物理隔离网闸技术概述
一、物理隔离网闸的概念
我国2000年1月1日起实施的《计算机信息系统国际联网保密管理规定》第二章第六条规定，“涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其它公共信息网络相连接，必须实行物理隔离”。
物理隔离网闸最早出现在美国、以色列等国家的军方，用以解决涉密网络与公共网络连接时的安全。我国也有庞大的政府涉密网络和军事涉密网络，但是我国的涉密网络与公共网络，特别是与互联网是无任何关联的独立网络，不存在与互联网的信息交换，也用不着使用物理隔离网闸解决信息安全问题。所以，在电子政务、电子商务之前，物理隔离网闸在我国因无市场需求，产品和技术发展较慢。
近年来，随着我国信息化建设步伐的加快，“电子政务”应运而生，并以前所未有的速度发展。电子政务体现在社会生活的各个方面：工商注册申报、网上报税、网上报关、基金项目申报等等。电子政务与国家和个人的利益密切相关，在我国电子政务系统建设中，外部网络连接着广大民众，内部网络连接着政府公务员桌面办公系统，专网连接着各级政府的信息系统，在外网、内网、专网之间交换信息是基本要求。如何在保证内网和专网资源安全的前提下，实现从民众到政府的网络畅通、资源共享、方便快捷是电子政务系统建设中必须解决的技术问题。一般采取的方法是在内网与外网之间实行防火墙的逻辑隔离，在内网与专网之间实行物理隔离。物理隔离网闸成为电子政务信息系统必须配置的设备，由此开始，物理隔离网闸产品与技术在我国快速兴起，成为我国信息安全产业发展的一个新的增长点。
1.1物理隔离网闸的定义
物理隔离网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。由于物理隔离网闸所连接的两个独立主机系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议“摆渡”，且对固态存储介质只有“读”和“写”两个命令。所以，物理隔离网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接，使“黑客”无法入侵、无法攻击、无法破坏，实现了真正的安全。
1.2物理隔离网闸的信息交换方式
我们知道计算机网络依据物理连接和逻辑连接来实现不同网络之间、不同主机之间、主机与终端之间的信息交换与信息共享。物理隔离网闸既然隔离、阻断了网络的所有连接，实际上就是隔离、阻断了网络的连通。网络被隔离、阻断后，两个独立主机系统之间如何进行信息交换？网络只是信息交换的一种方式，而不是信息交换方式的全部。在互联网时代以前，信息照样进行交换，如数据文件复制（拷贝）、数据摆渡，数据镜像，数据反射等等，物理隔离网闸就是使用数据“摆渡”的方式实现两个网络之间的信息交换。
网络的外部主机系统通过物理隔离网闸与网络的内部主机系统“连接”起来，物理隔离网闸将外部主机的TCP/IP协议全部剥离，将原始数据通过存储介质，以“摆渡”的方式导入到内部主机系统，实现信息的交换。说到“摆渡”，我们会想到在1957年前，长江把我国分为南北两部分，京汉铁路的列车只有通过渡轮“摆渡”到粤汉铁路。京汉铁路的铁轨与粤汉铁路的铁轨始终是隔离、阻断的。渡轮和列车不可能同时连接京汉铁路的铁轨，又连接到粤汉铁路的铁轨。当渡轮和列车连接在京汉铁路时，它必然与粤汉铁路断开，反之依然。与此类似，物理隔离网闸在任意时刻只能与一个网络的主机系统建立非TCP/IP协议的数据连接，即当它与外部网络的主机系统相连接时，它与内部网络的主机系统必须是断开的，反之依然。即保证内、外网络不能同时连接在
物理隔离网闸上。物理隔离网闸的原始数据“摆渡”机制是原始数据通过存储介质的存储（写入）和转发（读出）。
物理隔离网闸在网络的第七层将数据还原为原始数据文件，然后以“摆渡文件”的形式来传递原始数据。任何形式的数据包、信息传输命令和TCP/IP协议都不可能穿透物理隔离网闸。这同透明桥、混杂模式、IP over USB、代理主机、以及通过开关方式来转发信息包有本质的区别。下面以内网与专网之间的物理隔离网闸为例，说明通过物理隔离网闸的信息交换过程。
当内网与专网之间无信息交换时，物理隔离网闸与内网，物理隔离网闸与专网，内网与专网之间是完全断开的，即三者之间不存在物理连接和逻辑连接，如图1所示。
当内网数据需要传输到专网时，物理隔离网闸主动向内网服务器数据交换代理发起非TCP/IP 协议的数据连接请求，并发出“写”命令，将写入开关合上，并把所有的协议剥离，将原始数据写入存储介质。在写入之前，根据不同的应用，还要对数据进行必要的完整性、安全性检查，如病毒和恶意代码检查等。
在此过程中，专网服务器与物理隔离网闸始终处于断开状态，见图2所示。
一旦数据完全写入物理隔离网闸的存储介质，开关立即打开，中断与内网的连接。转而发起对专网的非TCP/IP协议的数据连接请求，当专网服务器收到请求后，发出“读”命令，将物理隔离网闸存储介质内的数据导向专网服务器。专网服务器收到数据后，按TCP/IP协议重新封装接收到的数据，交给应用系统，完成了内网到专网的信息交换。详见图3所示。
至于从专网到内网的信息交换，与上述类似，只是方向相反。
由上不难看出：每一次数据交换，物理隔离网闸都经历了数据的写入、数据读出两个过程；内网与外网（或内网与专网）永不连接；内网和外网（或内网与专网）在同一时刻最多只有一个同物理隔离网闸建立非TCP/IP协议的数据连接。
1.3物理隔离网闸的组成
1)物理隔离网闸的三个部分组成：
?外部处理单元；
?内部处理单元；
?隔离硬件。
2)物理隔离网闸的主要安全模块：
?安全隔离模块：隔离硬件在两个网络上进行切换，通过对硬件上的存储芯片的读写，完成数据的交换。保证两个网络在链路层断开，不与两个网络同时连接，两个网络交换的数据必须是剥离TCP/IP协议后在应用层之上进行。
?内核防护模块：在内、外部处理单元中嵌入安全加固的操作系统，设置基于内核的IDS等。?安全检查模块：数据完整性检查、病毒查杀、恶意攻击代码检查等。
?身份认证模块：支持身份认证、数字签名。
?访问控制模块：实行强制访问控制。
?安全审计模块：建立完善日志系统。
1.4物理隔离网闸主要功能
?阻断网络的直接物理连接：物理隔离网闸在任何时刻都只能与非可信网络和可信网络上之一相连接，而不能同时与两个网络连接；
?阻断网络的逻辑连接：物理隔离网闸不依赖操作系统、不支持TCP/IP协议。两个网络之间的信息交换必须将TCP/IP协议剥离，将原始数据通过P2P的非TCP/IP连接方式，通过存储介质的“写入”与“读出”完成数据转发；
?数据传输机制的不可编程性：物理隔离网闸的数据传输机制具有不可编程的特性；
?安全审查：物理隔离网闸具有安全审查功能，即网络在将原始数据“写入”物理隔离网闸前，
根据需要对原始数据的安全性进行检查，把可能的病毒代码、恶意攻击代码消灭干净等；
?原始数据无危害性：物理隔离网闸转发的原始数据，不具有攻击或对网络安全有害的特性。就像txt文本不会有病毒一样，也不会执行命令等。
?管理和控制功能：建立完善的日志系统。
?根据需要建立数据特征库：在应用初始化阶段，结合应用要求，提取应用数据的特征，形成用户特有的数据特征库，作为运行过程中数据校验的基础。当用户请求时，提取用户的应用数据，抽取数据特征和原始数据特征库比较，符合原始特征库的数据请求进入请求队列，不符合的返回用户，实现对数据的过滤。
?根据需要提供定制安全策略和传输策略的功能：用户可以自行设定数据的传输策略，如：传输单位（基于数据还是基于任务）、传输间隔、传输方向、传输时间、启动时间等。
?支持定时/实时文件交换；支持支持单向/双向文件交换；支持数字签名、内容过滤、病毒检查等功能。
?邮件同步：支持标准的SMTP服务，安全、高可用性的邮件过滤策略，可为每个用户配置不同的邮件交换策略，内外网邮件镜像等。
?支持Web方式；
?数据库同步：双向/单向数据同步，同步内容可定制，多种同步方式，数据可定时更新。
?支持多种数据库：Oracle、Sybase、Infomix、DB2、SQL Server等多种主流数据库。
1.5物理隔离网闸主要指标
?数据交换速率：支持百兆网络和千兆网络的数据交换速率。
?切换时间：使用高速安全隔离电子开关，支持毫秒级的高速切换。
1.6物理隔离网闸应用定位
1)涉密网与非涉密网之间：
2)局域网与互联网之间（内网与外网之间）：
有些局域网络，特别是政府办公网络，涉及政府敏感信息，有时需要与互联网在物理上断开，用物理隔离网闸是一个常用的办法。
3)办公网与业务网之间：
由于办公网络与业务网络的信息敏感程度不同，例如，银行的办公网络和银行业务网络就是很典型的信息敏感程度不同的两类网络。为了提高工作效率，办公网络有时需要与业务网络交换信息。为解决业务网络的安全，比较好的办法就是在办公网与业务网之间使用物理隔离网闸，实现两类网络的物理隔离。
4)电子政务的内网与专网之间：
在电子政务系统建设中要求政府内望与外网之间用逻辑隔离，在政府专网与内网之间用物理隔离。现常用的方法是用物理隔离网闸来实现。
5）业务网与互联网之间：
电子商务网络一边连接着业务网络服务器，一边通过互联网连接着广大民众。为了保障业务网络服务器的安全，在业务网络与互联网之间应实现物理隔离。
二、我国物理隔离网闸的市场现状与发展趋势
2.1我国物理隔离网闸的市场空间
据有关方面报导，我国在经过了３年多的政府上网工程之后，电子政务的网络建设方向今后将有重大变化：外网的建设尤其是门户网站的建设已基本完成，建设热潮已经过去，投资将大大减少；电子政务网络建设的重点将逐步转向网络应用工程的建设上来；政府专网将成为今后电子政务网络建设的焦点，也是政府电子政务投资的主要领域。
政府网络应用工程，包括网上注册审批系统、基金项目的网上申报系统、网上纳税系统、政府采购网上投标系统、网上社会保障服务系统、网上报关系统、出入境管理系统等等。这些工程相对于门户网站的建设，投资更大，效益也更明显。例如北京市政府委2002年全面启动了网上申报审批系统，每个网上申报审批系统的投资在400～2000万与元，“北京首信”公司中标建设的医疗保险子系统先期投资就达３亿元，社区服务系统也达7000万元。
我国政府内网（局域网）仅仅实现了联接到互联网，大量信息资源库建设尚处于起步阶段，内网很多功能尚未实现。中央政府网站和地方政府网站、地方政府各部门网站之间几乎是互不联接，信息不公开、不共享，形成信息“孤岛”，严重制约了全国电子政务业务的发展。目前，我国的政府专网只在少数几个城市（北京、广东南海、山东青岛等）建设，国内学术界对是否有必要建设一个政府专网体系还有争论，但从电子政务发展需要来看，政府专网已经是电子政务建设不可或缺的部分，今后，政府专网的数量将有望大增。据悉，北京政府专网工程已经被列为“十五”计划的四项重点建设工程之一。
近一年来国务院组织了上百位专家对国家电子政务开展多方面的研究，形成了一套电子政务发展框架。据国务院信息办政策组杨学山司长透露，目前政府正在采取三项措施建设电子政务。一是建设两个统一的电子政务网络平台：政府内网——主要承担各级政府的办公业务和其他业务；政府外网——主要处理企业、公众服务业和政府部门之间的业务。二是要建设推进以“金”字工程为主的十二项重点工程。三是加快重要战略性数据库建设，如人口数据库、法人单位数据库、空间地理和自然资源信息库、宏观经济数据库、农业信息库等。
中央和地方都为电子政务建设投入了雄厚的资金，预计我国各级政府将投入上万亿元用于电子政务建设，仅中央政府层面的电子政务建设投资至少将在10亿元以上。
电子政务网一头连接着民众，一头连接着政府，电子政务的内网和专网上存储着许多重要或敏感的数据，运行着重要的应用，电子政务网的特殊运行环境，要求它既要保证高强度的安全，又要通过互联网与民众方便地交换信息。仅靠防火墙，无法防止内部信息泄漏、病毒感染、黑客入侵。业内人士认为，物理隔离网闸（GAP）技术在电子政务建设中的广泛应用是必然的，电子政务网的建设为物理隔离网闸提供了巨大的市场空间。物理隔离网闸在电子政务的信息安全投入中占30%～40%。今后几年中，电子政务建设中的信息安全市场将占信息安全总市场的30%～40%。从2003年起，我国信息安全市场总额均在100亿元以上，其中30%～40%是电子政务的贡献。由此可推算出：在电子政务建设中，物理隔离网闸将有9～16亿元的市场空间。
2.2我国物理隔离网闸的产品现状
我国物理隔离网闸的产品研制是近2年的事，参与研制的单位不多，产品种类也较少，产品的性能指标、质量指标、技术水平处于第一代。截止到2003年5月31日，通过了公安部计算机信息系统安全产品质量检验中心检测，公安部颁发销售许可证的物理隔离网闸产品情况见表1。其中，北京天行网安信息技术有限责任公司研发的天行安全隔离网闸(Topwalk-GAP)于2002年9月通过了国家保密局的技术鉴定。由于物理隔离网闸处于涉密网与非涉密网的网关的特殊位置，而且，又是网络安全的最后一道防线，用户对产品研发人员的背景和研发单位的背景也是选择产品的重要条件。有些有外资背景公司的产品销售不能不受影响。所以，在市场上能站住脚的产品是极为有限的几种。
公安部发放销售许可证的物理隔离网闸产品情况表
单位证书号码有效期产品名称
北京京泰网络科技有限公司XKC3014620030704京泰网络物理隔离系统BHLNET1.0
北京盖特佳信息安全技术有限
公司
XKC3024220040611网闸动态实时网络隔离系统V1.0北京大唐永创科技发展有限公
司
XKC3025320040715网络隔离系统SafeDoor1000
北京天行网安信息技术有限责
任公司
XKC3026820040826安全隔离网闸M-1000型
北京天行网安信息技术有限责
任公司
XKC3026920040826安全隔离网闸WD-1000型
联想控股有限公司XKC3036120050307联想网御安全隔离网闸网御SIS-3000。
中网信息技术有限公司XKC3036320050312中网隔离网闸X-gap V1.0
珠海经济特区伟思有限公司伟思网络安全隔离网闸ViGap
北京国保金泰信息安全技术有XKC20311国保金泰安全隔离与信息交换系统
限公司V1.0
1、引言 随着公司一些局端应用系统的在各地的部署、上线，大家越来越多听说或者接触到网闸的概念，也基本都知道网闸能进行物理隔离的原理，大致就是相当于三台机器，在两个网络之间进行高速切换，以安全、高效的摆渡数据，其原理大致如下： 硬件结构原理图 Copyright Reserved by 天行网安2000-2002 但是，随着一些业务系统对实时性要求的提高，传统网闸的文件搬运已经无法满足大多数应用的需要，所以越来越多的出现所谓的“穿透性的网闸”，简单说就是对于内外网的应用来说，网闸基本可以看做是透明的，从某种角度看，和防火墙差不多，简单描绘如下： 因此局端系统的设计，也经常需要考虑网闸的这种穿透的特性，讨论应用程序针对性设计，那么在讨论过程中，就发现很多人有疑惑：这种穿透性网闸和防火墙在原理上到底有没有区别？能达到一定的安全性吗？否则为什么客户要花钱买这种设备呢？ 注：本文重点不在于描述网闸的物理隔离、摆渡、搬运等内部的原理，这方面读者有兴趣的话，自行找资料深入研究即可； 另注：由于各品牌网闸的穿透原理不尽相同，而且各品牌在对外宣传上都不会突出“穿透”字眼，毕竟没有摆渡方式安全，所以我们接触过的相关网闸技术资料中，即使有穿透，也都是描述如何配置、如何操作的层面，没有相关原理的描述，所以本文的描述是基于我们
某位很有钻研精神的同事在陕西部署系统之际，通过与某品牌网闸工程师的沟通，我们自己汇总出来的，也许与实际并不相符，但这种描述，理论上貌似是可行的，谨供参考。 2、网闸穿透原理 2.1支持几种协议穿透 如上文所述，穿透性网闸，支持好多种网络协议，比如http、ftp等，下面以ftp协议的穿透为例，描述一下其具体的原理： 从图中可以明显看出，网闸对FTP协议的穿透，关键就在于两点：一是利用FTP协议的规范性，就可以模拟FTP服务器端，接受并解析请求，然后再一层层转发该请求直到真实的服务器端；二是通过这种转发，其内部实现可以利用自己的固有的安全协议，对数据进行分片、传递和重组； 2.2支持数据库同步 另外穿透性网闸，一般也都支持数据库同步，其实质并不是真的数据库穿透，也就是说网闸一边的系统，是肯定不能直接访问到另一边的数据库，其同步的原理，大致就是通过相关设置，使得数据库中某张表的数据一旦变更（增、删、改），就能够被网闸检测到，并能将其按一定规则组织成数据包交换到网闸的另一侧，同时网闸另一侧能够根据相关设置，主动去更新目标数据库中对应表的数据，具体示意图如下：
网御SIS-3000安全隔离网闸典型案例“网上营业厅”的安全解决方案
目录
1.前言 Internet作为覆盖面最广、集聚人员最多的虚拟空间，形成了一个巨大的市场。中国互联网络信息中心（CNNIC）在2002年7月的“中国互联网络发展状况统计报告”中指出，目前我国上网用户总数已经达到4580万人，而且一直呈现稳定、快速上升趋势。面对如此众多的上网用户，为商家提供了无限商机。同时，若通过Internet中进行传统业务，将大大节约运行成本。据统计，网上银行一次资金交割的成本只有柜台交割的13%。 面对Internet如此巨大的市场，以及大大降低运行成本的诱惑，各行各业迫切需要利用Internet这种新的运作方式，以适应面临的剧烈竞争。为了迎接WTO的挑战，实现“以客户为中心”的经营理念，各行各业最直接的应用就是建立“网上营业厅”。 但是作为基于Internet的业务，如何防止黑客的攻击和病毒的破坏，如何保障自身的业务网运行的安全就迫在眉睫了。对于一般的防火墙、入侵检测、病毒扫描等等网络安全技术的安全性，在人们心中还有很多疑虑，因为很多网络安全技术都是事后技术，即只有在遭受到黑客攻击或发生了病毒感染之后才作出相应的反应。防火墙技术虽然是一种主动防护的网络安全技术，它的作用是在用户的局域网和不可信的互联网之间提供一道保护屏障，但它自身却常常被黑客攻破，
成为直接威胁用户局域网的跳板。造成这种现象的主要原因是传统的网络安全设备只是基于逻辑的安全检测，不提供基于硬件隔离的安全手段。 所谓“道高一尺，魔高一丈”，面对病毒的泛滥，黑客的横行，我们必须采用更先进的办法来解决这些问题。目前，出现了一种新的网络安全产品——联想安全隔离网闸，该系统的主要功能是在两个独立的网络之间，在物理层的隔离状态下，以应用层的安全检测为保障，提供高安全的信息交流服务。
内外网隔离网络安全解决方案 ●网络现状与安全隐患 目前,大多数企业都安装有隔离卡等设备将企业分为两个网络:内网与外网,内网用作内部得办公自动化,外网用来对外发布信息、获得因特网上得即时消息，以及用电子邮件进行信息交流。为了数据得安全性,内网与外网都通过隔离卡或网闸等方式实现内外网得物理隔离，从一定程度上杜绝了内外网得混合使用造成得信息外泄.如下图所示: 然而，对于内网中移动存储介质得随意使用以及外部终端非法接入内网来泄露内部信息得安全隐患,仍然得不到解决。存在得安全隐患主要有： 1、移动存储介质泄密 ◆外来移动存储介质拷去内网信息; ◆内网移动存储介质相互混用，造成泄密; ◆涉密介质丢失造成泄密 2、终端造成泄密 ◆计算机终端各种端口得随意使用,造成泄密; ◆外部终端非法接入内网泄密； ◆内网终端非法外联外部网络泄密 ●捍卫者解决方案 <1＞终端外设端口管理
1)对于非常用端口： 使用捍卫者UＳＢ安全管理系统，根据具体情况将该终端得不常使用得外设 (如红外、蓝牙、串口、并口等)设置为禁用或就是只读（刻录机，USB端口有该功能），一旦设定则无法从“设备管理器“启用，只能通过捍卫者启用,如下图所示部分终端外设禁用状态，这样可以有效得解决终端外设泄密。 ２)USＢ端口： 内网终端得USB端口建议设置为只读,这样外网使用得存储介质可以向内网拷贝数据,但就是不能从内网终端拷贝出数据。从防病毒考虑,也可以设置为完全禁用，这样只有授权存储介质才能根据授权使用,外部移动存储介质无法使用。 〈2〉移动存储介质授权管理 对内部得移动存储介质进行统一得授权管理,然后在根据需求设定当前UＳＢ端口得状态(即UＳB端口加密),这样外来得移动存储介质在内部终端不可以使用或就是只读,即解决了移动储存介质得随意插拔使用又防止了木马、病毒得传播泛滥。 在授权过程中，首先选择给移动存储介质得使用范围，可以分域授权使用，一对一或一对多得与终端绑定使用（这样移动存储介质在一定得范围内可以任意使用)；然后输入移
物理隔离网闸常见技术问题解答 物理隔离网闸一定要采用专用开关集成电路吗？ 答：不是。在开关的实现中，最直接的办法是采用专用开关集成电路，直接控制总线方式。由于受我国芯片制造业的水平限制，性能和质量很难保证，送到外国生产则必须交出电路设计，又担心安全问题。另外一个问题是专用芯片的批量生产和价格问题，在美国也很难解决这个问题。目前美国的物理隔离网闸厂商，采用专用开关芯片的也不多。 物理隔离网闸是如何利用SCSI来实现开关技术的？ 答：首先，SCSI不是一个通信协议，而是一个用于主机向存储外设读写的协议。通过两个主机连接一个存储设备，如下图： 中间的固态存储介质，不是采用文件系统方式，而是采用块方式（Block）。外部主机可以向固态存储介质发起读和写的请求，内部主机也可以向固态存储介质发起读和写的请求，但固态存储介质每次只受理一个。固态存储介质本身不可以向主机发起连接请求。因此，外部主机和内部主机不会发生连接，只能通过固态存储介质进行摆渡。这就具备了一个简单的开关原理。在实际的技术中要复杂得多，厂商要解决存在的时钟问题，效率问题，同步问题，可靠性问题，阻塞问题等一系列问题，才可能实现基于SCSI的开关技术。由于SCSI连接不存在任何上层协议的编程接口，仅只有读/写的功能，能够很好地阻挡任何上层通信协议包括TCP/IP，并具有很高的可靠性和稳定性。因此，在操作系统核心层中通过SCSI技术实现主机之间的开关设计在国际上非常流行，也是主流趋势。 物理隔离网闸可以采用USB，火线和以太来实现软开关吗？ 答：不可以。USB，火线和以太线，都是通信协议，这在安全性上与防火墙无异。由于USB方式、火线方式和以太方式很容易增加编程接口，如加载TCP/IP，可能受某些软件编程控制，不能有效和彻底地中断TCP/IP和应用服务。基于上述介质实现的通断（有厂商宣称是软开关）不是物理隔离网闸所要求的开关。线路有通断，并不就是物理隔离。（详见物理隔离网闸常见概念问题解答） 为什么SCSI可以，而USB、火线和以太就不行？ 答：要说集成电路开关，大家比较容易接受。而SCSI也是线，USB，火线和以太也是线，为什么SCSI可以，而其他的就不行？原因很简单，SCSI不是通信协议，是文件读写协议，SCSI线和固态存储介质作为一个系统来实现开关原理。USB，火线和以太都是通信协议，两个主机相连，已经不具备物理隔离网闸要求的隔离特性和安全特性。
如何解决内外网隔离与数据安全交换 随着医院信息化的发展，目前国内各医疗机构或多或少都建立了HIS、LIS、PACS、RIS 等内部信息系统。同时随着互联网络的迅猛发展，各医疗机构的业务正不断向院外延伸，比如门户网站、医保系统、网上挂号、还有国家传染病死亡网络直报等，这些系统都是居于公网的应用。而根据国家及省市保密局的相关文件规定，凡是涉密网络必须与公共信息网络实行物理隔离。因此绝大部分医疗保健机构为保证其内部系统的安全性，内部网络是完全与外网隔离的。如何解决既能按照国家有关规定将内外网络物理隔离，而又能实现内外网络的信息系统数据安全交换，使现有的资源得的最大利用呢？ 一、物理隔离网闸 物理隔离网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。由于物理隔离网闸所连接的两个独立主机系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议“摆渡”，且对固态存储介质只有“读”和“写”两个命令。所以，物理隔离网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接，使“黑客”无法入侵、无法攻击、无法破坏，实现了真正的安全。 计算机网络依据物理连接和逻辑连接来实现不同网络之间、不同主机之间、主机与终端之间的信息交换与信息共享。物理隔离网闸既然隔离、阻断了网络的所有连接，实际上就是隔离、阻断了网络的连通。网络被隔离、阻断后，两个独立主机系统则通过物理隔离网闸与网络的内部主机系统“连接”起来，物理隔离网闸将外部主机的TCP/IP协议全部剥离，将原始数据通过存储介质，以“摆渡”的方式导入到内部主机系统，实现信息的交换。
一．需求分析 某公安局网络安全报警处置中心发现网络犯罪、处置网络犯罪虚拟与现实之间架起的一座安全桥梁。报警处置中心可以对党政机关、金融机构、新闻媒体、能源交通、邮电通信、科研院所、大专院校、军工企业等重要领域的计算机信息系统，实施远程实时在线监测。对病毒侵蚀、黑客攻击、破坏系统以及其他网络违法犯罪行为，将实现实时预警、报警、应急响应和现场控制，打击网络犯罪有了一张无形有质的巨网。将24小时不间断接受来自网络的报警。报警者只需在该网站填写一张“报警单”（包括报警人的姓名、联系方法、报警内容等信息），而这些信息对外则完全保密。如何保护内部数据的安全是目前一个很重要的问题。 2．某公安局网络的网络现状 某公安局网络现在的网络拓扑图： 2.1 网络结构说明 某公安局报警处置中心网和公安内网通过交换机组实现了网络的互联。 3、某公安局网络隔离与信息交换建设需求 鉴于现有的网络状况，依据我某公安局信息化建设的规划，此次建设应达到以下目标：
某公安局网闸使用建议方案 2 1、从管理和技术角度上，建立多层安全体系，保证局域网信息和各应用 系统的安全性、保密性。同时在保持报警处置中心网和公安内网物理隔离的同时， 进行适度的、可控的的数据交换。保护某公安局内部网络的安全，实现隔离，防 止外网黑客的攻击。 2、实现报警处置中心网服务器和公安内网服务器之间的数据交换 3、对某公安局各个部门人员文件交换、上网进行身份认证控制，并实现 分组管理。 4、详细记录每个人员工通过网闸文件交换、上互联网及邮件传输日 志，做到有案可查。 4、某公安局网络隔离与信息交换设计拓扑图 根据对某公安局网络建设需求分析，我们提出某公安局网络隔离与信息建设 方案。根据某公安局的网络安全需求，我们在改变原结构情况下做统一平台管理 规划。改造后的总体网络拓扑结构图： 我们把TIPTOP 物理隔离网闸内口联接某公安局报警处置中心网中心交换机， 网闸外口连接某公安局电子政务交换机。通过网闸实现了某公安局报警处置中心与 某公安局公安内网的隔离，但也可以实现一定安全度上的数据交换。通过TIPTOP 网闸，某公安局报警处置中心网和公安内网的服务器能够进行数据交换。TIPTOP 网 闸还实现了对某公安局报警处置中心网和公安内网各部门文件交换身份认证与管 理。
网闸技术构建内外网一体化门户 一、序言 近年来，随着我国信息化建设步伐的加快，“电子政务”应运而生，并以前所未有的速度发展。电子政务体现在社会生活的各个方面：工商注册申报、网上报税、网上报关、基金项目申报等等。电子政务与国家和个人的利益密切相关，在我国电子政务系统建设中，外部网络连接着广大民众，内部网络连接着政府公务员桌面办公系统，专网连接着各级政府的信息系统，在外网、内网、专网之间交换信息是基本要求。如何在保证内网和专网资源安全的前提下，实现从民众到政府的网络畅通、资源共享、方便快捷是电子政务系统建设中必须解决的技术问题。一般采取的方法是在内网与外网之间实行防火墙的逻辑隔离，在内网与专网之间实行物理隔离。本文将介绍大汉网络公司基于网闸技术构建内外网一体化门户的案例。 二、网闸的概述 1、网闸的定义 物理隔离网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。由于物理隔离网闸所连接的两个独立主机系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议“摆渡”，且对固态存储介质只有“读”和“写”两个命令。所以，物理隔离网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接，使“黑客“无法入侵、无法攻击、无法破坏，实现了真正的安全。 2、网闸的组成 网闸模型设计一般分三个基本部分组成： ·内网处理单元：包括内网接口单元与内网数据缓冲区。 ·外网处理单元：与内网处理单元功能相同，但处理的是外网连接。 ·隔离与交换控制控制单元：是网闸隔离控制的摆渡控制，控制交换通道的开启与关闭。 3、网闸的主要功能 ?·阻断网络的直接物理连接和逻辑连接 ?·数据传输机制的不可编程性 ?·安全审查
我们先说说下一代防火墙的原理 网络拓扑： 说明：这是一个典型的防火墙组网，防火墙一般常用的功能有：ACL、VPN、IPS、防病毒、DDoS防护等等。 基本处理流程： 数据包从Internet进入防火墙，防火墙经过以下动作： (1)首先匹配ACL进行包过滤，检查是否符合ACL设置的允许规则。 (2)进行严格的状态化监测，主要是TCP/UDP/ICMP协议。 (3)利用已有的IPS规则对数据包内容进行匹配，检查数据包是否合法。 (4)其他略。 产品定位： 部署位置：网络边界 作用：可以防止一些已知威胁，不能保证绝对的安全。 我们再来看看网闸的原理 网络拓扑：
说明：这是一个典型的网闸使用拓扑，在办公网和业务网之间使用网闸进行隔离交换。 基本处理流程： 数据包在办公网和业务网之间交换，以办公网传送数据到业务网为例 （1）办公网的数据首先到达网闸的外网处理单元，被剥离了IP头部只保留原始数据。（2）通过防病毒、入侵检测模块对原始数据进行检查。 （3）通过预订设置的白名单、过滤规则（文件字、文件名等）等安全策略进行检查。（4）通过摆渡芯片（类似U盘的过程），把原始数据传输到内网，由内网处理单元重新封包发给客户端。 产品定位： 部署位置：网络边界（涉密与非涉密、高安全与低安全区域） 作用：防止泄密，按预设的规则进行摆渡数据交换。
总结： 通过以上原理说明和对比，不难发现两个产品的定位是不同的，不存在网闸和防火墙区别是什么的问题，因为两种产品本身就是不同东西，他们为解决客户不同的问题而生，不存在替代性关系，一个机构的安全既需要防火墙也需要网闸，只有系统性的设计规划网络，才能保
网御SIS-3000 安全隔离网闸典型案例网上营业厅”的安全解决方案
目录 1.前言错误！未定义书签。 2. 需求分析...................................... 错误！未定义书签。 3 网络安全方案设计错误！未定义书签。
1.前言 Internet 作为覆盖面最广、集聚人员最多的虚拟空间，形成了一个巨大的市场。中国互联网络信息中心（CNNIC）在2002年7月的“中国互联网络发展状况统计报告”中指出，目前我国上网用户总数已经达到4580 万人，而且一直呈现稳定、快速上升趋势。面对如此众多的上网用户，为商家提供了无限商机。同时，若通过Internet 中进行传统业务，将大大节约运行成本。据统计，网上银行一次资金交割的成本只有柜台交割的13%。 面对Internet 如此巨大的市场，以及大大降低运行成本的诱惑，各行各业迫切需要利用Internet 这种新的运作方式，以适应面临的剧烈竞争。为了迎接WTO的挑战，实现“以客户为中心”的经营理念，各行各业最直接的应用就是建立“网上营业厅”。 但是作为基于Internet 的业务，如何防止黑客的攻击和病毒的破坏，如何保障自身的业务网运行的安全就迫在眉睫了。对于一般的防火墙、入侵检测、病毒扫描等等网络安全技术的安全性，在人们心中还有很多疑虑，因为很多网络安全技术都是事后技术，即只有在遭受到黑客攻击或发生了病毒感染之后才作出相应的反应。防火墙技术虽然是一种主动防护的网络安全技术，它的作用是在用户的局域网和不可信的互联网之间提供一道保护屏障，但它自身却常常被黑客攻破，成为直接威胁用户局域网的跳板。造成这种现象的主要原因是传统的网络安全设备只是基于逻辑的安全检测，不提供基于硬件隔离的安全手段。 所谓“道高一尺，魔高一丈”，面对病毒的泛滥，黑客的横行，我们必须采用更先进的办法来解决这些问题。目前，出现了一种新的网络安全产品——联想安全隔离网闸，该系统的主要功能是在两个独立的网络之间，在物理层的隔离状态下，以应用层的安全检测为保障，提供高安全的信息交流服务。
近年来，随着网络视频监控在各个行业的广泛部署，如何保证整个系统在网络层面的安全性越来越成为大家关注的重点。尤其是在面临专网视频监控系统（内部）与公网视频监控系统（外部）进行互通时，这个问题显得尤为突出。 平安城市就是一个很典型的例子。在平安城市的建设中，需要构建一个能够覆盖城市重要单位、重点场所、主要路口、主要出入通道、治安卡口、学校、居民小区等各个层面的社会面治安监控系统，整个系统的控制和管理基本上都归口到当地公安部门。而上面提到的这些监控部位，有些是属于公安专网的，比如治安卡口、重点场所，有些是属于外部网络的，比如学校、居民小区、网吧等。为了实现这些监控资源的统一调用和灵活共享，公安专网的视频监控系统与外部的视频监控系统必须要进行网络化互联，而根据保密要求，公安专网与外部网络又必须要进行物理隔离，这样就存在一个无法回避的矛盾。 而且，随着中国电信、中国网通分别通过“全球眼”和“宽视界”两大运营级网络视频监控系统对平安城市建设的介入，将会有越来越多的社会面监控资源承载在公网平台上，安全隔离将成为公安部门通过其专网视频监控系统进行社会面监控资源调用时的主要障碍。 为此，科达将目前在公安、政府、军队等涉密专网中广泛使用的网闸技术应用到了运营级和ViewShot两大网络视频监控产品中，推出了基于网闸的网络视频监控安全隔离解决方案，可以在保证系统物理隔离的情况下，实现内、外网监控资源的灵活调用，从而有效解决上面提到的问题。 网闸原理与应用 网闸（或物理隔离网闸）是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。由于网闸所连接的两个独立主机系统之间，不存在通信的物理连接与逻辑连接，不存在依据协议的信息包转发，只有数据文件的无协议“摆渡”，所以，网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接，可以实现真正的安全。 网闸在网络环境中的位置：
物理隔离网闸 一、物理隔离网闸的概念 我国2000年1月1日起实施的《计算机信息系统国际联网保密管理规定》第二章第六条规定，“涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其它公共信息网络相连接，必须实行物理隔离”。 物理隔离网闸最早出现在美国、以色列等国家的军方，用以解决涉密网络与公共网络连接时的安全。我国也有庞大的政府涉密网络和军事涉密网络，但是我国的涉密网络与公共网络，特别是与互联网是无任何关联的独立网络，不存在与互联网的信息交换，也用不着使用物理隔离网闸解决信息安全问题。所以，在电子政务、电子商务之前，物理隔离网闸在我国因无市场需求，产品和技术发展较慢。 近年来，随着我国信息化建设步伐的加快，“电子政务”应运而生，并以前所未有的速度发展。电子政务体现在社会生活的各个方面：工商注册申报、网上报税、网上报关、基金项目申报等等。电子政务与国家和个人的利益密切相关，在我国电子政务系统建设中，外部网络连接着广大民众，内部网络连接着政府公务员桌面办公系统，专网连接着各级政府的信息系统，在外网、内网、专网之间交换信息是基本要求。如何在保证内网和专网资源安全的前提下，实现从民众到政府的网络畅通、资源共享、方便快捷是电子政务系统建设中必须解决的技术问题。一般采取的方法是在内网与外网之间实行防火墙的逻辑隔离，在内网与专网之间实行物理隔离。物理隔离网闸成为电子政务信息系统必须配置的设备，由此开始，物理隔离网闸产品与技术在我国快速兴起，成为我国信息安全产业发展的一个新的增长点。 1.1 物理隔离网闸的定义 物理隔离网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。由于物理隔离网闸所连接的两个独立主机系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议“摆渡”，且对固态存储介质只有“读”和“写”两个命令。所以，物理隔离网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接，使“黑客”无法入侵、无法攻击、无法破坏，实现了真正的安全。 1.2 物理隔离网闸的信息交换方式 我们知道计算机网络依据物理连接和逻辑连接来实现不同网络之间、不同主机之间、主机与终端之间的信息交换与信息共享。物理隔离网闸既然隔离、阻断了网络的所有连接，实际上就是隔离、阻断了网络的连通。网络被隔离、阻断后，两个独立主机系统之间如何进行信息交换？网络只是信息交换的一种方式，而不是信息交换方式的全部。在互联网时代以前，信息照样进行交换，如数据文件复制（拷贝）、数据摆渡，数据镜像，数据反射等等，物理隔离网闸就是使用数据“摆渡”的方式实现两个网络之间的信息交换。 网络的外部主机系统通过物理隔离网闸与网络的内部主机系统“连接”起来，物理隔离网闸将外部主机的TCP/IP协议全部剥离，将原始数据通过存储介质，以“摆渡”的方式导入到内部主机系统，实现信息的交换。说到“摆渡”，我们会想到在1957年前，长江把我国分为南北两部分，京汉铁路的列车只有通过渡轮“摆渡”到粤汉铁路。京汉铁路的铁轨与粤汉铁路的铁轨始终是隔离、阻断的。渡轮和列车不可能同时连接京汉铁路的铁轨，又连接到粤汉铁路的铁轨。当渡轮和列车连接在京汉铁路时，它必然与粤汉铁路断开，反之依然。与此类似，物理隔离网闸在任意时刻只能与一个网络的主机系统建立非TCP/IP协议的数据连接，即当它与外部网络的主机系统相连接时，它与内部网络的主机系统必须是断开的，反之依然。即保证内、外网络不能同时连接在物理隔离网闸上。物理隔离网闸的原始数据“摆
政府机构内外网数据交换安全解决方案（内外网物理隔离光盘交换系统） 福州新华时代信息技术有限公司
2017-3 一、研发背景 国家保密局2000年1月1日起颁布实施的《计算机信息系统国际互联网保密管理规定》对国家机要部门使用互联网规定如下：“涉及国家秘密的计算机信息系统，不得直接或间接的与国际互联网或其他公共信息网络链接，必须实行“物理隔离”，所谓“物理隔离”是指企业内部局域网如果在任何时间都不存在与互联网直接的物理连接，则企业的网络安全才能得到真正的保护。 但随着INTERNET的迅速发展，各政府和企事业单位利用互联网开展工作已成为不可逆转的趋势，各个机构都需要在内网和互联网之间进行大量的信息交换，以提升效率。从而在网络安全和效率之间产生了巨大的矛盾，而且矛盾日渐扩大化。 网络隔离的目的是为了保护内部网络的安全,而网络互连的目的是方便高效的进行数据交换。在此背景下，我们采用十五年技术积累的核心技术开发成功了完全自动化的双网隔离数据光盘交换系统，面向高安全数据传输场合，实现网络完全隔离情况下的数据自动交换，
二、系统简介 （一）现行数据交换的模式及问题 “内网”与互联网实现严格的物理隔离后，内外网数据交换成为突出问题，影响了应用系统的有效部署， 1 、完全物理隔离。采用人工刻盘，将外部（或内部）网络的数据刻录到光盘，再由人工经过安全处理后将数据加载到内部（或外部）网络上。这种方式虽实现了外部与内部网络的物理隔离，但存在资源消耗大、效率低下和不易管理的弊端。 2 、采用逻辑隔离的方式。即互联网与内部网络之间采用单向导入设备连接，如网闸或光闸，虽然效率高，但不属于完全的物理隔离，不符合现行国家有关内外网数据安全交换的要求。 鉴于上述两种数据交换方式存在的弊端，因此提出以“物理隔离”为准则，建立以智能、可控、安全为基础的“内外网数据安全摆渡系统”具有十分重要的意义。
一、什么是网闸 网闸技术的需求来自内网与外网数据互通的要求，比如政府的电子政务是对公众服务，与互联网连通，而内网的政府办公网络，由于保密的要求，内网若与网连通，则面临来自公网的各种威胁。安全专家给出的建议是：由于目前的安全技术，无论防火墙、UTM等防护系统都不能保证攻击的一定阻断，入侵检测等监控系统也不能保证入侵行为完全捕获，所以最安全的方式就是物理的分开，所以在公安部的技术要求中，要求电子政务的内、外网络之间“物理隔离”。没有连接，来自外网对内网的攻击就无从谈起。 但是，网络的物理隔离，给数据的通讯带来很多不便，比如工作人员出差只能接入互联网，要取得内网的文件就没有办法，只能让办公室的人把文件放在外网上。另外，内网办公系统需要从外网提供的统计数据，由于服务隔离，数据的获取也很困难。因此，随着网络业务的日益成熟，数据交换的需求提议强烈。 最初的解决办法就是人工的“传递”，用U盘或光盘在内外网之间倒换数据。随着业务的增多，数据量的扩大，人工的方式显然成为很多业务的瓶颈，在内、外网之间建立一个既符合“物理隔离”安全要求，又能进行数据交换的设备或解决方案，这就诞生了网闸技术。 网闸实现的是个安全的概念，与防火墙等网络安全设备不同的地方是他阻断通讯的连接，只完成数据的交换，没有业务的连接，攻击就没有了载体，如同网络的“物理隔离”。网闸其实就是模拟人工数据倒换，利用中间数据倒换区，分时地与内外网连接，但一个时刻只与一个网络连接，保持“物理的分离”，实现数据的倒换。这就象从前长江上的摆渡船，既没有“物理的连接”大桥，也实现了货物的交换。 其实，除了电子政务内外网的交换需求，其他各种涉密网络与公用网络的互联都有这种需求，比如：广电的编播网和互联网、电力的控制网与办公网、海关的运行网和报关查询网络、银行的业务网与网上银行网络等等。 二、网闸的实现原理 网闸是实现两个相互业务隔离的网络之间的数据交换，通用的网闸模型设计一般分三个基本部分： 内网处理单元 外网处理单元 隔离与交换控制控制单元 三个单元都要求其软件的操作系统是安全的，也就是采用非通用的操作系统，或改造后的专用操作系统。一般为Unix BSD或Linux 的变种版本，或者其他是嵌入式操作系统VxWorks等，但都要对底层不需要的协议、服务删除，使用的协议优化改造，增加安全特性，同时提高效率。
政府机构内外网数据交换安全解决方案 (内外网物理隔离光盘交换系统） 福州新华时代信息技术有限公司 201７-３ 一、研发背景 国家保密局２０00年1月1日起颁布实施得《计算机信息系统国际互联网保密管理规定》对国家机要部门使用互联网规定如下:“涉及国家秘密得计算机信息系统,不得直接或间接得与国际互联网或其她公共信息网络链接，必须实行“物理隔离"，所谓“物理隔离”就是指企业内部局域网如果在任何时间都不存在与互联网直接得物理连接,则企业得网络安全才能得到真正得保护. 但随着ＩNTERNＥT得迅速发展，各政府与企事业单位利用互联网开展工作已成为不可逆转得趋势，各个机构都需要在内网与互联网之间进行大量得信息交换，以提升效率.从而在网络安全与效率之间产生了巨大得矛盾,而且矛盾日渐扩大化。
网络隔离得目得就是为了保护内部网络得安全,而网络互连得目得就是方便高效得进行数据交换.在此背景下，我们采用十五年技术积累得核心技术开发成功了完全自动化得双网隔离数据光盘交换系统，面向高安全数据传输场合，实现网络完全隔离情况下得数据自动交换， 二、系统简介 （一）现行数据交换得模式及问题 “内网”与互联网实现严格得物理隔离后,内外网数据交换成为突出问题，影响了应用系统得有效部署， 1 、完全物理隔离。采用人工刻盘，将外部（或内部）网络得数据刻录到光盘,再由人工经过安全处理后将数据加载到内部(或外部）网络上.这种方式虽实现了外部与内部网络得物理隔离，但存在资源消耗大、效率低下与不易管理得弊端. 2 、采用逻辑隔离得方式.即互联网与内部网络之间采用单向导入设备连接,如网闸或光闸,虽然效率高，但不属于完全得物理隔离,不符合现行国家有关内外网数据安全交换得要求。 鉴于上述两种数据交换方式存在得弊端,因此提出以“物理隔离"为准则，建立以智能、可控、安全为基础得“内外网数据安全摆渡系统”具有十分重要得意义。 (二)系统开发思路与架构 １、满足安全管理需求 “美佳达双网物理隔离光盘信息交换系统”基于机电一体化技术,利用机械手模拟人手工操作光盘进行数据自动迁移，实现外部网络与内部网络间得物理隔离,为网间交换数据提供一种自动化得、安全可靠得解决方案。该方案不仅避免以往人工操作带来得不可控因素,同时弥补了当前网闸、光闸现存得技术缺陷。
如今，网络隔离技术已经得到越来越多用户的重视，重要的网络和部门均开始采用隔离网闸产品来保护内部网络和关键点的基础设施。目前世界上主要有三类隔离网闸技术，即SCSI技术，双端口RAM技术和物理单向传输技术。SCSI是典型的拷盘交换技术，双端口RAM也是模拟拷盘技术，物理单向传输技术则是二极管单向技术。 随着互联网上黑客病毒泛滥、信息恐怖、计算机犯罪等威胁日益严重，防火墙的攻破率不断上升，在政府、军队、企业等领域，由于核心部门的信息安全关系着国家安全、社会稳定，因此迫切需要比传统产品更为可靠的技术防护措施。物理隔离网闸最早出现在美国、以色列等国家的军方，用以解决涉密网络与公共网络连接时的安全。在电子政务建设中，我们会遇到安全域的问题，安全域是以信息涉密程度划分的网络空间。涉密域就是涉及国家秘密的网络空间。非涉密域就是不涉及国家的秘密，但是涉及到本单位，本部门或者本系统的工作秘密的网络空间。公共服务域是指不涉及国家秘密也不涉及工作秘密，是一个向互联网络完全开放的公共信息交换空间。国家有关文件就严格规定，政务的内网和政务的外网要实行严格的物理隔离。政务的外网和互联网络要实行逻辑隔离，按照安全域的划分，政府的内网就是涉密域，政府的外网就是非涉密域，互联网就是公共服务域。 国家有关研究机构已经研究了安全网闸技术，以后根据需求，还会有更好的网闸技术出现。通过安全网闸，把内网和外网联系起来;因此网闸成为电子政务信息系统必须配置的设备，由此开始，网闸产品与技术在我国快速兴起，成为我国信息安全产业发展的一个新的增长点。
网闸的概念 网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。由于物理隔离网闸所连接的两个独立主机系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议"摆渡"，且对固态存储介质只有"读"和"写"两个命令。所以，物理隔离网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接，使"黑客"无法入侵、无法攻击、无法破坏，实现了真正的安全。 安全隔离与信息交换系统，即网闸，是新一代高安全度的企业级信息安全防护设备，它依托安全隔离技术为信息网络提供了更高层次的安全防护能力，不仅使得信息网络的抗攻击能力大大增强，而且有效地防范了信息外泄事件的发生。 第一代网闸的技术原理是利用单刀双掷开关使得内外网的处理单元分时存取共享存储设备来完成数据交换的，实现了在空气缝隙隔离(Air Gap)情况下的数据交换，安全原理是通过应用层数据提取与安全审查达到杜绝基于协议层的攻击和增强应用层安全的效果。 第二代网闸正是在吸取了第一代网闸优点的基础上，创造性地利用全新理念的专用交换通道PET(Private Exchange Tunnel)技术，在不降低安全性的前提下能够完成内外
网闸常见问题解答 问题： 网闸的工作原理是什么？ 解答： 网闸的基本原理是：切断网络之间的通用协议连接；将数据包进行分解或重组为静态数据；对静态数据进行安全审查，包括网络协议检查和代码扫描等；确认后的安全数据流入内部单元；内部用户通过严格的身份认证机制获取所需数据。 问题： 什么是网闸？ 解答： 网闸是在两个不同安全域之间，通过协议转换的手段，以信息摆渡的方式实现数据交换，且只有被系统明确要求传输的信息才可以通过。其信息流一般为通用应用服务。注：网闸的“闸”字取自于船闸的意思，在信息摆渡的过程中内外网（上下游）从未发生物理连接，所以网闸产品必须要有至少两套主机和一个物理隔离部件才可完成物理隔离任务。现在市场上出现的的单主机网闸或单主机中有两个及多个处理引擎的过滤产品不是真正的网闸产品，不符合物理隔离标准。其只是一个包过滤的安全产品，类似防火墙。注：单主机网闸多以单向网闸来掩人耳目。 问题： 隔离网闸是什么设备？ 解答： 隔离网闸是一种由专用硬件在电路上切断网络之间的链路层连接，能够在物理隔离的网络之间进行适度的安全数据交换的网络安全设备。 问题： 隔离网闸是硬件设备还是软件设备？ 解答： 隔离网闸是由软件和硬件组成的设备。 问题： 隔离网闸硬件设备是由几部分组成？ 解答： 隔离网闸的硬件设备由三部分组成:外部处理单元、内部处理单元、隔离硬件。 问题： 单向传输用单主机网闸可以吗？ 解答： 隔离网闸的组成必须是由物理的三部分组成，所以单主机（包括多处理器）的安全产品并不是网闸产品，无法完成物理隔离任务。其所谓的单向传输只是基于数据包的过滤，类似防火墙产品，并不是物理隔离产品。 问题：
内外网隔离方案 一、前言： 内外网物理隔离，是指内部网不得直接或间接地连接公共网即国际互联网。目前可以利用的手段很多，如增加防火墙、代理服务器、入侵监测、vlan隔离或者物理隔离网卡等技术手段来抵御来自互联网的非法入侵，但至今这些技术手段都还存在许多漏洞，还不能彻底保证内网信息的绝对安全，只有使内部网和公共网实现物理隔离，才能真正保证党政机关的内部信息网络不受来自互联网的黑客攻击。众所周知，国际互联网是国际化、开放和互联为特点的，而安全度和开放度永远是一对矛盾。因此，根据单位的实际情况，选择不同的方式是很重要的。 二、现状分析 山东迈赫由于其单位的工作性质，所涉及到的一部分数据资料必须处于完全的安全状态下，然而工作的需求还需联入INTERNET，这样就无法保证公司内部局域网的安全。 根据目前描述的情况，可以采用的方案有下面几个： 方案一：采用新建一套外网的方法，这样是严格意义上的内外网物理隔离，内外网是两套独立的计算机网络系统，这种方式的优缺点很明显，优点：绝对的物理隔离，两套网络不存在物理联系，缺点：需要新建一套网络，需要增加交换机和综合布线系统，造价较高。 重新布线到各客户端，按照客户需求共需XX个点的布线。 预算： 序 名称规格型号数量单价总价备注号 1 超五类双绞线AMP或普天 2 交换机LSW3600-24GT4GP-SI 3 模块普天 4 面板底盒普天 5 PVC线槽 6 辅材 7 施工费 8 税费 方案二：用同一套网络设备，采用虚拟局域网（VLAN）的技术实现内外网的隔离，这种方式不是严格意义上的物理隔离，在对安全性要求不是很高的情况下可以采用。 这个方案的优点：在节省投资的情况下能实现基本的安全需求。缺点：就是不能做到严格意义的物理隔离。 次方案的安装调试都相对简单，需要的投资相对较小，就是将各个楼层的傻瓜交换机换成智能网管交换机。如迪普的48口LSW3600-48T4GP-SI交换机，24口LSW3600-24GT4GP-SI 交换机。
伟思隔离网闸通用解决方案 伟思集团
目录 一、网络信息安全概述 (3) 二、安全需求分析 (4) 2.1典型环境 (4) 2.2 潜在的网络威胁分析 (5) 2.3 系统安全需求 (6) 三、政府上网安全方案设计 (6) 3.1 政府上网安全模型 (6) 3.2网络隔离系统的设计 (8) 3.3 ViGap隔离网闸 (9) 四、售后服务 (20) 4.1 售后服务 (21) 4.2 培训计划 (22)
一、网络信息安全概述 网络安全的具体含义是随着“角度”的变化而变化。比如：从用户（个人、政府等）的角度来说，他们希望涉及个人隐私或商业利益的信息在网络上传输时受到机密性、完整性和真实性的保护，避免其他人或对手利用窃听、冒充、篡改、抵赖等手段侵犯用户的利益和隐私，同时也避免其它用户的非授权访问和破坏。 从网络运行和管理者角度说，他们希望对本地网络信息的访问、读写等操作受到保护和控制，避免出现“陷门”、病毒、非法存取、拒绝服务和网络资源非法占用和非法控制等威胁，制止和防御网络黑客的攻击。 对安全保密部门来说，他们希望对非法的、有害的或涉及国家机密的信息进行过滤和防堵，避免机要信息泄露，避免对社会产生危害，对国家造成巨大损失。 总的说来，网络安全就是指对网络中的数据信息提供完整性、机密性和可用性的网络安全服务，使网络系统的硬件、软件及其系统中的数据受到严格保护，不因偶然或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。 信息安全所涉及的内容与信息系统的功能密切相关。例如，提供网上数据传输功能的系统，需要考虑网上传输信息的安全性问题；作为数据中心的数据库服务器，需要重点考虑存储数据的安全保护问题；为众多用户提供数据访问的服务的主机系统，则需要考虑对登录主机用户的认证和对合法用户数据访问权限的控制等等。因此，网络安全环境的建立没有固定的模式，必须依据实际的应用需求采取适当的安全措施。 随着网络安全等级的提高，网络使用的便利性将不可避免地随之下降，而安全维护成本将急剧升高，因此，在考虑网络信息的安全问题时，盲目地提高安全强度反而容易使系统因使用不便、效率低和维护困难而失去使用价值。
内外网隔离网络安全解决方案 ?网络现状与安全隐患 目前，大多数企业都安装有隔离卡等设备将企业分为两个网络：内网和外网，内网用 作内部的办公自动化， 外网用来对外发布信息、 获得因特网上的即时消息， 以及用电子邮件 进行信息交流。为了数据的安全性，内网和外网都通过隔离卡或网闸等方式实现内外网的物 理隔离，从一定程度上杜绝了内外网的混合使用造成的信息外泄。如下图所示： 然而，对于内网中移动存储介质的随意使用以及外部终端非法接入内网来泄露内部信 息的安全隐患，仍然得不到解决。 存在的安全隐患主要有： 1. 移动存储介质泄密 ?外来移动存储介质拷去内网信息； ?内网移动存储介质相互混用，造成泄密； ?涉密介质丢失造成泄密 2. 终端造成泄密 ?计算机终端各种端口的随意使用，造成泄密; ?外部终端非法接入内网泄密； ?内网终端非法外联外部网络泄密 ?捍卫者解决方案 <1>终端外设端口管理 电子国务内勰比济 （艇） CAI^OO 则墙空换机 雅覺全蚌祥艸绵 」 WL 扎式输昙隔?博桶 业卒国铮内槪柳堺、
1）对于非常用端口: 使用捍卫者US 安全管理系统，根据具体情况将该终端的不常使用的外设 （如红外、蓝牙、 串口、并口等）设置为禁用或是只读（刻录机， US 喘口有该功能），一旦设定则无法从“设 备管理器“启用，只能通过捍卫者启用， 如下图所示部分终端外设禁用状态，这样可以有效 2）USB 端 口： 内网终端的USB 端口建议设置为只读，这样外网使用的存储介质可以向内网拷贝数据， 但是不能从内网终端拷贝出数据。 从防病毒考虑，也可以设置为完全禁用， 这样只有授权存 储介质才能根据授权使用，外部移动存储介质无法使用。 <2>移动存储介质授权管理 对内部的移动存储介质进行统一的授权管理， 然后在根据需求设定当前 USB 端口的状态 （即USB 端口加密），这样外来的移动存储介质在内部终端不可以使用或是只读，即解决了 移动储存介质的随意插拔使用又防止了木马、病毒的传播泛滥。 在授权过程中，首先选择给移动存储介质的使用范围，可以分域授权使用，一对一或 一对多的和终端绑定使用（这样移动存储介质在一定的范围内可以任意使用） ;然后输入移 的解决终端外设泄密。
1、网闸全称是什么？ 网闸的全称是安全隔离网闸。 2、网闸的英文名称是什么？ 网闸的英文名称是"GAP"。 3、安全隔离网闸是什么？ 安全隔离网闸是一种由带有多种控制功能专用硬件在电路上切断网络之间的链路层连接，并能够在网络间进行安全适度的应用数据交换的网络安全设备。 4、安全隔离网闸是硬件设备还是软件设备？ 安全隔离网闸是由软件和硬件组成。 5、安全隔离网闸硬件设备是由几部分组成？ 安全隔离网闸的硬件设备由三部分组成:外部处理单元、内部处理单元、隔离硬件。 6、为什么要使用安全隔离网闸？ 当用户的网络需要保证高强度的安全，同时又与其它不信任网络进行信息交换的情况下，如果采用物理隔离卡，信息交换的需求将无法满足；如果采用防火墙，则无法防止内部信息泄漏和外部病毒、黑客程序的渗入，安全性无法保证。在这种情况下，安全隔离网闸能够同时满足这两个要求，又避免了物理隔离卡和防火墙的不足之处，是最好的选择。 7、隔离了，怎么还可以交换数据？ 对网络地隔离是通过网闸隔离硬件实现两个网络在链路层断开，但是为了交换数据，通过设计的隔离硬件在两个网络对应的上进行切换，通过对硬件上的存储芯片的读写，完成数据的交换。 8、安全隔离网闸能够交换什么样的数据？ 安装了相应的应用模块之后，安全隔离网闸可以在保证安全的前提下，使用户可以浏览网页、收发电子邮件、在不同网络上的数据库之间交换数据，并可以在网络之间交换定制的文件。 9、安全隔离网闸的主要性能指标有那些？ 性能指标包括： 网闸SCSI最大总带宽:5G(5120Mbit/s) 硬件切换时间：12.5ns 最大并发连接数：8192个 10、安全隔离网闸通常具备的安全功能模块有那些？ 安全隔离、内核防护、协议转换、病毒查杀、访问控制、安全审计、身份认证 11、为什么说安全隔离网闸能够防止未知和已知木马攻击？ 通常见到的木马大部分是基于TCP的，木马的客户端和服务器端需要建立连接，而安全隔离网闸从原理实现上就切断所有的TCP连接，包括UDP、ICMP等其他各种协议，使各种木马无法通过安全隔离网闸进行通讯。从而可以防止未知和已知的木马攻击。