產(chǎn)品概述

格爾安全認(rèn)證網(wǎng)關(guān)W系列（又稱高性能網(wǎng)關(guān)）集基于數(shù)字證書強(qiáng)身份認(rèn)證、數(shù)據(jù)保密性、數(shù)據(jù)完整性及不可抵賴性功能于一身的PKI安全產(chǎn)品，可以為上層應(yīng)用提供身份認(rèn)證服務(wù)、數(shù)據(jù)鏈路加密服務(wù)及數(shù)字簽名驗(yàn)證等全方位的安全服務(wù)。

該網(wǎng)關(guān)是專為大型互聯(lián)網(wǎng)應(yīng)用設(shè)計(jì)的一款高性能安全產(chǎn)品，基于SSL協(xié)議為應(yīng)用提供基于數(shù)字證書的高強(qiáng)度身份認(rèn)證服務(wù)、高強(qiáng)度數(shù)據(jù)鏈路加密服務(wù)，可以有效保護(hù)網(wǎng)絡(luò)資源的安全訪問。

格爾安全認(rèn)證網(wǎng)關(guān)通過了國家保密局、國家密碼管理局的嚴(yán)格鑒定，取得了相關(guān)安全資質(zhì)，符合國家對于密碼產(chǎn)品的使用規(guī)定。

產(chǎn)品功能

產(chǎn)品部署

格爾網(wǎng)關(guān)可以部署為串聯(lián)模式（橋模式）或者并聯(lián)模式（單臂模式）。又可以擴(kuò)展成雙機(jī)熱備部署、負(fù)載均衡部署和自負(fù)載均衡部署。

串聯(lián)部署

串聯(lián)模式（橋模式）指格爾網(wǎng)關(guān)物理部署在用戶和被保護(hù)的服務(wù)器之間，即格爾網(wǎng)關(guān)的外網(wǎng)口與用戶網(wǎng)絡(luò)連接，內(nèi)網(wǎng)口與被保護(hù)服務(wù)器相連。由于被保護(hù)服務(wù)器通過內(nèi)部網(wǎng)絡(luò)與格爾網(wǎng)關(guān)連接，因此用戶與服務(wù)器的連接被格爾網(wǎng)關(guān)隔離，用戶只知道網(wǎng)關(guān)地址，無法直接訪問被保護(hù)服務(wù)器，只有通過網(wǎng)關(guān)才能獲得服務(wù)。

串聯(lián)模式（橋模式）是格爾網(wǎng)關(guān)的標(biāo)準(zhǔn)部署模式，也是推薦部署模式，其部署示意圖如下：

串聯(lián)模式的優(yōu)點(diǎn)是：

• 安全性高：用戶必須通過網(wǎng)關(guān)的認(rèn)證加密后才能獲取服務(wù)，同時(shí)網(wǎng)關(guān)將服務(wù)器與外界網(wǎng)絡(luò)隔離，避免了對服務(wù)器的直接攻擊；

• 結(jié)構(gòu)清晰：串聯(lián)模式在物理部署和邏輯結(jié)構(gòu)上都非常簡單，容易理解；

• 性能高：相對于并聯(lián)模式，串聯(lián)模式的效率及帶寬利用率更高。

串聯(lián)模式的缺點(diǎn)是：

• 需要對原有服務(wù)器進(jìn)行網(wǎng)絡(luò)改動及進(jìn)行地址改變帶來的必要的應(yīng)用變更。

并連部署

并聯(lián)模式（單臂模式）指格爾網(wǎng)關(guān)邏輯部署在用戶和被保護(hù)的服務(wù)器之間，而物理連接是在同一網(wǎng)絡(luò)中，即格爾網(wǎng)關(guān)的外網(wǎng)口接入原有用戶與服務(wù)器的網(wǎng)絡(luò)連接中。用戶可以通過網(wǎng)關(guān)獲取服務(wù)，也可以直接連接到服務(wù)器（在知道服務(wù)器地址情況下）獲取服務(wù)。

并聯(lián)模式的優(yōu)點(diǎn)是：

• 部署方便：應(yīng)用無需作改動，用戶只需變更一下訪問地址即可。

并聯(lián)模式的缺點(diǎn)是：

• 安全性低：由于服務(wù)器和外界網(wǎng)絡(luò)連接，存在用戶繞開網(wǎng)關(guān)直接連接服務(wù)器和使用其它方式攻擊服務(wù)器的可能性；同時(shí)，網(wǎng)關(guān)到服務(wù)器的明文數(shù)據(jù)也在網(wǎng)絡(luò)上傳輸，存在被竊聽的安全隱患；

• 性能較低：相對于串聯(lián)模式，并聯(lián)模式中用戶到網(wǎng)關(guān)和網(wǎng)關(guān)到服務(wù)器的數(shù)據(jù)流量都通過一個網(wǎng)口進(jìn)行，效率及帶寬利用率相對較低。

雙機(jī)熱備部署

系統(tǒng)支持雙機(jī)熱備功能，在需要高可靠性的環(huán)境下需要對網(wǎng)關(guān)進(jìn)行雙機(jī)熱備部署。雙機(jī)熱備部署需要部署兩臺設(shè)備，一臺作為主機(jī)，一臺作為備機(jī)，兩臺機(jī)器都與網(wǎng)絡(luò)連接，兩臺設(shè)備之間使用交叉線連接熱備口進(jìn)行狀態(tài)檢測，在正常情況下由主機(jī)提供服務(wù)，當(dāng)主機(jī)發(fā)生異常時(shí)系統(tǒng)自動切換到備機(jī)進(jìn)行服務(wù)。部署方式如圖：

負(fù)載均衡部署

格爾網(wǎng)關(guān)可以和大多數(shù)負(fù)載均衡設(shè)備配合使用，格爾網(wǎng)關(guān)采用串聯(lián)模式和并聯(lián)模式都可以與負(fù)載均衡設(shè)備很好的配合使用。如下圖：

注：負(fù)載均衡器將網(wǎng)絡(luò)的SSL**流量負(fù)載到可用的格爾網(wǎng)關(guān)上，格爾網(wǎng)關(guān)對后端的Web**服務(wù)器并沒有負(fù)載均衡的作用。

自負(fù)載均衡部署

當(dāng)業(yè)務(wù)需要多臺格爾網(wǎng)關(guān)同時(shí)為應(yīng)用提供服務(wù)時(shí)，無需借助第三方負(fù)載設(shè)備，多臺格爾網(wǎng)關(guān)可以進(jìn)行自負(fù)載管理，實(shí)現(xiàn)自身架構(gòu)擴(kuò)展。具體方式是各臺網(wǎng)關(guān)的熱備口相連，每臺設(shè)備具備一個實(shí)際地址，共享一個虛擬地址，多臺設(shè)備會自動協(xié)商一個主機(jī)，主機(jī)占用虛擬地址。用戶訪問虛擬地址，主機(jī)獲得請求后會分配到其他設(shè)備，當(dāng)發(fā)現(xiàn)某個設(shè)備失效時(shí)，會停止將請求分配到這臺設(shè)備，當(dāng)主機(jī)失效時(shí)，剩下的設(shè)備會自動再產(chǎn)生一個新主機(jī)，保證用戶的正常訪問。具體部署如下圖