一、引子：四场考试之间，隔着什么

先描述一个场景，你来品品它的难度。

佛罗里达州奥兰多，一栋不起眼的办公楼里，四场网络安全试验正在同时进行。一号场地，一家厂商的防火墙产品在做非密级评估，工程师喝着咖啡看流量曲线；二号场地，某型舰载系统按机密级（SECRET）复刻的作战网络里，蓝队正在排查异常登录；三号场地的门上多了两道锁，里面按绝密级（TS/SCI）想定引爆的是真正的恶意代码样本；四号场地最神秘，属特殊访问项目（SAP）范畴，连"里面在做试验"这件事本身都是秘密。

四场试验，密级各不相同，密件与公开信息同楼共处，恶意代码与生产数据同池运行——彼此却连一个比特都不许串门。

这个系列的读者对这座楼已经不陌生了。《未战之地》把美国网络靶场十五年的来历与账本捋了一遍，《不发证，不许上战场》拆了这座考场怎么把机器洗干净、怎么排台运营。两篇读完，懂行的朋友心里会留下两个问号：隔开这四场考试的那堵墙，是怎么砌的？更玄的是，这座楼还不是一个孤岛——它跟遍布全美的几十个实验室、试验基地连在一起，串成一座分布式靶场。楼与楼之间隔着上千公里，密级问题会顺着网线爬过去。连通它们的那张网，又是怎么铺的？

墙的名字叫MILS（多级独立安全），网的名字叫JMN（JMETC多级安全网）。这篇就拆这两样。墙的部分要讲透原理，因为不懂MILS，就看不懂JMN为什么长成那个样子；但真正的主角是网——JMN的技术细节。

二、密级的经济学：从轮班制到合租公寓

要理解MILS的革命性，先得看看没有它的时候，世界是怎么运转的。

涉密计算的蛮荒时代，办法笨得可爱：一个密级一套家当。机密级信息用一套机房一套网，绝密级另起一灶，物理隔离，各过各的日子。这套做法学名叫"系统高"（system high）——整套系统按它处理过的最高密级定级。安全是安全了，代价是N个密级就养N套设备、N套布线、N拨运维，成本高到国会老爷们直皱眉。

于是有了第一代改良，叫"周期处理"（periods processing）：一套设备轮班上岗，今天上午接机密网干活，干完把机器里里外外洗一遍——磁盘覆写、内存清零，整个恢复到可信净态——下午再接绝密网。听着挺美，实际难用到令人发指：洗一次机器按小时计，切换一次密级半天没了，用户照样得在好几套网络之间来回跑。这个办法最大的讽刺在于，它把"净化"这件事第一次逼成了核心技术——洗不干净，上一班的数据就会渗进下一班。这个伏笔，上一篇已经还过了：NCRC那套五步净化规程，祖师爷就在这儿。

九十年代虚拟化兴起，国家安全局眼前一亮：既然物理机洗起来慢，那就在一台物理机上开几台虚拟机，每台虚拟机钉死一个密级，虚拟机的"净化"就是销毁重建，几秒钟的事。物理轮班变成了逻辑轮班。可麻烦跟着来了：几台虚拟机同住一个物理机，谁担保它们互不串门？虚拟机监视器几十万行代码，里头随便一个漏洞，隔离就是窗户纸。

这一层窗户纸，正是MILS要捅破的。它要回答的问题是：能不能造一个足够小、足够简单、小到可以用数学证明它没毛病的底层软件，把"隔离"这两个字从"经验上觉得没问题"变成"可验证的命题"？

三、MILS的技术内核：把"隔得开"变成一道数学题

MILS的理论源头，要追溯到1981年约翰·拉什比（John Rushby）提出的"分离内核"（separation kernel）。拉什比的立意极为大胆：造一个软件层，让运行在它上面的各个分区，彼此之间就像运行在物理上完全分开的机器上一样——注意，是"无法区分于物理分离"，这是拿逻辑隔离去冒充物理隔离，赌注下得极大。

凭什么敢这么赌？凭这个内核小到可以被彻底看穿。分离内核的全部职责就四条：划分资源、隔离分区、控制分区间的信息流、限制故障传播。其余一切功能统统扔到内核之外。小到几千行代码的规模，才谈得上"评估"二字——形式化方法、数学证明、逐行评审，才有着力点。

这套思路后来凝固成MILS架构的四条基本策略，每一条都对应一类失败模式：

数据隔离——一个分区碰不到另一个分区的内存、数据和设备，空间上老死不相往来；信息流控制——分区之间只允许按事先配置的信道通信，谁给谁发、能读还是能写，内核初始化时一张"分区流矩阵"钉死，信道之外皆是绝壁；周期处理——共享资源分时复用，一个分区用完清干净再给下一个，连时序侧信道都要防；故障隔离——一个分区炸了，冲击波不许波及邻居。

而评价这套架构的标尺，是四个英文首字母凑成的词：NEAT（本意是"整洁"，起名的幽默感很理工男）——不可绕过（Non-bypassable），分区休想找旁门左道绕开安全检查，包括利用更底层的机制；可评估（Evaluatable），安全功能足够小足够简单，经得起数学验证；始终调用（Always-invoked），每一次访问、每一条消息都要过检，不是进门查一次就放行；防篡改（Tamperproof），安全监视器自身的代码、配置和数据，烂代码和恶意代码都改不动。

这套东西不是纸面学问。国家安全局2007年专门发布了《分离内核保护轮廓》（SKPP）作为认证标准，Green Hills公司的INTEGRITY-178B在2008年成为第一个、也是最后一个拿到SKPP认证的分离内核，通用标准评估保障级做到EAL6+——这个等级意味着半形式化设计加形式化验证，是商用软件能摸到的天花板。后来开源界的seL4走得更远，成为第一个拿数学证明做完功能正确性验证的操作系统内核。路线之争见仁见智，但方向一致：隔离这件事，靠测试测不出来完备性，只能靠证明。

为什么说"最后一个"？这个标准后来的命运颇有戏剧性，是理解整套体系软肋的一把钥匙，咱们留到捅刀子那节再讲。

到这儿，MILS的"道"就清楚了：传统安全靠堆功能，防火墙入侵检测一层层往上摞；MILS反过来做减法，把信任收敛到一个可证明的小内核上，让"隔得开"从工程经验升格为数学命题。这是范式级别的差别——前者是"我检查过，没发现问题"，后者是"结构上就不允许出问题"。

四、理论压进机房：MILS在NCRC的成色

理论漂亮不算本事，压进机房才算。NCRC怎么用MILS，上一篇讲过轮廓：同一套基础设施封装出多个彼此绝缘的试验环境，并行开考。这里只补三处那篇没拆开的细节。

第一处是认证等级的完整写法。2015年的官方概述里，NCR的认证等级写作TS//SI-G/TK/HCS-P//SAR。这串字符外行看是天书，内行看是一张密级菜单：TS是绝密，双斜杠之间是分隔信息（SCI）的类目——SI-G是信号情报的一个分隔，TK（TALENT KEYHOLE）是侦察卫星影像情报的分隔，HCS-P是人力情报来源的分隔——最后那个SAR，是"特殊访问要求"，即特殊访问项目。这一串的意思是：这座靶场拿到的不是"绝密"一个笼统的等级，而是精确到情报来源门类的一张通行证。密级管理做到这个粒度，才有后面"同一栋楼按门类分缸"的本钱。

第二处是楼内的海关。病房之间绝对隔离，可现实业务里，数据总要在密级之间流动——低密级的场景模板要送上高密级去用，高密级的试验结论要降下来写成可发布的报告。这类跨境流动由"跨域解决方案"（CDS）把守：守卫（guard）按策略过滤双向流量，数据二极管（data diode）用物理单向通道保证只进不出。国防部指令DoDI 8540.01规定，凡涉及多密级信息处理的系统，跨域共享必须走国家安全局跨域管理办公室批准的清单内方案；2018年起"提高门槛"（Raise the Bar）计划给所有跨域设备立了更狠的全生命周期标准；2022年白宫《国家安全备忘录第8号》干脆把这个办公室定成了跨域事务的法定总管。注意这里的分寸：高往低走最难——把绝密环境里产生的数据降密发布，等于走一道脱密审查的钢丝，每一份都要人工过审。所以成熟的靶场运营里有个不成文的规矩：能在低密级干的活，绝不拿到高密级干；高密级只做非它不可的事。

第三处是这份谨慎的边界。就算在楼内，有些事MILS也不包办。NCR的设施概览里有个少有人注意的条目：无线测试环境——一个支持到TS/SCI级的涉密无线试验区，移动电话、平板这类消费终端的试验在这里做。无线信号的麻烦在于它不认墙：电磁波要穿过病房的玻璃，密级的边界在这里第一次变成了射频屏蔽的物理工程。这是提醒咱们的第一件事：MILS管的是计算与网络的逻辑世界，一旦试验对象带天线，隔离就得从代码层一路做到电波层。

五、指挥塔内部：RangeC2架构解剖

MILS是哲学，哲学要落地，得有一座天天运转的指挥塔。2012年的USENIX CSET会议上，约翰·霍普金斯大学应用物理实验室的团队把自家NCR方案（代号CMAC，网络测量与分析中心）的靶场级指挥控制系统（RangeC2）写成了论文，连处理流程和数据流都摊开来给全世界看。涉密设施的神经中枢肯这么拆给人看，这在美国靶场史料里几乎是孤例。这篇论文，就是咱们解剖"一室四密"怎么运转的手术台。

第一个设计抉择就反直觉：RangeC2永远按全场最高密级（system high）运行。为什么？因为它要同时指挥不同密级的试验，它自己见过的状态信息横跨所有密级，那就只能按最高标准管束。可它又不能亲自下场管每场试验——于是职责被劈成两半：RangeC2管资源分配和物理连通，高高在上；每场试验另配一个试验指挥控制节点（ExpC2），跟试验同一密级，在病房管执行。楼上的永远不进房间，房间的钥匙各归各。

第二个抉择更有味道：RangeC2对它指挥的试验，故意"视而不见"。论文里写：出于隔离考虑，它对容器内部发生的事情几乎零可见性——它只管"容器"（container），即一场试验分到的全部资源的逻辑打包，建房、改房、拆房，仅此而已；容器里跑的是善意流量还是国家级恶意代码，它不关心也不需要关心。隔离的边界是容器，而不是试验。这个"故意的无知"是教科书级的安全设计：知道得越少，泄密的面就越小。

第三个抉择是物理层的倔强。容器之间的连通，不走VLAN这种软件逻辑隔离，而是上一台一层交换机（L1 Switch，论文里点名用的是OnPath UCS 2908）——这东西本质上是个可远程配置的物理配线架，任意两个端口之间建立的是物理隔离的链路，房与房之间的"墙"是铜线和光路，不是软件规则。软件层出再大的bug，也翻不过物理墙。每台设备还另接一套电源管理单元（PDU）组成的独立控制网，通断电都是物理动作；L1交换机的管理口也走独立网。数一下这套系统的神经：试验数据网、PDU电源网、交换机管理网，三网物理分离，各走各的线。

第四个抉择管跨境：RangeC2与各容器之间，隔着一排跨域守卫（CDG），只放行一组预定义的最小指令集——建房、改房、拆房、洗资源，多一个字节的格式都不认。更狠的是输入方式：设计工具产出的试验配置文件、靶场资源仓库的清单更新，统统刻成DVD物理摆渡进系统——都2026年代了，还在用光盘人肉组网，这不是落伍，是气隙的仪式感：凡能走网的地方都是攻击面，凡必须进的东西都走物理关口。

第五个抉择是分权制衡。RangeC2拆成四个子系统、部署在三台主机上：客户端放在高安全数据中心，人人可及但无持久数据；靶场控制器（RC）蹲在受限控制室，管调度、管逻辑到物理的映射，充当所有外部请求的缓冲垫——它默认所有外部组件都不可信；真正能动靶场状态的只有交换控制器（SC），藏在最深处，认证鉴定的火力全部集中在这一个子系统上。设计原则写得斩钉截铁：没有任何一个子系统能独自策划、发起并执行一项任务。这是银行金库"三人法则"的软件版。

指挥塔内部最值得学的一手，是SC的"两阶段执法"。请求进来，先由事务系统（TS）拿着模板推演"这件事该怎么办"——每种任务对应一个硬编码了安全检查的事务模板，比如改拓扑这个请求，会被拆解成一串有序动作：先验证容器在运行，再逐台验证资源归属，再拆旧链路，再建新链路；预审不通过，事务直接胎死腹中。推演出来的事务落库之后，才轮到动作处理器（AP）按铁律执行：同一容器的事务严格串行，不同容器的随便并行；动作原子化，成败都留痕。这里有两处极细的讲究：预审过的条件，执行时要再验一遍——因为从事务构建到执行之间，靶场状态可能已经变了；还有专门的动作锁，防止两个并发事务把同一台资源分进两个房——那是竞态条件引发的隔离事故。失败了怎么办？事务流矩阵（TFM）早就写好每种结局的剧本，失败自动触发恢复事务，把靶场拖回正常态，该标记"脏"（Set-Resource-Dirty）的资源立刻标记，等着净化流程收编——顺便说，净化在这套体系里也是事务的一种，由专门的净化指挥节点（SanC2）执行，跟其他操作走同样的状态机。最后还有一手兜底：维护事务定期拿SC账本里记的靶场状态，跟L1交换机和PDU上报的实际状态对表——表实不符即告警，因为这意味着有人可能动了手脚。账本、对表、预警，这套玩意儿其实是套会计审计流程。

整套系统，十六个月建成（2010年1月到2011年4月），敏捷开发，架构一次没有推倒重来。论文里有句话我印象极深，说SC"对请求的任务成败毫无兴趣，安全、隔离和状态管理是它唯一的目标"。裁判不操心比赛输赢，只操心规则——一座靶场的指挥塔能写出这样的代码注释，它的隔离承诺才有人敢信。

六、那张把病房缝起来的网：JMN解剖

楼里的隔离靠MILS，楼与楼之间的连通靠什么？这问题比看上去更扎手。美军的武器试验设施遍布全美——红石兵工厂的爱国者和萨德实验室群、帕塔克森特河的P-8巡逻机实验室、埃格林的航空电子网络靶场、达尔格伦的海军作战中心——要搞体系级试验，就得把这些设施连成一张网。可一连网，密级问题就追过来了：一张网本身按什么密级认证？网上跑的数据分属不同密级怎么办？

先交代这张网的户口。JMN不是一个独立项目，它是JMETC（联合任务环境试验能力）的两张网之一。JMETC是试验资源管理中心2006年立的项目，干的活一句话概括：把分布在全美的实装、虚拟、构造（LVC）试验资源连成一体，搞联合分布式试验。它手里有两张网，分工明确。

第一张网叫JSN（JMETC机密网），走机密级国防研究工程网（SDREN）。JSN很好用——2016年底它有45个功能站点、可通达76个实验室设施，还有5个跟其他同密级网络的连接点，由专门的系统控制中心当一级服务台，天天做端到端的网络特征化测试，主动排障。但JSN有两条天花板：一条是密级封顶在SECRET，更高的试验上不去；另一条是它是张"干净网"——按设计就不允许恶意代码上去跑，而网络试验恰恰要引爆真恶意代码。这两条天花板，就是JMN存在的理由。官方定义写得很干脆：JMN是为"高于机密级的分布式试验、网络试验、以及不适合JSN模式的特殊需求"准备的企业级网络方案。

下面拆开JMN的技术档案，逐条过。

第一条，承载。JMN跑在国防研究工程网（DREN）上。DREN是什么来头？它是国防部高性能计算现代化计划铺设的全国高速骨干，专为科研与试验活动服务，跟国防部日常办公网（NIPRNet）、保密办公网（SIPRNet）完全是两摊事。选择DREN做承载，等于在公共科研基础设施上铺一条专用轨道：骨干现成的、带宽现成的，JMN要管的只是在上面怎么分区、怎么过检。顺带说一个旁证：TENA中间件的协议和应用，是正式获批可以在DREN和SDREN两张网上跑的——一张网的身价，看的就是什么东西被批准在它上面跑。

第二条，认证。JMN拿到国防情报局（DIA）的背书，可运行至TS/SCI级。官方文档里的完整表述是：在机密、绝密、绝密/敏感分隔信息、特殊访问项目（S、TS、TS/SCI、SAP/SAR）多个密级上，为网络靶场和实装、虚拟、构造试验资产之间提供闭环连通。注意两个词。"闭环"（closed）——它不通任何业务网，网上只有试验，这直接回答了JSN的第二条天花板：恶意代码可以在这张网上引爆，因为它哪儿也不通。"多个密级"——网上同时跑不同密级的数据流，这正是把楼里的MILS问题搬到了广域：楼里靠分离内核分区，广域网上靠什么？靠的就是下一条。

第三条，管控与分流。JMN由两个网络运营安全中心（NOSC）分守：阿拉巴马州红石兵工厂一个，弗吉尼亚州达姆内克的联合远征基地一个。东西各一，互为犄角。站点接入要走"连接审批流程"（CAP），端口、协议、服务（PPS）逐项报批，过信息保障评估和综合安全评估。分流粒度是这张网最见功力的地方：按协议、按系统、按试验事件、按"利益共同体"（COI）把数据流分开走——同一个站点里，A项目和B项目的试验流互不照面，哪怕他们用的是同一条物理链路。这就好比一栋写字楼里按租户切出彼此绝缘的专梯，而不是大家挤一部电梯。把第四节的分隔类目串起来看就明白了：楼里的病房壁是分离内核，网上的房病房壁是这套按COI分流的策略加加密分区——同一种哲学，两层实现。

第四条，生态位。JMN不是孤网。它能与JIOR（联合信息作战靶场）对等互联——JMN管试验资产的连通，JIOR管全球实兵演练的连通，两张网接缝处对齐；NCR在奥兰多的旗舰设施也接了JMN，官方简报里专门有一页庆祝这件事，标题很直白："NCR现在通JMN了！"NCRC的区域交付点（RSDP），同样经由JMN向用户提供虚拟化环境，官方文件里特意注明：RSDP在地理上分散布设，目的是压低时延——离你最近的交付点接入，背后调用的可能是半个美国之外的算力，但时延不能让用户觉察出来。试验网也是网，时延就是体验，体验就是使用率。

第五条，规模曲线。2017年初，JMN有24个功能站点、可通达42个实验室设施，另有10个在规划；到2020财年预算文件，连接站点已到58个，横跨国防部、工业界和学术界——预算原话特意把三类都点了名，意思是这张网的边界不止于军方。同期JSN是45个站点通达76个实验室。两张网并起来，就是一张覆盖三军实验室、试验基地和防务承包商厂房的"试验互联网"。

还有个小细节值得记一笔：预算文件里提到过一种"JMN微型服务交付点"（Pico SDP），带宽一个G，装在需要接入的站点上。一张国家级多密级专网，落地形态是个盒子——这事儿本身就挺说明问题：专网建设做到最后，拼的不是骨干多粗，而是末端接入能不能做成一个插上就用的标准化盒子。

七、远程接入：连接性让选址无关

JMN的真正杀伤力，在一句听起来像口号的话里："连接性让靶场选址无关紧要"（Connectivity makes range location irrelevant）。这句话被写进NCR的十大经验教训，分量不轻——它背后是实打实的数字：远程支撑过数千名用户、连通过数量众多的逻辑靶场、数百个安全飞地和子网、数千个节点。

品一品它的含义。传统试验的逻辑是"设备去找场地"：要测舰载系统，把设备运到靶场，或者把试验队拉到舰上——差旅、运输、排期，成本的大头根本不在试验本身。JMN的逻辑反过来："让通道去找设备"。武器系统原地不动，通过最近的节点接入，它需要的整个网络世界由靶场在远端演出来，经专网送到它跟前。

细看下来，远程接入其实是三种形态，一种比一种深。

第一种，人到场。用户不搬来奥兰多，坐在自己的站点里远程使用靶场——陆军的指挥所计算环境（CP CE）项目就是这么干的：系统在马里兰州，靶场在佛罗里达州，中间隔着上千公里，试验照做。这是最浅的一层，本质是远程办公的涉密版。NCR自己在这件事上还有段进化史：2015年的官方文档写，当时的远程接入走JIOR，走JMETC只是规划；等到"NCR现在通JMN了"出来，这条路才算修通。从借别人家的路，到有自己的路，中间隔的是一张网的认证周期。

第二种，设备入场。被测的武器系统硬件在环接入——它飞不进机房，但它的总线可以。NCRC的预算文件里有个很硬核的细节：NCR已经把符合MIL-STD-1553总线标准的非IP设备接进了试验环境，其他实体资源也可以经JMN或JIOR远程纳入事件。1553是军用飞机、导弹上的数据总线，说的根本不是TCP/IP的话。把一根飞机总线接进一张多密级试验网，中间要做协议封装、时序保证、电气隔离——这是远程接入的真功夫：不是接电脑，是接武器的神经。

第三种，能力到场。RSDP区域交付点把靶场的虚拟化环境部署到用户身边，背后经JMN调度本部的资源池。用户感觉在用本地靶场，实际调动的是综合体级别的算力。这三种形态合起来，就是"靶场即服务"的涉密版本。

这套玩法在物理武器试验上早有前辈。小直径炸弹（SDB II）项目用JSN把雷神公司在图森的设施和埃格林基地连起来，工程师坐在厂里实时抓取几百公里外试射的导弹遥测——差旅省了，试验延期的损失也小了；海军的TRITON无人机项目更复杂，把JSN、SDREN和诺格公司的广域网缝在一起，JSN专门用来搞试验控制。分布式试验这门手艺，美军在导弹和无人机上练了十几年，网络靶场直接继承了这套家底。

让这一切运转起来的润滑剂，是一套叫TENA（试验训练使能体系结构）的中间件——政府拥有、免费发放，2002年起在国防部靶场圈服役至今，由试验资源管理中心下属的专门办公室持续维护。它干的活是给五花八门的试验系统立一门"普通话"：雷达数据、时空位置信息、坐标换算，全部按标准接口定义交换。几十个站点、上百个实验室、各家自研的系统，之所以能即插即用，靠的就是这门普通话。分布式试验最难的从来不是连通，是互通——管子接上了，还得说得上话。TENA还有个很少被提及的分支：它的跨域可信守卫SimShield，第三版列进了统一跨域服务管理办公室（UCDSMO）的基线清单——连中间件都备好了过海关的通行证，这门"普通话"才算真正能跨境流通。

到这里，整套体系的完整图景就出来了：MILS负责"隔墙"，RangeC2负责"看门"，净化负责"擦痕迹"（上一篇拆过），跨域守卫负责"查护照"，JMN负责"把世界送到任何地方"，TENA负责"世界里的人都说同一种话"。六件套环环相扣，抽掉任何一件，体系就很难成立。

八、照例捅刀子：这套体系的裂缝

按这个系列的规矩，该捅刀子了。经费和产能那两处旧伤，上一篇捅过了，不重复捅。这篇捅四刀新的，刀刀都在技术地基上。

第一刀，捅向MILS自家的认证坟场。第三节说过，SKPP这套分离内核认证标准2007年由国家安全局发布，INTEGRITY-178B拿了第一个认证——然后就没有然后了。2011年6月1日，美国国家信息保障合作组织（NIAP）正式把SKPP"日落"废止，官方理由值得逐字咀嚼：符合这个保护轮廓，本身不足以让人相信国家安全信息在产品所嵌入的更大系统中得到了恰当保护——安全不只在于满足要求，还在于要求被满足之后的持续维护。翻译成大白话：内核再干净，装进脏系统里照样出事；证书发出去没人年审，等于废纸。更冷的事实是：SKPP死后九年，没有任何一家厂商做过证书维护，这期间发现的软硬件漏洞，就那么在已认证产品里躺着。国家安全局从此退出操作系统认证这个行当，只做具体项目整体方案的把关。分离内核的数学地基还在，肯为它付认证费的产业生态没了。这一刀的教训是：高保障技术最大的风险，从来不是被攻破，是被放弃。

第二刀，捅向MILS自己承认防不住的东西：时序侧信道。第三节列四条策略时提过，"周期处理"这条就是专为它设的——共享资源分时复用，用时间换隔离。可现代处理器的共享缓存、共享总线、分支预测器，处处是天然的计时信道：隔壁分区不用碰你的数据，只要数你访问内存的节奏，就能猜出你在干什么。分离内核的证明再完备，证明的是"没有数据流过去"，证明不了"没有信息漏过去"——seL4那套数学证明，自己就明确把时序信道划在证明范围之外。这是写在数学边界里的裂缝，不是工程缺陷。MILS的诚实之处在于它从没假装解决这个问题；MILS的脆弱之处也在于此。

第三刀，捅向海关。跨域摆渡的每一道关口都靠人审——高密级环境里产生的数据要降密发布，逐份过审，周期以周计。靶场越忙，海关越堵；试验数据量年年暴涨，审查的人手可没暴涨。隔离做到了极致，代价是每一次合法的跨境都要排队盖章。这道瓶颈藏得很深，却卡着整个体系的吞吐——病房造得再快，出不了海关，生意还是做不大。

第四刀，捅向闭环的悖论。JMN的价值随接入站点数增长，可闭环的纯洁性随接入站点数衰减——58个站点就是58个边界，每个站点的本地网络、每个站点的人，都是潜在的内向攻击面；CAP和PPS审批越收越紧，接入周期就越拖越长，用户体验就越差，用户就越想绕开它自建通道。网要值钱就得连得多，网要安全就得连得少——这对矛盾没有终解，只有持续的权衡。JMN用双NOSC和逐端口报批把这个矛盾行政化了，可行政化不等于消失。中国的古话怎么说的？水至清则无鱼。闭环至纯，则无试验。

九、五条思考

第一条，隔密即产能。可以尝试在靶场内构建"同一时刻能并行开几场不同密级的试验"。密级并行度直接决定设施利用率，利用率决定单位试验成本。规划靶场时分别建设不用密级的靶场，成本永远降不下来。

第二条，无知即安全。RangeC2对容器内部"故意零可见性"的设计，值得每个架构师抄一遍。运维的直觉是"看得见才管得住"，多密级系统的逻辑反过来：知道得越少，泄得越少，出了事要解释的范围也越小。可见性不是免费的，它是用攻击面换来的。该装瞎的地方，就理直气壮地装瞎。

第三条，物理是最后的诚实。软件定义一切的年代，这套体系里最顽固的东西全是物理的：L1交换机的铜线、PDU的继电器、DVD光盘、数据二极管的单向光路。道理很朴素：软件的规则可以被软件推翻，物理的规则只能被物理推翻。隔离等级越高，越要往物理层退。在所有人都追"软件定义"的风口时，知道哪些东西坚决不能软件化，是更贵的判断力。

第四条，网是资产，不是管线。JSN和JMN最值钱的特性是"持久"——常年在线、常年持证、常年有人值守的认证通道，接入成本因此边际递减。反观很多单位的做法：每次试验现拉专线、现过审批、现做联调，试验结束拆线归零。前者是养路，后者是每次现修便道。一张常设的、认证好的多密级网，本身就是国家级的试验资产，它的价值跟机房里的服务器无关，跟"接通"这个动作的制度化程度有关。

第五条，跨境能力要内建，不要外挂。TENA连跨域守卫都备好了进清单的版本，这个细节的含金量在于：数据跨境流动被当作协议栈的原生能力来设计，而不是事后补的审批流程。密级之间的流动消灭不了，只能管理——清单制准入、单向通道物理保证、高侧向低侧逐份过审，再加上一条运营纪律：能在低密级干的活，绝不上高密级。规矩是死的，生意是活的。

十、结语：墙有多硬，网有多远

一座多密级靶场，说到底是一门在密级之间做买卖的生意：高密级的威胁想定，要低密级可发布的结论来变现；分布全国的试验设施，要一张多密级的网来整合；互不信任的各方，要一套可证明的隔离来共处一室。

MILS把"隔得开"从经验变成命题，JMN把"连得上"从工程变成制度。一个管隔墙，一个管通路；隔墙要隔得可证明，通路要通得可审计。密级之间的这条缝，恰恰是整套体系功力最深的地方。

回看这对组合，有个挺妙的对称：MILS的故事，是把信任收缩到最小——小到几千行代码、小到一张流矩阵、小到一台物理交换机；JMN的故事，是把连通扩展到最大——大到五十八个站点、大到横跨军政学三界、大到一根飞机总线都能远程入网。一个往小里做，一个往大里做，做的却是同一件事：让互不信任的人和互不相容的密级，在同一个体系里安心地做生意。

墙有多硬，决定一座靶场能站多稳；网有多远，决定一座靶场能长多大。两样都拆完了，这个系列下一篇该聊聊：这样的墙和网，咱们自己该怎么造。

声明：本文来自时间之外沉浮事，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。