2024年6月10日发(作者：)

试析税务内外网在物理隔离下的数据交换技术及其

安全解决方案

随着信息化的不断深入，各级税务机关均建成了自己的内部网络系统，实现了部门内部

的信息交换和共享。为了进一步提高信息化水平，实现电子政务的要求，税务机关需要与因

特网上的社会用户交换信息，同时政府机关各部门之间也需要进行信息交换和共享，这就涉

及到内外网互通的安全与防范问题，为此，中共中央办公厅在[2002]17号文件中明确规定：

“电子政务网络由政务内网和政务外网构成，两网之间物理隔离，政务外网与互联网之间逻

辑隔离。”本文，我们就如何通过网闸技术解决税务内外网有效物理隔离问题进行以下探讨。

一、税务内外网互通需要进行物理隔离

目前，税务部门的网络系统主要划分为两部分：税务内网信息系统和税务外网信息系统。

在税务内网中运行多个涉及税务内部业务和办公的应用系统，包括电子申报处理系统、证书

申请处理/审核系统、征管系统以及各种数据库系统等，是税务系统的重要业务网络，属于

核心保密级网络，需要进行高安全的防范；同时该网还需要与各业务专网相连，例如商业银

行专网，通过“银税联网”，方便纳税人直接通过银行处理税务相关业务。而税务外网运行涉

及多个税务外部业务，属于普通保密级网络，并通过互联网提供网上报税、便民服务，该网

络是税务业务系统的外延，是对外服务的窗口，包括电子申报受理系统、证书申请WEB服

务器，四小票接受系统等等。

税务系统的对外业务服务必须要通过互联网来完成，例如税务信息公布、企业初始数据

的采集、网上报税等，但对于这些数据的审核往往需要由处于内网中的税务人员来完成。另

外对于税务系统而言，所有初始数据和审批过程都需要备份，存入税务内网的数据库中。因

此，需要建立税务网络安全整体防护体系，提高税务网络的安全保障能力。通常的做法是，

在各网络边界大量部署防火墙、在网络内部部署防病毒、漏洞扫描，以至入侵检测等安全设

备，来防止和减少外界威胁，这些技术都可在一定程度上提供安全保护。然而，目前这些安

全手段，无论使用一种或将所有方法综合使用，都无法做到对网络和信息资源的尽善尽美的

保护。但有一点是肯定的，防御的深度愈深，网络愈安全。也许能够保证一个系统真正安全

的途径只有一个：断开网络。

显然，实行内部网和外部网的物理隔离，可确保内部网不会受到外部公共网络的非法攻

击。同时，实行物理隔离也为涉密计算机及信息系统划定了明确的安全边界，使得网络的可

控性增强，便于内部管理和防范。但由于税务部门实际业务的需要，在保持税务内外网络物

理隔离的同时，应能够在这两个不同安全等级的网络之间进行实时的、适度的、可控的数据

交换和应用服务。具体来说，数据信息交换需要发生在税务内网与税务外网之间，交换的应

用服务主要包含：网上报税系统、网上税票认证系统、证书系统等；在内外网间进行交换的

数据主要包括：文件交换、数据库的数据交换等。纳税人通过Internet访问税务部门的网上

报税系统，正确填写电子申报表后，提交申报数据至税务部门服务器，税务部门的WWW

服务器对这些数据进行处理、储存，并将处理结果反馈给纳税人。此种方式减少了纳税户往

返于税务部门、银行的烦恼，也极大地减轻了税务部门的工作量。

可是，断开网络又如何实现内外网间的信息数据交换呢？这就涉及到物理隔离网闸技

术。

二、采用网闸技术是实现税务内外网有效物理隔离的选择

（一）什么是网闸

网闸技术的需求来自内网与外网数据互通的要求，比如政府的电子政务是对公众服务，

与互联网连通，而内网的政府办公网络，由于保密的要求，内网若与外网连通，则面临来自

公网的各种威胁。安全专家给出的建议是：由于目前的安全技术，无论防火墙、UTM等防

护系统都不能保证攻击的一定阻断，入侵检测等监控系统也不能保证入侵行为完全捕获，所

以最安全的方式就是物理的分开，所以在公安部的技术要求中，要求电子政务的内、外网络

之间“物理隔离”。没有连接，来自外网对内网的攻击就无从谈起。

但是，网络的物理隔离，给数据的通讯带来很多不便，比如工作人员出差只能接入互联

网，要取得内网的文件就没有办法，只能让办公室的人把文件放在外网上。另外，内网办公

系统需要从外网提供的统计数据，由于服务隔离，数据的获取也很困难。因此，随着网络业

务的日益成熟，数据交换的需求日益强烈。

最初的解决办法就是人工的“传递”，用U盘或光盘在内外网之间倒换数据。随着业务

的增多，数据量的扩大，人工的方式显然成为很多业务的瓶颈，在内、外网之间建立一个既

符合“物理隔离”安全要求，又能进行数据交换的设备或解决方案，这成为越来越多的实际需

要，这就促进了物理隔离网闸的诞生。

网闸实现的是个安全的概念，与防火墙等网络安全设备不同的地方是阻断通讯的连接，

只完成数据的交换，没有业务的连接，攻击就没有了载体，如同网络的“物理隔离”。网闸其

实就是模拟人工数据倒换，利用中间数据倒换区，分时地与内外网连接，但一个时刻只与一

个网络连接，保持“物理的分离”，实现数据的倒换。这就象长江上的摆渡船，既没有“物理

的连接”大桥，也实现了货物的交换。

（二）网闸的基本结构

网闸是实现两个相互业务隔离的网络之间的数据交换，通用的网闸模型设计一般分三个

基本部分：内网处理单元，外网处理单元，隔离与交换控制单元。

内网处理单元：包括内网接口单元与内网数据缓冲区。接口部分负责与内网的连接，并

终止内网用户的网络连接，对数据进行病毒检测、防火墙、入侵防护等安全检测后剥离出“纯

数据”，作好交换的准备，也完成来自内网对用户身份的确认，确保数据的安全通道；数据

缓冲区是存放并调度剥离后的数据，负责与隔离交换单元的数据交换。

外网处理单元：与内网处理单元功能相同，但处理的是外网连接。

隔离与交换控制单元：是网闸隔离控制的摆渡控制，控制交换通道的开启与关闭。控制

单元中包含一个数据交换区，就是数据交换中的摆渡船。摆渡开关是电子倒换开关，让数据

交换区与内外网在任意时刻均不同时连接，形成空间间隔GAP，实现物理隔离。

三个单元都要求其软件的操作系统是安全的，也就是采用非通用的操作系统，或改造后

的专用操作系统。一般为Unix BSD或Linux的变种版本，或者其他嵌入式操作系统VxWorks

等，但都要对底层不需要的协议、服务删除，使用的协议优化改造，增加安全特性，同时提

高效率。

（三）网闸的数据交换方式

隔离网闸如同一个高速电子开关在内外网间来回切换，同一时刻内外网间没有连接，处

于物理隔离状态。在此基础上，隔离网闸作为代理从一个网络的网络数据包中抽取出数据，