政务内网（党政网）的组成是怎么样的？与外网（互联网）是如何连接的？

政务内网（党政网）的组成是怎么样的？与外网（互联网）是如何连接的？

由于可能是网络安全技术方面没有统一的安全逻辑，所以所见的政务网络、军工单位的网络。大多有两种方式，1）内外物理网+老三样（防火墙、网闸、IPS/IDS），另外一种是VxLAN和防火墙+交换机端口隔离。

总体而言由于基本要求标准GB/T22239-2019的发布，或其它网络安全行业的学术市场化，导致中国网络安全几乎整个行业缺乏对网络安全技术了解。我个人曾经问过很多网络安全的测评员、网络安全工程师、软件工程师、网络工程师。对网络安全基本逻辑原理几乎不了解。

即使是网络安全的设计标准GB/T25070=2019中，也偏离GB17859-1999保护模型标准（几乎是，似乎希望在基本要求标准和保护模型标准之间找个平衡点。

由于保护模型标准、设计标准、基本要求标准缺乏一致，而测评标准GB/T28448-2019是依据基本要求标准制定的。所以各行业、各单位的网络安全防护系统，在没有统一设计逻辑下，千姿百态。

由于没有符合网络安全的基本逻辑原理，所谓的安全等级实际上难以自圆其说。可能GB/T22239-2019的4级远不如自主保护级的防护能力。如：该标准自己所述，无安全区、无五项关键技术。

无安全区，即无边界防护必要。而外置防火墙功能远远弱于计算机操作系统的内置防火墙，所以这类防护似乎无必要性。

实际上全球发达国家的网络安全防护等级是统一按欧美标准设计的，一般会达到比较高的水准。内外部入侵办公系统都是非常困难的，几乎没有成功的可能，即使软件有漏洞和后门。

网络安全技术的可信标准：包含了关键的两个部分。

1）保护对象和范围

这就是所谓的可信基，当然这可信基与中国的可信基线含义不同。因为国外非常明确走形式化逻辑证明安全的网络。而不是可信验证。如：UNIX（USER id标记、Group id标记)，WINDOWS（USER id标记、Safe id标记），安全标记和用户组标记都是同一个标记。整个操作管理系统不参与IT服务器和客户端的数据共享，或用户之间的访问，仅作为独立的第三方管理者，提供用户需要的、算力、存储、信道或文件管理服务。操作系统无法自主强制自己，仅为C2级，但内部搭建的IT系统由于有了第三方强制管理者而可以达到A1级。

换句话，可信计算的基础（基本前提条件）就是应用系统程序和文件必须采用B/S架构或C/S架构。这样便于第三方系统进行安全防护。当然操作系统本身也需要满足提供这些保护功能。

2）保护的安全逻辑原理

这就是大家非常熟悉的名词，安全区、用户组。

但是可能很多人不理解它的高大上，那么换个名词，安全标记保护技术和结构化信道保护技术。

全球所有的网安标准是基于上述的网络安全逻辑原理设计的。

一般国外的网络设计分两类：

办公网：一般采用WINDOWS的用户组技术，因为客户端计算机的操作系统管理权可以由公司统一管理。这样，员工客户端仅仅是普通注册用户账号。其访问行为受客户端操作系统强制访问控制管理。若许可上外网，员工也是需登陆非办公的用户注册账号。系统管理员设置该账号无法访问内网

生厂和业务网络：一般都是采用二层以太网。采用VLAN技术，如：VACL、交叉VLAN。原因是生厂系统的设备操作系统无法统一，每个系统可能有自己的系统管理员。

目前，由于移动办公等问题，办公系统的管理员难以掌握个人PC客户端的操作系统管理权，其安全防护也开始往生产和业务系统靠。更多采用VLAN，即所谓的零信任技术。下图为两个安全区，组合成三个用户访问信道的多级互联强制访问控制架构。

希望国内能够理解网络安全技术不是黑客技术，是采用第三方网络标记系统构造结构化的多级互联网络，达成可以逻辑证明的安全网络。

网络安全技术本质上就是以网络授权保障软件（口令）授权，使得软件系统无惧任何网络攻击。