大家帮我看下我这个内外网隔离，文件只进不出单向传输的方案是否可靠？ 这是一个单向网闸

[mizhael]

大家帮我看下我这个内外网隔离，文件只进不出单向传输的方案是否可靠？
这是一个单向网闸：
要求是内外网隔离，文件只进不出单向传输：
我的方案：
内网用一个内网前置机，外网用一个外网前置机。
内网前置机和外网前置机都放在机房，机柜，密封锁起来。
内网前置机和外网前置机之间放单向网卡，保证物理层、数据层和网络层都是单向的。
自己写一个基于UDP的文件单向传输，没有握手信号和反馈机制，所有完全是单向的数据。
----------
大家看靠谱不靠谱？
谢谢！

[X-i-n]

UDP没有握手 如果你的文件传输过程都是在你的程序里进行的，那就封掉所有端口，只留你的程序需要用的放行，然后设置一个“角色”（内网，外网），通信的时候在程序里控制允许不允许就行

[mizhael]

就怕这两个前置机被人攻破（内网前置机 被 从内网攻破， 外网前置机被从外网攻破）。 有没有什么好的防范措施？

[X-i-n]

你现在的问题是需求没有梳理清楚，建议你再重新分解一下需求——不是告诉我，是你在自己的脑子里过一遍完整的流程，每一个细节都深入分析一下，分析完以后，把它写出来，可以让大家对这个经过认真分析的方案提建议。比如： 有没有外网前置机，区别在哪？ 也就是说文件通过外网到外网前置再经过防火墙到内网前置，和文件直接经过防火墙到内网前置有什么不一样的地方？ 另外，文件到了内网前置机后，怎么去使用这个文件，这个文件会从内网前置上流向哪儿？或者说这个文件只在内网前置上处理，处理完不会再动？ 你的通信是怎么进行的？外网机器到外网前置机，外网前置到内网前置，内网前置再到后面的机器，在这些过程中，是你自己写的软件来处理？还是用了标准协议？

[X-i-n]

你的需求大概有两部分：服务器安全，通信安全

[mizhael]

有没有外网前置机，区别在哪？ 我们是分内网机和外网机的。员工同时拥有内网机和外网机。外网机用于上网搜集资料。内网机用于工作（软件开发）。 外网前置机的用处是把外网机搜集的资料传到外网前置机。 内网前置机的用处是待外网前置机的资料单向传入内网前置机之后。内网机可以去取资料。 内网前置机和外网前置机都密闭于机房中。 内网前置机和外网前置机加上通讯软件，合起来，就是一个单向网闸，网络隔离带。 这个通讯软件如果用现成的单向文件同步软件，不知道会不会不安全。 这个“内网前置机和外网前置机加上通讯软件” 如何才能不被攻破？

[X-i-n]

取消外网前置机 看资料怎么分类，是每个人有自己的上传目录还是所有人共用一个上传目录 在内网前置机上共享出上传目录（每个人或者所有人的），设置这个共享目录的NTFS权限：只允许创建文件和创建文件夹。这样的话，这个共享文件夹就只能往里传东西，不能打开，不能查看文件列表，不能修改。 如果一定要用现在的结构，那就只需要屏蔽外网前置机所有端口，和内网前置机所有端口，打开内网前置机接收文件的侦听端口就可以。

[mizhael]

但这样网络物理上还是通的呀。如果防火墙被攻破怎么办？ 还请推荐一个靠谱的防火墙。多谢啊！

[mizhael]

各人分开文件夹。 取消外网前置机，只依靠内网前置机，就少了一重隔离。实际上外网和内网就通了。 而我现在的结构，至少只要“隔离带”设计合理，应该只是“单向导通”的。

[X-i-n]

防火墙可以进行屏蔽，做策略，除了文件共享端口，其它端口一律屏蔽，类似的，也可以用FTP来实现只能上传不能读取文件夹的需求 你现在的结构没有问题，只是多了个可有可无的前置机，你要做的仍然是在防火墙上两个方向上屏蔽所有端口，开通外网前置机到内网前置机方向的接收文件的侦听端口就可以。

[mhpmii]

我们公司就是这么做的，不过性能很难保证，又要不丢包，又要传的快，还要对数据做封装，不好做