CN107809415A - 基于双单向通道传输技术的网络隔离系统及其实现方法 - Google Patents

Abstract

本发明公开一种基于双单向通道传输技术的网络隔离系统，包括发送端、接收端以及连接在发送端与接收端之间的发送通道和反馈通道，发送通道包括分别位于发送端和接收端的网卡，以及连接两块网卡的单向传输部件，反馈通道包括分别位于发送端和接收端的串口，以及连接两组串口的单向传输部件。本发明还提供一种基于双单向通道传输技术的网络隔离系统的实现方法，发送端通过单向光纤向接收端发送数据，接收端通过单向串口向发送端反馈数据接收情况。本发明与现有的单向传输技术相比，有更高的可靠性，更快的传输速度，更好的集成度。本发明集成了单向隔离设备，降低了使用费用，提高了效率。

Description

基于双单向通道传输技术的网络隔离系统及其实现方法

技术领域

本发明属于数据传输技术领域，具体涉及针对需要单向隔离又有大量数据交互需求的网络环境提出的一种基于双单向通道传输技术的网络隔离系统及其实现方法。

背景技术

有网络安全需求的单位为了保证内部网络数据的安全性，一般采用物理隔离内部网络与外部网络的方式，保护内部网络。同时也有内网和外网交互数据的需求，数据交换大多采取移动存储设备等人工方法，实时性低，工作效率低，耗费人力物力。

现有的单向隔离设备主要采用两种传输部件：单向光纤和总线。单向光纤是无反馈信息的传输方式，不能使用可靠的网络协议，这种单向传输技术无法建立可靠的传输通道，基于单向光纤的传输通道一般采用UDP协议传输数据，采用UDP协议会使用操作系统的协议栈，但是数据的单向传输结构简单，使用系统的协议栈会不可避免地消耗处理器资源。使用总线传输数据也可以隔断TCP连接，但是总线的速度远远小于光纤的速度，不能满足对速度的要求。

现有的无反馈单向传输技术解决传输稳定性问题的方案有两种。一种是降低传输速度以减少丢包率。这种方案的传输速度会很低而且不同的硬件的稳定速度上限也不同。另一种方案是做冗余数据。这种方式一定程度提升了传输的可靠性，但并不能完全保证传输的可靠性，浪费带宽和处理器资源，降低传输速度。

现有隔离设备只能实现单向隔离，设备的集成度低，为了实现双向隔离必须要购置两台或者更多的单向隔离设备，增大了开销和管理难度。

发明内容

发明目的：针对现有技术存在的不足，本发明主要解决单向传输方式可靠性差和双单向设备的集成问题，目的是提供一种传输速度快，集成度高的基于双单向通道传输技术的网络隔离系统及其实现方法。

技术方案：为了实现上述发明目的，本发明采用的技术方案如下：

一种双单向通道传输技术的网络隔离系统，包括发送端、接收端以及连接在发送端与接收端之间的发送通道和反馈通道，所述发送通道包括分别位于发送端和接收端的网卡，以及连接两块网卡的单向传输部件，所述反馈通道包括分别位于发送端和接收端的串口，以及连接两组串口的单向传输部件。

进一步地，连接两块网卡的单向传输部件为单向光纤，所述网卡为光网卡；连接两组串口的单向传输部件为单向串口通道，所述发送端通过单向光纤向接收端发送数据，所述接收端通过单向串口向发送端反馈数据接收情况。

进一步地，所述一组发送通道和一组反馈通道组成一套单向隔离设备，两套单向隔离设备集成在一起组成双向传输通道。

进一步地，所述网络隔离系统的两侧为两台独立的计算机，每台计算机同时作为发送端和接收端，所述两台计算机上均部署发送程序和接收程序。

进一步地，所述发送程序和接收程序在计算机中编译为库文件，库文件对外提供初始化函数和操作函数作为接口，初始化函数即为初始化接口，操作函数即包括发送接口和接收接口。

本发明还提供一种基于双单向通道传输技术的网络隔离系统的实现方法，其特征在于：包括建立在接收端和发送端之间的传输模块以及建立在发送端和接收端的数据通信模块。

在发送端，所述传输模块调用数据通信模块的发送接口，发送数据包和控制报文，并实时读取单向串口通道的反馈信息，根据反馈信息决定是否重发，以及重发哪些数据包；在接收端，所述传输模块调用数据通信模块的接收接口，收到数据后，判断数据类型，如果是应用数据报文则更新数据的接收状态，如果是询问报文就将数据接收状态通过单向串口通道发送出去。

所述数据通信模块收到传输模块的数据后将数据封装成数据包；所述数据通信模块收到以太网帧后，解析以太网帧中的数据报文并判断数据报文的标识，如果是一个分片就进行重组，得到完整的数据包，对数据包进行校验后提交给上层应用或者丢弃数据包。

进一步地，所述数据通信模块在封装数据包时，如果数据包的长度小于等于最大传送单元MTU，封装成数据包后加上以太网帧的头部；如果数据包长度大于MTU，将数据包拆成多个小于等于MTU的分片，每个分片都封装成数据包发送。

进一步地，对数据包进行校验并与数据包自带的校验和对比，如果校验和一致将数据包提交给上层应用，如果校验和不一致则丢弃数据包。

进一步地，所述发送程序和接收程序首先调用初始化函数，初始化函数创建工作线程；接着发送端的发送程序调用发送函数发送数据，接收端的接收程序等待接收数据。

有益效果：与现有技术相比，本发明具有以下优点：

本发明提出了一种基于双单向通道传输技术的网络隔离系统的实现方法，单向光纤和单向串口的配合使用，软件的驱动，可以满足单向隔离和双向数据交互的需求，实现内网与外网的隔离，以及进行数据交互的功能。本发明与现有的单向传输技术相比，有更高的可靠性，更快的传输速度，更好的集成度。本发明集成了单向隔离设备，降低了使用费用，提高了效率。本发明可以应用在各种有单向传输需求的企业。

附图说明

图1是双单向通道传输技术的网络隔离系统的软件结构和硬件结构示意图。

图2是本发明中发送端和接收端计算机上部署的接收和发送程序的初始化流程示意图；

图3是本发明发送端和接收端的工作线程的流程示意图。

具体实施方式

下面结合附图和具体实施例，进一步阐明本发明，实施例在以本发明技术方案为前提下进行实施，应理解这些实施例仅用于说明本发明而不用于限制本发明的范围。

本发明针对内部网络和外部网络需要隔离，但是又需要数据交互的网络环境而设计。双单向隔离设备在实现内部网络和外部网络数据交互的同时，还可以阻断双方的TCP连接。本发明在隔离内部网络和外部网络的同时，提供了高速数据传输的功能，并能保证数据传输的可靠性。

为了解决单向传输可靠性差的问题，本发明采用双通道通信技术，保证单向传输的可靠性。本发明采用单向光纤和单向串口两个数据通道实现单向传输。单向串口通道用于反馈接收端数据包的接收情况。速度快的单向光纤通道传输数据，速度慢的单向串口通道反馈数据接收信息。这种方式既保证了传输效率，又保证了数据传输的可靠性。虽然是双通道，但接收端与发送端分别单向连通对方，无法建立TCP连接。

为了解决双单向隔离设备的集成度低的问题，本发明设计了双单向隔离设备的体系结构。由主板、处理器、网卡、单向光纤、单向串口线等设备组成。主板之间由两个单通道隔离设备连接。两个主板上的网卡接口分别连接内网和外网。两个主板、处理器、网卡组成了两套微型服务器，分别控制着发送端进程和接收端进程。本发明提出了两个重要的技术方案：1.采用受限的单向反馈通道的硬件实现和数据传输协议；2.双单向隔离设备的集成。

本发明提供的一种双单向通道传输技术的网络隔离系统，包括发送端、接收端、发送通道和反馈通道，发送通道和反馈通道连接在发送端与接收端之间。

发送通道包括分别位于发送端和接收端的网卡，以及连接两块网卡的单向传输部件，该网卡为光网卡，该单向传输部件为单向光纤；反馈通道包括分别位于发送端和接收端的串口，以及连接两组串口的单向传输部件，该单向传输部件为单向串口通道，发送端通过单向光纤向接收端发送数据，接收端通过单向串口向发送端反馈数据接收情况。

两块光网卡和中间的单向光纤为一个单通道隔离设备，两组串口和中间的单向串口通道为一个单通道隔离设备，上述两个单通道隔离设备组成了一套单向隔离设备，两套单向隔离设备集成在一起组成双向传输通道，实现了隔离网络的数据双向可靠传输。

图1所示的是双单向通道传输技术的网络隔离系统采用的软件结构和硬件结构示意图。本发明的双单向通道传输技术的网络隔离系统由两个独立的计算机配合，每台计算机同时为发送端和接收端，两侧计算机都有基于硬件和Linux操作系统的软件驱动，两台计算机上均部署发送程序和接收程序，即可在两个计算机间建立两条可靠、高速的传输通道。两台计算机的主板是通过单向传输部件连接，隔断了TCP/IP连接，一切需要反馈的传输协议都不能使用。本发明采用私有的传输协议，发送以太网帧，并采用单向串口通道作为反馈数据的通路，实现了传输数据的可靠性。传输数据的发送程序和接收程序初始化后即可进行数据传输，发送端的程序调用数据通信模块的发送接口，接收端的程序调用数据通信模块的接收接口，接收数据。

本发明还提供一种基于双单向通道传输技术的网络隔离系统的实现方法，在采用本发明所要求的硬件结构情况下，外部应用程序调用本发明对外提供的接口，单向传输两侧提供的接口是不一样的。

一种基于双单向通道传输技术的网络隔离系统的实现方法，包括建立在接收端和发送端之间的传输模块以及建立在发送端和接收端的数据通信模块，传输模块和数据通信模块为软件模块：

传输模块

该模块可以建立一条接收端和发送端的可靠传输通道。在发送端，传输模块调用数据通信模块的发送接口，发送数据包和控制报文，并实时读取单向串口通道的反馈信息，根据反馈信息决定是否重发，以及重发哪些数据包，建立一条可靠的数据传输通道。在接收端，传输模块调用数据通信模块的接收接口，收到数据后，判断数据类型。如果是应用数据报文则更新数据的接收状态，如果是询问报文就将数据接收状态通过单向串口通道发送出去。

数据通信模块

该模块用于屏蔽系统的协议栈，管理网卡，收发以太网帧。数据通信模块收到传输模块的数据后进行以下处理：进行一次处理，封装成数据包。如果数据包的长度小于等于最大传送单元MTU，封装成数据包后加上以太网帧的头部。如果数据包长度大于MTU，将数据包拆成多个小于等于MTU的分片，每个分片都封装成数据包发送。

数据通信模块收到以太网帧后，解析以太网帧中的数据报文，判断网络数据报文的标识，如果是一个分片就进行重组。得到完整的数据包后，对数据包进行校验并与数据包自带的校验和对比，如果校验和一致将数据提交给上层应用，否则丢弃数据包。

一种基于双单向通道传输技术的网络隔离系统的实现方法，具体的执行步骤如下：

传输数据的发送程序和接收程序首先进行初始化，初始化后即可进行数据传输，发送端的程序调用数据通信模块的发送接口，接收端的程序调用数据通信模块的接收接口，接收数据。

本发明所述的发送程序和接收程序在计算机中编译为库文件，库文件对外提供两个函数作为接口：初始化函数和操作函数。初始化函数即为初始化接口，操作函数包括发送接口和接收接口。本发明所提及的应用程序包括接收程序和发送程序，应用程序可以调用库文件提供的接口，应用程序首先调用初始化函数，初始化函数创建工作线程；接着发送端应用程序调用发送函数发送数据，接收端应用程序等待接收数据。

图2所示的是本发明中发送端和接收端计算机上部署的接收和发送程序的初始化流程示意图，流程如下：

步骤201，开始初始化流程；

步骤202，初始化接管网卡的库；

步骤203，初始化要用到的数据结构，创建队列数据结构和操作数据结构的信号量；

步骤204，创建工作线程；

步骤205，初始化完成；

图3所示是本发明发送端和接收端的工作线程的流程示意图。当外部程序调用初始化后即开始运行，用于获取和发送应用数据。

在发送端，发送程序调用初始化接口，创建线程，然后就可以调用发送接口将数据发送到接收端，具体步骤如下：

步骤301，初始化发送进程；

步骤302，获取一组待发送数据；

步骤303，将待发送的数据进行封装，每个数据封装成一个数据包，每个数据包分配一个序号用于区分；

步骤304，根据接收状态判断是否重发；

步骤305，发送请求报文，用于询问对侧的接收情况；

步骤306，设置超时，读取串口信息；

步骤307，判断超时时间内是否读取到信息，如果没有跳转步骤305；

步骤308，结合该组数据的个数和收到的对侧的接收状态，判断该组数据包是否全部收到，全部收到就跳转步骤302继续接收下一组数据；

步骤309，根据对侧发送的接收状态，更新本侧的接收状态，跳转步骤304重发未收到的数据包；

步骤310，发送数据。

在接收端，程序调用初始化接口注册接收数据的回调函数，创建工作线程并初始化数据结构，传输模块收到数据后就提交给调用程序，具体步骤如下：

步骤311，调用数据通信接口收取数据；

步骤312，判断数据的类型，若是询问报文则跳转步骤314，若是数据包则跳转步骤313；

步骤313，从数据包中获取序号n，将序号n对应的接收状态位置为1，表示这一组的第n包已经收到；

步骤314，收到对侧的询问报文将该组数据的接收状态通过单向串口发送给对侧；

步骤315，通过从该组数据包中获取的该组数据包的个数，结合接收状态判断是否全部接收该组数据，全部接收执行步骤316，否则执行步骤311继续接收该组数据；

步骤316，该组数据已全部接收，将该组数据压入队列，读取线程把它们提交给外部应用。

综上所述，本发明提出一种基于双单向通道传输技术的网络隔离系统的实现方法，这种方法可以满足有保密需求的企业，内外网络严格隔离的环境下，数据可靠交互的需求。包括电力行业、政府机关、军事国防、石油化工等等。由于政府和企事业单位的内部网络流通着保密要求高的数据，为了彻底防止黑客的入侵，避免机密数据泄露，该方法成本较低、集成度高、安全性好、性能卓越，具有很高的推广价值。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (9)

1.一种双单向通道传输技术的网络隔离系统，其特征在于，包括发送端、接收端以及连接在发送端与接收端之间的发送通道和反馈通道，所述发送通道包括分别位于发送端和接收端的网卡，以及连接两块网卡的单向传输部件，所述反馈通道包括分别位于发送端和接收端的串口，以及连接两组串口的单向传输部件。

2.根据权利要求1所述的双单向通道传输技术的网络隔离系统，其特征在于：连接两块网卡的单向传输部件为单向光纤，所述网卡为光网卡；所述连接两组串口的单向传输部件为单向串口通道，所述发送端通过单向光纤向接收端发送数据，所述接收端通过单向串口向发送端反馈数据接收情况。

3.根据权利要求1所述的双单向通道传输技术的网络隔离系统，其特征在于：所述一组发送通道和一组反馈通道组成一套单向隔离设备，两套单向隔离设备集成在一起组成双向传输通道。

4.权利要求1所述的双单向通道传输技术的网络隔离系统，其特征在于：所述网络隔离系统的两侧为两台独立的计算机，每台计算机同时作为发送端和接收端，所述两台计算机上均部署发送程序和接收程序。

5.权利要求4所述的双单向通道传输技术的网络隔离系统，其特征在于：所述发送程序和接收程序在计算机中编译为库文件，库文件对外提供初始化函数和操作函数作为接口，初始化函数即为初始化接口，操作函数即包括发送接口和接收接口。

6.一种利用权利要求5所述的基于双单向通道传输技术的网络隔离系统的实现方法，其特征在于：包括建立在接收端和发送端之间的传输模块以及建立在发送端和接收端的数据通信模块；

在发送端，所述传输模块调用数据通信模块的发送接口，发送数据包和控制报文，并实时读取单向串口通道的反馈信息，根据反馈信息决定是否重发，以及重发哪些数据包；在接收端，所述传输模块调用数据通信模块的接收接口，收到数据后，判断数据类型，如果是应用数据报文则更新数据的接收状态，如果是询问报文就将数据接收状态通过单向串口通道发送出去。

所述数据通信模块收到传输模块的数据后将数据封装成数据包；所述数据通信模块收到以太网帧后，解析以太网帧中的数据报文并判断数据报文的标识，如果是一个分片就进行重组，得到完整的数据包，对数据包进行校验后提交给上层应用或者丢弃数据包。

7.根据权利要求6所述的基于双单向通道传输技术的网络隔离系统的实现方法，其特征在于：所述数据通信模块在封装数据包时，如果数据包的长度小于等于最大传送单元MTU，封装成数据包后加上以太网帧的头部；如果数据包长度大于MTU，将数据包拆成多个小于等于MTU的分片，每个分片都封装成数据包发送。

8.根据权利要求6所述的基于双单向通道传输技术的网络隔离系统的实现方法，其特征在于：对数据包进行校验并与数据包自带的校验和对比，如果校验和一致将数据包提交给上层应用，如果校验和不一致则丢弃数据包。

9.根据权利要求6所述的基于双单向通道传输技术的网络隔离系统的实现方法，其特征在于：所述发送程序和接收程序首先调用初始化函数，初始化函数创建工作线程；接着发送端的发送程序调用发送函数发送数据，接收端的接收程序等待接收数据。