CN111526124B - 一种基于内外网的隔离通信系统及方法 - Google Patents

Abstract

本发明提出了一种基于内外网的隔离通信系统及方法，所述系统包括：第一设备、第二设备、至少一个代理设备以及网闸，第一设备部署在外网，第二设备部署在内网；第一设备与第二设备能够进行网络通信，以实现数据交互；代理设备虚拟出前置代理模块和后置代理模块，前置代理模块通过代理设备自带的物理接口分别与第一设备和网闸进行通信连接，后置代理模块通过代理设备的物理接口分别与第二设备和网闸进行通信连接；网闸用于实现内外网之间的物理隔离。本发明能够节省基于内外网的隔离通信链路中的硬件部署成本；同时，本发明充分利用代理设备自带的物理接口等元器件资源，降低元器件资源的闲置率。

Description

一种基于内外网的隔离通信系统及方法

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于内外网的隔离通信系统及方法。

背景技术

随着计算机网络的发展和互联网的不断推广和应用，目前计算机网络安全已经是全球性的热点问题之一。在各种网络安全技术中，最具代表性的是防火墙技术。然后随着对防火墙技术的深入研究，逐渐的意识到防火墙存在着一定的局限性，无论是防火墙还是UTM等防护系统都无法保证攻击的阻断，入侵检测等监控系统也无法保证入侵行为完全被隔离和捕获，所以，目前最安全的方式就是通过网闸进行隔离。

由于网闸主要实现了内外网的逻辑隔离、物理隔离，在技术特征上，主要表现在网络模型各层（如物理层、链路层）的断开，各个协议（如TCP/IP协议、应用协议）的隔离。所以在网闸的前后侧需要配备前置代理机与后置代理机，以用于分别代理接收/发送内外网的网络数据包。传统的方案，前置代理机与后置代理机分别为独立的设备（如工控机），如果要构建一条基于内外网的隔离通信链路至少需要部署两个工控机和一个网闸，设备部署成本较高；同时，每个工控机上多余的物理网络端口也难以实现最大化利用，端口的利用率不高。

发明内容

基于上述，有必要提供一种基于内外网的隔离通信系统及方法，以实现内外网隔离通信的同时，进一步降低了通信链路的硬件部署成本。

本发明第一方面提出一种基于内外网的隔离通信系统，所述系统包括：第一设备、第二设备、至少一个代理设备以及网闸，所述第一设备部署在外网，所述第二设备部署在内网；

所述第一设备，用于产生对第二设备的第一访问请求，并接收来自第二设备的第一响应数据；

所述第二设备，用于产生对第一设备的第二访问请求，并接收来自第一设备的第二响应数据；

所述代理设备，通过虚拟技术虚拟出至少一个前置代理模块和至少一个后置代理模块，至少一个前置代理模块通过所述代理设备自带的物理接口分别与所述第一设备和所述网闸进行通信连接，至少一个后置代理模块通过所述代理设备自带的物理接口分别与所述第二设备和所述网闸进行通信连接；至少一个前置代理模块用于将所述第一访问请求或所述第二响应数据通过所述网闸发送给至少一个后置代理模块，并将接收到的第一响应数据或第二访问请求返回给所述第一设备；至少一个后置代理模块用于将所述第二访问请求或所述第一响应数据通过所述网闸发送给至少一个前置代理模块，并将接收到的第二响应数据或第一访问请求返回给所述第二设备；

所述网闸，用于实现内外网之间的物理隔离。

进一步的，所述前置代理模块与所述后置代理模块呈一一对应关系。

进一步的，所述代理设备包括m个物理接口，至少一个前置代理模块或至少一个后置代理模块的数量为n个，且m大于等于4n。

进一步的，所述代理设备包括至少八个物理接口；

至少八个物理接口包括第一物理接口、第二物理接口、第三物理接口、第四物理接口、第五物理接口、第六物理接口、第七物理接口、第八物理接口；

至少一个前置代理模块包括第一前置代理模块和第二前置代理模块；

至少一个后置代理模块包括第一后置代理模块和第二后置代理模块；

所述第一前置代理模块通过第一物理接口与第一设备进行通信连接，并通过第二物理接口与网闸进行通信连接；所述第一后置代理模块通过第三物理接口与网闸进行通信连接，并通过第四物理接口与第二设备进行通信连接，以建立第一业务的隔离通信链路；

所述第二前置代理模块通过第五物理接口与第一设备进行通信连接，并通过第六物理接口与网闸进行通信连接；所述第二后置代理模块通过第七物理接口与网闸进行通信连接，并通过第八物理接口与第二设备进行通信连接，以建立第二业务的隔离通信链路。

进一步的，所述代理设备为两个，分别为第一代理设备和第二代理设备；

第一代理设备包括前置代理模块A₁和后置代理模块A₂；

第二代理设备包括前置代理模块B₁和后置代理模块B₂；

所述第一代理设备还包括至少四个物理接口，分别为物理接口A₃、物理接口A₄、物理接口A₅、物理接口A₆；

所述第二代理设备还包括至少四个物理接口，分别为物理接口B₃、物理接口B₄、物理接口B₅、物理接口B₆；

所述第一代理设备的前置代理模块A₁通过物理接口A₃与第一设备进行通信连接，并通过物理接口A₄与网闸进行通信连接；所述第一代理设备的后置代理模块A₂通过物理接口A₅与网闸进行通信连接，并通过物理接口A₆与第二设备进行通信连接，以建立第一业务的隔离通信链路；

所述第二代理设备的前置代理模块B₁通过物理接口B₃与第一设备进行通信连接，并通过物理接口B₄与网闸进行通信连接；所述第二代理设备的后置代理模块B₂通过物理接口B₅与网闸进行通信连接，并通过物理接口B₆与第二设备进行通信连接，以建立第二业务的隔离通信链路。

进一步的，所述物理接口包括光纤接口、网线接口的任意一种或两种。

本发明第二方面还提出一种基于内外网的隔离通信方法，应用于上述的基于内外网的隔离通信系统，所述方法包括：

由第一设备产生向第二设备的第一访问请求；

通过代理设备虚拟的前置代理模块接收所述第一访问请求，并将其通过网闸进行物理隔离后发送给所述代理设备虚拟的后置代理模块；

所述后置代理模块接收所述第一访问请求并将其发送给所述第二设备；

由所述第二设备基于所述第一访问请求产生第一响应数据并将其返回给后置代理模块；

所述后置代理模块接收所述第一响应数据，并将其通过网闸进行物理隔离后发送给前置代理模块；

所述前置代理模块接收到第一响应数据并将其返回给所述第一设备。

进一步的，所述方法还包括：

由第二设备产生向第一设备的第二访问请求；

通过所述代理设备虚拟的后置代理模块接收所述第二访问请求，并将其通过网闸进行物理隔离后发送给所述代理设备虚拟的前置代理模块；

所述前置代理模块接收所述第二访问请求并将其发送给所述第一设备；

由所述第一设备基于所述第二访问请求产生第二响应数据并将其返回给前置代理模块；

所述前置代理模块接收所述第二响应数据，并将其通过网闸进行物理隔离后发送给后置代理模块；

所述后置代理模块接收到第二响应数据并将其返回给所述第二设备。

进一步的，所述代理设备虚拟出至少一个前置代理模块与至少一个后置代理模块，且至少一个前置代理模块与至少一个后置代理模块呈一一对应关系。

进一步的，所述代理设备包括m个物理接口，至少一个前置代理模块或至少一个后置代理模块的数量为n个，且m大于等于4n。

本发明通过在一个代理设备上虚拟出前置代理模块和后置代理模块以替代传统的两个代理设备，节省了部署成本。同时，本发明充分利用单个代理设备自带的物理接口等元器件资源，降低了元器件资源的闲置率，提升单个代理设备中元器件的资源利用率。

本发明的附加方面和优点将在下面的描述部分中变得明显，或通过本发明的实践了解到。

附图说明

本发明的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：

图1示出了本发明一种基于内外网的隔离通信系统的框图；

图2示出了本发明一种基于内外网的隔离通信方法的流程图。

具体实施方式

为了能够更清楚地理解本发明的上述目的、特征和优点，下面结合附图和具体实施方式对本发明进行进一步的详细描述。需要说明的是，在不冲突的情况下，本申请的实施例及实施例中的特征可以相互组合。

在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是，本发明还可以采用其他不同于在此描述的其他方式来实施，因此，本发明的保护范围并不受下面公开的具体实施例的限制。

图1示出了本发明一种基于内外网的隔离通信系统的框图。

如图1所示，本发明第一方面提出一种基于内外网的隔离通信系统，所述系统包括：第一设备、第二设备、至少一个代理设备以及网闸，所述第一设备部署在外网，所述第二设备部署在内网；

所述第一设备，用于产生对第二设备的第一访问请求，并接收来自第二设备的第一响应数据；

所述第二设备，用于产生对第一设备的第二访问请求，并接收来自第一设备的第二响应数据；

所述代理设备，通过虚拟技术虚拟出至少一个前置代理模块和至少一个后置代理模块，至少一个前置代理模块通过所述代理设备自带的物理接口分别与所述第一设备和所述网闸进行通信连接，至少一个后置代理模块通过所述代理设备自带的物理接口分别与所述第二设备和所述网闸进行通信连接；至少一个前置代理模块用于将接收到的所述第一访问请求或所述第二响应数据通过所述网闸发送给至少一个后置代理模块，并将接收到的第一响应数据或第二访问请求返回给所述第一设备；至少一个后置代理模块用于将接收到的所述第二访问请求或所述第一响应数据通过所述网闸发送给至少一个前置代理模块，并将接收到的第二响应数据或第一访问请求返回给所述第二设备；

所述网闸，用于实现内外网之间的物理隔离。

可以理解，所述第一设备和第二设备均可以为客户机或服务器，当访问方式为外网访问内网时，则所述第一设备被视为客户机，所述第二设备被视为服务器；当访问方式为内网访问外网时，则所述第二设备被视为客户机，所述第一设备被视为服务器。

可以理解，所述代理设备为物理设备，优选的，所述代理设备为工控机，但不限于此。本发明通过在一个代理设备上虚拟出前置代理模块和后置代理模块以替代传统的两个代理设备，节省了部署成本。同时，由于代理设备自带有多个物理接口，通常物理接口的数量超过两个，传统的方案，一个代理设备只能利用其中的两个物理接口，其中一个用于与第一设备或第二设备通信连接，另一个用于与网闸通信连接，然而对于剩余的物理接口不作利用，元器件的闲置率较高。本发明在一个代理设备虚拟出前置代理模块和后置代理模块，而每个前置代理模块和每个后置代理模块均会分别占用该代理设备自带的两个物理接口。因此，在现有单个代理设备的物理接口充足的前提下，本发明能够提升单个代理设备中的各个元器件的资源利用率，充分利用单个代理设备自带的所有元器件。

进一步的，所述前置代理模块与所述后置代理模块呈一一对应关系。

在本实施例中，前置代理模块与后置代理模块应配置相同的数量，并确保前置代理模块与后置代理模块呈一一对应关系，如此一来，每一个前置代理模块结合与之相对应的后置代理模块均可以构建独立的通信链路。优选的，前置代理模块与后置代理模块可以分别配置为一个，但不限于此。

进一步的，所述代理设备包括m个物理接口，至少一个前置代理模块或至少一个后置代理模块的数量为n个，且m大于等于4n。

可以理解，每个前置代理模块需要占用代理设备的两个物理接口，一个用于与第一设备建立通信连接，另一个用于与网闸建立通信连接；每个后置代理模块也需要占用代理设备的两个物理接口，一个用于与第二设备建立通信连接，另一个用于与网闸建立通信连接。因此由一个前置代理模块和一个后置代理模块构建的一条通信链路需要占用代理设备4个物理接口。进一步的，如果有n个前置代理模块和n个后置代理模块构建的n条通信链路，则需要占用代理设备4n个物理接口。所以，在具体的应用场景中，可以根据实际通信链路的数量来选择合适规格的代理设备，以使该代理设备的物理接口满足需求。

在具体实施例中，所述代理设备包括至少八个物理接口；

至少八个物理接口包括第一物理接口、第二物理接口、第三物理接口、第四物理接口、第五物理接口、第六物理接口、第七物理接口、第八物理接口；

至少一个前置代理模块包括第一前置代理模块和第二前置代理模块；

至少一个后置代理模块包括第一后置代理模块和第二后置代理模块；

所述第一前置代理模块通过第一物理接口与第一设备进行通信连接，并通过第二物理接口与网闸进行通信连接；所述第一后置代理模块通过第三物理接口与网闸进行通信连接，并通过第四物理接口与第二设备进行通信连接，以建立第一业务的隔离通信链路；

所述第二前置代理模块通过第五物理接口与第一设备进行通信连接，并通过第六物理接口与网闸进行通信连接；所述第二后置代理模块通过第七物理接口与网闸进行通信连接，并通过第八物理接口与第二设备进行通信连接，以建立第二业务的隔离通信链路。

可以理解，本发明可以根据代理设备的规格，如果代理设备上有足够多的物理接口，可以在一个代理设备上虚拟出多个代理模块（如两个前置代理模块和两个后置代理模块）。如此一来，只用一个代理设备就可以实现建立两个、甚至更多个隔离通信链路。

在具体实施例中，所述代理设备为两个，分别为第一代理设备和第二代理设备；

第一代理设备包括前置代理模块A₁和后置代理模块A₂；

第二代理设备包括前置代理模块B₁和后置代理模块B₂；

所述第一代理设备还包括至少四个物理接口，分别为物理接口A₃、物理接口A₄、物理接口A₅、物理接口A₆；

所述第二代理设备还包括至少四个物理接口，分别为物理接口B₃、物理接口B₄、物理接口B₅、物理接口B₆；

所述第一代理设备的前置代理模块A₁通过物理接口A₃与第一设备进行通信连接，并通过物理接口A₄与网闸进行通信连接；所述第一代理设备的后置代理模块A₂通过物理接口A₅与网闸进行通信连接，并通过物理接口A₆与第二设备进行通信连接，以建立第一业务的隔离通信链路；

所述第二代理设备的前置代理模块B₁通过物理接口B₃与第一设备进行通信连接，并通过物理接口B₄与网闸进行通信连接；所述第二代理设备的后置代理模块B₂通过物理接口B₅与网闸进行通信连接，并通过物理接口B₆与第二设备进行通信连接，以建立第二业务的隔离通信链路。

可以理解，根据代理设备的规格，一个代理设备上配置有限个物理接口。如一个代理设备仅有四个端口，可以在一个代理设备上虚拟出两个代理模块（一个前置代理模块和一个后置代理模块），如果需要建立两个业务的隔离通信链路，则需要配置两个代理设备和一个网闸，由第一设备、第一个代理设备虚拟的前置代理模块、网闸、第一个代理设备虚拟的后置代理模块、第二设备共同构建第一业务的隔离通信链路；由第一设备、第二个代理设备虚拟的前置代理模块、网闸、第二个代理设备虚拟的后置代理模块、第二设备共同构建第二业务的隔离通信链路。

具体的，所述第一业务可以为视频访问业务；所述第二业务可以为移动办公业务。但不限于此。

进一步的，所述物理接口包括光纤接口、网线接口的任意一种或两种。但不限于此。

在本发明的实施例中，可以将代理设备中所有种类的物理接口进行充分利用，提高单个代理设备上的物理接口的利用率，减少了物理接口的闲置率，实现了单个代理设备中元器件资源的最大化利用。

图2示出了本发明一种基于内外网的隔离通信方法的流程图。

如图2所示，本发明第二方面还提出一种基于内外网的隔离通信方法，应用于上述的基于内外网的隔离通信系统，所述方法包括：

S201，由第一设备产生向第二设备的第一访问请求；

S202，通过代理设备虚拟的前置代理模块接收所述第一访问请求，并将其通过网闸进行物理隔离后发送给所述代理设备虚拟的后置代理模块；

S203，所述后置代理模块接收所述第一访问请求并将其发送给所述第二设备；

S204，由所述第二设备基于所述第一访问请求产生第一响应数据并将其返回给后置代理模块；

S205，所述后置代理模块接收所述第一响应数据，并将其通过网闸进行物理隔离后发送给前置代理模块；

S206，所述前置代理模块接收到第一响应数据并将其返回给所述第一设备。

上述步骤S201至S206示出了外网访问内网的隔离通信方法。

本发明还包括内网访问外网的隔离通信方法，所述方法包括如下步骤：

由第二设备产生向第一设备的第二访问请求；

通过所述代理设备虚拟的后置代理模块接收所述第二访问请求，并将其通过网闸进行物理隔离后发送给所述代理设备虚拟的前置代理模块；

所述前置代理模块接收所述第二访问请求并将其发送给所述第一设备；

由所述第一设备基于所述第二访问请求产生第二响应数据并将其返回给前置代理模块；

所述前置代理模块接收所述第二响应数据，并将其通过网闸进行物理隔离后发送给后置代理模块；

所述后置代理模块接收到第二响应数据并将其返回给所述第二设备。

进一步的，所述代理设备虚拟出至少一个前置代理模块与至少一个后置代理模块，且至少一个前置代理模块与至少一个后置代理模块呈一一对应关系。

进一步的，所述代理设备包括m个物理接口，至少一个前置代理模块或至少一个后置代理模块的数量为n个，且m大于等于4n。

进一步的，所述代理设备包括至少八个物理接口；

至少八个物理接口包括第一物理接口、第二物理接口、第三物理接口、第四物理接口、第五物理接口、第六物理接口、第七物理接口、第八物理接口；

至少一个前置代理模块包括第一前置代理模块和第二前置代理模块；

至少一个后置代理模块包括第一后置代理模块和第二后置代理模块；

所述第一前置代理模块通过第一物理接口与第一设备进行通信连接，并通过第二物理接口与网闸进行通信连接；所述第一后置代理模块通过第三物理接口与网闸进行通信连接，并通过第四物理接口与第二设备进行通信连接，以建立第一业务的隔离通信链路；

所述第二前置代理模块通过第五物理接口与第一设备进行通信连接，并通过第六物理接口与网闸进行通信连接；所述第二后置代理模块通过第七物理接口与网闸进行通信连接，并通过第八物理接口与第二设备进行通信连接，以建立第二业务的隔离通信链路。

进一步的，所述代理设备为两个，分别为第一代理设备和第二代理设备；

第一代理设备包括前置代理模块A₁和后置代理模块A₂；

第二代理设备包括前置代理模块B₁和后置代理模块B₂；

所述第一代理设备还包括至少四个物理接口，分别为物理接口A₃、物理接口A₄、物理接口A₅、物理接口A₆；

所述第二代理设备还包括至少四个物理接口，分别为物理接口B₃、物理接口B₄、物理接口B₅、物理接口B₆；

所述第一代理设备的前置代理模块A₁通过物理接口A₃与第一设备进行通信连接，并通过物理接口A₄与网闸进行通信连接；所述第一代理设备的后置代理模块A₂通过物理接口A₅与网闸进行通信连接，并通过物理接口A₆与第二设备进行通信连接，以建立第一业务的隔离通信链路；

所述第二代理设备的前置代理模块B₁通过物理接口B₃与第一设备进行通信连接，并通过物理接口B₄与网闸进行通信连接；所述第二代理设备的后置代理模块B₂通过物理接口B₅与网闸进行通信连接，并通过物理接口B₆与第二设备进行通信连接，以建立第二业务的隔离通信链路。

优选的，所述物理接口包括光纤接口、网线接口的任意一种或两种。

本发明通过在一个代理设备上虚拟出前置代理模块和后置代理模块以替代传统的两个代理设备，节省了部署成本。同时，本发明充分利用单个代理设备自带的物理接口等元器件资源，降低了元器件资源的闲置率，提升单个代理设备中元器件的资源利用率。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (6)

1.一种基于内外网的隔离通信系统，其特征在于，所述系统包括：第一设备、第二设备、至少一个代理设备以及网闸，所述第一设备部署在外网，所述第二设备部署在内网；

所述第一设备，用于产生对第二设备的第一访问请求，并接收来自第二设备的第一响应数据；

所述第二设备，用于产生对第一设备的第二访问请求，并接收来自第一设备的第二响应数据；

所述代理设备，通过虚拟技术虚拟出至少一个前置代理模块和至少一个后置代理模块，至少一个前置代理模块通过所述代理设备自带的物理接口分别与所述第一设备和所述网闸进行通信连接，至少一个后置代理模块通过所述代理设备自带的物理接口分别与所述第二设备和所述网闸进行通信连接；至少一个前置代理模块用于将所述第一访问请求或所述第二响应数据通过所述网闸发送给至少一个后置代理模块，并将接收到的第一响应数据或第二访问请求返回给所述第一设备；至少一个后置代理模块用于将所述第二访问请求或所述第一响应数据通过所述网闸发送给至少一个前置代理模块，并将接收到的第二响应数据或第一访问请求返回给所述第二设备；

所述前置代理模块与所述后置代理模块呈一一对应关系；

所述代理设备包括m个物理接口，至少一个前置代理模块或至少一个后置代理模块的数量为n个，且m大于等于4n；

所述网闸，用于实现内外网之间的物理隔离；

在一个代理设备上虚拟出前置代理模块和后置代理模块。

2.根据权利要求1所述的一种基于内外网的隔离通信系统，其特征在于，所述代理设备包括至少八个物理接口；

至少八个物理接口包括第一物理接口、第二物理接口、第三物理接口、第四物理接口、第五物理接口、第六物理接口、第七物理接口、第八物理接口；

至少一个前置代理模块包括第一前置代理模块和第二前置代理模块；

至少一个后置代理模块包括第一后置代理模块和第二后置代理模块；

所述第一前置代理模块通过第一物理接口与第一设备进行通信连接，并通过第二物理接口与网闸进行通信连接；所述第一后置代理模块通过第三物理接口与网闸进行通信连接，并通过第四物理接口与第二设备进行通信连接，以建立第一业务的隔离通信链路；

所述第二前置代理模块通过第五物理接口与第一设备进行通信连接，并通过第六物理接口与网闸进行通信连接；所述第二后置代理模块通过第七物理接口与网闸进行通信连接，并通过第八物理接口与第二设备进行通信连接，以建立第二业务的隔离通信链路。

3.根据权利要求1所述的一种基于内外网的隔离通信系统，其特征在于，所述代理设备为两个，分别为第一代理设备和第二代理设备；

第一代理设备包括前置代理模块A₁和后置代理模块A₂；

第二代理设备包括前置代理模块B₁和后置代理模块B₂；

所述第一代理设备还包括至少四个物理接口，分别为物理接口A₃、物理接口A₄、物理接口A₅、物理接口A₆；

所述第二代理设备还包括至少四个物理接口，分别为物理接口B₃、物理接口B₄、物理接口B₅、物理接口B₆；

所述第一代理设备的前置代理模块A₁通过物理接口A₃与第一设备进行通信连接，并通过物理接口A₄与网闸进行通信连接；所述第一代理设备的后置代理模块A₂通过物理接口A₅与网闸进行通信连接，并通过物理接口A₆与第二设备进行通信连接，以建立第一业务的隔离通信链路；

所述第二代理设备的前置代理模块B₁通过物理接口B₃与第一设备进行通信连接，并通过物理接口B₄与网闸进行通信连接；所述第二代理设备的后置代理模块B₂通过物理接口B₅与网闸进行通信连接，并通过物理接口B₆与第二设备进行通信连接，以建立第二业务的隔离通信链路。

4.根据权利要求1所述的一种基于内外网的隔离通信系统，其特征在于，所述物理接口包括光纤接口、网线接口的任意一种或两种。

5.一种基于内外网的隔离通信方法，应用于上述权利要求1至4任意一项所述的基于内外网的隔离通信系统，其特征在于，所述方法包括：

由第一设备产生向第二设备的第一访问请求；

通过代理设备虚拟的前置代理模块接收所述第一访问请求，并将其通过网闸进行物理隔离后发送给所述代理设备虚拟的后置代理模块；

所述后置代理模块接收所述第一访问请求并将其发送给所述第二设备；

由所述第二设备基于所述第一访问请求产生第一响应数据并将其返回给后置代理模块；

所述后置代理模块接收所述第一响应数据，并将其通过网闸进行物理隔离后发送给前置代理模块；

所述前置代理模块接收到第一响应数据并将其返回给所述第一设备；

所述代理设备虚拟出至少一个前置代理模块与至少一个后置代理模块，且至少一个前置代理模块与至少一个后置代理模块呈一一对应关系；

所述代理设备包括m个物理接口，至少一个前置代理模块或至少一个后置代理模块的数量为n个，且m大于等于4n。

6.根据权利要求5所述的一种基于内外网的隔离通信方法，其特征在于，所述方法还包括：

由第二设备产生向第一设备的第二访问请求；

通过所述代理设备虚拟的后置代理模块接收所述第二访问请求，并将其通过网闸进行物理隔离后发送给所述代理设备虚拟的前置代理模块；

所述前置代理模块接收所述第二访问请求并将其发送给所述第一设备；

由所述第一设备基于所述第二访问请求产生第二响应数据并将其返回给前置代理模块；

所述前置代理模块接收所述第二响应数据，并将其通过网闸进行物理隔离后发送给后置代理模块；

所述后置代理模块接收到第二响应数据并将其返回给所述第二设备。

Images