Однонаправленная передача: почему диод, а не межсетевой экран

Задача выглядит простой: выпустить данные из технологического сегмента наружу — в аналитику, диспетчерскую, систему отчётности — и при этом не открыть дорогу внутрь. Первое решение, которое приходит в голову, — межсетевой экран с правилом «наружу можно, внутрь нельзя». Разберём, почему в критическом контуре этого недостаточно.

Межсетевой экран фильтрует трафик по правилам. Правило — это конфигурация, а конфигурацию можно изменить: администратором по ошибке, злоумышленником после компрометации управляющего интерфейса, обновлением, которое сбросило настройки к заводским. Кроме того, TCP-соединение двунаправленно по своей природе: даже при передаче «только наружу» обратно идут подтверждения, а значит, существует канал, по которому теоретически можно передать данные внутрь.

Однонаправленный шлюз решает задачу иначе. Однонаправленность обеспечивается конструкцией: на физическом уровне отсутствует путь для передачи сигнала в обратную сторону. Это свойство не конфигурируется и не отключается — его нельзя изменить настройкой, потому что настраивать нечего.

Плата за это — отказ от привычных протоколов. Без обратного канала не работают ни TCP-рукопожатие, ни подтверждение доставки, ни повторная передача потерянных пакетов. Значит, надёжность приходится обеспечивать иначе: избыточным кодированием, повторной отправкой по расписанию, контролем целостности на приёмной стороне. Проектировать обмен через диод нужно с самого начала, а не переносить на него готовую интеграцию.

Где межсетевого экрана достаточно. Если сегменты равнозначны по критичности, если требуется двусторонний обмен, если цена простоя от потери пакета выше цены проникновения — экран уместнее и дешевле. Однонаправленный шлюз оправдан там, где сегмент действительно критичен и обратный поток не нужен принципиально: передача телеметрии в аналитику, выгрузка журналов, трансляция состояния оборудования на верхний уровень.

Наш LAZARUS LD построен именно по этому принципу: передача идёт строго в одну сторону, обратного канала не существует конструктивно. Пропускная способность — до 1 Гбит/с, обработка потока выполняется на ПЛИС Artix-7. Если вы разбираетесь, подходит ли такой подход вашей задаче, напишите нам — обсудим постановку и честно скажем, если в вашем случае достаточно межсетевого экрана.