网络物理隔离系统是指通过物理隔离技术，在不同的网络安全区域之间建立一个能够实现物理隔离、信息交换和可信控制的系统，以满足不同安全区域的信息或数据交换。
核心目标：高安全内网（比如政府 / 涉密网） 和 低安全外网（互联网），不能同时连通，防止黑客从外网直接打进内网偷数据。
原则：同一时间，内外网不能有物理通路。 但是业务又需要少量数据交换，所以诞生了几种隔离方案：网闸、双硬盘隔离、单向传输、单点隔离。
物理隔离网闸
架构：2+1 架构：外网主机单元、内网主机单元 + 中间固态存储介质（摆渡存储）
网闸里面有一块独立存储板，就像一个 “中间 U 盘”。 网闸内部有可控电子开关，分时切换。同一时刻，开关只连接一侧主机和内部存储，断开另一侧，工作流程叫数据摆渡，分三步：
【外网侧】外网主机写数据 → 写到网闸内部存储（此时网闸只连外网，和内网断开）
断开外网的物理线路
【内网侧】内网主机读网闸存储里的数据（此时网闸只连内网，和外网断开）
👉 关键点： 外网主机是写，内网主机是读。两台主机，一个写、一个读，不是只有读操作！
网闸能阻断网络层攻击（木马、漏洞利用、网络协议攻击），但是无法抵御文件本身携带的恶意内容。数据驱动攻击：恶意代码藏在文件里面（比如带宏病毒的 Word、恶意 PDF），文件摆渡的时候，网闸只是搬运文件，它看不懂文件里面的恶意内容。文件到内网后，在内网电脑打开就触发攻击。
补充：两个主机不会同时建立物理连接。网闸会剥离 TCP/IP 协议，只传递原始文件数据，数据包、网络攻击指令不能穿透网闸。
双硬盘隔离系统
一台电脑，两块独立硬盘：一块硬盘装内网系统，一块硬盘装外网系统。
硬盘 A：内网系统
硬盘 B：外网系统 切换内外网，必须关机重启，在 BIOS 里切换硬盘，同一时间只能用一块硬盘。 缺点：
每次切换都要重启，很麻烦；
一堆隔离电脑，很难统一批量管控，不易统一管理。
单向传输（单向光闸 / 数据二极管）：
单向传输部件由一对独立部件组成：发送部件 + 接收部件，工作模式是单工通信。
数据只能从低安全区 → 高安全区单向流动，不能反向传任何数据。 没有反向通道，就没有反馈信号。 黑客就算控制外网，也无法把命令、木马传回内网。
✅发送部件：仅单一的发送功能→ 只负责往外发出数据，不能接收任何信息
✅接收部件：仅单一的接收功能→ 只负责接收数据，不能回传任何信息
单工、半双工、全双工区分（软考常考）
单工：只允许单向（单向光闸，广播）
半双工：双方都能收发，但同一时间只能一方发（对讲机）
全双工：收发可以同时双向（手机通话、网闸）
单点隔离系统主要保护单独的计算机，防止外部直接攻击和干扰。
单点隔离 = 单机隔离。 就是保护单台独立计算机，把这台机器和外网物理断开。 外网没办法直接访问、攻击这台电脑。