CN103200201B

CN103200201B - 一种公安内网与视频专网的隔离系统及隔离方法

Info

Publication number: CN103200201B
Application number: CN201310136305.0A
Authority: CN
Inventors: 石旭刚
Original assignee: OB TELECOM ELECTRONICS CO Ltd
Current assignee: OB TELECOM ELECTRONICS CO Ltd
Priority date: 2013-04-18
Filing date: 2013-04-18
Publication date: 2015-12-02
Anticipated expiration: 2033-04-18
Also published as: CN103200201A

Abstract

本发明公开了一种公安内网与视频专网的隔离系统及隔离方法，创造性地选择了有限制的单向的串口通道和高速单向的网络通道进行连接，这种方法使用自定义的加密协议和数据包格式进行单向视频调阅指令传输，由于攻击者无法获取解密方法，所以即使最极端情况，内网视频服务器被攻击者操纵，并通过串口往外发送数据，这些数据也会被“高速单向光纤隔离接收机”拦截，无法传输到视频专网，从而有效地保护了内网。

Description

一种公安内网与视频专网的隔离系统及隔离方法

技术领域

本发明涉及网络安全领域的网络物理隔离技术和数据通信领域的数据传输技术，尤其涉及一种公安内网与视频专网的隔离系统及隔离方法。

背景技术

公安视频专网是通过改造整合现有的视频监控资源，实现互联互通、共享共用，覆盖面广的全天候监控网络，已成为提升公安工作水平、促进公安警务化改革、提高预防打击犯罪和控制犯罪能力的重要手段。各级公安机关需要随时调看公安视频专网中的实时视频和录像文件，必要时，需要调用现场实时图像进行统一调度和指挥。随着公安信息化建设的日益深入，为公安部门的日常工作带来高效便捷的同时，也带来了严重的计算机安全问题。尤其是病毒破坏、黑客入侵造成的危害越来越大。国家保密局2000年1月1日颁布《计算机信息系统国际联网保密管理规定》第2章保密制度第六条规定：“涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其他公共信息网络相连接，必须实行物理隔离”。公安视频专网由于接入点多且分散，很难保障网络的绝对安全，公安内网首当其冲需要与公安视频专网实行物理隔离。实行物理隔离后，可确保内部网不会受到外部公共网络的非法攻击。同时，实行物理隔离也为涉密计算机及信息系统划定了明确的安全边界，使得网络的可控性增强，便于内部管理和防范。日前，物理隔离技术已成为网络安全保密体系中不可缺少的重要手段，越来越受到各部门、各单位的高度重视。目前公安内网与视频专网的隔离技术主要采用网闸设备进行隔离，但是由于视频数据的带宽很高，尤其是访问大量视频路数时，需要很高的实时带宽，使得网闸设备需要很高的性能才能实时处理大量的视频数据，造成网闸设备成本很高，难以大规模推广应用。同时，即使采用网闸，由于核心软硬件都依赖进口，技术手段还存在许多漏洞，也不能保证自身不被黑客攻破。如何既经济、又能保证高速实时传输大容量视频数据、而且还能保证断开内网与公安视频专网的网络连接，让黑客无机可乘，是本发明要解决的问题。

发明内容

针对上述技术问题，本发明的提出一种公安内网与视频专网的隔离系统及隔离方法。

为了解决上述技术问题，本发明的技术方案如下：

一种公安内网与视频专网的隔离系统，包括内网视频服务器、高速单向光纤隔离接收机、高速单向光纤隔离发送机和外网视频服务器，所述高速单向光纤隔离接收机包括高速光纤接收模块和调阅指令解密与认证模块，所述高速单向光纤隔离发送机包括高速光纤发送模块和低速光纤接收模块，所述高速光纤接收模块通过网线和所述内网视频服务器连接，所述调阅指令解密与认证模块通过串口与所述内网视频服务器连接，所述调阅指令解密与认证模块通过光纤与所述低速光纤接收模块连接，所述高速光纤接收模块通过光纤和所述高速光纤发送模块连接，所述高速光纤发送模块通过网线和所述外网视频服务器连接，所述低速光纤接收模块通过串口与所述外网视频服务器连接。

进一步的，所述调阅指令解密与认证模块通过单向低速光纤通道与所述低速光纤接收模块连接。

进一步的，所述高速光纤接收模块中包括FPGA芯片和RTL8211BL芯片，所述FPGA芯片接收高速单向光纤隔离发送模块发送的高速视频数据，并转换成MII/RGMII信号后送入RTL8211BL芯片，再由RTL8211BL芯片通过网口把视频数据流传输到内网视频服务器中。

一种公安内网与视频专网的隔离方法，包括如下步骤：

41）当内网需要调阅外网视频的视频图像时，内网视频服务器通过串口发送加密的调阅指令到高速单向光纤隔离接收机的调阅指令解密与认证模块，调阅指令解密与认证模块对收到的串口数据进行解密，并判断是否是真实的调阅指令，如果判断是，则把调阅指令通过单向低速光纤通道发送到低速光纤接收模块，低速光纤接收模块再把调阅指令信号通过串口发送到外网视频服务器中；

42）当外网视频服务器接收到调阅指令后，把相应视频数据流通过网口发送到高速光纤发送模块中，所述高速光纤发送模块将该视频数据流电光转换后，再通过单向的光纤通道把视频数据流发送到高速光纤接收模块中，高速光纤接收模块对视频数据流进行光电转换后，再通过网口把视频数据流传输到内网视频服务器中。

进一步的，所述外网视频服务器将相应的视频数据以UDP报文形式发送至高速光纤接收模块中。

本发明的有益效果在于：本发明创造性地选择了有限制的单向的串口通道和高速单向的网络通道进行连接，这种方法使用自定义的加密协议和数据包格式进行单向视频调阅指令传输，由于攻击者无法获取解密方法，所以即使最极端情况，内网视频服务器被攻击者操纵，并通过串口往外发送数据，这些数据也会被“高速单向光纤隔离接收机”拦截，无法传输到视频专网，从而有效地保护了内网。

附图说明

图1为本发明一种公安内网与视频专网的隔离方法的总体系统结构示意图；

图2为本发明一种公安内网与视频专网的隔离方法在实际工程应用的示意图。

附图标记：内网视频服务器1；网线2；串口线3；高速单向光纤隔离接收机4；光纤跳线5；高速单向光纤隔离发送机6；公安视频专网服务器7。

具体实施方式

下面结合附图和具体实施例对本发明做进一步的说明。

本发明在公安内网视频服务器与外网视频服务器之间建立了只能传输专用加密视频调阅指令的单向串口数据通道和只能单向传输的高速网络通道。在实现内网能够高效、高速、大容量调阅视频专网的视频数据功能时，保证内网与视频专网在网络上是物理隔离的，视频专网不能通过网络模式对内网进行访问，或从内网获得除专用调阅指令以外的任何其他数据。

如图1所示，一种公安内网与视频专网的隔离系统由“内网视频服务器”、“高速单向光纤隔离接收机”、“高速单向光纤隔离发送机”、“外网视频服务器”四部分组成。当公安内网视频服务器接收到加密的视频数据后如果不经过解密则是乱码，此时通过低速的RS232串口发送一个加密的专用视频调阅指令到“高速单向光纤隔离接收机”，此指令自己可以定义。“高速单向光纤隔离接收机”对收到的访问指令进行解密与识别。接收的加密数据是由自定义的加密算法完成的，此算法可以简单也可以很复杂。举一个简单的例子就是把视频数据流每bit的数据按位取反进行加密，“高速单向光纤隔离接收机”接到调阅指令进行解密时再按位取反取得原有数据。如果确认是专用的视频调阅指令，则通过单向的低速光纤通道把调阅指令发送到“高速单向光纤隔离发送机”中，再由“高速单向光纤隔离发送机”通过RS232串口传输到外网视频服务器中，并由外网服务器接收下来。如果“高速单向光纤隔离接收机”接收的不是加密的专用视频调阅指令，而是其他的任何数据，则“高速单向光纤隔离接收机”不会把这些数据发送到“高速单向光纤隔离发送机”中，也即不会发送到外网视频服务器中。“外网视频服务器”接收到视频调阅指令后，把相应的视频数据以UDP报文形式发送到“高速单向光纤隔离发送机”，“高速单向光纤隔离发送机”把视频数据信号转换成光信号，通过光纤单向传输到“高速单向光纤隔离接收机”中，“高速单向光纤隔离接收机”块把光信号转换成电信号，并通过网络口传输到“内网视频服务器”中。

在本发明中，公安内网视频服务器与视频专网服务器实行的是单向指令传输，只有内网视频服务器发出的专用视频调阅指令能通过单向低速光纤口传输到视频专网服务器，而对于其他任何数据都不能从内网传输到视频专网，而对于视频数据，则只能从视频专网单向传输到公安内网。这就有效保证了公安内网与视频专网的网络物理隔离，从视频专网出发，无论采用何种技术手段，都不可能建立起与公安内网的网络联接，不可能从公安内网获取其他任何数据（只能获取专用的调阅指令数据），保证了公安内网服务器及其数据的安全。其中“高速单向光纤隔离接收机”和“高速单向光纤隔离发送机”通过一条单向的高速光纤通道（用于传输视频数据）和一条单向的低速光纤通道（用于传输加密的专用调阅指令）进行互联。“高速单向光纤隔离接收机”由“高速光纤接收模块”和“调阅指令解密与认证模块”组成。“高速光纤接收模块”通过网口与“内网视频服务器”的网口联接，“调阅指令解密与认证模块”通过RS232串口与“内网视频服务器”联接。“高速单向光纤隔离发送机”由“高速光纤发送模块”和“低速光纤接收模块”组成。“高速光纤发送模块”通过网口与“外网视频服务器”的网口联接，“低速光纤接收模块”通过RS232串口与“外网视频服务器”联接。“内网视频服务器”通过串口把加密的专用调阅指令发送到“高速单向光纤隔离接收机”的“调阅指令解密与认证模块”，“调阅指令解密与认证模块”，对这些指令进行解密和识别，如确认为是正确的调阅指令，则通过单向的低速光纤通道把调阅指令数据发送到“高速单向光纤隔离发送机”的“低速光纤接收模块”中，并通过该模块的RS232串口传输到“视频专网服务器”中。“视频专网服务器”接收到调阅指令后，把相应的视频数据以UDP包的形式通过网口发送到“高速单向光纤隔离发送机”的“高速光纤发送模块”中，“高速光纤发送模块”把电信号转换成光信号并通过单向的高速光纤通道把视频数据发送到“高速单向光纤隔离接收机”的“高速光纤接收模块”，该模块通过光电转换后，把视频数据通过网口传输到“内网视频服务器”中。这就完成了内网调阅视频专网中的视频数据的功能了。

具体而言，“高速单向光纤隔离接收机”由“高速光纤接收模块”和“调阅指令解密与认证模块”组成。“高速光纤接收模块”主要由LATTICE公司的FPGA芯片LCMXO1200C-3TN100I和RTL8211B(L)网络芯片实现。FPGA芯片接收高速单向光纤隔离发送机发送的高速视频数据，并转换成MII/RGMII（介质独立接口）信号后送入RTL8211B(L)，再由RTL8211B(L)通过网口把视频数据流传输到内网视频服务器中。“调阅指令解密与认证模块”采用FPGA芯片实现，通过RS232串口与“内网视频服务器”联接。“内网视频服务器”通过串口把加密的专用调阅指令发送到“调阅指令解密与认证模块”的FPGA中，FPGA对这些调阅指令进行解密和识别，判断是否为真实的调阅指令，如确认为是正确的调阅指令，则FPGA把指令数据通过单向的低速光纤通发送到“高速单向光纤隔离发送机”。

“高速单向光纤隔离发送机”由“高速光纤发送模块”和“低速光纤接收模块”组成。“高速光纤发送模块”主要由LATTICE公司的FPGA芯片LCMXO1200C-3TN100I和RTL8211B(L)网络芯片实现。RTL8211B(L)接收由“公安视频专网服务器”发送的视频数据流，并转换成MII/RGMII（介质独立接口）信号后送入FPGA芯片，FPGA芯片把MII/RGMII信号转换成高速串行信号，通过光电转换后发送到光纤中。“低速光纤接收模块”主要有低速光模块和RS232接口芯片组成，低速光模块把接收到的调阅指令信号转换成电信号，并通过RS232接口芯片把调阅指令信号传输到视频专网服务器中。

一种公安内网与视频专网的隔离方法的组成和功能说明如下：

（1）公安内网服务器完成加密的调阅指令的发送和视频数据的接收功能。公安内网服务器需要包含串口和网口，其他配置根据实际需求而定。当内网需要调阅视频专网的视频图像时，内网服务器通过串口发送加密的调阅指令到“高速单向光纤隔离接收机”中，“高速单向光纤隔离接收机”对收到的串口数据进行解密，并判断是否是真实的调阅指令，如果判断是，则把调阅指令通过单向低速光纤通道发送到“高速单向光纤隔离发送机”，“高速单向光纤隔离发送机”再把调阅指令信号通过串口发送到“视频专网服务器”中。

（2）公安视频专网服务器完成调阅指令信号的接收和视频数据的发送功能。公安视频专网服务器需要包含串口和网口，其他配置根据实际需求而定。当“公安专网视频服务器”接收到调阅指令后，把相应视频数据流通过网口发送到“高速单向光纤隔离发送机”中，“高速单向光纤隔离发送机”再通过单向的高速光纤通道把视频数据发送到“高速单向光纤隔离接收机”中，“高速单向光纤隔离接收机”再通过网口把视频数据传输到“公安内网服务器”中。

图2是本发明一种公安内网与视频专网的隔离方法在实际工程应用的示意图。本发明系统由“公安内网服务器”、“高速单向光纤隔离接收机”、“高速单向光纤隔离发送机”、“公安视频专网服务器”组成。“公安内网服务器”通过网线和串口线与“高速单向光纤隔离接收机”联接，“高速单向光纤隔离接收机”通过2条光纤跳线与“高速单向光纤隔离发送机”联接，“高速单向光纤隔离发送机”通过网线和串口线与“公安视频专网服务器”联接。系统能实现“公安内网服务器”向“公安视频专网服务器”实时高速调阅视频数据，同时确保视频专网与公安内网之间的网络是物理隔离的，有效保障公安内网的安全。

网络隔离方法的本质不在于完全断开，而在于安全，既要信息交换，也要隔离断开。本发明创造性地选择了有限制的单向的串口通道（只能单向传输内网发出的视频调阅指令）和高速单向的网络通道进行连接，提出了一种全新的“公安内网与视频专网的隔离方法”，这种方法使用自定义的加密协议和数据包格式进行单向视频调阅指令传输，由于攻击者无法获取解密方法（解密工作由“高速单向光纤隔离接收机”中的“调阅指令解密与认证模块”以硬件模式完成），所以即使最极端情况，内网视频服务器被攻击者操纵，并通过串口往外发送数据，这些数据也会被“高速单向光纤隔离接收机”拦截，无法传输到外网（视频专网），从而有效地保护了内网。从图1和图2可以清楚地看到本发明在工程实际应用中使用的优点，这些优点包括：设备安装使用维护都非常简单；由于是纯硬件结构和加密的专用调阅指令协议及有保障的单向数据通道协议，能购保障网络的绝对安全，没有被攻击的可能；单向的视频数据通道速率可达10G，在保障访问速率的同时大大降低了系统的成本。

本发明的一种公安内网与视频专网的隔离方法具体有如下创新：创新性地使用有限制的单向串口通道传输内网发出的视频调阅指令，该通道只允许从公安内网传输加密的专用视频调阅指令到视频专网中，其他任何数据都无法从内网传输到视频专网中。

1、创新性地使用硬件解密方法对加密的专用视频调阅指令进行解密和识别，有效地保护了加密算法，使攻击者无法从内网或外网的服务器中获取解密方法。

2、创新性地使用低速单向光纤通道传输单向串口指令数据，从物理上保证了指令信道传输的单向性。

3、创新性地采用高速单向光纤通道传输视频数据，不但以极低的成本保证视频数据的带宽达到1G甚至10G，而且从物理上保证了内网与视频专网间的物理隔离。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员，在不脱离本发明构思的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明保护范围内。

Claims

1.一种公安内网与视频专网的隔离系统，其特征在于，包括内网视频服务器、高速单向光纤隔离接收机、高速单向光纤隔离发送机和外网视频服务器，所述高速单向光纤隔离接收机包括高速光纤接收模块和调阅指令解密与认证模块，

所述高速单向光纤隔离发送机包括高速光纤发送模块和低速光纤接收模块，所述高速光纤接收模块通过网线和所述内网视频服务器连接，所述调阅指令解密与认证模块通过串口与所述内网视频服务器连接，所述调阅指令解密与认证模块通过光纤与所述低速光纤接收模块连接，所述高速光纤接收模块通过光纤和所述高速光纤发送模块连接，所述高速光纤发送模块通过网线和所述外网视频服务器连接，所述低速光纤接收模块通过串口与所述外网视频服务器连接；

所述隔离系统工作如下：当内网需要调阅外网视频的视频图像时，内网视频服务器通过串口发送加密的调阅指令到高速单向光纤隔离接收机的调阅指令解密与认证模块，调阅指令解密与认证模块对收到的串口数据进行解密，并判断是否是真实的调阅指令，如果判断是，则把调阅指令通过单向低速光纤通道发送到低速光纤接收模块，低速光纤接收模块再把调阅指令信号通过串口发送到外网视频服务器中；

当外网视频服务器接收到调阅指令后，把相应视频数据流通过网口发送到高速光纤发送模块中，所述高速光纤发送模块将该视频数据流电光转换后，再通过单向的光纤通道把视频数据流发送到高速光纤接收模块中，高速光纤接收模块对视频数据流进行光电转换后，再通过网口把视频数据流传输到内网视频服务器中。

2.根据权利要求1所述的一种公安内网与视频专网的隔离系统，其特征在于，所述调阅指令解密与认证模块通过单向低速光纤通道与所述低速光纤接收模块连接。

3.根据权利要求1所述的一种公安内网与视频专网的隔离系统，其特征在于，

所述高速光纤接收模块中包括FPGA芯片和RTL8211BL芯片，所述FPGA芯片接收高速单向光纤隔离发送模块发送的高速视频数据，并转换成MII/RGMII信号后送入RTL8211BL芯片，再由RTL8211BL芯片通过网口把视频数据流传输到内网视频服务器中。

4.一种公安内网与视频专网的隔离方法，其特征在于，包括如下步骤：

41)当内网需要调阅外网视频的视频图像时，内网视频服务器通过串口发送加密的调阅指令到高速单向光纤隔离接收机的调阅指令解密与认证模块，调阅指令解密与认证模块对收到的串口数据进行解密，并判断是否是真实的调阅指令，如果判断是，则把调阅指令通过单向低速光纤通道发送到低速光纤接收模块，低速光纤接收模块再把调阅指令信号通过串口发送到外网视频服务器中；

42)当外网视频服务器接收到调阅指令后，把相应视频数据流通过网口发送到高速光纤发送模块中，所述高速光纤发送模块将该视频数据流电光转换后，再通过单向的光纤通道把视频数据流发送到高速光纤接收模块中，高速光纤接收模块对视频数据流进行光电转换后，再通过网口把视频数据流传输到内网视频服务器中。

5.根据权利要求4所述的一种公安内网与视频专网的隔离方法，其特征在于，所述外网视频服务器将相应的视频数据以UDP报文形式发送至高速光纤接收模块中。

6.根据权利要求4所述的一种公安内网与视频专网的隔离方法，其特征在于，所述高速光纤接收模块中包括FPGA芯片和RTL8211BL芯片，所述FPGA芯片接收高速单向光纤隔离发送模块发送的高速视频数据，并转换成MII/RGMII信号后送入RTL8211BL芯片，再由RTL8211BL芯片通过网口把视频数据流传输到内网视频服务器中。