運用雙網隔離技術打造內外網新模式

為滿足干部在上內部網絡的同時，也能方便地訪問互聯網(下稱外網)，浙江省淳安縣財稅局經過跟蹤測試后，選定“一款為主其它為輔”的隔離卡和雙網隔離機，能簡捷穩定地實現內外網的切換，為行政機關單位解決上外網問題提供了一種新模式。

如何在保證辦公業務內網安全的

前提下，遵循以最少成本、最優性價比、最便捷的方案滿足機關干部上外網的要求？

筆者所在的浙江省淳安縣財稅局通過思考和調研、對多種技術模式測試篩選、跟蹤總結后，采用了“一機雙網雙硬盤雙內存隔離技術實現全局同時上內外網，兩套布線內外網完全物理隔離”的新模式。

全局同時上外網會給信息中心對網絡安全和信息保密工作的管理帶來很大的壓力。互聯網的連接，使得病毒、木馬、系統漏洞侵擾等不安全因素會給工作帶來巨大的安全隱患，不但能夠摧毀系統，更能夠盜取財稅行業的重要數據。從國家到省市發布的諸多相關制度都多次強調要求計算機及信息系統要與互聯網等公共信息網實行物理隔離，網絡信息安全保密工作更是每年省市局必查項目。全局上外網后，信息中心的維護工作量會成倍增加。

“雙網隔離整機”和“雙網隔離卡”是經過國家安全及保密部門檢測認證的，符合省廳局安全管理規范。它們能實現內部網和因特網的物理隔離，防止內網受到因特網的非法攻擊。同時，網絡的可控性增強，便于內部管理和防范。這種物理隔離技術已成為網絡安全保密的重要手段，受到越來越多的關注。

實現目標

采用雙網隔離技術實現全局200余人同時上內外網，并完善電教室建設。

根據IT資產臺帳核實每臺電腦的型號配置、維修使用情況，依此編制了需要更新成雙網隔離機的電腦清冊、淘汰處置的電腦清冊、需要升級成雙網機的電腦清冊、布置到電教室的電腦清冊等。

改造完善網絡參數配置和安全參數配置，優化全局內外網網絡拓樸結構，完善改進修正案設備參數配置和策略配置。

所需要的硬件、軟件及配件均通過資源交易中心公開招標采購。

制定技術方案

(一)掌握雙網隔離基本原理，保障網絡安全快捷

雙網隔離卡是一個數據安全設備，在實現雙網隔離切換過程中起著重要的作用，它實現了雙硬盤上系統與數據的完全隔離。雙網隔離整機是一種安全PC不同于普通PC。它有兩個硬盤，且2010年新產品還增加了兩個內存。通過網絡安全隔離卡上的控制和開關電路，兩個內存和兩個硬盤能夠分別獨立地作為內部網絡或外部網絡的主硬盤啟動，當一個硬盤工作時，另一個硬盤處于斷電不工作狀態。這樣，內網數據系統與外網數據系統不存在電氣通道，從內存到硬盤以及網絡在物理上能相互隔離，具備了良好的安全性。

雙網切換原理:開機后，雙網隔離卡在計算機內部有一個開關，選定進入“內網” 或“外網”的工作方式，將相應啟動到“內網”或“外網”硬盤上的操作系統，并接入對應的“內網”或“外網”網絡，同時另一個網絡和硬盤是斷電的。正常使用中需要切換“內網”或“外網”工作方式時，系統自動首先將信息保存在本網硬盤上，休眠本網內存和硬盤，電源切換至另一個硬盤和網絡，則另一個硬盤上的系統開始啟動，雙網隔離卡對CPU、內存、顯示緩存等各種緩存進行物理清零，以確保內外網信息不會經緩存相互間接傳遞，完全實現隔離。

(二)從軟件、硬件、網絡三方面配套制定完善的解決方案

首先電腦設備方面采取兩種方法：新購整機直接選用“雙網隔離安全機”，舊電腦加裝隔離卡等安全設備升級成雙網隔離機；其次網絡部署方面實行內外網兩套線路，規劃兩套地址，每臺單機地址及端口與核心交換機進行物理一對一綁定，防火墻、入侵防御設備做相應的安全策略及網管措施；第三軟件方面配套以網絡版防病毒軟件和360安全衛士軟件，防范木馬及修復漏洞。這三重技術結合運用實現“一機上雙網”。

電教室用的是舊電腦，為了建立網絡教室，充分利用舊電腦資源，另外配備了一臺老師機和一套網絡教室多媒體軟件。每臺舊電腦加裝一塊網絡還原卡以保證業務培訓后系統還原，再加裝一塊網卡，節省成本利用一套布線、一套網絡設備、配套雙地址，調整交換機配置等等技術措施，實現培訓時能夠上內/外網的雙重需要，只要在交換機總線端將外網光纖頭拔下即可安全保障內網的聯接使用，反之亦然。根據電教室的使用性質，我們采取了這種更加低成本的內外網切換方式（但僅限于電教室使用，而辦公室電腦就不適合了），每臺電腦只需投入100元左右，比起加裝隔離卡和硬盤投入800元要節省得多。

實施方案，落實到位

新購置電腦按照國家、省級相關安全要求和標準，結合財稅工作業務系統需要，提出選型方案和招標要求，提交采購中心按需招標；舊電腦改造方面則根據技術方案提出針對不同型號舊電腦所需配套的隔離卡及硬盤的技術參數（不同機型不同主板對加裝的隔離卡及硬盤的要求不同，這項工作要求非常細致），及所需各種設備的技術參數與需求，提交采購辦和資源交易中心進行網上公示，公開招標采購。

網絡規劃和地址規劃同時進行，由網管員負責規劃和實施，制定防火墻等安全設備的安全策略，反復測試達到最優。

全體技術人員分工協作，明確項目實施責任人，把全局200人24個科室按聯系人排好時間表和工作量，各負責人分頭實施并驗收結果，全程協調跟蹤解決出現的各種問題。

實施過程量大問題多，借用一名經驗豐富，熟悉隔離卡的計算機維護人員是必要的。

隔離卡的安裝及常見問題解析

因電腦品牌涉及HP、聯想、DELL等多種機型，經過使用三種隔離卡（宙斯盾、偉思、山東中孚）的測試結果，發現宙斯盾卡對各種機型的的兼容性相對好一些，下面就此卡在實施過程中出現的問題及解決方法做一總結。隔離卡宙斯盾，分為3種型號SATA，IDE，電源。

常見問題及解決辦法：

1．開機自檢找不到硬盤。

排除方法：檢查硬盤與隔離卡的線路連接是否正確；

檢查CMOS設置是否正確，有無硬盤選項被關；

在無隔離卡情況下，自檢硬盤是否能通過，以確定故障來源。

2．插卡后沒有出現隔離卡的界面。

排除方法：先確認內網硬盤是否能正確識別；

個別主板可能會有這個問題，在CMOS中修改引導控制項BOOTFROM LAN（有的主板是TRYOTHER DEVICE）”，或者FIRST BOOT DEVICE 中SCSI或者OTHER 等。

3．插入隔離卡后無法自檢。

排除方法：此故障多出現在SIS芯片組的主板中，需要在開機后長按CTRL鍵來更改隔離卡奪取主板控制權的方法。(在CTRL鍵按鍵下生效后，會出現選擇輸入0.1.2.3四個選項，可以按順序進行排除。

4．插卡后啟動不正常或者找不到硬盤。

排除方法：嘗試固定好板卡使金手指接觸良好，如是IDE切換的隔離卡建議使用更短的IDE連接線，對于某些主板，IDE線稍微長些就不容易認到硬盤

5．不能訪問網絡。

排除方法：檢查網線的連接是否正確，網線的接觸是否正常，網卡的燈是否亮著，若是接觸不良，應將網卡連接線插緊或更換網卡連接線。

6．安裝系統切換軟件后不能正常運行切換軟件。

排除方法：檢查隔離卡驅動是否安裝正確，同時確認在開機時能正常出現隔離卡選擇切換。

7．進入系統后網絡切換失敗。

排除方法：系統切換可能被破壞，卸載切換軟件重新安裝。

8．針對比較難安裝電腦的分析：

聯想的小機箱，用SATA的隔離卡，要把內硬盤放到光驅的邊上，把外硬盤放到原來的位置，這樣先不容易被壓到，也可避免接觸不好。若還有問題，就換成使用電源切換的隔離卡。

DELL的舊機器，硬盤剛裝上的時候，自檢不通過，直接從光驅啟動，把系統裝好就能自檢通過了，每次都要按F1；若不能從光驅啟動，換個光驅試試。

實現預期效果

良好的安全性。有些單位上外網沒有安全性可言，一機一線上雙網，一機雙網卡上雙網，導致病毒泛濫，技術人員疲于奔命，給個人工作及整個單位的信息安全帶來重大隱患。我們所選擇的隔離卡及雙網隔離安全機是經過國家安全部認證和國家保密局認證的產品，具有在雙網之間切換時刷新內存信息，不會把此網信息帶入彼網的優點。

節省成本。與有些單位每人兩臺電腦上雙網相比，這種方式節省了購機成本（雙網隔離機與單網機每臺相差不到400元）、能耗成本，以及辦公空間成本；整個項目從思路規劃到實施沒有浪費，一直注重性價比，花最少的錢辦最好的事，新舊資源應用盡用。有助于維護機關廉政形象。

可長遠推廣。具有明顯的經濟效益，極大提高財稅干部攝取財經信息的及時性和豐富程度，極大地方便財稅干部內外網間的轉換，提高了工作效率。

完善管理制度和配套措施。我們針對有可能對工作和效能建設產生的負面影響作了充分考慮，在向局黨委重點匯報將會產生的不良影響并提請引起重視的同時，出臺了相關管理制度：“個人用計算機日常管理規定”，人教科也向全局發布了加強網絡安全管理的通知，相信在局黨委的引導下，全局干部的素質不斷提高，能把負責因素變成提高工作水平和機關形象的有利因素。

通過一年多的實踐，這一內外網使用新模式在全省財稅系統中率先采用這種模式得到了實踐和認可，也受到了行業內外各單位的關注。到目前為止，我們的內外網隔離模式運行良好，穩定而安全地為財稅工作提供保障。

（作者單位：浙江省淳安縣財稅局）