一、网闸部署核心原则：串接在高低安全域边界
1、串接是物理隔离成立的硬性要求。
网闸包含内网处理单元、外网处理单元以及中间隔离交换单元，内网接口对接高安全网络，外网接口对接低安全网络。所有跨域流量必须全部经过网闸，切断两端TCP/IP直通链路，报文先完成协议剥离、检测校验，再摆渡重组传输。若采用旁路镜像方式，原始链路保持连通，隔离机制失效，等保测评会直接判定不合规。
2、部署落点靠近高安全域一侧。
网闸的作用是保护高安全域不被低安全域直接访问，应当设置在高安全域的外沿边界。如果部署在低安全域内部或者高安全域深处业务区前端，低安全侧流量已经进入高安全域网络空间，无法实现边界隔离。部署前要统一规划IP地址、路由策略，清除备用直连路由，杜绝绕行通道。
3、明确网闸与防火墙的分工和部署顺序。
二者功能不可互相替代，防火墙负责链路之上的访问控制、流量清洗，网闸负责断开网络直连、完成可控数据摆渡。常规纵深防御顺序为：低安全侧先部署防火墙，再接入网闸，防火墙抵御外部扫描、DDoS攻击，网闸守住物理隔离底线，不建议将网闸直接对接互联网出口。
二、网闸典型部署场景
1、政务网络场景。
政务内网与政务外网、业务专网之间，需要文件、数据库同步交换，但禁止网络直通，是网闸最主流应用场景。双向数据交换选用网闸，涉密数据单向导出优先使用光闸，搭配前置机、后置机完成数据摆渡。
2、工控OT与IT网络场景。
生产控制大区属于高安全域，办公管理网风险更高，一般采用单向摆渡，只允许生产数据向外送出，禁止控制指令反向传入。工控一区、二区之间不使用网闸，优先选用工业防火墙，避免引入时延影响控制业务。
3、医疗行业场景。
HIS、电子病历、PACS核心业务域，对接医保外联、互联网医院低安全域。数据外出做好脱敏处理，外部请求无法直连核心数据库，影像、业务数据依靠网闸受控摆渡。
4、云环境与涉密场景。
云内多VPC、多安全域做强隔离时，网闸部署在域边界网关位置，核查安全组、路由表，防止流量绕过设备。涉密与非密边界管控严格，单向导出用光闸，双向受控交换才部署网闸，严禁旁路监听。
三、高频部署误区、配套规划与验收要点
1、常见部署红线。
一是预留旁路光纤、VPN通道、双网卡主机跨接，人为留下绕行路径；二是前置机配置双网卡同时接入两个安全域，一旦被攻陷，隔离边界直接击穿；三是白名单策略过度放开，物理隔离设备退化成普通传输链路；四是管理口和业务口混在同一网段，管理通道成为跨域渗透的隐形通道，管理口应当独立组网、限制访问来源。
2、业务连续性与审计配套。
网闸串接在唯一主链路上，本身属于单点故障，业务要求高的场景需要配置双机热备，保障切换过程路由、会话稳定。同时完整留存摆渡记录、内容检测日志，日志留存周期满足规范要求，用于故障排查和测评核验。
3、测评验收核查重点。
核查路由、ACL策略，确认所有跨域流量必经网闸；确认两端不存在TCP端到端直连；核查摆渡日志完整可追溯；工控、涉密场景重点核验反向通道是否严格管控。
网闸本质是高低信任域之间的数据渡口，核心判定标准不在于设备安装位置，而是是否卡在跨域流量的唯一必经链路。选对部署位置、规范拓扑、规避旁路风险，配套做好管理隔离、热备与审计，物理隔离才能真正落地，满足安全规范要求。
