给封闭内网开一个外网口技术上五分钟就能做完防火墙加一条规则放行 443。难的是评审会上那个问题——这条规则到底能漏多少数据出去答不上来。HTTPS 里的内容防火墙看不见DNS 查询能夹带协议字段能藏东西。你能列出放行了哪些目标列不出经这条路能走出去多少种数据。卡住不是因为防护不够而是因为你无法穷举这条路上的通道——穷举不了就论证不了没人敢签字。于是很多单位干脆不开代价是外面十分钟解决的问题里面要一天。这篇讲第三条路换一个结构——让内网终端与互联网之间物理上不存在任何 TCP 连接把跨界通道收敛成数得清的三条逐条给出封堵机制技术堵不住的明确交给制度。背景与适用场景环境假设内网与互联网物理断开全单位只有一台服务器可联网它被划进独立隔离区员工终端在内网不装任何外网软件。这是涉密单位、军工、金融常见的形态——如果你的终端本就能直连公网本文的约束是多余的。这篇讲这套隔离在安全术语里叫什么、通道怎么穷举、每条威胁路径怎么堵、堵完还剩什么以及怎么验证堵住了。这篇不讲容器怎么开、白名单代理怎么配、断网内网怎么离线编译、一台机器能开多少席——那些是运维的事已有另一篇专门写。适合谁读要为封闭网络做隔离方案、且要把它写成能过安全评审的论证文档的架构师、安全负责人。前置知识网络分区、正向代理、Docker。为什么不能直接给内网开一个外网口任何让内网终端直接连外网的做法——哪怕加了防火墙和上网行为管理——都有四条无法根除的风险泄密通道堵不完只要存在应用层连接数据就能经加密隧道、DNS 隧道、协议夹带流出。防火墙看不见加密流量的内容。攻击面直接暴露浏览器漏洞、恶意网页、被投毒的 npm / pip 包会直接在持有内网数据的那台终端上执行。爆炸半径是整个内网一台终端失陷即可横向渗透而封闭内网通常缺乏纵深防御——历史上假设根本连不进来。审计不可行终端本地行为难以完整留痕事后回答不了什么数据、经谁、何时出去了。前三条和第四条性质不同前三条是防护强度问题能靠堆产品缓解第四条是可论证性问题堆产品没用。所以整套设计的目标不是更强的防护而是让暴露面变成有限、可枚举、可逐条论证的集合。先把话说清楚这套东西在安全术语里叫什么一台服务器联网 容器里上网干活 人不出内网不是土办法是多层成熟隔离技术的组合每层都有标准名称层次标准术语含义网络总体物理隔离Air Gap 网络分区Network Segmentation核心区与互联网物理断开联网服务器划入独立隔离区DMZ只开放受控通道上网模式隔离上网Remote Isolation / Isolated Browsing用户不在本机上网而是远程操纵隔离环境里的机器替自己上网会话技术远程浏览器隔离 RBI → 远程工作区隔离Remote Workspace IsolationRBI 只隔离浏览器把范围扩大到整个桌面工作区就是容器化云桌面边界机制协议中断Protocol Break 像素流传输Pixel Streaming安全性的核心内网终端与互联网之间不存在任何直接的 TCP / 应用层连接。跨界的只有云桌面会话——出去只有键鼠回来只有像素数据交换受控数据摆渡安全隔离与信息交换俗称网闸确需跨界的文件不走网络连接走暂存 → 扫描 → 审批 → 单向导入全程留痕工作负载容器隔离 一次性工作区Disposable Workspace每人每任务一个容器互不可见爆炸半径就是容器本身销毁重建即恢复完整名称物理隔离 隔离上网区 容器化远程工作区隔离协议中断 / 像素流摆渡。安全内核一句话人不出内网、数据不出内网、危险不进内网。协议中断为什么能一次解决两个方向的问题传统思路里防外泄和防入侵是两套工程协议中断把两者合并了——内网数据从未进入联网环境无泄可防外网内容从未以可执行形态进内网无毒可入。剩下的例外通道收敛成可枚举、逐容器授权的开关这正是威胁矩阵能逐条封堵的前提。隔离区唯一联网默认它会被攻破内网核心区与互联网物理断开只有图像与输入事件仅白名单域名人工审核后摆渡内网终端内部编译机容器化云桌面工作区白名单出网代理互联网边界上只有三条通道把它们穷举完跨界通道只有三条通道方向承载什么控制手段① 像素流会话内网 ⇄ 隔离区上行只有键鼠事件与登录凭据下行只有画面帧日常上网干活的唯一通道会话层四个开关② 正向摆渡隔离区 → 内网唯一允许文件跨界的路径代码、依赖快照、制品扫描 → 审批 → 单向导入全程留痕②′ 反向摆渡内网 → 隔离区仅限脱敏后的缺陷单、需求文档等非敏材料比正向更高级别的审批③ 白名单代理隔离区 → 互联网容器出网的唯一路径目的地白名单 全量审计无直连外网的默认路由②和②′ 是同一条摆渡通道的两个方向口径上仍是三条像素流、摆渡、白名单出口。穷举成立靠一条物理前提那台联网服务器关闭了内核 IP 转发内外网卡之间没有任何路由或 NAT。没有这条通道只有三条立刻变成假的所有论证一起垮。① 上行键鼠事件 登录凭据① 下行画面帧③ 仅白名单域名全量审计② 代码 / 依赖快照 / 制品②′ 脱敏缺陷单提级审批内网终端浏览器隔离区容器云桌面白名单出网代理互联网模型 API / 开源生态 / 技术资料摆渡扫描 → 审批 → 单向导入内网 Git 与编译机威胁封堵矩阵每条路径怎么堵、还剩什么方法是穷举两个方向的威胁路径逐条给出封堵机制和剩余暴露。技术不可根除的明确交给制度——评审最反感每格都写已封堵方向威胁路径封堵机制剩余暴露内网数据外泄保密性从内网终端向容器粘贴敏感内容关闭进容器方向的剪贴板服务端强制非前端隐藏设计上应为封死——这一格后文实测没通过从内网上传文件到容器关闭上传后端 403 硬校验封死内网数据经像素流流出不存在该路径内网数据从未进入容器像素流方向是容器 → 终端结构性不存在人为对屏抄写 / 拍照泄密技术不可根除 → 桌面水印可溯源 保密制度 行为审计制度覆盖外网威胁进入内网完整性恶意网页 / 浏览器 0day 攻击落点在容器内爆炸半径 一个容器无内网路由、用完即毁、无持久立足点半径受限被投毒的 npm / pip 包供应链攻击依赖只在容器与隔离区侧 CI 执行不进内网成果回内网走摆渡扫描杀毒 依赖审计 密钥扫描经门禁恶意文件经下载进入内网终端默认禁止会话内下载确需带回走摆渡通道封死容器 → 内网横向渗透服务器禁 IP 转发容器网络仅达出口代理内网口仅暴露网关端口容器间互不可见封死隔离区自身失陷纵深容器逃逸攻宿主机非特权运行、最小 capability、定期更新运行时宿主机上没有内网数据可拿纵深防御模型 API key 泄露key 由出口代理 / 网关代持不落容器按容器计量异常熔断最小化隔离区侧 Git 数据被窃隔离区只放非涉密项目涉密项目全程留在内网、用内网本地模型分级隔离最值得单独讲的是第三行——结构性不存在和已封堵是两种完全不同的安全强度。已封堵意味着有一条路你在路上设了卡卡可能配错、被绕过、下次升级后失效。结构性不存在意味着压根没有那条路不需要任何机制去防。评审时把剩余暴露列单独拎出来看那才是真正的风险敞口出现制度覆盖不丢人出现已封堵却拿不出验证命令才丢人——后面会看到这不是假设。四个开关两组独立的 DLP会话层的全部控制就四个开关两组剪贴板进 / 出和文件传输上传 / 下载。先把参照系钉死这是最容易写反的地方。变量名以容器为参照CLIPBOARD_IN/FILES_UPLOAD进容器内网终端 → 容器 内网数据流向联网环境 泄密方向CLIPBOARD_OUT/FILES_DOWNLOAD出容器容器 → 内网终端 外网内容流向内网 引入方向“内”“外以谁为参照不同文档能差一百八十度——以容器为参照的OUT”站在内网视角恰恰是进来。写反的后果不对称你以为关掉的是泄密方向实际关掉的是引入方向。所以别靠读变量名确认要靠验生效值。方向必须独立控制因为风险等级根本不同外网纯文本复制回内网笔记低危高频刚需内网敏感文本粘贴进联网容器是直接泄密。单一的剪贴板开/关会逼你在可用性和泄密之间二选一。拆开才有这张模板表——资料进得来、数据出不去容器模板CLIPBOARD_IN进容器CLIPBOARD_OUT出容器FILES_UPLOADFILES_DOWNLOAD适用与说明上网查询0 禁止1 允许00查资料。允许外网文本复制回内网笔记严禁反向粘贴外网开发人类0 禁止1 允许00开发非涉密项目成果经 Git → 摆渡回内网不走会话下载无人值守容器——00无人用桌面剪贴板通道无意义出网仅白名单代理高保密模式0 禁止0 禁止00全通道关闭任何跨界都走摆渡用于审计最严的岗位四个模板里有三个把上传下载全关了。这不是保守是分工会话内传文件天然缺少扫描和审批那是摆渡的职责。两者不重叠——重叠就意味着有一条绕过审批的路。参考实现开关是怎么落到协议层的开关可用任何底座实现。想要一个能直接对照着验的现成实现可以用 chatopGPLv2镜像公开dockerpull cmdbird/chatop:latestDLP 相关的 compose 片段services:chatop:image:cmdbird/chatop:latestports:-6901:7443environment:LOGIN_USER:adminVNC_PW:pw换成你自己的强密码FILES_PW:*pwCLIPBOARD_IN:false# 进容器泄密方向涉密场景关死CLIPBOARD_OUT:true# 出容器引入方向纯文本低危FILES_UPLOAD:falseFILES_DOWNLOAD:false关键问题这四个开关是真的还是 UI 层的假开关前端把按钮藏了和服务端拒绝执行在威胁矩阵里是天壤之别——前者一个浏览器控制台就能绕过。剪贴板参数确实到了协议层但生效值是另一回事剪贴板方向控制落在 KasmVNC 的协议参数上构建期给启动脚本打补丁把开关翻译成上游的内部变量RUN sed -i /^APP_NAME/a if [ ${CLIPBOARD_OUT:-1} 0 ]; then \ export KASM_SVC_SEND_CUT_TEXT-SendCutText0; \ else export KASM_SVC_SEND_CUT_TEXT-SendCutText1; fi; \ if [ ${CLIPBOARD_IN:-1} 0 ]; then \ export KASM_SVC_ACCEPT_CUT_TEXT-AcceptCutText0; \ else export KASM_SVC_ACCEPT_CUT_TEXT-AcceptCutText1; fi \ /dockerstartup/vnc_startup.sh为什么要打补丁上游脚本只消费、不赋值这两个变量——它把它们拼到 VNC 服务端启动命令上却从没定义谁来设置vncserver$DISPLAY-depth$VNC_COL_DEPTH...$VNCOPTIONS\$KASM_SVC_SEND_CUT_TEXT$KASM_SVC_ACCEPT_CUT_TEXT-SendCutText0的含义是服务端不发送剪贴板内容是 RFB 协议层的行为不是界面上藏个按钮。这就是换 Guacamole / noVNC 也能做到同效但方向控制得自己改协议层的具体含义——你得知道上游把这能力藏在哪个参数里还得确认没人在后面把它改回去。第一步实测参数确实落到了协议层。起一个CLIPBOARD_OUT0的容器读 VNC 服务进程自己的命令行别用docker exec看 env那拿的是 Docker 配置值会误判$tr\0\n/proc/Xvnc-pid/cmdline|grepCutText-SendCutText0# ← 补丁注入的值确实在命令行上-AcceptCutText0到这里不是假开关成立。但参数在命令行上不等于参数生效了——把命令行拉到底同一个参数出现了第二次-SendCutText0...中间几十个参数...-SendCutText1后者是 KasmVNC 的vncserver包装脚本从 YAML 默认配置data_loss_prevention.clipboard.server_to_client.enabled: true派生、追加在末尾的。哪个赢查运行中服务端的生效值$ vncconfig-getSendCutText1# ← 补丁被覆盖剪贴板出容器方向仍然是开的为确认不是误读同一条命令行里另有三对同名重复参数全部后到者胜——既证明覆盖规则也证明vncconfig读的是服务端真值参数前面的值后面的值生效值FrameRate246060BlacklistThreshold055DynamicQualityMax799结论在我实测的这版公开镜像上只设CLIPBOARD_IN/OUT关不掉剪贴板通道——补丁注入的参数位置靠前被上游 YAML 派生的同名参数覆盖了。根因在vncserver这个 perl 包装脚本里一行就能定位$cmd.ConfigToCmd();# 把 YAML 配置派生成 CLI 参数追加在末尾它把 YAML 里的剪贴板默认值翻译成同名参数接在你的参数后面而 Xvnc 后到者胜。所以往命令行前面塞-SendCutText0这个思路本身就是死路——只要真源还是 YAML命令行永远赢不了。读者可以立刻用的临时办法既然 YAML 是真源那就覆盖 YAML。挂载一份改过的进去实测生效值变 0# /etc/kasmvnc/kasmvnc.yaml —— 挂载覆盖后生效值变为 0data_loss_prevention:clipboard:server_to_client:enabled:falseclient_to_server:enabled:false$ vncconfig-getSendCutText# → 0$ vncconfig-getAcceptCutText# → 0但挂文件不适合做产品开关——用户改的是环境变量不该被要求额外挂一个文件。翻 KasmVNC 的 perl 模块能找到它自己的配置覆盖通道ConfigEnvVars.pmKVNC_前缀 配置路径点号换下划线大写且需要 YAML 里server.allow_environment_variables_to_override_config_settings: true。于是根治的写法是让开关改走这条官方通道# 改的是配置真源本身ConfigToCmd() 据此派生的就是唯一那组参数不存在自相覆盖exportKVNC_DATA_LOSS_PREVENTION_CLIPBOARD_SERVER_TO_CLIENT_ENABLEDfalse# 对应 CLIPBOARD_OUT0exportKVNC_DATA_LOSS_PREVENTION_CLIPBOARD_CLIENT_TO_SERVER_ENABLEDfalse# 对应 CLIPBOARD_IN0改完实测三种情形都对得上——注意第三行验证能关还不够还得验证没把开关焊死配置SendCutTextAcceptCutText修复前CLIPBOARD_OUT0 CLIPBOARD_IN01❌1❌修复后同样配置0✅0✅修复后只设CLIPBOARD_OUT00✅1✅ 未受牵连文件传输后端 403 硬校验实测通过文件侧不走 VNC 协议由后端直接校验ifself.path.startswith(/apps/files/list):ifnotFILES_DOWNLOAD:returnself._json(403,{error:download disabled})ifself.path.startswith(/apps/files/upload):ifnotFILES_UPLOAD:returnself._json(403,{error:upload disabled})绕过前端直接打后端FILES_UPLOADfalse、FILES_DOWNLOADfalseconfig : {upload: false, download: false, dir: /home/admin/Desktop} list : {error: download disabled} HTTP 403 download : {error: download disabled} HTTP 403 upload : {error: upload disabled} HTTP 403四个接口全部 403前端藏不藏按钮无关紧要。这一组才能放心写进矩阵的封死格。这件事真正的教训同样是服务端强制一组经得起验、一组没经住差别在于剪贴板那条链路多了一层会回写同名参数的上游默认值。开关的设置值不等于生效值——矩阵里每格封死都欠着一条能在运行中系统上跑出来的验证命令。拿不出来的那格就是空头支票而且最危险你以为它堵上了于是不再看它。这里面有个更一般的规律自己写的校验反而更让人放心委托出去的那个更容易漏。文件侧那两个开关是自己在接口里判的return 403就在眼前剪贴板侧是把意图传给第三方组件中间隔了一层配置派生逻辑——传出去之后发生了什么不实测就不知道。凡是安全开关落在第三方组件上验的必须是组件的终态/proc/pid/cmdline、组件自己的查询命令而不是我传了什么。最后交代状态免得读者按图索骥踩空上面这个缺陷在写作时才被发现修复已提交但公开镜像尚未重建——也就是说此刻docker pull拿到的仍是设了CLIPBOARD_IN0也关不掉的版本。在重建发布前需要该能力的话请用上面的挂载 YAML 临时办法并用vncconfig -get自检。这也正是本文的论点本身别信文档包括这篇说什么在你自己的运行中系统上跑一遍。推广成三条验生效值不验配置值多层配置env → 启动脚本 → 包装脚本 → 上游默认值任何一层都可能覆盖上一层。验证要打到实现层在界面上点一点看按钮没了什么也证明不了。写进验收清单每次升级重跑上游升个版本、改一个默认值这类覆盖就会静默复活。成果怎么进内网摆渡三类对象摆渡承载三类对象代码git bundle、依赖快照含 SBOM、制品与文档。命令在运维篇这里只讲为什么。代码为什么用 git bundle 而不是压缩包bundle 带完整提交历史内网侧可以逐 commit 重放和审查。压缩包只能告诉你最终长这样回答不了这行代码是谁、在哪次提交里加的。审计要的是后者。隔离区侧的产物为什么不作交付物隔离区默认会被攻破在假设已失陷的环境里编译出的二进制没有理由信任。那侧编译只作自测产物不出隔离区进内网的是源码 依赖快照交付物必须由内网可复现构建产生。这也是依赖快照单列一类的原因——没有它断网的内网编译不动。为什么批量而不是实时实时同步等于打通网络连接隔离名存实亡。批量窗口是用时效换取每个文件都被人看过。反向摆渡为什么要更高审批正向运的是不可信内容风险是带毒进来扫描能拦住大半反向运的是内网材料风险是带密出去而技术识别不了语义上的涉密——机器能扫出密钥串扫不出这段业务逻辑描述本身就是秘密。项目分级什么放隔离区什么留内网前面所有机制都有一个前提进入隔离区的材料本身不涉密。它靠分级保证级别项目类型开发位置模型成果回流开放工具类、开源组件、无业务数据的通用模块隔离区容器含无人值守 24×7云端大模型摆渡回内网归档受限业务相关但可脱敏接口定义、UI、通用逻辑隔离区容器仅使用脱敏材料云端大模型摆渡 内网集成联调涉密核心业务逻辑、真实数据、加密与安全模块全程内网仅内网本地模型私有化部署不出内网分级红线判定在任务卡创建时完成、由授权人签认出错方向就高不就低——拿不准就按涉密留在内网。必须诚实指出这是全架构唯一无法用技术兜底的口子。威胁矩阵每格都能论证全靠容器里没有内网数据这个前提而它不是任何开关保证的是人的判定保证的。有人把涉密材料顺手带进容器结构性不存在那格当场失效——不是被绕过是前提没了。分级不是管理装饰是技术论证的地基。残余风险技术根除不了的那部分任何声称零风险的隔离方案都是在骗人。主动交出这张表比被问出来强残余风险为什么技术不能根除管理措施对屏抄写 / 拍照像素最终要呈现给人眼桌面身份水印用户名 时间可溯源保密协议与教育敏感岗位物理管控剪贴板文本引入恶意内容允许出容器方向时外网文本可进内网剪贴板事件全量审计高保密模板直接关闭内网终端禁止执行来路文本联网服务器单点它天然是内外网的交汇点最小化系统、及时补丁、完整性监控、管理全程录屏冷备镜像失陷即整机重装分级误判涉密材料流入隔离区判定发生在人脑技术看不见语义任务卡分级签认制容器内容定期抽查发生即按泄密事件处置并复盘规则审批疲劳摆渡走过场流程可以被敷衍扫描报告作为审批前置没有报告不能批审批质量纳入考核抽样复审第一行是这套方案的理论上限像素最终要呈现给人眼只要人能看见就能拍下来。技术能做的只有让它可溯源水印剩下是制度和审计的事。在这条上吹彻底杜绝的要么没想清楚要么在忽悠。再加一条实测出来、原表里没有的风险——开关静默失效上游默认值可能覆盖你设的开关且不报错。它不像前五条技术不能根除而是能根除但会复发升一次级就可能回来。措施是把生效值验证固化进升级验收清单而不是靠记性。这套东西的价值不在某一条配置而在于结构不存在直接连接、通道穷举成三条、逐条论证、论证不了的交给制度。安全性于是从靠识别和拦截变成结构上不存在那条路——前者永远在追着堵后者才睡得着觉。但结构给你的是可论证性不是已论证。每格封死都得有人真去跑一遍验证命令。我这次只验了四个开关就当场撞见两个和文档写的不一样——配置可以照抄生效值请自己验。