合眾單向光閘文書(shū)

...wd......wd......wd...合眾單向光閘白皮書(shū)Version7.0杭州合眾數(shù)據(jù)技術(shù)2015年目錄1.背景概述12.產(chǎn)品用途12.1.從互聯(lián)網(wǎng)采集信息或發(fā)布信息至互聯(lián)網(wǎng)的用戶(hù)12.2.非涉密網(wǎng)向涉密網(wǎng)單向傳輸?shù)挠脩?hù)23.產(chǎn)品組成24.工作原理35.產(chǎn)品主要功能45.1.文件單向?qū)雽?dǎo)出45.2.數(shù)據(jù)庫(kù)單向同步65.3.單向UDP75.4.數(shù)據(jù)恢復(fù)76.產(chǎn)品特點(diǎn)76.1.絕對(duì)物理單向，防止信息泄密86.2.沒(méi)有丟包86.3.通量大86.4.支持?jǐn)?shù)據(jù)庫(kù)同步86.5.流量控制86.6.抗故障能力8背景概述計(jì)算機(jī)網(wǎng)絡(luò)的開(kāi)放性產(chǎn)生了許多安全問(wèn)題，網(wǎng)絡(luò)攻擊、信息泄漏、網(wǎng)上犯罪層出不窮。而采用以防火墻、網(wǎng)閘為核心的網(wǎng)絡(luò)邊界防御體系只能夠滿(mǎn)足信息化建設(shè)的一般性安全需求，卻難以解決涉密信息系統(tǒng)等重要網(wǎng)絡(luò)的保護(hù)問(wèn)題。對(duì)于涉密網(wǎng)絡(luò)的保護(hù)，我國(guó)歷來(lái)采用了物理斷開(kāi)的方法，國(guó)家保密局在《計(jì)算機(jī)信息系統(tǒng)國(guó)際聯(lián)網(wǎng)保密管理規(guī)定》中將涉密信息系統(tǒng)的安全防御要求定格為與任何非涉密信息系統(tǒng)必須“物理斷開(kāi)〞。按照國(guó)家保密局的要求，如果涉密網(wǎng)需要與國(guó)際互聯(lián)網(wǎng)交換數(shù)據(jù)，只能采用手工拷貝的方式，除此之外，沒(méi)有其他可行的方法。但是許多政府部門(mén)所需要的根基數(shù)據(jù)往往來(lái)自互聯(lián)網(wǎng)。同時(shí)為了滿(mǎn)足向服務(wù)型政府轉(zhuǎn)型的要求，各級(jí)政府部門(mén)也必須加強(qiáng)對(duì)外服務(wù)的力度，需要為社會(huì)公眾提供信息查詢(xún)、在線審批、請(qǐng)求服務(wù)等新型應(yīng)用。形勢(shì)要求我們，在保證安全的前提下，積極探索解決涉密網(wǎng)與互聯(lián)網(wǎng)數(shù)據(jù)傳輸問(wèn)題的方案。合眾公司針對(duì)政府部門(mén)互聯(lián)網(wǎng)傳輸鏈路數(shù)據(jù)交換的需求，根據(jù)目前國(guó)內(nèi)外最新的技術(shù)成果，專(zhuān)門(mén)研發(fā)了合眾單向光閘這一創(chuàng)新產(chǎn)品，采用分光鏡像的原理解決涉密網(wǎng)絡(luò)與非涉密網(wǎng)絡(luò)之間的互聯(lián)問(wèn)題。產(chǎn)品用途合眾單向光閘是采用分光鏡像技術(shù)實(shí)現(xiàn)的用于單向數(shù)據(jù)傳輸?shù)母綦x設(shè)備，主要用來(lái)解決政府部門(mén)網(wǎng)絡(luò)與外部公共網(wǎng)絡(luò)之間存在的單向數(shù)據(jù)傳輸需求。它采用分光鏡像的原理，通過(guò)分光器將源主機(jī)上的數(shù)據(jù)鏡像到目標(biāo)主機(jī)上，最終實(shí)現(xiàn)數(shù)據(jù)的單向傳輸。合眾單向光閘主要適合如下的用戶(hù)：從互聯(lián)網(wǎng)采集信息或發(fā)布信息至互聯(lián)網(wǎng)的用戶(hù)有很多用戶(hù)需要從互聯(lián)網(wǎng)上采集信息或?qū)⒈締挝粌?nèi)部的信息發(fā)布在互聯(lián)網(wǎng)上供其他單位或社會(huì)公眾獲知。為了保護(hù)自身網(wǎng)絡(luò)和應(yīng)用系統(tǒng)的安全，保證不發(fā)生信息泄露安全事件，因此需要采用單向數(shù)據(jù)傳輸設(shè)備。而合眾單向光閘基于光傳輸?shù)膯蜗蛐员ＷC數(shù)據(jù)傳輸從物理層面而言就是單向的，反向絕無(wú)傳輸?shù)目赡苄?，因此能夠保證沒(méi)有信息泄密的可能。非涉密網(wǎng)向涉密網(wǎng)單向傳輸?shù)挠脩?hù)根據(jù)國(guó)家保密局的規(guī)定，非涉密網(wǎng)與涉密網(wǎng)進(jìn)展數(shù)據(jù)交換時(shí)，絕對(duì)制止高等級(jí)網(wǎng)絡(luò)的涉密數(shù)據(jù)流向低等級(jí)網(wǎng)絡(luò)。因此，非涉密網(wǎng)與涉密網(wǎng)數(shù)據(jù)交換只能采用單向傳輸方式。合眾單向光閘基于光傳輸?shù)膯蜗蛐员ＷC數(shù)據(jù)傳輸從物理層面而言就是單向的，反向絕無(wú)傳輸?shù)目赡苄?，因此能夠保證涉密網(wǎng)沒(méi)有信息泄密的可能。產(chǎn)品組成合眾單向光閘是一種基于分光技術(shù)的數(shù)據(jù)復(fù)原裝置，它由兩臺(tái)計(jì)算機(jī)、一個(gè)分光器等局部組成。它采用分光鏡像的原理，通過(guò)分光器將源主機(jī)上的數(shù)據(jù)鏡像到目標(biāo)主機(jī)上，最終實(shí)現(xiàn)數(shù)據(jù)的單向傳輸。合眾單向光閘有別于傳統(tǒng)單向網(wǎng)閘，它在邏輯上由三臺(tái)主機(jī)構(gòu)成，即處于外網(wǎng)端的源主機(jī)上存在兩個(gè)不同的光卡邏輯上別離成發(fā)送主機(jī)和接收主機(jī)，光信號(hào)由發(fā)送主機(jī)發(fā)送至分光器，而接收主機(jī)通過(guò)分光器接收一路光信號(hào)并復(fù)原成數(shù)據(jù)，通過(guò)內(nèi)置的數(shù)據(jù)確認(rèn)機(jī)制〔數(shù)據(jù)簽名和收發(fā)確認(rèn)校驗(yàn)方式〕來(lái)保證數(shù)據(jù)傳輸是否正確和完整。工作原理圖1分光數(shù)據(jù)復(fù)原系統(tǒng)原理圖合眾單向光閘是一種基于分光技術(shù)的數(shù)據(jù)復(fù)原裝置，它由兩臺(tái)計(jì)算機(jī)、一個(gè)分光器等局部組成。它采用分光鏡像的原理，通過(guò)分光器將源主機(jī)上的數(shù)據(jù)鏡像到目標(biāo)主機(jī)上，最終實(shí)現(xiàn)數(shù)據(jù)的單向傳輸。圖1分光數(shù)據(jù)復(fù)原系統(tǒng)原理圖如以下圖，合眾單向光閘由源主機(jī)、目標(biāo)主機(jī)和分光器構(gòu)成。分光器是組建光通道網(wǎng)絡(luò)的一個(gè)組件，是一個(gè)連接光纜終端設(shè)備(OLT)和光接收節(jié)點(diǎn)〔ONU〕的無(wú)源設(shè)備，它的功能是分發(fā)下行數(shù)據(jù)。分光器帶有一個(gè)上行光接口，和假設(shè)干個(gè)下行光接口，從上行光接口過(guò)來(lái)的光信號(hào)被分配到所有的下行光接口傳輸出去。合眾單向光閘的源主機(jī)安裝在外部網(wǎng)絡(luò)中，目標(biāo)主機(jī)安裝在內(nèi)部網(wǎng)絡(luò)中。源主機(jī)上有兩個(gè)光通道網(wǎng)卡，目標(biāo)主機(jī)上有一個(gè)光通道網(wǎng)卡；分光器的輸入端和源主機(jī)的一個(gè)光卡〔稱(chēng)為發(fā)送光卡〕的輸出端用一條單向光纖連接，使光信號(hào)可以從發(fā)送網(wǎng)卡的發(fā)送端發(fā)射到分光器的輸入端。源主機(jī)的另一個(gè)網(wǎng)卡〔稱(chēng)為接收光卡〕的輸入端和分光器的一個(gè)分光輸出端連接，接收光卡的輸出端與發(fā)送光卡的輸入端相連接。分光器的另一個(gè)輸出和目標(biāo)主機(jī)上的光通道網(wǎng)卡〔稱(chēng)為目標(biāo)光卡〕的輸入端一一相連。源主機(jī)上運(yùn)行兩個(gè)進(jìn)程：發(fā)送進(jìn)程和接收進(jìn)程。發(fā)送進(jìn)程通過(guò)發(fā)送光卡發(fā)送數(shù)據(jù)包。這些數(shù)據(jù)包被發(fā)送光卡轉(zhuǎn)換成光信號(hào)，從發(fā)送光卡的輸出端發(fā)出。而這一光信號(hào)被分光器分成2束與接收到的光信號(hào)一樣的光信號(hào)。其中一束光信號(hào)被源主機(jī)的接收光卡接收；另外一束光信號(hào)被目標(biāo)主機(jī)的目標(biāo)光卡接收。發(fā)送進(jìn)程將組裝好的數(shù)據(jù)塊通過(guò)發(fā)送光卡的輸出端發(fā)送，并檢查來(lái)自接收進(jìn)程的重發(fā)請(qǐng)求。如果沒(méi)有重發(fā)請(qǐng)求，則按照上述方法繼續(xù)發(fā)送下一個(gè)數(shù)據(jù)塊；如果收到重發(fā)請(qǐng)求，則重發(fā)這一塊數(shù)據(jù)塊，發(fā)送完重發(fā)的數(shù)據(jù)塊后再繼續(xù)發(fā)送待發(fā)送的其他數(shù)據(jù)塊。在目標(biāo)主機(jī)上安裝有光通道網(wǎng)卡，其承受端與分光器的輸出端連接，從而可以收到來(lái)自分光器的光信號(hào)。這些光信號(hào)來(lái)自分光器輸入的光信號(hào)的分光，所以其內(nèi)容與源主機(jī)上發(fā)送光卡的輸出端發(fā)送的內(nèi)容是一致的。目標(biāo)主機(jī)上的目標(biāo)接收進(jìn)程將光通道網(wǎng)卡上的接收到的光信號(hào)復(fù)原為數(shù)據(jù)塊，并組裝成與源端一致的數(shù)據(jù)庫(kù)記錄或數(shù)據(jù)文件。產(chǎn)品主要功能合眾單向光閘主要實(shí)現(xiàn)數(shù)據(jù)的單向?qū)牖驅(qū)С?，根?jù)導(dǎo)入導(dǎo)出的數(shù)據(jù)不同，主要有三種應(yīng)用功能：一是靜態(tài)文件的單向?qū)?；二是?shù)據(jù)庫(kù)的單向?qū)耄蝗菙?shù)據(jù)恢復(fù)。三種應(yīng)用如下：文件單向?qū)雽?dǎo)出靜態(tài)文件通常是指在物理存儲(chǔ)介質(zhì)〔如硬盤(pán)、光盤(pán)、優(yōu)盤(pán)、軟盤(pán)等〕中創(chuàng)立及使用的文件。這些文件通過(guò)FTP、Windows映射等方式可以作為合眾單向光閘導(dǎo)入導(dǎo)出的文件。靜態(tài)文件單向?qū)氲牡湫筒渴饒?chǎng)景如下所示：通過(guò)合眾單向光閘能實(shí)現(xiàn)以下文件單向傳輸：基于FTP服務(wù)的靜態(tài)文件單向?qū)雽?dǎo)出；基于Windows映射的單向?qū)雽?dǎo)出；文本型數(shù)據(jù)庫(kù)文件〔如mdb、dbf文件〕的單向?qū)雽?dǎo)出。數(shù)據(jù)庫(kù)單向同步由于網(wǎng)絡(luò)構(gòu)造的劃分、安全域的不同及應(yīng)用需求的不同，在實(shí)際環(huán)境中經(jīng)常存在內(nèi)外網(wǎng)雙數(shù)據(jù)庫(kù)的應(yīng)用系統(tǒng)，這些應(yīng)用系統(tǒng)需要實(shí)現(xiàn)內(nèi)外網(wǎng)數(shù)據(jù)庫(kù)之間的數(shù)據(jù)內(nèi)容同步。合眾單向光閘的單向數(shù)據(jù)庫(kù)同步功能正適合這樣的應(yīng)用要求，這時(shí)的典型部署場(chǎng)景如下：通過(guò)合眾單向光閘能實(shí)現(xiàn)以下數(shù)據(jù)庫(kù)的單向傳輸：ORACLE8I/9I/10G/11G；SQLSERVER2000/2003/2008;SYBASEDB2單向UDP合眾單向光閘支持用戶(hù)應(yīng)用系統(tǒng)通過(guò)UDP協(xié)議連接，外主機(jī)收到UDP連接后單向同步到內(nèi)主機(jī)，內(nèi)主機(jī)將UDP連接轉(zhuǎn)發(fā)至指定IP地址。數(shù)據(jù)恢復(fù)針對(duì)單向傳輸?shù)膽?yīng)用特點(diǎn)，極少情況下可能產(chǎn)生丟包現(xiàn)象，合眾單向光閘提供丟包數(shù)據(jù)的方便恢復(fù)功能。當(dāng)發(fā)生丟包后，能知道丟了哪些數(shù)據(jù)的問(wèn)題，并能在人工協(xié)作下比擬方便的進(jìn)展數(shù)據(jù)恢復(fù)?；謴?fù)的方式為以下三種：碎片恢復(fù)：指定某條記錄或某個(gè)文件單獨(dú)進(jìn)展恢復(fù)；起點(diǎn)恢復(fù)：從某個(gè)序列號(hào)重新開(kāi)場(chǎng)恢復(fù)；全部恢復(fù)：將源數(shù)據(jù)全部同步一次。產(chǎn)品特點(diǎn)目前市場(chǎng)主要的單向網(wǎng)閘就是采用數(shù)據(jù)二極管技術(shù)來(lái)實(shí)現(xiàn)數(shù)據(jù)單向傳輸?shù)木W(wǎng)閘。單向網(wǎng)閘是把通訊的收、發(fā)兩個(gè)鏈路完全分開(kāi)，發(fā)送方只管發(fā)送數(shù)據(jù)，接收方只管接收數(shù)據(jù)，至于數(shù)據(jù)是否有錯(cuò)誤、是否完整都不去管它，反向沒(méi)有數(shù)據(jù)通道也沒(méi)有控制通道，完全處于盲狀態(tài)。雖然單向網(wǎng)閘采用了發(fā)送冗余校驗(yàn)的方式來(lái)對(duì)抗傳輸錯(cuò)誤，能夠起到一定的防數(shù)據(jù)喪失和數(shù)據(jù)錯(cuò)誤的效果，但是由于單向網(wǎng)閘沒(méi)有任何交互式的控制協(xié)議，數(shù)據(jù)傳輸?shù)囊恢滦院屯暾员ＷC還是不具備的。也就是說(shuō)，采用單向網(wǎng)閘不能保證所傳輸?shù)臄?shù)據(jù)一定正確。合眾單向光閘有別于數(shù)據(jù)二極管單向網(wǎng)閘，它在邏輯上由三臺(tái)主機(jī)構(gòu)成，即處于外網(wǎng)端的源主機(jī)上存在兩個(gè)不同的光卡邏輯上別離成發(fā)送主機(jī)和接收主機(jī)，光信號(hào)由發(fā)送主機(jī)發(fā)送至分光器，而接收主機(jī)通過(guò)分光器接收一路光信號(hào)并復(fù)原成數(shù)據(jù)，通過(guò)內(nèi)置的數(shù)據(jù)確認(rèn)機(jī)制〔數(shù)據(jù)簽名和收發(fā)確認(rèn)校驗(yàn)方式〕來(lái)保證數(shù)據(jù)傳輸是否正確和完整。從原理上而言，處于內(nèi)網(wǎng)側(cè)的目標(biāo)主機(jī)與接收主機(jī)收到同一個(gè)分光器分送的兩路光信號(hào)，如果接收主機(jī)沒(méi)有收到會(huì)通知發(fā)送主機(jī)重發(fā)數(shù)據(jù)，這樣目標(biāo)主機(jī)也就能夠收到重發(fā)的數(shù)據(jù)了。該原理極大的提高了合眾單向光閘數(shù)據(jù)傳輸?shù)目煽啃?。由于采用了分光鏡像技術(shù)，合眾單向光閘的穩(wěn)定性和準(zhǔn)確性相比數(shù)據(jù)二極管單向網(wǎng)閘更勝一籌。合眾單向光閘相比于單向網(wǎng)閘的優(yōu)點(diǎn)主要有：絕對(duì)物理單向，防止信息泄密合眾單向光閘采用分光器鏡像，物理上就是單向的，絕對(duì)沒(méi)有反向傳輸?shù)目赡?。沒(méi)有丟包由于合眾單向光閘采用邏輯三主機(jī)模型〔發(fā)送主機(jī)、接收主機(jī)、目標(biāo)主機(jī)〕，因此丟包率小，而且即使有丟包通過(guò)程序自身的糾錯(cuò)功能就可以糾錯(cuò)