網(wǎng)閘是使用帶有多種控制功能的固態(tài)開關(guān)讀寫介質(zhì)，連接兩個(gè)獨(dú)立主機(jī)系統(tǒng)的信息安全設(shè)備。由于兩個(gè)獨(dú)立的主機(jī)系統(tǒng)通過網(wǎng)閘進(jìn)行隔離，使系統(tǒng)間不存在通信的物理連接、邏輯連接及信息傳輸協(xié)議，不存在依據(jù)協(xié)議進(jìn)行的信息交換，而只有以數(shù)據(jù)文件形式進(jìn)行的無(wú)協(xié)議擺渡。因此，網(wǎng)閘從物理上隔離、阻斷了對(duì)內(nèi)網(wǎng)具有潛在攻擊可能的一切網(wǎng)絡(luò)連接，使外部攻擊者無(wú)法直接入侵、攻擊或破壞內(nèi)網(wǎng)，保障了內(nèi)部主機(jī)的安全。
概念
網(wǎng)閘是使用帶有多種控制功能的固態(tài)開關(guān)讀寫介質(zhì)連接兩個(gè)獨(dú)立主機(jī)系統(tǒng)的信息安全設(shè)備。由于物理隔離網(wǎng)閘所連接的兩個(gè)獨(dú)立主機(jī)系統(tǒng)之間，不存在通信的物理連接、邏輯連接、信息傳輸命令、信息傳輸協(xié)議，不存在依據(jù)協(xié)議的信息包轉(zhuǎn)發(fā)，只有數(shù)據(jù)文件的無(wú)協(xié)議"擺渡"，且對(duì)固態(tài)存儲(chǔ)介質(zhì)只有"讀"和"寫"兩個(gè)命令。所以，物理隔離網(wǎng)閘從物理上隔離、阻斷了具有潛在攻擊可能的一切連接，使"黑客"無(wú)法入侵、無(wú)法攻擊、無(wú)法破壞，實(shí)現(xiàn)了真正的安全。
安全隔離與信息交換系統(tǒng)，即網(wǎng)閘，是新一代高安全度的企業(yè)級(jí)信息安全防護(hù)設(shè)備，它依托安全隔離技術(shù)為信息網(wǎng)絡(luò)提供了更高層次的安全防護(hù)能力，不僅使得信息網(wǎng)絡(luò)的抗攻擊能力大大增強(qiáng)，而且有效地防范了信息外泄事件的發(fā)生。
第一代網(wǎng)閘的技術(shù)原理是利用單刀雙擲開關(guān)使得內(nèi)廣域網(wǎng)的處理單元分時(shí)存取共享存儲(chǔ)設(shè)備來(lái)完成數(shù)據(jù)交換的，實(shí)現(xiàn)了在空氣縫隙隔離(Air Gap)情況下的數(shù)據(jù)交換，安全原理是通過應(yīng)用層數(shù)據(jù)提取與安全審查達(dá)到杜絕基于協(xié)議層的攻擊和增強(qiáng)應(yīng)用層安全的效果。
第二代網(wǎng)閘正是在吸取了第一代網(wǎng)閘優(yōu)點(diǎn)的基礎(chǔ)上，創(chuàng)造性地利用全新理念的專用交換通道PET(Private Exchange Tunnel)技術(shù)，在不降低安全性的前提下能夠完成內(nèi)外網(wǎng)之間高速的數(shù)據(jù)交換，有效地克服了第一代網(wǎng)閘的弊端，第二代網(wǎng)閘的安全數(shù)據(jù)交換過程是通過專用硬件通信卡、私有通信協(xié)議和加密簽名機(jī)制來(lái)實(shí)現(xiàn)的，雖然仍是通過應(yīng)用層數(shù)據(jù)提取與安全審查達(dá)到杜絕基于協(xié)議層的攻擊和增強(qiáng)應(yīng)用層安全效果的，但卻提供了比第一代網(wǎng)閘更多的網(wǎng)絡(luò)應(yīng)用支持，并且由于其采用的是專用高速硬件通信卡，使得處理能力大大提高，達(dá)到第一代網(wǎng)閘的幾十倍之多，而私有通信協(xié)議和加密簽名機(jī)制保證了內(nèi)外處理單元之間數(shù)據(jù)交換的機(jī)密性、完整性和可信性，從而在保證安全性的同時(shí)，提供更好的處理性能，能夠適應(yīng)復(fù)雜網(wǎng)絡(luò)對(duì)隔離應(yīng)用的需求。
組成
安全隔離網(wǎng)閘是由軟件和硬件組成。隔離網(wǎng)閘分為兩種架構(gòu)，一種為雙主機(jī)的2+1結(jié)構(gòu)，另一種為三主機(jī)的三系統(tǒng)結(jié)構(gòu)。2+1的安全隔離網(wǎng)閘的硬件設(shè)備由三部分組成：外部處理單元、內(nèi)部處理單元、隔離安全數(shù)據(jù)交換單元。安全數(shù)據(jù)交換單元不同時(shí)與內(nèi)廣域網(wǎng)處理單元連接，為2+1的主機(jī)架構(gòu)。隔離網(wǎng)閘采用SU-Gap安全隔離技術(shù)，創(chuàng)建一個(gè)內(nèi)、外網(wǎng)物理斷開的環(huán)境。三系統(tǒng)的安全隔離網(wǎng)閘的硬件也由三部分組成：外部處理單元（外端機(jī)）、內(nèi)部處理單元（內(nèi)端機(jī)）、仲裁處理單元（仲裁機(jī)），各單元之間采用了隔離安全數(shù)據(jù)交換單元。
意義
為什么要使用安全隔離網(wǎng)閘呢？其意義是：
（一）當(dāng)用戶的網(wǎng)絡(luò)需要保證高強(qiáng)度的安全，同時(shí)又與其它不信任網(wǎng)絡(luò)進(jìn)行信息交換的情況下，如果采用物理隔離卡，用戶必須使用開關(guān)在內(nèi)廣域網(wǎng)之間來(lái)回切換，不僅管理起來(lái)非常麻煩，使用起來(lái)也非常不方便，如果采用防火墻，由于防火墻自身的安全很難保證，所以防火墻也無(wú)法防止內(nèi)部信息泄漏和外部病毒、黑客程序的滲入，安全性無(wú)法保證。在這種情況下，安全隔離網(wǎng)閘能夠同時(shí)滿足這兩個(gè)要求，彌補(bǔ)了物理隔離卡和防火墻的不足之處，是最好的選擇。
（二）對(duì)網(wǎng)絡(luò)地隔離是通過網(wǎng)閘隔離硬件實(shí)現(xiàn)兩個(gè)網(wǎng)絡(luò)在鏈路層斷開，但是為了交換數(shù)據(jù)，通過設(shè)計(jì)的隔離硬件在兩個(gè)網(wǎng)絡(luò)對(duì)應(yīng)的上進(jìn)行切換，通過對(duì)硬件上的存儲(chǔ)芯片的讀寫，完成數(shù)據(jù)的交換。
（三）安裝了相應(yīng)的應(yīng)用模塊之后，安全隔離網(wǎng)閘可以在保證安全的前提下，使用戶可以瀏覽網(wǎng)頁(yè)、收發(fā)電子郵件、在不同網(wǎng)絡(luò)上的數(shù)據(jù)庫(kù)之間交換數(shù)據(jù)，并可以在網(wǎng)絡(luò)之間交換定制的文件。
性能指標(biāo)
安全隔離網(wǎng)閘的主要性能指標(biāo)有那些呢？其性能指標(biāo)包括：
系統(tǒng)數(shù)據(jù)交換速率：120Mbps
硬件切換時(shí)間：5ms
主要功能
1.有哪些功能模塊：安全隔離閘門的功能模塊有：
安全隔離、內(nèi)核防護(hù)、協(xié)議轉(zhuǎn)換、病毒查殺、訪問控制、安全審計(jì)、身份認(rèn)證
2.防止未知和已知木馬攻擊：
為什么說(shuō)安全隔離網(wǎng)閘能夠防止未知和已知木馬攻擊？
通常見到的木馬大部分是基于TCP的，木馬的客戶端和服務(wù)器端需要建立連接，而安全隔離網(wǎng)閘由于使用了自定義的私有協(xié)議（不同于通用協(xié)議）。使得支持傳統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)的所有協(xié)議均失效，從原理實(shí)現(xiàn)上就切斷所有的TCP連接，包括UDP、ICMP等其他各種協(xié)議，使各種木馬無(wú)法通過安全隔離網(wǎng)閘進(jìn)行通訊。從而可以防止未知和已知的木馬攻擊。
3.具有防病毒措施：
安全隔離網(wǎng)閘具有防病毒措施嗎？
作為提供數(shù)據(jù)交換的隔離設(shè)備，安全隔離網(wǎng)閘上內(nèi)嵌病毒查殺的功能模塊，可以對(duì)交換的數(shù)據(jù)進(jìn)行病毒檢查。
區(qū)別
物理隔離卡
安全隔離網(wǎng)閘與物理隔離卡最主要的區(qū)別是，安全隔離網(wǎng)閘能夠?qū)崿F(xiàn)兩個(gè)網(wǎng)絡(luò)間的自動(dòng)的安全適度的信息交換，而物理隔離卡只能提供一臺(tái)計(jì)算機(jī)在兩個(gè)網(wǎng)之間切換，并且需要手動(dòng)操作，大部分的隔離卡還要求系統(tǒng)重新啟動(dòng)以便切換HDD。
網(wǎng)絡(luò)交換信息
安全隔離網(wǎng)閘在網(wǎng)路間進(jìn)行的安全適度的信息交換是在網(wǎng)絡(luò)之間不存在鏈路層連接的情況下進(jìn)行的。安全隔離網(wǎng)閘直接處理網(wǎng)絡(luò)間的應(yīng)用層數(shù)據(jù)，利用存儲(chǔ)轉(zhuǎn)發(fā)的方法進(jìn)行應(yīng)用數(shù)據(jù)的交換，在交換的同時(shí)，對(duì)應(yīng)用數(shù)據(jù)進(jìn)行的各種安全檢查。路由器、交換機(jī)則保持鏈路層暢通，在鏈路層之上進(jìn)行IP包等網(wǎng)絡(luò)層數(shù)據(jù)的直接轉(zhuǎn)發(fā)，沒有考慮網(wǎng)絡(luò)安全和數(shù)據(jù)安全的問題。
與防火墻的區(qū)別
防火墻一般在進(jìn)行IP包轉(zhuǎn)發(fā)的同時(shí)，通過對(duì)IP包的處理，實(shí)現(xiàn)對(duì)TCP會(huì)話的控制，但是對(duì)應(yīng)用數(shù)據(jù)的內(nèi)容不進(jìn)行檢查。這種工作方式無(wú)法防止泄密，也無(wú)法防止病毒和黑客程序的攻擊。
能取代防火墻嗎？
無(wú)論從功能還是實(shí)現(xiàn)原理上講，安全隔離網(wǎng)閘和防火墻是完全不同的兩個(gè)產(chǎn)品，防火墻是保證網(wǎng)絡(luò)層安全的邊界安全工具（如通常的非軍事化區(qū)），而安全隔離網(wǎng)閘重點(diǎn)是保護(hù)內(nèi)部網(wǎng)絡(luò)的安全。因此兩種產(chǎn)品由于定位的不同，因此不能相互取代。
單系統(tǒng)的設(shè)備安全？
單系統(tǒng)的設(shè)備如（信息流轉(zhuǎn)器）不是安全隔離網(wǎng)閘設(shè)備。類似的單系統(tǒng)一旦系統(tǒng)遭受到攻擊，攻擊者完全有可能在單系統(tǒng)的兩張網(wǎng)卡之間建立起路由，從而內(nèi)部網(wǎng)絡(luò)會(huì)完全暴露。
隔離需要專用硬件？
需要，隔離硬件一般都由GAP廠商提供，其中對(duì)高速切換裝置的切換頻率要求非常高。
用1394連接網(wǎng)閘
使用專用隔離硬件的安全隔離網(wǎng)閘的安全隔離是在硬件上實(shí)現(xiàn)的，在隔離硬件上固化了模擬開關(guān)，無(wú)法通過軟件編程方式進(jìn)行改變而通過1394或者串行通訊接口連接兩臺(tái)或多臺(tái)系統(tǒng)，其上的隔離切換實(shí)質(zhì)上是通過軟件來(lái)實(shí)現(xiàn)的，其安全性和用標(biāo)準(zhǔn)以太網(wǎng)卡相連的兩臺(tái)PC無(wú)異。由此可知1394或者串口實(shí)現(xiàn)的“軟隔離”在安全性上和安全隔離網(wǎng)閘不具可比性，相差甚遠(yuǎn)。
其它問題
（一）安全隔離網(wǎng)閘通常布置在什么位置？
安全隔離網(wǎng)閘通常布置在兩個(gè)安全級(jí)別不同的兩個(gè)網(wǎng)絡(luò)之間，如信任網(wǎng)絡(luò)和非信任網(wǎng)絡(luò)，管理員可以從信任網(wǎng)絡(luò)一方對(duì)安全隔離網(wǎng)閘進(jìn)行管理。
（二）安全隔離網(wǎng)閘的部署是否需要對(duì)網(wǎng)絡(luò)架構(gòu)作調(diào)整？
采用透明方式的網(wǎng)閘只需要在兩個(gè)網(wǎng)絡(luò)各提供一個(gè)有效的IP地址即可。采用路由模式的網(wǎng)閘要求一定的改動(dòng)。有的網(wǎng)閘支持兩種連接方式。有的只支持一種。只支持路由模式的網(wǎng)閘就會(huì)要求對(duì)網(wǎng)絡(luò)結(jié)構(gòu)有改動(dòng)。
（三）安全隔離網(wǎng)閘是否可以在網(wǎng)絡(luò)內(nèi)部使用？
可以，網(wǎng)絡(luò)內(nèi)部安全級(jí)別不同的兩個(gè)網(wǎng)絡(luò)之間也可以安裝安全隔離網(wǎng)閘進(jìn)行隔離。
（四）安全隔離網(wǎng)閘支持交互式訪問嗎？
鑒于安全隔離網(wǎng)閘保護(hù)的主要是內(nèi)部網(wǎng)絡(luò)，一旦支持交互式訪問如支持建立會(huì)話，那么無(wú)法防止信息的泄漏以及內(nèi)部系統(tǒng)遭受攻擊，因此，安全隔離網(wǎng)閘不支持交互式訪問.
（五）支持反向代理的安全隔離網(wǎng)閘安全嗎？
支持反向代理意味著可以從非信任網(wǎng)絡(luò)間接授權(quán)訪問信任網(wǎng)絡(luò)上的資源，一旦代理軟件在安全檢查或者軟件實(shí)現(xiàn)上出現(xiàn)問題，那么很有可能會(huì)被黑客利用并非法存取內(nèi)部資源。因此從安全性上講，支持反向代理的安全隔離網(wǎng)閘不安全。
（六）如果對(duì)應(yīng)網(wǎng)絡(luò)七層協(xié)議，安全隔離網(wǎng)閘是在哪一層斷開？
如果針對(duì)網(wǎng)絡(luò)七層協(xié)議，安全隔離網(wǎng)閘是在硬件鏈路層上斷開。
（七）安全隔離網(wǎng)閘支持百兆網(wǎng)絡(luò)嗎？千兆網(wǎng)絡(luò)如何支持？
安全隔離網(wǎng)閘支持百兆網(wǎng)絡(luò)，目前國(guó)內(nèi)最快的可以達(dá)到120MBps。對(duì)于千兆網(wǎng)絡(luò)，可以采用多臺(tái)安全隔離網(wǎng)閘進(jìn)行負(fù)載均衡。
（八）安全隔離網(wǎng)閘自身的安全性如何？
安全隔離網(wǎng)閘雙處理單元上都采用了安全加固的操作系統(tǒng)，包括強(qiáng)制訪問控制、基于內(nèi)核的入侵檢測(cè)等安全功能，并且該系統(tǒng)得到國(guó)家權(quán)威部門的認(rèn)證。
（九）安全隔離網(wǎng)閘有身份認(rèn)證機(jī)制嗎？
有。安全隔離網(wǎng)閘在用于郵件轉(zhuǎn)發(fā)和網(wǎng)頁(yè)瀏覽的時(shí)候，對(duì)用戶進(jìn)行用戶名/口令、證書認(rèn)證等多種形式的身份認(rèn)證。
（十）有了防火墻和IDS，還需要安全隔離網(wǎng)閘嗎？
防火墻是網(wǎng)絡(luò)層邊界檢查工具，可以設(shè)置規(guī)則對(duì)內(nèi)部網(wǎng)絡(luò)進(jìn)行安全防護(hù)，而IDS一般是對(duì)已知攻擊行為進(jìn)行檢測(cè)，這兩種產(chǎn)品的結(jié)合可以很好的保護(hù)用戶的網(wǎng)絡(luò)，但是從安全原理上來(lái)講，無(wú)法對(duì)內(nèi)部網(wǎng)絡(luò)做更深入的安全防護(hù)。安全隔離網(wǎng)閘重點(diǎn)是保護(hù)內(nèi)部網(wǎng)絡(luò)，如果用戶對(duì)內(nèi)部網(wǎng)絡(luò)的安全非常在意，那么防火墻和IDS再加上安全隔離網(wǎng)閘將會(huì)形成一個(gè)很好的防御體系。
（十一）受安全隔離網(wǎng)閘保護(hù)的內(nèi)部網(wǎng)絡(luò)需要不斷升級(jí)嗎？
安全隔離網(wǎng)閘首先在鏈路層斷開，徹底切斷網(wǎng)絡(luò)連接，并僅允許僅有的四種指定靜態(tài)數(shù)據(jù)進(jìn)行交換，對(duì)外不接受請(qǐng)求，并且在內(nèi)部用戶訪問外部網(wǎng)絡(luò)時(shí)采用靜態(tài)頁(yè)面返回（過濾ActiveX、Java、cookie等），并且木馬無(wú)法通過安全隔離網(wǎng)閘進(jìn)行通訊，因此內(nèi)部網(wǎng)絡(luò)針對(duì)外部的攻擊根本無(wú)需升級(jí)。
（十二）為什么受防火墻保護(hù)的內(nèi)部網(wǎng)絡(luò)需要不斷升級(jí)？
防火墻是在網(wǎng)絡(luò)層對(duì)數(shù)據(jù)包作安全檢查，并不切斷網(wǎng)絡(luò)連接，很多案例證明無(wú)論包過濾還是代理防火墻都很難防止木馬病毒的入侵內(nèi)部網(wǎng)絡(luò)，Nimda繞過很多防火墻的檢查并在全世界肆虐就是一個(gè)很好的例證，因此需要用戶的內(nèi)部網(wǎng)絡(luò)不斷升級(jí)自己的客戶端如瀏覽器。
（十三）安全隔離網(wǎng)閘能否防止內(nèi)部無(wú)意信息泄漏？
由于安全隔離網(wǎng)閘在數(shù)據(jù)交換時(shí)采用了證書機(jī)制，對(duì)所有的信息進(jìn)行證書驗(yàn)證，因此對(duì)于那些病毒亂發(fā)郵件所造成的無(wú)意信息泄漏起到很好的防范作用。
（十四）使用安全隔離網(wǎng)閘時(shí)需要安裝客戶端嗎？
有的網(wǎng)閘管理員使用通用的瀏覽器即可對(duì)其進(jìn)行管理配置，使用安全隔離網(wǎng)閘時(shí)不需安裝其他客戶端。但是這種方式具有極大的安全風(fēng)險(xiǎn)，因?yàn)檫h(yuǎn)程連接會(huì)引入安全威脅，而這種對(duì)于控制口的攻擊更為嚴(yán)重。所以安全性要求高的網(wǎng)閘，不允許通過遠(yuǎn)程進(jìn)行配置，只允許通過專有的配置程序，也就是客戶端通過串行通訊接口進(jìn)行配置。一些重要部門均不允許對(duì)網(wǎng)閘具有遠(yuǎn)程配置的功能。
（十五）安全隔離網(wǎng)閘接受外來(lái)請(qǐng)求嗎？
不接受，安全隔離網(wǎng)閘上的數(shù)據(jù)交換全部由管理員來(lái)進(jìn)行配置，其所有的請(qǐng)求都由安全隔離網(wǎng)閘主動(dòng)發(fā)起，不接受外來(lái)請(qǐng)求，不提供任何系統(tǒng)服務(wù)。如果接受遠(yuǎn)程配置，就會(huì)接受外來(lái)的請(qǐng)求，造成嚴(yán)重的安全問題。
（十六）安全隔離網(wǎng)閘是否支持所連接的兩個(gè)網(wǎng)絡(luò)的網(wǎng)段地址相同？
支持。
（十七）安全隔離網(wǎng)閘的主機(jī)系統(tǒng)是否經(jīng)過安全加固？
由于從網(wǎng)絡(luò)架構(gòu)上來(lái)講，安全隔離網(wǎng)閘是處在網(wǎng)關(guān)的位置，因此其自身安全性非常重要，兩個(gè)處理單元加固包括硬件加固、操作系統(tǒng)加固以及協(xié)議的加固。詳情見擴(kuò)展閱讀3.
（十八）安全隔離網(wǎng)閘采用什么樣的接口？有幾個(gè)接口？
安全隔離網(wǎng)閘通常提供2個(gè)標(biāo)準(zhǔn)以太網(wǎng)百兆接口。
（十九）安全隔離網(wǎng)閘如何管理，支持遠(yuǎn)程管理嗎？
安全性高的安全隔離網(wǎng)閘不支持遠(yuǎn)程管理。
（二十）安全隔離網(wǎng)閘適用于大規(guī)模的部署嗎？
安全隔離網(wǎng)閘的安全部署不需對(duì)現(xiàn)有網(wǎng)絡(luò)作調(diào)整，同時(shí)支持多臺(tái)冗余
（二十一）安全隔離網(wǎng)閘適用于什么樣的場(chǎng)合？
如果用戶的網(wǎng)絡(luò)上存儲(chǔ)著重要的數(shù)據(jù)、運(yùn)行著重要的應(yīng)用，通過防火墻等措施不能提供足夠高的安全性保護(hù)的情況下，可以考慮使用安全隔離網(wǎng)閘。
（二十二）安全隔離網(wǎng)閘直接轉(zhuǎn)發(fā)IP包嗎？
否。安全隔離網(wǎng)閘從不直接或者間接地轉(zhuǎn)發(fā)IP包形式的數(shù)據(jù)。安全隔離網(wǎng)閘的安全性體現(xiàn)在鏈路層斷開，直接處理應(yīng)用層數(shù)據(jù)，對(duì)應(yīng)用層數(shù)據(jù)進(jìn)行內(nèi)容檢查和控制，在網(wǎng)絡(luò)之間交換的數(shù)據(jù)都是應(yīng)用層的數(shù)據(jù)。如果直接轉(zhuǎn)發(fā)IP的話，由于單個(gè)IP包中一般不包含完整的應(yīng)用數(shù)據(jù)，所以無(wú)法進(jìn)行全面的內(nèi)容檢查和控制，也就無(wú)法保證應(yīng)用層的安全。因此，如果直接轉(zhuǎn)發(fā)IP包，則背離了安全隔離網(wǎng)閘的安全性要求，不能稱為安全隔離網(wǎng)閘。
網(wǎng)閘技術(shù)
由兩套各自獨(dú)立的系統(tǒng)分別連接安全和非安全的網(wǎng)絡(luò)，兩套系統(tǒng)之間通過網(wǎng)閘進(jìn)行信息擺渡，保證兩套系統(tǒng)之間沒有直接的物理通路。在通信過程中，當(dāng)存儲(chǔ)介質(zhì)與安全的網(wǎng)絡(luò)連通時(shí)，斷開與非安全網(wǎng)絡(luò)連接；當(dāng)與非安全網(wǎng)絡(luò)連通時(shí)，斷開與安全網(wǎng)絡(luò)的連接；通過分時(shí)地使用兩套系統(tǒng)中的數(shù)據(jù)通路進(jìn)行數(shù)據(jù)交換，以達(dá)到隔離與交換的目的。此外，在數(shù)據(jù)交換過程中，需同時(shí)進(jìn)行防病毒、防惡意代碼等信息過濾，以保證信息的安全。
根據(jù)國(guó)家保密局公開的文獻(xiàn)資料，我國(guó)目前流行的網(wǎng)絡(luò)隔離技術(shù)的產(chǎn)品和方案如下：
（1）獨(dú)立網(wǎng)絡(luò)方案
根據(jù)信息保密需求的不同，將信息存放到兩個(gè)獨(dú)立的網(wǎng)絡(luò)中。其一是內(nèi)部網(wǎng)絡(luò)，用于存儲(chǔ)、處理、傳輸涉密信息；另一個(gè)是外部網(wǎng)絡(luò)，與互聯(lián)網(wǎng)相連。內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)物理斷開。兩個(gè)網(wǎng)絡(luò)之間如果有數(shù)據(jù)交換需要，則采用人工操作（如通過軟盤、盒式錄音磁帶等）的方式。
（2）終端級(jí)解決方案
用戶使用一臺(tái)客戶端設(shè)備排他性選擇連接內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)，主要類型可分為以下幾種。
（1）雙主板，雙硬盤型：通過設(shè)置兩套獨(dú)立計(jì)算機(jī)的設(shè)備實(shí)現(xiàn)，使用時(shí)，通過客戶端開關(guān)分別選擇兩套計(jì)算機(jī)系統(tǒng)。
（2）單主板，雙HDD型：客戶端通過增加一塊隔離卡、一塊硬盤，將硬盤接口通過添加的隔離卡轉(zhuǎn)接到主板，以太網(wǎng)控制器也通過該卡引出兩個(gè)網(wǎng)絡(luò)接口。通過該卡控制客戶端存儲(chǔ)設(shè)備，同時(shí)選擇相應(yīng)的網(wǎng)絡(luò)接口，達(dá)到網(wǎng)絡(luò)隔離的效果。
（3）單主板，單硬盤型：客戶端需要增加一塊隔離卡，存儲(chǔ)器通過隔離卡連接到主板，網(wǎng)卡也通過隔離卡引出兩個(gè)網(wǎng)絡(luò)接口。對(duì)硬盤上劃分安全區(qū)、非安全區(qū)，通過隔離卡控制客戶端存儲(chǔ)設(shè)備分時(shí)使用安全區(qū)和非安全區(qū)，同時(shí)對(duì)相應(yīng)的網(wǎng)絡(luò)接口進(jìn)行選擇，以實(shí)施網(wǎng)絡(luò)隔離。
技術(shù)原理
網(wǎng)閘實(shí)現(xiàn)了內(nèi)廣域網(wǎng)的邏輯隔離，在技術(shù)特征上，主要表現(xiàn)在網(wǎng)絡(luò)模型各層的斷開，具體包括物理層斷開、鏈路層斷開、TCP/IP協(xié)議隔離和應(yīng)用協(xié)議隔離。
（1）物理層斷開
網(wǎng)閘采用的網(wǎng)絡(luò)隔離技術(shù)，就是要保證網(wǎng)閘的外部主機(jī)和內(nèi)部主機(jī)在任何時(shí)候是完全斷開的。但外部主機(jī)與固態(tài)存儲(chǔ)介質(zhì)，內(nèi)部主機(jī)與固態(tài)存儲(chǔ)介質(zhì)，在進(jìn)行數(shù)據(jù)傳遞的時(shí)候，有條件地進(jìn)行單個(gè)連通，但不能同時(shí)相連。在實(shí)現(xiàn)上，外部主機(jī)與固態(tài)存儲(chǔ)介質(zhì)之間、內(nèi)部主機(jī)與固態(tài)存儲(chǔ)介質(zhì)之間均存在一個(gè)開關(guān)電路。網(wǎng)絡(luò)隔離必須保證這兩個(gè)開關(guān)不會(huì)同時(shí)閉合，從而保證OSI模型上的物理層的斷開機(jī)制。
（2）鏈路層斷開
由于開關(guān)的同時(shí)閉合可以建立一個(gè)完整的數(shù)據(jù)通信鏈路，因此必須消除數(shù)據(jù)鏈路的建立，這就是鏈路層斷開技術(shù)。任何基于鏈路通信協(xié)議的數(shù)據(jù)交換技術(shù)，都無(wú)法消除數(shù)據(jù)鏈路的連接，因此不是網(wǎng)絡(luò)隔離技術(shù)，如基于以太網(wǎng)的交換技術(shù)、串行通訊接口通信或高速串口通信協(xié)議的USB等。
（3）TCP/IP協(xié)議隔離
為了消除TCP/IP協(xié)議（OSI的3~4層）的漏洞，必須剝離TCP/IP協(xié)議。在經(jīng)過網(wǎng)閘進(jìn)行數(shù)據(jù)擺渡時(shí)，必須再重建TCP/IP協(xié)議。
（4）應(yīng)用協(xié)議隔離
為了消除應(yīng)用協(xié)議（OSI的5~7層）的漏洞，必須剝離應(yīng)用協(xié)議。剝離應(yīng)用協(xié)議后的原始數(shù)據(jù)，在經(jīng)過網(wǎng)閘進(jìn)行數(shù)據(jù)擺渡時(shí)，必須重建應(yīng)用協(xié)議。
功能
網(wǎng)閘就是要解決目前網(wǎng)絡(luò)安全存在的下述問題。
（1）對(duì)操作系統(tǒng)的依賴，因?yàn)椴僮飨到y(tǒng)也有漏洞。
（2）對(duì)TCP/IP協(xié)議的依賴，而TCP/IP協(xié)議有漏洞。
（3）解決通信連接的問題，內(nèi)網(wǎng)和廣域網(wǎng)直接連接，存在基于通信的攻擊。
（4）應(yīng)用協(xié)議的漏洞，如非法的命令和指令等。
網(wǎng)閘的指導(dǎo)思想與防火墻有下述很大的不同。
（1）防火墻的思路是在保障互聯(lián)互通的前提下，盡可能安全。
（2）網(wǎng)閘的思路是在保證必須安全的前提下，盡可能互聯(lián)互通，如果不安全則隔離斷開。
存在缺陷
盡管作為物理安全設(shè)備，安全網(wǎng)閘提供的高安全性是顯而易見的，但是由于其工作原理上的特性，不可避免地決定了安全網(wǎng)閘存在一些缺陷：
（1）只支持靜態(tài)數(shù)據(jù)交換，不支持交互式訪問。
這是安全網(wǎng)閘最明顯得一個(gè)缺陷。由于是真正的網(wǎng)絡(luò)間物理隔離，它不支持諸如動(dòng)態(tài)web頁(yè)面技術(shù)中的ActiveX、java甚至是客戶端的cookie技術(shù)，目前安全網(wǎng)閘一般只支持靜態(tài)web頁(yè)、郵件文件等靜態(tài)數(shù)據(jù)的交換。
（2）適用范圍窄。
由于數(shù)據(jù)鏈路層被忽略，安全網(wǎng)閘無(wú)法實(shí)現(xiàn)一個(gè)完整的iso/osi七層連接過程，所以安全網(wǎng)閘對(duì)所有交換的數(shù)據(jù)必須根據(jù)其特性開發(fā)專用的交換模塊，靈活性差，適用范圍十分狹窄。
（3）系統(tǒng)配置復(fù)雜，安全性很大程度上取決于網(wǎng)絡(luò)管理員的技術(shù)水平。
在網(wǎng)閘傳送數(shù)據(jù)過程中要實(shí)現(xiàn)病毒、木馬過濾和安全性檢查等一系列功能，這都需要網(wǎng)絡(luò)管理員根據(jù)網(wǎng)絡(luò)應(yīng)用的具體情況加以判斷和設(shè)置。如果設(shè)置不當(dāng)，比如對(duì)內(nèi)部人員向外部提交的數(shù)據(jù)不進(jìn)行過濾而導(dǎo)致信息外泄等，都可能造成安全網(wǎng)閘的安全功能大打折扣。
（4）結(jié)構(gòu)復(fù)雜，成本較高。
安全網(wǎng)閘的三個(gè)組件都必須為大容量存儲(chǔ)設(shè)備，特別在支持多種應(yīng)用的情況下，存儲(chǔ)轉(zhuǎn)發(fā)決定了必須采用較大的存儲(chǔ)器來(lái)存儲(chǔ)和CPU緩存大量的交換數(shù)據(jù)。安全網(wǎng)閘由于處在兩個(gè)網(wǎng)段的結(jié)合部，具有網(wǎng)關(guān)的地位，一旦宕機(jī)就會(huì)使兩邊數(shù)據(jù)無(wú)法交換，所以往往需要配置多臺(tái)網(wǎng)閘設(shè)備作為冗余，這就使購(gòu)置和實(shí)施費(fèi)用不可避免地上升了。
（5）技術(shù)不成熟，沒有形成體系化。
安全網(wǎng)閘技術(shù)是一項(xiàng)新興的網(wǎng)絡(luò)安全技術(shù)，尚無(wú)專門的國(guó)際性研究組織對(duì)其進(jìn)行系統(tǒng)的研究和從事相關(guān)體系化標(biāo)準(zhǔn)的制定工作。
（6）帶來(lái)網(wǎng)絡(luò)通信的“瓶頸”問題。
因?yàn)殡娮娱_關(guān)切換速率的固有特性和安全過濾內(nèi)容功能的復(fù)雜化，目前安全網(wǎng)閘的交換速率已接近該技術(shù)的理論速率極限。可以預(yù)見在不久的將來(lái)，隨著高速網(wǎng)絡(luò)技術(shù)的發(fā)展，安全網(wǎng)閘在交換速率上的問題將會(huì)成為阻礙網(wǎng)絡(luò)數(shù)據(jù)交換的重要因素。
但無(wú)論如何，網(wǎng)閘對(duì)其他網(wǎng)絡(luò)安全設(shè)備是一個(gè)很好的補(bǔ)充，也是其他網(wǎng)絡(luò)安全設(shè)備所無(wú)法替代的安全產(chǎn)品，近幾年來(lái)在國(guó)內(nèi)的各行業(yè)也已經(jīng)獲得了較好的應(yīng)用。
應(yīng)用定位
（1）涉密網(wǎng)與非涉密網(wǎng)之間。有些政府辦公網(wǎng)絡(luò)涉及敏感信息，當(dāng)它與外部非涉密網(wǎng)連接的時(shí)候可以用單向物理隔離網(wǎng)閘將兩者隔開。
（2）局域網(wǎng)與互聯(lián)網(wǎng)之間（內(nèi)網(wǎng)與廣域網(wǎng)之間）。有些局域網(wǎng)絡(luò)，特別是政府辦公網(wǎng)絡(luò)，涉及政府敏感信息，有時(shí)需要與互聯(lián)網(wǎng)在邏輯上斷開，物理隔離網(wǎng)閘是一個(gè)常用的辦法。
（3）辦公網(wǎng)與業(yè)務(wù)網(wǎng)之間。由于辦公網(wǎng)絡(luò)與業(yè)務(wù)網(wǎng)絡(luò)的信息敏感程度不同，例如，銀行的辦公網(wǎng)絡(luò)和銀行業(yè)務(wù)網(wǎng)絡(luò)就是很典型的信息敏感程度不同的兩類網(wǎng)絡(luò)。為了提高工作效率，辦公網(wǎng)絡(luò)有時(shí)需要與業(yè)務(wù)網(wǎng)絡(luò)交換信息。為解決業(yè)務(wù)網(wǎng)絡(luò)的安全，比較好的辦法就是在辦公網(wǎng)與業(yè)務(wù)網(wǎng)之間使用物理隔離網(wǎng)閘，實(shí)現(xiàn)兩類網(wǎng)絡(luò)的邏輯隔離。
（4）電子政務(wù)的內(nèi)網(wǎng)與專網(wǎng)之間。在電子政務(wù)系統(tǒng)建設(shè)中要求政府內(nèi)網(wǎng)與廣域網(wǎng)之間用邏輯隔離，在政府專網(wǎng)與內(nèi)網(wǎng)之間用邏輯隔離。現(xiàn)常用的方法是用物理隔離網(wǎng)閘來(lái)實(shí)現(xiàn)。
（5）業(yè)務(wù)網(wǎng)與互聯(lián)網(wǎng)之間。電子商務(wù)網(wǎng)絡(luò)一邊連接著業(yè)務(wù)網(wǎng)絡(luò)服務(wù)器，一邊通過互聯(lián)網(wǎng)連接著廣大用戶。為了保障業(yè)務(wù)網(wǎng)絡(luò)服務(wù)器的安全，在業(yè)務(wù)網(wǎng)絡(luò)與互聯(lián)網(wǎng)之間應(yīng)實(shí)現(xiàn)邏輯隔離。
網(wǎng)閘安全配置
（1）網(wǎng)閘產(chǎn)品應(yīng)有國(guó)家相關(guān)安全部門的證書。
（2）網(wǎng)閘設(shè)置加長(zhǎng)口令，網(wǎng)絡(luò)管理人員調(diào)離或退出本崗位時(shí)口令應(yīng)立即更換。
（3）網(wǎng)閘密碼不得以明文形式出現(xiàn)在紙質(zhì)材料上，密碼應(yīng)隱式記錄，記錄材料應(yīng)存放于保險(xiǎn)柜中。
（4）監(jiān)控配置更改，改動(dòng)網(wǎng)閘配置時(shí)，進(jìn)行監(jiān)控。
（5）定期備份配置和日志。
（6）明確責(zé)任，維護(hù)人員對(duì)更改網(wǎng)閘配置的時(shí)間、操作方式、原因和權(quán)限需要明確，在進(jìn)行任何更改之前，制定詳細(xì)的逆序操作規(guī)程。
應(yīng)用領(lǐng)域
目前，國(guó)產(chǎn)的網(wǎng)閘產(chǎn)品可以滿足信任網(wǎng)絡(luò)用戶與外部的文件交換、收發(fā)郵件、單向?yàn)g覽、數(shù)據(jù)庫(kù)交換等的要求。同時(shí)它們已在電子政務(wù)中，如政府內(nèi)部的領(lǐng)導(dǎo)決策支持系統(tǒng)、政務(wù)應(yīng)用系統(tǒng)（OA系統(tǒng)、專用業(yè)務(wù)處理系統(tǒng)）和公共信息處理系統(tǒng)（信息采集系統(tǒng)、信息交換系統(tǒng)、信息發(fā)布系統(tǒng)等）得到應(yīng)用。網(wǎng)閘很好地解決了安全隔離下的信息可控交換等問題，從而推動(dòng)了電子政務(wù)走向應(yīng)用時(shí)代。由于網(wǎng)閘可以實(shí)現(xiàn)兩個(gè)物理層斷開網(wǎng)絡(luò)間的信息擺渡，構(gòu)建信息可控交換“安全島”，所以在政府、軍隊(duì)、電力等領(lǐng)域具有極為廣闊的應(yīng)用前景。網(wǎng)閘突破電子政務(wù)廣域網(wǎng)與內(nèi)網(wǎng)之間數(shù)據(jù)交換的瓶頸，并消除政府部門之間因安全造成的信息孤島效應(yīng)。目前網(wǎng)閘大都提供了文件交換、收發(fā)郵件、瀏覽網(wǎng)頁(yè)等基本功能。此外，網(wǎng)閘產(chǎn)品在負(fù)載均衡、冗余備份、硬件密碼加速、易集成管理等方面需要進(jìn)一步改進(jìn)完善，同時(shí)更好地集成入侵檢測(cè)和加密通道、數(shù)字證書等技術(shù)，也成為新一代網(wǎng)閘產(chǎn)品發(fā)展的趨勢(shì)。
參考資料 >