安全隔離網閘，又名“網閘”、“物理隔離網閘”，用以實現不同安全級別網絡之間的安全隔離，并提供適度可控的數據交換的軟硬件系統。主流的安全隔離網閘一般具有如下功能模塊：數據庫模塊、文件模塊、消息模塊、郵件模塊和瀏覽模塊。
安全數據交換單元不同時與內外網處理單元連接，為2 1的主機架構。隔離網閘采用SU-Gap安全隔離技術，創建一個內、外網物理斷開的環境。
網閘是使用帶有多種控制功能的固態開關讀寫介質連接兩個獨立主機系統的信息安全設備。網閘是一種網絡隔離技術，它所連接的兩個獨立主機系統之間不存在通信的物理連接、邏輯連接、信息傳輸命令、信息傳輸協議，不存在依據協議的信息包轉發，只有數據文件的無協議“擺渡”，且對固態存儲介質只有“讀”和“寫”兩個命令。所以網閘從物理上隔離、阻斷了具有潛在攻擊可能的一切連接，是“黑客”無法入侵、無法攻擊、無法破壞、實現真正的安全。
物理隔離網閘應用在下面的5種場合環境中：
（1）涉密網與非涉密網之間；
（2）局域網與互聯網之間（內網與外網之間）；
有些局域網絡，特別是政府辦公網絡，涉及政府敏感信息，有時需要與互聯網在物理上斷開，用物理隔離網閘是一個常用的辦法。
（3）辦公網與業務網之間；
由于辦公網絡與業務網絡的信息敏感程度不同，例如，銀行的辦公網絡和銀行業務網絡就是很典型的信息敏感程度不同的兩類網絡。為了提高工作效率，辦公網絡有時需要與業務網絡交換信息。為解決業務網絡的安全，比較好的辦法就是在辦公網與業務網之間使用物理隔離網閘，實現兩類網絡的物理隔離。
（4）電子政務的內網與專網之間；
在電子政務系統建設中要求政府內網與外網之間用邏輯隔離，在政府專網與內網之間用物理隔離。現常用的方法是用物理隔離網閘來實現。
（5）業務網與互聯網之間；
電子商務網絡一邊連接著業務網絡服務器，一邊通過互聯網連接著廣大民眾。
為了保障業務網絡服務器的安全，在業務網絡與互聯網之間應實現物理隔離。
原理：安全隔離網閘的組成：
安全隔離網閘是實現兩個相互業務隔離的網絡之間的數據交換，通用的網閘模型設計一般分三個基本部分：
a. 內網處理單元
b. 外網處理單元
c. 隔離與交換控制單元（隔離硬件）
其中，三個單元都要求其軟件的操作系統是安全的，也就是采用非通用的操作系統，或改造后的專用操作系統。一般為Unix BSD或Linux的經安全精簡版本，或者其他是嵌入式操作系統VxWorks等，但都要對底層不需要的協議、服務刪除，使用的協議優化改造，增加安全特性，同時提高效率。
下面分別介紹三個基本部分的功能：
內網處理單元：包括內網接口單元與內網數據緩沖區。接口部分負責與內網的連接，并終止內網用戶的網絡連接，對數據進行病毒檢測、防火墻、入侵防護等安全檢測后剝離出“純數據”，作好交換的準備，也完成來自內網對用戶身份的確認，確保數據的安全通道；數據緩沖區是存放并調度剝離后的數據，負責與隔離交換單元的數據交換。
外網處理單元：與內網處理單元功能相同，但處理的是外網連接。
隔離與交換控制單元：是網閘隔離控制的擺渡控制，控制交換通道的開啟與關閉?？刂茊卧邪粋€數據交換區，就是數據交換中的擺渡船。對交換通道的控制的方式目前有兩種技術，擺渡開關與通道控制。擺渡開關是電子倒換開關，讓數據交換區與內外網在任意時刻的不同時連接，形成空間間隔GAP，實現物理隔離。通道方式是在內外網之間改變通訊模式，中斷了內外網的直接連接，采用私密的通訊手段形成內外網的物理隔離。該單元中有一個數據交換區，作為交換數據的中轉。
安全隔離網閘的兩類模型：
在內外網處理單元中，接口處理與數據緩沖之間的通道，稱內部通道1，緩沖區與交換區之間的通道，稱內部通道2。對內部通道的開關控制，就可以形成內外網的隔離。模型中的用中間的數據交換區擺渡數據，稱為三區模型；擺渡時，交換區的總線分別與內、外網緩沖區連接，也就是內部通道2的控制，完成數據交換。
還有一種方式是取消數據交換區，分別交互控制內部通道1與內部通道2，形成二區模型。
二區模型的數據擺渡分兩次：先是連接內、外網數據緩沖區的內部通道2斷開，內部通道1連接，內外網接口單元將要交換的數據接收過來，存在各自的緩沖區中，完成一次擺渡。然后內部通道1斷開，內部通道2連接，內外網的數據緩沖區與各自的接口單元斷開后，兩個緩沖區連接，分別把要交換的數據交換到對方的緩沖區中，完成數據的二次擺渡。
內部通道一般也采用非通用網絡的通訊連接，讓來自兩端的可能攻擊終止于接口單元，從而增強網閘的隔離效果。安全隔離網閘設計的目的，是隔離內外網業務連接的前提下，實現安全的數據交換。也就是安全專家描述的：協議落地，數據交換。
功能
由于職能和業務的不同，用戶的應用系統及其數據交換方式也多種多樣：各種審批系統、各種數據查詢系統需要在網絡間傳輸和交換指定數據庫記錄；各種匯總系統、各種數據采集系統需要在網絡間傳輸和交換指定文件；各種復雜的應用系統需要傳輸和交換定制數據；內外網之間的郵件互通和網頁瀏覽需求要求網絡之間能夠進行郵件轉發和網頁轉發。
網閘都有哪些品牌
1、深信服科技股份有限公司
深信服科技股份有限公司是一家專注于企業級安全、云計算與IT基礎架構的產品和服務供應商。
2、奇安信
專注于網絡空間安全市場，為向政府、企業用戶提供新一代企業級網絡安全產品和服務。憑借持續的研發創新和以實戰攻防為核心的安全能力，已發展成為國內領先的基于大數據、人工智能和安全運營技術的網絡安全供應商。
3、啟明星辰信息技術集團股份有限公司
擁有完全自主知識產權的網絡安全產品、可信安全管理平臺、安全服務與解決方案的綜合提供商。實現了對網絡安全、數據安全、應用業務安全等多領域的覆蓋，形成了信息安全產業生態圈。
4、天融信（南洋股份）
中國領先的網絡安全、大數據與安全云服務提供商。率先推出填補國內空白的自主知識產權防火墻產品，到自主研發國內第一臺ASIC架構防火墻，從全球首發新一代可信并行計算安全平臺，到云時代超百G機架式“擎天”安全網關。
5、美亞柏科
現已成長為國內電子數據取證行業龍頭和公安大數據領先企業、網絡空間安全及大數據智能化等領域專家，業務領域由傳統的網絡安全部門向監察委、稅務、海關、市監、應急等行業拓展，并不斷向民用市場延伸，業務范圍覆蓋全國各省、市、自治區及部分。
6、藍盾股份
公司構建了以安全產品為基礎，覆蓋安全方案、安全服務、安全運營的完整業務生態，為各大行業客戶提供一站式的信息安全整體解決方案。同時，公司也瞄準了信息安全外延不斷擴大的趨勢，通過“自主研發 投資并購”雙輪驅動的方式，持續推進“大安全”產業發展戰略，并以“技術升級”、“空間拓展”、“IT層級突破”三個維度為主線進行布局，構建了完整的“大安全”產業生態版圖。
7、綠盟科技
提供全線網絡安全產品、全方位安全解決方案和體系化安全運營服務。公司在美國硅谷、日本東京、英國倫敦、新加坡設立海外子公司，深入開展全球業務，打造全球網絡安全行業的中國品牌。
8、任子行
是中國最早涉足網絡信息安全領域的企業之一，致力于為國家管理機構、運營商、企事業單位和個人網絡信息安全保駕護航。
9、安恒信息
主營業務為網絡信息安全產品的研發、生產及銷售，并為客戶提供專業的網絡信息安全服務。產品及服務涉及應用安全、大數據安全、云安全、物聯網安全、工業控制安全及工業互聯網安全等領域。
10、山石網科
一直專注于網絡安全領域前沿技術的創新，提供包括邊界安全、云安全、數據安全、內網安全在內的網絡安全產品及服務，致力于為用戶提供全方位、更智能、零打擾的網絡安全解決方案。
11、京泰物理隔離網閘
京泰物理隔離網閘采用高速固態開關，在內外網絡之間切換，開關的物理特性決定了任意一個時刻，系統在物理鏈路上只能處于內網或者外網的一側；當連入外網時，與內網斷開，從外網獲取需要交換的數據；斷開外網連接，連接內網，交換數據到內網。往復不斷，從而完成內外網絡信息的交換；連接建立后，采用自定義信息交換報文和協議進行信息傳遞和交換，防止黑客利用標準網絡協議的各種漏洞進行攻擊；由于采用自定義安全傳輸協議，系統在底層自行完成對文件的分片、傳遞工作，在另一端負責對其進行重組、檢測；系統提供應用接口，對應用系統的表單內容進行嚴格的信息檢測和過濾，防止利用各種非法的查詢來獲取信息或者破壞信息；由于通過高速固態開關交換信息，時間延遲極短，為毫秒級，為用戶應用系統提供實時的在線訪問提供了堅實的基礎。安全網閘不但提供標準的信息交流服務，如文件交流、數據庫交流和郵件交流等。還提供其他具體應用系統的二次開發接口，幫助用戶更快、更好的建立自己的安全信息交流平臺。支持第三方安全軟件，如對傳遞和交換的數據進行殺毒等，采用Linux操作系統設計，通過公安部、保密局、國家信息安全測評認證中心等權威部門的安全認證，使得自身系統的安全性大為提高。
12、蓋特佳物理隔離網閘
蓋特佳物理隔離網閘采用全透明工作模式，動態實時數據交換技術，防范針對操作系統的已知及未知漏洞攻擊，防范基于TCP/IP網絡協議弱點的攻擊，使用應用層數據提取技術，徹底阻斷內外網之間的TCP/IP連接。它采用內外處理單元均采用優化的安全操作系統，系統中不存在TCP/IP網絡協議棧，內外部網卡均沒有網絡地址，無需驅動的Direct I/O技術訪問專用硬件通信設備， 網卡僅監聽數據，對外不提供任何服務，管理控制臺完全獨立于內外部網絡；內置自動反入侵功能， 精細的安全訪問控制功能，支持路由和透明橋工作模式，支持主機，網絡和網段等多種網絡對象，支持HTTP，FTP，MAIL等標準網絡協議，支持IP和MAC地址綁定，支持HTTP的URL和內容的關鍵字過濾， 支持日志，審計和報警，強大的應用層攻擊防護功能，內置高性能安全過濾引擎，能夠防止Dos和DDos攻擊，緩沖區溢出攻擊，惡意編碼攻擊以及應用層洪水攻擊等等。
13、天行安全隔離網閘(Topwalk-GAP)
天行安全隔離網閘(Topwalk-GAP)通常部署于信任網絡與非信任網絡之間，通過獨創軟硬件體系結構，采用了協議轉換、安全操作系統內核、基于加密和證書的身份驗證機制、病毒及惡意代碼過濾、安全審計管理等安全技術，根據用戶定義的應用數據“白名單”策略進行數據傳輸和交換，并徹底杜絕有害信息，構筑起各種網絡威脅（黑客、蠕蟲病毒等）不可逾越的安全網閘。作為國內GAP領域的倡導者和領先者，天行安全隔離網閘（Topwalk-GAP）一直以其創新實用性、安全可靠性得到了廣大用戶的青睞。
14、聯想網御SIS-3000安全隔離網閘
聯想網御SIS-3000安全隔離網閘是在兩個相互物理隔離的網絡間安全、高速、可靠地進行數據交換的網絡安全設備。系統采用專有隔離硬件和協議，并采用國際上最新的信息輪渡機制，集成了安全操作系統、內容過濾、數字簽名、病毒查殺、訪問控制和安全審計等多種安全技術，對傳輸數據的類型、內容等進行檢查和過濾，提供可信任的專用信息交換服務，有效克服了由于物理隔離引起的電子政務、電子商務的數據交換瓶頸，保持了多個網絡間物理隔離的特性，提供了一種安全、有效的數據交換途徑。
該產品使用高速安全隔離電子開關，只支持單向網絡連接，保證內外網在物理鏈路層上的完全斷開，并可以支持毫秒級的高速切換，以配合后臺高速響應設備；同時，SIS-3000為指定應用提供數據交換，通過與具體應用的結合，極大地提高了系統的安全系數，避免了開放TCP/IP通用服務造成的安全隱患。聯想網御SIS-3000具有高速電子開關和專有協議，確保內外網在任意時刻物理隔離，通過領先的信息擺渡機制，提高數據傳輸的安全性；采用多種安全技術，支持可信的專用信息交換服務；具有自主的嵌入式安全操作系統，有效保證了系統自身安全性；支持包括文件交換、郵件交換和數據庫同步在內的多種應用。
51、中網隔離網閘X-gap
由中網公司研制開發的安全隔離和信息交換系統（X-Gap），能夠較好的解決隔離斷開和數據交換的難題，中網物理隔離網閘真正實現了兩個網絡之間的物理隔離。X-Gap 中斷了兩個網絡之間的鏈路連接、通信連接、網絡連接和應用連接，在保證兩個網絡完全斷開和協議中止的情況下，以非網絡方式實現了數據交換。沒有任何包、命令和TCP/IP協議（包括UDP和ICMP）可以穿透X-Gap, 它具有高安全、高帶寬、高速度、高可用性的優點。此外，由于采用了SCSI技術, 背板速率高達5G，開關效率達到納秒級，徹底解決了速度慢、效率低的問題。除此之外，SCSI控制系統本身具有不可編程的特性和沖突機制，形成簡單的開關原理，從而徹底解決了網閘開關的安全性問題。
物理隔離是通過開關來實現的。目前常見的物理隔離開關技術有三種：實時開關（Real-Time Switch），單向連接 （One-Way Link），和網絡開關（Network Switch）。實時開關和單向連接的速度要快一些，網絡開關的速度要慢一些。人們普遍存在對開關速度的擔憂，擔心開關速度直接影響網絡的性能。如果開關的速度低，網絡的性能肯定受到影響。即使開關的速度高，網閘的性能也受主機性能的限制。不管開關速度的高低，網閘的性能的上限都不會超過主機的上限。中網物理隔離網閘通過采用主機的CPU時鐘作為開關，將開關功能在系統的內核中實現，成功的達到網閘的最高性能，優于常見的三種開關技術。內核的效率要遠遠高于外設的效率。
16、偉思物理隔離網閘copgap200
偉思網閘CopGap是兩個嵌入式單板計算機和安全電路板組成。其中兩個嵌入式單板計算機分別連接可信網絡和不可信網絡，通過安全電路板把兩個嵌入式單板計算機連接在一起。安全電路板是針對物理隔離技術而專門設計的純硬件設備，它包含獨有高速LVDS總線，系統內部數據流量達到1056M位/秒，超過了1G位/秒。CopGap操作系統采用經保密局鑒定的安全Linux操作系統內核，具有極高的安全性。
通過專用高速安全芯片開關和先進的協議終止/協議分析技術，使得可信和不可信網絡在CopGap上物理鏈路隔斷和協議隔離，杜絕黑客對可信網絡的惡意攻擊。通過先進的GAP反射系統，不依賴任何通信協議和操作系統，利用獨立的硬件邏輯電路，獨立的總線技術，保證內外網絡可控、高速、安全的數據交換。通過復雜的數學變換，可以打亂原裸數據的格式，改變數據結構，使惡意代碼在傳輸過程中無法執行，從根本上保證數據傳輸安全。安全決策體系位于內部可信安全服務器端，與不可信網絡之間物理斷開，可以保證安全決策體系的完整性和安全決策體系決策過程的完整性。從而保障整體安全架構的完整性。它采用協議終止技術，防止基于網絡協議漏洞的已知和未知攻擊；抵御基于操作系統漏洞的攻擊；抵御緩沖區溢出攻擊、過載攻擊、拒絕服務攻擊（DOS）、分布式拒絕服務攻擊（DDOS）；對數據進行內容審查、對網絡協議進行分析和審查；具有審計功能，可對網絡用戶的行為作詳盡的記錄；身份認證和訪問控制功能：支持用戶端的數字證書認證（CA）；雙重代理功能，隱藏內網結構信息。
網閘和防火墻的區別、網閘主要特點、網閘技術要求及網閘常見問題解答
網閘和防火墻的區別
1、應用場景區別
網閘和防火墻的應用場景是不同的，網絡已經存在考慮安全問題上防火墻，但首先要保證網絡的連通性，其次才是安全問題，網閘是保證安全的基礎上進行數據交換，網閘是兩個網絡已經存在，現在兩個網絡不得不互聯，互聯就要保證安全，網閘是現在唯一最安全的網絡邊界安全隔離的產品，只有網閘這種產品才能解決這個問題，所以必須用網閘。
2、硬件區別
防火墻是單主機架構，早期使用包過濾的技術，網閘是雙主機2 1架構，通過私有的協議擺渡的方式進行數據交換，基于會話的檢測機制，由于網閘是雙主機結構，即使外網端被攻破，由于內部使用私有協議互通，沒辦法攻擊到內網，防火墻是單主機結構，如果被攻擊了，就會導致內網完全暴露給別人。
圖1：防火墻單主機架構
圖2：網閘雙主機2 1架構
3、功能區別
網閘主要包含兩大類功能訪問類功能和同步類功能，訪問類功能類似于防火墻，網閘相對于防火墻安全性更高的是同步類功能。
（1）訪問類功能
代理模式：
目前認為代理模式是最安全的模式，但是防火墻不支持代理模式，網閘是支持代理模式的，所以防火墻是不能用在涉密和非涉密網的安全隔離的，網閘是可以的。
圖3：代理模式舉例
（2）同步類功能
文件同步和數據庫同步：
防火墻的工作原理，放在網絡中間，源端發起訪問，目的端被訪問，防火墻收到判斷一下，給你轉過去，網閘的工作原理，我主動抓取放到另外一側，兩側都是文件或數據庫服務器，這個過程終端不知道網閘的存在，因為對外沒有開放端口，安全性更高，防火墻的端口是對外開放的。
網閘主要特點
1、安全高效的體系架構
安全隔離與信息交換系統采用“2 1”模塊結構設計，即包括外網主機模塊、內網主機模塊和隔離交換模塊。內、外網主機模塊具有獨立運算單元和存儲單元，分別連接可信及不可信網絡，對訪問請求進行預處理，以實現安全應用數據的剝離。隔離交換模塊采用專用的雙通道隔離交換卡實現，通過內嵌的安全芯片完成內外網主機模塊間安全的數據交換。內外網主機模塊間不存在任何網絡連接，因此不存在基于網絡協議的數據轉發。
2、專用的隔離交換模塊
網閘產品核心部件為隔離交換模塊，安全隔離與信息交換系統隔離交換模塊基于專用安全芯片設計，全硬件交換；消除性能瓶頸；從可信網到非可信網的數據流與從非可信網到可信網的數據流采用不同的數據通道，對通道的分離控制保證各通道的傳輸方向可控。
3、操作系統安全可靠
內外網主機模塊應采用自主安全可靠的操作系統。
4、強大的網絡適應能力
網閘針對不同的軟件模塊具有多種部署方式，支持代理方式、透明方式等多種部署方式，可以根據用戶網絡的特殊性采用不同的實現方式進行靈活部署。
5、深度應用層解析過濾能力
網閘針對HTTP協議、FTP協議、POP3協議、SMTP協議、TNS協議等多種應用層協議進行深度解析及過濾，滿足用戶安全性需求。
6、深度應用層攻擊防御能力
網閘具有防病毒功能模塊，針對文件交換模塊、FTP訪問模塊、安全瀏覽模塊、郵件訪問模塊具有防病毒功能，支持本地升級及遠程升級。網神網閘具有入侵檢測功能，可對網頁攻擊、緩沖區溢出攻擊、后門/木馬、P2P、病毒/蠕蟲、拒絕服務攻擊、掃描類攻擊等多種攻擊類型進行實時檢測并記錄日志。
7、強大的網絡適應能力
網閘具有多種功能模塊，用戶可以根據網絡需求選用相應的功能模塊；網閘每種功能模塊具有多種實現方式，用戶可以根據網絡需求選用相應的實現方式。如：文件交換模塊支持FTP、SMB、NFS等多種文件傳輸協議，支持無客戶端方式及有客戶端方式等；網閘雙機熱備、負載均衡功能通訊接口可以設置為HA接口、網絡接口等，支持宕機切換、抜線切換，支持ping、connect等多種主動鏈路探測，可以適應各種復雜的雙機及負載網絡環境需求；
8、豐富的應用模塊
安全隔離與信息交換系統采用模塊化的系統結構設計，根據不同的應用環境，量身定制多個功能模塊，以滿足用戶的不同需求。
網閘技術要求
網閘用于數據采集網絡到辦公網絡的數據傳送，在保證儀表數據正常采集傳輸的同時保證數據采集網絡與辦公網絡的有效隔離。網閘設置在辦公網核心附近，電解數據采集網絡核心和炭素數據采集網絡核心分別通過千兆網絡連接到網閘的內網接口，網閘的外網接口連接到辦公網核心。
網閘產品廠家需要具備以下資質：
①公安部計算機信息系統安全專用產品銷售許可證（三級以上）及公安部計算機信息系統安全產品質量監督檢驗中心檢驗報告（三級以上）；
②國家保密局涉密信息系統產品檢測證書；
③國家密碼管理局密碼檢測證書；
④國家電網公司EMC檢測認證；
⑤DTP物理隔離通道系統證書；
⑥解放軍軍用信息安全產品認證證書（軍C以上）級；
⑦國家信息安全產品3C證書（三級以上）。
