网闸50问

1、网闸全称是什么？网闸的全称是安全隔离网闸。

2、网闸的英文名称是什么？网闸的英文名称是"GAP"。

3、安全隔离网闸是什么？安全隔离网闸是一种由带有多种控制功能专用硬件在电路上切断网络之间的链路层连接，并能够在网络间进行安全适度的应用数据交换的网络安全设备。

4、安全隔离网闸是硬件设备还是软件设备？安全隔离网闸是由软件和硬件组成。

5、安全隔离网闸硬件设备是由几部分组成？安全隔离网闸的硬件设备由三部分组成:外部处理单元、内部处理单元、隔离硬件。

6、为什么要使用安全隔离网闸？当用户的网络需要保证高强度的安全，同时又与其它不信任网络进行信息交换的情况下，如果采用物理隔离卡，信息交换的需求将无法满足；如果采用防火墙，则无法防止内部信息泄漏和外部病毒、黑客程序的渗入，安全性无法保证。

在这种情况下，安全隔离网闸能够同时满足这两个要求，又避免了物理隔离卡和防火墙的不足之处，是最好的选择。

7、隔离了，怎么还可以交换数据？对网络地隔离是通过网闸隔离硬件实现两个网络在链路层断开，但是为了交换数据，通过设计的隔离硬件在两个网络对应的上进行切换，通过对硬件上的存储芯片的读写，完成数据的交换。

8、安全隔离网闸能够交换什么样的数据？安装了相应的应用模块之后，安全隔离网闸可以在保证安全的前提下，使用户可以浏览网页、收发电子邮件、在不同网络上的数据库之间交换数据，并可以在网络之间交换定制的文件。

9、安全隔离网闸的主要性能指标有那些？性能指标包括：网闸SCSI最大总带宽:5G(5120Mbit/s)硬件切换时间：12.5ns最大并发连接数：8192个10、安全隔离网闸通常具备的安全功能模块有那些？安全隔离、内核防护、协议转换、病毒查杀、访问控制、安全审计、身份认证11、为什么说安全隔离网闸能够防止未知和已知木马攻击？通常见到的木马大部分是基于TCP的，木马的客户端和服务器端需要建立连接，而安全隔离网闸从原理实现上就切断所有的TCP连接，包括UDP、ICMP等其他各种协议，使各种木马无法通过安全隔离网闸进行通讯。

从而可以防止未知和已知的木马攻击。

12、安全隔离网闸具有防病毒措施吗？作为提供数据交换的隔离设备，安全隔离网闸上内嵌病毒查杀的功能模块，可以对交换的数据进行病毒检查。

13、安全隔离网闸与物理隔离卡的主要区别是什么？安全隔离网闸与物理隔离卡最主要的区别是，安全隔离网闸能够实现网络间的安全适度的信息交换，而物理隔离卡不提供这样的功能。

14、安全隔离网闸的“安全适度的信息交换”与路由器、交换机在网络之间交换信息有什么不同？安全隔离网闸在网路间进行的安全适度的信息交换是在网络之间不存在链路层连接的情况下进行的。

安全隔离网闸直接处理网络间的应用层数据，利用存储转发的方法进行应用数据的交换，在交换的同时，对应用数据进行的各种安全检查。

路由器、交换机则保持链路层畅通，在链路层之上进行IP包等网络层数据的直接转发，没有考虑网络安全和数据安全的问题。

15、安全隔离网闸的“安全适度的信息交换”与防火墙有何不同？防火墙一般在进行IP包转发的同时，通过对IP包的处理，实现对TCP会话的控制，但是对应用数据的内容不进行检查。

这种工作方式无法防止泄密，也无法防止病毒和黑客程序的攻击。

16、安全隔离网闸能取代防火墙吗？无论从功能还是实现原理上讲，安全隔离网闸和防火墙是完全不同的两个产品，防火墙是保证网络层安全的边界安全工具（如通常的非军事化区），而安全隔离网闸重点是保护内部网络的安全。

因此两种产品由于定位的不同，因此不能相互取代。

17、国内外知名的网闸产品有那些？国外的网闸产品有Spearhead的netGAP以及whale公司的eGAP，NetGAP的工作原理则和防火墙非常类似。

国内主要包括北京天行网安公司的TopwalkGAP。

18、国内的安全隔离网闸和国外的GAP产品区别是什么？国内的安全隔离网闸和国外的GAP产品虽然从硬件角度来讲都属于GAP产品，但是由于设计以及保护重点的不同，最终在功能上还是有很多差异。

如NetGAP产品的功能类似于内容检查的防火墙，接受非信任方的请求，支持交互式访问；而国内的安全隔离网闸更多的是侧重于保护内部网络，不支持交互式访问，仅允许仅有的几种数据交换。

因此从安全角度来讲，国内的安全隔离网闸安全功能更强。

19、单系统的设备是安全隔离网闸吗？单系统的设备如（信息流转器）不是安全隔离网闸设备。

类似的单系统一旦系统遭受到攻击，攻击者完全有可能在单系统的两张网卡之间建立起路由，从而内部网络会完全暴露。

20、安全隔离网闸的隔离硬件需要专用硬件吗？需要，隔离硬件一般都由GAP厂商提供，其中对高速切换装置的切换频率要求非常高。

21、安全隔离网闸和用1394设备连接的伪网闸的区别是什么？使用专用隔离硬件的安全隔离网闸的安全隔离是在硬件上实现的，在隔离硬件上固化了模拟开关，无法通过软件编程方式进行改变；而通过1394或者串口连接两台或多台系统，其上的隔离切换实质上是通过软件来实现的，其安全性和用标准以太网卡相连的两台PC无异。

由此可知1394或者串口实现的“软隔离”在安全性上和安全隔离网闸不具可比性，相差甚远。

22、安全隔离网闸通常布置在位置？安全隔离网闸通常布置在两个安全级别不同的两个网络之间，如信任网络和非信任网络，管理员可以从信任网络一方对安全隔离网闸进行管理。

23、安全隔离网闸的部署是否需要对网络架构作调整？一般不必，仅需要在两个网络各提供一个有效的IP地址即可。

24、安全隔离网闸是否可以在网络内部使用？可以，网络内部安全级别不同的两个网络之间也可以安装安全隔离网闸进行隔离。

25、安全隔离网闸支持交互式访问吗？鉴于安全隔离网闸保护的主要是内部网络，一旦支持交互式访问如支持建立会话，那么无法防止信息的泄漏以及内部系统遭受攻击，因此，安全隔离网闸不支持交互式访问26、安全隔离网闸支持cookie吗？同问题25，由于cookie需要在客户端上进行数据读写，因此从安全性上考虑，安全隔离网闸不支持cookie。

27、支持反向代理的安全隔离网闸安全吗？支持反向代理意味着可以从非信任网络间接授权访问信任网络上的资源，一旦代理软件在安全检查或者软件实现上出现问题，那么很有可能会被黑客利用并非法存取内部资源。

因此从安全性上讲，支持反向代理的安全隔离网闸不安全。

28、如果对应网络七层协议，安全隔离网闸是在哪一层断开？如果针对网络七层协议，安全隔离网闸是在硬件链路层上断开。

29、安全隔离网闸支持百兆网络吗？安全隔离网闸支持百兆网络，目前国内最快的可以达到120MBps。

30、千兆网络如何支持？对于千兆网络，可以采用多台安全隔离网闸进行负载均衡。

31、安全隔离网闸能够防止Nimda和CodeRedII吗？安全隔离网闸由于内嵌了防病毒模块，因此防止Nimda和CodeRedII，不仅如此，安全隔离网闸对邮件采用证书认证机制可以有效的防止未知病毒滥发邮件。

32、安全隔离网闸自身的安全性如何？安全隔离网闸双处理单元上都采用了安全加固的操作系统，包括强制访问控制、基于内核的入侵检测等安全功能，并且该系统得到国家权威部门的认证。

33、安全隔离网闸有身份认证机制吗？有。

安全隔离网闸在用于邮件转发和网页浏览的时候，对用户进行用户名/口令、证书认证等多种形式的身份认证。

34、有了防火墙和IDS，还需要安全隔离网闸吗？防火墙是网络层边界检查工具，可以设置规则对内部网络进行安全防护，而IDS一般是对已知攻击行为进行检测，这两种产品的结合可以很好的保护用户的网络，但是从安全原理上来讲，无法对内部网络做更深入的安全防护。

安全隔离网闸重点是保护内部网络，如果用户对内部网络的安全非常在意，那么防火墙和IDS再加上安全隔离网闸将会形成一个很好的防御体系。

35、为什么说国外的网闸产品有自身的不足？国外的网闸从硬件到软件都是国外制造，对于国人来讲没有自主版权，即使OEM其秘密仍然掌握在外人手中，很难保证没有后门程序。

因此对于安全要求很高的用户，显然选择国内的安全隔离网闸安全性能够得到更好的保证。

36、受安全隔离网闸保护的内部网络需要不断升级吗？安全隔离网闸首先在链路层断开，彻底切断网络连接，并仅允许仅有的四种指定静态数据进行交换，对外不接受请求，并且在内部用户访问外部网络时采用静态页面返回（过滤ActiveX、Java、cookie等），并且木马无法通过安全隔离网闸进行通讯，因此内部网络针对外部的攻击根本无需升级。

37、为什么受防火墙保护的内部网络需要不断升级？防火墙是在网络层对数据包作安全检查，并不切断网络连接，很多案例证明无论包过滤还是代理防火墙都很难防止木马病毒的入侵内部网络，Nimda绕过很多防火墙的检查并在全世界肆虐就是一个很好的例证，因此需要用户的内部网络不断升级自己的客户端如浏览器。

38、安全隔离网闸能否防止内部无意信息泄漏？由于安全隔离网闸在数据交换时采用了证书机制，对所有的信息进行证书验证，因此对于那些病毒乱发邮件所造成的无意信息泄漏起到很好的防范作用。

39、使用安全隔离网闸时需要安装客户端吗？使用安全隔离网闸时不需安装其他客户端，管理员使用通用的浏览器即可对其进行管理配置。

40、安全隔离网闸接受外来请求吗？不接受，安全隔离网闸上的数据交换全部由管理员来进行配置，其所有的请求都由安全隔离网闸主动发起，不接受外来请求，不提供任何系统服务。

41、安全隔离网闸是否支持所连接的两个网络的网段地址相同？支持。

42、安全隔离网闸的主机系统是否经过安全加固？由于从网络架构上来讲，安全隔离网闸是处在网关的位置，因此其安全性不言而喻，两个处理单元都采用了经过安全加固的操作系统。

43、安全隔离网闸采用什么样的接口？有几个接口？安全隔离网闸通常提供2个标准以太网百兆接口。

44、安全隔离网闸如何管理，支持远程管理吗？安全隔离网闸仅允许在信任方进行管理，支持远程加密认证管理。

45、安全隔离网闸适用于大规模的部署吗？安全隔离网闸的安全部署不需对现有网络作调整，同时支持多台冗余46、安全隔离网闸适用于什么样的场合？如果用户的网络上存储着重要的数据、运行着重要的应用，通过防火墙等措施不能提供足够高的安全性保护的情况下，可以考虑使用安全隔离网闸。

47、安全隔离网闸直接转发IP包吗？否。

安全隔离网闸从不直接或者间接地转发IP包形式的数据。

安全隔离网闸的安全性体现在链路层断开，直接处理应用层数据，对应用层数据进行内容检查和控制，在网络之间交换的数据都是应用层的数据。

如果直接转发IP的话，由于单个IP包中一般不包含完整的应用数据，所以无法进行全面的内容检查和控制，也就无法保证应用层的安全。

因此，如果直接转发IP包，则背离了安全隔离网闸的安全性要求，不能称为安全隔离网闸。