月初安盟发布的一篇《三分钟，带你了解单向光闸的重要性》引起大家的兴趣，纷纷来电希望能更全面的了解光闸产品，所以才有了《光闸的前世今生》系列，考虑到篇幅较长，该系列将通过连载的方式在安盟公众号持续发布。

本期的主要内容是「网络隔离技术产生的背景」和「光闸出现前网络隔离技术的三个阶段」。

一、 网络隔离技术产生背景

2002年的中国互联网络发展状况统计报告显示，当年有超过六成的中国互联网用户的计算机曾被入侵过。而当时国家保密局数字也表明，防火墙的攻破率高达47％。网络系统遭受入侵和攻击，不仅造成巨大的经济损失，严重地甚至会危及国家的安全和社会的稳定；而且，随着网络攻击方式和黑客技术的不断提高，网络攻击与病毒结合的趋向明显，对安全措施的提高与丰富提出了更多更高的要求。

面对这种状况，国家有关部门纷纷发文，要求对网络进行隔离。根据我国2000年1月1日起颁布实施的《计算机信息系统国际联网保密管理规定》第二章保密制度第六条的规定，"涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其他公共信息网络相连接，必须实行物理隔离"。各级政府机关和高安全级别单位，必须将已建成的办公局域网同Internet或上一级专网实行物理隔离，正在建设的电子政务网络必须实现物理隔离。

各级政府、金融、电力等重要部门按照保密规定，对计算机和计算机网络的管理采用了多自治域、多组织域的模式，把计算机网络甚至是计算机主机划分为不同安全等级的管理域。为保证关键域内信息的机密性，这些域内的计算机网络严禁与非信任域的网络进行连接，甚至是同一安全等级下的内部网络也进行了划分和隔离，这样就在部门内部、部门之间以及部门与外界间形成了多个域间的"信息孤岛"。

"信息孤岛"的形成，对"孤岛"上信息的机密性的保护起到了积极的作用，但是在信息化高度发达的今天，这种保护模式严重的阻碍了各信任域间信息的交互；另一方面，在这种模式下，共享数据要求分别存储到多个自治域中，多备份的状况为数据维护带来了极大的不便，同时也很难满足用户对数据共享的要求。

"信息孤岛"模式根本不能满足信息的实时交互，从而限制了实时业务的正常开展。这种模式十分低效，不能满足用户信息交互要求。

在网络时代，信息总是要交互的，彻底物理隔离不是解决网络安全最好的办法。为了达到既能隔离又能进行安全的数据交换的目的，人们开始寻求一种全新、简洁的网络安全技术，要求其能在保证安全的情况下进行数据传输一一这就是所谓的网络隔离技术。

二、光闸出现前网络隔离技术的三个阶段

从物理隔离到网络隔离，大致经历了如下三个阶段的发展。

第一阶段：断开

此方法使得网络处于"信息孤岛"状态。要做到完全的物理隔离，需要至少两套网络和系统，分别联接内外两个网络。两个网络间信息交互的方式只能通过原始的人工拷盘。

这种方式投资成本高、网络设置复杂、维护难度大。一旦出现问题，会对效率要求较高的部门产生很大影响。信息交流的不畅给维护和使用都带来了极大不便。

虽然这种隔离方法严重影响了用户间的交互性，但它的安全性最高，因而目前存有最高安全级别信息的诸多单位及部门仍在使用。

第二阶段：硬件卡隔离

即在客户端增加一块硬件卡，客户端硬盘或其他存储设备首先连接到该卡，然后再转接到主板，通过该卡能控制客户端硬盘或其他存储设备，选择该卡上不同的网络接囗即可访问不同网络下的存储（硬盘）。

第三阶段： 网络隔离

网络隔离经历了简单的协议隔离到安全通道隔离的发展。安全通道技术采用专用通信硬件和专有安全协议等安全机制，实现内外部网络的隔离和数据交换，弥补了以前隔离技术的缺陷，在有效隔离内外部网络的同时，又高效地实现了两个网络间数据的安全交换，并透明支持常见的网络应用。

剖析1：什么是网络隔离系统架构？

不同安全等级的两个或多个信任域在不相连、不互通的条件下，可借助网络隔离设备实现数据的安全可控交换。网络隔离设备是软硬件一体的集成产品，其体系架构采用三层结构：高安全域服务器（高安全域单元）、控制单元、低安全域服务器（低安全域单元）。通常，网络隔离系统的架构如图1所示：

1、当高安全域与低安全域无信息交换时，控制单元、低安全域单元和高安全域单元完全断开，三者之间不存在逻辑连接。

2、当高安全域有数据要传输到低安全域时，高安全域单元向控制单元（专用数据迁移模块）发起请求并连通，高安全域单元将经过协议剥离后的数据文件写入控制单元---此时低安全域单元与控制单元是断开的。数据传输完毕，高安全域单元与控制单元断开，然后控制单元连通低安全域单元，将数据文件读到低安全域单元，再与低安全域单元断开，最后低安全域单元对数据文件进行协议重组后封包转发出去。数据反向传输原理是类似的可逆过程。

剖析2：隔离技术通过什么实现方式？

隔离技术主要有如下两种实现方式：

1、摆渡型

采用多主机系统，连接高安全域与低安全域的主机内装有物理或电子方式的切换开关，确保两个网络间在同一时刻没有通畅的链路，依靠软件控制在两个网络间实现文件转存。

2、通讯重构型

采用多主机系统，连接高安全域与低安全域的主机使用专有通信协议进行通讯，从而实现内外部网络的隔离和数据交换，两个网络的主机实时捕获丶分析网络中的数据包，并进行重新封装，此基础上实现安全审查与访问控制。该种隔离技术较好地解决了实时通信的问题。

未完待续，敬请期待

下期内容「光闸出现前安全隔离产品的发展史」