產品概述

格爾安全認證網關W系列（又稱高性能網關）集基于數字證書強身份認證、數據保密性、數據完整性及不可抵賴性功能于一身的PKI安全產品，可以為上層應用提供身份認證服務、數據鏈路加密服務及數字簽名驗證等全方位的安全服務。

該網關是專為大型互聯網應用設計的一款高性能安全產品，基于SSL協議為應用提供基于數字證書的高強度身份認證服務、高強度數據鏈路加密服務，可以有效保護網絡資源的安全訪問。

格爾安全認證網關通過了國家保密局、國家密碼管理局的嚴格鑒定，取得了相關安全資質，符合國家對于密碼產品的使用規定。

產品功能

產品部署

格爾網關可以部署為串聯模式（橋模式）或者并聯模式（單臂模式）。又可以擴展成雙機熱備部署、負載均衡部署和自負載均衡部署。

串聯部署

串聯模式（橋模式）指格爾網關物理部署在用戶和被保護的服務器之間，即格爾網關的外網口與用戶網絡連接，內網口與被保護服務器相連。由于被保護服務器通過內部網絡與格爾網關連接，因此用戶與服務器的連接被格爾網關隔離，用戶只知道網關地址，無法直接訪問被保護服務器，只有通過網關才能獲得服務。

串聯模式（橋模式）是格爾網關的標準部署模式，也是推薦部署模式，其部署示意圖如下：

串聯模式的優點是：

• 安全性高：用戶必須通過網關的認證加密后才能獲取服務，同時網關將服務器與外界網絡隔離，避免了對服務器的直接攻擊；

• 結構清晰：串聯模式在物理部署和邏輯結構上都非常簡單，容易理解；

• 性能高：相對于并聯模式，串聯模式的效率及帶寬利用率更高。

串聯模式的缺點是：

• 需要對原有服務器進行網絡改動及進行地址改變帶來的必要的應用變更。

并連部署

并聯模式（單臂模式）指格爾網關邏輯部署在用戶和被保護的服務器之間，而物理連接是在同一網絡中，即格爾網關的外網口接入原有用戶與服務器的網絡連接中。用戶可以通過網關獲取服務，也可以直接連接到服務器（在知道服務器地址情況下）獲取服務。

并聯模式的優點是：

• 部署方便：應用無需作改動，用戶只需變更一下訪問地址即可。

并聯模式的缺點是：

• 安全性低：由于服務器和外界網絡連接，存在用戶繞開網關直接連接服務器和使用其它方式攻擊服務器的可能性；同時，網關到服務器的明文數據也在網絡上傳輸，存在被竊聽的安全隱患；

• 性能較低：相對于串聯模式，并聯模式中用戶到網關和網關到服務器的數據流量都通過一個網口進行，效率及帶寬利用率相對較低。

雙機熱備部署

系統支持雙機熱備功能，在需要高可靠性的環境下需要對網關進行雙機熱備部署。雙機熱備部署需要部署兩臺設備，一臺作為主機，一臺作為備機，兩臺機器都與網絡連接，兩臺設備之間使用交叉線連接熱備口進行狀態檢測，在正常情況下由主機提供服務，當主機發生異常時系統自動切換到備機進行服務。部署方式如圖：

負載均衡部署

格爾網關可以和大多數負載均衡設備配合使用，格爾網關采用串聯模式和并聯模式都可以與負載均衡設備很好的配合使用。如下圖：

注：負載均衡器將網絡的SSL**流量負載到可用的格爾網關上，格爾網關對后端的Web**服務器并沒有負載均衡的作用。

自負載均衡部署

當業務需要多臺格爾網關同時為應用提供服務時，無需借助第三方負載設備，多臺格爾網關可以進行自負載管理，實現自身架構擴展。具體方式是各臺網關的熱備口相連，每臺設備具備一個實際地址，共享一個虛擬地址，多臺設備會自動協商一個主機，主機占用虛擬地址。用戶訪問虛擬地址，主機獲得請求后會分配到其他設備，當發現某個設備失效時，會停止將請求分配到這臺設備，當主機失效時，剩下的設備會自動再產生一個新主機，保證用戶的正常訪問。具體部署如下圖