合眾單向光閘白皮書

1、合眾單向光閘白皮書Version7.0杭州合眾數(shù)據(jù)技術(shù)有限公司2015年目錄1. 背景概述12. 產(chǎn)品用途12.1. 從互聯(lián)網(wǎng)采集信息或發(fā)布信息至互聯(lián)網(wǎng)的用戶12.2. 非涉密網(wǎng)向涉密網(wǎng)單向傳輸?shù)挠脩?3. 產(chǎn)品組成24. 工作原理35. 產(chǎn)品主要功能45.1. 文件單向?qū)雽?dǎo)出45.2. 數(shù)據(jù)庫單向同步65.3. 單向UDP75.4. 數(shù)據(jù)恢復(fù)76. 產(chǎn)品特點(diǎn)76.1. 絕對(duì)物理單向，防止信息泄密86.2. 沒有丟包86.3. 通量大86.4. 支持?jǐn)?shù)據(jù)庫同步86.5. 流量控制86.6. 抗故障能力8精選范本1 .背景概述計(jì)算機(jī)網(wǎng)絡(luò)的開放性產(chǎn)生了許多安全問題，網(wǎng)絡(luò)攻擊、信息泄漏、網(wǎng)上犯罪層

2、出不窮。而采用以防火墻、網(wǎng)閘為核心的網(wǎng)絡(luò)邊界防御體系只能夠滿足信息化建設(shè)的一般性安全需求，卻難以解決涉密信息系統(tǒng)等重要網(wǎng)絡(luò)的保護(hù)問題。對(duì)于涉密網(wǎng)絡(luò)的保護(hù)，我國歷來采用了物理斷開的方法，國家保密局在計(jì)算機(jī)信息系統(tǒng)國際聯(lián)網(wǎng)保密管理規(guī)定中將涉密信息系統(tǒng)的安全防御要求定格為與任何非涉密信息系統(tǒng)必須“物理斷開”。按照國家保密局的要求，如果涉密網(wǎng)需要與國際互聯(lián)網(wǎng)交換數(shù)據(jù)，只能采用手工拷貝的方式，除此之外，沒有其他可行的辦法。但是許多政府部門所需要的基礎(chǔ)數(shù)據(jù)往往來自互聯(lián)網(wǎng)。同時(shí)為了滿足向服務(wù)型政府轉(zhuǎn)型的要求，各級(jí)政府部門也必須加強(qiáng)對(duì)外服務(wù)的力度，需要為社會(huì)公眾提供信息查詢、在線審批、請(qǐng)求服務(wù)等新型應(yīng)用。形勢(shì)

3、要求我們，在保證安全的前提下，積極探索解決涉密網(wǎng)與互聯(lián)網(wǎng)數(shù)據(jù)傳輸問題的方案。合眾公司針對(duì)政府部門互聯(lián)網(wǎng)傳輸鏈路數(shù)據(jù)交換的需求，根據(jù)目前國內(nèi)外最新的技術(shù)成果，專門研發(fā)了合眾單向光閘這一創(chuàng)新產(chǎn)品，采用分光鏡像的原理解決涉密網(wǎng)絡(luò)與非涉密網(wǎng)絡(luò)之間的互聯(lián)問題。2 .產(chǎn)品用途合眾單向光閘是采用分光鏡像技術(shù)實(shí)現(xiàn)的用于單向數(shù)據(jù)傳輸?shù)母綦x設(shè)備，主要用來解決政府部門網(wǎng)絡(luò)與外部公共網(wǎng)絡(luò)之間存在的單向數(shù)據(jù)傳輸需求。它采用分光鏡像的原理，通過分光器將源主機(jī)上的數(shù)據(jù)鏡像到目標(biāo)主機(jī)上，最終實(shí)現(xiàn)數(shù)據(jù)的單向傳輸。合眾單向光閘主要適合如下的用戶：2.1. 從互聯(lián)網(wǎng)采集信息或發(fā)布信息至互聯(lián)網(wǎng)的用戶有很多用戶需要從互聯(lián)網(wǎng)上采集信息或

4、將本單位內(nèi)部的信息發(fā)布在互聯(lián)網(wǎng)上供其他單位或社會(huì)公眾獲知。為了保護(hù)自身網(wǎng)絡(luò)和應(yīng)用系統(tǒng)的安全，保證不發(fā)生信息泄露安全事件，因此需要采用單向數(shù)據(jù)傳輸設(shè)備。而合眾單向光閘基于光傳輸?shù)膯蜗蛐员ＷC數(shù)據(jù)傳輸從物理層面而言就是單向的，反向絕無傳輸?shù)目赡苄裕虼四軌虮ＷC沒有信息泄密的可能。2.2. 非涉密網(wǎng)向涉密網(wǎng)單向傳輸?shù)挠脩舾鶕?jù)國家保密局的規(guī)定，非涉密網(wǎng)與涉密網(wǎng)進(jìn)行數(shù)據(jù)交換時(shí)，絕對(duì)禁止高等級(jí)網(wǎng)絡(luò)的涉密數(shù)據(jù)流向低等級(jí)網(wǎng)絡(luò)。因此，非涉密網(wǎng)與涉密網(wǎng)數(shù)據(jù)交換只能采用單向傳輸方式。合眾單向光閘基于光傳輸?shù)膯蜗蛐员ＷC數(shù)據(jù)傳輸從物理層面而言就是單向的，反向絕無傳輸?shù)目赡苄?，因此能夠保證涉密網(wǎng)沒有信息泄密的可能。3 .產(chǎn)

5、品組成合眾單向光閘是一種基于分光技術(shù)的數(shù)據(jù)還原裝置，它由兩臺(tái)計(jì)算機(jī)、一個(gè)外網(wǎng)數(shù)據(jù)交換對(duì)象分光器 目標(biāo)主機(jī)（數(shù)據(jù)裝載服需器）內(nèi)網(wǎng)數(shù)據(jù)交換對(duì)象分光器等部分組成。它采用分光鏡像的原理，通過分光器將源主機(jī)上的數(shù)據(jù)鏡像到目標(biāo)主機(jī)上，最終實(shí)現(xiàn)數(shù)據(jù)的單向傳輸。合眾單向光閘合眾單向光閘有別于傳統(tǒng)單向網(wǎng)閘，它在邏輯上由三臺(tái)主機(jī)構(gòu)成，即處于外網(wǎng)端的源主機(jī)上存在兩個(gè)不同的光卡邏輯上分離成發(fā)送主機(jī)和接收主機(jī)，光信號(hào)由發(fā)送主機(jī)發(fā)送至分光器，而接收主機(jī)通過分光器接收一路光信號(hào)并還原成數(shù)據(jù)，通過內(nèi)置的數(shù)據(jù)確認(rèn)機(jī)制（數(shù)據(jù)簽名和收發(fā)確認(rèn)校驗(yàn)方式）來保證數(shù)據(jù)傳輸是否正確和完整。4 .工作原理合眾單向光閘是一種基于分光技術(shù)的數(shù)據(jù)還

6、原裝置，它由兩臺(tái)計(jì)算機(jī)、一個(gè)分光器等部分組成。它采用分光鏡像的原理，通過分光器將源主機(jī)上的數(shù)據(jù)鏡像到目標(biāo)主機(jī)上，最終實(shí)現(xiàn)數(shù)據(jù)的單向傳輸。如圖所示，合眾單向光閘由源主機(jī)、目標(biāo)主機(jī)和分光器構(gòu)成。分光器是組建光通道網(wǎng)絡(luò)的一個(gè)組件，是一個(gè)連接光纜終端設(shè)備（OLT）和光接收節(jié)點(diǎn)（ONU）的無源設(shè)備，它的功能是分發(fā)下行數(shù)據(jù)。分光器帶有一個(gè)上行光接口，和若干個(gè)下行光接口，從上行光接口過來的光信號(hào)被分配到所有的下行光接口傳輸出去。合眾單向光閘的源主機(jī)安裝在外部網(wǎng)絡(luò)中，目標(biāo)主機(jī)安裝在內(nèi)部網(wǎng)絡(luò)中。源主機(jī)上有兩個(gè)光通道網(wǎng)卡，目標(biāo)主機(jī)上有一個(gè)光通道網(wǎng)卡；分光器的輸入端和源主機(jī)的一個(gè)光卡（稱為發(fā)送光卡）的輸出端用一條單

7、向光纖連接，使光信號(hào)可以從發(fā)送網(wǎng)卡的發(fā)送端發(fā)射到分光器的輸入端。源主機(jī)的另一個(gè)網(wǎng)卡（稱為接收光卡）的輸入端和分光器的一個(gè)分光輸出端連接，接收光卡的輸出端與發(fā)送光卡的輸入端相連接。分光器的另一個(gè)輸出和目標(biāo)主機(jī)上的光通道網(wǎng)卡（稱為目標(biāo)光卡）的輸入端一一相連。源主機(jī)上運(yùn)行兩個(gè)進(jìn)程：發(fā)送進(jìn)程和接收進(jìn)程。發(fā)送進(jìn)程通過發(fā)送光卡發(fā)送數(shù)據(jù)包。這些數(shù)據(jù)包被發(fā)送光卡轉(zhuǎn)換成光信號(hào)，從發(fā)送光卡的輸出端發(fā)出。而這一光信號(hào)被分光器分成2束與接收到的光信號(hào)相同的光信號(hào)。其中一束光信號(hào)被源主機(jī)的接收光卡接收；另外一束光信號(hào)被目標(biāo)主機(jī)的目標(biāo)光卡接收。發(fā)送進(jìn)程將組裝好的數(shù)據(jù)塊通過發(fā)送光卡的輸出端發(fā)送，并檢查來自接收進(jìn)程的重發(fā)請(qǐng)求

8、。如果沒有重發(fā)請(qǐng)求，則按照上述方法繼續(xù)發(fā)送下一個(gè)數(shù)據(jù)塊；如果收到重發(fā)請(qǐng)求，則重發(fā)這一塊數(shù)據(jù)塊，發(fā)送完重發(fā)的數(shù)據(jù)塊后再繼續(xù)發(fā)送待發(fā)送的其他數(shù)據(jù)塊。在目標(biāo)主機(jī)上安裝有光通道網(wǎng)卡，其接受端與分光器的輸出端連接，從而可以收到來自分光器的光信號(hào)。這些光信號(hào)來自分光器輸入的光信號(hào)的分光，所以其內(nèi)容與源主機(jī)上發(fā)送光卡的輸出端發(fā)送的內(nèi)容是一致的。目標(biāo)主機(jī)上的目標(biāo)接收進(jìn)程將光通道網(wǎng)卡上的接收到的光信號(hào)還原為數(shù)據(jù)塊，并組裝成與源端一致的數(shù)據(jù)庫記錄或數(shù)據(jù)文件。5 .產(chǎn)品主要功能合眾單向光閘主要實(shí)現(xiàn)數(shù)據(jù)的單向?qū)牖驅(qū)С?，根?jù)導(dǎo)入導(dǎo)出的數(shù)據(jù)不同，主要有三種應(yīng)用功能：一是靜態(tài)文件的單向?qū)?；二是?shù)據(jù)庫的單向?qū)?；三是?shù)據(jù)

9、恢復(fù)。三種應(yīng)用如下：5.1. 文件單向?qū)雽?dǎo)由靜態(tài)文件通常是指在物理存儲(chǔ)介質(zhì)（如硬盤、光盤、優(yōu)盤、軟盤等）中創(chuàng)建及使用的文件。這些文件通過FTP、Windows映射等方式可以作為合眾單向光閘導(dǎo)入導(dǎo)出的文件。靜態(tài)文件單向?qū)氲牡湫筒渴饒?chǎng)景如下所示：文件赧務(wù)器數(shù)據(jù)泵盅服為養(yǎng)發(fā)送先通道接收光通道分光器舟光光15道敵據(jù)裝期暗籬文件那努器通過合眾單向光閘能實(shí)現(xiàn)以下文件單向傳輸：基于FTP服務(wù)的靜態(tài)文件單向?qū)雽?dǎo)出；基于Windows映射的單向?qū)雽?dǎo)出；文本型數(shù)據(jù)庫文件（如mdb、dbf文件）的單向?qū)雽?dǎo)出5.2. 數(shù)據(jù)庫單向同步由于網(wǎng)絡(luò)結(jié)構(gòu)的劃分、安全域的不同及應(yīng)用需求的不同，在實(shí)際環(huán)境中經(jīng)常存在內(nèi)外網(wǎng)

10、雙數(shù)據(jù)庫的應(yīng)用系統(tǒng)，這些應(yīng)用系統(tǒng)需要實(shí)現(xiàn)內(nèi)外網(wǎng)數(shù)據(jù)庫之間的數(shù)據(jù)內(nèi)容同步。合眾單向光閘的單向數(shù)據(jù)庫同步功能正適合這樣的應(yīng)用要求，這時(shí)的典型部署場(chǎng)景如下：發(fā)送先通道卷故證版道分光器分光光通道E福裝翌A(yù)班戰(zhàn)9Bqt；H1E1不通過合眾單向光閘能實(shí)現(xiàn)以下數(shù)據(jù)庫的單向傳輸：ORACLE 8I/9I/10G/11G ;SQL SERVER 2000/2003/2008;SYBASE6熱盅首盤晶器DB25.3. 單向UDP合眾單向光閘支持用戶應(yīng)用系統(tǒng)通過UDP協(xié)議連接，外主機(jī)收到UDP連接后單向同步到內(nèi)主機(jī)，內(nèi)主機(jī)將UDP連接轉(zhuǎn)發(fā)至指定IP地址。5.4. 數(shù)據(jù)恢復(fù)針對(duì)單向傳輸?shù)膽?yīng)用特點(diǎn)，極少情況下可能產(chǎn)生丟

11、包現(xiàn)象，合眾單向光閘提供丟包數(shù)據(jù)的方便恢復(fù)功能。當(dāng)發(fā)生丟包后，能知道丟了哪些數(shù)據(jù)的問題，并能在人工協(xié)作下比較方便的進(jìn)行數(shù)據(jù)恢復(fù)?；謴?fù)的方式為以下三種：碎片恢復(fù)：指定某條記錄或某個(gè)文件單獨(dú)進(jìn)行恢復(fù)；起點(diǎn)恢復(fù)：從某個(gè)序列號(hào)重新開始恢復(fù)；全部恢復(fù)：將源數(shù)據(jù)全部同步一次。6 .產(chǎn)品特點(diǎn)目前市場(chǎng)主要的單向網(wǎng)閘就是采用數(shù)據(jù)二極管技術(shù)來實(shí)現(xiàn)數(shù)據(jù)單向傳輸?shù)木W(wǎng)閘。單向網(wǎng)閘是把通訊的收、發(fā)兩個(gè)鏈路完全分開，發(fā)送方只管發(fā)送數(shù)據(jù)，接收方只管接收數(shù)據(jù)，至于數(shù)據(jù)是否有錯(cuò)誤、是否完整都不去管它，反向沒有數(shù)據(jù)通道也沒有控制通道，完全處于盲狀態(tài)。雖然單向網(wǎng)閘采用了發(fā)送冗余校驗(yàn)的方式來對(duì)抗傳輸錯(cuò)誤，能夠起到一定的防數(shù)據(jù)丟失和數(shù)據(jù)

12、錯(cuò)誤的效果，但是由于單向網(wǎng)閘沒有任何交互式的控制協(xié)議，數(shù)據(jù)傳輸?shù)囊恢滦院屯暾员ＷC還是不具備的。也就是說，采用單向網(wǎng)閘不能保證所傳輸?shù)臄?shù)據(jù)一定正確。合眾單向光閘有別于數(shù)據(jù)二極管單向網(wǎng)閘，它在邏輯上由三臺(tái)主機(jī)構(gòu)成，即處于外網(wǎng)端的源主機(jī)上存在兩個(gè)不同的光卡邏輯上分離成發(fā)送主機(jī)和接收主機(jī)，光信號(hào)由發(fā)送主機(jī)發(fā)送至分光器，而接收主機(jī)通過分光器接收一路光信號(hào)并還原成數(shù)據(jù)，通過內(nèi)置的數(shù)據(jù)確認(rèn)機(jī)制（數(shù)據(jù)簽名和收發(fā)確認(rèn)校驗(yàn)方式）來保證數(shù)據(jù)傳輸是否正確和完整。從原理上而言，處于內(nèi)網(wǎng)側(cè)的目標(biāo)主機(jī)與接收主機(jī)收到同一個(gè)分光器分送的兩路光信號(hào)，如果接收主機(jī)沒有收到會(huì)通知發(fā)送主機(jī)重發(fā)數(shù)據(jù)，這樣目標(biāo)主機(jī)也就能夠收到重發(fā)的數(shù)據(jù)了。該原理極大的提高了合眾單向光閘數(shù)據(jù)傳輸?shù)目煽啃?。由于采用了分光鏡像技術(shù)，合眾單向光閘的穩(wěn)定性和準(zhǔn)確性相比數(shù)據(jù)二極管單向網(wǎng)閘更勝一籌。合眾單向光閘相比于單向網(wǎng)閘的優(yōu)點(diǎn)主要有：6.1. 絕對(duì)物理單向，防止信息泄密合眾單向光閘采用分光器鏡像，物理上就是單向的，絕對(duì)沒有反向傳輸?shù)目赡堋?.2. 沒有丟包由于合眾單向光閘采用邏輯三主機(jī)模型（發(fā)送主機(jī)、接收主機(jī)、目標(biāo)主機(jī)），因此丟包率小，而且即使有丟包通過程序自身的糾錯(cuò)功能就可以糾錯(cuò)，因此，基本上能夠保證絕不丟包。6.3. 通