物理隔离的技术方案

本文介绍8种物理隔离技术的方案,供读者参考。
1.专线接入方案
       通过专线上网,使用防火墙保护整个内部网络系统,将外网隔离在防火墙之外,方案的结构如图1所示。
       图1所示的方式存在两方面的安全漏洞:一是防火墙自身的不安全性,一些高水平的黑客软件能突破防火墙;二是在受防火墙保护的内网中,若未涉密用户终端通过Modem拨号连接Internet,如果其他终端没有采取任何防范措施,则会使整个网络暴露在黑客眼下,造成严重的泄密。
       这种方案使用了两套独立的布线系统,但计算机依靠网络拔插的方式轮流登录涉密网络或因特网,方式存在的问题是:在使用的终端计算机上只有一套硬盘系统,当该计算机访问外网时,会受到各种驻留式黑客病毒的入侵,当该计算机在内网工作时会将病毒传播到内网.当计算机再次上网将造成网上信息大量泄密,同时该计算机上的信息在访问外网时将完全暴露。
专线接入设备
图1   专线接入方案
2.双硬盘隔离方案
        在实施物理隔离过程中,用户可以选择双硬盘隔离技术方案。其基本思想是:客户端安装两块硬盘,当用户登录内网时,内网硬盘有效,外网硬盘无效;用户登录外网时,外网硬盘有效,内网硬盘无效。根据网络的不同,该方案又可以分为单网方案和双网方案。单网方案在网络选择端添加了安全集线器,该集线器负责与客户端通信,并根据用户的选择连通内外网络。该方案具有部署简单、使用方便的特点,适合大多数普通用户采用。方案的结构如图2所示。
3.三网间隔离方案
       很多企事业单位的内部财务网是一个相对独立的网络,与内部办公网络隔离,并且当该网用户登录互联网和内部网络时,需要在财务网、内网和外部互联网三网之间进行切换。该方案具有三网隔离能力,部署简单,适合内部还有独立小网络的用户采用。其结构如图3所示。
4.对外提供服务的隔离方案
       许多单位在要求内外网隔离的同时能够提供电子报税等对外服务。当外部Web服务器在接受互联网上发来的电子税表时,会接通外部网络,断开内部网络,电子税表暂存在本地,当满足了一定条件后,才会断开外部网络,接通内部网络,把电子税表转发到内部业务系统中,同时从内部网络接受上次内部业务系统处理完成的电子税表。交换完毕后,再次断开内部网络,接通外部网络,接受新的电子税表。这种方式就好像用户在河的两岸,通过一艘船来回传递两岸的货物,而不会存在直接连接两岸的桥梁或者船只同时停靠两岸的问题,这样既保证了对外服务需求,又保证了网络安全。该方案在实现物理隔离的同时,能够提供对外服务。其结构如图4所示。
双硬盘隔离三网间隔离
                       图2  双硬盘隔离方案                 图3     三网间隔离方案
能提供对外服务的隔离方案
图4   能提供对外服务的隔离方案
5.基于无盘系统的隔离方案
       一些用户希望在做到内外网隔离的同时能加强内部管理,防止内部用户泄漏单位秘密。有这种需求的用户,可以采用基于无盘系统的隔离方案。该方案采用单硬盘方式,当用户登录内网时,无盘启动系统通过网络从服务器上启动操作系统,同时屏蔽本地的硬盘、光驱和软驱等存储设备,用户所见的硬盘实际上是服务器分配给用户的硬盘镜像,客户端相当于一个瘦终端。这样,内部用户无法通过本地下载、拆卸硬盘等手段窃取内部信息。该方案在做到内外网隔离的同时,能有效防止内部网络的信息泄密。其结构如图5所示。
6.单机接入方案
        针对单机用户,一般使安全隔离卡HI型,配备双硬盘。其结构如图6所示。
无盘系统的隔离方案
        图5基于无盘系统的隔离方案   
单机接入方案
                                                                             图6   单机接入方案
      这种结构具有内、外网的硬盘,无论是在内网还是外网的硬盘上工作,产生的文件、数据存放于硬盘还是软盘,都是相当安全的。
7.双网线接入方案
       双网线接入方案需要两套布线系统,但使用Internet的用户数量不是很多,在网络布线接口较为富余的情况下,采用双网线方式,并使用安全隔离卡II型,结构如图7所示。
       双网线接入方式在上网时涉密用户配置安全隔离卡D和双硬盘,两条网络线同时接到隔离卡上,通过隔离卡连接到本机网卡上,通过手动按钮或软件控制隔离卡上的开关,使其在选择涉密硬盘的同时选择连接内网。因此,安装该卡时一定要注意内外网线不能颠倒。
8.单网线接入方案
       在实际应用中,许多综合布线系统在每个终端位置上的端口均有限,不能满足每台设备占用两个端口的需求,此时必须使用单网线方式,如图8所示。此方式需要在每台设备上安装安全隔离卡I和双硬盘,并在每个网络设备间配置内外网远程切换Hub,终端通过一条标准网线连接到设备管理间的内外网远程切换Hub上,该Hub分别连接内网Hub和外网Hubo终端隔离卡通过利用5类网络线中未使用的第4、5、7、8对线控制远端内外网远程切换Hub,使用户可以灵活选择接通内网或外网。
双网线接入方案
图7    双网线接入方案
单网线接入方案
图8  单网线接入方案

下一篇

综合布线系统与其他干扰源的间距

弱电工程

综合布线系统与其他干扰源的间距

1)综合布线系统应根据环境条件选用相应的缆线和配线设备,根据各种缆线和配线设备的抗干扰能力,屏蔽后的综合布线系统平均可减少噪声20dBo2)当周围环境的干扰场强度很高,采用屏蔽系统已无法满足各项标准的规定时,应采用光缆系统。3)当用户对系统... ...

相关内容

公交车无线移动智能视频监控系统的实现方案

公交车无线移动智能视频监控系统的实现方案

一、移动视频监控系统的设计原则(1)安全可靠性。公交车移动视频监控系统的安全可靠......

弱电工程

2022-06-27

 车载式无线移动视频监控系统智能车载DVR的特点

车载式无线移动视频监控系统智能车载DVR的特点

智能车载DVR具有如下的十大特点。(1)内置有所需的智能软件算法模块。智能车载D......

弱电工程

2022-06-27

 车载式无线移动视频监控系统智能车载DVR的组成及原理

车载式无线移动视频监控系统智能车载DVR的组成及原理

一、智能车载DVR的组成要想使DVR系统智能化,主要是要在DVR系统中嵌入智能软......

弱电工程

2022-06-27