很多人第一次接触网闸时，都会有一个疑问：

防火墙不是已经很安全吗？为什么后来还要发明网闸，甚至还会出现数据二极管？

更常见的理解是：

网闸就是更高级的防火墙。

这个说法不太准确。

​

防火墙、网闸、数据二极管并不是同一条产品线上的“低配、中配、高配”。它们背后代表的是三种不同的安全思想：

防火墙：控制连接。
网闸：取消连接，只交换数据。
数据二极管：用硬件固定通信方向。

理解这三句话，比背任何产品参数都重要。

防火墙解决的不是隔离，而是安全互联

防火墙的基本前提是：

网络之间可以通信，但通信必须受控制。

比如一台客户端访问服务器，中间经过防火墙：

防火墙会根据策略检查流量，比如源地址、目的地址、端口、协议、应用、会话状态等。下一代防火墙还会加入 IPS、病毒检测、应用识别、URL 过滤。

但不管功能多复杂，它的基本模型没有变：

客户端和服务器之间仍然存在一条网络连接。

防火墙是在这条连接上做检查、过滤和放行。它的目标不是让网络彻底隔离，而是让网络能够安全互联。

这也是为什么防火墙适合大多数企业网络。

员工要访问办公系统，业务系统要访问数据库，服务器要对外提供服务。这些场景都不可能完全不通信。防火墙做的是在“需要通信”和“不能乱通”之间建立秩序。

所以，防火墙解决的是：

如何安全地建立连接。

网闸真正改变的，是把连接和数据拆开

网闸的思路不一样。

它的出发点是：

对高安全区域来说，网络连接本身就是攻击面。

所以网闸不是简单地把连接管得更严，而是尽量不让两个安全域之间存在端到端的 TCP 会话。

防火墙和网闸的场景里，通信可能是这样：

原来的 TCP 会话在网闸处终止。真正跨过安全边界的，不是 TCP 连接，而是经过处理后的数据。

这是理解网闸的关键。

连接和数据是两个不同的概念。

连接描述的是通信双方之间持续交换数据的关系。
数据描述的是实际传输的内容。

很多人会把“数据过去了”理解成“网络通了”。其实不是。

网闸最大的创新，不是多做了一层安全检查，而是把“连接”和“数据”拆开了。

防火墙允许连接存在，然后控制连接。
网闸取消端到端连接，只交换数据。

所以网闸不是“更严格的防火墙”，而是换了一套安全模型。

网闸为什么更安全？

核心就一句话：

网闸把“网络访问”变成了“数据交换”。

这句话展开以后，很多安全优势都是自然推出来的。

因为没有端到端 TCP 会话，所以外部网络不能直接访问内部系统。攻击者即使控制了办公网，也不能像访问普通服务器那样，直接连到生产网里的核心主机。

因为连接在网闸处被终止，所以很多依赖直连的攻击路径会被压缩，比如协议攻击、会话劫持、远程漏洞利用。

因为跨过去的是数据，所以网闸可以对文件、日志、数据库记录、协议内容做检查、过滤、格式转换和白名单控制。

这也是为什么网闸常见于电力、石油、轨道交通、军工、涉密网络等场景。

这些场景的需求往往不是：

外部网络能不能安全访问内部系统？

而是：

外部网络最好根本不能访问内部系统，但必要数据还得交换。

比如生产网要把运行日志传到办公网，或者把监控数据同步到数据平台。业务上需要数据流动，安全上又不希望网络互通。

防火墙更适合可控访问。
网闸更适合隔离交换。

数据二极管：不要相信软件，而是相信硬件

网闸是不是已经做到极致了？

还没有。

网闸已经尽可能减少了攻击面，但它仍然是一套复杂系统。只要是复杂系统，就绕不开几个东西：

操作系统。
协议代理。
数据解析。
策略配置。
运维操作。

这些东西都属于软件世界。

而任何依赖软件实现安全的系统，都不可避免存在潜在风险。

软件会升级，会配置，会解析协议，也可能有漏洞和误操作。

所以数据二极管提出了一个更激进的想法：

不要依赖软件决定通信方向，而是让硬件决定通信方向。

数据二极管的价值不在于“软件策略更严格”，而在于硬件结构本身不具备反向传输能力。

它不是拒绝反向通信，而是没有反向通信能力。

这和防火墙、网闸的思路都不同。

防火墙依赖策略控制连接。
网闸依赖隔离交换切断连接。
数据二极管直接从硬件上固定通信方向。

三者不是替代关系

如果是普通企业网络，需要大量双向访问、业务系统互联、互联网出口控制，防火墙是基础设施。

如果是工业控制、涉密网络、关键基础设施，需要不同安全域之间交换数据，但不希望网络直接互通，网闸更合适。

如果是最高等级的单向传输场景，比如只允许生产数据上传，绝不允许外部命令返回高安全区，数据二极管更合适。

所以这三者不是简单替代关系。

防火墙不是落后设备。
网闸不是万能设备。
数据二极管也不是所有场景都适用。

它们解决的问题不同。

如果把网络安全的发展，看成一个不断减少攻击面的过程，那么可以这样理解：

防火墙解决的是：如何安全地建立连接。
网闸解决的是：如何在没有端到端连接的情况下交换数据。
数据二极管解决的是：如何让通信方向不再依赖软件，而由硬件决定。

防火墙是在门口查人，允许符合要求的人进入。

网闸取消了这扇门，改成传递柜，只允许经过检查的数据交换。

数据二极管则像投币口，入口存在，出口不存在，通信方向由硬件决定，而不是制度决定。

这三种设备的区别，本质上不是产品等级的区别，而是网络隔离思想的区别：

控制连接。
取消连接。
固定方向。

阅读原文：https://mp.weixin.qq.com/s/Mxdyoy0---B7Nt6g6FXNlQ