最近部门老张找我吐槽，说内网电脑的U口被安全部门锁了，想往内网传个资料，得像谍战片里那样用光盘刻录，麻烦得要命。其实这情况不少公司都有，特别是涉密或者数据敏感的部门，物理隔离做得狠，但日常业务还得用啊。
我做IT十几年，最烦的就是这种“一刀切”的禁令。领导要安全，员工要效率，夹在中间的就是我们这帮干活儿的。今天不聊那些高大上的方案，就聊聊我自己搭的一个土办法——用树莓派当“摆渡车”，解决内外网文件交换的问题，成本不到三百块，安全性也说得过去。
先别急着搜树莓派是什么，你就把它当成一个“迷你小电脑”
跟烟盒差不多大，一百多块钱，能跑Linux系统。咱要的是它两个网络接口：一个插内网网线，一个插外网网线。重点来了，它上面有个机制，可以控制数据只从一个方向走，就像单行道，只能出不能进，或者反过来。这样内网的东西出不去，外网的病毒也进不来。
咱们这场景，最需要的是“从外往内”传，对吧？员工在外网查个资料，或者拿U盘（在另一台没被禁用的电脑上）拷个文件，放到树莓派的“外网口”那边，树莓派会把这些文件“吞”进去，然后通过内部程序，推到“内网口”那边，内网的人再从自己的电脑上收一下。全程不经过你内网的正式网络，数据流是在树莓派这个小盒子里“中转”的。
听起来玄乎？我打个比方
你想象一下，单位大楼有堵安保严密的墙，墙两边的人不能直接递东西。你想给墙那边传送文件，就在墙上开个小窗口，窗口两端各站一个自己人（就是树莓派上的两个程序）。墙外人把文件塞进窗口，墙内的人从窗口拿出去。这个窗口，就是咱们的树莓派。为了防止有人想从窗口钻过去（也就是外网攻击内网），咱在窗口中间加了个“单向玻璃”——外头能递进来，里头想递出去，门就锁死。
实际操作起来，没那么科幻
我用的是树莓派4B，装了个开源系统，叫FreedomBox，你也可以用Ubuntu Server。设置过程很简单：
- 树莓派上插两个USB网卡，一个接内网交换机，一个接外网路由器。
- 用一个叫
croc的工具（或syncthing），它能做到设备间传文件。我在内网电脑和树莓派上装好客户端，指定一个文件夹，比如叫“接收区”。 - 外网的人用浏览器访问树莓派的一个网页，直接把文件拖进去。树莓派上的服务会自动把文件挪到只有内网能访问的“接收区”文件夹里。内网同事打开自己电脑上那个同步文件夹，就能拿到文件了。
整个过程，内外网IP是彻底隔离的，树莓派在内网那边的IP，外网这边根本ping不到。文件传完，我还可以设置自动删除，保证不会堆积敏感数据。
你可能会问的几个“坑”，我提前说
- 问：非得用树莓派吗？ 答：不一定，任何一台不用的旧电脑都行，但树莓派省电、安静、不占地方，扔机柜角落就完事。
- 问：大文件传起来慢不慢？ 答：主要看你外网口带宽，一般百兆网卡跑个5G的文件也就几分钟，比刻碟强多了。
- 问：同事不会用怎么办？ 答：你给他一个网址，让他拖拽文件，这么简单再不会就说不过去了。
最后唠叨两句
这方案不是让你绕过安全规定，而是用更聪明的方式满足规定——安全部门要的是“无法直接接入”，你这方案其实是把“U口”换成了“网络仓库”，全程留有日志，审计也方便。
如果你觉得树莓派还得自己折腾，想找更开箱即用、带审批流的商用方案，其实市面上也有不少隔离网闸、光盘摆渡机之类的。但咱IT人嘛，动手鼓捣本身就是乐趣，关键是花了小钱，解决了大麻烦。
当然，这只是一个思路。每个公司网络架构不一样，具体怎么落地还得看现场情况。别急，有人早就把这类问题整理好了，更多方案可访问 itfangan.com，里面都是这种接地气的实战招儿。下次再有人跟你抱怨U口被锁，你就把这招甩给他。