1. 网闸与防火墙金融行业里的两道门到底差在哪先说结论网闸和防火墙根本不是同一类东西只是它们都会出现在网络边界上容易被混为一谈。防火墙是规则过滤器它假设通信双方是可信的只是在通道上设置检查点决定哪些流量能过、哪些流量要拦。网闸是物理搬运工它从根本上切断通信链路用类似人工拷数据的方式把数据从一边搬到另一边。金融行业之所以两样都装不是因为防火墙不够用而是因为监管要求和攻击模型决定了有些场景必须用断开的思路才能解决问题。我见过不少运维同事在等保测评或银保监检查前临时补网闸理由就是合规要求但真要问一句网闸到底防住了什么、防火墙为什么替代不了很多人答不上来。这篇文章就把两件事掰开揉碎讲清楚结合我在金融项目里的实际部署经验给出一份可以直接参考的选型思路和落地要点。2. 两者的核心差异一个在判断一个在隔离2.1 防火墙的工作方式审查放行防火墙做的事可以简化成一句话检查每一个经过的数据包按照预置的规则决定它能不能通过。它工作在网络的通路上数据流本质上还是连通的只是在中间加了一道关卡。金融行业常用的防火墙类型包括包过滤防火墙、状态检测防火墙、应用层防火墙还有现在很多下一代防火墙NGFW集成了入侵防御、防病毒、URL过滤等功能。关键点在于防火墙知道通信双方的存在也允许通信发生。哪怕规则写得再严只要放行了某个IP和端口攻击者就有机会通过合法通道发起攻击。比如防火墙放行了数据库端口给某个应用服务器如果这台应用服务器被攻破攻击者完全可以借助这条合法通道横向移动。防火墙本身没有能力阻止这种合法通道上的非法行为它能做的只是尽可能缩小暴露面。2.2 网闸的工作方式切断摆渡网闸的全称通常叫安全隔离网闸或物理隔离信息交换系统它的核心思路跟防火墙完全不同。网闸由三部分组成内网处理单元、外网处理单元、隔离交换单元。内外网单元之间没有物理连接数据交换通过隔离交换单元以摆渡方式完成——先读取一侧的数据存储到中间缓冲区再断开与这一侧的连接接通另一侧把数据写过去。这个过程中任何时刻内外网之间都没有同时连通的物理链路。用生活化的例子来说防火墙是写字楼门口的保安检查每个人的工牌但人还是可以正常进出网闸是两台电脑之间不许直接联网要传文件只能通过U盘由专人把文件从一台电脑拷到另一台电脑。U盘就是那个摆渡人。攻击者如果想通过网络直接攻击内网面对网闸时根本找不到一条可以到达内网的网络路径——因为链路物理上就不存在。2.3 三个维度的对比维度防火墙网闸网络连通性物理链路保持连通物理链路断开通过存储介质摆渡核心能力基于规则的访问控制基于隔离的数据交换实时性高适合在线业务低存在数据延迟安全性模型假设通信可信在通路上设卡假设通信不可信从物理上切断最适合的场景业务系统之间的访问控制安全域之间的受控数据交换3. 金融行业为什么必须同时用防火墙和网闸3.1 监管和等保的硬性要求金融行业的网络架构不是自己随便设计的要符合一系列等级保护要求和行业规范。等保三级以上的网络要求在不同安全区域之间实现安全隔离关键区域之间建议采用物理隔离或逻辑强隔离措施。网闸是实现物理隔离的最直接手段等保测评时检查人员会明确查看隔离设备类型和部署位置。另外银保监相关的信息科技风险管理指引也强调了生产网络与办公网络、外联网络之间的隔离要求。在实际测评中如果核心交易区与办公区之间只是用防火墙做逻辑隔离测评人员往往会提出整改建议。很多机构因此形成了一种固定组合边界用防火墙做主访问控制重要安全域之间用网闸做数据摆渡。3.2 金融网络的分区需求一个典型的金融机房间网络会分成多个安全区域比如互联网接入区、DMZ区对外服务区、办公内网区、生产交易区、开发测试区、数据交换区等。不同区域之间的信任级别不同如果全部用防火墙互通一旦某个区域被突破内网横向渗透的风险会很高。金融行业通常会在这些区域边界上部署防火墙而在最敏感的区域之间比如生产区与办公区、生产区与外部单位之间部署网闸。这样设计的逻辑是防火墙用在需要频繁通信、低延迟的场景网闸用在低频次、高敏感的数据交换场景。二者不是竞争关系而是各管一段。3.3 攻击链条的差异金融行业面临的攻击很多是定向攻击攻击者进入内网后不会急于动手而是会长期潜伏。防火墙的访问控制策略如果过于宽松攻击者可能顺着合法通道直接摸到核心系统。网闸的价值在于即使攻击者控制了一台办公网机器他也找不到一条通往生产网的路因为生产网与办公网之间根本没有直接连通的网络路径。他能做的顶多是向网闸提交一个数据交换请求但这个请求会经过严格的内容检查、格式校验、甚至人工审批。这种物理断网的思路从根源上规避了很多基于网络协议的攻击手法比如端口扫描、漏洞利用、中间人攻击等。攻击者连握手包都发不过去自然谈不上利用。4. 核心实现细节网闸的部署模式与配置要点4.1 网闸的两种典型部署模式网闸在实际部署中通常有两种模式单机部署和双机高可用部署。单机部署适合数据交换量不大、业务连续性要求不高的场景配置相对简单。双机部署则在两台网闸之间启用心跳链路和会话同步一台故障时另一台接管交换任务适合核心交易数据、征信查询等7x24小时业务。选择高可用模式时必须提前确认两件事一是网闸厂家是否支持会话级同步而不仅仅是设备级切换。如果只是设备切换但会话不转移正在传输的大文件会中断上层业务会报错。二是在主备切换时数据摆渡的时序会有短暂停顿上层应用要做好超时重试机制。我在某金融机构部署征信查询接口时就遇到主备切换导致部分查询请求超时最后靠应用层超时缩短加重试次数才解决。4.2 网闸支持的交换方式不同厂商的网闸功能模块略有差异但主流的交换方式包括以下几类数据库交换模块、文件交换模块、消息队列交换模块、视频/音频流交换模块、邮件交换模块、通用TCP/UDP代理模块。金融行业用得最多的是数据库同步和文件交换。数据库交换方面网闸扮演的是协议代理数据摆渡的角色。以某商业银行的客户信息同步为例生产区ORACLE数据库需要每天定时向办公区数据分析平台同步数据传统做法是两台数据库之间通过网络直连靠数据库同步工具进行复制。部署网闸后网闸分别连接两侧的数据库内网侧网闸连接生产库外网侧网闸连接办公区数据库网闸内置的数据库同步模块自动完成数据抽取、转换、写入。整个过程中两个数据库之间没有任何直接网络连接都是通过网闸中转。配置这类模块时有一个常见坑区数据库账号权限不能给太高。网闸要读写数据库需要账号但给它一个具备查询和写入权限的账号就足够了不要给DBA权限。因为在一些网闸设备上数据库代理模块会把账号信息记录在配置文件里如果账号权限过大且日志管理不到位一旦设备被管理端攻破等于把数据库最高权限交出去了。4.3 文件交换的配置逻辑文件交换模块是网闸使用频率最高的功能之一常用于办公区与生产区之间的批量文件传递。比如银行核心系统每日生成的报表、清算文件需要从生产区导出到办公区的文件服务器上供业务人员下载。配置时的关键参数包括源端IP、端口、文件路径、目标端IP、端口、文件路径以及交换方向。较为关键的是文件格式限制和白名单机制只允许特定扩展名文件通过比如.csv、.txt、.pdf其他类型一律拦截。这个功能一定要开启不要图省事关闭否则网闸就退化成一条普通文件传输通道了。时间策略上建议尽量设定为定时批量交换而不是实时逐文件摆渡。网闸的处理机制决定了每次摆渡都需要一个完整的读-断-写周期如果文件数量大且实时传输交换单元会频繁切换性能下降明显。按时段批量打包传输效率会高很多。5. 防火墙在金融场景里的配置实践与选型思路5.1 防火墙策略设计的基本原则很多金融机构的防火墙策略动辄几百条甚至上千条但真正稳定的策略体系一般都遵循几条原则。一是默认拒绝没有明确放行的流量一律拒绝而不是默认允许再逐条封堵。二是最小化开放只放行业务必须的IP、端口、协议一次只放一个端口不要搞大段端口段开放。三是策略定期清理我见过某券商防火墙上的过期策略占了三成以上这些僵尸策略不仅难以维护还成了攻击者可以利用的盲区。比较推荐的策略命名规范是业务系统名_源区_目的区_协议端口_用途比如CRM_办公网_生产网_TCP3306_数据库同步。规范命名后排查问题时效率高很多不会出现这条策略是谁加的、能不能删的尴尬局面。5.2 高可用与性能冗余金融行业对网络的稳定性要求极高防火墙一般需要双机热备部署。常见方案是主备模式Active-Standby或负载分担模式Active-Active。主备模式配置简单但备用机长期闲置负载分担模式能跑满两台设备性能但配置复杂要求两台设备的会话表保持同步。性能规划上有个经验值防火墙处理能力至少要留出30%-50%的冗余。不要以为带宽是1Gbps就买一台1Gbps吞吐量的防火墙业务高峰期流量突发、攻击流量清洗、日志审计都会消耗设备性能。我见过一个P2P模式的业务系统上线后流量激增防火墙CPU直接打满所有新连接全部被丢事故复盘时才发现当初选型只卡了带宽没算小包转发能力——防火墙在大量小包场景下的转发性能远低于厂商标称的大包吞吐值这点特别容易踩坑。5.3 防火墙与网闸配合的典型拓扑一台防火墙加一台网闸的典型接法是这样的防火墙放在最外层边界比如互联网出口或外联区入口负责过滤恶意流量、限制访问端口、阻断扫描探测网闸放在内网安全域之间的关键位置比如办公网与生产网之间、生产网与第三方支付机构之间。数据流向是这样的外部请求先到防火墙防火墙判断是否放行若需要进入生产网防火墙只能把数据送到统一接入前置机前置机再将数据提交给网闸由网闸摆渡进生产网。这种前置机网闸的模式在银行的代收付系统、征信查询系统里非常常见。这么设计的核心思想是防火墙负责该不该进网闸负责怎么进才安全。两层叠加之后即使防火墙被人绕过或攻破攻击者也面对一层物理隔离最后一道防线依然存在。6. 常见问题与排查技巧实录6.1 网闸部署后业务超时这是最常被问到的问题。部署网闸后原本几十毫秒的数据库请求可能变成几百毫秒甚至数秒因为网闸的摆渡机制增加了额外的处理时延而且一个完整的TCP会话被拆成了两段每段都要做三次握手。应对方法有三个层面。一是应用层超时设置要放宽不要用默认的3秒超时网闸场景下通常设置为10秒以上。二是数据库连接池要调整连接的最大空闲时间、验证查询间隔都要适当延长避免连接刚建立就被应用判定为过期。三是如果业务对时延极其敏感尽量把频繁调用的接口放到防火墙可达区域网闸只留给低频但高敏感的数据交换。6.2 大文件交换经常中断文件超过1GB时网闸交换失败的概率会明显上升。原因通常出在中间存储空间不足或交换周期超时上。排查时先看网闸的交换缓冲区容量是否满足单次最大文件的需求再看配置的交换周期是否太短——如果周期设置成10秒但一个文件摆渡需要30秒文件还没写完就到下一个周期了任务自然失败。这类问题最好把大文件拆成分片或改走专门的大文件交换通道不要和日常文件混在同一个通道里。6.3 防火墙策略冲突导致业务异常排查这类问题时比较实用的方法是先看会话表确认数据包实际命中了哪条策略而不是凭猜测试图。防火墙设备上查看会话的关键命令是display firewall session table或类似命令能看到源地址、目的地址、端口、命中的策略ID。如果发现命中策略与预期不符逐条对比策略匹配顺序因为防火墙策略是顺序匹配先匹配到哪条算哪条即使后面有更精确的策略也不会生效。很多业务异常就是因为前面的宽泛策略把流量接走了。6.4 网闸日志与等保测评等保测评时检查人员会重点看网闸的日志留存能力和访问控制策略配置。建议开启网闸的操作审计日志、数据交换日志日志保存时间不少于180天有条件的机构配置日志服务器统一归档。访问控制策略方面原则仍然是白名单制只允许明确的源IP、目的IP、端口和应用类型。测评中如果发现网闸配置里存在any to any的策略基本会被判为不合规。这条经验值得反复强调网闸不是摆设一条any策略足以让之前所有的隔离努力都前功尽弃。7. 选型经验总结与我的实践体会7.1 采购选型时的几个判断标准金融行业的网闸和防火墙采购通常要走招标流程技术参数上需要特别留意以下几个方面。性能指标方面防火墙要看小包转发率而不是只看大包吞吐值网闸要看实际数据交换吞吐和并发会话数厂商标称的线速转发听听就好要的是实测数据。可靠性方面确认设备是否支持双机热备、主备切换时间是多少、配置是否支持自动同步。扩展性方面网闸的模块授权是按照数据库、文件、消息等不同功能单独授权的后续加模块的成本要提前了解。日志与审计方面设备是否支持标准日志格式对接集中审计平台像Syslog、SNMP这类基础能力一定要有。7.2 成本与安全的两难网闸设备单价不低再加上双机部署和模块授权整体投入不小。有些金融机构为了省成本只在生产网和办公网之间放一台防火墙不做物理隔离。这种选择在合规层面有风险在安全层面隐患更大。我的建议是成本敏感的项目可以做分级隔离核心资产区域之间必须用网闸一般业务区域之间用防火墙把预算花在刀刃上而不是一刀切全部上网闸或者全部只靠防火墙。7.3 个人实践中的几点体会我在实际项目里踩过几个印象深刻的坑分享出来供参考。第一个坑是网闸的数据同步模块并不万能。某些厂商的数据库同步模块只支持特定数据库版本和特定同步方式比如只支持从侧抓取binlog而不支持另一侧主动推送业务方的同步工具和网闸模块选型对不上时调试周期会非常长。建议在采购前就把自己的数据库类型、版本、同步频率、数据量级发给厂商确认兼容性不要等部署后才发现不支持。第二个坑是防火墙策略变更要有变更窗口和回退预案。金融业务对变更管控很严但防火墙策略变更还是难免。我的做法是每次变更前先导出当前策略配置基线变更后如果有异常10分钟内能回退到基线版本不要把小问题拖成事故。第三个坑是设备管理要独立于业务链路。防火墙、网闸的管理口应该接在专门的管理网段上不要和业务流量混在一起。管理账号要启用双因素认证至少也要用强密码加来源IP白名单。网闸和防火墙本身的安全加固经常被忽略但这些设备往往拥有最大的网络权限一旦管理端沦陷整个隔离体系就变成了一张纸。7.4 后续还能怎么扩展已经上完防火墙和网闸之后还有两个方向可以延展。一是态势感知平台把防火墙和网闸的日志统一接入做关联分析监控数据的正常与否。之前我们通过日志关联发现过几次可疑的凌晨文件交换行为后来确认是定时任务时间配置错误但这种监控能力对于识别真实攻击依然非常有价值。二是终端安全与准入控制与边界防护形成联动办公终端还没有接入准入系统前不允许访问办公网资源减少内网横向移动的可能性。安全管理体系的建设本来就该是一个持续加厚的过程边界只是一层不是全部。
