CN101083601A

CN101083601A - 计算机网间信息交换方法及系统

Info

Publication number: CN101083601A
Application number: CNA2007100290979A
Authority: CN
Inventors: 梁雁文
Original assignee: Individual
Current assignee: Individual
Priority date: 2007-07-10
Filing date: 2007-07-10
Publication date: 2007-12-05

Abstract

本发明公开了一种计算机网间信息交换方法及系统，包括：源网络，用于提供待下载文件及下载地址；目标网络，用于提供上载地址；信息交换计算机，安装有网络隔离装置和信息交换应用程序，所述网络隔离装置分别与源网络和目标网络连接；所述信息交换计算机通过网络隔离装置定时切换与源网络或目标网络的连接，并将从源网络下载的文件信息上载至目标网络的指定地址。本发明的显著特点在于保证计算机网络物理隔离的基础上，通过下载和上载指定文件的方式，实现两个网络之间的数据安全地自动交换，有效地解决了物理隔离和信息交换之间的矛盾，是一种安全可靠、经济实用的信息交换系统。

Description

计算机网间信息交换方法及系统

技术领域

本发明涉及计算机网络信息安全领域的信息交换技术，特别是一种在不同计算机网络之间实现信息交换的方法及系统。

背景技术

国家明确规定，涉密网络应与互联网保持物理隔离，避免来自Internet的网络威胁，确保信息安全。然而涉密网络之间如行业内部上下级与不同行业部门之间是相互不信任的关系，当信息流通时就面临带来的安全与互通问题，所以必须采取相应的安全措施来保障涉密内网的安全问题，目前常用以下几种方法：

(1)采用人工拷贝方式实现隔离下的信息交换。涉密网络通常与外界实现物理隔离，当涉密网与外界国际互联网之间需要交换信息时，通常在中间区域设置专用数据服务器或其他可拨插移动存储介质，通过可信人员以人工拷贝方式来实现。通过人工拷贝的方式，的确避免了来自不信任网络的黑客攻击等威胁，然而也带来新的问题。首先，人工投入管理开销比较大，必须投入人员参与数据拷贝工作；其次，人工拷贝实时性较差，无法发挥网络信息技术带来的快速的通信便利等优点；最后，由于频繁使用软盘或其他存储介质，增加了病毒和木马程序传播的途径和几率，带来新的安全问题。

(2)除了保证物理隔离条件下采用人工拷贝实现信息交换的方式外，另一些部门涉密内网之间采用了防火墙来实现与其他专网之间的逻辑隔离。但防火墙发展到现在仍存在以下弱点：首先，防火墙无法抵御数据驱动式攻击，即大量合法的数据包导致网络阻塞而使正常通信瘫痪；其次，防火墙很难阻止由通用协议本身漏洞发起的入侵；再次，防火墙系统本身的缺陷也是影响内部网络安全的重要问题；另外，只有正确、合理配置防火墙才能起到本身的安全作用，而配置的复杂性为网管人员带来烦琐工作量的同时，也增加了配置不当带来的隐患。

(3)目前兴起的GAP(网闸)技术是一种通过专用硬件使两个或者两个以上的网络在不连通的情况下，实现安全数据传输和资源共享的技术。GAP技术的基本原理是：切断网络之间的通用协议连接；将数据包进行分解或重组为静态数据；对静态数据进行安全审查，包括网络协议检查和代码扫描等；确认后的安全数据流入内部单元；内部用户通过严格的身份认证机制获取所需数据。由于采用自定义的安全传输协议，系统需在底层自行完成对文件的分片、传递工作，在另一端对其进行重组、检测。

于2004年2月4日公开的中国发明专利申请CN 1473417A，公开了一种通信网络间信息交换的方法和系统，实现在不同标准和结构的通信网络之间进行信息交换。该发明通过至少一个数据发送单元接收来自源通讯网络的信息，并将接收到的信息转换成系统间数据格式；然后通过第一转换单元将数据发送单元接收到的信息发送到预定的服务处理单元；再通过第二转换单元将服务处理单元收到的信息发送到预定的数据发送单元，并将信息转换成目标通信网络格式，发送到目标通讯网络。由以上描述可知，该发明所要解决的主要问题是将不同网络之间的数据信息进行格式转换，然后实现通信网络间的信息交换，但是，却没有解决通信网络之间信息交换的安全性(即网络隔离)问题。因此，该发明所述信息交换技术更适合于公共服务网域，而对于涉及信息安全的保密网络，其安全性尚不足以满足涉密网的特殊要求。

发明内容

本发明的目的在于提供一种基于网络隔离装置建立的信息交换方法及系统，在保证计算机网络物理隔离的基础上，实现了两个网络之间的数据安全地自动交换，有效地解决了物理隔离和信息交换之间的矛盾，是一种安全可靠、经济实用的信息交换系统。

本发明所采用的技术方案：一种计算机网间信息交换方法，包括安装有网络隔离装置和信息交换应用程序的信息交换计算机，该信息交换计算机通过网络隔离装置分别与源网络和目标网络连接，所述信息交换方法包括如下步骤：

(a)配置信息交换计算机中信息交换应用程序的相关参数；

(b)信息交换计算机控制网络隔离装置切换到与源网络连接；

(c)信息交换计算机按照预设定方式，从源网络的指定地址下载指定文件，并将下载到的文件保存至缓冲区；

(d)网络隔离装置切断与源网络的连接，切换到与目标网络连接；

(e)信息交换计算机按照预设定方式，将从源网络下载的指定文件上载至目标网络的指定地址；

(f)网络隔离装置切断与目标网络的连接，切换至空位置。

上述步骤(a)中所述信息交换应用程序的相关参数包括信息交换的内容、信息交换的时间、下载的方式和源地址、上载的方式和目标地址。所述下载的方式包括FTP方式下载、HTTP方式下载、拷贝方式下载或邮件方式下载。所述上载的方式包括FTP方式上载、HTTP方式上载、拷贝方式上载或邮件方式上载。所述源地址包括源网络系统指定IP地址的计算机及其相应的文件夹及文件名，目标地址包括另一个网络系统即目标网络指定IP地址的计算机及其相应的文件夹及文件名。

上述网络隔离装置上至少设有两个网络接口，分别用于连接源网络和目标网络。所述源网络与目标网络为相互隔离的不同网络。

本发明同时提供了一种计算机网间信息交换系统，包括：源网络，用于提供待下载文件及下载地址；目标网络，用于提供上载地址；信息交换计算机，安装有网络隔离装置和信息交换应用程序，所述网络隔离装置分别与源网络和目标网络连接；所述信息交换计算机通过网络隔离装置定时切换与源网络或目标网络的连接，并将从源网络下载的文件信息上载至目标网络的指定地址。

上述源网络包括源网络交换机，以及与源网络交换机连接的源网络服务器和终端计算机，所述源网络交换机通过网络传输线与信息交换计算机的网络隔离装置连接。

上述目标网络包括目标网络交换机，以及与目标网络交换机连接的目标网络服务器和终端计算机，所述目标网络交换机通过网络传输线与信息交换计算机的网络隔离装置连接。

本发明的显著特点在于：(1)安全交换：精准控制、安全可靠，而且“只主动下载源网络提供的指定文件”和“只主动上载目标网络允许的指定文件”，其余文件均不被接收和发送，不运行任何下载文件，避免黑客使用各种方法对受保护网络进行控制和攻击，从而保证了信息交换的安全性。(2)安全隔离：只在需要交换时才切换到对应的网络环境，相互隔离的网络之间没有直接通道，保证不同计算机网络之间的完全物理隔离。

附图说明

图1为本发明所述信息交换方法的流程图；

图2为本发明所述信息交换系统的结构原理图；

图3为图2中所示网络隔离装置的结构原理图。

具体实施方式

本发明所述计算机网间信息交换方法，包括至少一台安装有网络隔离装置和信息交换应用程序的信息交换计算机，该信息交换计算机通过网络隔离装置分别与源网络和目标网络连接。其中，所述源网络用于提供待下载文件及下载地址；目标网络用于提供上载地址。如图1所示为该信息交换方法的流程图，其包括以下步骤：

(a)配置信息交换计算机中信息交换应用程序的相关参数，包括信息交换的内容、信息交换的时间、下载的方式和地址、上载的方式和地址等；

(b)信息交换计算机控制网络隔离装置，使其网络连接切换到与源网络连接，并自动配置相关源网络IP参数；

(c)信息交换计算机按照预设定下载方式，从源网络下载指定文件，并将下载到的文件保存至信息交换计算机的缓冲区；

(d)网络隔离装置切断与源网络的连接，切换到与目标网络连接，并自动配置相关目标网络IP参数；

(e)信息交换计算机按照预设定方式，将从源网络下载的指定文件上载至目标网络的指定地址，然后清除痕迹并进行保护处理；

(f)网络隔离装置切断与目标网络的连接，切换至空位置。当选择空闲时的网络为“空网络”时，信息交换计算机将屏蔽所有的网络连接。

以上所述就是本发明完成一次网间信息交换的流程，在该信息交换过程中，源网络与目标网络始终处于物理隔离状态，通过信息交换计算机将源网络指定地址的指定文件转移至目标网络的指定地址，相当于由计算机自动完成“手工拷贝”数据的物理交换方法。为了实现该信息交换过程，用户需要通过信息交换计算机的信息交换应用程序设置交换内容，交换时间，以及设定源网络服务器的地址和指定文件，目标网络服务器的上载地址等参数。其中：

所述信息交换计算机从源网络下载文件的方式包括FTP方式下载、HTTP方式下载、拷贝方式下载或邮件发送方式下载，通过设置“下载任务”(下载源文的路径)指定要下载到信息交换计算机内的源网络文件路径，

例如：

[ftp://linda:123456@ftp.tuwen.com/tworg/exfl.doc]

[http://www.xxx.com/tworg/exfl.doc]

[mail://linda:123456@pop3.tuwen.com]

[d:\tworg\exfl.doc]

所述信息交换计算机将文件上载至目标网络的方式包括FTP方式上载、HTTP方式上载、拷贝方式上载或邮件发送方式上载，通过设置“上载任务”(上载路径和方法)指定从信息交换计算机上载源文到目标网络的路径和方法，例如：

[ftp://linda:123456@www.zzz.zzz.zzz/twdes/]

[http://www.tuwen.com/twupload2.asp]

[mail://linda:123456@stmp.two.com mailto:sales@tuwen.com]

[f:\twdes\]

另外，本发明还可以通过信息交换应用程序设置信息交换的间隔时间，有两种设置方式：

(1)“间隔时间”可以设置为0～9999分钟，表示完成信息交换的间隔时间。其中：间隔时间为“0”，表示完成一次信息交换后即刻进行下一次信息交换(实时交换)；间隔时间为“30”，表示每隔30分钟进行一次信息交换；间隔时间为“9999”，表示停止信息交换进程。

(2)“间隔时间”可以设置为010000～245959，表示定时进行信息交换。例如：间隔时间为“210839”表示每天21时08分39秒进行一次信息交换；特别地，为了在同一编辑框内设置，间隔时间为“243209”表示每天00时32分09秒进行一次信息交换。

基于上述网间信息交换方法，本发明同时提供了一种计算机网间信息交换系统(如图2所示)，包括：源网络，用于提供待下载文件及下载地址；目标网络，用于提供上载地址；信息交换计算机，安装有网络隔离装置和信息交换应用程序，网络隔离装置上至少设有两个网络接口，分别用于连接源网络和目标网络；所述信息交换计算机通过网络隔离装置定时切换与源网络或目标网络的连接，并将从源网络下载的文件信息上载至目标网络的指定地址。具体交换过程如上文所述，在此不再累述。其中：源网络包括源网络交换机，以及与源网络交换机连接的源网络服务器和终端计算机等，所述源网络交换机通过网络传输线与信息交换计算机的网络隔离装置连接。目标网络包括目标网络交换机，以及与目标网络交换机连接的目标网络服务器和终端计算机，所述目标网络交换机通过网络传输线与信息交换计算机的网络隔离装置连接。

需要说明的是：图2中所示开关K1、K2仅为便于描述本发明的工作原理，实际中开关K1、K2是由网络隔离装置中的继电器开关实现。如图3所示为网络隔离装置的结构示意图，其包括PCI总线接口1、单片机控制器2、网络切换单元3、硬盘切换单元4和滤波器5，单片机控制器2的输出端分别连接网络切换单元3和硬盘切换单元4，滤波器5的输入端与PCI总线接口1连接，输出端与单片机控制器2连接。所述网络切换单元3包括若干网络接口，如图中所示，网络接口31用于连接源网络，网络接口32用于连接目标网络，网络接口33与信息交换计算机的网卡连接。关于网络隔离装置的详细结构及其工作原理，可以参考申请人于2005年4月18日申请的中国发明专利申请CN 200510034178.9，在此不再详述。

本发明主要适用于以下领域：

1.已物理隔离的两个网络之间专用数据的交换；

2.监管部门对所监管单位的数据安全采集；

3.业务往来部门或单位之间的数据安全交换；

4.政府机关及企业内部上下级之间的数据安全交换；

5.代替人工操作的移动硬盘等数据备份及交换；

6.网络间各终端或服务器之间的异网备份。

Claims

1.一种计算机网间信息交换方法，包括安装有网络隔离装置和信息交换应用程序的信息交换计算机，该信息交换计算机通过网络隔离装置分别与源网络和目标网络连接，其特征在于，所述信息交换方法包括如下步骤：

(a)配置信息交换计算机中信息交换应用程序的相关参数；

(b)信息交换计算机控制网络隔离装置切换到与源网络连接；

(f)网络隔离装置切断与目标网络的连接，切换至空位置。

2.根据权利要求1所述计算机网间信息交换方法，其特征在于，所述步骤(a)中所述信息交换应用程序的相关参数包括信息交换的内容、信息交换的时间、下载的方式和源地址、上载的方式和目标地址。

3.根据权利要求2所述计算机网间信息交换方法，其特征在于，所述下载的方式包括FTP方式下载、HTTP方式下载、拷贝方式下载或邮件方式下载。

4.根据权利要求2所述计算机网间信息交换方法，其特征在于，所述上载的方式包括FTP方式上载、HTTP方式上载、拷贝方式上载或邮件方式上载。

5.根据权利要求2所述计算机网间信息交换方法，其特征在于，所述源地址包括源网络系统指定IP地址的计算机及其相应的文件夹及文件名，目标地址包括另一个网络系统即目标网络指定IP地址的计算机及其相应的文件夹及文件名。

6.根据权利要求1所述计算机网间信息交换方法，其特征在于，所述网络隔离装置上至少设有两个网络接口，分别用于连接源网络和目标网络。

7.根据权利要求1或6所述计算机网间信息交换方法，其特征在于，所述源网络与目标网络为相互隔离的不同网络。

8.一种计算机网间信息交换系统，包括：

源网络，用于提供待下载文件及下载地址；

目标网络，用于提供上载地址；

信息交换计算机，安装有网络隔离装置和信息交换应用程序，所述网络隔离装置分别与源网络和目标网络连接；

其特征在于，所述信息交换计算机通过网络隔离装置定时切换与源网络或目标网络的连接，并将从源网络下载的文件信息上载至目标网络的指定地址。

9.根据权利要求1或8所述计算机网间信息交换系统，其特征在于，所述源网络包括源网络交换机，以及与源网络交换机连接的源网络服务器和终端计算机，所述源网络交换机通过网络传输线与信息交换计算机的网络隔离装置连接。

10.根据权利要求1或8所述计算机网间信息交换系统，其特征在于，所述目标网络包括目标网络交换机，以及与目标网络交换机连接的目标网络服务器和终端计算机，所述目标网络交换机通过网络传输线与信息交换计算机的网络隔离装置连接。