本文目录一览：
- 1、防火墙和交换机如何实现内外网隔离
- 2、局域网内外网分离方案
- 3、用物理隔离的内外网是有两个核心层吗？内网和外网是不是分开交换机，分开路由器的？都分开了造价不高吗？
- 4、教你如何用USB端口实现内外网隔离的方法
- 5、怎么实现内外网的完全隔离
防火墙和交换机如何实现内外网隔离
防火墙和交换机还是比较常用的，于是我研究了一下 ，在这里拿出来和大家分享一下，希望对大家有用。随着网络技术和因特网技术的成熟和高速发展，越来越多的企事业单位开始组建网络来实现办公自动化和共享因特网的信息。但是， 安全问题也突现出来，iMaxNetworks(记忆网络公司)根据电子政务网络的特点提出了以交换机、防火墙和交换机相结合实现内外网隔离的解决方案。 方案一：交换机实现内外网的物理隔离 网络系统由内部局域网和外部因特网两个相对独立又相互关联的部分组成，均采用星形拓扑结构和100M交换式快速以太网技术。内部网与外部网之间不存在物理上的连接，使来自Internet的入侵者无法通过计算机从外部网进入内部网，从而最有效地保障了内部网重要数据的安全，内部局域网和外部因特网实现物理隔离。 imaxnetworks终端提供了经济安全的内外网物理隔离功能，它通过物理开关进行内外网的切换，在物理上信息终端只与其中一个网络连通，所以黑客即使侵入其中一个网络也无法越过物理屏障侵入另一个网络。建立内外网隔离方案需要在内网和外网各安装至少一台终端服务器。 方案二：防火墙和交换机结合，实现内外网隔离 VLAN隔离内外网：电子政务网络中存在多种业务，要实现多网的统一互联，同时又要保证各个网络的安全，除了在应用层上通过加密、签名等手段避免数据泄漏和篡改外，在局域网的交换机上采用VLAN技术进行，将不同业务网的设备放置在不同的VLAN中进行物理隔离，彻底避免各网之间的不必要的任意相互访问。在实现VLAN的技术中，以基于以太网交换机端口的VLAN(IEEE 802.1Q)最为成熟和安全，防火墙访问控制保证。 网络核心安全：为了网络构建简单，避免采用太多的设备使管理复杂化，从而降低网络的安全性，可以放置一个高速防火墙，通过这个这个防火墙和交换机，对所有出入中心的数据包进行安全控制及过滤，保证访问核心的安全。另外，为保证业务主机及数据的安全，不允许办公网及业务网间的无控制互访，应在进行VLAN划分的三层交换机内设置ACL。数据加密传输：对于通过公网(宽带城域网)进行传输的数据及互联，数据加密是必须的，在对关键业务做加密时，可以考虑采用更强的加密算法。 设置DMZ区进行外部访问：通常对于外部网络的接入，必须采取的安全策略是拒绝所有接受特殊的原则。即对所有的外部接入，缺省认为都是不安全的，需要完全拒绝，只有一些特别的经过认证和允许的才能进入网络内部。
局域网内外网分离方案
再购买一个交换机（具体多少口，要看车间或生产部门的电脑台数而定），连接方式这样设定：车间和生产部门的连接到一台交换机上，办公室的连接到一台上，用一根线把两台交换机连接到一起，给办公室的每台机器分配一个固定IP,在路由器上设定，只有设定的IP可以上网，其他的IP都不可以就可以实现你的要求了
用物理隔离的内外网是有两个核心层吗？内网和外网是不是分开交换机，分开路由器的？都分开了造价不高吗？
那肯定是两套系统啊，因为光纤所接的服务器都不一样，怕的就是黑客通过网络进行攻击，分开以后黑客只能进外网，内网因为和外网没有关系所以不能有数据交换，这也是大型企事业安保的部分，造价高也没有办法。
教你如何用USB端口实现内外网隔离的方法
黑客利用技术手段在用户无法发现的情况下，在个人电脑上植入特殊的病毒，并将其互相连通，集群管理，从中获得巨大的利益。由于每个被感染或者入侵的个体受到的损失可能非常小，因此其隐蔽性非常高，在没有特殊工具的帮助之下难以被发现。但是，由于其数量巨大，通过聚沙效应，往往可以积少成多，成为网络犯罪分子牟利的非常有效的工具。在个人电脑上网进行浏览网页时，利用敏感或者热门的关键字吸引用户进入，同时植入蠕虫、木马、恶意软件，已经成了上述恶意攻击的主要手段。 基于USB2.0隔离方法的提出 近年来，我国信息技术高速发展，电子政务的应用越来越广泛，在这些需要依靠信息系统处理日常事务的机构（如工商、税务、银行以及军队等）中，工作人员一方面要接入到互联网中，另一方面要连接到内网中，并在这两个网络中实现信息的交换。由于这些机构的内网中存在许多涉及国家、个人的机密信息，所以，必须在保证信息交换的前提下实现两个网络连接的安全。 安全隔离和信息交换系统的架构由两个拥有操作系统（可以是异构操作系统）的独立主机系统（内网机和外网机）和一个连接硬件组成，连接硬件通常是与以太网异构的介质组成，如某些隔离卡或交换矩阵等。这些连接硬件通过主机上的程序或硬件上独立的芯片来对两个网络中需要交换的信息数据进行封包、摆渡、解包，从而实现内外网之间数据的交换。 本文提到的这种新的解决方案也是基于这种架构，不过其连接硬件采取了专用的USB 2.0的方式。内外网主机使用专用的程序把需要交换的数据信息通过USB 2.0端口进行传输，从而达到数据交换的目的。用这种技术可以抛弃较为脆弱的基于TCP/IP协议的内外网安全隔离机制，从真正意义上达到内外网连接时的安全隔离。USB 2.0的理论传输速度可以达到480Mbps，这样的速度可以满足目前几乎所有用户的需求。并且USB支持双通道进出同步传输，这样就很容易解决传输过程中的双向问题。最后，这种USB 2.0隔离机制和开发相应程序的成本很低廉，从而在很大程度上降低了安全隔离和信息交换的成本。所以这种新型的安全隔离和信息交换系统在当前的市场上具有较大的潜力。 网络蠕虫、网页挂马、恶意软件是目前针对互联网的新型犯罪的三种主要手段。黑客利用技术手段在用户无法发现的情况下，在个人电脑上植入特殊的病毒，并将其互相连通，集群管理，从中获得巨大的利益。由于每个被感染或者入侵的个体受到的损失可能非常小，因此其隐蔽性非常高，在没有特殊工具的帮助之下难以被发现。但是，由于其数量巨大，通过聚沙效应，往往可以积少成多，成为网络犯罪分子牟利的非常有效的工具。在个人电脑上网进行浏览网页时，利用敏感或者热门的关键字吸引用户进入，同时植入蠕虫、木马、恶意软件，已经成了上述恶意攻击的主要手段。 基于USB2.0隔离方法的提出 近年来，我国信息技术高速发展，电子政务的应用越来越广泛，在这些需要依靠信息系统处理日常事务的机构（如工商、税务、银行以及军队等）中，工作人员一方面要接入到互联网中，另一方面要连接到内网中，并在这两个网络中实现信息的交换。由于这些机构的内网中存在许多涉及国家、个人的机密信息，所以，必须在保证信息交换的前提下实现两个网络连接的安全。 安全隔离和信息交换系统的架构由两个拥有操作系统（可以是异构操作系统）的独立主机系统（内网机和外网机）和一个连接硬件组成，连接硬件通常是与以太网异构的介质组成，如某些隔离卡或交换矩阵等。这些连接硬件通过主机上的程序或硬件上独立的芯片来对两个网络中需要交换的信息数据进行封包、摆渡、解包，从而实现内外网之间数据的交换。 本文提到的这种新的解决方案也是基于这种架构，不过其连接硬件采取了专用的USB 2.0的方式。内外网主机使用专用的程序把需要交换的数据信息通过USB 2.0端口进行传输，从而达到数据交换的目的。用这种技术可以抛弃较为脆弱的基于TCP/IP协议的内外网安全隔离机制，从真正意义上达到内外网连接时的安全隔离。USB 2.0的理论传输速度可以达到480Mbps，这样的速度可以满足目前几乎所有用户的需求。并且USB支持双通道进出同步传输，这样就很容易解决传输过程中的双向问题。最后，这种USB 2.0隔离机制和开发相应程序的成本很低廉，从而在很大程度上降低了安全隔离和信息交换的成本。所以这种新型的安全隔离和信息交换系统在当前的市场上具有较大的潜力。 网络蠕虫、网页挂马、恶意软件是目前针对互联网的新型犯罪的三种主要手段。黑客利用技术手段在用户无法发现的情况下，在个人电脑上植入特殊的病毒，并将其互相连通，集群管理，从中获得巨大的利益。由于每个被感染或者入侵的个体受到的损失可能非常小，因此其隐蔽性非常高，在没有特殊工具的帮助之下难以被发现。但是，由于其数量巨大，通过聚沙效应，往往可以积少成多，成为网络犯罪分子牟利的非常有效的工具。在个人电脑上网进行浏览网页时，利用敏感或者热门的关键字吸引用户进入，同时植入蠕虫、木马、恶意软件，已经成了上述恶意攻击的主要手段。 基于USB2.0隔离方法的提出 近年来，我国信息技术高速发展，电子政务的应用越来越广泛，在这些需要依靠信息系统处理日常事务的机构（如工商、税务、银行以及军队等）中，工作人员一方面要接入到互联网中，另一方面要连接到内网中，并在这两个网络中实现信息的交换。由于这些机构的内网中存在许多涉及国家、个人的机密信息，所以，必须在保证信息交换的前提下实现两个网络连接的安全。 安全隔离和信息交换系统的架构由两个拥有操作系统（可以是异构操作系统）的独立主机系统（内网机和外网机）和一个连接硬件组成，连接硬件通常是与以太网异构的介质组成，如某些隔离卡或交换矩阵等。这些连接硬件通过主机上的程序或硬件上独立的芯片来对两个网络中需要交换的信息数据进行封包、摆渡、解包，从而实现内外网之间数据的交换。 本文提到的这种新的解决方案也是基于这种架构，不过其连接硬件采取了专用的USB 2.0的方式。内外网主机使用专用的程序把需要交换的数据信息通过USB 2.0端口进行传输，从而达到数据交换的目的。用这种技术可以抛弃较为脆弱的基于TCP/IP协议的内外网安全隔离机制，从真正意义上达到内外网连接时的安全隔离。USB 2.0的理论传输速度可以达到480Mbps，这样的速度可以满足目前几乎所有用户的需求。并且USB支持双通道进出同步传输，这样就很容易解决传输过程中的双向问题。最后，这种USB 2.0隔离机制和开发相应程序的成本很低廉，从而在很大程度上降低了安全隔离和信息交换的成本。所以这种新型的安全隔离和信息交换系统在当前的市场上具有较大的潜力。 利用USB OTG技术实现 本方案采用的基础是USB OTG技术。USB（Universal Serial Bus）即通用串行总线，是一种连接外部串行设备的技术标准。 USB-OTG是USB On-The-Go的缩写，实际上它是USB Implementers Forum组织对于传统USB接口的一个追加协议，主要应用于各种不同的设备或移动设备间的连接和数据交换。传统的USB技术，虽然使得PC和周边设备的数据交换变得简单和方便，但它一旦离开了PC设备，就无法实现数据交换，因为没有一台设备能够充当PC一样的主机。有了 USB-OTG，就可以完全脱离开PC。最新版本的USB-OTG便是直接建立在USB 2.0基础之上的。它修改了USB接口的针脚定义和接口外形，使厂商可以根据需要将各种数码设备定义为“主机端”、“设备端”或具有双重身份的角色，这样网络及数码设备便可适时地变换身份，实现彼此之间的直接连接。 本文提出的方案，可利用USB-OTG设备规范中的“多角色”特性，将与两台PC主机直连的USB通信设备同时作为host角色和slave角色，实现两台主机间直接通过USB端口相互通信。 技术的原理及应用 这种方案在实际应用中是及其方便的，因为传输的介质——USB连线在市场中已经很成熟，这样就只需要根据客户的需求来开发相应的程序就可以了。图1是简单的由两台PC组成的一个系统。 当使用USB线连接PC1和PC2设备后，通过基于标准USB规范的程序就可以在其中任意一台设备上与另外一台设备进行通信，通过这种方式可以在这两台设备上任意进行OTG传输。 这种方式完全抛弃了传统的TCP/IP协议，实现了安全隔离的作用。对于目前的网闸而言，连接内外网两端在逻辑上是同一台主机，虽然在隔离设备上采用了自己的私有协议，但是仍然是基于TCP/IP协议的。这样，在隔离策略设置不当，或者没有及时更新策略时，完全可能产生内网主机被入侵者逐步蚕食的情况。而USB通信协议是完全基于数据分块和方向制定的，可以确保外来数据能够在完全不到达内网主机的情况下，通过数据的定向同步映射到内网。这样，即使入侵者能够成功控制外网的代理机，在理论上，依靠目前的TCP/IP是无法构造能够同时兼容两层完全不同的传输介质和传输协议的数据通信，因此无法将恶意软件通过USB传送到内网的主机中。 这种方法的基本原理是: 利用Http协议“落地”的方式，转换为对单个网页内容的请求，然后通过USB协议对处于外网的代理机发出请求，下载完成后，“落地”为内网文件，提供给内网用户，其实现还是采用了Http请求重定向技术。 由于USB同步协议为私有协议而不是公开的协议，而且传输介质为USB通信端口，入侵者在没有专用的硬件设备的前提下绝对无法对传输协议进行分析，因此即使能够控制客户端，也无法建立正常的传输将数据传入代理主机中。 以上的工作流程可以建立一个较为安全的内外网交互体系，既可满足内网与外部的数据沟通，同时又大大减少了内网数据因为TCP/IP协议的弱点而使数据外泄的可能性。由于USB接口的带宽一般较大，可以同时支持多路数据同时传输，因此其应用上较为灵活和简便。
怎么实现内外网的完全隔离
可以安装物理安全隔离网闸设备进行内外网隔离。物理安全隔离网闸是一种由带有多种控制功能专用硬件在电路上切断网络之间的链路层连接，并能够在网络间进行安全适度的应用数据交换的网络安全设备。
这个设备主要用来解决网络安全问题的，尤其是在那些需要绝对保证安全的保密网，专网和特种网络与互联网进行连接时，用来防止来自互联网的攻击和保证这些高安全性网络的保密性、安全性、完整性。
扩展资料：
安全隔离网闸的原理
网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。
由于物理隔离网闸所连接的两个独立主机系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议"摆渡"，且对固态存储介质只有"读"和"写"两个命令。
所以，物理隔离网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接，使"黑客"无法入侵、无法攻击、无法破坏，实现了真正的安全。
参考资料来源：百度百科--网闸
参考资料来源：百度百科--物理隔离
