信息安全，我用物理隔离网闸

来源：作者：出处：巧巧读书 2006-08-02 进入讨论组

　　大家知道，物理隔离网闸最早出现在美国、以色列等国家的军方，用以解决涉密网络与公共网络连接时的安全。

近年来，随着我国信息化建设步伐的加快，特别是在我国电子政务系统建设中，外部网络连接着广大民众，内部网络连接着政府公务员桌面办公系统，专网连接着各级政府的信息系统，在外网、内网、专网之间交换信息是基本要求。如何在保证内网和专网资源安全的前提下，实现从民众到政府的网络畅通、资源共享、方便快捷是电子政务系统建设中必须解决的技术问题。一般采取的方法是在内网与外网之间实行防火墙的逻辑隔离，在内网与专网之间实行物理隔离。物理隔离网闸成为电子政务信息系统必须配置的设备，由此开始，物理隔离网闸产品与技术在我国快速兴起，成为我国信息安全产业发展的一个新的增长点。

物理隔离网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。由于物理隔离网闸所连接的两个独立主机系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议“摆渡”，且对固态存储介质只有“读”和“写”两个命令。所以，物理隔离网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接，使“黑客”无法入侵、无法攻击、无法破坏，实现了真正的安全。物理隔离网闸中断了两个网络之间的直接连接，所有的数据交换必须通过物理隔离网闸，网闸从网络层的第七层将数据还原为原始数据（文件），然后以"摆渡文件"的形式来传递数据。没有包，命令和TCP/IP协议可以穿透物理隔离网闸。这同透明桥，混杂模式，IP over USB，以及通过开关方式来转发包，有本质的区别，真正实现了物理隔离。下面让我们来看一看我国的一些厂家的物理隔离网闸产品。

一、物理隔离网闸产品

1、京泰物理隔离网闸

京泰物理隔离网闸采用高速固态开关，在内外网络之间切换，开关的物理特性决定了任意一个时刻，系统在物理链路上只能处于内网或者外网的一侧；当连入外网时，与内网断开，从外网获取需要交换的数据；断开外网连接，连接内网，交换数据到内网。往复不断，从而完成内外网络信息的交换；连接建立后，采用自定义信息交换报文和协议进行信息传递和交换，防止黑客利用标准网络协议的各种漏洞进行攻击；由于采用自定义安全传输协议，系统在底层自行完成对文件的分片、传递工作，在另一端负责对其进行重组、检测；系统提供应用接口，对应用系统的表单内容进行严格的信息检测和过滤，防止利用各种非法的查询来获取信息或者破坏信息；由于通过高速固态开关交换信息，时间延迟极短，为毫秒级，为用户应用系统提供实时的在线访问提供了坚实的基础。安全网闸不但提供标准的信息交流服务，如文件交流、数据库交流和邮件交流等。还提供其他具体应用系统的二次开发接口，帮助用户更快、更好的建立自己的安全信息交流平台。支持第三方安全软件，如对传递和交换的数据进行杀毒等，采用Linux操作系统设计，通过公安部、保密局、国家信息安全测评认证中心等权威部门的安全认证，使得自身系统的安全性大为提高。

京泰王闸

产品点评：京泰网络是业内最早从事物理隔离技术的安全公司，其产品以设计新颖、安全程度高，智能化程度高，可靠性好而在业内获得一致好评。经过几年的发展，京泰网络已经形成了完整的产品线，售后服务体系不断完善，产品质量不断提高，产品已经在国内形成自己的市场，赢得了广大用户的信赖。京泰网络物理隔离产品已经通过了公安部、国家保密局、军队保密委等所有国家权威部门的检验，京泰网络科技获得了涉密网安全集成商资质认证。

　　2、盖特佳物理隔离网闸

盖特佳物理隔离网闸采用全透明工作模式，动态实时数据交换技术，防范针对操作系统的已知及未知漏洞攻击，防范基于TCP/IP网络协议弱点的攻击，使用应用层数据提取技术，彻底阻断内外网之间的TCP/IP连接。它采用内外处理单元均采用优化的安全操作系统，系统中不存在TCP/IP网络协议栈，内外部网卡均没有网络地址，无需驱动的Direct I/O技术访问专用硬件通信设备，网卡仅监听数据，对外不提供任何服务，管理控制台完全独立于内外部网络；内置自动反入侵功能，精细的安全访问控制功能，支持路由和透明桥工作模式，支持主机，网络和网段等多种网络对象，支持HTTP，FTP，MAIL等标准网络协议，支持IP和MAC地址绑定，支持HTTP的URL和内容的关键字过滤，支持日志，审计和报警，强大的应用层攻击防护功能，内置高性能安全过滤引擎，能够防止Dos和DDos攻击，缓冲区溢出攻击，恶意编码攻击以及应用层洪水攻击等等。

盖特佳物理隔离网闸

产品点评：盖特佳物理隔离网闸通过专用通信设备，专有安全协议和加密验证机制及应用层数据提取和鉴别认证技术进行不同安全级别网络之间的数据交换，彻底阻断了网络间的之间TCP/IP连接，同时对网间通信的双方，内容，过程施以严格的身份认证，内容过滤，安全审计等多种安全防护机制，从而保证了网间数据交换的安全可控性，杜绝了由于操作系统和网络协议自身的漏洞带来的安全风险。

它主要应用在隔离内部网和互联网，隔离业务网和工作网，隔离内部网和关联网，隔离保护主机服务器，隔离保护数据库服务器等环境场合。