「上次做等保测评，测评师说我们内网和工控网之间不能用防火墙，必须上网闸。网闸是啥？听着像河上那个水闸，跟防火墙到底差在哪？什么场景必须用它？」

一、网闸到底是干嘛的

用水闸打个比方：

1.1 防火墙 ≈ 河上的桥，桥上设检查站

把内外网想象成河两岸的两个村子。防火墙是什么？是河上架的一座桥，桥上设个检查站。桥一直是通的，车来车往都要过卡，检查站按名单查车——车牌（IP）在白名单就放行，在黑名单就拦下，带违禁品（病毒/攻击特征）也扣下。

这个模型的关键是：桥一直在。只要桥在，总有车能过去。检查站查得再严，碰到伪装得好的车、或者车本身藏着东西，就可能混过去。

1.2 网闸 ≈ 河上根本没桥，用船来回摆渡

网闸呢？河上压根没桥。两个村子之间，只有一条摆渡船。流程是这样的：

1.东岸的人把货装到东岸码头

2.船划到东岸，把货装上去（这时候西岸码头是断开的，船不接西岸）

3.船划到西岸，把货卸到西岸码头（这时候东岸已经断开）

4.西岸的人来码头取货

关键是什么？任何时刻，船只连一边。两岸永远不会同时连上，中间没有一条"通路"——这就是物理隔离。而且上船之前货要被拆开检查（剥离协议），只搬"裸货"过去，到对岸再重新打包（重组协议）。

这就是为什么叫"网闸"——像水闸一样，两扇闸门永远不会同时开，水（数据）只能在闸室里被"摆渡"过去。

1.3 光闸 ≈ 河上只有一条单向水渠，水只能从东往西流

还有一种叫"光闸"（单向光闸），更狠：它在河底下埋了一根单向水管，水只能从高水位流向低水位，物理上就没有回水的通道。连船都不用，数据只能往一个方向流，想反向渗透？门都没有。

 防火墙=桥上设卡（逻辑隔离），网闸=没桥用船摆渡（物理隔离，双向可控），光闸=单向水渠（物理隔离，只能单向）。

二、网闸到底长什么样：2+1 架构

你真的把网闸看，会发现它根本不是一台机器，而是"两台主机+一块摆渡卡"的组合，行业里叫 "2+1" 架构：

•内网处理单元（内端机）：一块主板，一张网卡接内网，负责从内网收数据

•外网处理单元（外端机）：另一块主板，一张网卡接外网，负责往外网发数据

•隔离交换单元（摆渡卡/GAP卡）：夹在两块主板中间的专用硬件，一般是固态开关+存储介质（早期是 SCSI 硬盘，现在多是专用高速芯片/双端口 RAM）

三台部件之间没有网线、没有 TCP/IP 连接，靠摆渡卡的硬件开关做"纳秒级切换"——某一瞬间只和内端机连通，下一瞬间只和外端机连通。同一时刻，内外网之间永远不同时在线。

那数据怎么走？我给你拆成 6 步：

【内→外 方向】

1.内端机收到内网发来的数据包，终止 TCP 连接

2.内端机把数据包"扒光"——剥离以太网头、IP头、TCP头，只留下纯应用数据（文件内容/数据库记录/消息体）

3.内端机对裸数据做内容检查：病毒查杀、敏感字过滤、文件格式白名单、大小限制

4.摆渡开关切到内端机，把裸数据写入摆渡存储；写完立刻断开内端机

5.摆渡开关切到外端机，外端机把裸数据读出来

6.外端机重新封装 TCP/IP，新建连接发给外网服务器

⚠整个过程没有任何一个 TCP 连接是"穿过"网闸的。原连接在一头被掐断，到另一头重新建。攻击者想靠 TCP 会话劫持、端口扫描、漏洞渗透打穿？链路从物理上就不存在。

那外→内呢？流程完全反过来，但方向要单独开策略——默认是不允许的。大部分等保场景只开"内→外"的单向数据上报，或者仅允许"外→内"的特定文件/数据库同步。

三、防火墙、网闸、光闸、物理隔离卡到底差在哪

很多甲方会问"我都买了下一代防火墙了为啥还要上网闸"，下面这张表拿给用户，基本就不用多解释：

普通办公网分区用防火墙就够；等保三级/四级、涉密、工控必须上网闸；要求"数据只能出不能回"或"只能进不能出"的，上光闸；单机不上网保密，用隔离卡。

四、弱电项目里，哪些场景必须上网闸

根据《GB/T 20279 信息安全技术 网络和终端设备隔离部件安全技术要求》、等保 2.0 和国家保密局 BMB17 标准，以下几类场景是硬性要求（或者说测评师一定会挑问题的地方）：

4.1 政务网：政务内网 ↔ 政务外网

这是网闸最大的出货场景。政府单位一般分两套网：

•政务内网：跑涉密公文、OA、人事、财政，和互联网物理断开

•政务外网：跑对外业务、审批、门户网站对接，可以连互联网

两套网之间有些业务要互通（比如外网受理的办件要同步到内网审批、内网批完的结果要回传外网公示），这里必须上网闸。用防火墙？测评直接不通过。

4.2 能源/电力/轨交/石化：生产控制大区 ↔ 管理信息大区

电厂、电网、地铁、化工厂、水厂、油气管网——这些都是工控网（OT 网）。国家能源局《电力监控系统安全防护规定》（发改委 14 号令）和等保 2.0 明确要求：生产控制大区和管理信息大区之间必须用电力专用横向单向隔离装置（本质就是电力行业定制版的网闸/光闸）。

为什么？因为工控网要是被勒索病毒打进去，停的不是业务系统，是真的会停电、停地铁、炸化工厂。

⚠ 给干工控的兄弟提个醒：电力专用隔离装置分正向型（生产→管理，只能出）和反向型（管理→生产，只能进，且要加密签名），别买错方向。普通商用网闸不能直接替代电力专用隔离装置，测评不认。

4.3 公安/司法/军工/涉密单位：涉密网 ↔ 非涉密网

涉密信息系统按分级保护（BMB17/20）要求，不同密级网络之间的交换必须用经国家保密局认证的安全隔离与信息交换设备。涉密场景很多时候直接上单向光闸——尤其是"把涉密数据单向导出做脱敏/审计"这种需求，光闸物理单向，回不去，天然满足保密要求。

4.4 金融：核心生产网 ↔ 办公网/第三方外联

银行、证券、保险的核心交易系统（存钱转账、股票撮合）和办公网、互联网渠道之间，需要在高安全域边界部署网闸，防止从办公网/互联网打进核心。

4.5 医院/医疗：HIS/LIS/PACS 院内系统 ↔ 互联网/医保专网

等保三级的医院，HIS（收费开药）、EMR（电子病历）核心区，和互联网预约挂号、医保对接、远程诊疗之间，通常要用网闸做隔离交换，保护患者隐私和诊疗数据。

4.6 教育/考试：招生录取/考试内网 ↔ 互联网

高考录取、教育考试、教育厅涉密办公，内外网数据交换也要求网闸。

你可能会问：我们公司就是普通办公楼，用上网闸不？99% 的普通写字楼、商场、小区、学校校园网、一般企业办公网——不用。防火墙+AC+终端安全就够了，网闸很贵、很慢、很难用，上了反而拖垮业务。

五、网闸不是买回来插上网线就行

讲两个真实案例，都是我自己或者圈子里兄弟踩过的。

5.1 没算吞吐量，视频流把网闸堵死

某园区做等保三级整改，甲方图便宜买了台入门级网闸（吞吐 200Mbps），部署在监控网↔办公网之间，想看视频能从办公网调阅。上线第一天直接炸——30 多路 1080P 摄像头，每路 4Mbps，加起来 120Mbps+，看似没超，但网闸不是交换机，它的吞吐是"应用层吞吐"不是"端口吞吐"，协议剥离重组本身就损耗 60% 以上。实际跑起来只能带 6~8 路，剩下的全卡成 PPT。

后来怎么解决？换了台千兆吞吐的网闸+单独开视频流专用摆渡通道（不做深度内容检查，只做格式白名单），才勉强带起 30 多路。

⚠ 选型时千万不要看"端口是千兆"就当千兆网闸，要看厂商给的"应用层吞吐"和"并发连接数"，视频/大文件场景建议至少留 3 倍冗余。

5.2 把网闸当防火墙配，业务全不通

第一次配网闸的工程师最容易犯的错：按防火墙那套思维配端口、配路由、配 NAT，配完发现啥都不通——因为网闸根本没有"端口"和"路由"的概念（至少不是传统意义上的）。

网闸要在应用层一条一条配置"摆渡任务"：

# 网闸配置思路示例（不是具体命令，厂商界面不同）

# 1. 先定义内外侧的主机/服务

内侧：192.168.10.5   数据库 MySQL 3306

外侧：172.16.5.20    同步客户端

# 2. 再定义摆渡通道：方向、协议、内容检查

通道名：DB_Sync_Inner_to_Outer

方向：内→ 外（单向）

类型：数据库同步（不是TCP转发！）

同步表：t_gongwen, t_banjian

字段过滤：身份证号掩码、手机号脱敏

病毒查杀：开启

内容审查：敏感字拦截

同步周期：5分钟/次

# 3. 没有"放通端口"这种说法

# 你必须告诉它"搬什么数据、怎么搬、多久搬一次"

所以你上项目前必须搞清楚：甲方要过网闸的业务到底是文件、数据库、消息、HTTP 还是视频流？不同业务要开不同类型的摆渡通道，买网闸的时候也要确认支持不支持（数据库同步、FTP、SMB、HTTP 代理、视频流透传，这些模块是单独授权的）。

5.3 光闸装反了方向，业务全断

光闸因为是物理单向（里面就是一对单向光模块，发端只接 TX，收端只接 RX），装的时候方向绝对不能反。我兄弟在某涉密单位装光闸，内端机和外端机搞反了，上线后数据死活过不去，折腾了一下午才发现是光模块方向接反了——而光闸因为没有反向通道，根本没有任何"错误提示"给你，业务就是黑洞。

 光闸/电力反向隔离装置上线前，先用笔记本在内端发文件、外端抓包确认方向，再正式割接，别半夜割接完第二天业务全瘫。

六、选型 5 条铁律

弱电项目选网闸，记住这 5 条，基本不会踩大坑：

1.看资质。涉密场景必须要"国家保密局涉密信息系统产品检测证书"；电力场景必须要有"电力监控系统安全防护专项检测报告"；通用等保场景要有"公安部销售许可证"和"CCRC 信息安全产品认证"。没证的再便宜也别买，测评过不了。

2.看实际吞吐，不看端口速率。厂商宣传的"千兆网闸"可能应用层吞吐只有 300Mbps，视频/数据库同步场景必须实测。

3.看业务模块授权。数据库同步、文件摆渡、邮件、HTTP、视频透传、工业协议（Modbus/OPC/IEC104）——这些很多是单独收费的，项目报价前问清楚模块清单。

4.看是不是双主机架构。真网闸一定是"2+1"物理三模块架构，单台 U 盒里用软件做"隔离"的那叫"隔离网关"不是网闸，物理上没断开，测评不认可。

5.国产品牌优先。目前主流：深信服 GAP、奇安信网神、启明星辰天清、天融信、华为 SecoPath、H3C SecPath、山石网科，都是国产合规品牌。涉密和电力场景尤其要选名单内品牌。

七、总结

看到这里如果你记不住细节，把这三句话揣兜里，现场就能对答：

第一句：防火墙是桥上设卡，网闸是拆桥摆渡，光闸是单向水管——隔离强度一个比一个狠。

第二句：普通办公网不用网闸；等保三级以上、政务内外网、工控OT/IT、涉密网、金融核心——必须上。

第三句：网闸不是快的设备，它本来就是"以牺牲效率换安全"的东西，别指望它像交换机一样跑满带宽。

注:转载文章来自于网络，版权归原作者或企业所有，侵删!