2 客户端代理（Agent） 接受系统服务器的管理，负责具体执行服务器的指令和策略，并对用户计算机的状态、资源和行为进行监控。 3 控制台（MC） 系统的管理用户界面，提供对服务器的远程管理功能，所有系统的管理、策略实施和监控审计工作都通过MC完成。 4 转发网关（Switcher） 用于在VCN网络和外部非受控网络之间转发数据，当内部的计算机需要访问外部网络的时候，需要经过转发网关进行数据转发；当需要构建公共服务器区的时候，也需要使用转发网关。 5 安全网关（Gateway） 用于构造安全服务器区，保护重要数据和应用服务器，使用安全网关后，管理员可以针对每台计算机进行授权，允许/禁止计算机访问应用服务器。 Chinasec可信网络保密系统的结构如下：
OA服务器
VCN MC
VCN Server
Mail服务器
VCN
File服务器
VCN
有VCN Agent的
有VCN Agent的外来接入计算
3.4.2 保密系统的功能
Chinasec可信网络保密系统主要用于构造内网保密网络，对网络传输和存储
设备两个主要途径进行有效控制和管理，其主要功能如下表：
序号 模块名称 1 保密域管理 功能描述 根据单位需要，VCN系统可以将内网划分为一个或者多个保密子网（VCN），同一个保密子网内部的计算机可以实现相互自由的数据交换（通过网络或者存储设备），不在同一个保密子网内部的计算机相互之间不能进行正常的数据交换，除非获得管理员的授权。 通过保密子网的划分，可以在保障网络统一维护的前提下，对单位内部不同职能部门实现有效的数据隔离，例如财务部和其它部门独立开来，增加内网安全级别，降低安全风险。 通过保密子网，还可以有效防止非法外联或者非法接入。非法外联不管是基于Modem、ADSL拨号或者双网卡，都能够有效防止；非法接入不管是通过交换机接入或者通过网线将两台计算机直连，也都能够有效防止。 不同保密子网（VCN）之间可以设定信任关系，从而允许他们的计算机之间进行数据交换。 2 网络传输加密 部署VCN的所有计算机，启用网络策略后，其传输的数据都是经过加密的。无论是同一个VCN内的计算机，或者不同VCN之间的计算机（管理员允许的情况下）进行网络通信，其每两台计算机使用的通信密钥都是不一样的，从而有效防止了网内使用恶意侦听软件的行为。 网络加密的密钥由VCN服务器统一管理，并且定时更新。 3 移动存储设备管理 VCN部署后，可以实现对移动存储设备的有效管理。 在部署的时候，管理员可以设定没有注册的移动存储设备（U盘或者移动硬盘等）默认的使用策略，可选策略包括禁用（没有注册的磁盘禁止使用）、只读（可以将没注册磁盘数据拷入到VCN网内的计算机，但不能拷出数据）或者加密读写（所有写入该未注册磁盘的数据自动加密，加密的数据只能在计算机所在的VCN内使用）。 如果移动存储设备要在VCN中获得默认策略以外的权限，则必须经过管理员注册，注册的权限包括：只读、加密读写和直接读写，并可以设定信任域是否也能够使用。加密读写可以有效控制数据的安全共享范围，并且不影响存储设备使用的方便性。直接读写策略则将以普通明文的方式输出数据，存在风险，一般不建议使用。 4 本地磁盘加密 为了防止因为本地硬盘丢失造成的数据泄密问题，VCN提供了本地磁盘加密策略，强制加密所有本地磁盘的文件。 5 终端使用模式 因为本地磁盘加密策略执行后，为了不影响系统盘的效率，将不会对系统盘进行加密。为了避免从系统盘泄密数据，管理可以启用终端使用模式，这时候计算机系统盘不会写入任何东西，在操作系统重启后恢复到原状。如果用户需要安装新的应用程序，则需要管理批准，临时取消该模式。 6 安全服务器区 安全服务器区要求使用安全网关构建，可以用来保护单位重要的应用服务器和数据服务器。仅有安装了VCN并且经过管理员批注的客户端计算机能够访问安全服务器区相应的服务器，有效实现了安全授权，也实现了防止针对服务器的非法接入访问。 7 开放服务器区 开放服务器区的构建需要使用转发网关（Switcher），可以用来放置单位公开的服务器，如Web服务器，接受内网计算机和外网计算机的访问，同时有效隔离内网和外网。 VCN的磁盘加密、移动存储加密和网络加密对用户和计算机应用来说都是完全透明的，不会影响用户的使用习惯。
上表对VCN的功能进行了全面的描述，VCN系统提供了不同的型号，不同型号的性能不完全一样，请参考下一节的说明。
3.4.3 保密系统的型号
Chinasec可信网络保密系统根据功能不同，分成三个型号，其功能如下表所示：
型号 VCN-A 精简型 单安全域 磁盘无需注册，默认为加密策略 提供解密工具 VCN-B 标准型 支持最多三个安全域 磁盘有注册管理 非注册磁盘默认策略可以设置为加密、只读或者禁用 VCN-C 增强型 无限制安全域 磁盘有注册管理 非注册磁盘默认策略可以设置为加密、只读或者禁用 本地磁盘加密策略/使用模式支持 注：该报价不包括安全网关和转发网关。
1980 1480 功能 单点列表价（元） 980 3.4.4 保密系统的选件
Chinasec可信网络保密系统的选件包括安全网关和转发网关。
如果需要构建安全服务器区对重要的数据进行保护，则需要选择安全网关。如果需要访问外网或者构建公共服务器区，则需要选择转发网关。
安全网关和转发网关都提供不同的型号供用户选择，详见3.6节介绍。
3.5 Chinasec可信数据管理系统（DMS） 3.5.1 数据管理系统的结构
Chinasec可信数据管理系统基于Chinasec可信网络安全平台开发，主体架构依赖于可信网络安全平台，其组成部分包括服务器（Server）、控制台（MC）、客户端代理（Agent）、安全网关（Gateway）和安全文件服务器，各个部分的功能如下： 序号 组件名称 1 服务器（Server） 功能描述 可信数据管理系统的核心部件。存储计算机信息、策略信息、权限配置以及审计记录等。实时管理所有客户端代理和网关设备。 2 客户端代理（Agent） 接受系统服务器的管理，负责具体执行服务器的指令和策略，根据不同的模式进行本地安全环境的构建。 3 控制台（MC） 系统的管理用户界面，提供对服务器的远程管理功能，所有系统的管理、策略实施和监控审计工作都通过MC完成。 4 安全网关（Gateway） 用于构建安全服务器区，保护重要数据和应用服务器，配合工作模式设置，对客户端的接入执行允许/禁止操作。 5 安全文件服务器 安全文件服务器放置在安全网关后面，用于作为用户集中存储文件数据和共享数据的空间。 下图是典型的Chinasec可信数据管理系统的部署图：