【VIP专享】伟思网闸技术说明

网闸基本全参数1网闸1.设备参数要求：指标要求系统架构采用“2+1”系统架构，即由两个主机系统和一个隔离交换矩阵组成。

采用安全操作系统平台，隔离交换矩阵基于专用芯片实现主机系统间采用自有协议摆渡数据，确保信任网络和非信任网络之间任何连接的断开，彻底阻断TCP/IP协议及其他网络协议系统要求采用具有自主知识产权的多核多线程ASIC并行操作系统平台，并提供该安全操作系统的软件著作权；接口配置要求不少于6个10/100M自适应电口，内外网主机系统分别具有独立的网络口、管理口、HA口（热备口）、扩展口；内外网主机系统分别具有1个RJ45串口；性能系统吞吐量不小于91Mbps并发连接数不小于 1.2万延时小于1ms交换开关切换小于2ns文件交换支持病毒检测；支持NFS、SMBFS、SAMBA等文件系统；文件服务器可以是Windows、Linux/Unix等系统平台；支持文件传输方向可控，实现单向或双向传输；支持按任务进行分策略过滤；支持一源多目的及多源一目的文件交换；文件交换可以采用客户端方式和无客户端方式的部署；文件传输支持身份认证及加密传输；支持增量传输、发送后删除、发送后转移等发送策略；支持文件格式特征过滤，并且不依赖于文件扩展名；支持文件类型检查可扩展模式，方便用户自主增加特定文件类型，并提供工具帮助用户识别不常见文件类型；（要求功能界面截图）重发策略，在文件发送端设置发送次数支持时间策略；支持文件大小传输限制；重名策略，接收端客户端支持对重名文件的控制策略，提供“覆盖”、“丢弃”、“重命名”等重名策略。

具备详细的日志记录功能，方便日志查询、统计等操作；可根据异常条件进行报警；支持邮件报警方式；数据库同步支持病毒检测；支持Oracle、SQL Server、Sybase、Db2等主流数据库；数据库同步客户端支持Windows、Linux等多种平台；支持Oracle数据库RAC集群同步；支持同种数据间（同构）和不同种数据库间（异构）的同步；支持字段级数据库间的单向或双向同步（不改变用户的库结构）。

伟思安全隔离与信息交换系统ViGap500WZ技术参数说明硬件物理隔离具备硬件物理隔离部件系统采用2+1架构设计，包括内端机、外端机和独立的硬件隔离信息交换区。

*该部件采用专用隔离芯片设计，不支持通用通讯协议,不可编程隔离区包含基于ASIC设计的开关隔离芯片，不采用SCSI、网卡以及任何加/解密等方式。

隔离区信息交换采用DMA方式实现。

断开内外网TCP/IP连接设备断开内外网络TCP/IP连接内部数据交换速率>5.8Gbps接口网络接口包含八个100/1000M自适应端口管理接口内网唯一一个RS232接口，外网端不允许配置任何形式的管理接口，所有管理配置操作均通过网闸内网管理接口进行配置；网闸设备配置文件保存在网闸内网端。

*多网连接支持内外网端同时连接多个网络，实现多个网络的直接接入和安全隔离。

系统性能并发连接会话数>200,000 系统延时<50μs系统带宽>900Mbps资质要求隔离网闸资质证书公安部销售许可证涉密信息系统产品检测证书军用信息安全产品认证证书（军C+）国家信息安全产品认证证书应用支持全面支持TCP/IP以上应用层协议系统透明支持TCP/IP以上的应用层协议，网页浏览、数据库复制、文件交换、数据库访问、邮件、消息服务等无需二次开发数据库数据库同步SQLServer、Oracle等的单、双向数据交换；支持周期复制、实时复制、增量更新等多种同步方式；支持设定同步时间和同步周期；支持复杂网络部署，不需改变用户网络环境；数据库访问支持SQLServer、Oracle、Sybase、DB2等常见数据库应用；文件交换文件同步和访问支持客户端、samba、NFS、ftp、有客户端等多种文件交换方式；支持文件复制、移动、增量等多种传输方式；支持断点续传。

安全访问控制功能IP、网络、时间、协议端口、内容过滤等对象访问控制支持多种方式的访问控制，包括源，目的IP、子网、时间、时间端口、内容过滤IP/MAC地址绑定可实现基于IP+MAC绑定的客户端访问控制；支持MAC认证用户：应用于DHCP网络环境下；抗DDOS攻击防止多个DOS攻击源一起攻击某台服务器单/双向通讯控制支持单、双向可选的访问控制流量管理*流量控制支持任意接口之间都可以做流量管理和控制支持动态带宽调整；根据作用条件自动调整应用服务或IP流量的带宽值。

珠海伟思隔离网闸技术白皮书目录一、概述 (2)一、 .......................................................................................................................................... 网络安全现状 2二、 ................................................................................................................................. 现有网络安全技术 23、现有网络安全技术（防火墙技术）的缺点 (3)4、GAP技术简介 (3)二、ViGap介绍 (6)一、ViGap产品简介 (6)2、ViGap产品原理 (6)三、ViGap功能 (7)一、ViGap产品定位 (7)2、ViGap产品功能 (8)四、ViGap产品性能 (9)一、ViGap产品技术指标 (9)ViGap 100-150 (10)ViGap 100-350 (10)2、ViGap产品硬件和软件包 (10)五、ViGap产品应用 (11)一、通用解决方案 (11)二、重要网络数据资源保护 (12)3、电子政务安全岛 (12)ViGap技术白皮书一、概述1、网络安全现状运算机网络的普遍应用是现今信息社会的一场革命。

电子商务和电子政务等网络应用的进展和普及不仅给咱们的生活带来了专门大的便利，而且正在创造着庞大的财富，以Internet 为代表的全世界性信息化浪潮日趋深刻，信息网络技术的应用正日趋普及和普遍，应用层次不断深切，应用领域更是从传统的、小型业务系统逐渐向大型、关键业务系统扩展。

与此同时，运算机网络也正面临着日趋剧增的安全要挟。

广为网络用户所知的黑客行为和解决活动正以每一年10倍的速度增加，网页被修改、非法进入主机、发送冒充电子邮件、进入银行系统盗取和转移资金、窃取信息等网络解决事件此起彼伏。

(5) (5) (28)与此同时，计算机网络也正面临着日益剧增的安全威胁。

广为网络用户所倍的速度增长，网页被修改、非法进入主针对上表所示的各种网络安全问题，全世界的网络安全厂商都试图发展了各种安全技术来防范这些问题，这些技术包括访问控制技术、识别和鉴别技术、入侵检测技术也存在着局限性。

其最大的局限性就是漏报和误报严重，它的，此人在可信网络上的计算机上手工方式将该磁盘或磁带的文件拷贝TCP连接，连接、不可信端到可信端的专有封值得提出的是，ViGap不但在逻辑上终止了TCP对话，还从物理上断开了内外网络之间的连接，使得内外网络之间在任何时候都不存在直接的物理层和链路层连接通路。

GAP技术的关键技术要点是：要点描述Inject攻脚本等各类应内网管理配置，策略存储均在内网进行，避免外部任何威胁对设备自身的－1000三、ViGap 功能3.1、ViGap 产品定位现有的各项网络安全技术可以在一定程度上解决已知的部分网络安全问题，但是，对于网络应用中每时每刻都在发生和产生的每一种新的网络蠕虫、DoS 攻击、分布式DoS 、缓冲区溢出攻击等各类网络安全问题，已有的各类网络安全技术中，仍然没有一种能彻底预防的安全技术来确保一个企业的信息系统的安全。

即使是使用一些高级的安全技术，例如网络防火墙，加密技术和代理，但是对任何一个单一的安全技术，网络安全问题都得不到很好的解决。

下图示意描述了现今可用的各种网络安全解决方案，在这个示意图中，按照应用的不同，网络本身被分为两个部分，即网络层和应用层。

而在各种网络安全方法中，包括了防范已知网络安全问题和未知网络安全问题的方法，各种网络安全技术都分别解决了相应部分的网络安全问题。

GAP 安全解决方法优势在于它既能阻塞又能预防。

阻塞发生在已经知道的攻击而预防则是对于未知的攻击。

已知防护措施（阻塞）未知防护措施（防护）网络层保护应用层保护FireWallApplicationProxyApplication ScannerViGap在上图的左上部分，是防火墙产品主要防范的网络安全问题，它能够对已知的攻击提供适当的保护，这也就意味着防火墙必须进行调整来鉴别威胁。

网闸技术构建内外网一体化门户一、序言近年来，随着我国信息化建设步伐的加快，“电子政务”应运而生，并以前所未有的速度发展。

电子政务体现在社会生活的各个方面：工商注册申报、网上报税、网上报关、基金项目申报等等。

电子政务与国家和个人的利益密切相关，在我国电子政务系统建设中，外部网络连接着广大民众，内部网络连接着政府公务员桌面办公系统，专网连接着各级政府的信息系统，在外网、内网、专网之间交换信息是基本要求。

如何在保证内网和专网资源安全的前提下，实现从民众到政府的网络畅通、资源共享、方便快捷是电子政务系统建设中必须解决的技术问题。

一般采取的方法是在内网与外网之间实行防火墙的逻辑隔离，在内网与专网之间实行物理隔离。

本文将介绍大汉网络公司基于网闸技术构建内外网一体化门户的案例。

二、网闸的概述1、网闸的定义物理隔离网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。

由于物理隔离网闸所连接的两个独立主机系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议“摆渡”，且对固态存储介质只有“读”和“写”两个命令。

所以，物理隔离网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接，使“黑客“无法入侵、无法攻击、无法破坏，实现了真正的安全。

2、网闸的组成网闸模型设计一般分三个基本部分组成：·内网处理单元：包括内网接口单元与内网数据缓冲区。

·外网处理单元：与内网处理单元功能相同，但处理的是外网连接。

·隔离与交换控制控制单元：是网闸隔离控制的摆渡控制，控制交换通道的开启与关闭。

3、网闸的主要功能∙·阻断网络的直接物理连接和逻辑连接∙·数据传输机制的不可编程性∙·安全审查∙·原始数据无危害性∙·管理和控制功能∙·根据需要提供定制安全策略和传输策略的功能∙·支持定时/实时文件交换∙·支持Web方式∙·支持数据库同步三、政府网络中物理隔离技术的应用1、我国网络信息安全现状随着政府上网、海关上网、电子商务等一系列网络应用的蓬勃发展，Inter net正在逐渐融入到社会的各个方面。

(5) (5) (28)与此同时，计算机网络也正面临着日益剧增的安全威胁。

广为网络用户所倍的速度增长，网页被修改、非法进入主针对上表所示的各种网络安全问题，全世界的网络安全厂商都试图发展了各种安全技术来防范这些问题，这些技术包括访问控制技术、识别和鉴别技术、入侵检测技术也存在着局限性。

其最大的局限性就是漏报和误报严重，它的，此人在可信网络上的计算机上手工方式将该磁盘或磁带的文件拷贝TCP连接，连接、不可信端到可信端的专有封值得提出的是，ViGap不但在逻辑上终止了TCP对话，还从物理上断开了内外网络之间的连接，使得内外网络之间在任何时候都不存在直接的物理层和链路层连接通路。

GAP技术的关键技术要点是：要点描述Inject攻脚本等各类应内网管理配置，策略存储均在内网进行，避免外部任何威胁对设备自身的－1000三、ViGap 功能3.1、ViGap 产品定位现有的各项网络安全技术可以在一定程度上解决已知的部分网络安全问题，但是，对于网络应用中每时每刻都在发生和产生的每一种新的网络蠕虫、DoS 攻击、分布式DoS 、缓冲区溢出攻击等各类网络安全问题，已有的各类网络安全技术中，仍然没有一种能彻底预防的安全技术来确保一个企业的信息系统的安全。

即使是使用一些高级的安全技术，例如网络防火墙，加密技术和代理，但是对任何一个单一的安全技术，网络安全问题都得不到很好的解决。

下图示意描述了现今可用的各种网络安全解决方案，在这个示意图中，按照应用的不同，网络本身被分为两个部分，即网络层和应用层。

而在各种网络安全方法中，包括了防范已知网络安全问题和未知网络安全问题的方法，各种网络安全技术都分别解决了相应部分的网络安全问题。

GAP 安全解决方法优势在于它既能阻塞又能预防。

阻塞发生在已经知道的攻击而预防则是对于未知的攻击。

已知防护措施（阻塞）未知防护措施（防护）网络层保护应用层保护FireWallApplicationProxyApplication ScannerViGap在上图的左上部分，是防火墙产品主要防范的网络安全问题，它能够对已知的攻击提供适当的保护，这也就意味着防火墙必须进行调整来鉴别威胁。

伟思安全隔离网闸Vigap300型号的配置说明与注意事项配置前的准备工作：1)网闸外观和接口2)实施前要知道客户的网络拓扑图，根据客户应用决定网闸需要安装在哪个节点，和网闸需要的IP地址数3)先把用来配置网闸的电脑IP修改成10.119.119.*（119除外），掩码255.255.255.0，安装控制平台后会在桌面生成一个快捷图标，对应的是所在安装目录的4)用直连网线（B类线）连上网闸可信端网口（网闸默认内网口和外网口各两个，只有中间的两个可以用），ping 10.119.119.119测试网络连接是否正常，然后进行配置。

5)网闸开箱默认模式是set模式，根据需要可以在控制平台里进行模式转换。

（透明模式管理IP：172.26.78.1，禁ping，可以telnet ip 112测试）网闸配置的一般步骤：1)双击桌面快捷图标启动管理平台，默认用户名：admin，密码：admin05。

进入管理平台，如下图：主页面分三部分，安全隔离与信息交换设备，系统安全审计功能，访问控制规则表。

一般很少用到系统安全审计功能。

2)安全隔离与信息交换设备页面，右键点击隔离设备，选择添加（注意：一定要保证设备已经开机，笔记本已经连接设备可信端接口，并配置IP已经测试连通性，如果笔记本与设备之间的网络不通的情况下，在该页面添加设备会报错），然后弹出如下图对话框点下一步会跳到配置IP信息及系统名的页面如下图如上图标注，其中可信端的IP地址是灰色，鼠标无法选中并配置（300的设备可信端的接口地址是没办法在这个页面进行配置的，即使IP不配，配置上网关和掩码也是不生效的），配置好IP信息后点击下一步会跳到选择设备配置中需要用到的内网和外网所需要开放的对应服务端口信息页面，默认全选上（在后面的文档中会介绍到这一部分）。

最后点击完成，回到如下图的界面。

3)切换到访问控制规则表页面，如下图这个页面里主要是配置配置过程中所用到的端口及详细控制访问策略。

伟思网络安全隔离网闸（350）
无
【期刊名称】《网上俱乐部：电脑安全专家》
【年(卷),期】2005(000)002
【摘要】近期，珠海伟思(集团)有限公司推出了“网络安全隔离网闸（350)”。

该新品采用了国际上先进的第二代GAP网络安全技术，同时具备网关功能。

它可以有效地保证内部网络与不可信网络物理隔断，能够阻止各种已知或未知的网络层和操作系统层攻击。

通过其强大的协议检查、内容审查和用户审计等手段，能够有效确保内外网资源，实现信息和数据的安全交换。

【总页数】1页(P12)
【作者】无
【作者单位】无
【正文语种】中文
【中图分类】TP393.08
【相关文献】
1.安全隔离网闸在油田物联网中的应用探讨 [J], 余忠凯;吴金峰;吴美华;陈戈
2.机密网络的"门神"--联想网御安全隔离网闸解决方案 [J], 刘晶妹
3.安全隔离网闸在内外网系统中的设计与应用r——以福建广电为例 [J], 林善志
4.浅谈安全隔离网闸在我院的应用 [J], 程学波
5.安全隔离网闸在流程工业现场的应用 [J], 尹红媛;汪建凯
因版权原因，仅展示原文概要，查看原文内容请购买。

隔离网闸的需求与原理及伟思ViGap300隔离网闸的优势一、隔离网闸的应用需求与工作原理我国电子政务发展过程中一直重视安全问题，按照国家相关保密要求，内网与互联网等外部网络必须实现绝对物理隔离，即断开物理线路上的电气连接。

由于没有物理连接通道的存在，因此，黑客没有可能连接到内网并对内网主机进行控制和破坏。

物理隔离技术概念清晰、功能明确避免了系统漏洞、安全软件设计缺陷、访问控制策略不严谨、人为错误等网络安全防御的不确定因素，在保护内网安全方面起到了其它网络安全技术所不可替代的作用，具有极高的安全可靠性。

我国2000年1月1日起实施的《计算机信息系统国际联网保密管理规定》第二章第六条就明确规定，“涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其它公共信息网络相连接，必须实行物理隔离”。

实际上在各级政府系统中，物理隔离方式早已应用，在互联网与机关办公网即实现了严格的物理隔离，使得办公网处于与外界物理隔断的安全环境。

随着电子政务的进一步发展，物理隔离创造了大量各自封闭的信息孤岛，这些封闭网络间的信息交换成为了阻碍信息化发展的瓶颈。

根据应用的需求，国家相关保密部门制定了在物理隔离环境下进行数据交换的工作模式――手工电子拷盘方式，该模式很早就在政府各级部门中应用，其结构如下：手工电子拷盘实现物理隔离环境下信息交换有一个管理员来操作，另外包括两个网络：不可信网络和可信网络，这两个网络物理隔断，在大多数情况中，还有一台独立于内外网的计算机，用于在拷盘过程中对所要交换的内容进行检查。

其网络信息流如下：1．该人在不可信网络上的计算机上手工方式拷贝文件到磁盘或磁带。

2．该人将磁盘或磁带拿到一个独立的计算机上进行内容检测。

检测包括（不仅仅这些）：病毒扫描、检验该文件格式是否和预先定义的文件格式相符等。

3．如果内容检测为不安全或非法，它们将被丢弃；如果内容是安全和合法的，此人在可信网络上的计算机上手工方式将该磁盘或磁带的文件拷贝到计算机上。

伟思安全隔离网闸Vigap500型号的配置说明与注意事项（500的设备是基于b/s结构的，即可以通过浏览器直接访问来配置的，另外500的设备配置过程中要注意的是设备默认是不支持可信端与非可信端一个网段，如果需要，可以修改某些参数来实现。

）1)配置前的准备工作：1)500设备的默认管理地址是https://192.168.0.254:10000，用户名：admin，密码：888888。

如果来配置一台新设备，首先我们将用来配置网闸的电脑IP修改成192.168.0.*（254除外），掩码255.255.255.0。

然后用直连网线（B类网线）连接设备可信端的NIC0口，然后ping 192.168.0.254，测试网络连通性。

如果没问题，直接打开IE，地址栏输入https://192.168.0.254:10000，回车登录。

2)新设备如果网络不通，重新启动下设备，观察设备前面板左下角的两个硬盘指示灯，开机过程中，有没有硬盘数据灯闪烁，2个都闪烁，可以排除硬盘和主板的故障，可以尝试下串口恢复下设备配置。

（发货过程中，由于物流方面的拿放不当，可能造成设备出现故障）2)网闸配置的一般步骤：1)IE地址栏直接输入https://IP:10000（IP为可信端或者非可信端IP，其中如果客户不需要从非可信端IP访问配置页面，可以在隐藏页面关闭，登录进设备后，隐藏页面为https://IP:10000/firewall），回车，弹出证书页面，选择是，用户名：admin，密码：888888。

弹出如下登录界面：2)接口配置：“接口配置”包括：模式选择和接口配置。

模式选择：系统默认模式为SAT+NAT模式，该模式是转源的（注意：有些认证系统是从源mac来登记的，该情况只能用不转源模式来实现）。

如果需要可以转换成SAT模式，该模式不转源。

接口配置：如下图，其中不可信端可以直接配置接口IP地址及网关，可信端只能配置相应的IP地址，如果下面挂的有三层设备，需要指回程路由，可以在下面的网络配置下静态路由中可信端添加。

GAP技术—物理隔离网闸白皮书（简）物理隔离网闸珠海伟思(集团)有限公司ZHUHAI VICTORY-IDEA（GROUP）CO., LTD.介绍安全背景今天的网络面临许多日益剧增的安全威胁：病毒、特洛伊木马、机动代码（mobile code）、拒绝服务攻击、电子商务入侵和盗窃等。

随着INTERNET的发展，网络变得容易访问进而容易受到外部攻击，这使得许多安全专家认为一台连入INTERNET的PC就是一个攻击的目标。

从一个安全的角度观察，解决方案是简单的，将可信网络与其它任何网络特别是INTERNET断开，保密数据就可牢牢锁定，既没入口，也没出口。

彻底断开可以减少安全威胁。

不幸的是，在今天的电子商务和信息全球化年代，不接入INTERNET是不现实的，很多情况下简直是不可能，与此相反，许多公司越来越依赖于网络：提供职员、客户和商业伙伴快速自由的在线访问内部back-office系统和数据中心。

更复杂的是，通常企业许多敏感的商业信息要和有选择性的外部人员共享。

GAP技术针对这一挑战，通过结合物理断开和逻辑连接，提供给企业一个重要的、附加级的安全措施。

本册解释了怎样实现这一迷人的结合。

什么是GAP技术？GAP技术，它创建一个这样的环境，两个网络物理断开，但逻辑地相连。

某些网络是典型的可信网络，如企业内部网（INTRANET）；另一些网络则是不可信的网络，如INTERNET。

GAP技术在这两个网络之间创建了一个物理隔断，这意味着网络数据包不能从一个网络流向另外一个网络，并且可信网络上的计算机和不可信网络上的计算机从不会有实际的连接。

对于有连接的PC，黑客使用各种方法，通过网络能够建立连接来对它们进行控制，然而物理隔断却能杜绝这种情况发生。

GAP技术除可以实现物理隔断外，还可以允许可信网络和不可信网络之间的数据、资源和信息的安全交换。

正因为有这样的特点，GAP技术允许公司分享两个网络世界的杰出优点：物理隔断使可信网络安全和在线式不可信网络访问。

网闸工作原理一、引言网闸作为网络安全的重要设备之一，负责对网络流量进行监控和管理，以保护网络的安全和稳定运行。

本文将详细介绍网闸的工作原理，包括其基本功能、工作流程和关键技术。

二、基本功能1. 流量监控：网闸能够实时监控网络中的数据流量，包括传入和传出的数据包。

通过对流量的分析和统计，可以了解网络的使用情况和流量分布，为网络管理提供数据支持。

2. 流量控制：网闸可以根据预设的策略对流量进行控制，包括允许、阻挠、限速等操作。

通过对流量的控制，可以保护网络免受恶意攻击和异常流量的影响。

3. 安全检测：网闸可以对流经的数据进行安全检测，包括入侵检测、病毒检测、漏洞扫描等。

通过对流量的检测，可以及时发现和阻挠网络安全威胁，保障网络的安全性。

4. 用户认证：网闸可以对用户进行身份认证，确保惟独经过授权的用户才干访问网络资源。

通过对用户的认证，可以有效防止非法用户的入侵和滥用。

三、工作流程1. 流量捕获：网闸首先通过网络接口捕获流经的数据包。

数据包是网络通信的基本单元，包含源IP地址、目标IP地址、端口号等信息。

2. 流量解析：网闸对捕获的数据包进行解析，提取其中的关键信息，如源IP地址、目标IP地址、协议类型等。

解析后的数据被传递给下一步的处理模块。

3. 流量分类：网闸根据预设的策略对解析后的数据包进行分类。

根据不同的策略，可以将数据包分为允许通过、阻挠、限速等不同的类别。

4. 流量处理：根据分类结果，网闸对不同类别的数据包进行相应的处理。

对于允许通过的数据包，可以直接转发到目标设备；对于阻挠的数据包，可以丢弃或者发送警告信息；对于限速的数据包，可以进行带宽控制。

5. 安全检测：网闸对通过的数据包进行安全检测，包括入侵检测、病毒检测等。

通过对数据包的深度分析和特征匹配，可以及时发现和阻挠潜在的安全威胁。

6. 用户认证：对于需要用户认证的流量，网闸会对用户进行身份验证。

认证可以通过用户名密码、证书、双因素认证等方式进行，确保惟独合法用户才干访问网络资源。