通过网闸技术实现内外网隔离

第一篇：通过网闸技术实现内外网隔离

网闸技术构建内外网一体化门户

一、序言

近年来，随着我国信息化建设步伐的加快，“电子政务”应运而生，并以前所未有的速度发展。电子政务体现在社会生活的各个方面：工商注册申报、网上报税、网上报关、基金项目申报等等。电子政务与国家和个人的利益密切相关，在我国电子政务系统建设中，外部网络连接着广大民众，内部网络连接着政府公务员桌面办公系统，专网连接着各级政府的信息系统，在外网、内网、专网之间交换信息是基本要求。如何在保证内网和专网资源安全的前提下，实现从民众到政府的网络畅通、资源共享、方便快捷是电子政务系统建设中必须解决的技术问题。一般采取的方法是在内网与外网之间实行防火墙的逻辑隔离，在内网与专网之间实行物理隔离。本文将介绍大汉网络公司基于网闸技术构建内外网一体化门户的案例。

二、网闸的概述

1、网闸的定义

物理隔离网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。由于物理隔离网闸所连接的两个独立主机系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议“摆渡”，且对固态存储介质只有“读”和“写”两个命令。所以，物理隔离网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接，使“黑客“无法入侵、无法攻击、无法破坏，实现了真正的安全。

2、网闸的组成

网闸模型设计一般分三个基本部分组成：

·内网处理单元：包括内网接口单元与内网数据缓冲区。

·外网处理单元：与内网处理单元功能相同，但处理的是外网连接。

·隔离与交换控制控制单元：是网闸隔离控制的摆渡控制，控制交换通道的开启与关闭。

3、网闸的主要功能

 ·阻断网络的直接物理连接和逻辑连接

 ·数据传输机制的不可编程性

 ·安全审查  ·原始数据无危害性

 ·管理和控制功能

 ·根据需要提供定制安全策略和传输策略的功能

 ·支持定时/实时文件交换

 ·支持Web方式

 ·支持数据库同步

三、政府网络中物理隔离技术的应用

1、我国网络信息安全现状

随着政府上网、海关上网、电子商务等一系列网络应用的蓬勃发展，Internet正在逐渐融入到社会的各个方面。安全保障能力是新世纪一个国家综合国力、经济竞争实力和生存能力的重要组成部分。这个问题解决不好，将全方位地危及我国的政治、军事、经济、文化、社会生活的各个方面，使国家处于信息战和高度经济金融风险的威胁之中。

在政府网络中，内部网络上有着大量高度机密的数据和信息，网络安全是放在首位的。如果网络安全得不到保证，那么将会给国家、社会及网络用户带来严重威胁，可能造成政治、经济等各方面的巨大损失。在政府工作不断地实现信息化、高效便捷的同时，安全保护成了亟待解决的问题。

2、现有的网络安全解决方案

面对网络安全的威胁，现在常用的安全防护方法主要有： 软件解决方案

现在正在广泛应用的是许多复杂的软件及部分硬件技术，如用防火墙、代理服务器、入侵探测器、通道控制等手段来降低来自Internet的危险。

法规和行政命令

法规和行政命令对安全工作是绝对必须的，严格的工作纪律是安全防护的重要保证。

物理隔离方案

采用硬件物理隔离方案，即将内部涉密网与外部网彻底地物理隔离开，没有任何线路连接。这样可以保证网上黑客无法连接内部涉密网，具有极高的安全性。

3、物理隔离解决方案在政府网络中的应用 涉密网与非涉密网之间：

局域网与互联网之间（内网与外网之间）：

在政府办公网络的局域网络中，涉及政府敏感信息，有时需要与互联网在物理上断开，用物理隔离网闸是一个最常用的办法。

办公网与业务网之间：

由于许多政府的办公网络与业务网络的信息敏感程度不同，例如，地税、国税局的办公网络和税收业务网络就是很典型的信息敏感程度不同的两类网络。为了提高工作效率，办公网络有时需要与业务网络交换信息。为解决业务网络的安全，比较好的办法就是在办公网与业务网之间使用物理隔离网闸，实现两类网络的物理隔离。

电子政务的内网与专网之间：

在电子政务系统建设中要求政府内网与外网之间用逻辑隔离，在政府专网与内网之间用物理隔离。现常用的方法是用物理隔离网闸来实现。

四、网闸技术构建政府内外网门户网站

1、政府门户内外网统一需求简述 内网的功能概述：政府与企业将内部公务内网定位为企业或政府内部工作网，与其它网络物理隔离，传输不涉及国家秘密或企业商业机密的内部信息。根据国家涉密应用需求和与机要网的协调情况，以及内网加密设施的完善程度等方面的情况,一定程度上界定是否将内部机密信息在内网上传输。

外网的功能概述：外网定位为国家机关或企事业单位对社会公众与商业机构服务的业务网，与互联网通过网络安全系统逻辑相连。国家机构或企业以门户网站为外网形式在互联网上运行，并且要采取必需的安全防护措施。门户网站办事栏目，主要体现政府或企事业单位各个职能部门的网络窗口并负责建设和维护，逐步形成一个统一网络信息体系。

内外网统一的目的：外网和内网物理断开，政府用户通过外部网站的申请、表格无法传输到内网的申批系统中来，给门户网站的服务带来了很大的局限性，使网站无法给政府用户带来方便、快捷的服务。

同时外部网站无法从政府内网中获取数据，需要的数据无法共享给外部。统一的内外网平台，可以提供数据交换和整合功能，支持跨平台操作，支持各种不同数据库，实现数据的实时获取、转换、传输、交换、整合等，实现信息资源共享。同时，通过统一出口，方便与社会各界、企业、个人等实现数据交换；通过网闸的信息交换功能可以让政府门户内外网达到统一的需求目的。

2、网闸技术实现内外网信息交换

物理隔离网闸既然隔离、阻断了网络的所有连接，实际上就是隔离、阻断了网络的连通。网络被隔离、阻断后，两个独立主机系统之间如何进行信息交换？在互联网时代以前，信息照样进行交换，如数据文件复制（拷贝）、数据摆渡，数据镜像，数据反射等等，物理隔离网闸就是使用数据“摆渡”的方式实现两个网络之间的信息交换。

网络的外部主机系统通过物理隔离网闸与网络的内部主机系统“连接”起来，物理隔离网闸将外部主机的TCP/IP协议全部剥离，将原始数据通过存储介质，以“摆渡”的方式导入到内部主机系统，实现信息的交换。物理隔离网闸的原始数据“摆渡”机制是原始数据通过存储介质的存储（写入）和转发（读出）。物理隔离网闸在网络的第七层将数据还原为原始数据文件，然后以“摆渡文件”的形式来传递原始数据。任何形式的数据包、信息传输命令和TCP/IP协议都不可能穿透物理隔离网闸。

当内网与外网之间无信息交换时，物理隔离网闸与内网，物理隔离网闸与外网，内网与外网之间是完全断开的，即三者之间不存在物理连接和逻辑连接，如图1所示。

当内网数据需要传输到外网时，物理隔离网闸主动向内网服务器数据交换代理发起非TCP/IP协议的数据连接请求，并发出“写”命令，将写入开关合上，并把所有的协议剥离，将原始数据写入存储介质。在此过程中，外网服务器与物理隔离网闸始终处于断开状态。

一旦数据完全写入物理隔离网闸的存储介质，开关立即打开，中断与内网的连接。转而发起对外网的非TCP/IP协议的数据连接请求，当外网服务器收到请求后，发出“读取”命令，将物理隔离网闸存储介质内的数据导向外网服务器。外网服务器收到数据后，按TCP/IP协议重新封装接收到的数据，交给应用系统，完成了内网到外网的信息交换。详见图3所示。

至于从外网到内网的信息交换，与上述类似，只是方向相反。

由上不难看出：每一次数据交换，物理隔离网闸都经历了数据的写入、数据读出两个过程；内网与外网永不连接；内网和外网在同一时刻最多只有一个同物理隔离网闸建立非TCP/IP协议的数据连接。

3、网闸技术构建内外网统一门户的案例

项目案例背景

项目为XX省XX局的的内外门户平台省级集中建设和改造。主要的关键点如下：

1）内外门户平台建设包括内部网站和外部网站，两网站之间物理隔离。内部网站定位为综合办公平台，外部网站定位为业务服务平台。项目内外网站的管理维护工作将在同一套网站管理系统下运行，除实时交互类内容外，其它全部的管理维护工作都在内部网络环境里完成，数据能够同步到外部网站，同时要保证安全的最大化。

2）针对网络内外物理隔离的实际，借鉴我们为其它政务网站解决物理隔离和维护工作量矛盾的成功经验，制定了成熟而合理的解决方案。在此项目中内容管理及数据库服务器采用集群方式确保系统高可用性和可靠性；外网网站的静态发布文件通过内网前置机上的网闸同步软件发送到外网的前置机，再转发至外网WEB服务器；外网网站的数据库也由网闸的数据库同步软件实时把内网的数据库同步到外网来，实时交互类的除外。网络拓扑结构

项目应用部署

内网服务器共9台，1台网闸前置机，两台数据库及两台应用制作服务器分别做了集群，都将数据文件存放在磁盘阵列上。内网所有服务器都采用的是RedHat AS4 的操作系统。

外网服务器共10台，1台网闸前置机，数据库、防篡改等不被直接访问的服务器放在外网的安全区内，网站WEB、互动及应用模块需要供外部访问的服务器都放在DMZ区，外网DMZ区与安全区内设有防火墙保证了一定的安全性。

内外网的前置机操作系统都为WINDOWS 2003 SERVER，并安装了网闸提供的文件同步及数据库同步软件。

技术实现步骤

此项目硬件环境较复杂，内网服务器8台，外网服务器10台，内外网网闸前置机各1台，网闸2台（一台作为冷备），内网建设环境在内部局域网中相对较安全，所以只在与内部局域网连接设立防火墙即可，并有入侵检测和病毒防护等防护措施。外网环境相对较复杂，数据库、防篡改等不被直接访问的服务器放在外网的安全区内，网站WEB、互动及应用模块需要供外部访问的服务器都放在DMZ区，外网DMZ区与安全区内设有防火墙保证了一定的安全性。网闸设备就在外网与内网之间，内外两段分别连接内外网络，当有信息交换时通过网闸中间段将内或外部需要传输的信息发送到另一端。

外网与内网的门户网站都在内网的内容管理平台统一进行管理，内容管理制作服务器将外部网站的网页静态文件打包压缩发送至内网的网闸前置机，再由内网前置机通过网闸的文件同步软件，将文件发送至外网的网闸前置机，最终由网闸前置机把文件传送到WEB服务器，其中间传输的文件都为经程序打包压缩成的PKG包，即传输的过程中保证了文件的安全性。

外网的数据库也同样通过内网前置机设置了数据库同步通道，网闸的数据库同步软件在内外网的数据库中分别设置了“增加”、“删除”、“更新”的触发器，当对数据库执行相应操作时，触发器会把数据库执行的操作作为命令方式传输通过网闸，再到另一端的数据库中执行相应的命令操作，有效的保证了数据库的准确性与实时性。

不论是从内向外，还是从外向内，文件同步与数据库同步的方式都是一样的，但需要遵循两点条件：

一、文件同步需要支持一对多和多对一的多层文件夹同步模式；

二、数据库同步需要支持可设置到数据库中具体的某一张表的某一个字段同步。

由于网闸的同步毕竟还是物理隔离的，对安全性有了很大的保障，但同时也就不能要求太高的实时性了。

五、结束语

政府网络安全是国家网络安全的基石，也是针对未来的信息战来加强国防建设的重要基础。对于政府部门来说，就需要对网络中需保护的信息和数据进行详细的经济性评估，决定投资强度。利用有效的网络安全设备，从而保证政府网络的安全性是目前最为有效的一种手段，也是构建新时代网络环境的必备条件。

展望未来的网络发展趋势，我们都需要提前做好准备。学习新技能，应用新技术，是我们最愿意也是最擅长做的事情，秉承我们多年来对政府门户构建的经验，我们已让网闸技术较好的为政府部门提供安全保障，并时刻都在关注着它的发展，将与网络新时代共成长。

第二篇：内外网分离解决方案（范文）

内外网分离解决方案

随着计算机在报社的普及，对互联网的广泛使用，网络病毒的泛滥，以严重干扰了采编工作。面对目前乃至以后计算机的发展，病毒与反病毒将会在很长的时间内共存，是一对不可克服的矛盾。网络更为病毒的传播带来了无比的便利。防毒软件滞后于病毒的出现是客观存在的问题，至少短时间内还看不到可以智能区分病毒与正常程序的防毒软件会出现。这是计算机领域的一个研究方向，应该短时间内不会有很大的突破。为解决病毒干扰采编工作的问题，在部分报社（如泉州晚报）已经实施了内外网分离，为了保障采编工作正常的运作，建议我社采用内外网分离的网络方案。

内外网隔离方案：

1、在技术部机房配备数据交换服务器，该服务器内网，外网均可访问。服务器上安装防病毒软件。对通过服务器交换的数据文件进行病毒检测。开发专用文件接收软件和文件发送软件，限制通过服务器交换的文件类型。只包括如下类型：文字内容用 txt文件，图片使用 jpg文件。（该软件的复杂度不是很高，功能也比较单一，开发费用应该不高）

2、加强制度管理。不允许在办公电脑上使用任何外来设备（移动硬盘，U盘，磁盘），任何外来的数据都必须通过上网电脑传递。

3、除了上网电脑外，其他电脑不能以任何方式接入互联网。

4、由于违反规定造成的病毒感染，要追究违规者责任。

对于接入互联网的电脑可采用以下方案：

方案一：设立独立的数据交换中心

方案优点：不需要大规模的布线，设备集中便于维护和管理，同时也便于提高设备的使用率。

方案缺点：需要独立的地点（不知道是否还能腾出地方），需要取稿的话需要离开办公室。

方案二：每个需要上网的科室设立独立的上网电脑

方案优点：由于上网电脑分布在各个科室，相对上网取稿件比较方便，不需要离开办公室。

方案缺点：要求每个需要上网的科室都要有独立的网线（目前有的科室的网线已经用完，需要增加网线的工作量比较大），设备分布到各个科室，带来了管理上的困难。同时由于上网电脑的分散，不利于提高设备的利用率，会造成上网电脑有的科室闲置，有的科室不够用。

方案三：采用隔离卡。

如果能够彻底隔离的话，该方案是一个比较好的一个解决方案。但由于没接触过物理隔离卡，具体效果不清楚。

第三篇：内、外网安全管理规定

内、外网安全管理制度

第一条

严格遵守《中华人民共和国计算机信息国际联网管理暂行规定》和国家有关法律、法规，不得利用网络从事危害国家安全、泄露国家秘密等犯罪活动、不得制作、查阅、复制和传播有碍社会治安的信息。

第二条

入网用户须填写《入网申请登记表》，签订保密协议；严格执行局、台制定的有关计算机与网络管理的规定和制度。

第三条

各单位、科室的电脑遵循“谁使用，谁负责”的原则进行管理。各部门领导直接负责本部门的计算机安全管理，各部门对每台计算机要指定专人具体负责计算机安今管理，其使用者为直接责任人。

第四条

各单位、科室应定期检查内部电脑使用情况，负责本部门电脑的安全使用、防病毒、上网管理，发现问题及时处理。

第五条

严格执行安全保密制度，对所提供的信息负责：严禁将口令泄露给他人，因泄密而发生的一切后果由口令所有者自行负责。

第六条

及时升级操作系统、办公软件、安全软件等至最新版本，保证电脑安全正常运行。下班后，务必切断电脑电源，以防止火灾隐患。

第七条

浏览信息时，不要随便下载网页的信息，特别是不要随便打开不明来历的邮件及附件，以免网上病毒入侵。

第八条

不得利用黑客软件以任何形式攻击局域网的其它用户或服务器。第九条

计算机的使用场所，应满足防火、防盗、防潮、保密等要求。第十条

禁止用户、非专业人员随意拆装计算机硬件。

第十一条严禁局域网内各微机未经许可使用各种外来软盘(包括光盘、U盘、移动硬盘)，以防止病毒感染，否则造成损失责任人负全责。

第十二条禁止上班时间在计算机上进行各种娱乐活动和浏览与业务无关的网站；禁止上班时间在计算机上下载与本单位业务无关的影音、图片等资料。

第十三条严禁登陆、搜索、浏览、复制、发布、传播含有危害国家安全、泄密国家秘密、损害国家利益、不利于民族团结，不利于社会安定、淫秽、色情、教唆犯罪及法律、法规禁止的有关信息；不得发布影响本单位形象以及侮辱诽谤他人、侵害他人合法权益的信息：不得利用网络擅自张贴嘲页或侵害他人计算机系统；不得非法截获、篡改、删除他人电子邮件或者其他数据资料，否则后果自负。

第十四条入网单位和用户必须接受国家有关部门依照有关法律和规定进行监督检查。对违反本管理办法的用户，将其情节轻重分别对其进行警告、罚款、中断网络连接等处理，情节严重者将追究其法律责任。

Xxxx局

第四篇：计算机网络架构内外网互联实验报告

局域网互相访问

1.实验目标：

掌握静态路由的配置方法和技巧；

掌握通过静态路由方式实现网络的连通性；

熟悉广域网线缆的链接方式；

2.实验技术原理：

路由器属于网络层设备，能够根据IP包头的信息，选择一条最佳路径，将数据包 转发出去。实现不同网段的主机之间的互相访问。路由器是根据路由表进行选路和 转发的。而路由表里就是由一条条路由信息组成。

生成路由表主要有两种方法：手工配置和动态配置，即静态路由协议配置和动态路 由协议配置。

静态路由是指有网络管理员手工配置的路由信息。

静态路由除了具有简单、高效、可靠的优点外，它的另一个好处是网络安全保密性 高。

缺省路由可以看做是静态路由的一种特殊情况。当数据在查找路由表时，没有找到 和目标相匹配的路由表项时，为数据指定路由。

3.实验步骤：

新建packet tracer拓扑图

（1）在路由器R1、R2上配置接口的IP地址和R1串口上的时钟频率；

（2）查看路由器生成的直连路由；

（3）在路由器R1、R2上配置静态路由；

（4）验证R1、R2上的静态路由配置；

（5）将PC1、PC2主机默认网关分别设置为路由器接口fa 1/0的IP地址；

（6）PC1、PC2主机之间可以相互通信；

第五篇：【经验分享】企业通过移动技术实现客户快速增长

【经验分享】企业通过移动技术实现客户快速增长 移动电子商务环境下企业的客户数量已远远超过传统商务模式下的规模，移动端通讯以其方便、易用、快捷受到了越来越多的关注，App，微信的相继出现，使得用户从互联网向移动通讯领域转变。

移动CRM的出现打破了传统CRM受到时间和空间的限制，在移动中也能够完成通常要在办公室里才能完成的客户关系管理任务，随时随地与公司业务平台沟通，有效提高管理效率，推动企业增长。

对企业的销售人员来说，移动CRM打破了过去发邮件、打电话，只能在固定办公环境下进行工作的限制，真正实现了走出去寻找新的客源和线索，同时能够随时随地查询存储在企业内部系统的客户资料，才能在面对客户时游刃有余，加强与客户之间的关系。

对于管理层而言，移动CRM能够通过移动终端随时访问企业数据信息，异地也能对市场、销售、财务、客户、项目进行持续关注，实时掌握公司整体运营情况，掌握销售人员工作状态，有效的对销售人员进行考勤管理，遏制外勤费用的增长。

在如今这样产品丰富、收入提高的时代，客户无疑具有重要的发言权，谁了解客户，谁拥有客户，谁留住客户，谁就是赢家。如果客户不满意的话，他就有可能离开你，到你的竞争对手那边去。

如果公司想要发展，那么建立有效的CRM是很有必要的，公司要真正贯彻“以客户为中心”，而不是口头文章，公司各个部门需要积极的、共同的配合，因为客户关系管理并不是一个部门几个人的工作，需要企业各部门通力协作。

京诺移动CRM不受时间、地点限制，有效利用碎片化时间，自由、及时跟进工作进展，无缝整合语音、图片、地位位置等功能，方便外勤人员信息获取和沟通协作，通讯信息经过安全加密，可部署在企业内网、云端服务器以及单台服务器上，轻松实现便捷办公，工作人员可在任何时间（Anytime)，任何地点（Anywhere)，采用任意接入方式（Anyway），都可以处理远程数据的采集和查询以及远程审批等与客户相关的任何事情(Anything)。

随着科学的发展，市场日趋激烈的竞争，如何通过移动技术更好的把用户牢牢锁定，是每一个企业必须要思考的问题。