为什么要内外网隔离

原创

hyang0
hyang0

生有可恋

2026年10月27日 07:14
湖北

去阅读

网络安全中有一条很简单的安全策略，叫内外网隔离。其中有物理隔离和逻辑隔离两种。

没有用网闸的叫逻辑隔离，用了网闸的叫物理隔离。大部分是逻辑隔离，就是用防火墙或SDN网关实现阻断互联网。

可以这么理解，阻断了互联网就是纯内网，不阻断就是内外网混用。

测试方法也很简单，ping 一下外网地址或访问一下baidu，能通外网就是内外网混用状态。

逻辑隔离下，在防火墙上写个阻止策略就可能了，外网地址如下：

0.0.0.0-9.255.255.25511.0.0.0-172.15.255.255172.32.0.0-192.167.255.255192.169.0.0-255.255.255.255

最近湖北医保给医疗单位下发了整改通知，要求现网内外网混用的，医保将采取措施，有可能对医疗单位停止结算。

传统的内外网混用的，模拟纯外网的会通过写一个外网禁内网的策略，禁止外网访问内网，比如在防火墙禁止访问以下内网地址：

10.0.0.0-10.255.255.255172.16.0.0-172.31.255.255192.168.0.0-192.168.255.255

这些将从逻辑上隔离出来一个“纯外网”，如果禁用的是上面那4个外网地址段，则隔离出来的是”纯内网“。

在现在的政策下，必须从物理上隔离出两台网络，也就是物理上有两套接入、汇聚和核心交换机。最好两套是隔离的，中间不打通。

如果打通了就是一张网，传统方式是用防火墙逻辑隔离。如果把中间的那根线断掉就是物理隔离。完全不打通，两边各走各的，相互不影响。

纯外网的好处就是只访问互联网，对内网系统完全不影响，比如医保系统。

但现实中，内网终端总是有各种理由要求访问互联网，毕竟只访问互联网无法访问内网，会非常不方便。以前几乎无法杜绝这种情况，现在有政策约束，你敢混用就停止医保支付。有了这张政策红线，就可以顺利推行内外网隔离策略了。

对不死心想内外网混用的，直接祭出政策大棒，”停止医保支付“的后果就是直接把医院干倒闭了。哪家医院敢和医保对着干？医保是医院的钱袋子，患者支付的住院费，有一半是医保欠费，需要医保支付才会真实到账。所以医保给出的禁令是非要有威慑力的。估计后续会有一大波医疗机构对内外网混用的情况进行整改。

医保检查的网络安全，这个惯例由来已久，毕竟医保是要专门的信息化队伍的，懂技术就可以通过技术进行管理。

如果我是医保检查人员，先检查你的拓扑图是不是有两套网络。如果只有一套核心交换机，就可以直接判死刑了。

再检查拓扑上的两套网络是完全独立的，还是”连“起来的。隔离设备是啥，只要连起来的，大部分有问题。上网闸的是少数，大部分是用防火墙隔离的。

用防火墙隔离的直接出局，用网闸的细看你的网闸策略。建议直接把内外网中间的那根线拔掉，不要连起来，也不要用网闸。网闸不好用，一用一个不吱声。

隔离出两套独立的网络，对医保就可能好好解释了。外网那一套只能访问互联网，不能访问内网，物理上完全是独立的一套网络。这就在内外网物理隔离上”合法“了。

难的在哪里？难的在内网。内网难主要难在内网才是那个需要治理的对象。

首先服务器需要上网，既然服务器需要上网。你建立 DMZ 区了吗？你的互联网出口在哪里？如果出口在外网，外网又不能和内网连。

难就难在这里，服务器要上网，但出口在外网，外网和内网是隔离的。

建议单独给服务器通互联网，通互联网的放在 DMZ 区域，内网还是保持独立性，不和外网互联。

DMZ 的服务器直接出互联网，内网不访问DMZ区域，保持内网的纯粹性。

DMZ 只和服务器负载均衡互通，这样就实现了纯内网+DMZ的结构。可以达到医保的安全要求。

使用负载均衡连接DMZ和纯内网服务器的好处是，就算 DMZ 的主机被攻破了，它也到不了内网。

更极端的一种方法是禁止服务器访问互联网，DMZ主机只是提供互联网服务，作为服务端。通过负载均衡映射端口到防火墙，只允许负载均衡的IP访问互联网，不允许服务器访问互联网。

这样做的好处是服务器被入侵了，对方也出不去。

为什么要禁外网，只有能访问外网就可以从外面控制一切。对普通人来说的 VPN 技术，黑客一条命令就解决了。防止黑客破坏，禁外网是关键。

通外网的电脑，和不通外网的电脑，被黑客攻击的概率是不一样的。只要能通互联网，黑客就可以自由进出。反之，没联网黑客出不去就算在你电脑上现场操作也啥办法也没辙，连不回控制端，你说咋办。

全文完。