CN103944858A - 内外测网间隔离计算机 - Google Patents

内外测网间隔离计算机 Download PDF

Info

Publication number
CN103944858A
CN103944858A CN201310018617.1A CN201310018617A CN103944858A CN 103944858 A CN103944858 A CN 103944858A CN 201310018617 A CN201310018617 A CN 201310018617A CN 103944858 A CN103944858 A CN 103944858A
Authority
CN
China
Prior art keywords
data
isolation
computer
net
filtering
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201310018617.1A
Other languages
English (en)
Inventor
赵凯瑞
孙群利
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
BERJING RUILITONG ELECTRONIC TECHNOLOGY Co Ltd
Northwestern Polytechnical University
Original Assignee
BERJING RUILITONG ELECTRONIC TECHNOLOGY Co Ltd
Northwestern Polytechnical University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by BERJING RUILITONG ELECTRONIC TECHNOLOGY Co Ltd, Northwestern Polytechnical University filed Critical BERJING RUILITONG ELECTRONIC TECHNOLOGY Co Ltd
Priority to CN201310018617.1A priority Critical patent/CN103944858A/zh
Publication of CN103944858A publication Critical patent/CN103944858A/zh
Pending legal-status Critical Current

Links

Landscapes

  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明属于网络通信技术领域，是一种具有高速过滤和隔离以太网数据包的电子设备，名叫内外测网间隔离计算机。目前对某个子网进行边界防护，一般可以选用网闸、防火网等设备，但该类设备有如下缺点：1)一般只对网络协议或端口进行过滤，2)一般对病毒等恶意程序敏感，3)常常存在比较大的过滤延迟，4)无法对应用数据进行过滤。本发明针对上述缺点进行专门设计，彻底解决了问题。基于超大规模FPGA逻辑器件进行全硬件设计实现，无操作系统，对病毒或恶意数据包不敏感；部署在物理层、可根据需要设置包头过滤字段和数据段中的各个过滤规则，可靠防止非法数据进出关键子网边界；系统内部采用硬件并行处理方法，保证设备的附加网络延迟小于120us。

Description

内外测网间隔离计算机
所属技术领域
本发明涉及一种网络通信安全防护装置，尤其是一种具有网络数据线速过滤和隔离功能的内外测网间隔离计算机。 
背景技术
目前，公知的能在网络上起到通信安全防护作用的防火墙、网闸一般采取存储转发的方式工作。由于对所有接收到的网络帧都进行转发，其中可能包含病毒、木马等数据帧，这些数据帧会影响“关键部位”内网的数据安全，并可能会窃取内部机密数据传播到外部的网络中，造成数据泄密。因此，在现阶段以太网数据通信中，保障关键内网的数据安全，进行数据过滤、隔离尤为重要。本发明中的网间隔离计算机，是一种专门用于为各部门外部网以及内部不同密级网络之间的隔离和安全防护而设计的一款双向网络信息安全隔离设备，可以有效地保护部门内部网络的边界安全，高速可靠地实现内网和外网的隔离通信，既保证了正常的数据交互通信需求，有保证了数据交互的安全、可靠、可控。 
发明内容
为了克服防火墙、网闸的无法对网路数据内容进行过滤和直接线速处理的不足，本发明提供一种网间隔离计算机，该隔离计算机不仅能控制网间数据交换，而且能可考虑地对通信数据的特征进行判断，从而保证内外网间的数据安全。 
本发明解决其技术问题所采用的技术方案是：不使用通用计算机附加常规数据摆渡外设的形式；系统设计采用自适应的10M/100M/1000M网口方案，同时设计光口和电口，由系统配置决定工作状态；一个网口用于与单位内部以太网相连，用来接收内网数据或者转发经过滤隔离后的外网数据；另一个网口与外网的数据交换设备相连，根据转发协议的规范以组播的形式分发给外网的可靠接收端的计算机；由于内外网分别使用专用网口，且两个网口之间采用的是非网络的数据摆渡方式，加上数据流向的控制和数据过滤，从而实现两侧网络的物理隔离。网间隔离计算机的工作模式由ARM管理(用户通过配套设置软件可方便配置系统工作状态)，系统设计网络接口与以太网完全兼容。 
本发明的实施效果是，可以在完全线速处理的条件下完成网间数据包的过滤和隔离，即完成了网络数据的安全传输，又保证了数据传输速率不会由于本设备的加入而降低。 
附图说明
下面结合附图和实施实例对本发明做进一步说明。 
图1是网间隔离计算机整体结构组成示意图，是本发明的接口组成框图。 
图2是网络隔离计算机主控板原理设计框图，是本发明的原理框图。 
如说明书附图中图1所示，本发明的隔离计算机由主控板、内网光口和电口、外网光口和电口、LCD接口、按键接口组成。主控板完成内网网络接口数据物理层接入、传输层手法、以太网包过滤等功能；内网光口和电口用于连接内网的交换机系统，可以使用千兆以太网口，也可以使用1.25Gbps的光纤接口；同理，外网光口和电口也可以使用千兆以太网口和1.25Gbps的光纤接口；LCD接口用来显示系统工作状态、自检信息、统计信息等；按键用来查看系统状态。 
如说明书附图中图2所示，网络接口的PHY芯片为88E1111，MAC控制器为AX88180，逻辑控制FPGA型号为XC5VLC060，ARM控制单元型号为LPC2478。隔离计算机的工作原理如下：从10/100/1000M Base-T网络来的数据首先经过物理层协议芯片(PHY)，然后由10/100/1000M Base-T网络控制器接收；接收端的FPGA使用硬件逻辑的方式缓冲每一包UDP(TCP/IP)协议数据(依据网络标准，每包最多1512字节，最少64字节，由于网络芯片内部已经有缓存，此处设计最多4包缓存量)，同时完成数据分析，关键字(标志位)的判断(例如：是否该数据包是发送给本机的，是则处理，否则扔掉)，然后将合法数据根据设置进行处理后，使用32位并行总线将数据转发给FPGA-2；FPGA-2收到数据以后，根据关键字(标志位)的内容，从映射IP列表中取得IP地址(组播策略)，然后分发(组播)数据；分发策略由单片机 管理，根据具体设计由单片机将每个终端IP(或组播策略)写入到相应寄存器中；由于整个物理层均在系统控制当中，因此完全可以完成设备两端网口的“非正常”访问数据的隔离。 
具体实施方式
如说明书附图中图2所示，首先根据电路板的CAD图纸加工PCB板，然后根据器件清单和位号进行焊接。焊接完毕进行质检工作，检验合格的板子首先需要进行加电测试，然后再一次烧写FPGA软件和ARM处理器软件，再进行通信测试，通过测试则表明系统可以正常工作了。 
使用时，首先将内外网的网线分别接在网间隔离计算机后面板的两个不同的网口上，然后将交流220V电压接到网间隔离计算机的后面板上，开启前面板开关按钮，网间隔离计算机启动。通过系统隔离设置软件，对隔离计算机进行过滤规则的设置；设置完毕之后，隔离计算机就可以按照设置好的隔离规则进行内外网数据的隔离通信，正常工作。用户可以随时添加或者删除网络隔离计算的隔离规则。 

Claims (4)

1.一种网间隔离计算机，两组网口分别连接内网和外网，完成内网和外网间数据交换的过滤和隔离，其特征是：网间数据直接线速处理，硬件流水线原理实现数据特征的匹配、识别与过滤，数据包的通过规则可使用配套软件灵活配置。 
2.根据权利要求1所述的网间隔离计算机，其特征是：部署于网络物理层，采用光电接口自动适应的方式工作，光口和电口首先建立连接的即为首选工作模式。 
3.根据权利要求1所述的网间隔离计算机，其特征是：核心功能采用超大规模FPGA逻辑芯片实现，芯片内部实现高效并行过滤算法，具备设备网络出入口附加时标的功能。
4.根据权利要求1所述的网间隔离计算机，其特征是：采用数据包过滤规则可灵活配置的实现方式，可分别针对数据包包头字段和数据字段进行过滤规则和特征字配置，要求保护这种实时配置的实现方式。 
CN201310018617.1A 2013-01-18 2013-01-18 内外测网间隔离计算机 Pending CN103944858A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201310018617.1A CN103944858A (zh) 2013-01-18 2013-01-18 内外测网间隔离计算机

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201310018617.1A CN103944858A (zh) 2013-01-18 2013-01-18 内外测网间隔离计算机

Publications (1)

Publication Number Publication Date
CN103944858A true CN103944858A (zh) 2014-07-23

Family

ID=51192345

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201310018617.1A Pending CN103944858A (zh) 2013-01-18 2013-01-18 内外测网间隔离计算机

Country Status (1)

Country Link
CN (1) CN103944858A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105490931A (zh) * 2016-01-12 2016-04-13 华东师范大学 基于fpga的多功能物联网网关设备
CN105516162A (zh) * 2015-12-18 2016-04-20 中国电子信息产业集团有限公司第六研究所 一种基于规则描述语言的动态配置过滤规则的方法

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105516162A (zh) * 2015-12-18 2016-04-20 中国电子信息产业集团有限公司第六研究所 一种基于规则描述语言的动态配置过滤规则的方法
CN105516162B (zh) * 2015-12-18 2019-02-19 中国电子信息产业集团有限公司第六研究所 一种基于规则描述语言的动态配置过滤规则的方法
CN105490931A (zh) * 2016-01-12 2016-04-13 华东师范大学 基于fpga的多功能物联网网关设备
CN105490931B (zh) * 2016-01-12 2016-11-30 华东师范大学 基于fpga的多功能物联网网关设备

Similar Documents

Publication Publication Date Title
CN103929334B (zh) 网络异常通知方法和装置
CN107005483B (zh) 用于高性能网络结构安全的技术
CN105337991B (zh) 一种一体化的报文流查找与更新方法
CN102859926B (zh) 多并行虚拟网络的系统和方法
JP5772568B2 (ja) 通信装置及び通信方法
WO2012159553A1 (en) Providing a layer-3 interface
CN105337890B (zh) 一种控制策略生成方法以及装置
CN108259226A (zh) 利用管理网络进行安全配置和平台管理
CN105991444A (zh) 业务处理的方法和装置
CN109995639A (zh) 一种数据传输方法、装置、交换机及存储介质
CN106411863A (zh) 一种实时处理虚拟交换机网络流量的虚拟化平台
US20140092725A1 (en) Method and first network node for managing an ethernet network
RU2602333C2 (ru) Сетевая система, способ обработки пакетов и носитель записи
CN107465621A (zh) 一种路由器发现方法、sdn控制器、路由器和网络系统
CN103944858A (zh) 内外测网间隔离计算机
CN106060085A (zh) 防止arp报文攻击方法以及装置
CN109803030A (zh) 一种匿名中间代理服务器及其通信方法
CN107104910A (zh) 用以卸载服务器管理流量的系统
CN106888185A (zh) 一种基于串行链路的工业网络安全防护方法
CN206195823U (zh) 一种网络视频监控摄像机节点及服务器间隔离设备
AU2017360114B2 (en) Method and device for filtering packets
CN105009512B (zh) 维护关联ma设置方法、装置及系统
US9591025B2 (en) IP-free end-point management appliance
WO2019123523A1 (ja) 通信装置、通信システム、通信制御方法、プログラム
CN109347810A (zh) 一种处理报文的方法和装置

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C02 Deemed withdrawal of patent application after publication (patent law 2001)
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20140723