《网络隔离技术课件》由会员分享，可在线阅读，更多相关《网络隔离技术课件（23页珍藏版）》请在金锄头文库上搜索。
1、,尽管广泛地采用如防火墙、代理服务器、入侵检测机制，通道控制机制等安全技术，但是由于这些技术基本都是一种逻辑机制，这对于逻辑实体（即黑客或内部用户）而言，是可能被操纵的，具有技术的极端复杂性与有限性，无法满足某些组织(如军队、军工、政府、金融研究院、电信以及企业)提出的高度信息安全的要求，由此产生了物理隔离技术。 物理隔离技术主要思想：如果不存在与网络的物理连接，网络安全威胁便受到了真正的限制。,8.6 网络隔离技术,实现网络隔离的最彻底的方法是安装两套网络和计算机设备，一套对应内部网络，另一套连结Internet，两套网络互相不干扰。工作人员在进行不同的工作时，使用不同的网络和计算机。这种实
2、施方案存在成本高和效率低两个问题，不能被多数用户接受。 要实现外部网络(公众信息网)与内部网络物理隔离的目的，就必须保证做到以下几点： 在物理传输上使内外网络隔断 在物理辐射上隔断内部网与外部网 在物理存储上隔断两个网络环境,8.6 网络隔离技术,物理隔离技术实现内外网信息的隔离。网络物理隔离主要有以下几种方式： 1.客户端的物理隔离 2.集线器级的物理隔离 3.服务器端的物理隔离,8.6.1网络物理隔离的方式,8.6 网络隔离技术,1.客户端的物理隔离 这种方案用于解决网络的客户端的信息安全问题。 在网络的客户端应用物理隔离卡产品，可以使一台工作站既可连接内部网又可连接外部网，可在内外网上分
3、时工作，同时绝对保证内外网之间的物理隔离，起到了方便工作、节约资源等目的。,8.6.1网络物理隔离的方式,8.6 网络隔离技术,2.集线器级的物理隔离 集线器级的物理隔离方式需要与客户端的物理隔离产品结合起来应用。在客户端的内外双网的布线上使用一条网络线，通过远端切换器连接内外双网，实现一台工作站连接内外两个网络的目的，并在网络布线上避免了客户端要用两条网络线连接网络。,8.6 网络隔离技术,8.6.1网络物理隔离的方式,3.服务器端的物理隔离 服务器端的物理隔离方式是通过复杂的软、硬件技术实现在服务器端的数据过滤和传输任务，其技术关键还是在同一时刻内外网络没有物理上的数据连通，但又快速分时地
4、处理并传递数据。,8.6 网络隔离技术,8.6.1网络物理隔离的方式,物理隔离技术的发展基本可分为三个阶段: 双网机技术阶段。 基于双网线的安全隔离卡技术阶段。 采用基于单网线的安全隔离卡加上网络选择器的技术阶段。,8.6 网络隔离技术,8.6.2 物理隔离技术的发展,1.双网机技术阶段 工作原理：在一个机箱内，设有两块主板、两套内存、两块硬盘，相当于两台机器共用一台显示器。用户通过客户端开关，分别选择两套计算机系统。这一代产品客户端的成本很高，并且要求网络布线为双间线结构，技术水平相对简单，目前的用户已经不多。,8.6 网络隔离技术,8.6.2 物理隔离技术的发展,1.基于双网线的安全隔离卡
5、技术阶段 工作原理：客户端增加一块PCI卡，客户端硬盘或其他存储设备首先连接到该卡，然后再转接到主板，通过该卡用户就能控制客户端硬盘或其他存储设备。用户在选择硬盘的时候，同时也选择了该卡上所对应的网络接口，连接到不同的网络。该方法较第一代产品技术水干更高，而且大大降低了成本。但是，这一代产品仍然要求网络布线采用双网线结构。这样，如果用户在客户端交换两个网络的网线连接，内外网的存储介质也就同时被交换了，因此这一代产品客户端还存在较大的安全隐患。,8.6 网络隔离技术,8.6.2 物理隔离技术的发展,3.采用基于单网线的安全隔离卡加上网络选择器的技术阶段。 客户端依然采用类似第二代双网线安全隔离卡
6、的技术，所不同的是，第三代产品只采用一个网络接口，通过网线将不同的电平信号传递到网络的选择端，在网络选择端安装网络选择器，并根据不同的电平信号，选择不同的网络连接。该类产品能有效地利用用户现有的单网线网络环境，实现成本较低。由于选择网络的选择器不在客户端。因此系统的安全性有了极大提高。,8.6 网络隔离技术,8.6.2 物理隔离技术的发展,目前实现网络隔离的基本技术主要有: 网络安全隔离卡; 安全集线器技术; 单主板安全隔离计算机;,8.6 网络隔离技术,8.6.3 网络隔离的基本技术,1.网络安全隔离卡 功能：以物理方式将一台工作站或PC虚拟为两部计算机，实现工作站的双重状态（安全状态、公共
7、状态） ，这两种状态是完全隔离的，从而使一部工作站可在完全状态下连接内外网。网络安全隔离卡实际上是将一台工作站或PC的单个硬盘物理分割为两个分区，即公共区(Public)和安全区(Secure)。这些分区容量可以由用户指定。这样可以使一台工作站或PC能够连接两个网络。,8.6 网络隔离技术,8.6.3 网络隔离的基本技术,1.网络安全隔离卡 做法：利用S1S2转换开关进行网络转换，并利用可移动磁盘来存锗数据。连接到安全网络时必须插入安全硬盘。连接到公共网络时必须进行操作：按正常方式退出操作系统；关闭计算机；将安全硬盘转换为公共硬盘；切换S1S2转换开关到公共网络；启动计算机，在公共区内继续工作
8、。,8.6 网络隔离技术,8.6.3 网络隔离的基本技术,网络安全隔离卡示意,2.网络安全隔离集线器 网络安全隔离集线器系统可以让所有用户（使用以太网、快速以太网或令牌环网连接到两个物理独立的网络用户），能使用现有的单一布线系统，节约了费用和精力。 网络安全隔离集线器是一种多路开关切换设备，它与网络安全隔离卡配合使用。它具有标准的RJ45接口，如图 519所示，入口与网络安全隔离卡相连，出口分别与内外网络的集线揣(hub)相连。,8.6 网络隔离技术,8.6.3 网络隔离的基本技术,2.网络安全隔离集线器,8.6 网络隔离技术,8.6.3 网络隔离的基本技术,2.安全隔离网闸方案 网络安全隔离
9、与安全交换系统简称网闸，是用于自动处理两个物理上隔离的网络之间的数据安全交换问题。 好像用户在河的两岸，通过一只船来回传递两岸的货物，而不会存在直接连接两岸的桥梁或者船同时停靠在两岸的问题，这样既保证了对外服务需求，又保证了网络安全。该方案在实现物理隔离的同时，能够提供对外服务。 工作原理：当服务器和外网连接时内网断开，需要向内网传送的外网数据被传送到转发服务器中，在转发服务器内进行信息过滤，然后转发服务器断开外网与内网连接，将存储的外网数据传送到网络服务中。同时需要向外网发送的数据被传送到转发服务器中，然后转发服务器断开内网与外网连接，需要向外网发送的数据传到外网服务器上.,8.6 网络隔离
10、技术,8.6.4实现网络隔离的典型方案,图 520 能提供对外服务的隔离方案,8.6 网络隔离技术,8.6.4实现网络隔离的典型方案,8.6 网络隔离技术,8.6.4实现网络隔离的典型方案,3.基于无盘系统的隔离方案 在做到内外网隔离的同时，能有效地防止内部网络的信 息泄露。,4.单内网解决方案,8.6 网络隔离技术,8.6.4实现网络隔离的典型方案,4.单内网解决方案 这种方案适合小型的单网结构的局域网。在一些小规模的政府部门中(如只有5-15台计算机组成的网络)，由于功能比较单一，没有必要划分成几个网络；同时为节约成本，只有部分工作站节点机需要单独通过MODEM等拨号设备接入Interne
11、t网。这样可以在需要接入Internet的工作站节点计算机上安装物理隔离产品(如网络安全隔离卡)，让其能够在与网络隔离的状态下拨号上网，确保内部网络的安全。,8.6 网络隔离技术,8.6.4实现网络隔离的典型方案,5.双网解决方案,8.6 网络隔离技术,8.6.4实现网络隔离的典型方案,例如，某个政府机构内的网络分为内部涉密网和外部公共网，其中公共网通过集中出口连接Internet(视需要安装防火墙、入侵检测及防病毒等措施)，部分计算机需要能够接入两个网络，但同时又要保证内外网的完全物理隔离。还有一些机构的网络，由于内部功能的划分，本身就有几个分离的网络，该物理隔离方案将把这些网络整合在一起，变为一个全范围公共网加上几个内部安全子网的多网互动的有效网络格局。,8.6 网络隔离技术,8.6.4实现网络隔离的典型方案,网络物理隔离技术是近几年出现的信息系统安全手段，它解决了重要单位及要害部门对信息安全性的突出需求，日趋完善的物理隔离产品已成为网络信息安全体系中不可缺少的重要环节，是防范非法入侵，阻挡网络攻击的一种简单而行之有效的手段，它将在我国的党政机关和行业信息系统的联网工作以及在信息安全方面起重要的作用。,8.6 网络隔离技术,
