，数据的敏感性通常也不相同。虽然 Web 服务器对可用性很重要，但数据库服务器通常包含有价值的客户数据。无论如何，将它们分开是个好主意。

特定服务器的专业托管服务提供商大多也能够使他们的服务器更加安全。

多亏了互联网，没有理由不分离服务器，除非您的应用程序非常依赖时间，例如需要直接访问数据库服务器。

在公司网络中运行服务器并没有错——除了公司网络不应该是一个宽阔的扁平网络。您应该考虑将资产和用户隔离到不同的“区域”，然后编写允许在这些区域之间进行正确（和预期）访问的规则。在您的模型中，包括“互联网区域”以及与您公司可能拥有的第三方的任何直接链接（例如与供应商的 vpn）

我总是使用防火墙，而不是简单地将网络分成 VLAN。防火墙提供了更好的功能来构建规则（或规则组），因此您可以将希望在区域之间流动的流量列入白名单。

您可以在区域内边界上放置安全控制，例如：

• IPS/IDS 向您的 Soc/SIEM 报告
• 访问控制列表功能（某些防火墙制造商支持），允许您确保只有授权用户可以访问服务器/应用程序所在的区域。当然，您的 DENY 日志将对 SoC 有用

每个组织的区域组织方式都不同，但常见的例子是：

• 将开发/测试与生产分离
• 将用户与生产服务器隔离
• 将高风险或高度敏感的应用服务器与非敏感应用服务器隔离开来

有一些风险。注意不要过度使用区域的数量并使其过于复杂。否则维护规则的负担将成为很大的成本。考虑投资具有良好规则管理甚至单独规则管理应用程序的防火墙产品（例如，Tuffin SecureTrack + 还有其他）。

另请注意，某些防火墙供应商拥有将 ACL 添加到规则的专有方法；这些可能会对防火墙的性能产生重大影响，您可能需要比预期更大的套件。

服务器通常需要从 Internet 访问，因此您的网络设计必须允许从 Internet 连接到服务器所在的网络。现在如果你把服务器放在内部网络中，这意味着你必须通过设计将内部网络暴露给 Internet 。

而且无论如何都没有理由将服务器放在公司网络中。即使从公司网络中的工作站使用服务器，它们（通常）也不需要建立到工作站的连接。

在不重复其他人已经提出的内容的情况下，从网络管理员的角度来看，这里有几个原因：

1. 将您的服务器保持在单独的安全区域、子网和 VLAN 上可提供网络分段。这将减少到您的服务器的不必要的广播流量，并在服务器到服务器的流量之间提供更多带宽。网络分段是网络安全和设计的重要组成部分，我鼓励您了解更多。

2. 并且沿着类似的思路：使用单独的安全区域，强制您的客户端通过硬件防火墙与您的服务器通信，可以更精细地控制允许进出您的服务器的流量。这可以用于各种安全目的，还可以帮助防止蠕虫等病毒甚至能够利用服务器上的端口，否则该端口是开放的并且容易受到攻击。客户自然会变得不那么安全，因为您的用户在不同程度上有能力在他们身上和与他们一起做不安全的事情。但是，您可以完全控制服务器。

3. 您可以进一步将服务器划分为两个单独的区域。一个区域用于您的内部服务器，这些服务器不一定提供任何类型的托管，也不需要外部世界访问。另一个区域将是一种服务器-DMZ，其中外部世界访问的服务器无论其托管如何，并且将具有一组完全不同的安全参数。