下载文档原格式
网神SecSIS 3600系列安全隔离与信息交换系统一、 产品介绍随着技术的发展和I n t e r n e t的普及，不仅带来了信息共享，也带来了黑客、病毒等不安全因素。
一些行业和机构中，公网的连接安全依赖防火墙设定的策略，但在机构内部也存在进一步保密数据要求，所以应运而生了保护这部分数据的安全隔离与信息交换系统（简称网闸）。
为了保护涉密网络的安全性，依靠自身在安全领域的技术和理念优势，网御神州开发出了安全、高效、灵活的网闸，实现了在物理隔离网络下信息的安全流转。
网神S e c S I S3600系列网闸部署在涉密网和内网之间，不仅能实现涉密网和内网的完全物理隔离，而且可以实现二者间的信息交换。
网神S e c S I S3600系列网闸，可为政府、军队、网站和企业级用户提供方便、快速、灵活、稳定的网络安全解决方案，在保持原有的网络架构上轻松、快速地构建自己的安全网络或安全通道。
一、 产品亮点1.安全高效的数据传输体系结构网神S e c S I S3600系列网闸具有自主研发的内外主机系统间的安全检测与控制处理单元，采用专有电路设计的双通道高速数据交换卡，实现了独立的硬件交换控制逻辑，不仅保证了内外主机系统之间数据交换的机密性、完整性和可信性，而且在保证安全性的同时，提供更好的处理性能（延时<20s），能够适应各种复杂网络环境对隔离应用的需求。
网神S e c S I S3600系列网闸在内外主机系统间采用专有协议，阻断网络连接，不仅使得信息网络的抗攻击能力大大增强，而且有效地防范了信息外泄事件的发生。
2.可靠的冗余和均衡架构网神S e c S I S3600系列网闸基于可靠性的考虑，通过双击热备等技术保证了在网络或设备故障时，业务的不间断运行。
在网络流量较大时，也可能会造成业务不可用或和响应速度下降，网神S e c S I S3600系列网闸支持多台设备的负载均衡（最多支持32台），最大限度的提升了网络的可用性。
网神SecSIS 3600安全隔离与信息交换系统技术白皮书网御神州科技（北京）有限公司网御神州科技（北京）有限公司目录1 概述 (1)2 产品简介 (2)2.1工作原理 (2)2.2产品组成 (3)3 系统功能详述 (3)3.1丰富的应用模块 (3)3.2访问控制 (3)3.3地址绑定 (4)3.4内容检查 (4)3.5高安全的文件交换 (4)3.6内置的数据库同步模块 (4)3.7高可用设计 (5)3.8轻松的管理 (5)3.9传输方向控制 (5)3.10协议分析能力 (5)3.11完善的安全审计 (5)3.12强大的抗攻击能力 (6)3.13多样化的身份认证 (6)3.14负载均衡解决方案 (6)4 产品技术优势 (6)5 典型应用 (7)5.1安全邮件收发解决方案 (7)5.2数据库安全同步解决方案 (8)5.3安全网络访问解决方案 (9)网御神州科技（北京）有限公司1 概述随着网络技术的不断应用和完善，Internet正在越来越多地渗透到社会的各个方面。
一方面，企业上网、电子商务、远程教育、远程医疗等一系列网络应用蓬勃发展，人们的日常生活与网络的关系日益密切；另一方面，网络用户组成越来越多样化，出于各种目的的网络入侵和攻击越来越频繁。
人们在享受互联网所带来的丰富、便捷的信息同时，也日益感受到频繁的网络攻击、病毒泛滥、非授权访问、信息泄密等问题所带来的困扰。
传统的安全产品可以以不同的方式满足我们保护数据和网络安全的需要，但不可能完全解决网络间信息的安全交换问题，因为各种安全技术都有其局限性。
为保护重要内部系统的安全，2000年1月，国家保密局发布实施《计算机信息系统国际互联网保密管理规定》，明确要求：“涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其他公共信息网络相连，必须实行物理隔离。
” 中共中央办公厅2002年第17号文件《国家信息化领导小组关于我国电子政务建设指导意见》也明确强调：“政务内网和政务外网之间物理隔离，政务外网与互联网之间逻辑隔离。
《信息安全技术工业控制网络安全隔离与信息交换系统安全技术要求》（征求意见稿）编制说明1 工作简况1.1任务来源2015年，经国标委批准，全国信息安全标准化技术委员会（SAC/TC260）主任办公会讨论通过，研究制订《信息安全技术工业控制网络安全隔离与信息交换系统安全技术要求》国家标准,国标计划号：2015bzzd-WG5-001。
该项目由全国信息安全标准化技术委员会提出，全国信息安全标准化技术委员会归口，由公安部第三研究所、公安部计算机信息系统安全产品质量监督检验中心（以下简称“检测中心”）负责主编。
国家发改委颁布了发改办高技[2013]1965号文《国家发展改革委办公厅关于组织实施2013年国家信息安全专项有关事项的通知》，开展实施工业控制等多个领域的信息安全专用产品扶持工作。
面向现场设备环境的边界安全专用网关产品为重点扶持的工控信息安全产品之一，其中包含了隔离类设备，表明了工控隔离产品在工控领域信息安全产品中的地位，其标准的建设工作至关重要。
因此本标准项目建设工作也是为了推荐我国工业控制系统信息安全的重要举措之一。
1.2协作单位在接到《信息安全技术工业控制网络安全隔离与信息交换系统安全技术要求》标准的任务后，检测中心立即与产品生产厂商、工业控制厂商进行沟通，并得到了多家单位的积极参与和反馈。
最终确定由北京匡恩网络科技有限责任公司、珠海市鸿瑞软件技术有限公司、北京力控华康科技有限公司等单位作为标准编制协作单位。
1.3编制的背景目前工业控制系统已广泛应用于我国电力、水利、石化、交通运输、制药以及大型制造行业，工控系统已是国家安全战略的重要组成部分，一旦工控系统中的数据信息及控制指令被攻击者窃取篡改破坏，将对工业生产和国家经济安全带来重大安全风险。
随着计算机和网络技术的发展，特别是信息化与工业化深度融合，逐步形成了管理与控制的一体化，导致生产控制系统不再是一个独立运行的系统，其接入的范围不仅扩展到了企业网甚至互联网，从而面临着来自互联网的威胁。
目录产品背景产品原理产品介绍产品对比产品应用方案产品背景－网络安全漏洞基于文件的病毒、恶意代码恶意命令:HTTP,FTP的GET,PUT POST命令等GET命令产品背景－网络安全漏洞系统的BUG、后门，不稳定性攻击代码完全控制产品背景－网络安全漏洞国家相关部门规定：涉密网络不得与互联网直接连接，必须采用物理隔离的措施。
一些组织根据自身业务的特点，在有不同安全需求的网络之间也使用了物理隔离的措施。
产品背景－安全隔离与信息交换系统产品背景－物理隔离物理隔离带来的问题物理隔离使得正常的信息交流被阻断了 部分重要的与业务相关的数据需要在涉密网络和非涉密网络间交换物理隔离成为电子政务、电子商务的数据传输瓶颈防火墙产品背景－传统物理隔离解决方案•优点–保持了网络间物理隔离的特性，有效防止了对涉密网络的直接网络攻击•缺点–延时长–速度慢–可靠性低–在防病毒、内容过滤等方面效果较差。
–人工操作风险高网御SIS-3000产品背景－两种方式对比安全隔离与信息交换系统与人工拷盘相比的优越性安全性提高具有较高的实时性不改变原有业务模式应用更丰富•安全安全隔离隔离隔离与信息交换系统与信息交换系统与信息交换系统的指导思想与防火墙的指导思想与防火墙有很大的不同：防火墙的思路是在保障互联互通的前提下，尽可能安全，而通的前提下，尽可能安全，而安全安全安全隔离隔离隔离与信息与信息交换系统交换系统的思路是在保证必须安全的前提下，的思路是在保证必须安全的前提下，尽可能互联互通。
•安全隔离与信息交换系统的优势在于它通过在不可信网络牺牲自己来积极有效地应对攻击，以充分保护可信网络避免受到基于操作系统和网络的各种攻击。
产品背景－产品定位应用环境•国家保密局限定安全隔离与信息交换系统在以下四种网络环境下应用：目录产品背景产品原理产品介绍产品对比产品应用方案产品原理－SIS-3000安全隔离与信息交换系统产品原理－体系结构网御网御SIS SIS SIS--3000产品原理—核心技术S(Security )安全性：通过专有安全芯片实现安全隔离，不同于采用计算机系统所配备的标准同于采用计算机系统所配备的标准USB USB USB、、串口、串口、139413941394协议等协议等非网络接口实现安全隔离，具有高度安全性。
《信息安全技术工业控制网络安全隔离与信息交换系统安全技术要求》（征求意见稿）编制说明1 工作简况1.1任务来源2015年，经国标委批准，全国信息安全标准化技术委员会（SAC/TC260）主任办公会讨论通过，研究制订《信息安全技术工业控制网络安全隔离与信息交换系统安全技术要求》国家标准,国标计划号：2015bzzd-WG5-001。
该项目由全国信息安全标准化技术委员会提出，全国信息安全标准化技术委员会归口，由公安部第三研究所、公安部计算机信息系统安全产品质量监督检验中心（以下简称“检测中心”）负责主编。
国家发改委颁布了发改办高技[2013]1965号文《国家发展改革委办公厅关于组织实施2013年国家信息安全专项有关事项的通知》，开展实施工业控制等多个领域的信息安全专用产品扶持工作。
面向现场设备环境的边界安全专用网关产品为重点扶持的工控信息安全产品之一，其中包含了隔离类设备，表明了工控隔离产品在工控领域信息安全产品中的地位，其标准的建设工作至关重要。
因此本标准项目建设工作也是为了推荐我国工业控制系统信息安全的重要举措之一。
1.2协作单位在接到《信息安全技术工业控制网络安全隔离与信息交换系统安全技术要求》标准的任务后，检测中心立即与产品生产厂商、工业控制厂商进行沟通，并得到了多家单位的积极参与和反馈。
最终确定由北京匡恩网络科技有限责任公司、珠海市鸿瑞软件技术有限公司、北京力控华康科技有限公司等单位作为标准编制协作单位。
1.3编制的背景目前工业控制系统已广泛应用于我国电力、水利、石化、交通运输、制药以及大型制造行业，工控系统已是国家安全战略的重要组成部分，一旦工控系统中的数据信息及控制指令被攻击者窃取篡改破坏，将对工业生产和国家经济安全带来重大安全风险。
随着计算机和网络技术的发展，特别是信息化与工业化深度融合，逐步形成了管理与控制的一体化，导致生产控制系统不再是一个独立运行的系统，其接入的范围不仅扩展到了企业网甚至互联网，从而面临着来自互联网的威胁。
《安全的数据隔离与交换系统安全隔离与信息交换系统》针对现有的防火墙、网闸和应用网关等各种隔离与交换技术无法适应多系统交互、应用复杂、高实时性、大流量的要求，本文提出一种新的解决办法：采用松耦合结构的“内网数据交换平台+网闸+外网数据交换平台”数据安全交换系统，以满足内部网络隔离与数据交换的需求。
信息技术的广泛应用及信息资源共享和信息安全问题之间的矛盾日益突出。
典型的现实情况是，一个部门从自身安全角度考虑，把内部网络与互联网物理断开，但与此同时，从开展业务的需求出发，与其他部门的内部网络连接越来越多，于是，有的部门将内部网络划分为不同安全等级的域，即把内部网络进一步划分为内网和外网，将重要数据和系统置于内网，仅供内部人员授权访问，将与其他部门联网的系统置于外网，形成一种“外网受理、内网处理”的格局，有效保护核心系统和汇总的重要信息的安全，符合国家等级保护的原则。
不过，这并不意味着问题就解决了，随之而来的困难是，原来同处一个网络域的信息系统之间有着千丝万缕的联系，系统交互的数据类型复杂（包括数据报文、数据文件、影像文件和数据库表等）、实时性要求高、时延要求低，需要交换的数据量大，而且是不同等级安全域的数据交换。
从目前的情况看，能满足这一要求的解决方案，即内外网间安全隔离和数据交换系统鲜有先例。
综观现有的防火墙、网闸和应用网关等各种网络安全隔离与交换技术，尽管都可以在一定程度上解决网络安全隔离与数据交换的问题，但都不同程度地存在着局限性，特别是不能适应内部网络隔离与交换要求的多系统交互、应用复杂、高实时性、大流量的要求。
为此，本文研究提出一种新型的网络安全隔离与数据交换平台架构，它采用松耦合结构的“内网数据交换平台+网闸+外网数据交换平台”数据安全交换系统，能够有效解决上述问题，满足内部网络隔离与数据交换的需求。
新型数据安全交换系统新的数据安全交换平台架构如附图所示。
在该系统中，网闸负责在网络层进行内外网之间的安全隔离和访问控制;内外网数据交换平台负责在应用层代理内外网之间的数据交换以及数据交换的访问控制与安全审计。
安全隔离与信息交换系统产品安装调试指导手册VHEN system office room 【HEN16H-HENS2AHENS8Q8-HENH1688】络环境、业务模式、安全需求等情况进行详细的了解，充分做好产品上线准备，确保网闸上线后高效、稳定，与用户业务安全结合。
了解实际用户网络环境或主机环境网络环境充分的网络环境了解，有助于我们明确网闸的部署位置，IP地址的规划等，对与当前用户整个网络的拓扑结构要做到心中有图和手中有图，网络拓扑网络拓扑图可以请用户网络工程师协助提供。
拓扑图中应包含网闸所处网络中的关键性设备、设备连接方式等信息。
部署位置根据用户提供拓扑，分清安全域界限，明确网闸部署位置。
IP规划明确网闸所需的IP地址、掩码、网关地址，以及各关键设备的地址信息。
主机环境明确用户现场网络拓扑后，还需要对用户的主机系统，也就是各类与网闸应用相关的服务器进行了解，以确保采用正确的网闸模块与之对应。
服务器系统平台信息了解用户服务器使用何种类型操作系统以及操作系统版本等系统平台信息。
了解各服务器网络配置信息，如服务器IP地址、服务器连接位置等。
数据库信息对具有数据库应用需求的用户，了解其使用的数据库类型、版本等数据库相关信息。
软件信息了解用户主机系统所使用的与网闸业务相关的软件信息。
了解实际用户应用及安全需求业务模式了解业务模式，可以针对当前用户的各类业务应用选择最匹配的网闸功能模块，以确保网闸功能与用户应用的无缝结合。
应用相关信息了解业务所采用的协议类型，业务端口开放情况等业务相关信息。
业务流程分析通过对业务流程的分析，可以确定哪些功能是必须要实现，从而使得我们可以以更合适的方式来实现所需要的功能服务。
业务软件模式针对业务应用所使用的软件模式，B/S架构还是C/S架构，可以更好的选择功能模块采用的实现方式。
安全需求了解用户安全需求，细化网闸安全功能，确保用户信息及数据的安全。
访问用户限制针对不同的访问用户进行业务应用限制，功能使用限制；对于不同的管理员赋予不同的权限。
联想网御安全隔离与信息单向导入系统产品白皮书Leadsec Uni-directional GAP V2.0✧绝对的单向数据传输✧防止涉密信息泄露✧应用独立和非入侵性✧高效、可靠数据传输目录1.产品介绍 (5)1.1产品概述 (5)1.2产品架构设计 (6)1.2.1硬件架构设计 (6)1.2.2软件系统设计 (7)1.3工作原理 (8)2.核心功能介绍 (10)2.1 信息单向导入功能 (10)2.1.1单向文件传输 (10)2.1.2单向数据库同步 (11)2.1.3单向邮件传输 (12)2.2系统安全控制功能 (12)2.2.1安全管理 (12)2.3.2传输控制 (13)2.3.3病毒检测 (13)2.3系统监控及日志审计报警功能 (13)2.3.1系统监控功能 (13)2.3.2日志审计 (14)2.3.3报警功能 (14)3产品特色 (14)3.1绝对单向无反馈传输 (14)3.2高可靠数据传输 (15)3.3全面的数据安全检测 (16)3.4应用独立和非入侵性 (16)4产品功能规格 (17)4.1基本功能 (17)4.2硬件规格 (18)5.运行环境 (18)6.典型应用 (19)6.1单向文件传输 (19)6.2单向数据库同步 (20)6.3涉密网络邮件接收 (20)1.产品介绍1.1产品概述对于涉密信息系统的保护向来受到国家的重视，2007年3月国家保密局和国务院信息化工作办公室联合颁布了《电子政务保密管理指南》（以下简称指南），指南中规定了电子政务涉密信息系统与电子政务非涉密信息系统的连接条件，指出当秘密级电子政务院涉密信息系统（或安全域）与互联网或其他公共信息网络物理隔离时，应同时满足电子政务非涉密信息系统（或安全域）与互联网或其他公共信息网络的逻辑隔离，可以采用“安全隔离与信息单向导入系统”将涉密信息网络与非涉密信息网络进行连接，数据仅能从非涉密信息网络流向涉密信息网络。
网御安全隔离与信息交换系统技术白皮书V4.5北京网御星云信息技术有限公司网御安全隔离与信息交换系统技术白皮书目录引言 (1)1产品概述 (2)1.1产品定位 (2)1.2工作原理 (2)1.3技术特性 (3)2系统架构 (5)2.1硬件架构 (5)2.2软件架构 (7)3产品特色 (8)3.1高安全的架构设计 (8)3.2高速隔离交换性能 (8)3.3专家级的数据安全 (8)3.4广泛的应用适用性 (9)3.5业内领先高可靠性 (9)4技术优势 (10)4.1安全性技术优势 (10)4.1.1安全的隔离硬件 (10)4.1.2安全的操作系统 (10)4.1.3应用协议内容安全 (10)4.1.4网络层安全 (11)4.1.5强的抗攻击能力 (12)4.1.6防IP地址盗用 (12)4.2高性能技术优势 (12)4.2.1并行处理技术 (12)4.2.2协议自动处理技术 (12)4.2.3双摆渡传输技术 (12)4.2.4链路聚合技术 (13)4.3适用性技术优势 (13)4.3.1灵活的多网隔离 (13)4.3.2灵活的安装部署 (13)4.4可靠性技术优势 (13)4.4.1端口冗余 (13)4.4.2双机热备 (13)网御安全隔离与信息交换系统技术白皮书4.4.3动态负载均衡 (14)4.5易管理技术优势 (14)4.5.1强大、多样的管理方式 (14)4.5.2高效的集中式管理系统 (14)4.5.3完善的日志和审计 (15)4.5.4友好的管理界面 (15)4.6核心技术优势 (15)4.6.1领先的多网隔离 (16)4.6.2独创的硬件架构 (16)4.6.3超强的抗攻击能力 (17)5基本功能 (18)6运行环境 (20)7典型应用 (21)7.1数据同步 (21)7.1.1数据库同步 (21)7.1.2文件同步 (21)7.2代理访问 (22)图片索引图1网御网闸工作原理图 (3)图2网御网闸硬件架构原理图 (6)图3网御网闸系统软件架构图 (7)图5网御网闸数据库同步功能示意图 (21)图6网御网闸文件同步功能示意图 (22)图7网御网闸代理访问功能示意图 (23)网御安全隔离与信息交换系统技术白皮书引言Michael Bobbin（《计算机安全杂志》主编）说，“保证一个系统真正安全的途径只有一个：断开网络，这也许正在成为一个真正的解决方案。
联想网御安全隔离与信息单向导入系统产品白皮书Leadsec Uni-directional GAP V2.0✧绝对的单向数据传输✧防止涉密信息泄露✧应用独立和非入侵性✧高效、可靠数据传输目录1.产品介绍 (4)1.1产品概述 (4)1.2产品架构设计 (5)1.2.1硬件架构设计 (5)1.2.2软件系统设计 (5)1.3工作原理 (6)2.核心功能介绍 (8)2.1 信息单向导入功能 (8)2.1.1单向文件传输 (8)2.1.2单向数据库同步 (9)2.1.3单向邮件传输 (9)2.2系统安全控制功能 (10)2.2.1安全管理 (10)2.3.2传输控制 (10)2.3.3病毒检测 (11)2.3系统监控及日志审计报警功能 (11)2.3.1系统监控功能 (11)2.3.2日志审计 (11)2.3.3报警功能 (11)3产品特色 (12)3.1绝对单向无反馈传输 (12)3.2高可靠数据传输 (12)3.3全面的数据安全检测 (13)3.4应用独立和非入侵性 (13)4产品功能规格 (14)4.1基本功能 (14)4.2硬件规格 (15)5.运行环境 (15)6.典型应用 (15)6.1单向文件传输 (15)6.2单向数据库同步 (16)6.3涉密网络邮件接收 (17)1.产品介绍1.1产品概述对于涉密信息系统的保护向来受到国家的重视，2007年3月国家保密局和国务院信息化工作办公室联合颁布了《电子政务保密管理指南》（以下简称指南），指南中规定了电子政务涉密信息系统与电子政务非涉密信息系统的连接条件，指出当秘密级电子政务院涉密信息系统（或安全域）与互联网或其他公共信息网络物理隔离时，应同时满足电子政务非涉密信息系统（或安全域）与互联网或其他公共信息网络的逻辑隔离，可以采用“安全隔离与信息单向导入系统”将涉密信息网络与非涉密信息网络进行连接，数据仅能从非涉密信息网络流向涉密信息网络。
该规定在政策层面解决了涉密信息网络与非涉密信息网络连接的问题，促进了电子政务信息化的发展，从而也促进了安全隔离与单向信息导入产品的完善和发展。
安全隔离与信息交换系统方案随着互联网技术的发展和普及，信息交换的速度和规模都有了巨大的增长。
然而，在信息交换的过程中，也会面临一系列的安全风险和隐患。
为了保证信息的安全性，可以构建一个安全隔离与信息交换系统，以下是一个该系统的方案。
一、系统概述这个系统主要包括两大模块：安全隔离模块和信息交换模块。
其中，安全隔离模块用于隔离敏感信息或网络资源，防止非授权访问或恶意攻击；信息交换模块用于安全地传输信息。
二、安全隔离模块1.物理隔离：通过构建安全区域和非安全区域，将敏感信息或关键设备与外界隔离。
可以采用独立的网络、服务器等手段，确保敏感系统与非敏感系统完全隔离。
2.逻辑隔离：在网络上采用防火墙、ACL（访问控制列表）等手段，对不同的用户或不同的系统分配不同的权限，限制其访问和操作范围。
3.身份认证：对用户进行身份的验证和认证，使用强密码、双因素身份认证等手段来确保用户的真实身份。
4.访问控制：对不同的用户或用户组进行访问权限的控制和分配，确保只有经过授权的用户才能访问到特定的资源。
5.日志审计：对所有的访问记录进行日志记录和审计，及时发现异常行为和潜在威胁。
三、信息交换模块1.加密传输：在信息交换的过程中使用加密算法对信息进行加密，确保信息在传输过程中的安全性。
2.数据摘要：使用哈希算法对信息进行摘要，生成摘要值并将其发送给接收方，接收方验证信息的完整性。
3.数字签名：使用非对称加密算法对信息进行数字签名，确保信息在传输过程中的完整性和真实性，防止被篡改。
4.安全协议：在信息交换的过程中使用安全协议，如SSL/TLS协议、IPsec协议等，确保信息传输过程中的安全性。
5.安全传输通道：在互联网上建立一个安全隧道，使用VPN技术确保信息的安全传输。
四、系统运维与监控1.及时更新：定期对系统进行安全补丁的更新，及时修复已知的漏洞。
2.安全策略：制定合理的安全策略，包括防火墙策略、访问控制策略、加密策略等，确保系统的安全性。
联想网御安全隔离与信息交换系统
产品概述
网御SIS-3000安全隔离与信息交换系统通过专有的安全交换模块实现内外网络的安全
隔离，独创的SIS安全隔离技术把安全性、智能性、高效性等特点完美的结合在一起。
数据只能以专有数据块方式静态地在内外网间进行“信息摆渡”，切断了内外网络之间的任何连
接，从而保障数据安全、可靠、高效的交换。
可广泛应用于政府、企业、军队中不同安全等级的网络之间的安全隔离与信息交换。
产品特点
采用专有的安全隔离硬件，保证任意时刻内外网络的安全隔离基于信息摆渡机制和专有协议，
阻止任何TCP/IP连接直接穿透
提供基于应用层协议的细粒度安全检测，有效确保交换数据内容的安全可控具备数据迁移型
和数据访问型两种模式，应用面广功能模块化设计，菜单式选购，扩展灵活方便
采用专有高速交换总线和 DMA通道流水线技术，交换速率达到业界领先水平支持双机热备及
负载均衡功能，采用1 + 1冗余电源设计（可选），为用户提供不间
断服务
提供方便的开发接口，完全满足定制用户的个性化安全策略需求
产品资质
公安部销售许可证：XKC30361
国家信息安全测评认证中心注册号：CNITSEC2003TYP236
国家保密局产品检测证书：ISSTEC2004YT0143
中国人民解放军信息安全测评认证中心注册号：军密认字第0343号
国家版权局计算机软件著作权登记号：2003SR3221。
网神安全产品安装调试指导手册网神SecSIS 3600安全隔离与信息交换系统目录1网神SecSIS 3600安全隔离与信息交换系统产品常用功能描述和使用说明 ....................................................... 2网神SecSIS 3600安全隔离与信息交换系统产品常见应用场景说明 ...................................................................2.1数据库安全同步解决方案.....................................................................................................................................2.2安全邮件收发解决方案.........................................................................................................................................2.3安全文件交换解决方案.........................................................................................................................................2.4安全FTP访问解决方案 ........................................................................................................................................2.5安全浏览解决方案................................................................................................................................................. 3准备工作.....................................................................................................................................................................3.1了解实际用户网络环境或主机环境 .....................................................................................................................3.1.1网络环境.............................................................................................................................................................3.1.2主机环境.............................................................................................................................................................3.2了解实际用户应用及安全需求 .............................................................................................................................3.2.1业务模式.............................................................................................................................................................3.2.2安全需求.............................................................................................................................................................3.3开箱、加电.............................................................................................................................................................3.3.1设备开箱.............................................................................................................................................................3.3.2设备加电.............................................................................................................................................................3.3.3安全注意事项.....................................................................................................................................................3.4管理网神SecSIS 3600安全隔离与信息交换系统...............................................................................................3.4.1WEB界面方式.......................................................................................................................................................3.4.2命令行方式.........................................................................................................................................................3.4.3其它方式.............................................................................................................................................................3.5如何申请许可证和激活网神SecSIS 3600安全隔离与信息交换系统产品功能模块 .......................................3.5.1申请License .......................................................................................................................................................3.5.2导入License ....................................................................................................................................................... 4初级“假设法”手把手教您如何快速安装部署网闸产品......................................................................................4.1网闸网络配置......................................................................................................................................................... 5中级“假设法”手把手教您如何快速调试网闸产品的基本功能..........................................................................5.1安全浏览.................................................................................................................................................................5.1.1客户需求.............................................................................................................................................................5.1.2网络配置.............................................................................................................................................................5.1.3网闸具体配置.....................................................................................................................................................5.2安全FTP.................................................................................................................................................................5.2.1客户需求.............................................................................................................................................................5.2.2网络配置.............................................................................................................................................................5.2.3网闸具体配置.....................................................................................................................................................5.3FTP访问.................................................................................................................................................................5.3.1客户需求.............................................................................................................................................................5.3.2网络配置.............................................................................................................................................................5.3.3网闸具体配置.....................................................................................................................................................5.4数据库访问.............................................................................................................................................................5.4.1客户需求.............................................................................................................................................................5.4.2网络配置.............................................................................................................................................................5.4.3网闸具体配置.....................................................................................................................................................5.5邮件访问.................................................................................................................................................................5.5.1客户需求.............................................................................................................................................................5.5.2网络配置.............................................................................................................................................................5.5.3网闸具体配置.....................................................................................................................................................5.6定制模块.................................................................................................................................................................5.6.1客户需求.............................................................................................................................................................5.6.2网络配置.............................................................................................................................................................5.6.3网闸具体配置..................................................................................................................................................... 6常见问题答疑............................................................................................................................................................. 网神SecSIS 3600安全隔离与信息交换系统产品常用功能描述和使用说明网御神州SecSIS 3600安全隔离与信息交换系统根据不同的应用需求，量身定制功能模块，满足用户的不同应用需求，主要包括：网络配置：完成设备网络参数的基本配置以及高可用性（双机负载）的配置管理员配置：管理员源地址的访问控制，权限分配，新增管理员及参数设置。
网御安全隔离与信息交换系统技术白皮书V4.5北京网御星云信息技术有限公司网御安全隔离与信息交换系统技术白皮书目录引言 (1)1产品概述 (2)1.1产品定位 (2)1.2工作原理 (2)1.3技术特性 (3)2系统架构 (5)2.1硬件架构 (5)2.2软件架构 (7)3产品特色 (8)3.1高安全的架构设计 (8)3.2高速隔离交换性能 (8)3.3专家级的数据安全 (8)3.4广泛的应用适用性 (9)3.5业内领先高可靠性 (9)4技术优势 (10)4.1安全性技术优势 (10)4.1.1安全的隔离硬件 (10)4.1.2安全的操作系统 (10)4.1.3应用协议内容安全 (10)4.1.4网络层安全 (11)4.1.5强的抗攻击能力 (12)4.1.6防IP地址盗用 (12)4.2高性能技术优势 (12)4.2.1并行处理技术 (12)4.2.2协议自动处理技术 (12)4.2.3双摆渡传输技术 (12)4.2.4链路聚合技术 (13)4.3适用性技术优势 (13)4.3.1灵活的多网隔离 (13)4.3.2灵活的安装部署 (13)4.4可靠性技术优势 (13)4.4.1端口冗余 (13)4.4.2双机热备 (13)网御安全隔离与信息交换系统技术白皮书4.4.3动态负载均衡 (14)4.5易管理技术优势 (14)4.5.1强大、多样的管理方式 (14)4.5.2高效的集中式管理系统 (14)4.5.3完善的日志和审计 (15)4.5.4友好的管理界面 (15)4.6核心技术优势 (15)4.6.1领先的多网隔离 (16)4.6.2独创的硬件架构 (16)4.6.3超强的抗攻击能力 (17)5基本功能 (18)6运行环境 (20)7典型应用 (21)7.1数据同步 (21)7.1.1数据库同步 (21)7.1.2文件同步 (21)7.2代理访问 (22)图片索引图1网御网闸工作原理图 (3)图2网御网闸硬件架构原理图 (6)图3网御网闸系统软件架构图 (7)图5网御网闸数据库同步功能示意图 (21)图6网御网闸文件同步功能示意图 (22)图7网御网闸代理访问功能示意图 (23)网御安全隔离与信息交换系统技术白皮书引言Michael Bobbin（《计算机安全杂志》主编）说，“保证一个系统真正安全的途径只有一个：断开网络，这也许正在成为一个真正的解决方案。
”在政府、国防、能源等很多重要领域，对数据机密性、网络平稳性、业务连续性要求极高，坚如磐石的安全保障尤其关键。
市场需求催生了安全技术的创新，在上世纪90年代中期俄罗斯人Ry Jones首先提出“AirGap”隔离概念，然后，以色列研制成功物理隔离卡，实现网络之间的安全隔离；其后，美国Whale Communications公司和以色列SpearHead公司先后推出了e-Gap和NetGap产品，利用专有硬件实现两个网络在不连通的情况下数据的安全交换和资源共享，从而使安全隔离技术从单纯实现“网络隔离禁止交换”发展到“安全隔离和可靠、可控交换”。
目前，美国军方、重要政府部门均采用隔离技术保障信息安全，我国的安全隔离技术的发展同样经历了类似的过程。
我司根据国家相关政策和标准，开发出网御安全隔离与信息交换系统SIS3000系列产品，它凭借强大的功能、卓越的性能、以及遍及全国各地的完善客户服务机构和保障体系为用户的网络隔离安全提供最全面、最安全的解决方案。
网御安全隔离与信息交换系统技术白皮书1产品概述1.1产品定位网御SIS3000系列是网御依靠多年信息安全产品研发的积累，严格遵照国家有关主管部门的设计规范要求，具有完全自主知识产权的安全隔离与信息交换系统。
该产品是利用网络隔离技术的访问控制产品，处于网络边界，连接两个或多个安全等级不同的网络，主要应用于政府部门网络建设中，对重点数据提供高安全隔离的保护。
政府部门的主要应用定位包括：●各政府部门对外提供各项便民服务的接口，内网数据必须部分要共享到外网。
●各政府部门的不同安全域之间进行数据交换的接口。
●各政府部门与业务相关的其他政府部门之间进行数据交换的接口。
国家保密局对安全隔离与信息交换类产品的应用也做了规定，规定安全隔离与信息交换系统在以下四种网络环境下应用：●不同的涉密网络之间；●同一涉密网络的不同安全域之间；●与Internet物理隔离的网络与秘密级涉密网络之间；●未与涉密网络连接的网络与Internet之间。
广义的应用定义，以下环境可推荐应用网闸：●原有绝对物理隔离的网络，现有数据交换的需要；●要加强现有网络边界安全，实现网络间安全隔离的前提下进行信息交换；1.2工作原理安全隔离技术的工作原理是使用带有多种控制功能的固态开关读写介质连接两个独立的主机系统，模拟人工在两个隔离网络之间的信息交换。
其本质在于：两个独立主机系统之间，不存在通信的物理连接和逻辑连接，不存在依据TCP/IP协议的信息包转网御安全隔离与信息交换系统技术白皮书发，只有格式化数据块的无协议“摆渡”。
被隔离网络之间的数据传递方式采用完全的私有方式，不具备任何通用性。
安全隔离与信息交换系统两侧网络之间所有的TCP/IP连接在其主机系统上都要进行完全的应用协议还原，还原后的应用层信息根据用户的策略进行强制检查后，以格式化数据块的方式通过隔离交换矩阵进行单向交换，在另外一端的主机系统上通过自身建立的安全会话进行最终的数据通信，即实现“协议落地、内容检测”。
这样，既从物理上隔离、阻断了具有潜在攻击可能的一切连接，又进行了强制内容检测，从而实现最高级别的安全。
图1网御网闸工作原理图1.3技术特性安全隔离与信息交换系统架构主要由内网主机系统、外网主机系统和隔离交换矩阵三部分构成。
内网主机系统与内网相连，外网主机系统与外网相连，内/外网主机系统分别负责内外网信息的获取和协议分析，隔离交换矩阵根据安全策略完成信息的安全检测，内外网络之间的安全交换。
整个系统具备以下技术特性：多网络隔离的体系结构，通过专用硬件完成两侧信息的“摆渡”。
网御安全隔离与信息交换系统技术白皮书●被隔离网络之间任何时刻不产生物理连接。
●内/外网主机系统之间没有网络协议逻辑连接，通过隔离交换矩阵的全部是应用层数据，也就是OSI模型的七层协议全部断开。
●数据交换方式完全私有，不具备可编程性。
网御安全隔离与信息交换系统技术白皮书2系统架构2.1硬件架构现在国内安全隔离与信息交换系统业内的硬件架构设计主要有：双主机架构、三主机架构和“2+1”架构三种，下表为三种硬件架构的简要说明和对比分析。
架构名称架构组成安全分析安全性性能双主机架构硬件由内网机、外网机和连接硬件组成，连接硬件如网线、SCSI线、USB线等两主机完成协议终止和内容检查，连接硬件采用通用可编程硬件低高三主机架构硬件由内网机、仲裁机、外网机组成内网机和外网机完成协议终止，仲裁机独立完成数据检查高低“2＋1”架构硬件由内网机、外网机两个主机系统和一个隔离交换矩阵组成两主机完成协议终止和内容检查，隔离交换矩阵不受主机系统控制高高基于安全隔离与信息交换系统要在硬件上实现接近于物理隔离的原则，就要求系统的三部分硬件必须互相独立，并且通过隔离交换硬件实现切换来确保内外网两个主机系统任何时刻不直接相连。
网御SIS3000系列安全隔离与信息交换系统硬件架构采用“2+1”模型结构设计，即内网主机系统、外网主机系统加上隔离交换矩阵。
内外主机系统采用专有工控主板设计，性能稳定、质量可靠，隔离交换矩阵采用专有硬件交换电路设计的双通道隔离交换模块，隔离交换模块拥有完全的自主知识产权。
隔离交换模块基于专有的Leadsec安全隔离芯片和交换芯片，是内外网主机系统唯一的连接部件，因此内外主机系统之间不存在任何网络设备连接。
其中，Leadsec安全隔离芯片通过多线程并行固化处理将数据块转化为自有协议格式的数据包，交换芯片的交换子系统和开关控制子系统实现对数据的临时缓存和安全交换。
硬件架构如下图所示：网御安全隔离与信息交换系统技术白皮书图2网御网闸硬件架构原理图通过交换芯片的开关控制子系统，隔离交换模块首先断开彼此之间的物理连接，分别通过Leadsec安全隔离芯片连接内外网主机系统，内外网主机系统通过Leadsec安全隔离芯片将数据块封装为自有协议格式写入交换芯片的交换子系统和/或通过Leadsec 安全隔离芯片读出交换子系统缓存将自有协议格式数据拆封为数据块，完成一次摆渡；然后隔离交换模块通过开关控制子系统断开与内外网主机系统的连接，彼此之间建立连接，自动进行协商，实现数据交换，完成二次摆渡。
通过这种双摆渡技术，内外网络永远不会直接连接，由于采用专门设计的硬件隔离交换模块进行数据交换，没有任何管理接口，因此，内外网主机系统之间无法进行基于网络协议的数据交换，从而从硬件层面保证了内外网主机系统之间的安全隔离。
隔离交换模块具有独立的硬件交换控制逻辑，无OS及任何“软”控制，自主完成数据的交换，主机系统只负责把数据块传递到隔离交换模块，由隔离交换模块根据硬件控制逻辑自动完成自有协议的封装和数据交换，自动同步两侧控制逻辑，进行互斥的读写操作，同时还具有自动数据完成性校验，当发现数据错误时，自动重传，保证数据的网御安全隔离与信息交换系统技术白皮书完全正确，从而实现内外网主机系统真正的物理隔离交换。
2.2软件架构网御SIS3000系列安全隔离与信息交换系统通过基本模块实现关键的数据交换功能，它是内外网主机系统进行信息交换的唯一接口，其他任何功能模块都建立在基本模块之上，通过核心层驱动程序的设计和隔离交换模块高速全双工流水线设计，使得内部数据交换达到最大的性能。
其他各功能模块建立在对通信过程七层还原的基础上，以模块化设计。
对常见的网络协议以独立的功能模块完成，用户可根据不同的应用需求选用，系统还提供应用层检测二次开发功能来适应特殊的用户需求。
此外，系统提供基于数字认证的多种远程管理功能，功能强大的集中管理、日志审计等多种管理手段，有效的帮助用户使用和管理安全隔离与信息交换系统。
每个主机系统的软件系统架构如下图所示。
图3网御网闸系统软件架构图网御安全隔离与信息交换系统技术白皮书3产品特色3.1高安全的架构设计率先提出“2＋1”系统架构，不是多主机架构或双主机架构。
●安全的“2＋1”的系统架构：“内网主机”＋“交换隔离矩阵”＋“外网主机”；●内/外网主机专用的自主知识产权的操作系统VSP，固化于硬件中，防篡改；●安全的内外网独立管理机制；3.2高速隔离交换性能最早突破网闸性能瓶颈：●高速的安全隔离芯片和交换芯片，有力提高交换性能；●系统内部的并行处理、线程池等技术，提高了内容检查、过滤、协议分析、病毒扫描等效率；3.3专家级的数据安全高效的病毒扫描和细粒度的内容过滤技术，打造数据安全专家。
