视频专网里跑着大量摄像头，一旦被外部网络直连，弱口令设备、协议漏洞都可能变成入口。但业务又要求把视频共享出去：上级平台要调阅、政务侧要数据。于是边界安全交换成了绕不开的环节。本文讲边界为什么不能直接打通、防火墙网闸光闸怎么分工、单向与双向怎么选，以及落地时的合规参考。公共安全与涉密场景以公安机关与测评要求为准。
TL;DR
- 边界直连的风险：协议敞口、弱口令设备、物理私接，都是渗透入口。
- 网闸做受控交换，光闸做纯单向传输，防火墙管策略过滤，三者分工不同。
- 单向架构的原则是数据可流出、控制不流入，视频经协议整合后单向送出。
- 合规参考：国务院 799 号令、GB 35114 前端身份认证与加密、GA/T 1788 边界安全等级。
- 交换链路要禁协议透传，用协议转换与静态摆渡，配合日志审计。
边界为什么不能直接打通
- 协议先天敞口：视频传输依赖开放网络协议，直接跨网等于把暴露面交出去。
- 设备漏洞常态化：无人值守摄像头弱口令、后门问题批量存在。
- 物理私接风险：前端分布散，私接、仿冒终端可能从接入点混入专网。
- 合规硬约束：公共安全视频图像信息系统管理条例（国务院令第 799 号）2025 年 4 月 1 日起实施，视频安全上升为法规要求；GB 35114 与 GA/T 1788 给出技术落地口径。
防火墙、网闸、光闸怎么分工
| 设备 | 定位 | 典型用途 |
|---|---|---|
| 防火墙 | 策略过滤 | 边界基础防护、访问控制、日志审计 |
| 网闸 | 物理隔离加受控交换 | 内外网业务互通，按需摆渡数据 |
| 光闸 | 纯单向物理传输 | 高安全等级场景，杜绝反向通路 |
选型看业务方向：普通边界用防火墙打底；专网与外部网络有交换需求，网闸承载；要求数据只能单向流出、控制不能流入的场景，光闸更贴。
单向还是双向：按业务定架构
视频交换多数可以设计成单向：数据流出、控制不流入。
- 视频在专网内侧完成协议整合，如 RTSP 转 GB28181 或统一编码。
- 标准化后的视频流通过单向隔离设备输出。
- 外部平台只收流、不反向控制设备。
需要双向交互的业务，如回传指令、参数同步，走受控双向链路，端口最小化，配合信令过滤。
典型边界架构怎么落
工程上常采用前端准入加边界交换的双层结构，把风险分成两道门。
- 前端准入：设备侧做一机一档、指纹识别、弱口令与漏洞体检，不让设备带病入网。
- 边界交换：前置与后置主机加隔离设备，视频信令深度解析，动态开闭视频流通道。
- 协议处理：视频流经协议转换与静态摆渡跨网，不做协议透传与网络地址直通。
- 深度检查：对视频流做内容检查，防范借助视频数据夹带恶意代码。
- 审计留存：交换行为日志留存，配合溯源。
边界安全的分级思路
安全等级不同，边界措施跟着变，别用一套模板套所有网络。
| 场景 | 边界措施 | 参考口径 |
|---|---|---|
| 视频专网对外共享 | 防火墙加网闸，双向受控 | 按 GA/T 1788 定级 |
| 数据单向上报 | 单向采集链路或光闸 | 高安全要求场景 |
| 涉密与生产控制 | 光闸加物理隔离 | 禁止反向通路 |
上线前要过的检查
- 资产清点：接入设备数量、型号、位置与责任人是否齐全。
- 策略验证：边界放行规则与实际业务流一一对应，无多余开放。
- 单向验证：模拟反向连接，确认链路确实不可回连。
- 备份与回退：边界设备配置有备份，策略变更可回退。
- 日志抽查：交换日志留存完整，抽查能对得上业务记录。
边界方案不是一次性工程。设备上线后，策略要随业务变化定期复核，接入设备清单持续更新，审计日志要有留存周期。边界守得住，靠建设时的架构与运行后的维护一起发力。
验收与测评关注点
| 检查项 | 关注口径 |
|---|---|
| 安全等级 | 按 GA/T 1788 明确链路的边界安全等级要求，如基本级、增强级 |
| 协议处理 | 验证禁透传、协议转换与摆渡生效 |
| 单向性 | 单向链路验证无法反向发起连接 |
| 日志审计 | 交换行为有记录，可溯源 |
| 性能 | 并发视频流吞吐与延迟达标 |
视频专网安全交换的核心是能流出的流出、不该流入的堵死。先把业务方向与安全等级定清楚，再选设备与架构，边界才守得住。
参考资料
- video-vlan-acl-isolation
- gb35114-explained
- ga1788-security-requirements-guide