网闸

描述

需求分析

Michael Bobbin（《计算机安全杂志》主编）说，“保证一个系统真正安全的途径只有一个：断开网络，这也许正在成为一个真正的解决方案。”在政府、国防、能源等很多重要领域，对数据机密性、网络平稳性、业务连续性要求极高，坚如磐石的安全保障尤其关键。市场需求催生了安全技术的创新，在上世纪90年代中期俄罗斯人Ry Jones首先提出“AirGap”隔离概念，然后，以色列研制成功物理隔离卡，实现网络之间的安全隔离；其后，美国Whale Communications公司和以色列SpearHead公司先后推出了e-Gap和NetGap产品，利用专有硬件实现两个网络在不连通的情况下数据的安全交换和资源共享，从而使安全隔离技术从单纯实现“网络隔离禁止交换”发展到“安全隔离和可靠、可控交换”。我司根据国家相关政策和最高标准，开发出了天清安全隔离与信息交换系统GAP-6000系列产品（简称网闸），它凭借强大的功能、卓越的性能以及遍及全国各地完善的客户服务机构和保障体系，为用户的网络隔离安全提供最全面、最安全的解决方案。

产品简介

天清安全隔离与信息交换系统GAP-6000系列产品是启明星辰集团依靠雄厚的技术优势和多年信息安全产品研发的积累， 严格遵照国家有关主管部门的设计规范要求，具有完全自主知识产权的安全隔离与信息交换系统。该产品利用了隔离交换矩阵技术，实现两个网络或应用系统之间的安全隔离。产品可以部署于网络边界，连接两个或多个安全等级相同或不同的网络，实现两个或多个网络之间的安全隔离，但不影响它们之间数据交换，从而实现网络之间的高度安全。该产品主要应用于政府，医疗卫生，能源，金融，公安、石油、石化等多领域信息系统安全建设中，实现网络或应用系统之间的安全隔离。

功能特点

• 安全的“2＋1”的系统架构，即 “内网主机”＋“交换隔离矩阵”＋“外网主机”，实现真正的安全隔离；
• 安全的内外网独立管理机制，内外网采用独立的操作系统，互不信任，提供双重保障；
• 内/外网主机专用的自主知识产权的操作系统，固化于硬件中，防篡改；
• 友好的图形化界面，安全的HTTPS远程管理，并提供密码和证书的认证方式；
• 高速的安全隔离芯片和交换芯片，双摆渡传输技术，有力提高数据交换性能；
• 系统内部的并行处理、线程池等技术，提高了内容检查、过滤、协议分析、病毒扫描等效率；
• 智能的全文内容过滤，对隔离交换报文进行全文数据还原，对文本内容、协议格式等深度检测和过滤；
• 高效的病毒过滤技术，自主研发的防护引擎，结合了特征值检测和启发式检测，高效过滤多种形式的病毒；

典型应用

产品典型部署示意图：

图 1 公安视频接入部署示意图

案例说明：

产品部署在公安信通网与公安视频监控网之间，保证两个网络间的安全隔离，同时通过视频传输功能，可识别合法的视频协议，将视频图像以及相关监控视频信令有效的摆渡到对端网络当中。

图 2 税务办公网与内网安全隔离部署示意图

案例说明：

网上电子申报纳税系统在税务端分为外网受理平台、内网处理平台和内网申报数据库三部分。产品部署于外网受理平台与内网处理平台之间，税务专网数据服务器可以通过网闸获取有用数据进行保存，同时也保证了内网数据库的安全和外网的安全隔离。

图 3 生产企业通过网闸隔离生产网与办公网

案例说明：

产品部署于企业的管理网和生产网之间，主要用于保障生产网与其他网络的有效隔离，同时又能满足办公网必要的数据调取和收集业务。生产网与办公网需要交换的数据一是实时数据库中的数据，二是监控视频数据。通过网闸既能满足数据库的单向传输要求，又能保证视频的双向通信，两网数据交换内容及流向亦可清晰定义。

网络接口	标准2U机箱，双冗余电源；整机配备液晶屏和设备健康监控声光报警装置；内网接口：标配1个管理口，1个HA接口，4个10/100/1000M Base-TX网络接口，4个千兆SFP插槽，2个万兆SFP+插槽外网接口：标配1个管理口，1个HA接口，4个10/100/1000M Base-TX网络接口，4个千兆SFP插槽，2个万兆SFP+插槽
性能	吞吐量≥7Gbps，最大并发连接数≥35 万, 延时≤1ms
系统架构	“2+1”系统架构，即由两个主机系统和一个隔离交换专用硬件组成；隔离交换矩阵基于专用芯片实现，保证数据在搬移的时间内，内、外网隔离卡与内、外网系统为断开状态。
冗余系统	内外网主机系统分别支持双系统引导，并可在WEB界面上直接配置启动顺序，在A系统发生故障时，可以随时切换到B系统；且支持系统(包括配置)备份；支持恢复出厂版本功能，一键恢复系统到出厂状态
网络与接口	支持IPV6/IPV4双栈接入
支持接口冗余模式设置包括：轮询、热备、链路聚合协议
强制访问控制	支持WEB认证方式和专用客户端(用户认证客户端)两种认证方式
可对用户的客户端版本和进程进行检查，进行准入控制
可选功能模块	数据库同步、文件同步、FTP同步、邮件传输、安全浏览、视频传输等功能