什么是网闸？

网闸的定义

1. 网闸是使用带有多种控制功能的固态开关读写介质，连接两个独立主机系统的信息安全设备。
2. 由于两个独立的主机系统通过网闸进行隔离，使系统间不存在通信的物理连接、逻辑连接及信息传输协议，不存在依据协议进行的信息交换，而只有以数据文件形式进行的无协议摆渡。因此，网闸从物理上隔离、阻断了对内网具有潜在攻击可能的一切网络连接，使外部攻击者无法直接入侵、攻击或破坏内网，保障了内部主机的安全。

网闸就是要解决目前网络安全存在的下述问题：

1. 对操作系统的依赖，因为操作系统也有漏洞；
2. 对TCP/IP协议的依赖，而TCP/IP协议有漏洞；
3. 解决通信连接的问题，内网和外网直接连接，存在基于通信的攻击；
4. 应用协议的漏洞，如非法的命令和指令等。

网闸的指导思想与防火墙有下述很大的不同。
（1）防火墙的思路是在保障互联互通的前提下，尽可能安全；
（2）网闸的思路是在保证必须安全的前提下，尽可能互联互通，如果不安全则隔离断开。

网闸应用定位有哪些？

1. 涉密网与非涉密网之间。有些政府办公网络涉及敏感信息，当它与外部非涉密网连接的时候可以用单向物理隔离网闸将两者隔开。
2. 局域网与互联网之间（内网与外网之间）。有些局域网络，特别是政府办公网络，涉及政府敏感信息，有时需要与互联网在逻辑上断开，物理隔离网闸是一个常用的办法。
3. 办公网与业务网之间。由于办公网络与业务网络的信息敏感程度不同，例如，银行的办公网络和银行业务网络就是很典型的信息敏感程度不同的两类网络。为了提高工作效率，办公网络有时需要与业务网络交换信息。为解决业务网络的安全，比较好的办法就是在办公网与业务网之间使用物理隔离网闸，实现两类网络的逻辑隔离。
4. 电子政务的内网与专网之间。在电子政务系统建设中要求政府内网与外网之间用逻辑隔离，在政府专网与内网之间用逻辑隔离。现常用的方法是用物理隔离网闸来实现。
5. 业务网与互联网之间。电子商务网络一边连接着业务网络服务器，一边通过互联网连接着广大用户。为了保障业务网络服务器的安全，在业务网络与互联网之间应实现逻辑隔离。

防火墙和网闸的区别：
防火墙最终目的是为了内网的安全防护，防止外网对内网的攻击，同时对内网访问互联网的行为进行控制。而网闸的工作原理是信息摆渡，也就是可以实现完全隔离的不同网段之间的有条件访问，这是防火墙实现不了的。举个例子说，如果你有两个网段想互相访问，通过防火墙设置的话只是通过策略和路由实现，而通过网闸的话是用它自己的协议重新封装ip包再进行访问。网闸因为是用自己的协议重新封装ip包，所以处理数据多，速度慢。

有了防火墙和IDS，还需要安全隔离网闸吗？
防火墙是网络层边界检查工具，可以设置规则对内部网络进行安全防护，而IDS一般是对已知攻击行为进行检测，这两种产品的结合可以很好的保护用户的网络，但是从安全原理上来讲，无法对内部网络做更深入的安全防护。安全隔离网闸重点是保护内部网络，如果用户对内部网络的安全非常在意，那么防火墙和IDS再加上安全隔离网闸将会形成一个很好的防御体系。

总结：
网闸的防护效果，强烈依赖于未公开的文件格式和未公开的自有协议。目前的网闸对已知的病毒，木马和远程攻击工具都有比较不错的防御效果。但如果攻击者在理解网闸的工作原理的前提下，有针对性地构造恶意程序，就有可能削弱网闸的防护能力，甚至穿透网闸，进而借助网闸设备构建起一条攻击路径。