安全隔離網閘

出自 MBA智库百科(https://wiki.mbalib.com/)

安全隔離網閘（Safety Isolation Gate）

　　安全隔離網閘用以實現不同安全級別網路之間的安全隔離，並提供適度可控的數據交換的軟硬體系統，又名“網閘”、“物理隔離網閘”。安全數據交換單元不同時與內外網處理單元連接，為2+1的主機架構。隔離網閘採用SU-Gap安全隔離技術，創建一個內、外網物理斷開的環境。

　　網閘的產生，最早是出現在美國、以色列等國的軍方，用以解決涉密網路與公共網路連接時的安全問題。隨著電子政務在我國的蓬勃發展，政府部門的高安全網路和其他低安全網路之間進行數據交換的需求日益明顯，出於國家安全考慮，政府部門一般傾向於使用國內安全廠商的安全產品，種種因素促使了網閘在我國的產生。我國第一款安全隔離網閘產生於2000年，現已經廣泛應用於政府、金融、交通、能源等行業。

　　安全隔離網閘是實現兩個相互業務隔離的網路之間的數據交換，通用的網閘模型設計一般分三個基本部分：

　　a. 內網處理單元

　　b. 外網處理單元

　　c. 隔離與交換控制單元（隔離硬體）

　　其中，三個單元都要求其軟體的操作系統是安全的，也就是採用非通用的操作系統，或改造後的專用操作系統。一般為Unix BSD或Linux的經安全精簡版本，或者其他是嵌入式操作系統VxWorks等，但都要對底層不需要的協議、服務刪除，使用的協議優化改造，增加安全特性，同時提高效率。

　　內網處理單元：包括內網介面單元與內網數據緩衝區。介面部分負責與內網的連接，並終止內網用戶的網路連接，對數據進行病毒檢測、防火牆、入侵防護等安全檢測後剝離出“純數據”，作好交換的準備，也完成來自內網對用戶身份的確認，確保數據的安全通道；數據緩衝區是存放並調度剝離後的數據，負責與隔離交換單元的數據交換。

　　外網處理單元：與內網處理單元功能相同，但處理的是外網連接。

　　隔離與交換控制單元：是網閘隔離控制的擺渡控制，控制交換通道的開啟與關閉。控制單元中包含一個數據交換區，就是數據交換中的擺渡船。對交換通道的控制的方式目前有兩種技術，擺渡開關與通道控制。擺渡開關是電子倒換開關，讓數據交換區與內外網在任意時刻的不同時連接，形成空間間隔GAP，實現物理隔離。通道方式是在內外網之間改變通訊模式，中斷了內外網的直接連接，採用私密的通訊手段形成內外網的物理隔離。該單元中有一個數據交換區，作為交換數據的中轉。

　　在內外網處理單元中，介面處理與數據緩衝之間的通道，稱內部通道1，緩衝區與交換區之間的通道，稱內部通道2。對內部通道的開關控制，就可以形成內外網的隔離。模型中的用中間的數據交換區擺渡數據，稱為三區模型；擺渡時，交換區的匯流排分別與內、外網緩衝區連接，也就是內部通道2的控制，完成數據交換。

　　還有一種方式是取消數據交換區，分別交互控制內部通道1與內部通道2，形成二區模型。

　　二區模型的數據擺渡分兩次：先是連接內、外網數據緩衝區的內部通道2斷開，內部通道1連接，內外網介面單元將要交換的數據接收過來，存在各自的緩衝區中，完成一次擺渡。然後內部通道1斷開，內部通道2連接，內外網的數據緩衝區與各自的介面單元斷開後，兩個緩衝區連接，分別把要交換的數據交換到對方的緩衝區中，完成數據的二次擺渡。

　　內部通道一般也採用非通用網路的通訊連接，讓來自兩端的可能攻擊終止於介面單元，從而增強網閘的隔離效果。安全隔離網閘設計的目的，是隔離內外網業務連接的前提下，實現安全的數據交換。也就是安全專家描述的：協議落地，數據交換。

　　由於職能和業務的不同，用戶的應用系統及其數據交換方式也多種多樣：各種審批系統、各種數據查詢系統需要在網路間傳輸和交換指定資料庫記錄；各種彙總系統、各種數據採集系統需要在網路間傳輸和交換指定文件；各種複雜的應用系統需要傳輸和交換定製數據；內外網之間的郵件互通和網頁瀏覽需求要求網路之間能夠進行郵件轉發和網頁轉發。

　　故主流的安全隔離網閘一般具有如下功能模塊：資料庫模塊、文件模塊、消息模塊、郵件模塊和瀏覽模塊。

　　（一）當用戶的網路需要保證高強度的安全，同時又與其它不信任網路進行信息交換的情況下，如果採用物理隔離卡，用戶必須使用開關在內外網之間來回切換，不僅管理起來非常麻煩，使用起來也非常不方便，如果採用防火牆，由於防火牆自身的安全很難保證，所以防火牆也無法防止內部信息泄漏和外部病毒、黑客程式的滲入，安全性無法保證。在這種情況下，安全隔離網閘能夠同時滿足這兩個要求，彌補了物理隔離卡和防火牆的不足之處，是最好的選擇。

　　（二）對網路地隔離是通過網閘隔離硬體實現兩個網路在鏈路層斷開，但是為了交換數據，通過設計的隔離硬體在兩個網路對應的上進行切換，通過對硬體上的存儲晶元的讀寫，完成數據的交換。

　　（三）安裝了相應的應用模塊之後，安全隔離網閘可以在保證安全的前提下，使用戶可以瀏覽網頁、收發電子郵件、在不同網路上的資料庫之間交換數據，並可以在網路之間交換定製的文件。