网络隔离技术

通过子网掩码划分子网概述
通过子网掩码划分子网的方法是要改变传统的 子网掩码格式，从主机位的高位开始，把主机位 的一部分划分到网络ID部分，实际上就是子网位。 这使得IP地址的结构由原来的两级变为3级：网络 ID、子网ID和主机ID。也就是通常所说的变长子 网掩码（VLSM）技术原理。 通过子网掩码划分子网的意义体现在如下几个 方面：减少数据广播带来的负面影响；充分利用 现有IP地址资源；保护各独立子网；便于维护。 子网划分的不足体现在：网络配置不灵活，有 时还存在IP资源浪费。
VLAN的主要用途
VLAN的用途主要体现在以下3个方面： 控制广播风暴：在VLAN中，网络被逻辑地分割成广播域，由 VLAN成员所发送的信息帧或数据包仅在VLAN内的成员之间传送， 而不是向网上的所有工作站发送。这样可减少主干网的流量，提 高网络速度。 增强网络的安全性：采用VLAN提供的安全机制，可以限制特定用 户的访问，控制广播组的大小和位置，甚至锁定网络成员的MAC 地址，这样，就限制了未经安全许可的用户和网络成员对网络的 使用。 增强网络管理：采用VLAN技术，使用VLAN管理程序可对整个网 络进行集中管理，能更容易地实现网络的管理性。 VLAN的主要应用 组建局域网 组建校园网 设置共享资源
物理隔离方案
根据具体的网络环境和所使用的网络隔离设备可以有如 下几种应用方案： 主机隔离解决方案 该方案属于终端隔离解决方案，所采用的隔离产品是物 理隔离卡产品。 通道隔离方案 该方案属于信道隔离方案，所采用的安全隔离产品是网 络线路选择器，当然物理隔离卡也是必不可少的。 主机-信道双网隔离解决方案 该方案属于混合隔离模式，所采用的隔离设备也有物理 隔离卡和网络线路选择器。 主机-信道多网隔离解决方案 该方案与上一方案其实差不多，只不过此处隔离的不仅是 两个网络。所采用的设备同样有物理隔离卡、网络线路选 择器和网闸三类。
2. 网络隔离技术的发展历程 到目前为止，整个网络隔离技术的发展经历了以 下五代： 第一代隔离技术——完全的隔离 第二代隔离技术——硬件卡隔离 第三代隔离技术——网络协议隔离 第四代隔离技术——空气开关网闸隔离 第五代隔离技术——安全网闸隔离 3. 网间不同层次的主安全威胁 网间的安全威胁主要来自来以下三个层次： 物理层：电气攻击、线路侦听、线路破坏等。 网络层：拒绝服务攻击、地址欺骗、碎片攻击等。 应用层：恶意代码、垃圾邮件等。
利普隔离卡产品
深圳市利谱信息技术有限公司的利普牌网络隔离产品非 常齐全，主要有以下几个系列的产品。 1. 单硬盘系列 利普公司的单硬盘物理隔离卡有两个主要的系列：TP60X和TP-608，前者均采用纯件分区，而后者均采用软件 分区。在TP-60X系列中又有以下几个型号的产品： TP-601隔离卡：单硬盘工作，适用于内外网时分开布线 （双布线）的用户。使用鼠标在屏幕上软件切换。 TP-602隔离卡：单硬盘工作，适用于单机拨号方式的用户。 适用于ISDN、ADSL、Modem等拨号上网方式。使用鼠标 在屏幕上软件切换。 TP-603隔离卡：单硬盘工作，适用于内外网共用一条网线 （单布线） 的用户，须配合网络线路选择器使用。使用鼠 标在屏幕上软件切换。 TP-60XH隔离卡：为半高单硬盘隔离卡。
VLAN的划分方式
常见的主要有以下5种VLAN子网划分方式： 按端口划分：这种划分方式就是将交换机中的某些端口定 义为一个单独的区域，从而形成一个VLAN子网。 按MAC地址划分VLAN：就是把一组属于设定MAC地址的 计算机划分为一个VLAN组。能很好地独立于网络层上的 各种应用。 基于网络层划分VLAN：有两种方案：一种是基于通信协 议（如果网络中存在多协议）来划分；另一种是基于网络 层地址（最常见的是TCP/IP中的子网段地址）来划分。 基于IP广播组划分：可将任何属于同一IP广播组的计算机 划分到同一个VLAN。 基于策略的VLAN：根据一定的策略来划分VLAN是最灵 活的VLAN划分方式，能够把相关的用户连成一体。
物理隔离原理
物理隔离技术的指导思想与防火墙有很大的不同：防火 墙的思路是在保障互连互通的前提下，尽可能安全，而物 理隔离的思路是在保证必须安全的前提下，尽可能互连互 通。虽然物理隔离技术存在多种隔离方式，但是它们的隔 离原理却基本上一样。 主要物理隔离产品 物理安全隔离产品常见的有物理隔离卡、物理隔离集线 器和物理隔离网闸3大类。 物理隔离卡（也称“网络安全隔离卡”，NET SECURITY SEPARATE CARD）是物理隔离的低级实现形 式，是以物理方式将一台PC虚拟为两个电脑，实现工作站 的双重状态。网络结构如下面左图所示。
在TP-608系列隔离卡系列中又有如下几个型号产品： TP-608A隔离卡：单硬盘工作，适用于内外网时分开布线 （双布线）的用户。它使用鼠标在屏幕上软件切换。 TP-608B隔离卡：单硬盘工作，适用于内外网共用一条网 线（单布线） 的用户，须配合网络线路选择器使用。使用 鼠标在屏幕上软件切换。 TP-608H隔离卡：为半高单硬盘隔离卡。 2. 双硬盘系列 利普公司的单硬盘物理隔离卡有两个主要的系列：TP-90X 和TP-80X在TP—90X系列双硬盘隔离卡系列中又有以下几 个型号的产品： TP-901隔离卡：双硬盘工作，适用于内外网时分开布线 （双布线）的用户。使用鼠标在屏幕上软件切换。 TP-902隔离卡：双硬盘工作，适用于单机拨号方式的用户。 适用于ISDN、ADSL、Modem等拨号上网方式。使用鼠标 在屏幕上软件切换。 TP-903隔离卡：双硬盘工作，适用于内外网共用一条网线 （单布线）的用户，须配合网络线路选择器使用。使用鼠 标在屏幕上软件切换。
企业网络安全隔离
这里主要对VLAN和网络隔离这两种方案进行详细介绍， 并通过具体的产品和案例向大家介绍具体隔离方案的实例。 学习内容如下： 通过子网掩码划分子网的原理 VLAN的作用及VLAN子网配置方法 网络隔离技术的分类和发展历程 物理隔离原理 物理隔离卡的安装和应用 网络线路选择器的连接与使用 物理隔离网闸的隔离原理和方案应用
VLAN子网的划分
VLAN子网划分方法较前面介绍的通过子网掩码进行子 网划分的方法来说更加灵活，功能更强。但它需要专门的 设备，那就是支持VLAN技术的交换机。 VLAN简介 VLAN（Virtual Local Area Network，虚拟局域网）是对 连接到的第二层/三层交换机端口的网络用户进行逻辑分段。 VLAN划分的意义在于：可独立划分；不会减少IP地址资 源；划分方式灵活。典型VLAN网络结构如下图所示。
有的隔离卡采用了PCI结构，直接插到主板的PCI插槽中， 所以无须另外提供电源，也就没有这样一个电源接口了， 如下图所示。
2．物理隔离卡方案的主要特性 转换比较便 数据安全交 有效安全控 技术应用广泛
主要物理隔离模式
目前主流的隔离模式有以下几种： 双网/双机模式 双硬盘/双网线模式 双硬盘/单网线模式 单硬盘/双网线模式
2．物理隔离集线器 物理隔离集线器（也称“网络线路选择器”和“网络安全 集线器”等，NET SECURITY SEPARATE HUB）是一种多 路开关切换设备，它与物理隔离卡配合使用。 网络结构如上面右图所示。 3．物理隔离网闸 物理隔离网闸（也称“网络安全隔离网闸”，NET SECURITY SEPARATE GAP），是利用双主机形式，从物理 上来隔离阻断潜在攻击的连接。其中包括一系列的阻断特征， 如没有通信连接，没有命令，没有协议，没有TCP/IP连接， 没有应用连接，没有包转发，只有文件“摆渡”，对固态介 质只有读和写两个命令。
物理隔离卡产品及应用
物理隔离卡技术是整个网络物理隔离技术一个重要分支， 也是目前应用最广的一种网络隔离技术。目前最常见的物 理隔离产品就是各种各样的隔离卡、网络线路选择器和网 闸等。 认识物理隔离卡 1．物理隔离卡结构 目前的物理隔离卡产品非常多样，不同品牌或型号的隔 离卡产品，与客户端硬盘存储设备的连接控制方式可能不 同。有的是采用电源控制法，就是在隔离卡上提供两个硬 盘电源接口，把硬盘的电源连接在隔离卡的不同接口上， 如下页上图所示；而有些采取的是采用电源+数据线控制 法，就是在隔离卡是同时提供两个硬盘电源和数据电缆接 口，把硬盘的电源和数据电缆连接在隔离卡的不同电源和 数据电缆接口上，如下页下图所示。 从这两个图中可以看出，在隔离卡上还提供一个用于与 主板硬盘接口连接的硬盘数据电缆接口和一个电源接口。
图文网络安全物理隔离器
图文网络安全物理隔离器目前主要有四种型号产品： 隔离器I型 隔离器I型（如下页左图所示）是一种通过外置物理开关 来控制双硬盘电源及双网切换的隔离器，通常用于双网线 布线（即内网、外网分开布线）网络。 隔离器Ⅱ型 隔离器Ⅱ型（如下面右图所示）是一种通过外置物理开 关来控制双硬盘电源及双网切换的物理隔离器。它具备Ⅰ 型隔离器的全部功能，同时增加了单、双网线的跳线设置， 单、双网线环境通用，通过隔离卡上的跳线区分单、双网 线，使用更灵活、更方便。 隔离器Ⅲ型
隔离器Ⅲ型（如下页左图所示）是一种通过外置物理开关来 控制双硬盘电源、IDE数据线及双网切换的物理隔离器。它 具备Ⅰ型隔离器的全部功能，同时增加了单、双网线的跳线 设置及对硬盘IDE线的控制及切换，兼容性更好，单、双网 线环境通用，通过隔离卡上的跳线区分单、双网线，使用更 灵活、更方便。
隔离器IV型 隔离器IV型（如下面右图所示）是一种通过外置物理开 关来控制双硬盘电源及双网切换的物理隔离器，单、双网 线环境通用。
网络隔离的安全控制要点和发展方向
无论采取哪种网络隔离方案，在具体应用中至少要在安 全和控制中做到满足如下需求： 具有高度的自身安全性 确保网络之间是隔离的 保证网间交换的只是应用数据 对网间的访问进行严格的控制和检查 在坚持隔离的前提下保证网络畅通和应用透明。
ຫໍສະໝຸດ Baidu
物理隔离
物理隔离概述 尽管正在广泛地使各种复杂的软件技术，如防火墙、代 理服务器、侵袭探测器、通道控制机制，但是由于这些技 术都是基于软件的保护，是一种逻辑机制，这对于逻辑实 体（黑客或内部用户）而言是可能被操纵的，即由于这些 技术的极端复杂性与有限性，这些在线分析技术无法提供 某些组织（如军队、军工、政府、金融、研究院、电信以 及企业）提出的高度数据安全要求。物理学隔离技术就能 较好地解决这些问题。 物理隔离主要应用在以下行业：各级政府机关和涉密单 位；金融、证券、税务、海关等行业部门。
三层交换机上的VLAN配置
在一个快速以太网中，典型的VLAN配置需要进行以下几 个步骤。 设置VTP域。 配置聚合链路（Trunk）协议。 创建VLAN组。 配置三层交换机端口。
网络隔离概述
网络隔离（Network Isolation）技术是网络安全技术的一个 大门类。随着近几年隔离技术的飞速发展，目前的隔离技术 已比较完善，涵盖了几乎所有级别用户的网络隔离需求。 网络隔离技术基础 网络中的“隔离”一词与现实生活中的“隔离”存在某种 认识上的区别，从传统意义来理解“隔离”使两个网络真正 分开，但这样来谈网络安全是没有任何意义的。事实上，网 络安全中的“隔离”后的两个网络并非完全没有联系，还是 需要有正常的应用层数据交换的。 目前可以采用的隔离方法主要有以下三类： 物理隔离：通过一定软、硬件方法使得访问内、外网的设备、 线路、存储均相对独立。 网络隔离：利用协议转换进行网间的数据交换。 安全隔离：利用专用设备实现仅在应用层进行数据交换。
TP-90X隔离卡：采用切换硬盘电源方式。 TP-90XD隔离卡：采用切换硬盘数据线方式。 TP-90XK隔离卡：既可采用鼠标点击软件切换,也可 采用扭动钥匙切换。 TP-90XS隔离卡：适用于SATA标准的串口硬盘。 TP-90XQ隔离卡：快速切换隔离卡，采用特殊技术 缩短重新启动时间。 TP-90XH隔离卡：为半高隔离卡。 TP-80X系列双硬盘隔离卡有如下主要型号产品： TP-801隔离卡：双硬盘工作，适用于内外网时分开 布线（双布线）的用户.使用外置选择开关硬件切换。 TP-802隔离卡：双硬盘工作，适用于单机拨号方式 的用户。适用于ISDN、ADSL、Modem等拨号上网 方式，使用外置选择开关硬件切换。