双网隔离方案

双布线网络环境下网络物理隔离解决方案

对于现有网络环境中已为每一个客户端配置了两条网线的单位， 需要构建双网隔离的网络环境时，可采用安信通HA201物理隔离卡。这种方案适合大中型机构的局域网布局。在这样的机构中，原有的网络布局，按国家保密局物理隔离要求，必须分出独立的内部安全网和外部公共网，内外网之间完全隔离。公共网通过路由器和防火墙连接INTERNET，而部分计算机则需要连接两个网络工作，这些连接了内外双网的工作站计算机需要安装网络隔离卡。还有一些机构的网络由于内部功能的划分，本身就有几个分离的网络，采用HA20X物理隔离方案将更好地把这些网络整合在一起，变为一个全范围共网加上几个内部安全子网的多网互动的有效网络格局

1、网络结构

HA201物理隔离卡是一个接口卡，将您的单一系统分成两个系统，且位于不同的网络环境中。每一个系统有其自己的资源（HDD），且不能共享，只连接唯一指定网络。

将HA201物理隔离卡安装在每一台客户端单机上，且为每一个客户单机购买一个存储外部网数据的硬盘。因为HA201物理隔离卡不仅可以物理隔离内部网和外部网，而且可以物理隔离内部网硬盘和外部网硬盘。 所以为了正确运行产品，用户需额外为外网购买一个硬盘。

在系统中安装两个硬盘，分别装入独立的操作系统，通过HA201物理隔离卡控制两个已分离的网络线和硬盘，而且当一个系统运行时，另一系统处于关闭状态。欲转换系统，需要先按正常程序关机，切换控制器，然后重新启动系统。这样一个重新启动过程，也是一个对CPU、内存、显示缓存等各种缓存进行物理清零的过程，以确保内外网信息不会经缓存相互间接传递，从而真正达到物理隔离的要求。

具体参阅如下网络结构图

2、操作方法

用户若需要进行网络转换，只需按正常操作程序关闭计算机，简单地拔动HA201物理隔离卡的转换控制器，重新启动系统即可。

1） 若要求计算机以内网方式启动

基于网闸技术的生产企业双网解决方案设计

【摘要】针对生产企业生产控制网与公司主干网络中业务管理系统信息传输的实时性和安全性需要。引入了网闸技术实现网络之间物理隔离的基本原理，设计了基于网闸技术的生产企业生产控制网与公司主干网安全方案。

【关键词】网闸；生产控制网；公司主干网络；网络安全

0.引言

目前，生产企业的双网即生产控制网和公司主干网，双网之间的通信是通过网关连接，逻辑实现了两网的隔离。但因公司主干网与internet相连，可能从公司主干网引入各种病毒、黑客攻击，攻破网关导致生产控制网络的瘫痪，从而造成极为严重的后果和重大的经济损失。如何才能使生产控制网络与公司主干网络物理隔离又能做到实时的数据传输成为了亟待解决的问题。

1.网闸技术概述

所谓网闸技术，也就是在两个局域网间的隔离技术，这项技术的意思是当在两个局域网要相互间要交换数据时从物理上进行了隔离断开，一个网络不能直接与另一个网络相互直接连通。

网闸技术的基本原理是这样的：在两个网络之间传输数据的时候首先要切断两个网络间的协议连接，在此同时两个网络间要传输的信息重新组装信息，这信息应为是静态数据，然后对组装后的静态数据进行安全扫描与审查，如果静态没有问题就将信息数据存入内部单元，最终使内部用户通过严格的身份认证机制获取所需数

据。这项技术是通过物理隔离网闸来实现的。在此，我们就通过内网与专网之间的物理隔离网闸为例，来说明通过物理隔离网闸的信息交换过程。

当有数据需要从内网向专网传输时，内网服务器能收到物理隔离网闸发出的“写”命令和不是tcp/ip协议的数据请求，这时物理网闸与专网的开关关闭，与内网的写入开关合上，这样内网服务器将把要传输的原始数据写入到物理网闸的存储介质上，在此需要说明的是：在传输数据写前，物理网闸对数据进行了恶意代码和数据中存在的病毒进行完全性的检测。并且在这个数据传出与写入的过程中，物理网闸与外网服务器间在物理上是处于断开的状态。

双网隔离技术方案

1.物理隔离：物理隔离是指通过物理设备来隔离不同的网络环境，使其互不干扰。实现物理隔离的关键是使用不同的物理设备来连接不同的网络。可以通过以下几种方式来实现物理隔离：

-独立网络设备：使用不同的网络设备，如路由器、交换机等，来连接不同的网络环境，确保它们之间的物理隔离。

-VLAN划分：使用VLAN技术将不同的网络虚拟划分到不同的VLAN中，从而实现物理隔离。

-网络隔离设备：使用专门的网络隔离设备，如隔离防火墙、分段防火墙等，来实现物理隔离。

2.逻辑隔离：逻辑隔离是指通过网络配置和访问控制等方式，将不同的网络环境逻辑上隔离开来，使其互不干扰。实现逻辑隔离的关键在于网络配置和访问控制的设置。可以通过以下几种方式来实现逻辑隔离：

-虚拟专用网络（VPN）：使用VPN技术将不同的网络虚拟隔离开来，从而实现逻辑隔离。

-子网划分：通过将网络划分为不同的子网，设置不同的IP地址段和子网掩码，实现逻辑隔离。

-访问控制列表（ACL）：使用ACL来限制不同网络之间的访问和通信，确保不同网络间的流量只能按照预定规则进行。

-安全域划分：将不同的网络划分为不同的安全域，设置不同的安全策略和安全组，实现逻辑隔离。 总结来说，双网隔离技术方案是一种应用于计算机网络中的安全技术，通过物理隔离和逻辑隔离的方式来隔离不同的网络环境，提高网络的安全性和可靠性。这种技术方案具有通用性，并适用于各种规模的网络环境和各种类型的网络设备和技术。

30通

信

热

点DOI:10.3969/j.issn.1006-6403.2023.10.008

基于多DNN的5G双域专网分流方案

［徐宇辉 兰文刚 黄少樟］

随着5G与行业市场的融合进程不断深入，2B2C融合专网的需求明显增加，双

域专网解决了传统VPN访问内网操作繁、体验差、风险高等问题，为用户提供随需

直达的内网访问体验，满足了远程办公、视频会议、在线课堂、访问内网查阅资料等

多种场景诉求，提出了一种基于多DNN双域专网分流方案，由网络侧SMF自行发起

创建专用DNN会话， UPF基于分流规则将内网流量和互联网流量分流到不同会话锚

点，实现内外网的无感知切换。该方案超越标准，支持漫游场景下的内外网分流，并

且支持4/5G 用户接入，实现用户随时随地可通过专用DNN将内网流量路由至归属

地专用UPF，互联网流量在漫游地卸载，在解决漫游场景访问内网问题的同时，保障

了用户的最优体验。该研究方案在中国移动广东公司的网络中完成工程实施，并且得

到了有效应用，取得了满意效果。

徐宇辉

任职于中国移动广东公司网络管理中心，业务支撑工程师，现从事5G网络运营

和前沿业务的数据制作工作。在核心分组域网络、数据IP网等领域方面有超过20年

的工作经验。

兰文刚

广州瀚信通信科技股份有限公司，网络工程师，从事5G网络的优化分析服务工作。

黄少樟

广州瀚信通信科技股份有限公司，网络工程师，从事5G网络的故障分析定位工作。关键词：

多DNN 无感分流 双域专网 PCF摘要

1 引言

5G双域专网是以5G专网为基础提供服务于5G用户

的2B2C双域网络模式

，双域专网解决了传统VPN访问

内网操作繁

、体验差

、风险高等问题

，为用户提供随需直

达的内网访问体验

，满足了远程办公

、视频会议

、在线课

堂

、访问内网查阅资料等多种场景诉求

。双域专网有以下优势

。

（1

）提升使用体验

：5G公众用户不换卡不换号

、免

配置免认证

，同时访问企业内网和互联网

。

（2

）提高数据安全性

：内外网数据流完全物理隔离