一、认清合规底线：等保对网闸隔离方式的判定标准
1、逻辑隔离与物理隔离不再等效。
以往部分地区等保三级测评存在弹性判定，仅部署防火墙也有通过案例。2026 年全国统一执行高风险判定指引之后，防火墙、VLAN、访问控制策略这类逻辑隔离手段，仅可用于同一安全域内的网段划分。生产网、涉密网、核心业务网对接办公网、互联网时，缺少合规物理隔离设备，会直接判定为重大风险项，测评不合格。
2、现场测评核验侧重底层架构与能力。
测评不只核对设备铭牌，会核查协议剥离、深度审计、日志留存能力，日志留存时长需要满足 180 天以上。伴随 GB/T 45218-2025 物理隔离标准落地，合规网闸、单向光闸需内置国密算法加密引擎，单向光闸禁止复用双向通道。简化隔离网关、低价无资质产品，已经无法获得测评机构认可。
二、五类高频翻车的假网闸，识别方式与合规缺陷
1、防火墙套壳改造产品。
设备外观标注安全隔离与信息交换系统，但底层依旧是防火墙策略引擎，两端网络存在直通 TCP/IP 链路，只做访问控制，不存在物理断开。真网闸采用 2+1 架构，内网单元、外网单元相互独立，依靠专用隔离单元摆渡数据，不会直接转发数据包。这类套壳设备无法提供隔离交换硬件证明，现场 ping 测试很容易暴露问题。
2、单主机双网卡代理方案。
设备本质是工控主机或者服务器，搭载双网卡依靠软件、代理程序转发流量。整套设备共用一套系统内核与协议栈，没有独立隔离硬件，属于逻辑连通。一旦主机被入侵，攻击者可横向渗透到另一侧高安全网络，协议剥离、深度审计能力普遍缺失，无法满足物理隔离硬性要求。
3、单向光闸违规开启双向通路。
单向光闸依靠光纤单向传输光信号，反向不存在物理光路。部分厂商为适配双向业务，在单向光闸内增设隐蔽反向通道、复用双向光路，造成数据回流。双向业务的正确选型是物理隔离网闸，或者两套反向部署的单向光闸；单向设备支持回传数据，会直接判定隔离方向失效。
4、简化版隔离网关、VLAN 打包隔离方案。
产品名称带有隔离网关字样，或是把 VLAN、ACL、防火墙打包宣传为强隔离。这类设备协议剥离不完整、缺少国密加密引擎、日志审计不全，对应的资质证书类别为防火墙、UTM，并非物理隔离网闸。VLAN 仅二层逻辑分区，ARP 攻击、漏洞依旧可以跨安全域传播，不能替代硬件摆渡隔离。
5、纯软件模拟、旁路镜像隔离方案。
依靠通用服务器、虚拟机部署摆渡软件模拟隔离流程，没有专用隔离板卡，隔离机制依托操作系统运行，容易被进程劫持篡改。旁路镜像型产品更具迷惑性，业务流量依旧从原有路由通行，网闸只抓取镜像流量，跨域流量存在绕行通道，隔离形同虚设。
三、采购核验方法，从资质、测试、合同规避风险
1、优先核验资质类别，核对硬件型号。
核心硬门槛是公安部安全专用产品销售许可证，证书品类必须为物理隔离网闸，证书型号和到货设备硬件型号保持一致，不可混用防火墙、单向导入装置资质。同时索要第三方检测报告，确认报告覆盖 2+1 硬件架构、协议剥离、专用隔离硬件等关键项。
2、POC 环境实操验证核心能力。
要求厂商演示架构，抓包确认两端不存在端到端 TCP 长连接，数据包经过协议剥离、摆渡重组；测试摆渡记录、内容检测记录等审计日志，确认日志可导出、存储周期达标。现场可以用三问快速筛查：内外网是否两套独立硬件；拆除隔离单元后网络能否互通；业务流量是否存在绕行路由。
3、将等保要求写入招标文件与验收条款。
在采购文件中明确标注 2+1 架构物理隔离网闸、协议剥离、国密加密、日志留存≥180 天、禁止旁路绕行等要求，同时增加验收约束，若核验判定为伪隔离设备支持无条件退换货，避免低价中标后交付不合规设备。
四、结语
网闸合规的核心不在于功能界面，而在于底层硬件架构，判断标准就是能否做到硬件级链路断开、数据摆渡传输。各类假网闸依靠低价、功能丰富吸引采购方，但在等保、密评、工控项目测评中都会直接失分。采购顺序应当先确认隔离架构、资质合规性，再对比价格与性能，减少后期整改、返工带来的工期与资金损失。
