合众单向光闸白皮书

合众单向光闸白皮书公司标准化编码 [QQX96QT-XQQB89Q8-NQQJ6Q8-MQM9N]
合众单向光闸
白皮书
Version
杭州合众数据技术有限公司
2015年
目录
1.背景概述
计算机网络的开放性产生了许多安全问题，网络攻击、信息泄漏、网上犯罪层出不穷。

而采用以防火墙、网闸为核心的网络边界防御体系只能够满足信息化建设的一般性安全需求，却难以解决涉密信息系统等重要网络的保护问题。

对于涉密网络的保护，我国历来采用了物理断开的方法，国家保密局在《计算机信息系统国际联网保密管理规定》中将涉密信息系统的安全防御要求定格为与任何非涉密信息系统必须“物理断开”。

按照国家保密局的要求，如果涉密网需要与国际互联网交换数据，只能采用手工拷贝的方式，除此之外，没有其他可行的办法。

但是许多政府部门所需要的基础数据往往来自互联网。

同时为了满足向服务型政府转型的要求，各级政府部门也必须加强对外服务的力度，需要为社会公众提供信息查询、在线审批、请求服务等新型应用。

形势要求我们，在保证安全的前提下，积极探索解决涉密网与互联网数据传输问题的方案。

合众公司针对政府部门互联网传输链路数据交换的需求，根据目前国内外最新的技术成果，专门研发了合众单向光闸这一创新产品，采用分光镜像的原理解决涉密网络与非涉密网络之间的互联问题。

2.产品用途
合众单向光闸是采用分光镜像技术实现的用于单向数据传输的隔离设备，主要用来解决政府部门网络与外部公共网络之间存在的单向数据传输需求。

它采用分光镜像的原理，通过分光器将源主机上的数据镜像到目标主机上，最终实现数据的单向传输。

合众单向光闸主要适合如下的用户：
2.1.从互联网采集信息或发布信息至互联网的用户
有很多用户需要从互联网上采集信息或将本单位内部的信息发布在互联网上供其他单位或社会公众获知。

为了保护自身网络和应用系统的安全，保证不
发生信息泄露安全事件，因此需要采用单向数据传输设备。

而合众单向光闸基于光传输的单向性保证数据传输从物理层面而言就是单向的，反向绝无传输的可能性，因此能够保证没有信息泄密的可能。

2.2.非涉密网向涉密网单向传输的用户
根据国家保密局的规定，非涉密网与涉密网进行数据交换时，绝对禁止高等级网络的涉密数据流向低等级网络。

因此，非涉密网与涉密网数据交换只能采用单向传输方式。

合众单向光闸基于光传输的单向性保证数据传输从物理层面而言就是单向的，反向绝无传输的可能性，因此能够保证涉密网没有信息泄密的可能。

3.产品组成
合众单向光闸是一种基于分光技术的数据还原装置，它由两台计算机、一个分光器等部分组成。

它采用分光镜像的原理，通过分光器将源主机上的数据镜像到目标主机上，最终实现数据的单向传输。

合众单向光闸有别于传统单向网闸，它在逻辑上由三台主机构成，即处于外网端的源主机上存在两个不同的光卡逻辑上分离成发送主机和接收主机，光信号由发送主机发送至分光器，而接收主机通过分光器接收一路光信号并还原成数据，通过内置的数据确认机制（数据签名和收发确认校验方式）来保证数据传输是否正确和完整。

4.工作原理
技术的数据还原装置，它由两台计
算机、一个分光器等部分组成。

它
采用分光镜像的原理，通过分光器
将源主机上的数据镜像到目标主机
上，最终实现数据的单向传输。

如图所示，合众单向光闸由源
主机、目标主机和分光器构成。

分
光器是组建光通道网络的一个组
件，是一个连接光缆终端设备(OLT)
和光接收节点（ONU）的无源设
备，它的功能是分发下行数据。

分
光器带有一个上行光接口，和若干
个下行光接口，从上行光接口过来的光信号被分配到所有的下行光接口传输出去。

合众单向光闸的源主机安装在外部网络中，目标主机安装在内部网络中。

源主机上有两个光通道网卡，目标主机上有一个光通道网卡；分光器的输入端和源主机的一个光卡（称为发送光卡）的输出端用一条单向光纤连接，使光信号可以从发送网卡的发送端发射到分光器的输入端。

源主机的另一个网卡（称为接收光卡）的输入端和分光器的一个分光输出端连接，接收光卡的输出端与发送光卡的输入端相连接。

分光器的另一个输出和目标主机上的光通道网卡（称为目标光卡）的输入端一一相连。

源主机上运行两个进程：发送进程和接收进程。

发送进程通过发送光卡发送数据包。

这些数据包被发送光卡转换成光信号，从发送光卡的输出端发出。

而这一光信号被分光器分成2束与接收到的光信号相同的光信号。

其中一束光信号被源主机的接收光卡接收；另外一束光信号被目标主机的目标光卡接收。

发送进程将组装好的数据块通过发送光卡的输出端发送，并检查来自接收
进程的重发请求。

如果没有重发请求，则按照上述方法继续发送下一个数据
块；如果收到重发请求，则重发这一块数据块，发送完重发的数据块后再继续发送待发送的其他数据块。

在目标主机上安装有光通道网卡，其接受端与分光器的输出端连接，从而可以收到来自分光器的光信号。

这些光信号来自分光器输入的光信号的分光，所以其内容与源主机上发送光卡的输出端发送的内容是一致的。

目标主机上的目标接收进程将光通道网卡上的接收到的光信号还原为数据块，并组装成与源端一致的数据库记录或数据文件。

5.产品主要功能
合众单向光闸主要实现数据的单向导入或导出，根据导入导出的数据不同，主要有三种应用功能：一是静态文件的单向导入；二是数据库的单向导入；三是数据恢复。

三种应用如下：
5.1.文件单向导入导出
静态文件通常是指在物理存储介质（如硬盘、光盘、优盘、软盘等）中创建及使用的文件。

这些文件通过FTP、Windows映射等方式可以作为合众单向光闸导入导出的文件。

静态文件单向导入的典型部署场景如下所示：
通过合众单向光闸能实现以下文件单向传输：
基于FTP服务的静态文件单向导入导出；
基于Windows映射的单向导入导出；
文本型数据库文件（如mdb、dbf文件）的单向导入导出。

5.2.数据库单向同步
由于网络结构的划分、安全域的不同及应用需求的不同，在实际环境中经常存在内外网双数据库的应用系统，这些应用系统需要实现内外网数据库之间的数据内容同步。

合众单向光闸的单向数据库同步功能正适合这样的应用要求，这时的典型部署场景如下：
通过合众单向光闸能实现以下数据库的单向传输：
ORACLE 8I/9I/10G/11G；
SQL SERVER 2000/2003/2008;
SYBASE
DB2
5.3.单向UDP
合众单向光闸支持用户应用系统通过UDP协议连接，外主机收到UDP连接后单向同步到内主机，内主机将UDP连接转发至指定IP地址。

5.4.数据恢复
针对单向传输的应用特点，极少情况下可能产生丢包现象，合众单向光闸提供丢包数据的方便恢复功能。

当发生丢包后，能知道丢了哪些数据的问题，并能在人工协作下比较方便的进行数据恢复。

恢复的方式为以下三种：碎片恢复：指定某条记录或某个文件单独进行恢复；
起点恢复：从某个序列号重新开始恢复；
全部恢复：将源数据全部同步一次。

6.产品特点
目前市场主要的单向网闸就是采用数据二极管技术来实现数据单向传输的网闸。

单向网闸是把通讯的收、发两个链路完全分开，发送方只管发送数据，接收方只管接收数据，至于数据是否有错误、是否完整都不去管它，反向没有数据通道也没有控制通道，完全处于盲状态。

虽然单向网闸采用了发送冗余校验的方式来对抗传输错误，能够起到一定的防数据丢失和数据错误的效果，但是由于单向网闸没有任何交互式的控制协议，数据传输的一致性和完整性保证还是不具备的。

也就是说，采用单向网闸不能保证所传输的数据一定正确。

合众单向光闸有别于数据二极管单向网闸，它在逻辑上由三台主机构成，即处于外网端的源主机上存在两个不同的光卡逻辑上分离成发送主机和接收主机，光信号由发送主机发送至分光器，而接收主机通过分光器接收一路光信号并还原成数据，通过内置的数据确认机制（数据签名和收发确认校验方式）来保证数据传输是否正确和完整。

从原理上而言，处于内网侧的目标主机与接收主机收到同一个分光器分送的两路光信号，如果接收主机没有收到会通知发送主机重发数据，这样目标主机也就能够收到重发的数据了。

该原理极大的提高
了合众单向光闸数据传输的可靠性。

由于采用了分光镜像技术，合众单向光闸的稳定性和准确性相比数据二极管单向网闸更胜一筹。

合众单向光闸相比于单向网闸的优点主要有：
6.1.绝对物理单向，防止信息泄密
合众单向光闸采用分光器镜像，物理上就是单向的，绝对没有反向传输的可能。

6.2.没有丢包
由于合众单向光闸采用逻辑三主机模型（发送主机、接收主机、目标主机），因此丢包率小，而且即使有丢包通过程序自身的纠错功能就可以纠错，因此，基本上能够保证绝不丢包。

6.3.通量大
由于合众单向光闸采用逻辑三主机模型，不需要通过冗包来纠错，因此传输通量增大，最大可以达到640M，基本达到千兆网络数据传输需求。

6.4.支持数据库同步
合众单向光闸支持各种数据库的单向同步，支持内外网数据库异构同步。

6.5.流量控制
合众单向光闸三主机模型存在流量控制机制，如果发送过快接收主机会返回流量控制信号。

6.6.抗故障能力
合众单向光闸具有较大物理缓存,可以保存三个月以上的数据。