去年秋天，银行我们给一家城商行做安全评估，内网发现他们的使用办公网里至少有17台机器同时连着外网。不是外网那种偷偷摸摸的连，是排查网线插在交换机上，浏览器开着网页，报告微信电脑版亮着图标。银行其中一台还是内网信贷审批岗的终端，桌面上放着没加密的使用客户流水表。

这事不是外网个例。银行内网和外网之间那道墙，排查早被业务需求凿出了不少洞。报告有些是银行历史遗留——早年支行为了传文件方便，拉过一条ADSL；有些是内网部门自己“变通”的，比如国际业务部要看汇率实时行情，使用IT给的方案走代理太慢，干脆从隔壁公司借了条线。最离谱的一个案例，某农商行的远程授权中心，为了和总行视频会议不卡，把内网交换机的一个端口直接怼到了外网路由器上。

你要问风险在哪，不用讲APT攻击那么远。去年我们复现过一个场景：一台连着外网的柜面终端，浏览器主页被劫持到钓鱼网站，攻击者用浏览器漏洞拿到shell，然后通过这台机器做跳板，扫到了同网段的验印系统。验印系统什么概念？对公业务全靠它比对印鉴。真要被端了，伪造票据能过检。

排查这种事，靠扫描器没用。你得看交换机的MAC地址表，看ARP缓存里有没有跨网段的异常条目。更直接的办法是抓包，镜像核心交换机的流量，过滤DNS请求——内网机器不该往外发公网域名解析。我们有一次就是靠DNS日志揪出来一个支行，20多台机器在查同一个博彩网站。

还有个笨办法但管用：查物理链路。带着寻线仪去弱电间，看配线架上有没有不该亮的端口。有个分理处的主任跟我们说“绝对没有外网”，结果我们在档案柜后面摸到一根灰色网线，顺着走，连着一台4G路由器，上面插着流量卡。主任脸都绿了。

银行内网连外网，根子上是业务和安全的拉扯。科技部说不行，业务部说那客户等着呢。但底线得守住——生产网和办公网必须分，办公网和互联网之间必须有防火墙加代理，而且代理要白名单。别信什么“只连一会儿”，攻击者不需要你连一天，几秒钟足够植入。

我们后来给那家城商行出的方案很简单：所有外网访问收归到统一的虚拟桌面，VDI里不给USB权限，剪贴板单向。支行原来那些私拉的线，全掐了。刚开始骂声一片，说慢、说卡。运行三个月后，科技部自己统计，钓鱼邮件中招率降了七成。没人再提那点卡顿了。

这事说到底，不是技术问题，是管理决心。你容忍一个端口违规，就会有第二个。最后内网就成了筛子。