网络隔离主要技术：一览与选型

摘要：网络隔离：把两个或者两个以上可路由的网络（如：TCP/IP）通过不可路由的协议（如：IPX/SPX、NetBEUI等） 进行数据交换而达到隔离目的。主要原理是使用了不同的协议，故也叫协议隔离。 网络隔离主要目的：将有害的……

网络隔离：把两个或者两个以上可路由的网络（如：TCP/IP）通过不可路由的协议（如：IPX/SPX、NetBEUI等） 进行数据交换而达到隔离目的。主要原理是使用了不同的协议，故也叫协议隔离。

网络隔离主要目的：将有害的网络安全威胁隔离开，以保障数据信息在可信网络内进行安全交互。

一般的网络隔离技术都是以访问控制思想为策略，物理隔离为基础，并定义相关约束和规则来保障网络的安全强度。

网络隔离技术分类

物理隔离

物理隔离：两个网络物理上互不连接。

物理隔离需要做两套或者几套网络，一般分为内外、外网。客户端需要安装隔离卡，隔离卡有两种，数据隔离和电源隔离。

• 数据隔离：硬盘电源接口接主板电源，数据接口接隔离卡。

• 电源隔离：硬盘电源接口接隔离卡，数据接口接主板电源。

逻辑隔离

逻辑隔离：一般两套或者几套网络共用一套网络设备，在网络设备上做配置，各个网络不能互相访问。这种隔离技术非常不安全，容易泄漏数据。

逻辑隔离主要技术

虚拟局域网VLAN

工作在第二层。支持VLAN的交换机可以借由使用VLAN标签的方式将预定义的端口保留在各自的广播区域中，从而建立多重的逻辑分隔网络。

虚拟路由和转发

工作在第三层。允许多个路由表同时共存在同一个路由器上，用一台设备实现网络的分区。

多协议标签转换（MPLS）

工作在第三层，使用标签而不是保存在路由表里的网络地址来转发数据包。标签是用来辨认数据包将被转发到的某个远程节点。

虚拟交换机

虚拟交换机可以用来将一个网络与另一个网络分隔开来。它类似于物理交换机，都是用来转发数据包，但是用软件来实现,所以不需要额外的硬件。

更多专业前端知识，请上【猿2048】www.mk2048.com

三、技术一览

• 逻辑 → VLAN/ACL/防火墙，灵活常用。
• 缓冲 → DMZ 承载对外服务。
• 硬隔离 → 网闸/零信任，高密级。

网络隔离技术要”按需求分层”：日常用 VLAN+防火墙足矣，对外服务放 DMZ，极高密级才上物理隔离或零信任。一味求最硬，业务连通先垮。