CN101136797A - 内外网物理连通的检测、通断控制方法及应用该方法的装置 - Google Patents

Abstract

本发明公开了一种内外网物理连通的检测、通断控制方法及应用该方法的装置，本发明通过在内外网上各设置一台服务器，并且在内外网的每个网段各设置一个探测器，在内外网一端的探测器定时发送带有特殊标记的数据包，当外网探测器探测到内网发送的数据包或者内网探测器探测到外网发送的数据包时，即可确定内外网络已经连通，当发现内外网连通的情况后，系统会通知服务器自动断开本单位局域内网与广域内网的连接，确保广域内网的安全，采用本发明，可以有效、及时地发现内外网络直接连接的情况，从根本上解决涉密主机与外网连通的检测问题，本发明可以应用于内网保护及入侵检测等各类系统中。

Description

内外网物理连通的检测、通断控制方法及应用该方法的装置

【技术领域】

本发明属于网络安全领域，具体的说涉及一种内外网物理连通的检测、通断控制方法及应用该方法的装置。

【背景技术】

为保证涉密网络的安全运行，在涉密网络和公共信息网络之间实施物理隔离，是国家保密部门的强制规定，也是当前涉密网络采取的主要安全保密措施。然而，由于在涉密网络和公共信息网络之间缺乏行之有效的监控管理手段，在实际应用中有时会有意或者无意地将内网与外网网线交叉错接，导致内网与外网物理连接，从而形成事实上的物理通道。这样黑客极有可能通过该通道进入内部网络，进而通过嗅探、破解密码等方式对内部的关键信息或敏感数据进行收集，或者对内部网络的其它主机进行攻击，对内部网络的安全构成极大的威胁。传统的安全产品只能对内网中客户机通过拨号、无线网卡等主动非法外联方式进行检测，而不能对内、外网线是否存在物理连接作出准确判断。现有技术存在的主要缺陷就是无法有效、及时地发现内外网络直接连接的情况。

【发明内容】

本发明的目的是针对现有技术的不足，提供一种内外网络物理连通的检测及通断控制方法，还提供利用该方法的检测及控制内外网物理连通装置，以克服现有技术存在的无法及时、准确地发现内外网络物理连通的问题。

本发明的解决方案是：一种内外网物理连通的检测、通断控制方法，其特征在于，本方法通过在内外网上各设置一台服务器，并且在内外网的每个网段各设置一个探测器，在内外网一端的探测器定时发送带有特殊标记的数据包，当外网探测器探测到内网发送的数据包或者内网探测器探测到外网发送的数据包时，即可确定内外网络已经连通，具体的说，本发明通过以下几个步骤来实现：

1)、在内外网端各部署一台服务器，并对服务器进行TCP/IP设置，保证从本网中任何网段都可以与服务器建立TCP通讯；

2)、在内外网的每个网段各部署一台探测器，如果网络上存在多个虚拟网段，则在每一个网段上都部署一台探测器，每台探测器都进行相应的TCP/IP设置，需要占用本网段的一个IP地址，其网关指向可以路由到本网服务器的路由器地址；

3)、所述的每一个网段上的探测器定时发送带有本网特征的特殊数据包；

4)、所述探测器一直监听本网段中的所有数据包，当位于内网某网段的内网探测器监听到部署在外网的探测器发送的数据包，或者位于外网某网段的外网探测器监听到部署在内网的探测器发送的数据包，即可确认内外网络已经连通，此时探测器即通过指定路由对本网络的服务器发起TCP连接，向服务器发送报警信息，并在服务器上产生详细的日志记录；

5)、如果本系统是部署在与广域内网连接的局域网络中，当服务器检测到内外网直连时，向设置在网络中的网络阻断设备发送指令，主动断开局域内网与广域内网的网络连接，保证广域内网的安全。

需要说明的是，当网络中只有一个网段时，服务器与探测器用同一台机实现。

应用上述方法的一种内外网物理连通的检测、通断控制装置，其特征在于，内外网上各设置有一台服务器，并且在内外网的每个网段各设置有一个能定时发送带有特殊标记的数据包探测器，以及在网络中设置有网络阻断设备，即网络通断控制器。

与现有技术相比，本发明的优点是：现有内外网连通的检测方法或设备一般都是通过内网主机向外网发送数据包(ping包、DNS解析包及基于TCP/IP的连接包)，或者内网主机试图连接互联网等方式来检测内外网连接情况。而实际网络环境中由于内外网IP配置不同，即使内外网直连，内网主机也无法与外网主机建立连接，而在划分虚拟网段的网络中即使内外网IP配置方法相同，在内外网直连的情况下，内网主机也无法与外网主机建立连接。

而本发明的方法或设备通过自身主动发送数据包并监测同类型数据包的方式来检测内外网络存在物理连接的情况，对即使内外网各划分了多个虚拟网段等复杂情况，通过本发明所述探测器方法也能准确地检测内外任意两个网段连接的情况。另外，本发明与现在技术的区别及有益效果还在于，当发现内外网连通的情况后，系统会通知服务器自动断开本单位局域内网与广域内网的连接，确保广域内网的安全。采用本发明，可以从根本上解决涉密主机与外网连通的检测问题，本发明可以应用于内网保护及入侵检测等各类系统中。

【附图说明】

附图为本发明在具体网络环境中的结构应用示意图。

【具体实施方式】

下面结合附图对本发明进行进一步的描述：

1、如图所示，在内外网中分别部署一台报警服务器，对服务器进行

TCP/IP设置，保证从本网中任何网段都可以与服务器建立TCP通讯；

2、在内外网的每个网段各部署一台探测器，所述探测器可以是带网络通讯功能的服务器、主机或者单片机、单板机。如果内外网中有多个虚拟网段，则每个网段中都需要配置一台探测器，每台探测器都必须进行相应的TCP/IP设置，需要占用本网段的一个IP地址，其网关指向可以路由到本网服务器的路由器地址；

3、探测器定时发送带有本网内容的包含特殊标记的二层广播包，比如，部署在内网的探测器发送标记为A的广播包，部署在外网的探测器发送标记为B的广播包，A、B标记为区别于网络其它广播包的特殊字段；

4、在正常情况下，由于内网与外网物理隔离，内网探测器发送的包含内容A的广播包不可能传送到外网中，同样，外网探测器发送的包含内容B的广播包也不可能传送到内网中，但是一旦内网某一网段与外网另一网段直连，即内网与外网发生了物理连接，根据交换机包转发原理，位于该网段的探测器发送的二层广播包可以从两个直连的网段中的任何一个端口捕获到；

5、探测器一直监听本网段中的所有广播包，当位于内网某网段的内网探测器监听到包含有内容B的广播包，或者位于外网某网段的外网探测器监听到包含有内容A的广播包，即可确认内外网络已经连通，此时探测器即通过指定路由对本网络的服务器发起TCP连接，向服务器报警，并在服务器上产生详细的日志记录；

6、如果本系统是部署在与广域内网连接的局域网络中，当服务器检测到内外网直连时，向图中的网络阻断设备(网络通断控制器)发送指令，主动断开局域内网与广域内网的网络连接，保证广域内网的安全。

另外，如图所示，应用本发明方法的内外网物理连通的检测、通断控制装置，其特征在于，内外网上各设置有一台服务器，并且在内外网的每个网段各设置有一个能定时发送带有特殊标记的数据包探测器，以及在网络中设置有网络阻断设备，即网络通断控制器。

而且，在内外网端各设置的所述服务器，通过对其进行TCP/IP设置，从而保证从本网中任何网段都可以与所述服务器建立TCP通讯。

另外，在内外网的每个网段各设置的所述探测器，对其分别进行相应的TCP/IP设置，占用本网段的一个IP地址，其网关指向可以路由到本网服务器的路由器地址。

而且，当网络中只有一个网段时，所述服务器与所述探测器用同一台机实现。

还有，所述探测器可以是带网络通讯功能的服务器、主机或者单片机、单板机。

最后所应说明的是：以上实施方式作为一种实施例，仅用以说明而非限制本发明的技术方案，尽管参照上述方式对本发明进行了详细的说明，本领域的技术人员应该理解：依然对本发明进行修改或者等同替换，而不脱离本发明的精神和范围的任何修改和局部替换，其均应涵盖在本发明的权利要求范围内。

Claims (9)

1.一种内外网物理连通的检测、通断控制方法，其特征在于，本方法通过在内外网上各设置一台服务器，并且在内外网的每个网段各设置一个探测器，在内外网一端的探测器定时发送带有特殊标记的数据包，当外网探测器探测到内网发送的数据包或者内网探测器探测到外网发送的数据包时，即可确定内外网络已经连通，具体的说，本发明通过以下几个步骤来实现：

1)、在内外网端各部署一台服务器，并对服务器进行TCP/IP设置，保证从本网中任何网段都可以与服务器建立TCP通讯；

2)、在内外网的每个网段各部署一台探测器，如果网络上存在多个虚拟网段，则在每一个网段上都部署一台探测器，每台探测器都进行相应的TCP/IP设置，需要占用本网段的一个IP地址，其网关指向可以路由到本网服务器的路由器地址；

3)、所述的每一个网段上的探测器定时发送带有本网特征的特殊数据包；

4)、所述探测器一直监听本网段中的所有数据包，当位于内网某网段的内网探测器监听到部署在外网的探测器发送的数据包，或者位于外网某网段的外网探测器监听到部署在内网的探测器发送的数据包，即可确认内外网络已经连通，此时探测器即通过指定路由对本网络的服务器发起TCP连接，向服务器发送报警信息，并在服务器上产生详细的日志记录；

5)、如果本系统是部署在与广域内网连接的局域网络中，当服务器检测到内外网直连时，向设置在网络中的网络阻断设备发送指令，主动断开局域内网与广域内网的网络连接，保证广域内网的安全。

2.根据权利要求1所述的内外网物理连通的检测、通断控制方法，其特征还在于，当网络中只有一个网段时，服务器与探测器用同一台机实现。

3.根据权利要求1所述的内外网物理连通的检测、通断控制方法，其特征还在于，所述探测器可以是带网络通讯功能的服务器、主机或者单片机、单板机。

4.根据权利要求1所述的内外网物理连通的检测、通断控制方法，其特征还在于，所述探测器定时发送的数据包为带有本网内容的包含特殊标记的二层广播包。

5.一种内外网物理连通的检测、通断控制装置，其特征在于，内外网上各设置有一台服务器，并且在内外网的每个网段各设置有一个能定时发送带有特殊标记的数据包探测器，以及在网络中设置有网络阻断设备，即网络通断控制器。

6.根据权利要求5所述的内外网物理连通的检测、通断控制装置，其特征还在于，在内外网端各设置的所述服务器，通过对其进行TCP/IP设置，从而保证从本网中任何网段都可以与所述服务器建立TCP通讯。

7.根据权利要求5所述的内外网物理连通的检测、通断控制装置，其特征还在于，在内外网的每个网段各设置的所述探测器，对其分别进行相应的TCP/IP设置，占用本网段的一个IP地址，其网关指向可以路由到本网服务器的路由器地址。

8.根据权利要求5所述的内外网物理连通的检测、通断控制装置，其特征还在于，当网络中只有一个网段时，所述服务器与所述探测器用同一台机实现。

9.根据权利要求5所述的内外网物理连通的检测、通断控制装置，其特征还在于，所述探测器可以是带网络通讯功能的服务器、主机或者单片机、单板机。

Images