方案背景

一、涉及保密信息安全的要求

根据信息保密的技术要求，涉及保密网络（涉密网络）是不可以与互联网直接互相连通的；当需要进行涉密网络与非保密网络（非涉密网络）连接时，则采用：先采用非涉密网络与互联网进行物理隔离，然后再采用双向“网关”隔离涉密网络与非涉密网络。要是非涉密网络与互联网是逻辑隔离的，则采用单向“网关”隔离涉密网络与非涉密网络，保证涉密数据不会从高保密级别网络输出到低保密级别的网络。

用图示可以更直观看出涉密网络的需求：

涉密网络的链接需求是：

网络数据单向传输解决方案

二、“网关”及单向光纤传输网卡的作用

“网关”的隔离作用是基于定向地传输数据，“网关”的原理是模拟人工的数据“复制（拷贝）”，不建立两个网络的“物理通道”，所以“网关”的一般状态形式是把应用的数据“剥离”开来，通过类似于文件的“复制（拷贝）”到另外一个地方后，再通过正常的通讯方式传输到目的地，因此从安全保密的角度，“网关”的“复制（拷贝）移动”传输的数据中格式信息越少越好，当然，这要是没有任何格式的原始数据就更好了，因为没有格式信息的文本就没有办法隐藏其他的非数据的东西，减少了携带计算机“病毒”的载体。

“网关”是切断了上层业务的通讯协议，看到了原始的数据，为了达到安全“隔离”的效果，采用私有通讯协议，或采用存储协议，都是为了表明要彻底剥离所有的协议附加信息，让“复制（拷贝）”传递的数据更加“干净”。但为了方便这种“复制（拷贝）”数据传输，需要在“网关”的两边建立业务的代理服务器，通过“网关”和选择单向光纤以太网卡从逻辑和物理上进行业务连通。

“网关”虽然传递的是实际的数据，但代理协议后，每次“复制（拷贝）”的传输可能就不再是一个完整数据内容，给安全检查带来了困难，因为攻击者可以把一个“蠕虫"分成若干的片段分别传递，甚至小到单个的命令，不恢复原状就很难知道它是什么；若传递的是"可执行代码"的二进制文件，“网关”就很难区分出数据与攻击。

“网关”对陌生的业务采用的是关闭策略，只开通自己认为需要的、可控的业务服务，所以“网关”在不同密级网络之间的隔离作用还是有一定效果的。

在涉密信息的保密要求中，要求高密级网络中的高密级数据不能流向低密级网络，但低密级数据可以流向高密级网络（数据机密性要求），这就提出了对数据的单向流动要求，若我们只保留单向的数据流，就可以实现数据保密性要求，这种情况下就产生了单向“网关”的需求。

解决方案

单向“网关”就是采用特定的技术，只允许单向的数据流动。深圳联瑞研发生产的单向传输光纤网卡，就是实现单向“网关”的关键硬件部件。

常用的实现单向数据传输方法的技术有以下2种：

1、强制发送

正常光纤网卡是接收口接收到数据的时候开始工作，强制发送则是把接收口的电压拉高，让端口一直处于工作状态，这样使得整个光纤网卡一直处于一种不正常的状态，容易出现丢包及引起其他不良。

2、使用分光器

常见的分光器有两种分光形式，28分光或者是55分光，在主链路上占有8成或5成光源，给接收端的光源就只有2成或5成，若用分光器的话，会使主链路上的信号减弱，分路上的信号也不大，容易造成信号损失、给数据传输造成困扰。

深圳联瑞的单向光纤传输网卡

    深圳市联瑞电子自主研发的单向光纤传输网卡在不改变光纤网卡的工作状态以及不减少信号强度的前提下，通过修改电路和配套的模块来实现数据的单向传输。通过这样，网卡处于正常的工作状态，信号也没有减弱，因此不会产生丢包或错误包的现象，并且保证了单向传输长时间的正常运行。

联瑞单向光纤网卡是一种计算机网络的单向传输“网关”，属于计算机网络技术领域。它包括发送端光纤网卡、接收端光纤网卡及光纤链接线。发送端光纤网卡只有发送端口，没有接收端口；接收端网卡只有接收口，而没有发送口。

通过光纤连接线把发送端的发送口与接收端的接收口链接起来。它既实现了计算机内部网络与外部网络之间的物理隔离，又能保证数据在内外网络之间实时、稳定、安全地进行数据单向传输。

单向传输的方案应用

单向光纤传输网卡是定向传递数据，在保密领域里的内外网之间传输数据是有很大市场需求。如：

1、文件传递：由于政府部门内部网络的保密需求，与外界互联网连通是需要进行“物理隔离”的，但是外界互联网上的很多政务文件，希望在政府部门内网中使用，如果还是依靠采用人工拷贝-粘贴的方式的话，工作量极大。一旦通过采用单向“网关”可以把外网的文件传输到内网，这可以符合数据保密性的要求。

2、信息收集：与互联网连通，是政府对外的服务窗口，并且互联网本身就是个信息宝库，但大量的信息不能及时地传递到内网的有关系统里，对信息的汇总与统计带来了很大的困难。若在内网以外建立一台服务器，作为收集互联网的相关信息，再通过单向光纤传输给内网，那么就可以保证信息的及时性了。

3、邮件转发：政府相关部门人员经常要查收内、外网两个邮箱，及其不方便。一旦在内网建立一个邮件的代理服务器，把接收到的邮件及时传输给内网的邮件服务器，那么相关工作人员就不必登陆到外网去收邮件了。

产品链接：http://www.lr-link.com.cn/productshow/LREC9801BF-TXLREC9801BF-RX.html

由于单向光纤网卡传输没有反向传输数据通道，所以对于黑客等外来入侵有一定的抑制作用，黑客攻击必然是要取得相关的信息，若数据传输是单向的，那么就掐断了黑客的进入方式，没有了可进入的通道，就不能发起攻击和窃取等行为。保证了数据信息的安全。

特别说明：

【此处所说“网关”仅仅代表一种方式方法非真正意义上的网络网关】