CN105204583A - 一种基于嵌入式系统构建的物理隔离系统及隔离方法 - Google Patents

Abstract

本发明公开了一种基于嵌入式系统构建的物理隔离系统及隔离方法,包括处理器A和处理器B，处理器A和处理器B相互独立，处理器B通过网络接口连接外部公开网络，处理器A通过网络接口连接内部信任网络，处理器A和处理器B之间采用非以太网方式的物理传输信道连接；处理器B的系统为从片系统，处理器A的系统为主片系统，处理器B的系统启动加载由处理器A控制，本系统采用单设备系统部署，以嵌入式系统为开发核心，采用端口物理隔离方案，并能保证满足协议的安全内容无障碍通信，对非法数据信息严格阻断，并采用单系统引导保证系统的安全可靠，最大限度的保证了客户的便利性和系统的安全性，成本较低推广价值较高。

Description

一种基于嵌入式系统构建的物理隔离系统及隔离方法

技术领域

本发明涉及计算机网络安全领域，尤其涉及一种基于嵌入式系统构建的物理隔离系统及隔离方法。

背景技术

随着我国信息化建设步伐的加快、互联网+的产品推广，计算机网络的进一步普及和发展，我们的生活和工作越来越依赖于网络。网络安全问题越来越受到安全厂商甚至普通用户的关注，为满足用户日益增长的网络安全需求，安全厂商不断发布新产品和研发新技术，但无论网络安全技术如何发展，网络及网络上的信息资源依然存在着相当的安全风险，目前的安全产品如防火墙、网闸等由于不能彻底解决内外部协议连接的问题，安全性受到质疑，网闸系统在经过恶意攻击后会导致系统崩溃、认证失效从而导致安全网络设备暴露在外网，导致文件和系统泄密。

为此，很多高度重视内部信息安全的企事业单位，会采用完全物理隔离的两个网络工作，即采用两套系统，分别用于连接内部网络、连接外部网络，这样保证了系统的绝对隔离，但同时带来了信息交换的障碍，不利于系统维护；再比如特定的应用场景中只需要网络之间传输明确指令的内容，如特定系统维护工作、控制、数据调取定明文协议，使用现有的产品基本无法同时保证隔离系统的稳定性和便携性，所以需要一种简单、便捷、低成本、高可靠的网络安全系统解决网络交互问题；

为和本发明的系统方案对比，选取两种典型网络安全系统即网闸和光闸；

1、传统网闸系统采用两台独立的主机和网闸设备组成一个系统，基本原理在于是切断网络之间的通用协议连接，将数据包打成静态数据，对静态数据进行安全审查，包括网络协议检查和文件扫描等；确认后的安全数据流入内部单元；网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。它连接的两个独立的主机系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议“摆渡”，且对固态存储介质只有“读”和“写”两个命令。由此可见，系统由两台主机系统、一台网闸系统组成，设备复杂；由于采用数据的“摆渡”技术整个产品读写速率收到很到的限制，目前相关产品网口吞吐量较低；

2、光闸系统采用分光技术实现，以光的特性保证了数据传输的完全单向，基于光闸的单向传输系统只进行数据单向推移，完全防止各种可能的泄密。同传统的网闸技术相比，具有传输带宽高，数据传输的实时性等特点；同时系统的实现简单便于维护与管理，特别适合于内部数据有高安全要求的网络的文件由外网到内网的自动安全传输问题。分流设备有三个连接口，分别为入口、出口和镜像口；分流设备的入口连接外网发送端，出口连接外网接收端，镜像口连接内网解码端；外网发送端将要传输的文件发送到外网接收端，在外网上产生数据流。系统采用两台主机系统通过光分路器连接，整个系统安全性较高，同时可构建双向大容量传输系统，同样才在系统构建复杂，成本较高的问题，实际推广中阻力较大。

发明内容

针对上述技术缺陷，本发明提出一种基于嵌入式系统构建的物理隔离系统及隔离方法。

为了解决上述技术问题，本发明的技术方案如下：

一种基于嵌入式系统构建的物理隔离系统，包括处理器A和处理器B，所述处理器A和处理器B相互独立，所述处理器B通过网络接口连接外部公开网络，所述处理器A通过网络接口连接内部信任网络，所述处理器A和处理器B之间采用非以太网方式的物理传输信道连接；所述处理器B的系统为从片系统，所述处理器A的系统为主片系统，处理器B的系统启动加载由处理器A控制。

进一步的，处理器A由系统复位，处理器B由处理器A进行系统复位和加载，处理器A通过固化在flash中的程序进行引导启动，处理器A进入系统后在本地文件系统根目录下创建对应的目录，将预先制作好的处理器B的启动镜像文件加载存放到该目录中。

进一步的，所述处理器A加载内核启动模块，以支持处理器B的启动控制、消息通信功能；处理器A还包括加载级联启动的驱动模块以及处理器A运行启动处理器B的应用程序，启动处理器B的应用程序开始初始化处理器B系统需要用到的所有DDR，然后将处理器A的系统目录下的启动镜像文件搬运到处理器B的内存地址，最后开始引导启动。

进一步的，所述处理器A连接启动复位电路。

进一步的，所述处理器A连接报警输出电路。

进一步的，所述处理器A以及处理器B系统均通过tcp/ip协议接收或发送数据

一种基于嵌入式系统构建的物理隔离方法，包括系统启动步骤和数据处理流程步骤：

所述系统启动步骤包括：

71)处理器A由系统复位，处理器B由处理器A进行系统复位和加载，处理器A通过固化在flash中的程序进行引导启动，处理器A进入系统后在本地文件系统根目录下创建对应的目录，将预先制作好的处理器B的启动镜像文件加载存放到该目录中;

72)所述处理器A加载内核启动模块，以支持处理器B的启动控制、消息通信功能；处理器A还包括加载级联启动的驱动模块以及处理器A运行启动处理器B的应用程序，启动处理器B的应用程序开始初始化处理器B系统需要用到的所有DDR，然后将处理器A的系统目录下的启动镜像文件搬运到处理器B的内存地址，最后开始引导启动;

所述数据处理流程步骤包括：

73）内部信任网络发送消息之前通过用户以及密码的方式登录到处理器A系统，经认证通过后在处理器A系统端产生一个session，内部信任网络发送的消息只有通过该session才能被接收处理；

74）内部信任网络发送的消息通过处理器A系统进行报文的分析，当报文结构和内容符合协议规定时，报文会被送到处理器A系统的数据处理模块进行处理；所述数据处理模块分析消息的类型，并根据具体的报文内容直接本地处理或通过隔离通道转发至处理器B。

进一步的，所述处理器A与处理器B之间的隔离通道可进行双向数据传输，该隔离通道包括消息传输通道和数据传输通道；消息传输通道用于数据规模和吞吐量都低的数据；数据传输通道用于传输连续大块的数据。

进一步的，步骤74）中的报文内容在隔离通道的应用层进行协议格式校检，符合规定协议格式的报文内容才被允许通过隔离通道进行传输；所述隔离通道上传输的协议格式采用非公开的私有协议。

进一步的，处理器B系统运行时，定时发送心跳报文由隔离通道给处理器A系统，当在一定时间内处理器A系统没有接收到心跳消息，对内部信任网络预警，并获取处理器B的运行指令，进行报警，并可同时对处理器B进行系统初始化，使系统自恢复到正常状态。

本发明的有益效果在于：本系统采用单设备系统部署，以嵌入式系统为开发核心，采用端口物理隔离方案，并能保证满足协议的安全内容无障碍通信，对非法数据信息严格阻断，并采用单系统引导保证系统的安全可靠,最大限度的保证了客户的便利性和系统的安全性，成本较低推广价值较高。

附图说明

图1为嵌入式物理隔离系统硬件框图；

图2为嵌入式物理隔离系统启动加载框图；

图3为嵌入式物理隔离系统工作流程图。

具体实施方式

下面将结合附图和具体实施例对本发明做进一步的说明。

本发明公开了一种网络隔离产品的硬件系统方案和在该硬件系统方案上利用软件实现架构，需要注意的是，本领域技术人员应知，采用传统的一些方法也可以在该硬件系统上实现。

硬件系统采用两颗嵌入式处理器，对数据包协议进行解析，通过内部数据通道连接进行数据交互、处理，完成网络接入、用户管理、信任验证、协议分析等操作，构建高吞吐量的安全隔离设备；

1、本发明的系统核心硬件框图

如图1所示，该设备采用两颗嵌入式处理器，分别用作公开网络和内部可信网络接入服务，两颗处理器之间通过自定义通道相连，分别为加载管理通道、消息传输通道和数据传输通道；

加载管理通道：用于对从片进行启动加载；

消息传输通道：用于传输公开网络与可信网络之间的慢速双向数据，保证安全数据的控制传输；

数据传输通道：用于传递高吞吐量的安全数据，保证安全信息的高可靠信任传输；

嵌入式处理器B定义为从片系统，启动加载由嵌入式处理器A主片控制，便于系统统一管理运行，主片系统配有硬件报警输出接口，在系统受到攻击或者运行异常时进行硬件报警输出；

本系统的核心硬件为两个独立的处理器，可采用通用的ARM、PowerPC、DSP等系统处理器，网络接口根据项目需求配置网口数量，可根据芯片支持能力、项目需求处理器能力进行多端口配置；采用硬件连接通信，嵌入式处理器B从片采取无系统文件运行模式，保证系统不被篡改，全部由嵌入式处理器A主片进行加载、启动；

2、本发明的系统启动方案

处理器B在硬件上不带flash，通过处理器A系统将其需要的启动镜像文件加载到特定的内存地址，再开始引导的方式启动系统。

如图2所示，处理器A由系统复位，处理器B系统由处理器A系统进行系统复位和加载。处理器A系统通过固化在flash中的程序进行引导启动，进入系统后在本地文件系统根目录下创建特定的目录，将预先制作好的处理器B系统的启动镜像文件加载存放到该目录中。

处理器A系统加载内核启动模块，以支持处理器B的启动控制，消息通信等基础功能。

处理器A系统加载级联启动的驱动模块。

处理器A系统运行启动处理器B系统的应用程序，启动程序开始初始化处理器B系统需要用到的所有DDR，接着将处理器A系统目录下的启动镜像文件搬运到特定的处理器B的内存地址，即加载到特定的内存空间，再发出指令要求处理器A系统引导启动，最后处理器A系统开始引导启动。

3、本系统的数据处理流程系统

本系统在软件上存在两个独立的操作系统，每个处理器系统对应一个独立的域。处理器A和处理器B的两个系统之间采用非以太网方式的物理传输信道，如采用，并行总线、PCIE等传输接口，只有特定的数据包才能被转发到对端系统。这样可以确保即使外部域公开网络端口被攻破，也可以同样保证内部域的绝对安全。

如图3，系统工作流程图，处理器A端连接的网络A属于可信网络，主要控制消息由网内的客户端发起。为了保证消息发起端的安全可控，在客户端发送消息之前需要先通过用户+密码的方式登录到处理器A系统，经认证通过后在处理器A系统端会产生一个session，所有后续的消息只有通过这个session才能被接收处理。

处理器A、B系统通过tcp/ip协议接收或发送数据、消息需要通过处理器A系统的报文的分析，在报文结构和内容完全符合协议规定，报文会被送到处理器A系统的数据处理模块进行处理。数据处理模块首先分析消息的类型，根据具体的报文内容直接本地处理或通过隔离通道转发。

处理器A、B系统之间的隔离通道具有双向传输功能，在设计区分为消息传输通道和数据传输通道。消息传输通道设计用于数据规模和吞吐量都小的场景，如控制消息、报警消息等。数据传输通道设计用于传输连续大块的数据，如媒体流，大文件等。数据传输通道在设计上使用DMA的方式，可以达到很高的传输效率。

网络A、B中所有以太网传输协议全部被隔离通道在物理层上隔绝，只在隔离通道的应用层上符合规定协议格式的数据报文才被允许通过隔离通道到达对端。隔离通道上传输的报文格式采用非公开的私有协议，可以选择对协议的明文进行加密后再传输。在加密的情况下即使报文被监听获取到，在没有协议说明文档和密钥的情况下无法被分析和构造，大大提高了隔离通道的安全性。

处理器A、B系统之间通过隔离通道获得数据。如果是密文，则解密得到明文后再一次校验报文的正确性，经校验无误后由数据处理模块进行处理。数据处理模块根据报文的类型进行本地处理或者构造相应的网络报文转发到前端设备。

处理器B在系统运行起来后，需要定时发送心跳报文由隔离通道给处理器A系统。在一定时间内处理器A系统没有接收到心跳消息，认为处理器B系统出现严重的异常错误，需要对内部网络预警，并获取处理器B的运行指令，上报服务器，进行报警，并可同时对处理器B进行系统初始化，使系统自恢复到正常状态。

处理器B系统所属非安全域，可能存在不确定的网络攻击。处理器B系统带有安全检测功能，能检测到ARP、DDOS、在线暴力破解等常见的网络攻击。在检测并确定存在攻击后，通过内部处理器进行相关的系统报警。

4、系统的扩展性和适应性

考虑到单套物理隔离系统在带宽上存在限制，同时处理性能也有一定的瓶颈。在需要部署多套高吞吐量的网络应用场景下，本系统可以无障碍地多台并行使用，管理端将前端设备的数据均衡到多台网络隔离设备上。

在多套物理隔离设备并行使用的场景下，系统分三大部分。部署在外部公开网络的前端设备、多套物理隔离设备、以及部署在内部可信网络中的管理系统。所有部署的前端设备必须满足管理系统可控的前提条件。管理系统具备多设备管理能力，并能实时分析设备上传的流量分析数据和流量统计数据，有管理服务器根据各业务设备的流量情况进行业务指派，保证系统的通畅性；

管理系统在运行时，先搜索所有的物理隔离设备，然后搜锁并记录所有可控的前端设备，所有设备的信息分类后保存在数据库中。在系统正常运行的情况下，物理隔离设备动态地将得到的当前负载信息反馈给管理系统，管理系统利用负载均衡调度算法，分析当前的负载信息得到调度的方案。根据得到的调度方案去控制前端设备，从而达到系统层面上负载的动态均衡。

对于整个均衡系统，需要配置操作十分简单方便。只要在网络转码设备和管理端开启负载均衡功能即可，系统在使用中不需要更多的人为控制。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员，在不脱离本发明构思的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明保护范围内。

Claims (10)

1.一种基于嵌入式系统构建的物理隔离系统，其特征在于，包括处理器A和处理器B，所述处理器A和处理器B相互独立，所述处理器B通过网络接口连接外部公开网络，所述处理器A通过网络接口连接内部信任网络，所述处理器A和处理器B之间采用非以太网方式的物理传输信道连接；所述处理器B的系统为从片系统，所述处理器A的系统为主片系统，处理器B的系统启动加载由处理器A控制。

2.根据权利要求1所述的一种基于嵌入式系统构建的物理隔离系统，其特征在于，处理器A由系统复位，处理器B由处理器A进行系统复位和加载，处理器A通过固化在flash中的程序进行引导启动，处理器A进入系统后在本地文件系统根目录下创建对应的目录，将预先制作好的处理器B的启动镜像文件加载存放到该目录中。

3.根据权利要求2所述的一种基于嵌入式系统构建的物理隔离系统，其特征在于，所述处理器A加载内核启动模块，以支持处理器B的启动控制、消息通信功能；处理器A还包括加载级联启动的驱动模块以及处理器A运行启动处理器B的应用程序，启动处理器B的应用程序开始初始化处理器B系统需要用到的所有DDR，然后将处理器A的系统目录下的启动镜像文件搬运到处理器B的内存地址，最后开始引导启动。

4.根据权利要求1所述的一种基于嵌入式系统构建的物理隔离系统，其特征在于，所述处理器A连接启动复位电路。

5.根据权利要求1所述的一种基于嵌入式系统构建的物理隔离系统，其特征在于，所述处理器A连接报警输出电路。

6.根据权利要求1所述的一种基于嵌入式系统构建的物理隔离系统，其特征在于，所述处理器A以及处理器B系统均通过tcp/ip协议接收或发送数据。

7.利用权利要求1所述的一种基于嵌入式系统构建的物理隔离系统的物理隔离方法，其特征在于，包括系统启动步骤和数据处理流程步骤：

所述系统启动步骤包括：

71)处理器A由系统复位，处理器B由处理器A进行系统复位和加载，处理器A通过固化在flash中的程序进行引导启动，处理器A进入系统后在本地文件系统根目录下创建对应的目录，将预先制作好的处理器B的启动镜像文件加载存放到该目录中;

72)所述处理器A加载内核启动模块，以支持处理器B的启动控制、消息通信功能；处理器A还包括加载级联启动的驱动模块以及处理器A运行启动处理器B的应用程序，启动处理器B的应用程序开始初始化处理器B系统需要用到的所有DDR，然后将处理器A的系统目录下的启动镜像文件搬运到处理器B的内存地址，最后开始引导启动;

所述数据处理流程步骤包括：

73）内部信任网络发送消息之前通过用户以及密码的方式登录到处理器A系统，经认证通过后在处理器A系统端产生一个session，内部信任网络发送的消息只有通过该session才能被接收处理；

74）内部信任网络发送的消息通过处理器A系统进行报文的分析，当报文结构和内容符合协议规定时，报文会被送到处理器A系统的数据处理模块进行处理；所述数据处理模块分析消息的类型，并根据具体的报文内容直接本地处理或通过隔离通道转发至处理器B。

8.根据权利要求7所述的一种基于嵌入式系统构建的物理隔离方法，其特征在于，所述处理器A与处理器B之间的隔离通道可进行双向数据传输，该隔离通道包括消息传输通道和数据传输通道；消息传输通道用于数据规模和吞吐量都低的数据；数据传输通道用于传输连续大块的数据。

9.根据权利要求8所述的一种基于嵌入式系统构建的物理隔离方法，其特征在于，

步骤74）中的报文内容在隔离通道的应用层进行协议格式校检，符合规定协议格式的报文内容才被允许通过隔离通道进行传输；所述隔离通道上传输的协议格式采用非公开的私有协议。

10.根据权利要求9所述的一种基于嵌入式系统构建的物理隔离方法，其特征在于，处理器B系统运行时，定时发送心跳报文由隔离通道给处理器A系统，当在一定时间内处理器A系统没有接收到心跳消息，对内部信任网络预警，并获取处理器B的运行指令，进行报警，并可同时对处理器B进行系统初始化，使系统自恢复到正常状态。