网闸—物理隔离网闸常见概念问题有什么？

物理隔离网闸需要哪些“许可证”？

答：根据我国计算机网络安全管理的规定，物理隔离网闸需要取得公安部、国家保密局和中国信息安全测评认证中心的安全产品的测评认证证书。在此基础上，进入军事领域，还需要军队测评认证中心的认证证书。

物理隔离网闸是硬件还是软件解决方案？

答：物理隔离网闸包含两个独立的主机系统和一套固态开关读写介质系统，属于硬件解决方案。但是物理隔离可以通过模块定制来满足行业个性化的需求。

物理隔离网闸是不是防火墙的一种？

答：物理隔离网闸不是防火墙的一种。就像路由器中也带有访问控制的功能一样，但路由器不是防火墙的一种。防火墙是检查设备；物理隔离网闸是隔离设备。防火墙的逻辑是在保证连接连通的情况下尽可能安全；物理隔离的逻辑则是如果不能保证安全的情况下则断开。

物理隔离网闸与物理隔离卡是不是一回事？

答：不是一回事。物理隔离卡是物理隔离的低级实现形式，一个物理隔离卡只能管一台个人计算机，甚至只可能在Windows环境下工作，每次切换都需要开关机一次。物理隔离网闸是物理隔离的高级实现形式，网闸可以管理整个网络，不需要开关机。网闸实现后，原则上不再需要物理隔离卡。

物理隔离网闸与安全隔离网闸是不是一回事？

答：不是一回事。安全隔离是一种逻辑隔离，防火墙就是一种逻辑隔离，因此防火墙也是一种安全隔离。有些厂商对安全隔离增加了一些特点，如采用了双主机结构，但双主机之间却是通过包来转发的。无论双主机之间采用了多么严格的安全检查，但只要是包转发，就存在基于包的安全漏洞，存在对包的攻击。这在本质上同两个防火墙串联并无本质的差别。

安全隔离网闸存在哪些形式？

答：从目前已经发现的安全隔离网闸，包括以下类型：通过串口或并口来实现双主机之间的包转发，通过USB或1394或firewire（火线）等方式来实现双主机之间的包转发，甚至是直接通过以太线来实现双主机之间的包转发，以及其他任何形式的通信方式来实现双主机之间的包转发如专用ASIC开关电路，ATM，Myrinet卡等，都是安全隔离网闸，但都不是物理隔离网闸。

怎么在技术上区分物理隔离网闸和安全隔离网闸？

答：物理隔离网闸的主机之间，没有包转发，只有文件“摆渡”，没有协议存在，对固态介质只有读和写两个命令。安全隔离网闸的主机之间，是采用私有协议，专用协议，有的甚至是公有协议，来实现包转发，主机之间存在协议连接。

怎么在技术上区分物理隔离网闸和安全信息交换系统？

答：安全信息交换系统，从物理特征上作判断，通过以太协议将三套主机按系统方式连接起来，主机之间的通信可能采用了专用协议，也可能是私有协议，具有较强的深度检查功能。

是不是有开关就是物理隔离网闸？

答：不是。开关只是离散脉冲的概念，光有离散脉冲并不是物理隔离。只要采用了TCP/IP包的形式，IP包本身就是离散的，TCP可以控制保证在离散的基础上建立完整的连接。在FTP的应用中如断点续传技术就是一个例子，拨号上网掉线了，重新拨号，可以继续下载文件。通过开关将线路时断时通，并不妨碍物理的连接。如果没有TCP/IP协议，只是读写文件，断开则导致读写失败。因此，物理隔离必须建立在无协议的文件“摆渡”的基础上，这种情况下的开关才是物理隔离。

物理隔离网闸是指两个主机之间物理上是完全隔开的吗？

答：不是。有些人认为，物理隔离是指两个主机之间没有物理连接，是空气断开的。两个主机之间物理上隔开，并不表示是物理隔离。例如，两个主机之间通过无线连网，尽管在物理上是断开的。两个主机是真空断开，也可能是连接的，如卫星通信。物理隔离网闸是指两个主机之间，没有基于物理的通信连接。

到底什么是物理隔离网闸？

答：物理隔离网闸，是利用双主机形式，从物理上来隔离阻断潜在攻击的连接，其中包括一系列的阻断特征，如没有通信连接，没有命令，没有协议，没有TCP/IP连接，没有应用连接，没有包转发，只有文件“摆渡”，对固态介质只有读和写两个命令。其结果是无法攻击，无法入侵，无法破坏。

物理隔离网闸阻断了所有的连接，怎么交换信息？

答：计算机连网是为了信息交换和共享，但交换信息有很多种形式，连网只是其中的一种。在没有互联网的时代，信息照样交换。阻断了连接，完全可以通过其他形式来继续信息交换。大家比较能理解的方式，如从一台连网的计算机中，将数据拷贝复制，继续检查后，再拷贝复制到另外一台计算机中。其他的形式如复制（拷贝），数据摆渡，镜像，反射等。

应用代理也阻断了直接连接，也是物理隔离网闸吗？

答：不是。应用代理确实阻断了网络的直接连接，但不是物理隔离。因为应用代理虽说阻断了直接连接，但两个连接共享在一个主机上，存在入侵的威胁。当黑客通过扫描代理主机的操作系统漏洞，通过入侵代理主机本身，以代理主机为跳板，就可以利用建立代理主机和内部主机的连接来进行攻击。物理隔离网闸，采用了双主机结构，两级主机之间是阻断隔离的，即使黑客能够攻破外部主机，也无法入侵和攻击内部主机。

物理隔离网闸可以抵抗哪些攻击？

答：物理隔离网闸可以解决以下威胁：操作系统漏洞，入侵，基于TCP/IP漏洞的攻击，基于协议漏洞的攻击，木马，基于隧道的攻击，基于文件的攻击（可选）等。这些是互联网目前存在的绝大部分主要威胁。

物理隔离网闸是如何防止操作系统漏洞的？

答：双主机之间是物理阻断的，无连接的，因此，黑客不可能扫描内部网络的所有主机的操作系统漏洞，无法攻击内部，包括物理隔离网闸的内部主机。

物理隔离网闸是如何防止网络入侵的？

答：物理隔离网闸的主机之间，无法建立连接，无法入侵。

物理隔离网闸是如何抵抗基于TCP/IP漏洞的攻击的？

答：物理隔离网闸的外部主机把TCP/IP协议全部剥离，以原始数据方式进行“摆渡”，因此，无法基于TCP/IP漏洞来进行攻击。同样，也无法基于UDP，ICMP，ARP等协议来进行攻击。

物理隔离网闸是如何抵抗基于协议漏洞的攻击的？

答：物理隔离网闸的外部主机，剥离了应用协议，以原始数据方式进行“摆渡”，因此，无法基于应用协议的漏洞来进行攻击。

物理隔离网闸是如何防止木马攻击的？

答：物理隔离网闸阻断了网络的所有连接，因此，没有OSI模型的link层，没有TCP、UDP，ICMP，ARP等协议，等于把木马变成了死马，因此对木马攻击是免疫的，无论是已知的还是未知的木马。

物理隔离网闸是如何防止基于隧道的攻击？

答：因为没有连接，因此无法建立隧道攻击。

物理隔离网闸是如何防止基于文件的攻击？

答：物理隔离网闸在理论上是完全可以防止基于文件的攻击，如病毒等。病毒一般依附在高级文件格式上，低级文件格式则不会有病毒，因此进行文件“摆渡”的时候，可以限制文件的类型，如只有文本文件才可以通过“摆渡”，这样就不会有病毒。但用户有时候会不方便，因此，定义为可眩另外一种方式，是剥离重组方式。剥离高级格式，就消除了病毒的载体，重组后的文件，不会再有病毒。这种方式会导致效率的下降，一些潜在的危险的格式可能会被禁止，导致一些不方便，因此是可眩

物理隔离网闸是中国特有的吗？

答：不是。美国，以色列，俄罗斯等国家很早就规定涉密网络要采用物理隔离。俄罗斯的Ry Jones，以色列的Buky Carmeli，Elad Baron，Daniel Steiner等人都是该领域的先驱，后者现在美国开公司。目前最大的物理隔离公司当属美国的Whalecommunications公司，Spearhead公司也不校

物理隔离网闸有哪些政策规定？

答：根据我国2000年1月1日起颁布实施的《计算机信息系统国际联网保密管理规定》第二章保密制度第六条的规定，"涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其它公共信息网络相连接，必须实行物理隔离"。涉密网络必须在物理隔离的基础上实现WWW浏览和自由收发E-mail。各级政府机关和涉密单位，必须将已建成的办公局域网同Internet或上一级专网实行物理隔离，正在建设的电子政务网络必须实现物理隔离。
除了党政军外，电力、铁道、金融、银行、证券、保险、税务、海关、水利、交通、民航、社保、石化等行业部门，要求在物理隔离的条件下实现安全的数据库数据交换。如国家经贸委令第30号《电网和电厂计算机监控系统及调度数据网络安全防护规定》，建立健全电力调度系统信息安全防护体系，将电网和电厂计算机监控系统与管理信息系统及办公自动化系统有效隔离，将调度专用数据网络与综合信息网络及外部因特网物理隔离，确保电网调度通讯系统安全、畅通。又如中国证监会颁布的《证券经营机构营业部信息系统技术管理规范》要求，采用硬三层网络结构，内、外网物理隔离，实现证券营业部行情网、交易网和办公网的隔离，系统安全，保密性高。其他行业和部门纷纷颁布建设规范和管理办法，要求使用物理隔离。

物理隔离网闸的速度很慢？

答：错。由于一些厂商在实现技术上的问题，很多人误以为物理隔离网闸的速度很慢。其实不是，目前中网的物理隔离的开关速度在理论上可以达到5120M的速度（5G）。为什么物理隔离的速度反而快了？因为没有复杂的协议，没有协议所带来的额外开销