包过滤网闸

① 杀毒软件和防火墙的区别

1.防火墙是位于计算机和它所连接的网络之间的软件，安装了防火墙的计算机流入流出的所有网络通信均要经过此防火墙。使用防火墙是保障网络安全的第一步，选择一款合适的防火墙，是保护信息安全不可或缺的一道屏障。

2.因为杀毒软件和防火墙软件本身定位不同，所以在安装反病毒软件之后，还不能阻止黑客攻击，用户需要再安装防火墙类软件来保护系统安全。

3.杀毒软件主要用来防病毒，防火墙软件用来防黑客攻击。

4.病毒为可执行代码，黑客攻击为数据包形式。

5.病毒通常自动执行，黑客攻击是被动的。

6.病毒主要利用系统功能，黑客更注重系统漏洞。

7.当遇到黑客攻击时反病毒软件无法对系统进行保护。

8.对于初级用户，可以选择使用防火墙软件配置好的安全级别。

9.防火墙软件需要对具体应用进行规格配置。

10.防火墙不处理病毒

不管是funlove病毒也好，还是CIH也好,在内部网络用户下载外网的带毒文件的时候，防火墙是不为所动的（这里的防火墙不是指单机/企业级的杀毒软件中的实时监控功能，虽然它们不少都叫“病毒防火墙”）。

看到这里，或许您原本心目中的防火墙已经被我拉下了神台。是的，防火墙是网络安全的重要一环，但不代表设置了防火墙就能一定保证网络的安全。“真正的安全是一种意识，而非技术!”请牢记这句话。

不管怎么样，防火墙仍然有其积极的一面。在构建任何一个网络的防御工事时，除了物理上的隔离和目前新近提出的网闸概念外，首要的选择绝对是防火墙。

最后，要说的依然是那句“世界上没有一种技术能真正保证绝对地安全。”安全问题，是从设备到人，从服务器上的每个服务程序到防火墙、IDS等安全产品的综合问题；任何一个环节工作，只是迈向安全的步骤。

附录：

防火墙能够作到些什么？

1.包过滤

具备包过滤的就是防火墙？对，没错！根据对防火墙的定义，凡是能有效阻止网络非法连接的方式，都算防火墙。早期的防火墙一般就是利用设置的条件，监测通过的包的特征来决定放行或者阻止的，包过滤是很重要的一种特性。虽然防火墙技术发展到现在有了很多新的理念提出，但是包过滤依然是非常重要的一环，如同四层交换机首要的仍是要具备包的快速转发这样一个交换机的基本功能一样。通过包过滤，防火墙可以实现阻挡攻击，禁止外部/内部访问某些站点，限制每个ip的流量和连接数。

2.包的透明转发

事实上，由于防火墙一般架设在提供某些服务的服务器前。如果用示意图来表示就是 Server—FireWall—Guest 。用户对服务器的访问的请求与服务器反馈给用户的信息，都需要经过防火墙的转发,因此，很多防火墙具备网关的能力。

3.阻挡外部攻击

如果用户发送的信息是防火墙设置所不允许的，防火墙会立即将其阻断，避免其进入防火墙之后的服务器中。

4.记录攻击

如果有必要，其实防火墙是完全可以将攻击行为都记录下来的，但是由于出于效率上的考虑，目前一般记录攻击的事情都交给IDS（入侵检测系统）来完成了。

以上是所有防火墙都具备的基本特性，虽然很简单，但防火墙技术就是在此基础上逐步发展起来的。

② 怎样解决网络边界安全问题

1、防火墙技术

网络隔离最初的形式是网段的隔离，因为不同的网段之间的通讯是通过路由器连通的，要限制某些网段之间不互通，或有条件地互通，就出现了访问控制技术，也就出现了防火墙，防火墙是不同网络互联时最初的安全网关。


防火墙的安全设计原理来自于包过滤与应用代理技术，两边是连接不同网络的接口，中间是访问控制列表ACL，数据流要经过ACL的过滤才能通过。ACL有些象海关的身份证检查，检查的是你是哪个国家的人，但你是间谍还是游客就无法区分了，因为ACL控制的是网络的三层与四层，对于应用层是无法识别的。后来的防火墙增加了NAT/PAT技术，可以隐藏内网设备的IP地址，给内部网络蒙上面纱，成为外部“看不到”的灰盒子，给入侵增加了一定的难度。但是木马技术可以让内网的机器主动与外界建立联系，从而“穿透”了NAT的“防护”，很多P2P应用也采用这种方式“攻破”了防火墙。

防火墙的作用就是建起了网络的“城门”，把住了进入网络的必经通道，所以在网络的边界安全设计中，防火墙成为不可缺的一部分。

防火墙的缺点是：不能对应用层识别，面对隐藏在应用中的病毒、木马都好无办法。所以作为安全级别差异较大的网络互联，防火墙的安全性就远远不够了。

2、多重安全网关技术

既然一道防火墙不能解决各个层面的安全防护，就多上几道安全网关，如用于应用层入侵的IPS、用于对付病毒的AV、用于对付DDOS攻击的…此时UTM设备就诞生了，设计在一起是UTM，分开就是各种不同类型的安全网关。

多重安全网关就是在城门上多设几个关卡，有了职能的分工，有验证件的、有检查行李的、有查毒品的、有查间谍的……

多重安全网关的安全性显然比防火墙要好些，起码对各种常见的入侵与病毒都可以抵御。但是大多的多重安全网关都是通过特征识别来确认入侵的，这种方式速度快，不会带来明显的网络延迟，但也有它本身的固有缺陷，首先，应用特征的更新一般较快，目前最长也以周计算，所以网关要及时地“特征库升级”；其次，很多黑客的攻击利用“正常”的通讯，分散迂回进入，没有明显的特征，安全网关对于这类攻击能力很有限；最后，安全网关再多，也只是若干个检查站，一旦“混入”，进入到大门内部，网关就没有作用了。这也安全专家们对多重安全网关“信任不足”的原因吧。

3、网闸技术

网闸的安全思路来自于“不同时连接”。不同时连接两个网络，通过一个中间缓冲区来“摆渡”业务数据，业务实现了互通，“不连接”原则上入侵的可能性就小多了。

网闸只是单纯地摆渡数据，近似于人工的“U盘摆渡”方式。网闸的安全性来自于它摆渡的是“纯数据”还是“灰数据”，通过的内容清晰可见，“水至清则无鱼”，入侵与病毒没有了藏身之地，网络就相对安全了。也就是说，城门只让一种人通过，比如送菜的，间谍可混入的概率就大大降低了。但是，网闸作为网络的互联边界，必然要支持各种业务的连通，也就是某些通讯协议的通过，所以网闸上大多开通了协议的代理服务，就象城墙上开了一些特殊的通道，网闸的安全性就打了折扣，在对这些通道的安全检查方面，网闸比多重安全网关的检查功效不见得高明。

网闸的思想是先堵上，根据“城内”的需要再开一些小门，防火墙是先打开大门，对不希望的人再逐个禁止，两个思路刚好相反。在入侵的识别技术上差不多，所以采用多重网关增加对应用层的识别与防护对两者都是很好的补充。

后来网闸设计中出现了存储通道技术、单向通道技术等等，但都不能保证数据的“单纯性”，检查技术由于没有新的突破，所以网闸的安全性受到了专家们的质疑。

但是网闸给我们带来了两点启示：

1、建立业务互通的缓冲区，既然连接有不安全的可能，单独开辟一块地区，缩小不安全的范围也是好办法。

2、协议代理，其实防火墙也有应用代理是思想，不让来人进入到成内，你要什么服务我安排自己的人给你提供服务，网络访问的最终目的是业务的申请，我替你完成了，不也达到目的了吗？黑客在网络的大门外边，不进来，威胁就小多啦。

4、数据交换网技术

火墙到网闸，都是采用的关卡方式，“检查”的技术各有不同，但对黑客的最新攻击技术都不太好用，也没有监控的手段，对付“人”的攻击行为来说，只有人才是最好的对手。

数据交换网技术是基于缓冲区隔离的思想，把城门处修建了一个“数据交易市场”，形成两个缓冲区的隔离，同时引进银行系统对数据完整性保护的Clark-Wilson模型，在防止内部网络数据泄密的同时，保证数据的完整性，即没有授权的人不能修改数据，防止授权用户错误的修改，以及内外数据的一致性。

数据交换网技术给出了边界防护的一种新思路，用网络的方式实现数据交换，也是一种用“土地换安全”的策略。在两个网络间建立一个缓冲地，让“贸易往来”处于可控的范围之内。

数据交换网技术比其他边界安全技术有显著的优势：

1、综合了使用多重安全网关与网闸，采用多层次的安全“关卡”。

2、有了缓冲空间，可以增加安全监控与审计，用专家来对付黑客的入侵，边界处于可控制的范围内，任何蛛丝马迹、风吹草动都逃不过监控者的眼睛。

3、业务的代理保证数据的完整性，业务代理也让外来的访问者止步于网络的交换区，所有的需求由服务人员提供，就象是来访的人只能在固定的接待区洽谈业务，不能进入到内部的办公区。

数据交换网技术针对的是大数据互通的网络互联，一般来说适合于下面的场合：

1、频繁业务互通的要求：

要互通的业务数据量大，或有一定的实时性要求，人工方式肯定不够用，网关方式的保护性又显不足，比如银行的银联系统、海关的报关系统、社保的管理系统、公安的出入境管理系统、大型企业的内部网络（运行ERP）与Internet之间、公众图书馆系统等等。这些系统的突出特点都是其数据中心的重要性是不言而喻，但又与广大百姓与企业息息相关，业务要求提供互联网的访问，在安全性与业务适应性的要求下，业务互联需要用完整的安全技术来保障，选择数据交换网方式是适合的。

2、高密级网络的对外互联：

高密级网络一般涉及国家机密，信息不能泄密是第一要素，也就是绝对不允许非授权人员的入侵。然而出于对公众信息的需求，或对大众网络与信息的监管，必须与非安全网络互联，若是监管之类的业务，业务流量也很大，并且实时性要求也高，在网络互联上选择数据交换网技术是适合的。

四、总结“魔高道高，道高魔高”。网络边界是两者长期博弈的“战场”，然而安全技术在“不断打补丁”的同时，也逐渐在向“主动防御、立体防护”的思想上迈进，边界防护的技术也在逐渐成熟，数据交换网技术就已经不再只是一个防护网关，而是一种边界安全网络，综合性的安全防护思路。也许安全的话题是永恒的，但未来的网络边界一定是越来越安全的，网络的优势就在于连通。

③ 杀毒软件和防火墙软件有什么区别

1.防火墙是位于计算机和它所连接的网络之间的软件，安装了防火墙的计算机流入流出的所有网络通信均要经过此防火墙。使用防火墙是保障网络安全的第一步，选择一款合适的防火墙，是保护信息安全不可或缺的一道屏障。

2.因为杀毒软件和防火墙软件本身定位不同，所以在安装反病毒软件之后，还不能阻止黑客攻击，用户需要再安装防火墙类软件来保护系统安全。

3.杀毒软件主要用来防病毒，防火墙软件用来防黑客攻击。

4.病毒为可执行代码，黑客攻击为数据包形式。

5.病毒通常自动执行，黑客攻击是被动的。

6.病毒主要利用系统功能，黑客更注重系统漏洞。

7.当遇到黑客攻击时反病毒软件无法对系统进行保护。

8.对于初级用户，可以选择使用防火墙软件配置好的安全级别。

9.防火墙软件需要对具体应用进行规格配置。

10.防火墙不处理病毒

不管是funlove病毒也好，还是CIH也好,在内部网络用户下载外网的带毒文件的时候，防火墙是不为所动的（这里的防火墙不是指单机/企业级的杀毒软件中的实时监控功能，虽然它们不少都叫“病毒防火墙”）。

看到这里，或许您原本心目中的防火墙已经被我拉下了神台。是的，防火墙是网络安全的重要一环，但不代表设置了防火墙就能一定保证网络的安全。“真正的安全是一种意识，而非技术!”请牢记这句话。

不管怎么样，防火墙仍然有其积极的一面。在构建任何一个网络的防御工事时，除了物理上的隔离和目前新近提出的网闸概念外，首要的选择绝对是防火墙。

最后，要说的依然是那句“世界上没有一种技术能真正保证绝对地安全。”安全问题，是从设备到人，从服务器上的每个服务程序到防火墙、IDS等安全产品的综合问题；任何一个环节工作，只是迈向安全的步骤。

附录：

防火墙能够作到些什么？

1.包过滤

具备包过滤的就是防火墙？对，没错！根据对防火墙的定义，凡是能有效阻止网络非法连接的方式，都算防火墙。早期的防火墙一般就是利用设置的条件，监测通过的包的特征来决定放行或者阻止的，包过滤是很重要的一种特性。虽然防火墙技术发展到现在有了很多新的理念提出，但是包过滤依然是非常重要的一环，如同四层交换机首要的仍是要具备包的快速转发这样一个交换机的基本功能一样。通过包过滤，防火墙可以实现阻挡攻击，禁止外部/内部访问某些站点，限制每个 ip的流量和连接数。

2.包的透明转发

事实上，由于防火墙一般架设在提供某些服务的服务器前。如果用示意图来表示就是 Server—FireWall—Guest 。用户对服务器的访问的请求与服务器反馈给用户的信息，都需要经过防火墙的转发,因此，很多防火墙具备网关的能力。

3.阻挡外部攻击

如果用户发送的信息是防火墙设置所不允许的，防火墙会立即将其阻断，避免其进入防火墙之后的服务器中。

4.记录攻击

如果有必要，其实防火墙是完全可以将攻击行为都记录下来的，但是由于出于效率上的考虑，目前一般记录攻击的事情都交给IDS（入侵检测系统）来完成了。

以上是所有防火墙都具备的基本特性，虽然很简单，但防火墙技术就是在此基础上逐步发展起来的。
参考资料：网络

④ 谁了解电子政务专网 “网闸” 的原理

云海OA电子政务方案，处理过网闸问题；
网闸的基本原理是：切断网络之间的通用协议连接；将数据包进行分解或重组为静态数据；对静态数据进行安全审查，包括网络协议检查和代码扫描等；确认后的安全数据流入内部单元；内部用户通过严格的身份认证机制获取所需数据。
网闸是在两个不同安全域之间，通过协议转换的手段，以信息摆渡的方式实现数据交换，且只有被系统明确要求传输的信息才可以通过。其信息流一般为通用应用服务。
注：网闸的“闸”字取自于船闸的意思，在信息摆渡的过程中内外网（上下游）从未发生物理连接，所以网闸产品必须要有至少两套主机和一个物理隔离部件才可完成物理隔离任务。现在市场上出现的的单主机网闸或单主机中有两个及多个处理引擎的过滤产品不是真正的网闸产品，不符合物理隔离标准。其只是一个包过滤的安全产品，类似防火墙。
注：单主机网闸多以单向网闸来掩人耳目。
隔离网闸是一种由专用硬件在电路上切断网络之间的链路层连接，能够在物理隔离的网络之间进行适度的安全数据交换的网络安全设备。

⑤ 网闸的其它问题

（一）安全隔离网闸通常布置在什么位置？
安全隔离网闸通常布置在两个安全级别不同的两个网络之间，如信任网络和非信任网络，管理员可以从信任网络一方对安全隔离网闸进行管理。
（二）安全隔离网闸的部署是否需要对网络架构作调整？
采用透明方式的网闸只需要在两个网络各提供一个有效的IP地址即可。采用路由模式的网闸要求一定的改动。有的网闸支持两种连接方式。有的只支持一种。只支持路由模式的网闸就会要求对网络结构有改动。
（三）安全隔离网闸是否可以在网络内部使用？
可以，网络内部安全级别不同的两个网络之间也可以安装安全隔离网闸进行隔离。
（四）安全隔离网闸支持交互式访问吗？
鉴于安全隔离网闸保护的主要是内部网络，一旦支持交互式访问如支持建立会话，那么无法防止信息的泄漏以及内部系统遭受攻击，因此，安全隔离网闸不支持交互式访问.
（五）支持反向代理的安全隔离网闸安全吗？
支持反向代理意味着可以从非信任网络间接授权访问信任网络上的资源，一旦代理软件在安全检查或者软件实现上出现问题，那么很有可能会被黑客利用并非法存取内部资源。因此从安全性上讲，支持反向代理的安全隔离网闸不安全。
（六）如果对应网络七层协议，安全隔离网闸是在哪一层断开？
如果针对网络七层协议，安全隔离网闸是在硬件链路层上断开。
（七）安全隔离网闸支持百兆网络吗？千兆网络如何支持？
安全隔离网闸支持百兆网络，目前国内最快的可以达到120MBps。对于千兆网络，可以采用多台安全隔离网闸进行负载均衡。
（八）安全隔离网闸自身的安全性如何？
安全隔离网闸双处理单元上都采用了安全加固的操作系统，包括强制访问控制、基于内核的入侵检测等安全功能，并且该系统得到国家权威部门的认证。
（九）安全隔离网闸有身份认证机制吗？
有。安全隔离网闸在用于邮件转发和网页浏览的时候，对用户进行用户名/口令、证书认证等多种形式的身份认证。
（十）有了防火墙和IDS，还需要安全隔离网闸吗？
防火墙是网络层边界检查工具，可以设置规则对内部网络进行安全防护，而IDS一般是对已知攻击行为进行检测，这两种产品的结合可以很好的保护用户的网络，但是从安全原理上来讲，无法对内部网络做更深入的安全防护。安全隔离网闸重点是保护内部网络，如果用户对内部网络的安全非常在意，那么防火墙和IDS再加上安全隔离网闸将会形成一个很好的防御体系。
（十一）受安全隔离网闸保护的内部网络需要不断升级吗？
安全隔离网闸首先在链路层断开，彻底切断网络连接，并仅允许仅有的四种指定静态数据进行交换，对外不接受请求，并且在内部用户访问外部网络时采用静态页面返回（过滤ActiveX、Java、cookie等），并且木马无法通过安全隔离网闸进行通讯，因此内部网络针对外部的攻击根本无需升级。
（十二）为什么受防火墙保护的内部网络需要不断升级？
防火墙是在网络层对数据包作安全检查，并不切断网络连接，很多案例证明无论包过滤还是代理防火墙都很难防止木马病毒的入侵内部网络，Nimda绕过很多防火墙的检查并在全世界肆虐就是一个很好的例证，因此需要用户的内部网络不断升级自己的客户端如浏览器。
（十三）安全隔离网闸能否防止内部无意信息泄漏？
由于安全隔离网闸在数据交换时采用了证书机制，对所有的信息进行证书验证，因此对于那些病毒乱发邮件所造成的无意信息泄漏起到很好的防范作用。
（十四）使用安全隔离网闸时需要安装客户端吗？
有的网闸管理员使用通用的浏览器即可对其进行管理配置，使用安全隔离网闸时不需安装其他客户端。 但是这种方式具有极大的安全风险，因为远程连接会引入安全威胁，而这种对于控制口的攻击更为严重。所以安全性要求高的网闸，不允许通过远程进行配置，只允许通过专有的配置程序，也就是客户端通过串口进行配置。一些重要部门均不允许对网闸具有远程配置的功能。
（十五）安全隔离网闸接受外来请求吗？
不接受，安全隔离网闸上的数据交换全部由管理员来进行配置，其所有的请求都由安全隔离网闸主动发起，不接受外来请求，不提供任何系统服务。 如果接受远程配置，就会接受外来的请求，造成严重的安全问题。
（十六）安全隔离网闸是否支持所连接的两个网络的网段地址相同？
支持。
（十七）安全隔离网闸的主机系统是否经过安全加固？
由于从网络架构上来讲，安全隔离网闸是处在网关的位置，因此其自身安全性非常重要，两个处理单元 加固包括硬件加固、操作系统加固以及协议的加固。详情见扩展阅读3.
（十八）安全隔离网闸采用什么样的接口？有几个接口？
安全隔离网闸通常提供2个标准以太网百兆接口。
（十九）安全隔离网闸如何管理，支持远程管理吗？
安全性高的安全隔离网闸不支持远程管理。
（二十）安全隔离网闸适用于大规模的部署吗？
安全隔离网闸的安全部署不需对现有网络作调整，同时支持多台冗余
（二十一）安全隔离网闸适用于什么样的场合？
如果用户的网络上存储着重要的数据、运行着重要的应用，通过防火墙等措施不能提供足够高的安全性保护的情况下，可以考虑使用安全隔离网闸。
（二十二）安全隔离网闸直接转发IP包吗？
否。安全隔离网闸从不直接或者间接地转发IP包形式的数据。安全隔离网闸的安全性体现在链路层断开，直接处理应用层数据，对应用层数据进行内容检查和控制，在网络之间交换的数据都是应用层的数据。如果直接转发IP的话，由于单个IP包中一般不包含完整的应用数据，所以无法进行全面的内容检查和控制，也就无法保证应用层的安全。因此，如果直接转发IP包，则背离了安全隔离网闸的安全性要求，不能称为安全隔离网闸。

⑥ 谁能详细的描述一下网闸的工作流程

题：
网闸的工作原理是什么？
解答：
网闸的基本原理是：切断网络之间的通用协议连接；将数据包进行分解或重组为静态数据；对静态数据进行安全审查，包括网络协议检查和代码扫描等；确认后的安全数据流入内部单元；内部用户通过严格的身份认证机制获取所需数据。

问题：
什么是网闸？
解答：
网闸是在两个不同安全域之间，通过协议转换的手段，以信息摆渡的方式实现数据交换，且只有被系统明确要求传输的信息才可以通过。其信息流一般为通用应用服务。注：网闸的“闸”字取自于船闸的意思，在信息摆渡的过程中内外网（上下游）从未发生物理连接，所以网闸产品必须要有至少两套主机和一个物理隔离部件才可完成物理隔离任务。现在市场上出现的的单主机网闸或单主机中有两个及多个处理引擎的过滤产品不是真正的网闸产品，不符合物理隔离标准。其只是一个包过滤的安全产品，类似防火墙。注：单主机网闸多以单向网闸来掩人耳目。

问题：
隔离网闸是什么设备？
解答：
隔离网闸是一种由专用硬件在电路上切断网络之间的链路层连接，能够在物理隔离的网络之间进行适度的安全数据交换的网络安全设备。

问题：
隔离网闸是硬件设备还是软件设备？
解答：
隔离网闸是由软件和硬件组成的设备。

问题：
隔离网闸硬件设备是由几部分组成？
解答：
隔离网闸的硬件设备由三部分组成:外部处理单元、内部处理单元、隔离硬件。

问题：
单向传输用单主机网闸可以吗？
解答：
隔离网闸的组成必须是由物理的三部分组成，所以单主机（包括多处理器）的安全产品并不是网闸产品，无法完成物理隔离任务。其所谓的单向传输只是基于数据包的过滤，类似防火墙产品，并不是物理隔离产品。

问题：
为什么要使用隔离网闸？
解答：
当用户的网络需要保证高强度的安全，同时又与其它不信任网络进行信息交换的情况下，如果采用物理隔离卡，信息交换的需求将无法满足；如果采用防火墙，则无法防止内部信息泄漏和外部病毒、黑客程序的渗入，安全性无法保证。在这种情况下，隔离网闸能够同时满足这两个要求，又避免了物理隔离卡和防火墙的不足之处，是物理隔离网络之间数据交换的最佳选择。

问题：
政府机关上网计算机为什么必须内外网物理隔离？
解答：
在政府建立内部网的工程中，安全保密问题一直是工程建设的重点内容，这是因为内部网中的信息常常是涉密或内部信息。为此，国家明确规定涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其它公共信息网络相联接，必须实行物理隔离，以确保国家秘密的安全。

问题：
为什么说隔离网闸能够防止未知和已知木马攻击？
解答：
通常见到的木马大部分是基于TCP的，木马的客户端和服务器端需要建立连接，而隔离网闸从原理实现上就切断所有的TCP连接，包括UDP、ICMP等其他各种协议，使各种木马无法通过隔离网闸进行通讯。从而可以防止未知和已知的木马攻击。

问题：
隔离网闸与防火墙有何不同？
解答：
主要有以下几点不同：
A、隔离网闸采用双主机系统，内端机与需要保护的内部网络连接，外端机与外网连接。这种双系统模式彻底将内网保护起来，即使外网被黑客攻击，甚至瘫痪，也无法对内网造成伤害。防火墙是单主机系统。
B、隔离网闸采用自身定义的私有通讯协议，避免了通用协议存在的漏洞。防火墙采用通用通讯协议即TCP/IP协议。
C、隔离网闸采用专用硬件控制技术保证内外网之间没有实时连接。而防火墙必须保证实时连接。
D、隔离网闸对外网的任何响应都保证是内网合法用户发出的请求应答，即被动响应，而防火墙则不会对外网响应进行判断，也即主动响应。这样，网闸就避免了木马和黑客的攻击。

问题：
隔离网闸能取代防火墙吗？
解答：
无论从功能还是实现原理上讲，隔离网闸和防火墙是完全不同的两个产品，防火墙是保证网络层安全的边界安全工具（如通常的非军事化区），而隔离网闸重点是保护内部网络的安全。因此两种产品由于定位的不同，因此不能相互取代。

问题：
隔离网闸通常布置在什么位置？
解答：
隔离网闸通常布置在两个安全级别不同的两个网络之间，如信任网络和非信任网络，管理员可以从信任网络一方对安全隔离网闸进行管理。

问题：
隔离网闸是否可以在网络内部使用？
解答：
可以，网络内部安全级别不同的两个网络之间也可以安装隔离网闸进行隔离。

问题：
如果对应网络七层协议，隔离网闸是在哪一层断开？
解答：
如果针对网络七层协议，隔离网闸是在硬件链路层上断开。

问题：
有了防火墙和IDS，还需要隔离网闸吗？
解答：
防火墙是网络层边界检查工具，可以设置规则对内部网络进行安全防护，而IDS一般是对已知攻击行为进行检测，这两种产品的结合可以很好的保护用户的网络，但是从安全原理上来讲，无法对内部网络做更深入的安全防护。隔离网闸重点是保护内部网络，如果用户对内部网络的安全非常在意，那么防火墙和IDS再加上隔离网闸将会形成一个很好的防御体系。

问题：
隔离网闸适用于什么样的场合？
解答：
第1种场合：涉密网与非涉密网之间。
第2种场合：局域网与互联网之间。有些局域网络，特别是政府办公网络，涉及敏感信息，有时需要与互联网在物理上断开，用物理隔离网闸是一个常用的办法。
第3种场合：办公网与业务网之间
由于办公网络与业务网络的信息敏感程度不同，例如，银行的办公网络和银行业务网络就是很典型的信息敏感程度不同的两类网络。为了提高工作效率，办公网络有时需要与业务网络交换信息。为解决业务网络的安全，比较好的办法就是在办公网与业务网之间使用物理隔离网闸，实现两类网络的物理隔离。
第4种场合：电子政务的内网与专网之间
在电子政务系统建设中，要求政府内网与外网之间用逻辑隔离，在政府专网与内网之间用物理隔离。现常用的方法是用物理隔离网闸来实现。
第5种场合：业务网与互联网之间
电子商务网络一边连接着业务网络服务器，一边通过互联网连接着广大民众。为了保障业务网络服务器的安全，在业务网络与互联网之间应实现物理隔离。

⑦ 物理隔离网闸的组成有

网闸的工作原理是什么？
解答：
网闸的基本原理是：切断网络之间的通用协议连接；将数据包进行分解或重组为静态数据；对静态数据进行安全审查，包括网络协议检查和代码扫描等；确认后的安全数据流入内部单元；内部用户通过严格的身份认证机制获取所需数据。
问题：
什么是网闸？
解答：
网闸是在两个不同安全域之间，通过协议转换的手段，以信息摆渡的方式实现数据交换，且只有被系统明确要求传输的信息才可以通过。其信息流一般为通用应用服务。注：网闸的“闸”字取自于船闸的意思，在信息摆渡的过程中内外网（上下游）从未发生物理连接，所以网闸产品必须要有至少两套主机和一个物理隔离部件才可完成物理隔离任务。现在市场上出现的的单主机网闸或单主机中有两个及多个处理引擎的过滤产品不是真正的网闸产品，不符合物理隔离标准。其只是一个包过滤的安全产品，类似防火墙。注：单主机网闸多以单向网闸来掩人耳目。
问题：
隔离网闸是什么设备？
解答：
隔离网闸是一种由专用硬件在电路上切断网络之间的链路层连接，能够在物理隔离的网络之间进行适度的安全数据交换的网络安全设备。

问题：
隔离网闸是硬件设备还是软件设备？
解答：
隔离网闸是由软件和硬件组成的设备。

问题：
隔离网闸硬件设备是由几部分组成？
解答：
隔离网闸的硬件设备由三部分组成:外部处理单元、内部处理单元、隔离硬件。

问题：
单向传输用单主机网闸可以吗？
解答：
隔离网闸的组成必须是由物理的三部分组成，所以单主机（包括多处理器）的安全产品并不是网闸产品，无法完成物理隔离任务。其所谓的单向传输只是基于数据包的过滤，类似防火墙产品，并不是物理隔离产品。
问题：
为什么说隔离网闸能够防止未知和已知木马攻击？
解答：
通常见到的木马大部分是基于TCP的，木马的客户端和服务器端需要建立连接，而隔离网闸从原理实现上就切断所有的TCP连接，包括UDP、ICMP等其他各种协议，使各种木马无法通过隔离网闸进行通讯。从而可以防止未知和已知的木马攻击。

问题：
隔离网闸与防火墙有何不同？
解答：
主要有以下几点不同：
A、隔离网闸采用双主机系统，内端机与需要保护的内部网络连接，外端机与外网连接。这种双系统模式彻底将内网保护起来，即使外网被黑客攻击，甚至瘫痪，也无法对内网造成伤害。防火墙是单主机系统。
B、隔离网闸采用自身定义的私有通讯协议，避免了通用协议存在的漏洞。防火墙采用通用通讯协议即TCP/IP协议。
C、隔离网闸采用专用硬件控制技术保证内外网之间没有实时连接。而防火墙必须保证实时连接。
D、隔离网闸对外网的任何响应都保证是内网合法用户发出的请求应答，即被动响应，而防火墙则不会对外网响应进行判断，也即主动响应。这样，网闸就避免了木马和黑客的攻击。

问题：
隔离网闸能取代防火墙吗？
解答：
无论从功能还是实现原理上讲，隔离网闸和防火墙是完全不同的两个产品，防火墙是保证网络层安全的边界安全工具（如通常的非军事化区），而隔离网闸重点是保护内部网络的安全。因此两种产品由于定位的不同，因此不能相互取代。

问题：
隔离网闸通常布置在什么位置？
解答：
隔离网闸通常布置在两个安全级别不同的两个网络之间，如信任网络和非信任网络，管理员可以从信任网络一方对安全隔离网闸进行管理。

问题：
隔离网闸是否可以在网络内部使用？
解答：
可以，网络内部安全级别不同的两个网络之间也可以安装隔离网闸进行隔离。

问题：
如果对应网络七层协议，隔离网闸是在哪一层断开？
解答：
如果针对网络七层协议，隔离网闸是在硬件链路层上断开。

问题：
有了防火墙和IDS，还需要隔离网闸吗？
解答：
防火墙是网络层边界检查工具，可以设置规则对内部网络进行安全防护，而IDS一般是对已知攻击行为进行检测，这两种产品的结合可以很好的保护用户的网络，但是从安全原理上来讲，无法对内部网络做更深入的安全防护。隔离网闸重点是保护内部网络，如果用户对内部网络的安全非常在意，那么防火墙和IDS再加上隔离网闸将会形成一个很好的防御体系。

问题：
隔离网闸适用于什么样的场合？
解答：
第1种场合：涉密网与非涉密网之间。
第2种场合：局域网与互联网之间。有些局域网络，特别是政府办公网络，涉及敏感信息，有时需要与互联网在物理上断开，用物理隔离网闸是一个常用的办法。
第3种场合：办公网与业务网之间
由于办公网络与业务网络的信息敏感程度不同，例如，银行的办公网络和银行业务网络就是很典型的信息敏感程度不同的两类网络。为了提高工作效率，办公网络有时需要与业务网络交换信息。为解决业务网络的安全，比较好的办法就是在办公网与业务网之间使用物理隔离网闸，实现两类网络的物理隔离。
第4种场合：电子政务的内网与专网之间
在电子政务系统建设中，要求政府内网与外网之间用逻辑隔离，在政府专网与内网之间用物理隔离。现常用的方法是用物理隔离网闸来实现。
第5种场合：业务网与互联网之间
电子商务网络一边连接着业务网络服务器，一边通过互联网连接着广大民众。为了保障业务网络服务器的安全，在业务网络与互联网之间应实现物理隔离。

⑧ 网关与防火墙的区别

简单点来说，路由器是网络间数据交换的设备，防火墙是局域网对外数据交换过滤设备。
路由器（router）又称网关设备（gateway），是连接因特网中各局域网、广域网的设备。一般是在第三层，即网络层下工作。成为各种骨干网内部连接、骨干网间互联和骨干网与互联网互联互通业务的主要设备。
防火墙（firewall），也称防护墙，它是一种位于内部网络与外部网络之间的网络安全系统。一项信息安全的防护系统，依照特定的规则，来允许或是限制传输的数据通过。防火墙可以是一种硬件、固件或者软件，例如专用防火墙设备就是硬件形式的防火墙，包过滤路由器是嵌有防火墙固件的路由器，而代理服务器等软件就是软件形式的防火墙。
从结构上来分，防火墙有两种：即代理主机结构和路由器+过滤器结构，后一种结构如下所示：内部网络过滤器（filter）路由器（router）internet
从原理上来分，防火墙则可以分成4种类型：特殊设计的硬件防火墙、数据包过滤型、电路层网关和应用级网关。安全性能高的防火墙系统都是组合运用多种类型防火墙，构筑多道防火墙“防御工事”。

⑨ 网闸的竞争力

1.概念：在一个受保护的网络与Internet之间，或与其他的网络之间，用来限制其存取的一个或一组元件，此元件可以是装在一般PC或是Server上的软件或是经过特殊设计的硬件设备。
2.为什麼需要防火墙？

A：Internet防火墙主要是为了防范黑客三种蓄意破坏的方式：

（1）入侵：最常见的破坏方式，入侵后就可以正当使用电脑。入侵者希望自己能变成合法的使用者，任意使用电脑。
（2）拒绝服务：最容易且不直接破坏系统的方式，黑客只要发出如洪水般的垃圾封包就可以瘫痪某部电脑，使得系统无法正常提供服务。

（3）资讯窃盗：黑客窃取使用者的帐号及密码，就可以进入电脑窃取所需的资讯。

3.防火墙能作些什麼？

（1）防火墙是保全决策的重点
防火墙为一个咽喉点，所有进入和出去的传输都必须通过这个狭窄、唯一的检查点，在网路安全防护上，防火墙提供非常大的杠杆效益，因为它把安全措施集中在这个检查点上。

（2）防火墙可以执行保全政策
防火墙强制执行站台的保全政策，只让『核准的』服务通过，而这些服务设定在Policy中。

（3）防火墙能有效率的记录Internet的活动
由於所有的传输都经过防火墙，所以它成为收集系统和网路的使用或误用资讯的最佳地点。

（4）防火墙可以减少网路暴露的危机
防火墙可以使得在防火墙内部的伺服主机与外界网路隔绝，避免有问题的封包影响到内部主机的安全。
4.防火墙无法作些什麼？
（1）防火墙管不到内部恶人
如果恶人已经在防火墙内可以无须接近防火墙，就可以偷窃资料、损坏硬体和软体，并巧妙的修改程式。内部威胁需要内部安全措施，例如机房安全管理措施及人员训练

（2）防火墙管不到不经过它的连线
对於不经过防火墙的传输，防火墙就无法发挥作用。例如某些站台允许直接通到内部主机的拨入存取或是技术及系统管理者会为他们自己设置进入网路的『后门』等。

（3）防火墙无法防范全新的威胁
防火墙的设计是为了防范已知的威胁，一个设计完善的防火墙或许可以防范一些新威胁，如：除了少数可靠的服务外，拒绝一切其他的服务就可以防止使用者设置新的极不安全的服务。

（4）防火墙无法防范病毒
防火墙无法防范PC和Macintosh病毒进入网路，虽然防火墙会就来源位址、目的位址及port号码作扫描，但不是细部资料，且使用最精巧的封包过滤或代理软体对於防火墙而言也不太实际。