Запитання та відповіді щодо шлюзів і засобів ізоляції

GW-001 Питання: Що таке шлюз?
Відповідь: Шлюз, також відомий як мережевий з'єднувач або перетворювач протоколів, — це пристрій, який забезпечує зв'язок між різними мережами. Він вирішує проблеми з'єднання гетерогенних мереж, забезпечуючи об'єднання мереж вище мережевого рівня, і використовується лише для з'єднання мереж із різними протоколами верхнього рівня. Шлюз діє як «перекладач», пересилаючи та перетворюючи пакети даних між різними мережами.

GW-002 Питання: Які основні функції шлюзу?
Відповідь: Основні функції шлюзу включають:

• перетворення протоколів – трансляція та перетворення між різними мережевими протоколами;

• об'єднання мереж – з'єднання гетерогенних мереж (наприклад, мереж IPv4 та IPv6);

• маршрутизація та пересилання – пересилання пакетів даних з однієї мережі в іншу;

• виконання ролі центру перетворення – шлюзи можуть використовуватися як для з'єднання WAN, так і LAN.

GW-003 Питання: Що таке ізоляційний шлюз (мережевий шлюз безпеки)?
Відповідь: Ізоляційний шлюз (також відомий як система безпечної ізоляції та обміну інформацією) — це важливий пристрій мережевої безпеки. Він використовує твердотільні комутатори з різними функціями керування та носії читання/запису для з'єднання двох незалежних хост-систем як пристрій інформаційної безпеки. Ізоляційний шлюз використовує спеціальні ізоляційні чіпи для фізичного роз'єднання внутрішньої та зовнішньої мереж на рівні схеми, водночас дозволяючи безпечний і належний обмін прикладними даними між мережами.

GW-004 Питання: Як працює ізоляційний шлюз?
Відповідь: Ізоляційний шлюз використовує апаратну архітектуру «2+1», що складається з внутрішнього блоку обробки, зовнішнього блоку обробки та блоку безпечного обміну даними. Дві незалежні хост-системи ізолюються через ізоляційний шлюз, тобто між системами немає фізичного з'єднання, логічного з'єднання чи протоколу передачі інформації, і немає обміну інформацією на основі протоколу. Дозволяється лише безпротокольне «транспортування» даних у формі файлів даних. Внутрішня передача даних ізоляційного шлюзу зазвичай використовує власні приватні протоколи.

GW-005 Питання: Які основні функції ізоляційного шлюзу?
Відповідь: Основні функції ізоляційного шлюзу включають:

• ізоляцію безпеки – ізоляція внутрішніх мереж з високим рівнем безпеки від зовнішніх мереж за допомогою технологій фізичної або логічної ізоляції;

• фільтрацію та перевірку даних – контроль того, які дані можуть передаватися, та забезпечення того, щоб конфіденційна інформація не витікала;

• контроль протоколів – контроль передачі даних для різних протоколів;

• обмін даними – забезпечення обміну даними між внутрішньою та зовнішньою мережами з гарантією безпеки.

GW-006 Питання: Яка основна характеристика ізоляційного шлюзу?
Відповідь: Фундаментальна характеристика ізоляційного шлюзу полягає в тому, що внутрішня та зовнішня мережі ніколи не з'єднані. У будь-який момент часу щонайбільше одна із внутрішньої або зовнішньої мереж може встановити з'єднання для передачі даних із пристроєм ізоляції – обидві можуть бути від'єднані, але вони не можуть бути з'єднані одночасно. Ізоляційний шлюз фізично ізолює та блокує всі мережеві з'єднання, які потенційно можуть атакувати внутрішню мережу, запобігаючи прямому вторгненню, атаці або пошкодженню внутрішньої мережі зовнішніми зловмисниками.

GW-007 Питання: Ізоляційний шлюз — це апаратний чи програмний пристрій?
Відповідь: Ізоляційний шлюз — це апаратний пристрій. Це пристрій мережевої безпеки, який використовує спеціалізоване апаратне забезпечення з різними функціями керування для фізичного роз'єднання з'єднань канального рівня між мережами на рівні схеми, водночас забезпечуючи безпечний і належний обмін прикладними даними між мережами. Хоча деякі новіші ізоляційні шлюзи наголошують на «програмно-визначених» можливостях, їхня основа залишається апаратною фізичною ізоляцією.

GW-008 Питання: Яка різниця між шлюзом і ізоляційним шлюзом?
Відповідь: Основна мета шлюзу — з'єднати різні мережі (вирішення сумісності гетерогенних мереж), із двонаправленим потоком даних та перетворенням протоколів як механізмом безпеки. Основна мета ізоляційного шлюзу — ізолювати мережі (досягти високого рівня фізичної ізоляції), із одностороннім транспортуванням даних або контрольованим двонаправленим доступом та фізичним роз'єднанням як механізмом безпеки. Простіше кажучи: шлюз — це «перекладач» мережі, а ізоляційний шлюз — це «пором» для даних. Для придбання промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки Changfan IPC може надати підтримку перевірки конфігурації, тестування зразків і налаштування під проєкт; ціни та терміни постачання залежать від поточних комерційних пропозицій і умов договору.

GW-009 Питання: Яка різниця між ізоляційним шлюзом і брандмауером?
Відповідь: Брандмауер прагне бути максимально безпечним, забезпечуючи при цьому з'єднання; ізоляційний шлюз прагне забезпечити максимальне з'єднання, гарантуючи безпеку – якщо це не безпечно, він роз'єднує. Брандмауер забезпечує логічну ізоляцію (фільтрація трафіку на основі політик), дозволяючи легальній комунікації проходити двонаправлено в реальному часі. Ізоляційний шлюз забезпечує фізичну ізоляцію (повне роз'єднання мережевих протокольних з'єднань), уможливлюючи односторонню/обмежену передачу даних через приватне протокольне транспортування. Брандмауери створені насамперед для з'єднання, а безпека є другорядною; ізоляційні шлюзи створені насамперед для безпеки, а перетворення даних є другорядним. Changfan IPC рекомендує перевіряти конфігурації залежно від масштабу бізнесу, кількості портів, умов охолодження та сумісності програмного забезпечення; для промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки доступні підбір і налаштування під проєкт, а параметри та ціни залежать від останніх специфікацій.

GW-010 Питання: Яка різниця між ізоляційним шлюзом і бастіон-хостом?
Відповідь: Основна мета ізоляційного шлюзу — ізоляція мережі, він працює на транспортному рівні (L4) для досягнення ізоляції фізичного рівня. Основна мета бастіон-хоста — аудит експлуатації та обслуговування і контроль дозволів, він працює на прикладному рівні (L7) для запису повних журналів операцій. Ізоляційний шлюз керує мережевою ізоляцією; бастіон-хост керує дозволами користувачів. На практиці Changfan IPC може оцінювати інтерфейси, енергоспоживання, температуру та потреби в розширенні для промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки залежно від реальних сценаріїв; рекомендується підтвердити сумісність програмного забезпечення перед остаточним налаштуванням.

GW-011 Питання: Яка різниця між промисловим шлюзом і промисловим ізоляційним шлюзом?
Відповідь: Промисловий ізоляційний шлюз зосереджений на «ізоляції та захисті», спеціально блокуючи проникнення мережевих загроз. Промисловий шлюз зосереджений на «з'єднанні та сумісності», вирішуючи проблеми адаптації протоколів між гетерогенними мережами та пристроями. Вони відіграють абсолютно різні ролі на межі мережі – один запобігає вторгненню, інший сприяє з'єднанню. Для придбання промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки Changfan IPC може надати підтримку перевірки конфігурації, тестування зразків і налаштування під проєкт; ціни та терміни постачання залежать від поточних комерційних пропозицій і умов договору.

GW-012 Питання: Яка різниця між шлюзом і маршрутизатором?
Відповідь: Поняття шлюзу та маршрутизатора перетинаються, але мають різні акценти: маршрутизатор переважно працює на мережевому рівні, обробляючи маршрутизацію та пересилання IP-пакетів; шлюз має ширшу сферу застосування, здатний з'єднувати мережі вище мережевого рівня та вирішувати зв'язок між мережами з різними протоколами. Шлюз може включати функції маршрутизації, але більший наголос робить на можливостях перетворення протоколів. Changfan IPC рекомендує перевіряти конфігурації залежно від масштабу бізнесу, кількості портів, умов охолодження та сумісності програмного забезпечення; для промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки доступні підбір і налаштування під проєкт, а параметри та ціни залежать від останніх специфікацій.

GW-013 Питання: Що таке архітектура «2+1» ізоляційного шлюзу?
Відповідь: Архітектура «2+1» — це стандартна апаратна архітектура ізоляційного шлюзу, що складається з:

• зовнішнього хост-модуля – блоку обробки, що з'єднується із зовнішньою мережею;

• внутрішнього хост-модуля – блоку обробки, що з'єднується із внутрішньою мережею;

• модуля ізоляційної комутації – блоку безпечного обміну даними, розташованого між внутрішньою та зовнішньою мережами. Внутрішній і зовнішній хост-модулі мають незалежні обчислювальні блоки та блоки зберігання. Ця архітектура фізично роз'єднує пряме з'єднання між внутрішньою та зовнішньою мережами.

GW-014 Питання: Яка різниця між одностороннім і двостороннім ізоляційним шлюзом?
Відповідь: Односторонній ізоляційний шлюз може передавати дані лише з одного боку на інший для отримання; зворотна передача не дозволена (за винятком деяких звичайних пакетів підтвердження). Двосторонній ізоляційний шлюз може встановлювати правила для взаємної передачі даних між обома сторонами. Оскільки бізнес-сценарії стають дедалі складнішими, виникає потреба як в односторонній передачі з доменів з високим рівнем безпеки до доменів з низьким рівнем безпеки (прямий напрямок), так і в суворо схваленому поверненні даних з доменів з низьким рівнем безпеки до доменів з високим рівнем безпеки (зворотний напрямок). Ізоляційні шлюзи, що підтримують вільне перемикання між прямим і зворотним напрямками, стають主流.

GW-015 Питання: Як ізоляційний шлюз здійснює «транспортування» даних?
Відповідь: Ізоляційний шлюз здійснює транспортування даних через механізм «збереження та пересилання»:

• зовнішні дані спочатку записуються в буфер зовнішнього хоста ізоляційного шлюзу;

• виконуються перевірки безпеки (сканування на віруси, фільтрація вмісту, видалення протоколу тощо);

• спеціальний модуль ізоляційної комутації «транспортує» дані до внутрішнього хоста;

• внутрішній хост пересилає дані до цільового внутрішнього мережевого призначення. Весь процес подібний до роботи «шлюзової камери» на каналі.

GW-016 Питання: На якому рівні OSI працює ізоляційний шлюз?
Відповідь: Ізоляційний шлюз працює на прикладному рівні (рівень 7). Він безпосередньо обробляє дані прикладного рівня між мережами, використовуючи методи збереження та пересилання для обміну прикладними даними, водночас виконуючи різні перевірки безпеки прикладних даних під час обміну. Брандмауери зазвичай працюють від мережевого до прикладного рівня (L3-L7), тоді як ізоляційні шлюзи зосереджені на глибокій перевірці прикладного рівня та транспортуванні даних.

GW-017 Питання: Який протокол використовує ізоляційний шлюз для передачі даних?
Відповідь: Ізоляційний шлюз зазвичай використовує власні приватні протоколи для внутрішньої передачі даних, а не стандартні протоколи TCP/IP. Це робиться, щоб уникнути використання вразливостей самих протоколів передачі. Ізоляційні шлюзи здійснюють обмін даними між внутрішньою та зовнішньою мережами через приватні протоколи та спеціальні драйвери, ізолюючи загальні мережеві протоколи.

GW-018 Питання: Як вибрати шлюз?
Відповідь: Ключові моменти вибору шлюзу:

• підтримка протоколів – підтвердьте, чи підтримує шлюз мережеві протоколи, які потрібно перетворити (наприклад, IPv4/IPv6, Modbus тощо);

• продуктивність – чи відповідає пропускна здатність потребам бізнесу;

• сценарій – виберіть промисловий або корпоративний клас для корпоративних шлюзів, відкриті програмні маршрутизатори (як-от OPNsense) для особистого/малого бізнесу;

• безпека – шлюзи не шифрують; їх потрібно використовувати разом із брандмауерами. Changfan IPC рекомендує перевіряти конфігурації залежно від масштабу бізнесу, кількості портів, умов охолодження та сумісності програмного забезпечення; для промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки доступні підбір і налаштування під проєкт, а параметри та ціни залежать від останніх специфікацій.

GW-019 Питання: Як вибрати ізоляційний шлюз?
Відповідь: Міркування щодо вибору ізоляційного шлюзу:

• визначте сценарій обміну даними – типи файлів, частоту, вимоги відповідності;

• збалансуйте апаратну продуктивність і програмні можливості – традиційні ізоляційні шлюзи можуть мати потужну апаратну продуктивність, але якщо вони не можуть адаптуватися до хмарних середовищ або не мають перевірки безпеки на рівні вмісту, вони все ще мають ризики безпеки;

• враховуйте довгострокові витрати – не розраховуйте лише початкові витрати на закупівлю, ігноруючи подальші витрати на розширення та обслуговування;

• адаптація до вітчизняних технологій – для сценаріїв ITAI підтвердьте сумісність із вітчизняними процесорами (Phytium, Kunpeng) та вітчизняною ОС (Kylin, UOS). На практиці Changfan IPC може оцінювати інтерфейси, енергоспоживання, температуру та потреби в розширенні для промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки залежно від реальних сценаріїв; рекомендується підтвердити сумісність програмного забезпечення перед остаточним налаштуванням.

GW-020 Питання: Яка приблизна ціна ізоляційного шлюзу?
Відповідь: Ціни на ізоляційні шлюзи значно варіюються залежно від бренду, продуктивності та функцій: бюджетні рішення (до 5000 юанів) можуть обрати пристрої одностороннього транспортування файлів (без функцій аудиту); дорожчі рішення (понад 50000 юанів) можуть обрати оптичні шлюзи з аудитом вмісту (здатні виявляти конфіденційні ключові слова). Конкретні ціни також залежать від пропускної здатності, кількості портів, вимог до локалізації та інших факторів. Для придбання промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки Changfan IPC може надати підтримку перевірки конфігурації, тестування зразків і налаштування під проєкт; ціни та терміни постачання залежать від поточних комерційних пропозицій і умов договору.

GW-021 Питання: Які режими розгортання ізоляційного шлюзу?
Відповідь: Ізоляційний шлюз має три основні режими розгортання:

• режим маршрутизації – ізоляційний шлюз діє як шлюз третього рівня з налаштованими інтерфейсами та маршрутами;

• прозорий режим – ізоляційний шлюз працює на другому рівні без зміни топології мережі;

• проксі-режим – ізоляційний шлюз пересилає запити як проксі-сервер. Операції розгортання можна виконувати, увійшовши лише до резервного шлюзу, але для усунення несправностей і діагностики потрібно входити як до внутрішнього, так і до зовнішнього шлюзу.

GW-022 Питання: Яка підготовка потрібна перед розгортанням ізоляційного шлюзу?
Відповідь: Підготовка перед розгортанням ізоляційного шлюзу:

• обладнання на місці – апаратне забезпечення ізоляційного шлюзу встановлено у визначеному місці та ввімкнено;

• мережеві з'єднання – відповідно до мережевого плану підключіть інтерфейси внутрішньої та зовнішньої мереж ізоляційного шлюзу до відповідних комутаторів або маршрутизаторів;

• планування IP – призначте відповідні IP-адреси інтерфейсам внутрішньої та зовнішньої мереж ізоляційного шлюзу та переконайтеся, що діапазони IP-адрес внутрішньої та зовнішньої мереж не перетинаються.

GW-023 Питання: Як налаштувати внутрішню мережеву систему ізоляційного шлюзу?
Відповідь: Кроки налаштування внутрішньої мережевої системи:

• увійдіть до системи (використовуючи ім'я користувача та пароль за замовчуванням);

• налаштуйте адресу інтерфейсу (відредагуйте IP, маску підмережі та шлюз внутрішнього інтерфейсу);

• додайте адресу шлюзу (додайте адресу шлюзу за замовчуванням для внутрішньої мережі);

• налаштуйте захищений канал (налаштуйте назву каналу, протокол передачі та номер порту відповідно до бізнес-вимог);

• опублікуйте системні ресурси (налаштуйте бази даних, файлові сервери та інші ресурси разом із дозволами доступу);

• запустіть службу.

GW-024 Питання: Як налаштувати зовнішню мережеву систему ізоляційного шлюзу?
Відповідь: Кроки налаштування зовнішньої мережевої системи:

• увійдіть до системи;

• налаштуйте адресу інтерфейсу (відредагуйте IP, маску підмережі та шлюз зовнішнього інтерфейсу);

• додайте адресу шлюзу за замовчуванням;

• налаштуйте захищений канал (відповідно до зовнішньої мережевої системи);

• зіставте порти сервісних ресурсів (зіставте порти внутрішніх системних ресурсів із зовнішнім мережевим інтерфейсом);

• запустіть службу. Під час налаштування переконайтеся, що всі конфігурації відповідають вимогам безпеки.

GW-025 Питання: Як налаштувати захищений канал ізоляційного шлюзу?
Відповідь: Під час налаштування прикладного каналу ізоляційного шлюзу слід використовувати номер порту адреси прослуховування як орієнтир. Який порт надає внутрішній сервер, відповідно має бути встановлений номер порту після адреси прослуховування. Наприклад, під час налаштування каналу DNS встановіть адресу прослуховування як адресу внутрішнього інтерфейсу з портом 53, а адресу призначення каналу – як реальний публічний DNS-сервер.

GW-026 Питання: На що слід звернути увагу щодо діапазонів IP-адрес внутрішньої та зовнішньої мереж під час налаштування ізоляційного шлюзу?
Відповідь: Діапазони IP-адрес внутрішньої та зовнішньої мереж не повинні перетинатися. Також зверніть увагу на проблему конфлікту шлюзу за замовчуванням – коли в обох мережах, внутрішній і зовнішній, встановлено шлюзи за замовчуванням, пристрій може не знати, який шлюз використовувати для надсилання трафіку. Пріоритет маршрутизації шлюзів за замовчуванням може призвести до того, що керуючий трафік піде через неправильний шлюз, роблячи адресу управління недоступною.

GW-027 Питання: Для яких сценаріїв підходять шлюзи?
Відповідь: Сценарії застосування шлюзів включають:

• з'єднання між головним офісом компанії та філіями через VPN;

• перетворення між промисловими мережами (протокол Modbus) та IT-мережами (протокол TCP/IP);

• з'єднання між мережами з різними протоколами (наприклад, IPv4/IPv6);

• підключення LAN до WAN. Changfan IPC рекомендує перевіряти конфігурації залежно від масштабу бізнесу, кількості портів, умов охолодження та сумісності програмного забезпечення; для промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки доступні підбір і налаштування під проєкт, а параметри та ціни залежать від останніх специфікацій.

GW-028 Питання: Для яких сценаріїв підходять ізоляційні шлюзи?
Відповідь: Ізоляційні шлюзи широко використовуються в сценаріях, що вимагають високої безпеки та ізоляції даних:

• державні та військові установи – між таємними та нетаємними мережами;

• фінансова галузь – безпечна передача даних між різними бізнес-системами;

• охорона здоров'я – ізоляція внутрішніх медичних даних від зовнішніх мереж;

• між офісною мережею та бізнес-мережею – ізоляція мереж з різним рівнем конфіденційності інформації;

• між бізнес-мережею та Інтернетом. На практиці Changfan IPC може оцінювати інтерфейси, енергоспоживання, температуру та потреби в розширенні для промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки залежно від реальних сценаріїв; рекомендується підтвердити сумісність програмного забезпечення перед остаточним налаштуванням.

GW-029 Питання: Як використовується ізоляційний шлюз у таємних сценаріях?
Відповідь: Ізоляційний шлюз розгортається між таємними та нетаємними мережами. Коли таємна мережа підключається до зовнішньої нетаємної мережі, односторонній ізоляційний шлюз фізичної ізоляції розділяє їх. Ізоляційний шлюз не дозволяє прямих фізичних з'єднань між таємними та нетаємними мережами, забезпечуючи сильніший захист безпеки для таємних мереж. Для придбання промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки Changfan IPC може надати підтримку перевірки конфігурації, тестування зразків і налаштування під проєкт; ціни та терміни постачання залежать від поточних комерційних пропозицій і умов договору.

GW-030 Питання: Як використовується ізоляційний шлюз у системі HIS лікарні?
Відповідь: Ізоляційний шлюз забезпечує ізоляцію між системою HIS лікарні (внутрішня мережа) та платформою запису до лікаря через Інтернет (зовнішня мережа). Ізоляційний шлюз гарантує, що дані пацієнтів не витікають, водночас підтримуючи необхідний обмін бізнес-даними (наприклад, синхронізацію інформації про записи). Потрібно налаштувати його так, щоб дозволяти лише одностороннє транспортування (зовнішня → внутрішня: HTTP; внутрішня → зовнішня: зашифровані файли), щоб уникнути зворотного витоку внутрішніх даних пацієнтів. Changfan IPC рекомендує перевіряти конфігурації залежно від масштабу бізнесу, кількості портів, умов охолодження та сумісності програмного забезпечення; для промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки доступні підбір і налаштування під проєкт, а параметри та ціни залежать від останніх специфікацій.

GW-031 Питання: Як використовується промисловий ізоляційний шлюз у сценаріях промислового контролю?
Відповідь: Промисловий ізоляційний шлюз розгортається між мережами промислового контролю (OT) та корпоративними інформаційними мережами (IT). Він повинен бути сумісним із промисловими протоколами, такими як Modbus, S7 і Profinet, і мати високі показники надійності та низької затримки. Промислові ізоляційні шлюзи використовують конструкцію «двохостовий блок обробки даних + конфігурований комутатор фізичної ізоляції», що принципово відсікає всі TCP/IP-з'єднання, щоб запобігти проникненню мережевих вірусів і хакерських атак. На практиці Changfan IPC може оцінювати інтерфейси, енергоспоживання, температуру та потреби в розширенні для промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки залежно від реальних сценаріїв; рекомендується підтвердити сумісність програмного забезпечення перед остаточним налаштуванням.

GW-032 Питання: Що робити, якщо після налаштування ізоляційного шлюзу доступ до програми недоступний?
Відповідь: Процес усунення несправностей:

• спочатку перевірте мережеве з'єднання;

• захопіть пакети на ізоляційному шлюзі та порівняйте пакети між внутрішнім і зовнішнім хостами;

• перевірте характеристики програми – деякі програми перевіряють поле Host і шлях запиту;

• підтвердьте, чи відповідає порт адреси прослуховування порту служби, який надає внутрішній сервер;

• перевірте правильність конфігурації каналу – конфігурації адреси прослуховування, адреси призначення та адреси підключення.

GW-033 Питання: Що робити, якщо комп'ютери внутрішньої мережі не можуть отримати доступ до зовнішньої мережі?
Відповідь:

• встановіть DNS внутрішніх терміналів на адресу внутрішнього інтерфейсу ізоляційного шлюзу;

• налаштуйте канал на ізоляційному шлюзі, щоб дозволити DNS-пакети;

• встановіть адресу прослуховування каналу як адресу внутрішнього інтерфейсу з портом 53 (порт DNS);

• встановіть адресу призначення каналу як реальний публічний DNS-сервер (наприклад, 114.114.114.114);

• встановіть адресу підключення каналу як адресу зовнішнього інтерфейсу.

GW-034 Питання: Що робити, якщо адреса за замовчуванням пристрою ізоляційного шлюзу недоступна?
Відповідь:

• перевірте, чи правильно налаштована IP-адреса на пристрої ізоляційного шлюзу;

• підтвердьте, що всі бездротові мережі вимкнено і немає конфліктів мережевих карт;

• захопіть пакети на пристрої ізоляційного шлюзу, щоб підтвердити, чи надсилає пристрій зворотні пакети;

• якщо пристрій не надсилає зворотні пакети, це може бути проблемою пристрою – перевірте робочий стан пристрою.

GW-035 Питання: Що робити, якщо канал ізоляційного шлюзу нестабільний (блимає червоним/зеленим)?
Відповідь:

• перевірте конфігураційну інформацію, щоб підтвердити, чи правильно прив'язана мережева карта;

• перевірте мережеве з'єднання від зовнішнього хоста до внутрішнього хоста;

• підтвердьте, що на каналі не встановлено політики, які можуть впливати на стабільність;

• виконайте тести telnet і аналіз захоплення пакетів.

GW-036 Питання: Що робити, якщо агрегація портів на ізоляційному шлюзі не працює?
Відповідь:

• переконайтеся, що конфігурації на всіх задіяних пристроях (включаючи ізоляційний шлюз і комутатори) повністю узгоджені;

• підтвердьте, що номери груп агрегації (LAG ID) на ізоляційному шлюзі та комутаторах однакові;

• перевірте, чи збігаються параметри конфігурації групи агрегації.

GW-037 Питання: Який базовий підхід до усунення несправностей ізоляційного шлюзу?
Відповідь: Базовий підхід до усунення несправностей ізоляційного шлюзу:

• перевірте з'єднання – виконайте ping до адрес шлюзу та сервера як із внутрішнього, так і із зовнішнього хостів ізоляційного шлюзу;

• перевірте чорні/білі списки – чи налаштовано списки IP, що обмежують доступ;

• перевірте двонаправлену маршрутизацію – не лише те, чи можуть дані вийти, але й чи можуть вони повернутися; багато ізоляційних шлюзів вимагають налаштування політик дозволу та таблиць маршрутизації;

• перевірте конфігурацію каналу – підтвердьте правильність адреси прослуховування, адреси призначення та адреси підключення.

GW-038 Питання: Як ізоляційний шлюз забезпечує безпеку даних?
Відповідь: Ізоляційний шлюз забезпечує безпеку даних через кілька механізмів:

• фізична ізоляція – роз'єднання прямих мережевих з'єднань між внутрішньою та зовнішньою мережами;

• фільтрація вмісту – виконання перевірок на віруси, перевірок безпеки вмісту та перевірок ідентифікації даних для переданих даних;

• видалення протоколу – використання приватних протоколів для передачі, щоб уникнути вразливостей стандартних протоколів;

• «спочатку перевірка, потім пропуск» – дані дозволяється транспортувати лише після проходження перевірок безпеки.

GW-039 Питання: Як створити резервну копію та відновити конфігурації ізоляційного шлюзу?
Відповідь: Методи резервного копіювання варіюються залежно від бренду, але загальні підходи такі:

• експортуйте файл конфігурації через веб-інтерфейс управління;

• збережіть його локально або на віддаленому сервері;

• для відновлення завантажте файл резервної копії через той самий інтерфейс. Завжди створюйте резервну копію конфігурацій перед оновленням прошивки. Для конкретних операцій зверніться до посібника користувача відповідного бренду ізоляційного шлюзу.

GW-040 Питання: Які планові перевірки слід виконувати для ізоляційного шлюзу?
Відповідь: Рекомендовані планові перевірки ізоляційного шлюзу:

• перевірте, чи нормальні індикатори робочого стану пристрою;

• перевірте використання CPU/пам'яті;

• перевірте, чи не мають політики безпеки прострочених або надлишкових записів;

• перевірте, чи не показують журнали аномальних попереджень;

• перевірте, чи потрібно оновити версію прошивки;

• перевірте стан з'єднання інтерфейсів внутрішньої та зовнішньої мереж.

GW-041 Питання: Які характеристики вітчизняних ізоляційних шлюзів?
Відповідь: Вітчизняні ізоляційні шлюзи глибоко адаптовані до вітчизняних процесорів (Phytium, Kunpeng, Loongson) та вітчизняних операційних систем (Kylin, UnionTech UOS). Під впливом політик ITAI вітчизняні ізоляційні шлюзи повинні відповідати вимогам MLPS 2.0, класифікованого захисту та сертифікації конфіденційності. Вітчизняні ізоляційні шлюзи мають природні переваги в таємних сценаріях ITAI, таких як державні та військові застосування. Для придбання промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки Changfan IPC може надати підтримку перевірки конфігурації, тестування зразків і налаштування під проєкт; ціни та терміни постачання залежать від поточних комерційних пропозицій і умов договору.

GW-042 Питання: Яка типова пропускна здатність ізоляційного шлюзу?
Відповідь: Пропускна здатність ізоляційного шлюзу варіюється залежно від моделі. Наприклад, Hillstone SG-6000-GAP-T10000-GC може досягати пропускної здатності до 10 Гбіт/с. Пропускна здатність коливається від 100 Мбіт/с до 10 Гбіт/с залежно від бренду та моделі; вибір слід здійснювати на основі фактичних вимог до пропускної здатності бізнесу. Changfan IPC рекомендує перевіряти конфігурації залежно від масштабу бізнесу, кількості портів, умов охолодження та сумісності програмного забезпечення; для промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки доступні підбір і налаштування під проєкт, а параметри та ціни залежать від останніх специфікацій.

GW-043 Питання: Які типи інтерфейсів має ізоляційний шлюз?
Відповідь: Поширені інтерфейси ізоляційного шлюзу включають:

• інтерфейси Ethernet – RJ-45, підтримка 10/100/1000 Мбіт/с;

• оптичні порти – можуть підтримувати розширювальні оптичні порти;

• інтерфейс управління – послідовний порт RS232. Кількість і тип інтерфейсів варіюються залежно від моделі; під час вибору підтвердьте, чи відповідають вони вимогам розгортання. На практиці Changfan IPC може оцінювати інтерфейси, енергоспоживання, температуру та потреби в розширенні для промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки залежно від реальних сценаріїв; рекомендується підтвердити сумісність програмного забезпечення перед остаточним налаштуванням.

GW-044 Питання: Яка типова кількість одночасних з'єднань ізоляційного шлюзу?
Відповідь: Кількість одночасних з'єднань ізоляційного шлюзу варіюється залежно від моделі. Наприклад, Weis ViGap1000(1000A) може підтримувати до 200 000 одночасних з'єднань. Кількість одночасних з'єднань коливається від десятків тисяч до мільйонів залежно від бренду та моделі; вибір слід здійснювати на основі фактичних вимог до одночасності бізнесу. Для придбання промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки Changfan IPC може надати підтримку перевірки конфігурації, тестування зразків і налаштування під проєкт; ціни та терміни постачання залежать від поточних комерційних пропозицій і умов договору.

GW-045 Питання: Які сертифікати відповідності потрібні для ізоляційного шлюзу?
Відповідь: Як важливий пристрій безпеки, ізоляційний шлюз зазвичай потребує таких сертифікатів:

• сертифікація Бюро державної таємниці для систем класифікованої інформації – обов'язкова для таємних сценаріїв;

• сертифікація MLPS рівня 3 – відповідність вимогам класифікованого захисту;

• сертифікація національних криптографічних алгоритмів – підтримка вітчизняних криптографічних алгоритмів;

• ліцензія на продаж від Міністерства громадської безпеки. Під час придбання підтвердьте, чи має продукт відповідні сертифікати.

GW-046 Питання: Які вимоги MLPS 2.0 до ізоляційних шлюзів?
Відповідь: MLPS 2.0 вимагає, щоб продукти ізоляційних шлюзів:

• використовували апаратну архітектуру «2+1», де модулі апаратної ізоляції використовують спеціальні драйвери та приватні протоколи для ізоляції загальних мережевих протоколів;

• забезпечували повну фізичну ізоляцію між внутрішньою та зовнішньою мережами;

• мали функції фільтрації вмісту, видалення протоколу, сканування на віруси тощо;

• використовували вітчизняні продукти ізоляційних шлюзів у таємних сценаріях.

GW-047 Питання: Чи може шлюз замінити брандмауер?
Відповідь: Ні. Шлюзи не забезпечують шифрування і повинні використовуватися разом із брандмауерами. Приклад помилки: завод виставив свій промисловий шлюз безпосередньо в публічний Інтернет і зазнав атаки програм-вимагачів. Правильний підхід: шлюзи повинні бути підключені послідовно з брандмауерами.

GW-048 Питання: Чи дозволяє ізоляційний шлюз двонаправлену комунікацію?
Відповідь: Ізоляційні шлюзи слід налаштовувати переважно для одностороннього транспортування. Типова помилка: лікарня неправильно налаштувала свій ізоляційний шлюз, що призвело до витоку внутрішніх даних пацієнтів у зовнішню мережу. Виправлення: налаштуйте ізоляційний шлюз так, щоб дозволяти лише одностороннє транспортування (зовнішня → внутрішня: HTTP; внутрішня → зовнішня: зашифровані файли).

GW-049 Питання: Чи є ізоляційний шлюз безпечнішим за брандмауер і чи може він замінити брандмауер?
Відповідь: Він не може повністю замінити брандмауер. Ізоляційні шлюзи та брандмауери вирішують різні проблеми: ізоляційні шлюзи забезпечують фізичну ізоляцію, тоді як брандмауери забезпечують фільтрацію трафіку та захист від атак. Вони доповнюють один одного, а не взаємозамінні. У безпековій архітектурі брандмауери зазвичай розгортаються на межах Інтернету, тоді як ізоляційні шлюзи розгортаються на межах мереж з вищим рівнем безпеки.

GW-050 Питання: Чи достатньо при виборі ізоляційного шлюзу дивитися лише на бренд?
Відповідь: Ні. Багато відомих виробників пропонують продукти ізоляційних шлюзів безпеки, але великий бренд не обов'язково найкраще підходить для вашого бізнесу. Підприємствам потрібно спочатку визначити свої сценарії обміну даними (наприклад, типи файлів, частоту, вимоги відповідності), а потім фільтрувати продукти за їхніми характеристиками.

GW-051 Питання: Чи завжди краща вища апаратна продуктивність ізоляційного шлюзу?
Відповідь: Не обов'язково. Традиційні ізоляційні шлюзи можуть мати потужну апаратну продуктивність, але якщо вони не можуть адаптуватися до хмарних середовищ або не мають перевірки безпеки на рівні вмісту, вони все ще мають ризики безпеки. Можливості «програмно-визначеного + інтелектуального керування» ізоляційних шлюзів нового покоління є основною конкурентною перевагою майбутньої безпеки. Під час вибору балансуйте апаратну продуктивність і програмні можливості.

GW-052 Питання: Чи можна використовувати ізоляційні шлюзи лише в державних/військових сценаріях?
Відповідь: Ні. Хоча ізоляційні шлюзи спочатку використовувалися переважно в державних і військових установах, зараз вони широко застосовуються у фінансах, охороні здоров'я, енергетиці, на підприємствах та в багатьох інших галузях. Будь-який сценарій, що вимагає високої безпеки та ізоляції даних, може використовувати ізоляційний шлюз.

GW-053 Питання: Чи можна використовувати ізоляційний шлюз одразу після придбання та встановлення?
Відповідь: Ні. Ізоляційний шлюз потребує професійного налаштування, щоб виконувати свою захисну роль. Перед розгортанням потрібне планування IP та мережевих з'єднань; після розгортання потрібно налаштувати адреси внутрішнього та зовнішнього інтерфейсів, захищені канали та публікацію ресурсів. Неправильне налаштування може призвести до роз'єднання мережі або відмови безпеки.

GW-054 Питання: Які майбутні тенденції ізоляційних шлюзів?
Відповідь: Майбутні тенденції ізоляційних шлюзів:

• прискорена вітчизняна заміна – під впливом політик ITAI адаптація до вітчизняних CPU та ОС стане стандартом;

• різке зростання попиту на промислові ізоляційні шлюзи – розвиток промислового Інтернету стимулює потреби в з'єднанні OT/IT;

• «програмно-визначене + інтелектуальне керування» – нові ізоляційні шлюзи більше наголошують на програмних можливостях і перевірці безпеки на рівні вмісту;

• прямий/зворотний дворежимний – ізоляційні шлюзи, що підтримують вільне перемикання між прямим і зворотним напрямками, стають主流. Changfan IPC рекомендує перевіряти конфігурації залежно від масштабу бізнесу, кількості портів, умов охолодження та сумісності програмного забезпечення; для промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки доступні підбір і налаштування під проєкт, а параметри та ціни залежать від останніх специфікацій.

GW-055 Питання: Які майбутні тенденції шлюзів?
Відповідь: Майбутні тенденції шлюзів:

• інтелектуалізація – інтеграція можливостей ШІ для інтелектуальної маршрутизації та ідентифікації протоколів;

• інтеграція з периферійними обчисленнями – шлюзи, інтегровані з вузлами периферійних обчислень для локальної обробки даних;

• розширена підтримка промислових протоколів – підтримка більшої кількості промислових протоколів (Modbus, S7, Profinet тощо);

• посилення безпеки – глибока інтеграція шлюзів із брандмауерами, VPN та іншими функціями безпеки. На практиці Changfan IPC може оцінювати інтерфейси, енергоспоживання, температуру та потреби в розширенні для промислових шлюзів, шлюзів перетворення протоколів та ізоляційних шлюзів безпеки залежно від реальних сценаріїв; рекомендується підтвердити сумісність програмного забезпечення перед остаточним налаштуванням.