物理隔离的网间“摆渡”技术应用研究

史 萌，丁阿丹

(贵州大学 计算机科学与信息学院，贵州 贵阳 550025)

0 引言

随着科技的发展，时代的进步，不管是政治、经济、文化方面上的应用，还是为科学研究、学术交流的便利，人们都早已经离不开计算机的应用。随着Internet的出现，网络的作用和效果日益增加，网络也早已经成为现代社会信息获取和人员交流的基本手段，但是由于互联网的不确定性和未知性，还有其自身存在的一些缺陷，互联网也存在大量的风险和危害，然而计算机必然应用在互联网上，那么用户就必须面对未知互联网所带来的利与弊[1]。网络安全就成为了主要的研究对象，尤其是政府、企业等有需要完全保密数据的机构和单位，安全保障必须要得到加强。

为了保证网络的安全可信，通常采取的策略是在逻辑方式上用防火墙隔离不可信网与外网，在物理方式上隔离外网与内网[2]。物理隔离是指外网和内网之间在物理上是完全独立、断开的，没有任何物理连接，但在逻辑上则保持连接，能够进行适度的数据交换[3]。绝对的隔离，可以保证绝对的安全，但是对实用性来说，必然引起绝对的不可用。逻辑上的连接，会保证可用性，但是存在交流就会随之而来产生不安全。物理隔离网闸由此成为保证安全和可用必须配置的设备，但是它还需要不断的发展和检验。

1 物理隔离的发展

1.1 双机双网

第一代物理隔离主要采用双机双网的技术，即需要两台计算机、分别连接内网和外网的做法。该方法可以更有效地保证内外网的在物理方式上隔离，也符合国家对于网络安全隔离的一些规定。但这种方法的缺点会导致资费增加、办公空间增大等。后来采用切换开关实现方案，虽然这种方式构建简单，但是由于信息存储在同一台电脑的硬盘中，内网和外网的可靠隔离却不能得到保证，另外双网的频繁转换会对使用造成不便，且影响机器寿命。这种方案只是实现了网络上的隔离，并没有实现数据之间的隔离。

1.2 双硬盘隔离卡

第二代物理隔离主要采用双硬盘隔离卡技术，主要通过在原本普通的网络设备基础上增加一块新的硬盘和隔离卡来实现物理隔离，两块硬盘分别对应内网和外网，当用户不需要连接内网的时候可以选择与内网硬盘断开连接，当用户不需要连接外网的时候可以选择与外网硬盘断开连接。这种隔离方式需要用户在原有设备的基础上再多加一块新的硬盘，这样造成了无谓的成本浪费，而且对内外网的频繁切换和对硬盘的加电断电很容易损坏网络设备。由于双硬盘隔离卡技术存在很多缺点，它只能作为物理隔离技术发展过程中的中间产品存在。

1.3 单硬盘隔离卡

第三代物理隔离采用单硬盘隔离卡，主要是将原计算机的单个硬盘从物理层上分割为两个分区，即公共区和安全区，分别安装两个操作系统，从而实现内网和外网的安全隔离。再通过物理方式将一台电脑虚拟成两台电脑，实现工作站的双重状态，在安全状态的同时又可在公共状态，两种状态是完全隔离的，从而保证一部工作站可以在完全安全状态下连接内网和外网[4]。操作者一次只能进入其中一个系统，从而可以安全的隔离内网和外网。

2 物理隔离网闸

2.1 原理特点

物理隔离网闸是由一套双主机系统构成的，它是以达到物理隔离为目的，且一直断开双主机之间的网络，双主机之间的数据信息交换是通过拷贝、镜像、反射等借助第三方的非网络的方式来完成的，是以物理隔离为目的的安全系统[5]。

物理隔离网闸首先断开网络的直接通信和间接通信；其次将传统的传输控制协议/因特网互联（TCP/IP，Transmission Control Protocol/Internet Protocol）协议剥离；最后将前台客户与后台服务器之间的会话中断，通过中间代理方的式对所有的应用协议和内容进行检查，达到“只有符合全部安全政策的数据才能通过，其他都拒绝”的安全策略。

2.2 指导思想

防火墙是在保障互联互通的前提下以尽可能安全为指导思想，而物理隔离网闸可以允许有少量的联通，但是必须以保证安全为前提，如果不能保证安全，则此连接必须要完全断开。

物理隔离网闸不是真正的物理隔离产品，而是利用物理隔离技术，在内外网物理层网络协议断开的同时，可以进行数据交换的产品。

由此可见，物理隔离网闸首先保证的是安全，其次允许相对的连接与交互，保证物理上的完全隔离，逻辑上可以实现数据的交换。

2.3 结构体系

物理隔离网闸分为三个主要部分:一是专用隔离硬件:主要负责完成安全隔离功能；二是外部处理单元:主要负责与网络非信任方的连接；三是内部处理单元:主要负责与网络信任方的连接。

2.4 工作方式

首先要由管理员对将要传输的数据作一定的整理，隔离网闸中的内部处理单元再根据相应的安排让传输请求通过数据暂存区，同时把请求再传递给外部处理单元；外部处理单元将会根据数据请求对非信任网络的数据进行传递即PULL[6]。

接着，外部处理单元会把请求回来的数据经过过滤检测、病毒查杀等检查后，写入数据暂存区，此时与内部处理单元建立连接，由内部处理单元负责对数据暂存区上的数据进行读取，并再次进行数据匹配以及病毒查杀等，内部处理单元对于从数据暂存区读取的数据进行安全性检查后，就会根据起初由管理员预先设定的目标数据源进行数据推送即PUSH，同时清除数据暂存区的数据。

网络的外网主机和内网主机是通过物理隔离网闸“连接”起来，通过自己定义的一种传输协议摒除外网主机的TCP/IP协议，将数据信息以“摆渡”的方式通过存储介质导入到内网主机，再存储起来。

3 “摆渡”技术

3.1 应用背景

政府和企业等都存有绝对需要安全和保密的数据和信息，必然要使这些数据存放在一个安全且与外界断绝联系的空间[7]。只有通过物理隔离网闸才能实现物理隔离，问题是用户通过什么方法才能把这些数据传输到独自的空间里保存起来，但是还要保证物理隔离，这就是要用到“摆渡”技术。

3.2 技术方法

当外网和内网之间没有信息交换的时候，物理隔离网闸与内外网之间是完全断开的，即三者不存在逻辑连接和物理连接。

在一定情况下，需要将外网的数据信息传输到内网并保存起来，物理隔离网闸主动向内网服务器的数据交换通道发起非 TCP/IP协议的数据连接请求，同时发出“写”命令，剥离开以往的协议，将原始数据写入存储介质，在写入之间，还要根据不同的应用，对数据进行安全检查，如恶意代码和病毒等，在此过程中，物理隔离网闸和内网是断开的，不存在物理连接和逻辑连接。

当数据完全写入物理隔离网闸的存储介质时，就会断开与外网的连接，同时向内网发送数据连接请求，当内网服务器收到连接请求后，通过发出“读”命令将物理隔离网闸存储介质内的数据导向内网服务器。内网服务器接收到数据后，按照TCP/IP协议对接收到的数据重新进行封装，完成了外网到内网的信息存储。

3.3 技术漏洞

3.3.1 内网内部攻击

根据调查显示，大部分的攻击来自于系统内部，因此，物理隔离网络内部也需要利用多种安全防护技术加强防范和保护，不仅要提高硬件和软件的安全，还要注重内网管理人员安全防范意识的提高，防止内部人员对政府和企业等部门的数据和信息的泄漏，造成不必要的损失[8]。

3.3.2 “摆渡”技术缺陷

从表面上看，物理隔离网闸使外网和内网形成物理上的隔离，只存在逻辑上的数据和信息的交流。当数据和信息想要通过“摆渡”技术，从外网进入到内网进行存储备份时，外网主机难免会被外部不可信网人员入侵，传输数据可能会被植入木马或者病毒，这些可以在传输之前检测出来，但是无法防止和检测正常数据中的夹带攻击，物理隔离网闸虽然能够防护内网的数据外泄，但是无法防止夹带攻击对内网的破坏。虽然可以通过以前的数据备份进行恢复，但是还是造成了不必要的损失。

4 实行策略

通过设置防火墙、入侵检测系统/入侵预防系统(IDS/IPS，Intrusion Detection Systems / Intrusion Prevention System)等软件和硬件加强外部网络的安全，防范不可信网络的入侵[9]；提高内部网络管理人员的安全意识，防止内部数据的泄漏和丢失；对于夹带攻击，在外网和内网储存空间外，另开辟一个数据接收缓存区，从外网传输到内网的数据信息，通过“摆渡”技术，将数据信息传输到缓存区内存储起来，当出现病毒或者木马时，内部网络遭受的攻击和丢失的数据只是缓存区内的数据信息，对内网服务器内的大量原始信息未造成破坏，这样损失成本和恢复难度将会大大缩小。进而，缓存区内的数据信息在一定的时效之后，可以通过上述介绍的方法，例如物理隔离技术双机双网等或者再次实行“摆渡”技术，传输到内网网络存储起来，作为原始信息。

5 结语

文中从网络安全方面入手，通过对物理隔离技术发展和应用的分析，进而引出物理隔离网闸的核心--“摆渡”技术。

对于外网和内网数据传输的安全防护，“摆渡”技术是一个比较安全并且很实用的方法。从理论上分析来看，为了进一步提升内网数据信息的安全，文中提出一个构想，结合物理隔离发展的每一个时期中存在的优点，与“摆渡”技术相融合，更好的保证网络信息的安全。当然，这个构想还存在很多的不足之处，提升了安全的同时，带来了经济成本的增加和数据存储的缓慢，希望通过技术的发展，能更好的解决此类问题。

[1]赵庆祥,刘自强,金勇杰.信息时代计算机网络安全探析[J].信息安全与通信保密,2009(08):74-76.

[2]蒋朝惠,武彤,王晓鹏,等.信息安全原理与技术[M].北京:中国铁道出版社,2009.

[3]李涛.信息系容灾抗毁原理与应用[M].北京:人民邮电出版社,2009.

[4]贺文华,陈志刚.网络安全现状分析与发展趋势[J].通信技术,2007,40(10):30-33.

[5]王珺,李立新,李福林.物理隔离和网闸的技术原理浅析[J].微计算机信息,2007(24):53-55.

[6]张友能.基于网闸技术的网络安全研究[J].通信技术,2008,41(05):133-148.

[7]柯军,须文波.物理隔离环境下数据安全转发与实现[J].微计算机信息,2006(15):64-66.

[8]曲成义.内网信息安全面临的挑战和对策[J].信息安全与通信保密,2008(12):14-15.

[9]唐正军,李建华.入侵检测技术[M].北京:清华大学出版社,2004.