网络隔离 更新时间：2011-05-28 12:10

本词条由华强电子网用户提供，如果涉嫌侵权，请与我们客服联系，我们核实后将及时处理。

网络隔离是很多专用网络的没有办法的办法，网络上承载专用的业务，其安全性一定要得到保障，然而网络的建设就是为了互通的，没有数据的共享，网络的作用也缩水了不少，因此网络隔离与数据共享交换本身就是天生的一对矛盾，如何解决好网络的安全，又方便地实现数据的交换是很多网络安全技术人员在一直探索的。

网络要隔离的原因

• 网络要隔离的原因很多，通常说的有下面两点：

  1、涉密的网络与低密级的网络互联是不安全的，尤其来自不可控制网络上的入侵与攻击是无法定位管理的。互联网是世界级的网络，也是安全上难以控制的网络，又要连通提供公共业务服务，又要防护各种攻击与*。要有隔离，还要数据交换是各企业、政府等网络建设的首先面对的问题。

  2、安全防护技术永远落后于攻击技术，先有了矛，可以刺伤敌人，才有了盾，可以防护被敌人刺伤。攻击技术不断变化升级，门槛降低、漏洞出现周期变短、*传播技术成了木马的运载工具...而防护技术好象总是打不完的补丁，目前互联网上的"黑客"已经产业化，有些象网络上的"黑社会"，虽然有时也做些杀富济贫的"义举"，但为了生存，不断专研新型攻击技术也是必然的。在一种新型的攻击出现后，防护技术要迟后一段时间才有应对的办法，这也是网络安全界的目前现状。

网络隔离安全策略

• 关于隔离与数据交换，启明星辰公司有比较的安全策略研究，总结起来有下面几种安全策略：

  修桥策略：业务协议直接通过，数据不重组，对速度影响小，安全性弱

  ◆FW：网络层的过滤

  ◆多重安全：从网络层到应用层的过滤，多重关卡策略

  渡船策略：业务协议不直接通过，数据要重组，安全性好

  ◆网闸：协议落地，安全检测依赖于现有的安全技术

  ◆交换网络：建立交换缓冲区，采用防护、监控与审计多方位的安全防护

  人工策略：不做物理连接，人工用移动介质交换数据，安全性最好。

网络隔离数据交换技术

• 1、防火墙

  防火墙是最常用的网络隔离手段，主要是通过网络的路由控制，也就是访问控制列表(ACL)技术，网络是一种包交换技术，数据包是通过路由交换到达目的地的，所以控制了路由，就能控制通讯的线路，控制了数据包的流向，早期的网络安全控制方面基本上是防火墙。国内影响较大的厂商有天融信、启明星辰、联想网御等。

  但是，防火墙有一个很显着的缺点：就是防火墙只能做网络四层以下的控制，对于应用层内的*、蠕虫都没有办法。对于安全要求初级的隔离是可以的，但对于需要深层次的网络隔离就显得不足了。

  值得一提的是防火墙中的NAT技术，地址翻译可以隐藏内网的IP地址，很多人把它当作一种安全的防护，认为没有路由就是足够安全的。地址翻译其实是代理模型，主要是通过业务代理与双人审计的思路保护数据的完整性。交换网络是在两个隔离的网络之间建立一个数据交换区域，负责业务数据交换(单向或双向)。交换网络的两端可以采用多重网关，也可以采用网闸。在交换网络内部采用监控、审计等安全技术，整体上形成一个立体的交换网安全防护体系。

  交换网络的核心也是业务代理，客户业务要经过接入缓冲区的申请代理，到业务缓冲区的业务代理，才能进入生产网络。

  网闸与交换网络技术都是采用渡船策略，延长数据通讯"里程"，增加安全保障措施。