本节介绍8种物理隔离技术的方案，供读者参考。

一、专线接入方案

通过专线上网，使用防火墙保护整个内部网络系统，将外网隔离在防火墙之外，方案的结构如图1所示。

图1 专线接入方案

图1所示的方式存在两方面的安全漏洞：一是防火墙自身的不安全性，一些高水平的黑客软件能突破防火墙；二是在受防火墙保护的内网中，若未涉密用户终端通过Modem拨号连接Inte.NET,如果其他终端没有采取任何防范措施，则会使整个网络暴露在黑客眼下，造成严重的泄密。

这种方案使用了两套独立的布线系统，但计算机依靠网络拔插的方式轮流登录涉密网络或因特网，方式存在的问题是：在使用的终端计算机上只有一套硬盘系统，当该计算机访问外网时，会受到各种驻留式黑客病毒的入侵，当该计算机在内网工作时会将病毒传播到内网.当计算机再次上网将造成网上信息大量泄密，同时该计算机上的信息在访问外网时将完全暴露。

二、双硬盘隔离方案

在实施物理隔离过程中，用户可以选择双硬盘隔离技术方案。其基本思想是：客户端安装两块硬盘，当用户登录内网时，内网硬盘有效，外网硬盘无效；用户登录外网时，外网硬盘有效，内网硬盘无效。根据网络的不同，该方案又可以分为单网方案和双网方案。单网方案在网络选择端添加了安全集线器，该集线器负责与客户端通信，并根据用户的选择连通内外网络。该方案具有部署简单、使用方便的特点，适合大多数普通用户采用。方案的结构如图2所示。

图2 双硬盘隔离方案

三、三网间隔离方案

很多企事业单位的内部财务网是一个相对独立的网络，与内部办公网络隔离，并且当该网用户登录互联网和内部网络时，需要在财务网、内网和外部互联网三网之间进行切换。该方案具有三网隔离能力，部署简单，适合内部还有独立小网络的用户采用。其结构如图3所示。

图3 三网间隔离方案

四、对外提供服务的隔离方案

许多单位在要求内外网隔离的同时能够提供电子报税等对外服务。当外部Web服务器在接受互联网上发来的电子税表时，会接通外部网络，断开内部网络，电子税表暂存在本地，当满足了一定条件后，才会断开外部网络，接通内部网络，把电子税表转发到内部业务系统中，同时从内部网络接受上次内部业务系统处理完成的电子税表。交换完毕后，再次断开内部网络，接通外部网络，接受新的电子税表。这种方式就好像用户在河的两岸，通过一艘船来回传递两岸的货物，而不会存在直接连接两岸的桥梁或者船只同时停靠两岸的问题,这样既保证了对外服务需求，又保证了网络安全。该方案在实现物理隔离的同时，能够提供对外服务。其结构如图4所示。

图4 能提供对外服务的隔离方案

五、基于无盘系统的隔离方案

一些用户希望在做到内外网隔离的同时能加强内部管理，防止内部用户泄漏单位秘密。有这种需求的用户，可以采用基于无盘系统的隔离方案。该方案采用单硬盘方式，当用户登录内网时，无盘启动系统通过网络从服务器上启动操作系统，同时屏蔽本地的硬盘、光驱和软驱等存储设备，用户所见的硬盘实际上是服务器分配给用户的硬盘镜像，客户端相当于一个瘦终端。这样，内部用户无法通过本地下载、拆卸硬盘等手段窃取内部信息。该方案在做到内外网隔离的同时，能有效防止内部网络的信息泄密。其结构如图5所示。

图5 基于无盘系统的隔离方案

六、单机接入方案

针对单机用户，一般使安全隔离卡HI型，配备双硬盘。其结构如图6所示。

图6 单机接入方案

这种结构具有内、外网的硬盘，无论是在内网还是外网的硬盘上工作，产生的文件、数据存放于硬盘还是软盘，都是相当安全的。

七、双网线接入方案

双网线接入方案需要两套布线系统，但使用Internet的用户数量不是很多，在网络布线接口较为富余的情况下，采用双网线方式，并使用安全隔离卡II型，结构如图7所示。

图7 双网线接入方案

双网线接入方式在上网时涉密用户配置安全隔离卡D和双硬盘，两条网络线同时接到隔离卡上，通过隔离卡连接到本机网卡上，通过手动按钮或软件控制隔离卡上的开关，使其在选择涉密硬盘的同时选择连接内网。因此，安装该卡时一定要注意内外网线不能颠倒。

八、单网线接入方案

在实际应用中，许多综合布线系统在每个终端位置上的端口均有限，不能满足每台设备占用两个端口的需求，此时必须使用单网线方式，如图8所示。

图8 单网线接入方案

此方式需要在每台设备上安装安全隔离卡I和双硬盘，并在每个网络设备间配置内外网远程切换Hub，终端通过一条标准网线连接到设备管理间的内外网远程切换Hub上，该Hub分别连接内网Hub和外网Hubo终端隔离卡通过利用5类网络线中未使用的第4、5、7、8对线控制远端内外网远程切换Hub，使用户可以灵活选择接通内网或外网。