主题：【原创】一个廉价的内外网隔离解决方案设想，请各位高手指教 -- 闲云野熊

很多国内政府部门要求政务内网与外网物理隔离，但在办公桌上放置两台计算机很占地方，且费用不低，而且两者之间交换数据文件很不方便。而有些公司提供了内外网切换的解决方案实际上要求在一台桌面计算机内配置两套硬盘和内存，成本依然较高，且切换速度很慢（在一分钟左右）。

我昨天闲暇无事，忽然设想了一种廉价的解决方案，不知是否可行，请河内诸高人指教：

（1） 在桌面计算机上配置一个身份认证客户端软件，实现对上级用户的身份认证和执行相应的访问控制功能。并实现与下面提到的加密文件驱动和网卡驱动的接口。并实现对特定用户行为的日志。

（2）在桌面计算机上配置一个文件系统驱动程序，该程序的加载和使用需要通过身份认证和访问控制，该文件系统驱动作用于本机硬盘上一个专门为存放内网文件的卷。这样对该卷的访问必须通过此文件系统驱动进行，对于其他用户或其他状态，该卷上内容不能解释，无法分辨具体文件。而通过文件系统加载实现保密可以避免对具体文件进行加密影响性能。

在桌面计算机上配置两个网卡，一个用于内网，一个用于外网，然后设计一个网卡驱动程序中间件，该驱动配置在NDIS驱动的中间层，下端与媒体访问层相连，上端与协议驱动连接，基本相当于防火墙过滤器。在该驱动实现如下功能：根据配置要求实现两个网卡一通一断，此通彼断，实现物理隔离。 该驱动也与身份认证客户端互动，实现在特定客户端行为下加载。

这样当特定用户登录并根据授权选择所使用网络后，涉密文件系统和网卡驱动可以根据安全规则可用或不可用。实现保护涉密数据。而由于使用驱动内部过滤规则实现通断，切换速度很快。该技术全部使用软件实现，部署成本很低。

该方案非常灵活，可以实现多种不同安全级别的配置，例如可以满足不同用户身份区别对待上网选择权。还可以配置网络集中授权管理用户权限，避免用户本地私自更改。

请各位高手指点一下，这个思路是否可行，有什么问题。

对内网内容的保护以及网卡的切换都通过软件实现。一旦身份认证被破译，就没有可靠的保护了。

而且软件可以通过自身完整性检测避免被更改。至于算不算物理隔离，我想应该属于擦边范围。

美国公司，学校的网络我接触过一些。没听说过“内网外网物理隔绝”这么个概念。我知道的网络安全控制是通过Gateway和Firewall来实现的。

如果想廉价，那么部门内部可以用Switch连在一起组织一个C类网。这样外部无法进入你们的网络（当然你们可以出去）。如果你想Expose内部网络的某台计算机，可以使用DMZ将它暴露出去。如果安全要求稍低一些，使用Router的Port forwarding也可以将内部的web,ftp服务发布出去。

微软的网站有不少组建网络的例子，如果你很认真的话，建议看看。

toHighway]:很有特色需求的物理隔离,呵呵.

而且国内有不少厂商在作这方面的产品,大部分依托于某些部门.

而且每台机器都需要设置隔离算法，每一个人都可以跨网传输数据。我觉得这样的安全形同虚设。

如果要达到严格保密要求，不应该每个人都能直接接触外网。安全系统里最薄弱的环节不是软件或硬件，而是人。

美国中央情报局的那种Mainframe计算机，那算是真正的物理隔离。靠两个网卡来回切换我觉得不可靠，因为只要接触外界的时候被坏人打入，那么此后就门户洞开了。

安全，那么就要和外界没有物理接触。否则操作系统，Router这是东西都是“洋货”，有没有“后门”我们很难控制。

但是这个问题具体如何解决我倒有些好奇。

至于客户端软件的保护，考虑到3721蟑螂般的生命力，可以认为是能够较满意解决的。

如果在连通外网时植入木马，由于无法访问内部网络和内部文件系统，并不能产生后果，切换到内网后，隔断了外网，植入的木马无法向外网发送数据。单纯使用物理隔离不能解决所有问题，还是需要其他安全设施的。只不过相对于逻辑隔离更安全一些。

不能因为安全因素影响应用，例如很多科研单位的工作人员需要上网查资料同时从事保密工作，如果因为安全因素影响了课题研究您认为是合算的吗？您可能会说如果泄密更不合算，但作为安全提供者为什么不考虑设计提供方便又可靠的安全工具呢？

作为安全系统的设计者，应该考虑安全工具的部署使用简单易用，同时避免无意操作或误操作导致安全问题。

对于内网的关键设备和核心数据当然还需安全设施保护，本方案思路只不过解决了桌面平台上外网的安全保护。

又：您所提到的为每台设备提供隔离策略并不时本方案的弱点，我已经提到可以用集中式管理解决访问控制策略问题这与网络杀病毒软件的强制策略完全类似。

每个人必须敲密码才能上网，网关有内容过滤，不容许有大文件的FTP。邮件有备份。不同部门有专门的路由器。

这样设置同样可以上网。据我所知，大部分的公司都是这样做的。

我觉得即使用两台机器，分别连内网和外网，也不能提供足够的安全性。这要求内部每个人员都安全可靠，一旦有人故意，从内网把资料弄到外网，那么很难跟踪和控制。不如设一个路由器，所有内容都必须从那里走，这样只需一个可靠警觉的管理员就可以了。

我这里所谓接上外网并不一定是个人单独上网，还是可以有安全设施和内容过滤器的。只是保证了不会有人同时出现在内网和外网上。这是设计的初衷。