局域網跨網段共享打印機：雙網卡路由隔離方案保障醫保網安全

場景：電腦 A 連接醫保專用網（高安全要求），電腦 B 連接普通寬帶。需實現打印機共享，且**絕不允許醫保網數據外洩或普通網入侵醫保網**。本文提供物理隔離 + 受控路由方案。

核心方案：電腦 B 雙網卡 + 靜態路由 + 防火牆策略

[醫保專用網] ── 電腦A (IP: 10.x.x.x) ──(USB/網絡)── 打印機
                                    │
                         [共享打印服務]
                                    │
[普通寬帶] ─────── 電腦B (雙網卡)
       NIC1: 192.168.1.x (普通網)
       NIC2: 10.x.x.x    (醫保網段，僅通打印端口)

實施步驟

1. 電腦 B 安裝第二塊網卡，連接醫保網交換機（或通過 VLAN 隔離端口）。
2. 配置 NIC2 IP：設為醫保網段靜態 IP，**不設置網關、不設置 DNS**，僅保留 IP/掩碼，防止默認路由洩露流量。
3. 啟用 Windows 防火牆高級規則：
   • 入站規則：允許 NIC2 端口 445 (SMB)、139, 9100 (打印) 來自電腦 A IP。
   • 出站規則：阻斷 NIC2 除打印服務外的所有出站連接。
   • 阻斷 NIC1 ↔ NIC2 之間的路由轉發（注册表 IPEnableRouter=0）。
4. 電腦 A 共享打印機：僅允許電腦 B NIC2 IP 訪問共享。
5. 電腦 B 添加網絡打印機：地址填電腦 A IP 或共享名，驅動安裝在 B 上。

替代方案：VPN 隔離（若物理雙網卡不可行）

• 電腦 B 安裝 VPN 客戶端接入醫保網，路由表僅推送打印機所在網段/主機路由（Split Tunneling）。
• 醫保網防火牆策略限制 VPN 用戶僅能訪問打印機 IP:端口。
• 優點：無需額外硬件；缺點：依賴 VPN 策略配置正確性，審計要求可能更嚴。

安全核心原則

1. 物理/邏輯隔離：醫保網數據流不經普通網設備。
2. 最小權限：僅開放打印端口 (TCP 9100/445/139)，其餘全阻斷。
3. 無雙向路由：電腦 B 不充當路由器，兩網卡網段互不通達（除打印流量）。
4. 審計日誌：防火牆記錄所有跨網訪問嘗試，定期審核。

此方案滿足等保三級常見物理隔離與最小訪問控制要求，具體實施需配合單位網安管理制度及等保測評指導。