摘要：虎翼陣是一種變幻莫測的陣法，通過以不斷變化的陣法，使中軍無形於敵人，保護中軍的安全。網禦網閘系列產品，確保信任網路和非信任網路之間任何連線的斷開，徹底阻斷TCP/IP協議及其他網路協議，使內網安全隔離於外界，且實保護內網安全。

虎翼陣：天地前衝，變為虎翼，伏虎將搏，盛其威力。淮陰用之，變為無極，垓下之會，魯公莫測。

虎翼陣是一種變幻莫測的陣法，通過以不斷變化的陣法，使中軍無形於敵人，保護中軍的安全。網禦網閘系列產品，確保信任網路和非信任網路之間任何連線的斷開，徹底阻斷TCP/IP協議及其他網路協議，使內網安全隔離於外界，且實保護內網安全。

安全網路隔離 放心資料交換

◆資訊化大背景下政務內網外聯的威脅

近年來，隨著我國資訊化建設步伐的加快，"電子政務"以前所未有的速度發展。在我國電子政務建設中，外部網路連線著廣大人民群眾，內部專網連線著各級政府的資訊系統，涉密內網關係著國家安全則與其他網路完全斷開。在外網、專網、涉密網路之間交換資訊是基本的要求。

然而，資訊網路的安全威脅隨著網路和資訊系統的發展日益嚴重，網路和資訊系統的互聯互通、資訊共享，為基於網路的黑客入侵、能夠自動複製蔓延和攻擊的蠕蟲病毒、各種各樣的"特洛伊木馬"，以及各種內部人員的惡意洩密或破壞提供了可乘之機。據權威機構統計，2010年國內新增木馬病毒2.18億個，約有3.5萬個網站被黑客篡改，近五千萬終端和伺服器被感染病毒，資訊網路安全所面臨的問題越來越多，內容越來越複雜。

傳統網路防護手段及不足

傳統的安全防護產品防火牆、防病毒、和入侵檢測/入侵防禦系統已在各級政府部門得到了大量應用，對網路安全的起到了一定的保護作用。然而基於訪問控制技術（包括包過濾、狀態檢測、應用代理、應用特徵檢測等技術）的防火牆、基於病毒特徵碼檢查的防病毒軟體/防毒牆、基於特徵庫比對的IDS/IPS等產品的共同特點是定義某些資料特徵或策略，並將其列入訪問控制列表，符合這一特徵的資料為禁止、否則允許。對這種防禦手段最簡單的描述是："兵來將擋，水來土掩"，如果有一種新的攻擊行為或者新的病毒、蠕蟲，就需要有一定時間的研究分析過程，最後通過升級特徵的方式解決。這類產品的不足就是亡羊補牢、事後防禦，不能防患於未然。

由於傳統防禦技術本身實現機制的限制，對未知病毒、攻擊不能進行有效的防禦，有一個"發作-防禦"的時間差，加上越來越多的重要應用對網路和資訊系統依賴越來越大，使網路安全威脅沒有得到有效抑制。

面對越來越嚴峻的局面，我們所能做的似乎只有將政務網路與網際網路絡或其他非信任網路斷開連線，阻止資訊交換，進行物理隔離來保護網路。但是，斷開了網路，禁止資料交換，就會造成政務資訊化工作無法開展。

現有解決之道

基於物理隔離提供的高安全性和使用者資料交換的實際需求出發，從政府部門到各個安全廠商均在進行著積極的探索，先後提出了以下解決之道：

B.隔離卡技術

隔離卡的功能即是以物理方式將一臺PC虛擬為兩個電腦，實現工作站的雙重狀態,既可在安全狀態，又可在公共狀態，兩個狀態是完全隔離的，從而使一部工作站可在完全安全狀態下聯結內、外網。該卡實際是被設定在PC中最低的物理層上，通過卡上一邊的IDE匯流排聯結主機板，另一邊聯結IDE硬碟，內、外網的聯接均須通過該卡。PC機硬碟被物理分隔成為兩個區域，在IDE匯流排物理層上，在韌體中控制磁碟通道，在任何時候，資料只能通往一個分割槽。我們可以用網路層次結構的思想理解它，它是構造在物理層上，對上提供介面服務，這些服務中包括了安全功能。因為它是構造在這麼一個低層上，因此它在使用中需要重新啟動作業系統，這是其不足之處；如果不重新啟動作業系統，就不能保證資料不通過記憶體被竊取。除以上介紹的單主機板單硬碟解決方案外，還有基於隔離卡技術的單主機板雙硬碟的解決方案，該方案與上類似。

通過以上介紹，我們可以總結出兩點：A，隔離卡是在一臺終端上實現內網時空上的邏輯隔離，在一定技術上解決了一臺終端兩網間的隔離問題；B，隔離卡無法滿足兩個網路間實時安全交換資料的需求。

C.網閘（GAP）技術

網閘（GAP），又稱安全隔離與資訊交換系統。國內主流網閘產品通常採用"2+1"架構設計，即內網處理單元（內網主機系統）、外網處理單元（外網主機系統）和隔離交換單元。

內網處理單元：包括內網介面單元與內網資料緩衝區。介面部分負責與內網的連線，並終止內網使用者的網路連線，對資料進行病毒檢測、內容過濾、格式檢查等安全檢測後剝離出"純資料"，作好交換的準備，也完成來自內網對使用者身份的確認，確保資料的安全通道;資料緩衝區是存放並排程剝離後的資料，負責與隔離交換單元的資料交換。

外網處理單元：與內網處理單元功能相同，但處理的是外網連線。

隔離交換單元：是網閘隔離控制的擺渡裝置，控制交換通道的開啟與關閉。控制單元中包含一個數據交換區，就是資料交換中的擺渡船。隔離交換單元中斷了內外網的在任一時刻直接連線，採用私密的通訊手段形成內外網的物理隔離。該單元中有一個數據交換區，作為交換資料的中轉。

根據政務網"邊界清晰可界點、網間傳輸或交換資料可定義"的特點，網閘採用"白名單"的方式，只傳輸明確定義的、需要傳輸的、確保安全的資訊和資料，其他資料一概不傳。網閘的這一特性加上其"2+1"架構，可以有效防禦的未知攻擊和病毒。

網閘對應用的支援均有特定的功能模組來支援，總的來說，網閘支援兩大類應用，一是資料同步；二是基於應用協議的雙層應用代理；

目前網閘產品現在我國政府和其他單位得到了廣泛應用，國密局根據網閘產品的特性定義瞭如下四種使用環境：

◆不同的涉密網路之間；

◆同一涉密網路的不同安全域之間；

◆與Internet物理隔離的網路與祕密級涉密網路之間；

◆未與涉密網路連線的網路與Internet之間；

D.資訊單向匯入技術

資訊單向匯入就是資訊的單向流動、單向傳輸，實現資訊的單向傳輸有兩種方式：一是通過訪問控制實現，雖然該方式能實現應用資料的單向傳輸，但是根據TCP三次握手原理，這種方式有反饋資訊存在，實際還是資料雙向傳輸；另一種是採用物理裝置設計方式保證資訊的單向無反饋傳輸；根據以上分析，只有後一種單向傳輸實現方式才是資訊單向匯入技術。

由於資訊的單向無反饋傳輸，採用資訊單向匯入技術的裝置在連線內外網時，可實現資料僅且只能由低密網路流向高密網路，而不會發生由此連線裝置引起的洩密事件；並且由資料傳輸的單向無反饋性，使黑客無法基於網路進行入侵和探測，同時行為得不到任何資訊反饋，杜絕任何網路入侵攻擊行為。

資訊單向匯入技術有兩個技術難點，一是實現單向無反饋傳輸的物理環境；二是在單向無反饋傳輸環境下的可靠、高效資料傳輸；

實現單向無反饋傳輸的物理環境，也就是資料單向傳輸部件，目前國內主要有采用單根光纖實現，根據光的單向傳輸性，單根光纖只能實現單向資料傳輸，故採用單根光纖是最為顯而易見的單向無反饋傳輸環境實現方式。

在單向無反饋傳輸環境下，資料僅能採用"盲發"的方式，即傳送只管傳送，接收方只管接收，傳送方不知傳送資料的完整性、可用性如何。如何實現可靠的資料傳輸，是資訊單向匯入產品可用的關鍵。

國內有公司採用"源側多傳送幾次+目標側比對與告警+源側手工觸發重傳"方式保證資料傳輸的可靠性，也有采用前向糾錯編碼技術保證資料的高可靠傳輸，前向糾錯編碼技術已在廣播電視等單向傳輸環境中得到廣泛應用。

如何選擇安全隔離產品

◆根據國家政策選擇

根據國家相關政策，電子政務涉密資訊系統不得直接或間接國際聯網，應與國際網際網路或其他公共資訊網路實行物理隔離；電子政務非涉密資訊系統應與國際網際網路或其他公共資訊網路採取必要的邏輯隔離措施。

1、使用者終端的兩網隔離

使用者終端裝置可採用隔離卡技術的單主機板、雙硬碟的方案，在使用者原終端計算機上增加一塊硬碟和一塊隔離卡，每塊硬碟上安裝一套作業系統並固定對應一套網路。使用者對兩塊硬碟以及兩個網路的訪問都必須通過安全隔離卡，這樣就可對兩塊硬碟和兩個網路分時使用控制，使用者在內外網間切換時必須重新啟動計算機，從而達到安全隔離的效果。

2、電子政務涉密資訊系統與電子政務非涉密資訊系統的連線

(1)使用網閘進行連線

當祕密級的電子政務涉密資訊系統與其他網路實行物理隔離，並且採用訪問控制策略阻止涉密資訊由涉密資訊系統流向非涉密資訊系統，同時電子政務非涉密資訊系統與其他公共網路實行物理隔離，同時滿足以上條件的，可以使用網閘產品進行連線。

同時網閘可以在以下環境中使用

◆未與涉密網路連線的網路與Internet之間；

◆同一涉密網路的不同安全域之間；

◆不同的涉密網路之間；

(2)使用資訊單向匯入系統連線

當電子政務當祕密級的電子政務涉密資訊系統與其他網路實行物理隔離，並且採用訪問控制策略阻止涉密資訊由涉密資訊系統流向非涉密資訊系統，同時電子政務非涉密資訊系統與其他公共網路實行邏輯隔離，同時滿足以上條件的可以使用資訊單向匯入系統連線，資料僅且僅能由非涉密資訊系統流向涉密資訊系統。

◆根據應用選擇

1、選擇網閘產品

由於網閘產品在不同的應用環境中使用特定的功能模組，所以我們在選擇產品時最重要是選擇適合的功能模組。網閘產品的功能模組總體可分為兩大類：資料同步、應用代理，下面具體介紹：

資料同步，又分為資料庫同步和檔案同步，資料同步功能模組最重要的是應用環境的適應性，其決定了網閘產品的可用性、易用性。如資料庫同步要支援主流的資料庫，支援欄位級的雙向單向同步，支援一源多目的、多源一目的同步，支援資料衝突檢測策略，支援按條件同步，支援資料容錯處理機制，當資料同步失敗時，使用者可以查詢、復位、刪除未能正常傳輸的資料，支援同步資料統計，資料傳輸加密，支援郵件報警等功能。這些功能細節直接決定了資料庫同步功能的適應性，也體現一個公司的技術實力。

應用代理支援常見的應用協議如HTTP、FTP、SMTP、POP3等，每種協議的支援有獨立的功能模組完成。網閘的應用代理功能與防火牆的應用代理有很大的區別，網閘要中斷內外網所有TCP/IP連線，將資料還原至應用層，進行格式檢查、內容過濾、病毒檢測等操作，最後將合規的資料擺渡至內網；而防火牆則不中斷內外網的TCP/IP連線。對於非標準應用協議，網閘需進行定製開發，提供專用應用協議介面支援。

2、選擇資訊單向匯入產品

資訊單向匯入產品有兩大關鍵技術，一是絕對單向無反饋傳輸環境；二是在單向傳輸環境下進行高可靠高效資料傳輸；因此我們選擇資訊單向匯入產品時也可以根據這兩點進行：一看實現實現單向無反饋傳輸環境是否可見，可驗；二看資料傳輸的可靠性和高效性，驗證單向匯入產品的可靠性、高效性可通過產品實測進行。另外，由於單向傳輸環境的不可靠性，如何保障資料在丟失的第一時間通知使用者進行人工干預也是我們選擇產品關注的重點。

◆根據產品資質選擇

安全隔離與資訊交換類產品是政策性產品，國家相關主管部門針對此類產品制定的嚴格的標準、規範，如GB/T20279，只有通過相應檢測規範的產品才是合格的產品。目前國家相關主管單位針對此類產品有"4證"，分別是"計算機資訊系統安全專用產品銷售許可證"、"涉密資訊系統產品檢測證書"、"軍用資訊保安產品認證證書"和"國家資訊保安產品認證證書"。

資訊單向匯入類產品現在應用的主要依據是《電子政務保密管理指南》以及涉密資訊系統建設技術規範，目前國家還沒有相應部門出臺相關的標準，如有獲得公安銷售許可證的廠商，也是採用企業制定的私有標準進行認證，請各位在選擇此類產品時注意。

以上介紹選擇產品的三個依據，僅是作者個人意見，希望能在你有相應需求時提供幫助。

網禦的安全隔離產品

網禦根據內網外聯的切實需求，研發提供網禦網閘SIS3000和資訊單向匯入系統UDGAP兩類產品。

1、網禦網閘SIS3000系列產品

網禦網閘SIS3000基於"2+1"系統架構、LeadASIC專用晶片、USE統一安全引擎、MRP多重冗餘協議，將安全性、高效性、智慧性、可靠性完美結合，具有資料同步型和資料訪問型兩種工作模式。對資料在應用層細粒度安全過濾後，以自有協議方式在安全隔離網閘內擺渡，徹底切斷了不同安全級別網路間的任何連線，實現了高安全的隔離和實時的資訊交換。

網禦現已成為國內安全隔離網閘業內技術最優、產品線最全、市場佔有率最高的領導廠商，已為政府、金融、交通、能源等大行業提供了許多成熟的安全隔離解決方案。

網禦網閘SIS3000有以下優勢：

◆高安全性的"2+1"系統架構

系統硬體平臺由內網主機系統、外網主機系統、隔離交換矩陣三部分組成；內網/外網主機系統分別具有獨立的運算單元和儲存單元，並以網禦自主智慧財產權的VSP （Versatile Secure Platform）通用安全平臺作為系統支撐；隔離交換矩陣基於LeadASIC專用晶片技術及相應的時分多路隔離交換邏輯電路，不受主機系統控制，獨立完成應用資料的封包、擺渡、拆包，從而實現內外網之間的資料隔離交換。基於VSP的高效協議處理和LeadASIC晶片的多路固化資料通道技術，分別解決了安全隔離網閘進行資料過濾和擺渡時效能低的業內難題，從而滿足了使用者對高效能安全隔離網閘的需求。

◆強大的資料交換能力和多業務應用支援技術

網禦安全隔離網閘擁有強大的資料交換能力，以資料庫同步為例，安全隔離網閘支援Oracle、SQLServer、DB2、Sybase等主流資料庫間的同構、異構同步，支援單向、雙向同步，支援一到多、多到一的同步，支援靈活多樣的資料衝突處理機制，採用先進的資料容錯技術，保障資料同步的可靠性、穩定性。網禦安全隔離網閘有資料庫同步、檔案同步、安全瀏覽、郵件傳輸、定製訪問、訊息傳輸等多種功能模組為使用者多種業務提供了豐富的應用支援。

◆高智慧性的全文內容過濾、高效病毒檢測技術

以USE（Uniform Security Engine）統一安全引擎為基礎，對隔離交換報文進行全文資料還原，對使用者登入、命令請求、文字資訊、協議格式等實施全文深度檢測，並支援特定應用層協議標籤的檢測控制，實現了對特定資訊交換多重內容安全管理，為網路間資料交換提供了"綠色通道"。採用自主智慧財產權病毒引擎、專業病毒特徵庫。

◆高可靠性的多重冗餘解決方案

基於MRP（Multi-Layers Redundant Protocol）多重冗餘協議實現多重冗餘方案，支援自身埠冗餘、鏈路聚合、雙機熱備、2~32檯安全隔離網閘負載均衡，保障了使用者網路和應用的高可靠性。

2、網禦安全隔離與資訊單向匯入系統（UDGAP）

網禦安全隔離與資訊單向匯入系統UDGAP（以下簡稱網禦資訊單向匯入系統）採用"單向無反饋傳輸"技術，在提供物理的絕對單向無反饋傳輸環境的同時，採用擁有專利的"多級前向糾錯編碼"技術，保證了資料傳輸的高可靠、高效率。

網禦資訊單向匯入系統由於其物理單向無反饋傳輸環境、基於資料的單向匯入，使黑客無法基於網路進行入侵和探測，同時行為得不到任何資訊反饋，在為使用者提供絕對的單向無反饋資料傳輸功能的同時，為使用者提供了最高級別的網路攻擊防護功能。

網禦資訊單向匯入系統UDGAP有以下產品特色

◆絕對單向無反饋

網禦安全隔離與資訊單向匯入系統採用"2+1"架構設計，即外網主機、內網主機和單向匯入隔離部件，內外主機通過單向匯入隔離部件連線。

其中單向匯入隔離部件採用獨特單向無反饋電路設計，並採用單根光纖通訊，眾所周知，單根光纖不能同時進行傳送和接收資料，網禦的硬體設計從物理保證了資料的絕對單向無反饋傳輸，並且單向傳輸環境可見。

◆高可靠多級前向糾錯編碼

資料傳輸的可靠性直接決定了單向匯入系統在實際環境中的可用性，網禦安全隔離與資訊單向匯入系統採用擁有專利技術的多級前向糾錯編碼、解碼技術，通過外編碼解決內編碼未能糾錯的資料，增強了資料傳輸端到端的重構能力，提高了單向無反饋環境資料傳輸的可靠性。

◆人性化資料校驗及報警技術

由於資料在絕對單向無反饋傳輸環境下傳輸理論上的不可靠性，網禦採用多級前向糾錯編碼等高可靠保障技術的同時，提供了多種資料校驗技術保證系統的可用性。網禦資料校驗技術可自動檢測使用者未正常傳輸的資料，提供定時和手動校驗兩種人性化方式，當系統檢測到有資料丟失現象發生時，可提供控制檯、郵件等多種快速報警方式，以便使用者及早發現數據丟失現象，網禦在資料傳送端對傳送的資料進行自動備份，使用者可根據報警資訊有選擇的重傳資料。

◆全面的資料安全控制

以USE（Uniform Security Engine）統一安全引擎為基礎，對單向傳輸的內容進行全文資料還原，對文字內容實施全文深度檢測，並採用自主智慧財產權病毒引擎、專業病毒特徵庫進行病毒查殺，為單向資料傳輸提供了"綠色通道"。

總結

天地前衝，變為虎翼，伏虎將搏，盛其威力，九宮八陣圖之虎翼陣，為古人國家安全提供了保障，今有網禦安全隔離產品為你的網路安全保駕護航。