计算机网络安全隔离之网闸、光闸
目录
1、网闸、光闸的产生
2、网闸和光闸的定义
1、网闸-GAP
2、光闸-FGAP
1、网闸、光闸的产生
目前的市场上的安全隔离类产品主要有3类：网络隔离产品就是俗称的网闸，网络单向导入产品就是俗称的光闸，终端隔离产品形态为硬件隔离主板或者专用计算机，目前的网闸和光闸仍保存着数亿元的市场规模，而终端隔离产品逐渐消失。
2000年的国内网闸市场发展起源于2000年，由于当时政府信息化和电子政务系统建设步伐加快，在电子政务内外网和专网间交换信息就是基本需求，但是在政府内网的安全性与对外提供的电子政务外网存在显著不同，我们需要保证内网和专网的资源安全，构建民众方便快捷的信息资源共享服务平台是电子政务系统建设中需要解决的技术问题，有相关规定：“涉及到国家机密的计算机信息系统，不得直接或者间接地与国际互联网或者其他公共信息网络相连接，必须实现物理隔离。”于是，我国的物理隔离和网络隔离技术在我国快速的兴起发展，也是我过信息安全产业早期发展中的一个新的产品领域。
隔离技术发展经历了多个阶段的发展，不管是早期以人工拷盘方式的绝对物理隔离机制，还是中间时期的硬件隔离卡或专用隔离计算机形式以及现在主流的双隔离主机+专用隔离部件的网络隔离形式，隔离产品的安全性被认为是远远高于防火墙等网关类型产品的，其主要作用就是切断不同安全域之间实时的逻辑链接和协议链接，内外网间的信息的交换格式不再依据传统TCP/IP协议而是采用数据文件读写形式的无协议（或者私有协议）按需摆渡，减小TCP/IP网络环境下的受攻击面，从而实现最后一道防线的效果。
”网闸技术“它解决了电子政务兴起带来的政务内网和外网之间安全隔离、适度可控的数据交换的需求。
网闸技术是基于双向的，即通过配置，是允许高安全网络和低安全网络之间双向数据交换的。
光闸则是在网闸基础上对专用隔离部件进行改造和加强，建立发送端向接收端的绝对单向传输路径，保证反方向上无任何反馈信息，通过构造这种物理固化、软件不可修改的单向传输特性切断内外网间的数据流双向交互，实现数据由外网向内网的可靠单向流动，起到对内网更高级别的防护。
目前的市场上的隔离类产品具备较强的行业属性，公检法、政府、军工、医疗、能源等行业因为对内部专网的防护要求较高，是产品应用最为广泛的行业，并且随着客户场景的不断细分和变化。例如：公安视频专网、工业控制系统等场景下专用型网闸/光闸细分产品也在不断增多，尤其对于一些涉密等级较高的客户，为了在保证交互性的前提下提高安全性，已经逐步采用两台关闸替代一台网闸的方案。由于独特的物理架构和功能特性，隔离类产品在边界防护场景下具备较强的不可替代性。
2、网闸和光闸的定义
1、网闸-GAP
1、安全隔离网闸(GAP)，简称”网闸“技术。其中包含硬件和软件。
2、组成部分：外部处理单元、内部处理单元、隔离硬件（存储单元、数据交换）
内部<--->隔离硬件<---->外部
3、数据安全：切分链路层、实现内外网安全隔离+适度可控数据交换
4、特点：高效、可靠、高安全
5、GAP使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备，在电路上切断网络之间的链路层连接，并且能够在网络之间进行安全交换的网络安全设备。
6、由于物理隔离所连接的两个独立主机系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议“摆渡”，且对固态存储介质只有“读”和“写”两个命令。所以，物理隔离网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接，使“黑客”无法入侵、无法攻击、无法破坏，实现了真正的安全。
7、第二代网闸是在吸取了第一代网闸优点的基础上，创造性地利用全新理念的专用交换通道PET技术，通过专用硬件通信卡、私有通信协议和加密签名机制来实现的。 不过还是通过应用层数据提取与安全审查达到杜绝基于协议层的攻击和增强应用层安全效果的，但是比第一代网闸多了更多网络应用支持。其中的专用高速硬件通信卡，提高了处理能力；而私有通信协议和加密签名机制保证了内外处理单元之间数据交换的机密性、完整性和可信性，在保证安全性的同时，提高了更好的处理性能，并且能够适应复杂网络对隔离应用的需求。
8、安全隔离网闸是由软件和硬件组成的额。隔离网闸分为两种架构，一种为双主机的2+1结构，另一种为主机的三系统结构。2+1的安全隔离网闸的硬件设备由三部分组成：外部处理单元、内部处理单元、隔离安全数据交换单元。
9、安全数据交换单元不同时与内外网处理单元连接。隔离网闸采用SU-Gap安全隔离技术，创建一个内、外网物理断开的环境。
三系统的安全隔离网闸的硬件由三部分组成：外部处理单元（外端机）、内部处理单元（内端机）、仲裁处理单元（仲裁机），各单元之间采用了隔离安全数据交换单元。
2、光闸-FGAP
1、光闸是一种由安全隔离网闸（GAP）基础上发展而成的、基于光的单向性的单向隔离软硬件系统。
2、定义：光闸用于对安全性要求极高的网络的数据交换场景。如涉密网络中，按照信息保密的技术要求，涉密网络不能与互联网直接连通；涉密网络与非涉密网络连接时，若非涉密网络与互联网物理隔离，则采用双向网闸隔离涉密网络与非涉密网络；若非涉密网络与互联网是逻辑隔离时，则采用单向网闸隔离涉密网络与非涉密网络，保证涉密数据不从高密级网络流向低密级网络。
图解为：
光闸技术（FGAP）的产生即为满足这一类单向隔离场景的需求。图解为：
物理隔离：可以简单理解为两个网络安全域在硬件（网线、系统主机）和软件（系统）方面都是单独部署，两套系统之间没有物理连接（或网线连接）；同时物理隔离分为强物理隔离和弱物理隔离两种类型。强物理隔离举例： 两个系统之间没有任何物理线连接；弱物理隔离就是如网闸、光闸类产品。举例：就比如在一个办公室里面，分为两个组，两个组之间各自连接着网线，他们用各自的网络上网，之间不是互通的。
逻辑隔离：两个安全域之间是有物理连接的，只是在路由上或者协议上进行阻断，让两者不能互通。就比如在两个组之间由一条网线连接着，通过路由、防火墙等的配置，使两个组之间不能通信，就像在一个局域网内不同网段之间不能进行通信。
物理隔离和逻辑隔离的区别：
- 逻辑隔离是通过虚拟化技术实现的。
- 物理隔离技术为信息网络提供了更高层次的安全防护能力，不仅使信息网络的抗攻击能力大大增强，也可以有效地防范了信息外泄事件的发生；而逻辑隔离特点在于使用的便利性，在同一台计算机上进行窗口切换即可实现不同安全级别网络的访问，同时也不降低安全性。
- 物理隔离因需单独部署系统，因此整体部署成本较高。
如涉密网络与非涉密网络之间，行业内网与公共网络之间安全隔离网闸，它解决了电子政务兴起带来的政务内网和外网之间安全隔离、适度可控的数据交换的需求。
3、光闸是基于单向的，建立发送端向接收端的绝对单向传输路径，一般是数据单向进入。
网闸技术是基于双向的，就是通过配置，是允许高安全网络和低安全网络之间双向数据交换的。
4、单向隔离光闸由三个部分组成：内网单元、外网单元、分光单向传输单元。
- 内网单元和外网单元所实现的安全功能是一致的，只是连接不同的网络，以内网单元为例，其包括内网接口单元与内网数据缓冲区。
- 接口部分负责与内网的连接，并终止内网用户的网络连接，对数据进行病毒检测、防火墙、入侵防护等安全检测后剥离出”纯数据“，做好交换的准备，也完成来自内网对用户身份的确认，确保数据的安全通道；数据缓冲区是存放并调离剥离后的数据，负责与隔离交换单元的数据交换。
分光单向传输单元工作原理：分光单向传输单元能够实现从一个主机系统向另外一个主机系统单向传输数据主要是通过：光传输的单向性，在光纤通道设备内，连接光纤的两端分别为光发生器、光接收器，在光纤通道设备内不允许也不能实现光纤两端都具有光发生器以及光接收器；光传输的可复制性，利用分光设备（如多棱镜）可将一束光复制为两束或更多束光线，利用这一特性，我们可将在一个系统内部传输的数据以光的方式复制一个副本供使用。
5、单向隔离技术
单向隔离技术的发展经过了三个阶段：物理单向技术、电气单向技术、光单向技术
- ① 物理单向技术：光盘
- ② 电气单向技术：程序控制
- ③ 光的单向技术：光纤：单向隔离光闸
根据业务场景需求，单向隔离光闸一般支持数据库传输、文件传输功能。
① 文件传输的功能特点：
- FTP、SAMBA协议支持
- 专用客户端实现文件主动获取
- 文件安全性检查：IP地址、用户认证信息、用户权限以及缓冲区空间大小等。
- 高优先级文件优先处理。
图解为：
② 数据库传输的功能特点：
- 基于文件传输功能实现
- 三种传输方式：全表复制、触发同步、标记同步
- 四种数据库：Oracle、MS SQL Server、DB2、Sybase.
图解为：
6、特点
- 高效率：光单向技术效率高，延迟可控制在纳秒级。
高可靠性：使用高可靠性硬件设计，数据传输模板内置差错校验机制。
完善的业务功能：在单向文件传输基础上实现了数据库内容的单向同步，极大丰富单向光闸设备功能，具有更好的应用适应性。
高安全性：网络间的单向隔离，设备不接受任何未知来源的主动请求；应用层数据获取后进行落地还原处理；通过可进行扩展定义的内容检查机制为白名单策略提供进一步的保障机制。
单向隔离光闸即是基于光的单向技术的安全产品。
7、物理结构
最新的光闸硬件采用上下层结构。
8、逻辑结构
光闸通过C引擎和iptables规则来传输TCP、UDP协议数据，中间通过单向光模块走UDP协议进行数据摆渡。
计算机网络安全隔离之网闸、光闸相关推荐
- 物理隔离与数据交换-网闸的设计原理
一.什么是网闸 网闸技术的需求来自内网与外网数据互通的要求,比如政府的电子政务是对公众服务,与互联网连通,而内网的政府办公网络,由于保密的要求,内网若与网连通,则面临来自公网的各种威胁.安全专家给出的 ...
- 物理隔离与数据交换-网闸的设计原理与误区
一.什么是网闸 网闸技术的需求来自内网与外网数据互通的要求,比如政府的电子政务是对公众服务,与互联网连通,而内网的政府办公网络,由于保密的要求,内网若与网连通,则面临来自公网的各种威胁.安全专家给出的 ...
- 网闸的设计原理与误区
一.什么是网闸 网闸技术的需求来自内网与外网数据互通的要求,比如政府的电子政务是对公众服务,与互联网连通,而内网的政府办公网络,由于保密的要求,内网若与网连通,则面临来自公网的各种威胁.安全专家给出的 ...
- 网闸和防火墙的区别是什么？
网闸是在两个不同安全域之间,通过协议转换的手段,以信息摆渡的方式实现数据交换,且只有被系统明确要求传输的信息才可以通过.其信息流一般为通用应用服务.网闸的"闸"字取自于船闸的意思, ...
- 物理隔离与数据交换-网闸中的核心技术
网闸中隔离控制技术的几个发展方向 网闸不同于防火墙,也不同于堡垒机,是因为网闸从物理上保证内外网的不互通,其中隔离控制部分是实现这个物理隔离的关键.这里重点分析目前流行的几种技术: 1.摆渡交换技术 ...
- 关于网络隔离技术与网闸的理解
一.网络隔离的概念 两个或两个以上的计算机或网络,不相连,不相通,相互断开,同时在需要的时候能够做到两者间的信息交换. 概念来源:人工烤盘.轮渡.Sneakernet 二.常见的网络攻击类型 1.入侵 ...
- 网规:第4章 网络安全-4.8企业网络安全隔离
4.8企业网络安全隔离(P684-695) 1.网络隔离技术概述 面对新型网络***手段的出现和高安全度网络对安全的特殊需求,全新安全防护防范理念的网络安全技术――"网络隔离技术" ...
- “单向网闸”技术介绍-网络隔离的新型产品
一.信息安全的要求 按照信息保密的技术要求,涉密网络不能与互联网直接连通:涉密网络与非涉密网络连接时,若非涉密网络与互联网物理隔离,则采用双向网闸隔离涉密网络与非涉密网络:若非涉密网络与互联网是逻辑隔 ...
- 采用网闸隔离的内外网如何进行数据的即时交互？
网闸,也称边界平台.内外网数据交换系统. 网闸将内网与外网实现了隔离,即内外网程序不能直接相互访问. 那么,如何实现内外网即时数据交互呢?比如外网程序要访问内网webservice服务? 就拿外网程序 ...
最新文章
- 二十大未来最有潜力的新材料（绝对经典值得收藏）
- Shell 编程进阶笔记
- iOS逆向之深入解析App签名的双向验证机制和原理
- 高度可定制化的方案_如何开发高度可定制的产品
- pythonpandas设置索引_pandas DataFrame的修改方法(值、列、索引)
- arcgis desktop 地理编码服务发布
- 【图频处理】基于matlab GUI界面环图像处理与音乐播放系统【含Matlab源码 185期】
- 聊聊如何对员工做绩效考核
- html制作频谱,HTML5 WebAudioAPI(三)--绘制频谱图
- MATLAB对光路进行模拟,MATLAB辅助OptiSystem实现光学反馈环路的模拟
- 麻省理工学院(MIT)发明漏洞自动修复系统
- office办公软件 下载与安装教程
- Kubeedge实现原理
- imx533 配置 制作SD卡启动文件系统
- Servlet中ServletConfig接口和ServletContext接口的作用
- 深入浅出的 Adaboost算法
- 图像处理里面调色板(Palette)是什么意思?
- 易语言运行命令之注册DLL文件
- 三体文明量子计算机,三体文明有多先进？人类有可能追上他们吗？科学家计算出了期限...
- OSChina 周二乱弹 —— 穿越大半个中国去睡你