专外网信息交互技术方案(修正).docVIP

PAGE PAGE 2 专网与外网 信息交互技术方案 目 录 TOC \o 1-3 \h \z \u HYPERLINK \l _Toc448321376 一、 安全隔离与信息交换系统（网闸）解决方案 PAGEREF _Toc448321376 \h 3 HYPERLINK \l _Toc448321377 1.1 技术实现 PAGEREF _Toc448321377 \h 3 HYPERLINK \l _Toc448321378 1.2 功能描述 PAGEREF _Toc448321378 \h 5 HYPERLINK \l _Toc448321379 1.3 产品介绍 PAGEREF _Toc448321379 \h 5 HYPERLINK \l _Toc448321380 1.4 产品特性 PAGEREF _Toc448321380 \h 5 HYPERLINK \l _Toc448321381 1.5 解决方案 PAGEREF _Toc448321381 \h 6 HYPERLINK \l _Toc448321382 二、 外网防火墙解决方案 PAGEREF _Toc448321382 \h 10 HYPERLINK \l _Toc448321383 1.1税局需求说明 PAGEREF _Toc448321383 \h 10 HYPERLINK \l _Toc448321384 1.2安全解决方案 PAGEREF _Toc448321384 \h 10 HYPERLINK \l _Toc448321385 1.2.1网络拓扑图 PAGEREF _Toc448321385 \h 10 HYPERLINK \l _Toc448321386 1.2.2网络安全解决方案陈述 PAGEREF _Toc448321386 \h 11 PAGE 12 ____________________________________________________________________________________________ 安全隔离与信息交换系统（网闸）解决方案 专网业务涉密网与办公业务非涉密网间，根据业务及应用特点，以需求为导向，以应用为核心，以方便税务人员为最终目的，利用先进理念和技术，以提高工作效率，充分利用现有资源和技术力量，实现系统的计算机网络化处理和应用，根据实际存在数据内外网交换的需求和国家相关主管部门的要求，在充分做到安全保证的前提下，允许非涉密数据在两个网络间交换。 技术实现 安全隔离与信息交换系统（网闸）的工作基于人工信息交换的操作模式，即由内外网主机模块分别负责接收来自所连接网络的访问请求，两模块间没有直接的物理连接，形成一个物理隔断，从而保证可信网和非可信网之间没有数据包的交换，没有网络连接的建立。在此前提下，通过专有硬件实现网络间信息的实时交换。这种交换并不是数据包的转发，而是应用层数据的静态读写操作，因此可信网的用户可以通过安全隔离与信息交换系统（网闸）放心的访问非可信网的资源，而不必担心可信网的安全受到影响。 信息通过网闸传递需经过多个安全模块的检查，以验证被交换信息的合法性。当访问请求到达内外网主机模块时，首先由网闸实现TCP连接的终结，确保TCP/IP协议不会直接或通过代理方式穿透网闸；然后，内外网主机模块会依据安全策略对访问请求进行预处理，判断是否符合访问控制策略，并依据RFC或定制策略对数据包进行应用层协议检查和内容过滤，检验其有效载荷的合法性和安全性。一旦数据包通过了安全检查，内外网主机模块会对数据包进行格式化，将每个合法数据包的传输信息和传输数据分别转换成专有格式数据，存放在缓冲区等待被隔离交换模块处理。这种“静态”的数据形态不可执行，不依赖于任何通用协议，只能被网闸的内部处理机制识别及处理，因此可避免遭受利用各种已知或未知网络层漏洞的威胁。如图5－51所示： 图示 STYLEREF 1 \s 一51安全隔离与信息交换系统（网闸）原理示意图 安全隔离与信息交换系统（网闸）通过专有的隔离交换卡实现内外网主机模块的缓冲区内存映射功能，将指定区域的数据复制到对端相应的区域，完成数据的交换。隔离交换卡内嵌安全芯片，采用高速全双工流水线设计，内部吞吐速率达2Gbps，完全可以满足高速数据交换的需要。 隔离交换模块固化控制逻辑，与内外网模块间只存在内存缓冲区的读写操作，没有任何网络协议和数据包的转发。隔离交换子系统采用互斥机制，在读写一端主机模块的数据前先中止对另一端的操作，确保隔离交换系统不会同时对内外网主机模块的数据进行处理，以保证在任意时刻可信网与非可信网间不存在链路层通路，实现网络的安全隔离。 当内外网主机模块通过