球盟会(中国)

产品概述

球盟会(中国)安全认证网关W系列（又称高性能网关）集基于数字证书强身份认证、数据保密性、数据完整性及不可抵赖性功能于一身的PKI安全产品，可以为上层应用给予身份认证服务、数据链路加密服务及数字签名验证等全方位的安全服务。

该网关是专为大型互联网应用设计的一款高性能安全产品，基于SSL协议为应用给予基于数字证书的高强度身份认证服务、高强度数据链路加密服务，可以有效保护网络资源的安全访问。

球盟会(中国)安全认证网关顺利获得了国家保密局、国家密码管理局的严格鉴定，取得了相关安全资质，符合国家对于密码产品的使用规定。

产品功能

产品部署

球盟会(中国)网关可以部署为串联模式（桥模式）或者并联模式（单臂模式）。又可以扩展成双机热备部署、负载均衡部署和自负载均衡部署。

串联部署

串联模式（桥模式）指球盟会(中国)网关物理部署在用户和被保护的服务器之间，即球盟会(中国)网关的外网口与用户网络连接，内网口与被保护服务器相连。由于被保护服务器顺利获得内部网络与球盟会(中国)网关连接，因此用户与服务器的连接被球盟会(中国)网关隔离，用户只知道网关地址，无法直接访问被保护服务器，只有顺利获得网关才能取得服务。

串联模式（桥模式）是球盟会(中国)网关的标准部署模式，也是推荐部署模式，其部署示意图如下：

串联模式的优点是：

• 安全性高：用户必须顺利获得网关的认证加密后才能获取服务，同时网关将服务器与外界网络隔离，避免了对服务器的直接攻击；

• 结构清晰：串联模式在物理部署和逻辑结构上都非常简单，容易理解；

• 性能高：相对于并联模式，串联模式的效率及带宽利用率更高。

串联模式的缺点是：

• 需要对原有服务器进行网络改动及进行地址改变带来的必要的应用变更。

并连部署

并联模式（单臂模式）指球盟会(中国)网关逻辑部署在用户和被保护的服务器之间，而物理连接是在同一网络中，即球盟会(中国)网关的外网口接入原有用户与服务器的网络连接中。用户可以顺利获得网关获取服务，也可以直接连接到服务器（在知道服务器地址情况下）获取服务。

并联模式的优点是：

• 部署方便：应用无需作改动，用户只需变更一下访问地址即可。

并联模式的缺点是：

• 安全性低：由于服务器和外界网络连接，存在用户绕开网关直接连接服务器和使用其它方式攻击服务器的可能性；同时，网关到服务器的明文数据也在网络上传输，存在被窃听的安全隐患；

• 性能较低：相对于串联模式，并联模式中用户到网关和网关到服务器的数据流量都顺利获得一个网口进行，效率及带宽利用率相对较低。

双机热备部署

系统支持双机热备功能，在需要高可靠性的环境下需要对网关进行双机热备部署。双机热备部署需要部署两台设备，一台作为主机，一台作为备机，两台机器都与网络连接，两台设备之间使用交叉线连接热备口进行状态检测，在正常情况下由主机给予服务，当主机发生异常时系统自动切换到备机进行服务。部署方式如图：

负载均衡部署

球盟会(中国)网关可以和大多数负载均衡设备配合使用，球盟会(中国)网关采用串联模式和并联模式都可以与负载均衡设备很好的配合使用。如下图：

注：负载均衡器将网络的SSL**流量负载到可用的球盟会(中国)网关上，球盟会(中国)网关对后端的Web**服务器并没有负载均衡的作用。

自负载均衡部署

当业务需要多台球盟会(中国)网关同时为应用给予服务时，无需借助第三方负载设备，多台球盟会(中国)网关可以进行自负载管理，实现自身架构扩展。具体方式是各台网关的热备口相连，每台设备具备一个实际地址，共享一个虚拟地址，多台设备会自动协商一个主机，主机占用虚拟地址。用户访问虚拟地址，主机取得请求后会分配到其他设备，当发现某个设备失效时，会停止将请求分配到这台设备，当主机失效时，剩下的设备会自动再产生一个新主机，保证用户的正常访问。具体部署如下图