网闸到底在 “摆渡” 什么数据？

一、引言

在政务、电力、工控等关键信息基础设施场景中，我们经常听到 “网闸摆渡” 这个词。很多人会把网闸和防火墙混为一谈，认为二者都是转发网络数据包。但实际上，网闸并不转发 IP 报文、TCP 连接，它所 “摆渡” 的，是剥离底层网络协议之后的应用层业务数据。
网闸的核心设计思想是物理隔离 + 分时交换。内外两个网络永远不会保持同时连通。业务数据到达网闸后，会被拆分成独立的静态数据块，先送入隔离缓冲区，随即切断源端网络连接；再由对端读取缓冲区中的数据，重建业务协议，交付给目标业务系统。整个过程不存在端到端的网络会话，从底层阻断跨网渗透攻击路径。

二、网闸能够摆渡哪些类型的数据

1. 文件类数据（最常用）

文件摆渡是网闸最基础的能力。文档、PDF、图片、压缩包、系统日志、业务报表等都属于这类数据。网闸支持 FTP、SMB、NFS 等文件同步方式，在摆渡前可执行安全策略检查：校验文件后缀、限制单文件大小、病毒查杀、文件格式校验，拦截恶意文件。典型场景：外网业务上报材料单向摆渡至内网业务系统，内网统计报表安全导出至外网办公终端。

2. 数据库结构化数据

数据库摆渡是项目落地高频需求，常见支持 MySQL、SQL Server、Oracle、达梦、人大金仓等国内外数据库。它不会直接打通数据库的 TCP 连接，而是抽取数据库全量数据或者增量变更记录，转换为数据块完成摆渡，到达对端之后再写入目标数据库。支持标记同步、触发器增量同步、定时全量同步。典型场景：高安全等级生产数据库，单向同步数据至办公分析库，供业务人员查询统计，不允许反向写入。

3. 应用业务协议数据

网闸可对各类应用协议做代理解析，摆渡对应的业务报文：

• HTTP/HTTPS：网页表单提交、单向查询业务页面；
• 邮件协议 SMTP/POP3：跨隔离网络收发邮件；
• 工控协议 Modbus、OPC：生产现场设备测点数据；
• 视频监控 GB28181、RTSP：视频流、摄像头录像画面数据。

  
  
  
  

4. 消息与自定义报文数据

部分高性能网闸产品支持自定义业务报文、消息队列数据摆渡，多用于电力调度、工业控制场景，实现设备采集消息跨隔离网域传输。

三、网闸不会摆渡什么？这是理解网闸的关键，也是它和防火墙最本质区别：

• 不转发原始 IP 数据包、TCP 会话连接。网闸会剥离完整 TCP/IP 协议栈，不存在跨网端到端网络连接；
• 不传输底层网络控制报文、网络管理指令；
• 策略未放行的文件类型、可执行程序、恶意脚本，会被安全检测模块直接拦截，无法完成摆渡。

  
  
  
  

四、数据摆渡的简要流程

• 源网络侧业务数据送入网闸一端，剥离 TCP/IP 底层协议，提取应用层业务数据；
• 执行安全检测：内容审计、病毒查杀、格式校验、黑白名单匹配；
• 合规数据写入网闸硬件隔离缓冲区，断开源侧网络连接；
• 缓冲区再与目标侧接通，读取数据并重建应用协议，发送给对端业务系统。

  
  
  
  

全程分时切换，内外网不会同时和隔离缓冲区连通，实现物理层面的网络隔离。

五、单向网闸（光闸）：只允许单方向摆渡

电力、轨道交通、**等高安全场景，会使用单向光闸。依靠光信号单向传输特性，仅支持数据单向摆渡，反向完全无通信通道。通常摆渡工控测点、数据库采集数据、监控视频、系统日志等数据，彻底杜绝反向网络攻击，保障生产控制网不被外部网络入侵。
六、结语

简单总结：防火墙转发网络包，网闸摆渡业务数据。网闸不是打通两个网络，而是在严格隔离前提下，对业务数据做安全的 “搬运”。通过剥离底层网络连接、内容安全检测、分时隔离交换，在满足跨网业务数据交换需求的同时，守住关键业务网络的安全边界。