专外网信息交互技术方案(修正)参照.pdfVIP

专网与外网 信息交互技术方案 目 录 一、 安全隔离与信息交换系统（网闸）解决方案 3 1.1 技术实现 3 1.2 功能描述 5 1.3 产品介绍 5 1.4 产品特性 5 1.5 解决方案 6 二、 外网防火墙解决方案 . 10 1.1 税局需求说明 10 1.2 安全解决方案 10 1.2.1 网络拓扑图 10 1.2.2 网络安全解决方案陈述 11 2 一、 安全隔离与信息交换系统（网闸）解决方案 专网业务涉密网与办公业务非涉密网间，根据业务及应用特点，以需求为 导向，以应用为核心，以方便税务人员为最终目的，利用先进理念和技术，以 提高工作效率，充分利用现有资源和技术力量，实现系统的计算机网络化处理 和应用，根据实际存在数据内外网交换的需求和国家相关主管部门的要求，在 充分做到安全保证的前提下，允许非涉密数据在两个网络间交换。 1.1 技术实现 安全隔离与信息交换系统（网闸）的工作基于人工信息交换的操作模式， 即由内外网主机模块分别负责接收来自所连接网络的访问请求，两模块间没有 直接的物理连接，形成一个物理隔断，从而保证可信网和非可信网之间没有数 据包的交换，没有网络连接的建立。在此前提下，通过专有硬件实现网络间信 息的实时交换。这种交换并不是数据包的转发，而是应用层数据的静态读写操 作，因此可信网的用户可以通过安全隔离与信息交换系统（网闸）放心的访问 非可信网的资源，而不必担心可信网的安全受到影响。 信息通过网闸传递需经过多个安全模块的检查，以验证被交换信息的合法 性。当访问请求到达内外网主机模块时，首先由网闸实现 TCP 连接的终结，确 保 TCP/IP 协议不会直接或通过代理方式穿透网闸；然后，内外网主机模块会依 据安全策略对访问请求进行预处理，判断是否符合访问控制策略，并依据 RFC 或定制策略对数据包进行应用层协议检查和内容过滤，检验其有效载荷的合法 性和安全性。一旦数据包通过了安全检查，内外网主机模块会对数据包进行格 式化，将每个合法数据包的传输信息和传输数据分别转换成专有格式数据，存 放在缓冲区等待被隔离交换模块处理。这种 “静态 ”的数据形态不可执行，不依 赖于任何通用协议，只能被网闸的内部处理机制识别及处理，因此可避免遭受 利用各种已知或未知网络层漏洞的威胁。如图 5－51 所示： 图示 一 -51 安全隔离与信息交换系统（网闸）原理示意图 安全隔离与信息交换系统（网闸）通过专有的隔离交换卡实现内外网主机 模块的缓冲区内存映射功能，将指定区域的数据复制到对端相应的区域，完成 数据的交换。隔离交换卡内嵌安全芯片，采用高速全双工流水线设计，内部吞 吐速率达 2Gbps，完全可以满足高速数据交换的需要。 隔离交换模块固化控制逻辑，与内外网模块间只存在内存缓冲区的读写操 作，没有任何网络协议和数据包的转发。隔离交换子系统采用互斥机制，在读 写一端主机模块的数据前先中止对另一端的操作，确保隔离交换系统不会同时 对内外网主机模块的数据进行处理，以保证在任意时刻可信网与非可信网间不 存在链路层通路，实现网络的安全隔离。 当内外网主机模块通过隔离交换模块接收到来自另一端的