国密SSL VPN网关怎么过密评：网络和通信层要点
密评现场最常听到的一句反馈是："这段链路上的数据是明文传的。"网络和通信安全层之所以容易出问题，是因为它不像应用层那样集中在某一个业务系统里，而是横跨机房出口、专线、分支接入、运维通道、云上专线等好几段链路，任何一段没覆盖到，都会成为现场测评时被抓住的口子。国密 SSL VPN 网关通常是这一层改造里最先被摆上设备清单的产品，但它到底能解决什么、解决不了什么，需要先说清楚。
一、这一层的第三级指标逐条看
按 GB/T 39786-2021 附录 A，第三级网络和通信安全层一共有五项指标，外加两项各层通用的要求：
- 身份鉴别（应）：通信的双方要基于密码技术完成身份鉴别，账号口令本身不算。
- 通信数据完整性（宜）：传输过程中要能发现数据被篡改。
- 通信过程中重要数据的机密性（应）：敏感字段在链路上必须是密文。
- 网络边界访问控制信息的完整性（宜）：访问控制列表、路由策略这类配置不能被悄悄改动。
- 安全接入认证（可）：第三级为"可"，属于加分项。
- 密码服务（应）：使用的密码服务应经商用密码认证机构认证合格。
- 密码产品（应）：应达到 GB/T 37092 二级及以上。
可以看出，带"应"的三项是硬要求，其中"通信过程中重要数据的机密性"最常见被判不符合。
二、国密 SSL VPN 网关覆盖的是哪几项
它的作用集中在链路通道这一段，主要对应三项：通信过程中重要数据的机密性、通信数据完整性，以及接入一端的身份鉴别；安全接入认证这一项也由它承担。
需要注意的是，它做的是"通道加密"，不等于"数据本身已经加密"。如果数据在进入网关之前就是明文，或者出了网关之后又走了裸链路，抓包仍然能看到内容，现场照样判不符合。判断的标准始终是：重要数据实际经过的每一段链路上，抓包都看不到明文。
三、国密版和普通 VPN 设备的差别
差别不在"能不能通"，而在密码这一侧的合规性：
- 算法：支持 SM2、SM3、SM4 及相应的国密密码套件，而不是只提供国际算法套件。
- 证书：支持 SM2 双证书体系，与配套的证书管理系统衔接。
- 密钥：密钥在密码产品内部产生、存储和使用，不以明文形式出现在设备之外的配置文件或数据库里。
- 资质：产品本身应持有商用密码产品认证证书，且等级满足 GB/T 37092 二级及以上。
- 标准依据：GM/T 0024《SSL VPN 技术规范》、GM/T 0025《SSL VPN 网关产品规范》（均为 2023 版）；IPSec 一侧对应 GM/T 0022、GM/T 0023。
这五条里，前四条是现场核查时真正会查的，第五条是写进方案时的引用依据。
四、和 IPSec VPN、安全认证网关怎么区分
三种设备都出现在网络和通信层，但适用场景不同：
- IPSec VPN 网关：面向站点到站点的固定互联，分支、专线、云上云下打通，对应用透明，应用侧不用改。
- SSL VPN 网关：面向移动办公和远程接入，按用户、按应用授权，终端侧需要装客户端或用国密浏览器。
- 安全认证网关：面向 B/S 类应用的统一身份认证与访问控制，和 SSL VPN 在功能上有重叠，实际选型时通常二选一，避免重复投入。
简单说：链路对链路选 IPSec，人对系统选 SSL VPN，只做 Web 应用统一入口选认证网关。
五、部署位置和常见漏配
常见部署点有四类：互联网出口、分支机构互联、跨云或混合云互联、运维接入区。漏配也多半出在这四类上：
- 只覆盖了互联网侧，跨机房专线、云上互联仍是明文。
- 只做了接入这一段的加密，内部横向流量没有措施。
- 设备本身合规，但证书与密钥的管理没有落到制度和记录里。
- 用开源组件或自研代码在应用层实现加密，又拿不出安全性证明，这类做法会被判定为不符合。
- 设备没有认证证书，或者等级低于二级。
还有一种情况是机房由别的单位管辖，比如托管在第三方 IDC 或直接跑在云平台上，这一层的责任并不会自动转移，仍需按自己的系统范围说清楚链路走向。
六、现场核查一般会怎么看
- 抓包验证：在链路上抓包，确认看不到明文的重要数据。
- 配置核查：看算法套件、协议版本、证书链配置是否符合要求。
- 证书查验：在商用密码认证目录里核对产品证书的状态与等级。
- 方案对照：实施方案里写的链路，逐条和现场实际走向对上。
这几项建议在正式评估前先自查一轮，把缺口补齐，避免现场临时返工。
七、周期与投入量级
从方案编制、产品选型、改造实施到复测，一般项目周期在 2 到 6 个月，系统规模大、链路复杂的会更长；投入量级从数万元到数十万元不等，主要取决于链路数量、密码产品选型和改造起点。具体以属地要求和项目实际情况为准。
在这一层改造上，我们能做的是前期的差距分析、方案编制辅导、改造过程要点把控，以及协助对接具备资质的检测机构，评估与报告由持牌机构出具。相关标准条款可查阅密评国家标准清单，测评流程与等级要求可对照等保测评，机构资质可在密评机构名录中核对。