网络硬件工作笔记001---网闸
JAVA技术交流QQ群:170933152
第一次听说,记录下来,之前不知道这东西,后来跟数据中心的人打交道才知道这东西,记录一下
百度百科
网闸
编辑
网闸(GAP)全称安全隔离网闸。安全隔离网闸是一种由带有多种控制功能专用硬件在电路上切断网络之间的链路层连接,并能够在网络间进行安全适度的应用数据交换的网络安全设备。
中文名
网闸
外文名
GAP
拼 音
wang zha
全 称
安全隔离网闸
性 质
网络安全设备
组 成
软件和硬件
目录
- 1 概念
- 2 组成
- 3 意义
- ▪ 性能指标
- ▪ 主要功能
- 4 区别
- ▪ 与物理隔离卡的区别
- ▪ 网络交换信息的区别
- ▪ 与防火墙的区别
- 5 其它问题
概念
编辑
网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。由于物理隔离网闸所连接的两个独立主机系统之间,不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议,不存在依据协议的信息包转发,只有数据文件的无协议"摆渡",且对固态存储介质只有"读"和"写"两个命令。所以,物理隔离网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接,使"黑客"无法入侵、无法攻击、无法破坏,实现了真正的安全。
安全隔离与信息交换系统,即网闸,是新一代高安全度的企业级信息安全防护设备,它依托安全隔离技术为信息网络提供了更高层次的安全防护能力,不仅使得信息网络的抗攻击能力大大增强,而且有效地防范了信息外泄事件的发生。
第一代网闸的技术原理是利用单刀双掷开关使得内外网的处理单元分时存取共享存储设备来完成数据交换的,实现了在空气缝隙隔离(Air Gap)情况下的数据交换,安全原理是通过应用层数据提取与安全审查达到杜绝基于协议层的攻击和增强应用层安全的效果。
第二代网闸正是在吸取了第一代网闸优点的基础上,创造性地利用全新理念的专用交换通道PET(Private Exchange Tunnel)技术,在不降低安全性的前提下能够完成内外网之间高速的数据交换,有效地克服了第一代网闸的弊端,第二代网闸的安全数据交换过程是通过专用硬件通信卡、私有通信协议和加密签名机制来实现的,虽然仍是通过应用层数据提取与安全审查达到杜绝基于协议层的攻击和增强应用层安全效果的,但却提供了比第一代网闸更多的网络应用支持,并且由于其采用的是专用高速硬件通信卡,使得处理能力大大提高,达到第一代网闸的几十倍之多,而私有通信协议和加密签名机制保证了内外处理单元之间数据交换的机密性、完整性和可信性,从而在保证安全性的同时,提供更好的处理性能,能够适应复杂网络对隔离应用的需求。 [1]
组成
编辑
安全隔离网闸是由软件和硬件组成。 隔离网闸分为两种架构,一种为双主机的2+1结构,另一种为三主机的三系统结构。2+1的安全隔离网闸的硬件设备由三部分组成:外部处理单元、内部处理单元、隔离安全数据交换单元。安全数据交换单元不同时与内外网处理单元连接,为2+1的主机架构。隔离网闸采用SU-Gap安全隔离技术,创建一个内、外网物理断开的环境。三系统的安全隔离网闸的硬件也由三部分组成:外部处理单元(外端机)、内部处理单元(内端机)、仲裁处理单元(仲裁机),各单元之间采用了隔离安全数据交换单元。
意义
编辑
为什么要使用安全隔离网闸呢?其意义是:
(一)当用户的网络需要保证高强度的安全,同时又与其它不信任网络进行信息交换的情况下,如果采用物理隔离卡,用户必须使用开关在内外网之间来回切换,不仅管理起来非常麻烦,使用起来也非常不方便,如果采用防火墙,由于防火墙自身的安全很难保证,所以防火墙也无法防止内部信息泄漏和外部病毒、黑客程序的渗入,安全性无法保证。在这种情况下,安全隔离网闸能够同时满足这两个要求,弥补了物理隔离卡和防火墙的不足之处,是最好的选择。
(二)对网络地隔离是通过网闸隔离硬件实现两个网络在链路层断开,但是为了交换数据,通过设计的隔离硬件在两个网络对应的上进行切换,通过对硬件上的存储芯片的读写,完成数据的交换。
(三)安装了相应的应用模块之后,安全隔离网闸可以在保证安全的前提下,使用户可以浏览网页、收发电子邮件、在不同网络上的数据库之间交换数据,并可以在网络之间交换定制的文件。
性能指标
主要功能
安全隔离、内核防护、协议转换、病毒查杀、访问控制、安全审计、身份认证
作为提供数据交换的隔离设备,安全隔离网闸上内嵌病毒查杀的功能模块,可以对交换的数据进行病毒检查。
区别
编辑
与物理隔离卡的区别
网络交换信息的区别
与防火墙的区别
防火墙一般在进行IP包转发的同时,通过对IP包的处理,实现对TCP会话的控制,但是对应用数据的内容不进行检查。这种工作方式无法防止泄密,也无法防止病毒和黑客程序的攻击。
单系统的设备如(信息流转器)不是安全隔离网闸设备。类似的单系统一旦系统遭受到攻击,攻击者完全有可能在单系统的两张网卡之间建立起路由,从而内部网络会完全暴露。
需要,隔离硬件一般都由GAP厂商提供,其中对高速切换装置的切换频率要求非常高。
其它问题
编辑
(一)安全隔离网闸通常布置在什么位置?
安全隔离网闸通常布置在两个安全级别不同的两个网络之间,如信任网络和非信任网络,管理员可以从信任网络一方对安全隔离网闸进行管理。
(二)安全隔离网闸的部署是否需要对网络架构作调整?
采用透明方式的网闸只需要在两个网络各提供一个有效的IP地址即可。采用路由模式的网闸要求一定的改动。有的网闸支持两种连接方式。有的只支持一种。只支持路由模式的网闸就会要求对网络结构有改动。
(三)安全隔离网闸是否可以在网络内部使用?
可以,网络内部安全级别不同的两个网络之间也可以安装安全隔离网闸进行隔离。
(四)安全隔离网闸支持交互式访问吗?
鉴于安全隔离网闸保护的主要是内部网络,一旦支持交互式访问如支持建立会话,那么无法防止信息的泄漏以及内部系统遭受攻击,因此,安全隔离网闸不支持交互式访问.
(五)支持反向代理的安全隔离网闸安全吗?
支持反向代理意味着可以从非信任网络间接授权访问信任网络上的资源,一旦代理软件在安全检查或者软件实现上出现问题,那么很有可能会被黑客利用并非法存取内部资源。因此从安全性上讲,支持反向代理的安全隔离网闸不安全。
(六)如果对应网络七层协议,安全隔离网闸是在哪一层断开?
如果针对网络七层协议,安全隔离网闸是在硬件链路层上断开。
(七)安全隔离网闸支持百兆网络吗?千兆网络如何支持?
安全隔离网闸支持百兆网络,目前国内最快的可以达到120MBps。对于千兆网络,可以采用多台安全隔离网闸进行负载均衡。
(八)安全隔离网闸自身的安全性如何?
安全隔离网闸双处理单元上都采用了安全加固的操作系统,包括强制访问控制、基于内核的入侵检测等安全功能,并且该系统得到国家权威部门的认证。
(九)安全隔离网闸有身份认证机制吗?
有。安全隔离网闸在用于邮件转发和网页浏览的时候,对用户进行用户名/口令、证书认证等多种形式的身份认证。
(十)有了防火墙和IDS,还需要安全隔离网闸吗?
防火墙是网络层边界检查工具,可以设置规则对内部网络进行安全防护,而IDS一般是对已知攻击行为进行检测,这两种产品的结合可以很好的保护用户的网络,但是从安全原理上来讲,无法对内部网络做更深入的安全防护。安全隔离网闸重点是保护内部网络,如果用户对内部网络的安全非常在意,那么防火墙和IDS再加上安全隔离网闸将会形成一个很好的防御体系。
(十一)受安全隔离网闸保护的内部网络需要不断升级吗?
安全隔离网闸首先在链路层断开,彻底切断网络连接,并仅允许仅有的四种指定静态数据进行交换,对外不接受请求,并且在内部用户访问外部网络时采用静态页面返回(过滤ActiveX、Java、cookie等),并且木马无法通过安全隔离网闸进行通讯,因此内部网络针对外部的攻击根本无需升级。
(十二)为什么受防火墙保护的内部网络需要不断升级?
防火墙是在网络层对数据包作安全检查,并不切断网络连接,很多案例证明无论包过滤还是代理防火墙都很难防止木马病毒的入侵内部网络,Nimda绕过很多防火墙的检查并在全世界肆虐就是一个很好的例证,因此需要用户的内部网络不断升级自己的客户端如浏览器。
(十三)安全隔离网闸能否防止内部无意信息泄漏?
由于安全隔离网闸在数据交换时采用了证书机制,对所有的信息进行证书验证,因此对于那些病毒乱发邮件所造成的无意信息泄漏起到很好的防范作用。
(十四)使用安全隔离网闸时需要安装客户端吗?
有的网闸管理员使用通用的浏览器即可对其进行管理配置,使用安全隔离网闸时不需安装其他客户端。 但是这种方式具有极大的安全风险,因为远程连接会引入安全威胁,而这种对于控制口的攻击更为严重。所以安全性要求高的网闸,不允许通过远程进行配置,只允许通过专有的配置程序,也就是客户端通过串口进行配置。一些重要部门均不允许对网闸具有远程配置的功能。
(十五)安全隔离网闸接受外来请求吗?
不接受,安全隔离网闸上的数据交换全部由管理员来进行配置,其所有的请求都由安全隔离网闸主动发起,不接受外来请求,不提供任何系统服务。 如果接受远程配置,就会接受外来的请求,造成严重的安全问题。
(十六)安全隔离网闸是否支持所连接的两个网络的网段地址相同?
支持。
(十七)安全隔离网闸的主机系统是否经过安全加固?
由于从网络架构上来讲,安全隔离网闸是处在网关的位置,因此其自身安全性非常重要,两个处理单元 加固包括硬件加固、操作系统加固以及协议的加固。详情见扩展阅读3.
(十八)安全隔离网闸采用什么样的接口?有几个接口?
安全隔离网闸通常提供2个标准以太网百兆接口。
(十九)安全隔离网闸如何管理,支持远程管理吗?
安全性高的安全隔离网闸不支持远程管理。
(二十)安全隔离网闸适用于大规模的部署吗?
安全隔离网闸的安全部署不需对现有网络作调整,同时支持多台冗余
(二十一)安全隔离网闸适用于什么样的场合?
如果用户的网络上存储着重要的数据、运行着重要的应用,通过防火墙等措施不能提供足够高的安全性保护的情况下,可以考虑使用安全隔离网闸。
(二十二)安全隔离网闸直接转发IP包吗?
否。安全隔离网闸从不直接或者间接地转发IP包形式的数据。安全隔离网闸的安全性体现在链路层断开,直接处理应用层数据,对应用层数据进行内容检查和控制,在网络之间交换的数据都是应用层的数据。如果直接转发IP的话,由于单个IP包中一般不包含完整的应用数据,所以无法进行全面的内容检查和控制,也就无法保证应用层的安全。因此,如果直接转发IP包,则背离了安全隔离网闸的安全性要求,不能称为安全隔离网闸。
网络硬件工作笔记001---网闸相关推荐
- Disruptor本地线程队列_实现线程间通信---线程间通信工作笔记001
Disruptor本地线程队列_实现线程间通信---线程间通信工作笔记001 看到同事用这个东西了,这个挺好用的说是,可以实现,本地线程间的通信,好像在c++和java中都可以用 现在没时间研究啊,暂 ...
- Nginx负载均衡和F5的区别---系统运维工作笔记001
笔者最近在负责某集团网站时,同时用到了Nginx与F5,如图所示,负载均衡器F5作为处理外界请求的第一道"墙",将请求分发到web服务器后,web服务器上的Nginx再进行处理,静 ...
- 认识什么是运维中的CI/CD---持续集成交付工作笔记001
在软件开发中经常会提到持续集成Continuous Integration(CI)和持续交付Continuous Delivery(CD)这几个术语.但它们真正的意思是什么呢? 在谈论软件开发时,经常 ...
- 实时监控Mysql等数据库变化_进行数据同步_了解Maxwell_--MaxWell工作笔记001
1.Maxwell 是一个读取 MySQL binlogs日志,这样就可以知道数据库修改的内容_ 并将修改行字段的更新用json的格式 ,写入 Kafka, Kinesis, RabbitMQ, Go ...
- Maven工作笔记-在内网环境下开发Spring Boot(使用IDEA)
目录 过程 要注意的问题 过程 这里就简单记录下,以前在外网环境下,现在使用内网,如何去操作呢.只要把以前外网机的Maven库里面的Repository考到对应的内网机器中的Maven下的Reposi ...
- 在win10中使用任务计划程序_设置定时任务---Windows使用技巧工作笔记001
有时候比如,去开机启动一个程序,某个时间启动一个程序等,这种工作还是需要的,但是 设置起来也不是那么顺利,具体其实就是一个地方.不好设置...往下看吧,上面,电脑->管理 -->找到任务计 ...
- QT嵌入式之_QT介绍_安装_以及环境变量配置---QT嵌入式图形框架工作笔记001
WPS也是用qt开发的,用qt开发,主要是可以方便的移植到各种平台,以及嵌入式平台. 也可以用QT来开发,在STM32平台运行的程序. 对于网络编程来说,如果我们基于传统的套接字来开发,会很慢,麻烦, ...
- @tap和@click的区别_计算属性---uview工作笔记001
我们现在做app,使用基于uviewui前端框架的这个ui框架 uviewui是基于vue的,由于前端薄弱,发现了使用中的问题,及时记录下来. https://www.uviewui.com/comp ...
- npm前端包管理工具简介---npm工作笔记001
之前我们都是把js文件下载下来以后,都是自己放到我们本地使用,后来我们就把js文件,使用CDN来实现, 也就是,我们引入js文件的时候,不在从本地进行引入了,我们直接引入网络上的,一个CDN上的, 比 ...
最新文章
- HTML语义化:HTML5新标签——template
- 2-1 什么是人工智能|人工智能框架TensorFlow应用实践
- Swift--字符串和字符(一)
- github上java_GitHub上Java的Bloom Bloom实现
- hibernate中主键的生成策略
- 车和家李想批国内电动车虚假里程宣传:特斯拉都打到家门口了别自嗨了
- RHCE培训笔记——Samba
- css字体转换程序(Node.js)
- 【渝粤教育】电大中专品牌管理与推广 (2)_1作业 题库
- C语言中的宏之#define
- NGN学习笔记9——网络演进与融合
- linux网络编程学习笔记之四 -----多-threaded服务器
- [译] SolidWorks的发展历史(1994~2007)
- cloudera安装
- native聊天界面 react_ReactNative 仿微信聊天 App 实例分享|RN 仿朋友圈
- CAD设置靶心的大小
- 网页小技巧-360doc个人图书馆复制文字
- 利用pygame模块设计一个植物大战僵尸游戏初版设定
- Spark综合练习——电影评分数据分析
- Trackback, Pingback , Backlink与博客