欢迎访问www.4008.con网站!
0551-65909059   www.4008.conOA
联系电话:
当前位置:www.4008.con>>资讯中心>>行业动态 >>数据安全专栏 | 网闸与防火墙之间的“小同大异”
今天是: 2024年05月20日   【农历:四月十三】  星期一
数据安全专栏 | 网闸与防火墙之间的“小同大异”

防火墙(Firewall),众所周知,是一种硬件设备或App系统,主要部署在内部网络和外部网络间,为了防止外界恶意程序对内部系统的破坏,或者阻止内部重要信息向外流出,有双向监督功能,算是一类最为人熟知、技术最成熟、应用最广泛的一类网络安全产品。

图片

深信服 AF-1000-FA40-JD 防火墙设备

网闸(GAP),全称是安全隔离与信息交换系统,同样是架设在内部网络和外部网络之间,但是用一种专用的隔离芯片在电路上切断内外网连接的一种设备,并能够在物理隔离的两个网络间进行安全适度的应用数据交换,从而防止网络攻击和信息泄露。

图片

H3C SecPath GAP2000-AK820网闸设备
从外观上,防火墙和网闸都是一个机箱,面板上有几个网络接口。从功能上,两台设备同样是架设在内部网络和外部网络之间,都可以实现对网络流量的过滤和控制。这看起来外观和功能都完全一样的东西,究竟有什么区别?
与防火墙的单主板单系统不同,网闸的主流架构是采用2主板+1专用芯片:在一个2U的机箱里放着两块主板,分别运行着内、外网2套操作系统,内外两个网络互相独立,实际上就是从物理上隔离、阻断了网络的连通,再用专用的芯片进行数据的交换。

图片

网闸的部署方式
网络被隔离、阻断后,两个独立主机系统之间如何进行信息交换?其实网络只是信息交换的一种方式,在互联网时代以前,信息照样进行交换,如数据文件复制(拷贝)、数据摆渡、数据镜像、数据反射等等,网闸系统就是使用专用的芯片以数据“摆渡”的方式实现两个网络之间的信息交换。
所谓“摆渡”,现实中的摆渡就是在一条船从江河这一边到另一边,再从另一边到这一边,数据摆渡的过程也类似。为了防范网络攻击,通过物理隔离的思路,将两台完全不相连的计算机,通过软盘从一台计算机向另一台计算机拷贝数据,大家形象地称为“数据摆渡”。传统的跨网数据交换方式经历了从人工U盘摆渡到光盘摆渡机的过程,但本质上都是利用移动存储设备来进行,而网闸则是先在应用层将数据还原为原始数据文件,再使用专用的芯片,根据管理员配置的相关策略,进行自动“摆渡”的方式来传递原始数据。任何形式的数据包、信息传输命令和TCP/IP协议都不可能穿透安全隔离与信息交换系统,这同透明桥、混杂模式、IP over USB、网络代理等传统方式来转发数据包有本质的区别。

图片

网闸架构图
最后,再总结下这两种网络安全边界产品的区别:
1.结构不同:网闸采用两个主机+一个独立的硬件形式,内外两个网络之间物理隔离。而防火墙采用单一主机,内外网络其实本身就是互通的,只是受策略影响限制了指定范围内的数据包交换。因此,网闸系统本身的安全性能较高。
2.数据交互原理不同:防火墙是一种基于规则的安全设备,工作在网络层或传输层,对数据包进行有状态或无状态的检查,根据预先设定的安全策略对数据进行过滤和限制。网闸则是一种基于物理隔离的安全设备,工作在应用层,通过将数据包还原成原始文件再“摆渡”的形式来传递原始数据。
3.应用场景不同:网闸和防火墙的适用范围不同。防火墙一般用于企业内部网络或互联网之间的连接点,对网络边界进行保护,阻止外部的攻击或内部的泄露。网闸一般用于涉及国家安全或重要信息的网络之间的连接点,对网络隔离进行保护,实现网络之间的安全通信或数据交换。
4.安全性能:防火墙主要通过网络安全策略的制定和实行来保护网络的安全性,可以提供基本的防病毒、防黑客等安全功能。而网闸则可以提供更加严格的安全保护措施,例如数据加密、数字签名、访问控制等,以确保持久性。
总的来说,防火墙和网闸都是重要的信息安全设备,但它们的结构、应用场景、数据交互原理、安全性能等方面存在一定的差异。在实际应用中,可以根据具体的安全需求选择合适的安全设备。


XML 地图 | Sitemap 地图