CN110708305B - 一种网络隔离设备及方法 - Google Patents

Abstract

本发明实施例提供了一种网络隔离设备及方法，包括处理器、出接口、多个入接口；网络隔离设备通过入接口与采集设备连接，网络隔离设备通过出接口与中心设备连接；多个入接口之间相互隔离；多个入接口中的第一入接口，用于接收数据包，将数据包发送至处理器；处理器，用于检测数据包与预设的过滤规则是否匹配；若是，则丢弃数据包；若否，则将数据包发送至出接口；出接口，用于向中心设备发送数据包。可见，本发明实施例实现了冗余双网在物理层面和逻辑层面的数据隔离，提高了网络安全性。

Description

一种网络隔离设备及方法

技术领域

本发明涉及网络安全技术领域，特别是涉及一种网络隔离设备及方法。

背景技术

在轨道交通安全数据网中，采用冗余双网架构，双网之间的业务网络相互隔离。当其中一个网络出现故障或受到攻击时，用户与轨道交通安全数据网之间的业务通信可以自动切换到另一个网络中独立完成工作，保障信号安全数据网的正常运转和轨道交通的正常运营。采集设备对冗余双网中的数据进行分开采集，得到的数据需要通过带外网络上传到中心设备进行数据分析处理。在此过程中，若中心设备受到攻击，中心设备会成为带外网络上双网数据转发的中继站。也就是，一个网络中的采集设备被恶意劫持后，通过带外网络将恶意代码上传到中心设备，中心设备将恶意代码转发到双网中的另一个网络，从而对另一个网络造成威胁，打破了双网之间的隔离状态，导致轨道交通控制信号数据网的网络安全风险大大增加。

发明内容

本发明实施例的目的在于提供一种网络隔离设备及方法，以实现冗余双网的数据隔离，提高网络安全性。具体技术方案如下：

第一方面，本发明实施例提供了一种网络隔离设备，所述网络隔离设备包括处理器、出接口、多个入接口；所述网络隔离设备通过入接口与采集设备连接，所述网络隔离设备通过出接口与中心设备连接；所述多个入接口之间相互隔离；

所述多个入接口中的第一入接口，用于接收数据包，将所述数据包发送至所述处理器；

所述处理器，用于检测所述数据包与预设的过滤规则是否匹配；若是，则丢弃所述数据包；若否，则将所述数据包发送至出接口；

所述出接口，用于向所述中心设备发送所述数据包。

可选的，所述过滤规则包括五元组信息；

所述处理器，具体用于检测所述数据包的五元组信息是否与所述过滤规则包括的五元组信息匹配；若五元组信息匹配，则确定所述数据包与过滤规则不匹配，将所述数据包发送至出接口；若五元组信息不匹配，则确定所述数据包与过滤规则匹配，丢弃所述数据包。

可选的，所述过滤规则包括预设协议格式；

所述处理器，具体用于检测所述数据包的协议格式是否与所述过滤规则包括的预设协议格式匹配；若预设协议格式不匹配，则确定所述数据包与过滤规则不匹配，将所述数据包发送至出接口；若预设协议格式匹配，则确定所述数据包与过滤规则匹配，丢弃所述数据包。

可选的，若所述网络隔离设备包括多个出接口，则所述多个出接口之间相互隔离。

可选的，所述处理器，具体用于按照预先存储的入接口和出接口的对应关系，确定所述第一入接口对应的出接口，将所述数据包发送至所述第一入接口对应的出接口。

可选的，所述入接口为双向接口，所述出接口为双向接口。

第二方面，本发明实施例还提供了一种网络隔离方法，应用于网络隔离设备，所述网络隔离设备包括处理器、出接口、多个入接口；所述网络隔离设备通过入接口与采集设备连接，所述网络隔离设备通过出接口与中心设备连接；所述多个入接口之间相互隔离；

所述多个入接口中的第一入接口接收数据包，将所述数据包发送至所述处理器；

所述处理器检测所述数据包与预设的过滤规则是否匹配；若是，则丢弃所述数据包；若否，则将所述数据包发送至出接口；

所述出接口向所述中心设备发送所述数据包。

可选的，所述过滤规则包括五元组信息；

所述处理器检测所述数据包与预设的过滤规则是否匹配，包括：

所述处理器检测所述数据包的五元组信息是否与所述过滤规则包括的五元组信息匹配；若五元组信息匹配，则确定所述数据包与过滤规则不匹配；若五元组信息不匹配，则确定所述数据包与过滤规则匹配。

可选的，所述过滤规则包括预设协议格式；

所述处理器检测所述数据包与预设的过滤规则是否匹配，包括：

所述处理器检测所述数据包的协议格式是否与所述过滤规则包括的预设协议格式匹配；若预设协议格式不匹配，则确定所述数据包与过滤规则不匹配；若预设协议格式匹配，则确定所述数据包与过滤规则匹配。

可选的，若所述网络隔离设备包括多个出接口，则所述多个出接口之间相互隔离。

可选的，所述将所述数据包发送至出接口，包括：

所述处理器按照预先存储的入接口和出接口的对应关系，确定所述第一入接口对应的出接口，将所述数据包发送至所述第一入接口对应的出接口。

可选的，所述入接口为双向接口，所述出接口为双向接口。

本发明实施例提供的一种网络隔离设备及方法，在中心设备和采集设备间设置了网络隔离设备，网络隔离设备与采集设备连接的多个入接口之间相互隔离，实现了冗余双网的物理隔离。另外，处理器根据预设的过滤规则，过滤数据包，丢弃与过滤规则匹配的数据包，实现了冗余双网的逻辑隔离。可见，本发明实施例实现了冗余双网在物理层面和逻辑层面的数据隔离，提高了网络安全性。

当然，实施本发明的任一产品或方法并不一定需要同时达到以上所述的所有优点。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的隔离设备的第一种结构图；

图2为本发明实施例提供的一种基于冗余双网的组网示意图；

图3为本发明实施例提供的网络隔离设备的第二种结构图；

图4为本发明实施例提供的网络隔离方法的一种流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为解决现有技术中存在的上述问题，本发明实施例公开了一种网络隔离设备及方法，以下分别进行详细说明。

如图1所示，图1为本发明实施例提供的网络隔离设备的一种结构图，包括处理器101、出接口102、多个入接口103；网络隔离设备通过入接口103与采集设备连接，网络隔离设备通过出接口102与中心设备连接；多个入接口103之间相互隔离。

如图2所示，图2为本发明实施例提供的一种基于冗余双网的组网示意图。其中，图中的隔离设备即网络隔离设备，网络隔离设备通过入接口103与采集设备连接，网络隔离设备通过出接口102与中心设备连接。在带外网络和中心设备之间增加了网络隔离设备，并且多个入接口103之间相互隔离，从而防止中心设备受到攻击后成为带外网络上双网数据转发的中继站，实现冗余双网的数据隔离，提高网络安全性。

网络隔离设备中，多个入接口103中的第一入接口，用于接收数据包，将数据包发送至处理器101。

网络隔离设备中包括多个入接口103，上述第一入接口可以是多个入接口中的任一入接口，第一入接口接收采集设备发送给网络隔离设备的数据包，并将数据包发送至处理器101。

处理器101，用于检测数据包与预设的过滤规则是否匹配；若是，则丢弃数据包；若否，则将数据包发送至出接口102。

处理器101中可以预设一些过滤规则，检测数据包与预设的过滤规则是否匹配；若与预设的过滤规则匹配，则将数据包丢弃；若与预设的过滤规则不匹配，则将数据包发送给出接口102。

一个实施例中，过滤规则可以包括五元组信息。这种情况下，处理器101，具体可以用于检测数据包的五元组信息是否与过滤规则包括的五元组信息匹配；若五元组信息匹配，则确定数据包与过滤规则不匹配，将数据包发送至出接口102；若五元组信息不匹配，则确定数据包与过滤规则匹配，丢弃数据包。

处理器101中预设的五元组信息包括源地址、源端口、目的地址、目的端口和传输层协议，把包括上述五元组信息的过滤规则来检测数据包，当数据包的五元组信息与处理器101中预设的五元组信息不一致时，则确定该数据包与过滤规则匹配，将该数据包丢弃；当数据包的五元组信息与处理器101中预设的五元组信息一致时，则该数据包与过滤规则不匹配，将该数据包发送到出接口102。将非法五元组信息的数据包丢弃，防止恶意数据包攻击中心设备，从而实现冗余双网的在逻辑层面的数据隔离，提高了网络安全性。

另一个实施例中，过滤规则可以包括预设协议格式。这种情况下，处理器101，具体可以用于检测数据包的协议格式是否与过滤规则包括的预设协议格式匹配；若预设协议格式不匹配，则确定数据包与过滤规则不匹配，将数据包发送至出接口102；若预设协议格式匹配，则确定数据包与过滤规则匹配，丢弃数据包。

处理器101中的预设协议格式可以包括ssh、ftp、telnet等协议格式，把包括上述预设协议格式的过滤规则来检测数据包，当数据包的预设协议格式与处理器101中预设的预设协议格式一致时，则确定该数据包与过滤规则匹配，将该数据包丢弃；当数据包的预设协议格式与处理器101中的预设协议格式不一致时，则该数据包与过滤规则不匹配，将该数据包发送到出接口102。这类预设协议格式的报文通常会企图向中心设备发送管理命令或控制信息，若将这类协议格式的数据包丢弃，就可以防止中心设备被非法设备控制，实现冗余双网的在逻辑层面的数据隔离，提高了网络安全性。

另一个实施例中，过滤规则还可以包括五元组信息和预设协议格式；处理器101，具体用于检测数据包的五元组信息是否与过滤规则包括的五元组信息匹配，并检测数据包的预设协议格式是否与过滤规则包括的预设协议格式匹配；若五元组信息匹配且预设协议格式不匹配，则确定数据包与过滤规则不匹配，将数据包发送至出接口102；若五元组信息不匹配和/或预设协议格式匹配，则确定数据包与过滤规则匹配，丢弃数据包。这样，可以将非法五元组信息的数据包和预设协议格式的数据包丢弃，防止恶意数据包攻击中心设备，也能防止中心设备被非法设备控制，进一步实现冗余双网的在逻辑层面的数据隔离，进一步提高了网络安全性。

一个实施例中，若网络隔离设备可以包括多个出接口102，则多个出接口102之间相互隔离。

如图3所示，图3为本发明实施例提供的网络隔离设备的第二种结构图。其中，网络入口接口与网络出口接口的数量仅为示意，图中包括3个网络入口接口，1个核心处理单元和2个网络出口接口，也就是包括3个入接口103，1个处理器101和2个出接口102。入接口103之间相互隔离，出接口102之间相互隔离，防止入接口之间和出接口之间存在数据交换，实现了冗余双网在物理层面的数据隔离，提高了网络安全性。

一个实施例中，处理器101，具体用于按照预先存储的入接口103和出接口102的对应关系，确定第一入接口对应的出接口，将数据包发送至第一入接口对应的出接口。

处理器中可以包含存储单元，预先存储有入接口103和出接口102的对应关系，当数据包从第一入接口接收，就给该数据包打上对应第一入接口的标签，当处理器101识别出标签后，从预先存储的入接口103和出接口102的对应关系中，确定对应的出接口，并将该数据包发送给对应的出接口。这样，非法设备就无法从另外的出接口中获取数据，提高了网络安全性。

一个实施例中，入接口103为双向接口，出接口102为双向接口。

入接口103为双向接口，其中一个接口与采集设备连接，另一个接口与处理器101连接；同样，出接口102为双向接口，其中一个接口与处理器102连接，另一个接口与中心设备连接。

本发明实施例提供的一种网络隔离设备中，在中心设备和采集设备间设置了网络隔离设备，网络隔离设备与采集设备连接的多个入接口之间相互隔离，实现了冗余双网的物理隔离。另外，处理器根据预设的过滤规则，过滤数据包，丢弃与过滤规则匹配的数据包，实现了冗余双网的逻辑隔离。可见，本发明实施例实现了冗余双网在物理层面和逻辑层面的数据隔离，提高了网络安全性。

与网络隔离设备实施例对应，本发明实施例还提供了一种网络隔离方法，如图4所示，图4为本发明实施例提供的网络隔离方法的一种流程图。该网络隔离方法可以应用于网络隔离设备，网络隔离设备包括处理器、出接口、多个入接口；网络隔离设备通过入接口与采集设备连接，网络隔离设备通过出接口与中心设备连接；多个入接口之间相互隔离；该网络隔离方法包括如下步骤。

步骤401，多个入接口中的第一入接口接收数据包，将数据包发送至处理器。

步骤402，处理器检测数据包与预设的过滤规则是否匹配。若是，则执行步骤403。若否，则执行步骤404。

步骤403，处理器丢弃数据包。

步骤404，处理器将数据包发送至出接口。

步骤405，出接口向中心设备发送数据包。

一个实施例中，上述过滤规则包括五元组信息；

处理器检测数据包与预设的过滤规则是否匹配，包括：

处理器检测数据包的五元组信息是否与过滤规则包括的五元组信息匹配；若五元组信息匹配，则确定数据包与过滤规则不匹配；若五元组信息不匹配，则确定数据包与过滤规则匹配。

一个实施例中，上述过滤规则包括预设协议格式；

处理器检测数据包与预设的过滤规则是否匹配，包括：

处理器检测数据包的协议格式是否与过滤规则包括的预设协议格式匹配；若预设协议格式不匹配，则确定数据包与过滤规则不匹配；若预设协议格式匹配，则确定数据包与过滤规则匹配。

一个实施例中，若网络隔离设备包括多个出接口，则多个出接口之间相互隔离。

一个实施例中，将数据包发送至出接口，包括：

处理器按照预先存储的入接口和出接口的对应关系，确定第一入接口对应的出接口，将数据包发送至第一入接口对应的出接口。

一个实施例中，入接口为双向接口，出接口为双向接口。

本发明实施例提供的一种网络隔离方法中，在中心设备和采集设备间设置了网络隔离设备，网络隔离设备与采集设备连接的多个入接口之间相互隔离，实现了冗余双网的物理隔离。另外，处理器根据预设的过滤规则，过滤数据包，丢弃与过滤规则匹配的数据包，实现了冗余双网的逻辑隔离。可见，本发明实施例实现了冗余双网在物理层面和逻辑层面的数据隔离，提高了网络安全性。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于方法实施例而言，由于其基本相似于设备实施例，所以描述的比较简单，相关之处参见设备实施例的部分说明即可。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (7)

1.一种网络隔离设备，其特征在于，所述网络隔离设备包括处理器、出接口、多个入接口；所述网络隔离设备通过入接口与采集设备连接，所述网络隔离设备通过出接口与中心设备连接；所述多个入接口之间相互隔离；

所述多个入接口中的第一入接口，用于接收数据包，将所述数据包发送至所述处理器；

所述处理器，用于检测所述数据包与预设的过滤规则是否匹配；若是，则丢弃所述数据包；若否，则将所述数据包发送至出接口；

所述出接口，用于向所述中心设备发送所述数据包；

若所述网络隔离设备包括多个出接口，则所述多个出接口之间相互隔离；

所述处理器，具体用于按照预先存储的入接口和出接口的对应关系，确定所述第一入接口对应的出接口，将所述数据包发送至所述第一入接口对应的出接口。

2.根据权利要求1所述的设备，其特征在于，所述过滤规则包括五元组信息；

所述处理器，具体用于检测所述数据包的五元组信息是否与所述过滤规则包括的五元组信息匹配；若五元组信息匹配，则确定所述数据包与过滤规则不匹配，将所述数据包发送至出接口；若五元组信息不匹配，则确定所述数据包与过滤规则匹配，丢弃所述数据包。

3.根据权利要求1所述的设备，其特征在于，所述过滤规则包括预设协议格式；

所述处理器，具体用于检测所述数据包的协议格式是否与所述过滤规则包括的预设协议格式匹配；若预设协议格式不匹配，则确定所述数据包与过滤规则不匹配，将所述数据包发送至出接口；若预设协议格式匹配，则确定所述数据包与过滤规则匹配，丢弃所述数据包。

4.根据权利要求1-3任一所述的设备，其特征在于，所述入接口为双向接口，所述出接口为双向接口。

5.一种网络隔离方法，其特征在于，应用于网络隔离设备，所述网络隔离设备包括处理器、出接口、多个入接口；所述网络隔离设备通过入接口与采集设备连接，所述网络隔离设备通过出接口与中心设备连接；所述多个入接口之间相互隔离；

所述多个入接口中的第一入接口接收数据包，将所述数据包发送至所述处理器；

所述处理器检测所述数据包与预设的过滤规则是否匹配；若是，则丢弃所述数据包；若否，则将所述数据包发送至出接口；

所述出接口向所述中心设备发送所述数据包；

所述网络隔离设备包括多个出接口，则所述多个出接口之间相互隔离；

所述将所述数据包发送至出接口，包括：

所述处理器按照预先存储的入接口和出接口的对应关系，确定所述第一入接口对应的出接口，将所述数据包发送至所述第一入接口对应的出接口。

6.根据权利要求5所述的方法，其特征在于，所述过滤规则包括五元组信息；

所述处理器检测所述数据包与预设的过滤规则是否匹配，包括：

所述处理器检测所述数据包的五元组信息是否与所述过滤规则包括的五元组信息匹配；若五元组信息匹配，则确定所述数据包与过滤规则不匹配；若五元组信息不匹配，则确定所述数据包与过滤规则匹配。

7.根据权利要求5所述的方法，其特征在于，所述过滤规则包括预设协议格式；

所述处理器检测所述数据包与预设的过滤规则是否匹配，包括：

所述处理器检测所述数据包的协议格式是否与所述过滤规则包括的预设协议格式匹配；若预设协议格式不匹配，则确定所述数据包与过滤规则不匹配；若预设协议格式匹配，则确定所述数据包与过滤规则匹配。

Images