网络隔离的 5 种常规手段

网络隔离的 5 种常规手段如下：

DMZ 区隔离

DMZ（Demilitarized Zone，隔离区）它是为了解决安装防火墙后外部网络的访问用户不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区。一般来讲，企业在内外网间架设两道防火墙，两道防火墙中间的区域即为 DMZ 区。内部网络可以主动访问 DMZ 区，DMZ 区可以主动访问外部网络，这样就形成了一个中间缓冲区，从而可以达到更高的安全标准。为了让特定业务跨网，需要使其穿透 DMZ 区，这一般要求在 DMZ 区内部署针对该业务的代理（中转）设备。

双网卡主机隔离

在一台物理主机上安装两个网卡，一个连接内部网络，一个连接外部网络。这种隔离方式实际上是构造了一个同时能够连接两个网络的特殊设备，一般需要有专人管理。当需要进行跨网文件交换时，发送者将数据传输到该主机上，由专人进行文件内容的审查和登记后，再将数据由这台主机发送到另一个网络内。

防火墙隔离

在内部网和外部网之间、专用网与公共网之间的边界上构造的保护屏障。在两个网络之间架设防火墙，默认阻断所有跨网通信。为了让特定业务跨网，可以在防火墙上配置针对于该业务的特殊规则，使该业务的通信可以穿过防火墙。使用防火墙的好处有：保护脆弱的服务，控制对系统的访问，集中地安全管理，增强保密性，记录和统计网络利用数据以及非法使用数据情况。

虚拟机隔离

如果企业已经实施了云桌面虚拟化平台，可以在虚拟化平台内构造两个虚拟子网（比如一个办公虚拟子网，一个研发虚拟子网），两个虚拟子网子网间不连通。企业可以为每个有需求的员工分配两个虚拟桌面，分别连接两个虚拟子网，通过这种方式来实现虚拟桌面的隔离。虚拟机隔离技术是一项很好的策略，能够有效防止病毒蔓延到整个云环境。

网闸 / 光闸隔离

网闸 / 光闸是专用的网络隔离设备，其隔离安全性最高，基本原理是阻断网络通信协议，在内部采用私有通信协议，同一时间只连接一个网络，轮流连接两个网络进行数据摆渡。