物理隔離與數據交換-網(wǎng)閘
一、什么是網(wǎng)閘
網(wǎng)閘技術(shù)的需求來(lái)自?xún)染W(wǎng)與外網(wǎng)數據互通的要求，比如政府的電子政務(wù)是對公眾服務(wù)，與互聯(lián)網(wǎng)連通，而內網(wǎng)的政府辦公網(wǎng)絡(luò )，由于保密的要求，內網(wǎng)若與網(wǎng)連通，則面臨來(lái)自公網(wǎng)的各種威脅。安全專(zhuān)家給出的建議是：由于目前的安全技術(shù)，無(wú)論防火墻、UTM等防護系統都不能保證攻擊的一定阻斷，入侵檢測等監控系統也不能保證入侵行為完全捕獲，所以最安全的方式就是物理的分開(kāi)，所以在公安部的技術(shù)要求中，要求電子政務(wù)的內、外網(wǎng)絡(luò )之間“物理隔離”。沒(méi)有連接，來(lái)自外網(wǎng)對內網(wǎng)的攻擊就無(wú)從談起。
但是，網(wǎng)絡(luò )的物理隔離，給數據的通訊帶來(lái)很多不便，比如工作人員出差只能接入互聯(lián)網(wǎng)，要取得內網(wǎng)的文件就沒(méi)有辦法，只能讓辦公室的人把文件放在外網(wǎng)上。另外，內網(wǎng)辦公系統需要從外網(wǎng)提供的統計數據，由于服務(wù)隔離，數據的獲取也很困難。因此，隨著(zhù)網(wǎng)絡(luò )業(yè)務(wù)的日益成熟，數據交換的需求提議強烈。
最初的解決辦法就是人工的“傳遞”，用U盤(pán)或光盤(pán)在內外網(wǎng)之間倒換數據。隨著(zhù)業(yè)務(wù)的增多，數據量的擴大，人工的方式顯然成為很多業(yè)務(wù)的瓶頸，在內、外網(wǎng)之間建立一個(gè)既符合“物理隔離”安全要求，又能進(jìn)行數據交換的設備或解決方案，這就誕生了網(wǎng)閘技術(shù)。
網(wǎng)閘實(shí)現的是個(gè)安全的概念，與防火墻等網(wǎng)絡(luò )安全設備不同的地方是他阻斷通訊的連接，只完成數據的交換，沒(méi)有業(yè)務(wù)的連接，攻擊就沒(méi)有了載體，如同網(wǎng)絡(luò )的“物理隔離”。網(wǎng)閘其實(shí)就是模擬人工數據倒換，利用中間數據倒換區，分時(shí)地與內外網(wǎng)連接，但一個(gè)時(shí)刻只與一個(gè)網(wǎng)絡(luò )連接，保持“物理的分離”，實(shí)現數據的倒換。這就象從前長(cháng)江上的擺渡船，既沒(méi)有“物理的連接”大橋，也實(shí)現了貨物的交換。
其實(shí)，除了電子政務(wù)內外網(wǎng)的交換需求，其他各種涉密網(wǎng)絡(luò )與公用網(wǎng)絡(luò )的互聯(lián)都有這種需求，比如：廣電的編播網(wǎng)和互聯(lián)網(wǎng)、電力的控制網(wǎng)與辦公網(wǎng)、海關(guān)的運行網(wǎng)和報關(guān)查詢(xún)網(wǎng)絡(luò )、銀行的業(yè)務(wù)網(wǎng)與網(wǎng)上銀行網(wǎng)絡(luò )等等。
二、網(wǎng)閘的實(shí)現原理
網(wǎng)閘是實(shí)現兩個(gè)相互業(yè)務(wù)隔離的網(wǎng)絡(luò )之間的數據交換，通用的網(wǎng)閘模型設計一般分三個(gè)基本部分：
內網(wǎng)處理單元
外網(wǎng)處理單元
隔離與交換控制控制單元
三個(gè)單元都要求其軟件的操作系統是安全的，也就是采用非通用的操作系統，或改造后的專(zhuān)用操作系統。一般為Unix BSD或Linux的變種版本，或者其他是嵌入式操作系統VxWorks等，但都要對底層不需要的協(xié)議、服務(wù)刪除，使用的協(xié)議優(yōu)化改造，增加安全特性，同時(shí)提高效率。
內網(wǎng)處理單元：
包括內網(wǎng)接口單元與內網(wǎng)數據緩沖區。
接口部分負責與內網(wǎng)的連接，并終止內網(wǎng)用戶(hù)的網(wǎng)絡(luò )連接，對數據進(jìn)行病毒檢測、防火墻、入侵防護等安全檢測后剝離出“純數據”，作好交換的準備，也完成來(lái)自?xún)染W(wǎng)對用戶(hù)身份的確認，確保數據的安全通道；
數據緩沖區是存放并調度剝離后的數據，負責與隔離交換單元的數據交換。
外網(wǎng)處理單元：與內網(wǎng)處理單元功能相同，但處理的是外網(wǎng)連接。
隔離與交換控制單元：是網(wǎng)閘隔離控制的擺渡控制，控制交換通道的開(kāi)啟與關(guān)閉?？刂茊卧邪粋€(gè)數據交換區，就是數據交換中的擺渡船。對交換通道的控制的方式目前有兩種技術(shù)，擺渡開(kāi)關(guān)與通道控制。擺渡開(kāi)關(guān)是電子倒換開(kāi)關(guān)，讓數據交換區與內外網(wǎng)在任意時(shí)刻的不同時(shí)連接，形成空間間隔GAP，實(shí)現物理隔離。通道方式是在內外網(wǎng)之間改變通訊模式，中斷了內外網(wǎng)的直接連接，采用私密的通訊手段形成內外網(wǎng)的物理隔離。該單元中有一個(gè)數據交換區，作為交換數據的中轉。
在內外網(wǎng)處理單元中，接口處理與數據緩沖之間的通道，稱(chēng)內部通道1，緩沖區與交換區之間的通道，稱(chēng)內部通道2。對內部通道的開(kāi)關(guān)控制，就可以形成內外網(wǎng)的隔離。模型中的用中間的數據交換區擺渡數據，稱(chēng)為三區模型；擺渡時(shí)，交換區的總線(xiàn)分別與內、外網(wǎng)緩沖區連接，也就是內部通道2的控制，完成數據交換。
還有一種方式是取消數據交換區，分別交互控制內部通道1與內部通道2，形成二區模型。
二區模型的數據擺渡分兩次：先是連接內、外網(wǎng)數據緩沖區的內部通道2斷開(kāi)，內部通道1連接，內外網(wǎng)接口單元將要交換的數據接收過(guò)來(lái)，存在各自的緩沖區中，完成一次擺渡。然后內部通道1斷開(kāi)，內部通道2連接，內外網(wǎng)的數據緩沖區與各自的接口單元斷開(kāi)后，兩個(gè)緩沖區連接，分別把要交換的數據交換到對方的緩沖區中，完成數據的二次擺渡。
內部通道一般也采用非通用網(wǎng)絡(luò )的通訊連接，讓來(lái)自?xún)啥说目赡芄艚K止于接口單元，從而增強網(wǎng)閘的隔離效果。所以?xún)炔客ǖ酪话氵x用網(wǎng)絡(luò )、SCSI、IDE、USB、PCI等方式。
網(wǎng)閘設計的目的，是隔離內外網(wǎng)業(yè)務(wù)連接的前提下，實(shí)現安全的數據交換。也就是安全專(zhuān)家描述的：協(xié)議落地，數據交換。
三、隔離概念的變化
嚴格地講，物理隔離因該沒(méi)有物理通訊連接，也包括無(wú)線(xiàn)通訊，消除了通訊的可能，入侵就沒(méi)有了載體，但同時(shí)數據交換也成了難題。
網(wǎng)閘在發(fā)展過(guò)程中，對隔離的定義也經(jīng)歷了幾個(gè)過(guò)程：
1. 物理隔離：模擬人工交換的過(guò)程，必須在內外網(wǎng)的節點(diǎn)機上進(jìn)行數據交換，不能實(shí)現網(wǎng)絡(luò )上任意計算機的數據交換。
2. 網(wǎng)絡(luò )隔離：在簡(jiǎn)單交換的基礎上，對文件傳輸協(xié)議的數據打包交換，實(shí)現了網(wǎng)絡(luò )上任意信息點(diǎn)的數據交換。
3. 協(xié)議隔離：能對文件協(xié)議代理，就可以對其他應用協(xié)議代理，如Http，實(shí)現了應用數據的直接交換。
物理隔離是指只有文件級交換的網(wǎng)閘，網(wǎng)絡(luò )隔離與協(xié)議隔離是隔離概念的進(jìn)一步弱化，根據要隔離網(wǎng)絡(luò )的安全性要求，選擇不同的隔離技術(shù)。但把協(xié)議隔離當作物理隔離保證安全就成了網(wǎng)閘產(chǎn)品技術(shù)的誤區了。
四、網(wǎng)閘設計中的誤區
網(wǎng)閘利用隔離業(yè)務(wù)連接阻斷用戶(hù)業(yè)務(wù)連接，完成數據的交換。但是由于網(wǎng)閘兩端的網(wǎng)絡(luò )出口，直接連在內外網(wǎng)的節點(diǎn)上，沒(méi)有其他的中間代理，各種應用協(xié)議連接直接到達網(wǎng)閘的接口，從用戶(hù)角度來(lái)講，看到的是一個(gè)內外網(wǎng)互通服務(wù)，好像在內外網(wǎng)間建立了連接，只是時(shí)延大一些，也就是說(shuō)建立了邏輯的連接。網(wǎng)閘好像是一個(gè)網(wǎng)絡(luò )堡壘機。
大多數網(wǎng)閘廠(chǎng)家在設計網(wǎng)閘產(chǎn)品時(shí)，為了方便客戶(hù)業(yè)務(wù)的方便，在內外網(wǎng)接口上解析各種應用協(xié)議，一方面剝離成數據，另一面有恢復成應用協(xié)議，網(wǎng)閘可以根據安全檢測的結果，合乎要求的讓通過(guò)，不合要求的就阻斷。這樣不僅僅實(shí)現數據的交換，而且實(shí)現了業(yè)務(wù)應用的代理訪(fǎng)問(wèn)，有些網(wǎng)閘產(chǎn)品實(shí)現了外網(wǎng)的訪(fǎng)問(wèn)者訪(fǎng)問(wèn)內網(wǎng)的服務(wù)器。這種解析不僅有覆蓋常見(jiàn)應用協(xié)議的趨勢，而且對數據庫的訪(fǎng)問(wèn)也代理通過(guò)，為緩沖區溢出、SQL注入等攻擊提供了生存的溫床。網(wǎng)閘成了名副其實(shí)的集裝箱擺渡。
由于應用協(xié)議的解析，應用可以通過(guò)網(wǎng)閘，攻擊也有了載體，網(wǎng)閘的安全就依賴(lài)于網(wǎng)閘的安全檢測技術(shù)。物理隔離的含義是作為攻擊載體的應用協(xié)議被中斷，入侵與攻擊才沒(méi)有進(jìn)入的路徑，隔離達到安全的目的。所以網(wǎng)閘要“破壞”是業(yè)務(wù)的協(xié)議，而不是代理。這比如：火車(chē)可以通過(guò)擺渡繼續整列車(chē)行進(jìn)，而網(wǎng)閘因該把貨物的組合徹底打散，這邊是用火車(chē)，到了對岸，用汽車(chē)還是馬車(chē)就不一定了?；谶@種方式，網(wǎng)絡(luò )攻擊行為中比較難探測的分散隱藏就不容易了。
網(wǎng)閘的安全檢測技術(shù)與目前各種安全網(wǎng)關(guān)類(lèi)產(chǎn)品的檢測技術(shù)應該一致，所以若能通過(guò)網(wǎng)閘建立業(yè)務(wù)連接的話(huà)，網(wǎng)閘的功能就與用防火墻等安全網(wǎng)關(guān)類(lèi)設備建立的網(wǎng)絡(luò )連接是同樣的安全效果了。
因此，解析應用協(xié)議，成為應用代理的網(wǎng)閘實(shí)際上成為一個(gè)邏輯上的安全網(wǎng)關(guān)，滿(mǎn)足了數據交換的功能，但失去了網(wǎng)絡(luò )隔離的效果。
五、網(wǎng)閘安全原則的定義
網(wǎng)閘對業(yè)務(wù)協(xié)議的解析給網(wǎng)閘帶來(lái)新的安全問(wèn)題，所以不是說(shuō)功能越豐富越好，從網(wǎng)閘處于網(wǎng)絡(luò )中的位置，以及要實(shí)現的目的，網(wǎng)閘應該有自己的安全設計原則。
使用網(wǎng)閘的目的是為了隔離業(yè)務(wù)的同時(shí)，進(jìn)行安全的數據交換。從安全服務(wù)的角度講，網(wǎng)閘開(kāi)通的服務(wù)種類(lèi)越少，被攻擊的可能性越小，網(wǎng)閘可交換的數據類(lèi)型越少，隱含攻擊的可能越小。網(wǎng)閘的安全原則定義為：
單一服務(wù)：
只完成數據文件的交換，只完成文件形式的數據交換。
其他的服務(wù)一律關(guān)閉
定向交換：在數據交換時(shí)指定接收人、發(fā)送人
網(wǎng)閘不支持應用協(xié)議解析，不透傳業(yè)務(wù)應用，只進(jìn)行文件數據的擺渡，對于Http、SMTP、FTP等協(xié)議無(wú)法通過(guò)，數據庫的訪(fǎng)問(wèn)就更加不能通過(guò)，網(wǎng)閘只起到數據的擺渡，不支持應用的互通，應用協(xié)議的終止，讓入侵、攻擊徹底失去了傳播的載體。
定義了安全原則的網(wǎng)閘安全性分析：
指定內外網(wǎng)的發(fā)送與接收人：數據交換是提供點(diǎn)到點(diǎn)的數據交換服務(wù)，方便數據交換的審計，方便問(wèn)題定位到源頭。避免第三者冒充、截獲信息重放等攻擊的發(fā)生。
只選擇文件級的交換：采用文件級交換，而不是數據包級交換，是因為文件相對信息完整，避免蠕蟲(chóng)式的分片隱藏。交換的信息單元之間沒(méi)有關(guān)聯(lián)，無(wú)需網(wǎng)閘進(jìn)行信息還原、重組(這需要大量的緩沖區)。
只選擇文件交換，內外網(wǎng)沒(méi)有通訊的連接，來(lái)自外網(wǎng)的黑客遠程攻擊因為沒(méi)有遙控線(xiàn)路而難以實(shí)現，對內網(wǎng)的業(yè)務(wù)進(jìn)行攻擊只有發(fā)自?xún)染W(wǎng)本身的病毒、蠕蟲(chóng)，這就實(shí)現了和人工數據擺渡同樣的安全效果。
文件的內容安全可以對發(fā)送者身份認證來(lái)保證。文件附著(zhù)的病毒、蠕蟲(chóng)、木馬等的檢測是靜態(tài)檢測，可以通過(guò)對交換文件格式的規范，讓他們難以躲藏。實(shí)際系統中，網(wǎng)閘可以根據應用系統對安全級別的要求，選擇性交換無(wú)格式文本文件，Word等有格式的文檔文件，壓縮文件，可執行文件等交換文件的格式，降低交換文件隱藏病毒、木馬的機會(huì )。
六、通過(guò)網(wǎng)閘實(shí)現業(yè)務(wù)自動(dòng)交換的方法
使用網(wǎng)閘，只提供數據的文件的點(diǎn)到點(diǎn)交換，這對于支持內外網(wǎng)大量數據通訊的應用是顯然不夠的，如何實(shí)現應用的轉換呢？
盡管網(wǎng)閘的安全原則定義了不做業(yè)務(wù)協(xié)議解析的原則，保障網(wǎng)閘隔離業(yè)務(wù)的效果。但對于業(yè)務(wù)本身可以設立自己的代理服務(wù)器，通過(guò)要交換數據的翻譯，實(shí)現業(yè)務(wù)的自動(dòng)交換。
在內外網(wǎng)設立業(yè)務(wù)數據交換的代理服務(wù)器，在內外網(wǎng)的代理服務(wù)器成對出現，目的是建立業(yè)務(wù)訪(fǎng)問(wèn)的邏輯連接代理。
代理服務(wù)器把業(yè)務(wù)的數據轉換成可以交換的數據文件，并且指定交換的發(fā)送人與接收人為內外網(wǎng)的代理服務(wù)器。
從業(yè)務(wù)應用的角度來(lái)看，這種業(yè)務(wù)數據代理方式與廠(chǎng)家在網(wǎng)閘中實(shí)現的協(xié)議解析有些相似，都實(shí)現了業(yè)務(wù)訪(fǎng)問(wèn)的內外網(wǎng)互通，但從整個(gè)網(wǎng)絡(luò )的安全角度上看，是有根本區別的：
通過(guò)網(wǎng)閘沒(méi)有應用協(xié)議，業(yè)務(wù)應用在內外網(wǎng)中間是中斷的。
業(yè)務(wù)數據交換代理是針對每個(gè)需要內外網(wǎng)大量數據交換的業(yè)務(wù)開(kāi)發(fā)的，業(yè)務(wù)針對性強，認證、加密等方式各不相同，由于業(yè)務(wù)開(kāi)發(fā)的認證、加密屬于私密處理，每個(gè)應用都不相同，被攻擊的可能比較小。即使有攻擊，也只能針對本業(yè)務(wù)，不會(huì )擴展到內網(wǎng)的其他業(yè)務(wù)。
與進(jìn)行協(xié)議解析相比，網(wǎng)閘解析協(xié)議開(kāi)通的是一類(lèi)協(xié)議的所有應用，而業(yè)務(wù)代理是針對一個(gè)應用的開(kāi)通。協(xié)議原理比較公開(kāi)，被利用攻擊的可能性較高，即使使用安全的用戶(hù)身份確認技術(shù)，也不能與應用不同而改變，當應用增多時(shí)，危險增大。而代理服務(wù)的數據轉換是業(yè)務(wù)本身開(kāi)發(fā)的，根據業(yè)務(wù)本身的安全級別要求，采取各自的身份確認機制，與應用的融合性好，對業(yè)務(wù)使用者本身的權限管理也比較嚴格，對資源的安全管理粒度也比較細。
網(wǎng)閘的設計目標：保證業(yè)務(wù)通訊隔離的基礎上，實(shí)現數據交換，其關(guān)鍵是安全性的延續，所以網(wǎng)閘的設計重點(diǎn)不僅是隔離與交換的控制邏輯設計上，而且包括業(yè)務(wù)代理的實(shí)現模式上。通過(guò)網(wǎng)閘實(shí)現業(yè)務(wù)數據自動(dòng)交換。
網(wǎng)閘技術(shù)的需求來(lái)自?xún)染W(wǎng)與外網(wǎng)數據互通的要求，比如政府的電子政務(wù)是對公眾服務(wù)，與互聯(lián)網(wǎng)連通，而內網(wǎng)的政府辦公網(wǎng)絡(luò )，由于保密的要求，內網(wǎng)若與網(wǎng)連通，則面臨來(lái)自公網(wǎng)的各種威脅。安全專(zhuān)家給出的建議是：由于目前的安全技術(shù)，無(wú)論防火墻、UTM等防護系統都不能保證攻擊的一定阻斷，入侵檢測等監控系統也不能保證入侵行為完全捕獲，所以最安全的方式就是物理的分開(kāi)，所以在公安部的技術(shù)要求中，要求電子政務(wù)的內、外網(wǎng)絡(luò )之間“物理隔離”。沒(méi)有連接，來(lái)自外網(wǎng)對內網(wǎng)的攻擊就無(wú)從談起。
但是，網(wǎng)絡(luò )的物理隔離，給數據的通訊帶來(lái)很多不便，比如工作人員出差只能接入互聯(lián)網(wǎng)，要取得內網(wǎng)的文件就沒(méi)有辦法，只能讓辦公室的人把文件放在外網(wǎng)上。另外，內網(wǎng)辦公系統需要從外網(wǎng)提供的統計數據，由于服務(wù)隔離，數據的獲取也很困難。因此，隨著(zhù)網(wǎng)絡(luò )業(yè)務(wù)的日益成熟，數據交換的需求提議強烈。
最初的解決辦法就是人工的“傳遞”，用U盤(pán)或光盤(pán)在內外網(wǎng)之間倒換數據。隨著(zhù)業(yè)務(wù)的增多，數據量的擴大，人工的方式顯然成為很多業(yè)務(wù)的瓶頸，在內、外網(wǎng)之間建立一個(gè)既符合“物理隔離”安全要求，又能進(jìn)行數據交換的設備或解決方案，這就誕生了網(wǎng)閘技術(shù)。
網(wǎng)閘實(shí)現的是個(gè)安全的概念，與防火墻等網(wǎng)絡(luò )安全設備不同的地方是他阻斷通訊的連接，只完成數據的交換，沒(méi)有業(yè)務(wù)的連接，攻擊就沒(méi)有了載體，如同網(wǎng)絡(luò )的“物理隔離”。網(wǎng)閘其實(shí)就是模擬人工數據倒換，利用中間數據倒換區，分時(shí)地與內外網(wǎng)連接，但一個(gè)時(shí)刻只與一個(gè)網(wǎng)絡(luò )連接，保持“物理的分離”，實(shí)現數據的倒換。這就象從前長(cháng)江上的擺渡船，既沒(méi)有“物理的連接”大橋，也實(shí)現了貨物的交換。
其實(shí)，除了電子政務(wù)內外網(wǎng)的交換需求，其他各種涉密網(wǎng)絡(luò )與公用網(wǎng)絡(luò )的互聯(lián)都有這種需求，比如：廣電的編播網(wǎng)和互聯(lián)網(wǎng)、電力的控制網(wǎng)與辦公網(wǎng)、海關(guān)的運行網(wǎng)和報關(guān)查詢(xún)網(wǎng)絡(luò )、銀行的業(yè)務(wù)網(wǎng)與網(wǎng)上銀行網(wǎng)絡(luò )等等。
二、網(wǎng)閘的實(shí)現原理
網(wǎng)閘是實(shí)現兩個(gè)相互業(yè)務(wù)隔離的網(wǎng)絡(luò )之間的數據交換，通用的網(wǎng)閘模型設計一般分三個(gè)基本部分：
內網(wǎng)處理單元
外網(wǎng)處理單元
隔離與交換控制控制單元
三個(gè)單元都要求其軟件的操作系統是安全的，也就是采用非通用的操作系統，或改造后的專(zhuān)用操作系統。一般為Unix BSD或Linux的變種版本，或者其他是嵌入式操作系統VxWorks等，但都要對底層不需要的協(xié)議、服務(wù)刪除，使用的協(xié)議優(yōu)化改造，增加安全特性，同時(shí)提高效率。
內網(wǎng)處理單元：
包括內網(wǎng)接口單元與內網(wǎng)數據緩沖區。
接口部分負責與內網(wǎng)的連接，并終止內網(wǎng)用戶(hù)的網(wǎng)絡(luò )連接，對數據進(jìn)行病毒檢測、防火墻、入侵防護等安全檢測后剝離出“純數據”，作好交換的準備，也完成來(lái)自?xún)染W(wǎng)對用戶(hù)身份的確認，確保數據的安全通道；
數據緩沖區是存放并調度剝離后的數據，負責與隔離交換單元的數據交換。
外網(wǎng)處理單元：與內網(wǎng)處理單元功能相同，但處理的是外網(wǎng)連接。
隔離與交換控制單元：是網(wǎng)閘隔離控制的擺渡控制，控制交換通道的開(kāi)啟與關(guān)閉?？刂茊卧邪粋€(gè)數據交換區，就是數據交換中的擺渡船。對交換通道的控制的方式目前有兩種技術(shù)，擺渡開(kāi)關(guān)與通道控制。擺渡開(kāi)關(guān)是電子倒換開(kāi)關(guān)，讓數據交換區與內外網(wǎng)在任意時(shí)刻的不同時(shí)連接，形成空間間隔GAP，實(shí)現物理隔離。通道方式是在內外網(wǎng)之間改變通訊模式，中斷了內外網(wǎng)的直接連接，采用私密的通訊手段形成內外網(wǎng)的物理隔離。該單元中有一個(gè)數據交換區，作為交換數據的中轉。
在內外網(wǎng)處理單元中，接口處理與數據緩沖之間的通道，稱(chēng)內部通道1，緩沖區與交換區之間的通道，稱(chēng)內部通道2。對內部通道的開(kāi)關(guān)控制，就可以形成內外網(wǎng)的隔離。模型中的用中間的數據交換區擺渡數據，稱(chēng)為三區模型；擺渡時(shí)，交換區的總線(xiàn)分別與內、外網(wǎng)緩沖區連接，也就是內部通道2的控制，完成數據交換。
還有一種方式是取消數據交換區，分別交互控制內部通道1與內部通道2，形成二區模型。
二區模型的數據擺渡分兩次：先是連接內、外網(wǎng)數據緩沖區的內部通道2斷開(kāi)，內部通道1連接，內外網(wǎng)接口單元將要交換的數據接收過(guò)來(lái)，存在各自的緩沖區中，完成一次擺渡。然后內部通道1斷開(kāi)，內部通道2連接，內外網(wǎng)的數據緩沖區與各自的接口單元斷開(kāi)后，兩個(gè)緩沖區連接，分別把要交換的數據交換到對方的緩沖區中，完成數據的二次擺渡。
內部通道一般也采用非通用網(wǎng)絡(luò )的通訊連接，讓來(lái)自?xún)啥说目赡芄艚K止于接口單元，從而增強網(wǎng)閘的隔離效果。所以?xún)炔客ǖ酪话氵x用網(wǎng)絡(luò )、SCSI、IDE、USB、PCI等方式。
網(wǎng)閘設計的目的，是隔離內外網(wǎng)業(yè)務(wù)連接的前提下，實(shí)現安全的數據交換。也就是安全專(zhuān)家描述的：協(xié)議落地，數據交換。
三、隔離概念的變化
嚴格地講，物理隔離因該沒(méi)有物理通訊連接，也包括無(wú)線(xiàn)通訊，消除了通訊的可能，入侵就沒(méi)有了載體，但同時(shí)數據交換也成了難題。
網(wǎng)閘在發(fā)展過(guò)程中，對隔離的定義也經(jīng)歷了幾個(gè)過(guò)程：
1. 物理隔離：模擬人工交換的過(guò)程，必須在內外網(wǎng)的節點(diǎn)機上進(jìn)行數據交換，不能實(shí)現網(wǎng)絡(luò )上任意計算機的數據交換。
2. 網(wǎng)絡(luò )隔離：在簡(jiǎn)單交換的基礎上，對文件傳輸協(xié)議的數據打包交換，實(shí)現了網(wǎng)絡(luò )上任意信息點(diǎn)的數據交換。
3. 協(xié)議隔離：能對文件協(xié)議代理，就可以對其他應用協(xié)議代理，如Http，實(shí)現了應用數據的直接交換。
物理隔離是指只有文件級交換的網(wǎng)閘，網(wǎng)絡(luò )隔離與協(xié)議隔離是隔離概念的進(jìn)一步弱化，根據要隔離網(wǎng)絡(luò )的安全性要求，選擇不同的隔離技術(shù)。但把協(xié)議隔離當作物理隔離保證安全就成了網(wǎng)閘產(chǎn)品技術(shù)的誤區了。
四、網(wǎng)閘設計中的誤區
網(wǎng)閘利用隔離業(yè)務(wù)連接阻斷用戶(hù)業(yè)務(wù)連接，完成數據的交換。但是由于網(wǎng)閘兩端的網(wǎng)絡(luò )出口，直接連在內外網(wǎng)的節點(diǎn)上，沒(méi)有其他的中間代理，各種應用協(xié)議連接直接到達網(wǎng)閘的接口，從用戶(hù)角度來(lái)講，看到的是一個(gè)內外網(wǎng)互通服務(wù)，好像在內外網(wǎng)間建立了連接，只是時(shí)延大一些，也就是說(shuō)建立了邏輯的連接。網(wǎng)閘好像是一個(gè)網(wǎng)絡(luò )堡壘機。
大多數網(wǎng)閘廠(chǎng)家在設計網(wǎng)閘產(chǎn)品時(shí)，為了方便客戶(hù)業(yè)務(wù)的方便，在內外網(wǎng)接口上解析各種應用協(xié)議，一方面剝離成數據，另一面有恢復成應用協(xié)議，網(wǎng)閘可以根據安全檢測的結果，合乎要求的讓通過(guò)，不合要求的就阻斷。這樣不僅僅實(shí)現數據的交換，而且實(shí)現了業(yè)務(wù)應用的代理訪(fǎng)問(wèn)，有些網(wǎng)閘產(chǎn)品實(shí)現了外網(wǎng)的訪(fǎng)問(wèn)者訪(fǎng)問(wèn)內網(wǎng)的服務(wù)器。這種解析不僅有覆蓋常見(jiàn)應用協(xié)議的趨勢，而且對數據庫的訪(fǎng)問(wèn)也代理通過(guò)，為緩沖區溢出、SQL注入等攻擊提供了生存的溫床。網(wǎng)閘成了名副其實(shí)的集裝箱擺渡。
由于應用協(xié)議的解析，應用可以通過(guò)網(wǎng)閘，攻擊也有了載體，網(wǎng)閘的安全就依賴(lài)于網(wǎng)閘的安全檢測技術(shù)。物理隔離的含義是作為攻擊載體的應用協(xié)議被中斷，入侵與攻擊才沒(méi)有進(jìn)入的路徑，隔離達到安全的目的。所以網(wǎng)閘要“破壞”是業(yè)務(wù)的協(xié)議，而不是代理。這比如：火車(chē)可以通過(guò)擺渡繼續整列車(chē)行進(jìn)，而網(wǎng)閘因該把貨物的組合徹底打散，這邊是用火車(chē)，到了對岸，用汽車(chē)還是馬車(chē)就不一定了?；谶@種方式，網(wǎng)絡(luò )攻擊行為中比較難探測的分散隱藏就不容易了。
網(wǎng)閘的安全檢測技術(shù)與目前各種安全網(wǎng)關(guān)類(lèi)產(chǎn)品的檢測技術(shù)應該一致，所以若能通過(guò)網(wǎng)閘建立業(yè)務(wù)連接的話(huà)，網(wǎng)閘的功能就與用防火墻等安全網(wǎng)關(guān)類(lèi)設備建立的網(wǎng)絡(luò )連接是同樣的安全效果了。
因此，解析應用協(xié)議，成為應用代理的網(wǎng)閘實(shí)際上成為一個(gè)邏輯上的安全網(wǎng)關(guān)，滿(mǎn)足了數據交換的功能，但失去了網(wǎng)絡(luò )隔離的效果。
五、網(wǎng)閘安全原則的定義
網(wǎng)閘對業(yè)務(wù)協(xié)議的解析給網(wǎng)閘帶來(lái)新的安全問(wèn)題，所以不是說(shuō)功能越豐富越好，從網(wǎng)閘處于網(wǎng)絡(luò )中的位置，以及要實(shí)現的目的，網(wǎng)閘應該有自己的安全設計原則。
使用網(wǎng)閘的目的是為了隔離業(yè)務(wù)的同時(shí)，進(jìn)行安全的數據交換。從安全服務(wù)的角度講，網(wǎng)閘開(kāi)通的服務(wù)種類(lèi)越少，被攻擊的可能性越小，網(wǎng)閘可交換的數據類(lèi)型越少，隱含攻擊的可能越小。網(wǎng)閘的安全原則定義為：
單一服務(wù)：
只完成數據文件的交換，只完成文件形式的數據交換。
其他的服務(wù)一律關(guān)閉
定向交換：在數據交換時(shí)指定接收人、發(fā)送人
網(wǎng)閘不支持應用協(xié)議解析，不透傳業(yè)務(wù)應用，只進(jìn)行文件數據的擺渡，對于Http、SMTP、FTP等協(xié)議無(wú)法通過(guò)，數據庫的訪(fǎng)問(wèn)就更加不能通過(guò)，網(wǎng)閘只起到數據的擺渡，不支持應用的互通，應用協(xié)議的終止，讓入侵、攻擊徹底失去了傳播的載體。
定義了安全原則的網(wǎng)閘安全性分析：
指定內外網(wǎng)的發(fā)送與接收人：數據交換是提供點(diǎn)到點(diǎn)的數據交換服務(wù)，方便數據交換的審計，方便問(wèn)題定位到源頭。避免第三者冒充、截獲信息重放等攻擊的發(fā)生。
只選擇文件級的交換：采用文件級交換，而不是數據包級交換，是因為文件相對信息完整，避免蠕蟲(chóng)式的分片隱藏。交換的信息單元之間沒(méi)有關(guān)聯(lián)，無(wú)需網(wǎng)閘進(jìn)行信息還原、重組(這需要大量的緩沖區)。
只選擇文件交換，內外網(wǎng)沒(méi)有通訊的連接，來(lái)自外網(wǎng)的黑客遠程攻擊因為沒(méi)有遙控線(xiàn)路而難以實(shí)現，對內網(wǎng)的業(yè)務(wù)進(jìn)行攻擊只有發(fā)自?xún)染W(wǎng)本身的病毒、蠕蟲(chóng)，這就實(shí)現了和人工數據擺渡同樣的安全效果。
文件的內容安全可以對發(fā)送者身份認證來(lái)保證。文件附著(zhù)的病毒、蠕蟲(chóng)、木馬等的檢測是靜態(tài)檢測，可以通過(guò)對交換文件格式的規范，讓他們難以躲藏。實(shí)際系統中，網(wǎng)閘可以根據應用系統對安全級別的要求，選擇性交換無(wú)格式文本文件，Word等有格式的文檔文件，壓縮文件，可執行文件等交換文件的格式，降低交換文件隱藏病毒、木馬的機會(huì )。
六、通過(guò)網(wǎng)閘實(shí)現業(yè)務(wù)自動(dòng)交換的方法
使用網(wǎng)閘，只提供數據的文件的點(diǎn)到點(diǎn)交換，這對于支持內外網(wǎng)大量數據通訊的應用是顯然不夠的，如何實(shí)現應用的轉換呢？
盡管網(wǎng)閘的安全原則定義了不做業(yè)務(wù)協(xié)議解析的原則，保障網(wǎng)閘隔離業(yè)務(wù)的效果。但對于業(yè)務(wù)本身可以設立自己的代理服務(wù)器，通過(guò)要交換數據的翻譯，實(shí)現業(yè)務(wù)的自動(dòng)交換。
在內外網(wǎng)設立業(yè)務(wù)數據交換的代理服務(wù)器，在內外網(wǎng)的代理服務(wù)器成對出現，目的是建立業(yè)務(wù)訪(fǎng)問(wèn)的邏輯連接代理。
代理服務(wù)器把業(yè)務(wù)的數據轉換成可以交換的數據文件，并且指定交換的發(fā)送人與接收人為內外網(wǎng)的代理服務(wù)器。
從業(yè)務(wù)應用的角度來(lái)看，這種業(yè)務(wù)數據代理方式與廠(chǎng)家在網(wǎng)閘中實(shí)現的協(xié)議解析有些相似，都實(shí)現了業(yè)務(wù)訪(fǎng)問(wèn)的內外網(wǎng)互通，但從整個(gè)網(wǎng)絡(luò )的安全角度上看，是有根本區別的：
通過(guò)網(wǎng)閘沒(méi)有應用協(xié)議，業(yè)務(wù)應用在內外網(wǎng)中間是中斷的。
業(yè)務(wù)數據交換代理是針對每個(gè)需要內外網(wǎng)大量數據交換的業(yè)務(wù)開(kāi)發(fā)的，業(yè)務(wù)針對性強，認證、加密等方式各不相同，由于業(yè)務(wù)開(kāi)發(fā)的認證、加密屬于私密處理，每個(gè)應用都不相同，被攻擊的可能比較小。即使有攻擊，也只能針對本業(yè)務(wù)，不會(huì )擴展到內網(wǎng)的其他業(yè)務(wù)。
與進(jìn)行協(xié)議解析相比，網(wǎng)閘解析協(xié)議開(kāi)通的是一類(lèi)協(xié)議的所有應用，而業(yè)務(wù)代理是針對一個(gè)應用的開(kāi)通。協(xié)議原理比較公開(kāi)，被利用攻擊的可能性較高，即使使用安全的用戶(hù)身份確認技術(shù)，也不能與應用不同而改變，當應用增多時(shí)，危險增大。而代理服務(wù)的數據轉換是業(yè)務(wù)本身開(kāi)發(fā)的，根據業(yè)務(wù)本身的安全級別要求，采取各自的身份確認機制，與應用的融合性好，對業(yè)務(wù)使用者本身的權限管理也比較嚴格，對資源的安全管理粒度也比較細。
網(wǎng)閘的設計目標：保證業(yè)務(wù)通訊隔離的基礎上，實(shí)現數據交換，其關(guān)鍵是安全性的延續，所以網(wǎng)閘的設計重點(diǎn)不僅是隔離與交換的控制邏輯設計上，而且包括業(yè)務(wù)代理的實(shí)現模式上。通過(guò)網(wǎng)閘實(shí)現業(yè)務(wù)數據自動(dòng)交換。
