CN110768996B - 基于单向隔离设备的多ip地址映射绑定系统及方法 - Google Patents

Abstract

本发明公开了一种基于单向隔离设备的多IP地址映射绑定系统及方法，系统包括多个第一节点、跨网单向接入设备和多个第二节点，跨网单向接入设备包括第一入口端、第一出口端、第二入口端和第二出口端，其中，第一节点，与第一入口端相耦接；第一入口端，分别与第一节点、所述第一出口端、所第二出口端相耦接；第一出口端，分别与第一入口端、第二节点、和第二入口端相耦接；第二节点，与第一出口端相耦接；第二入口端，分别与第一出口端和第二出口端相耦接；第二出口端，分别与第一入口端、和第二入口端相耦接。本发明可以做到外部网络的设备访问到内部网络业务应用时将外部网络设备与内部网络应用访问建立一一对应关系，确保业务访问的可追溯性。

Description

基于单向隔离设备的多IP地址映射绑定系统及方法

技术领域

本发明涉及数据传输技术领域，更具体地，涉及一种基于单向隔离设备的多IP地址映射绑定系统及方法。

背景技术

在采用单向隔离设备实现跨网隔离时，单向隔离设备入口端和出口端都设置了对应外部网络和内部网络的合法IP地址。但如果外部网络有多个设备要实现与内部业务应用的访问，就需要采用网络地址转换技术，实现外部网络多个设备通过地址映射为单向隔离设备对应内部网络的合法IP地址访问内部网络的业务系统。但如果要提供对内部网络业务应用访问做到可追溯，也就是能够追溯外部网络中哪个设备访问的内部网络业务应用并可以建立一一对应关系，需要单向隔离设备提供多个IP地址映射绑定的方法，以确保如果业务应用场景要求在跨网隔离时，实现跨网业务访问的可追溯性。

发明内容

有鉴于此，本发明提供了一种基于单向隔离设备的多IP地址映射绑定系统，包括多个第一节点、跨网单向接入设备和多个第二节点，所述跨网单向接入设备包括第一入口端、第一出口端、第二入口端和第二出口端，其中，

所述第一节点，与所述第一入口端相耦接，用于发送访问请求数据发送至所述第一入口端；

所述第一入口端，分别与所述第一节点、所述第一出口端、所第二出口端相耦接，用于接收所述第一节点的访问请求数据，并记录每个所述第一节点的IP地址，通过单向链路传输协议将所述访问请求数据发送至所述第一出口端；还用于接收所述第二出口端返回的返回数据，并将所述返回数据发送至所述第一节点；

所述第一出口端，分别与所述第一入口端、所述第二节点、和所述第二入口端相耦接，用于接收所述第一入口端发送的访问请求数据并发送至所述第二节点，并接收所述第二节点发送的返回数据，将所述返回数据发送到所述第二入口端；在所述第一出口端创建IP地址映射表，并在所述第一出口端的网络连接设备上创建多个第一虚拟网卡，所述第一虚拟网卡用于模拟所述第二节点的第二虚拟网卡并对所述第一虚拟网卡进行配置对应的IP地址信息，使得所述访问请求数据中的IP地址与所述第二节点的IP地址为一一对应的映射关系；所述第一出口端接收到所述返回数据后，将所述返回数据中的目的地址信息更改为与所述第一节点相对应的IP地址信息；

所述第二节点，与所述第一出口端相耦接，用于接收所述第一出口端的所述访问请求数据，将所述访问请求数据进行处理得到返回数据，并将所述返回数据发送到所述第一出口端；

所述第二入口端，分别与所述第一出口端和第二出口端相耦接，用于接收所述第一出口端发送的所述返回数据并根据单向链路传输协议发送至所述第二出口端；

所述第二出口端，分别与所述第一入口端、和所述第二入口端相耦接，用于接收所述第二入口端发送的所述返回数据并发送至所述第一入口端。

可选的，所述第一节点与所述第一入口端之间为双向连接；所述第一出口端与所述第二节点之间为双向连接。

可选的，所述访问请求数据包括网络数据包、文本文件、流式文件、版式文件、图像文件或视频文件。

本发明还提供了一种基于单向隔离设备的多IP地址映射绑定方法，应用于上述系统，包括步骤：

第一节点发送访问请求数据发送至第一入口端；

所述第一入口端接收所述访问请求数据，并记录每个所述第一节点的IP地址，通过单向链路传输协议将所述访问请求数据发送至所述第一出口端；

所述第一出口端接收所述访问请求数据，并发送至所述第二节点；

在所述第一出口端创建IP地址映射表，并在所述第一出口端的网络连接设备上创建多个第一虚拟网卡，所述第一虚拟网卡用于模拟所述第二节点的第二虚拟网卡并对所述第一虚拟网卡进行配置对应的IP地址信息，使得所述访问请求数据中的IP地址与所述第二节点的IP地址为一一对应的映射关系；

所述第二节点接收所述第一出口端的所述访问请求数据，将所述访问请求数据进行处理得到返回数据，并将所述返回数据发送到所述第一出口端；

所述第一出口端接收到所述返回数据，将所述返回数据中的目的地址信息更改为与所述第一节点相对应的IP地址信息，并将所述返回数据发送至所述第二入口端；

所述第二入口端接收所述第一出口端发送的所述返回数据并根据单向链路传输协议发送至所述第二出口端；

所述第二出口端接收所述第二入口端发送的所述返回数据并发送至所述第一入口端；

所述第一入口端接收所述第二出口端返回的所述返回数据，并将所述返回数据发送至所述第一节点。

可选的，所述第一节点与所述第一入口端之间为双向连接，所述第一出口端与所述第二节点之间为双向连接。

可选的，所述访问请求数据包括网络数据包、文本文件、流式文件、版式文件、图像文件或视频文件。

为了确保外部网络连接的单向设备入口端能够记录合法节点A-N的内部IP地址，并通过单向传输协议和单向传输链路可以访问请求落地文件，并保存对应外部网络访问设备的IP地址信息，并将信息传递到内部网络连接的单向设备出口端，同时在内部网络连接的单向设备出口端创建地址映射表，并在内部网络连接的单向设备出口端的网络连接设备上创建多个虚拟网卡，用于模拟多个连接内部网络的虚拟网卡并配置对应的合法IP地址信息。来自于单向传输链路的访问请求在被发送到内部网络的合法节点前，根据地址映射表将请求数据包的源地址更换为对应的内网网络的合法IP地质信息，确保外部网路请求对应的IP与内部网络合法IP地址的一一绑定的映射关系，确保实现基于单向隔离网络的多IP地址映射绑定，当外部网络请求处理后返回到内部网络单向设备出口端后，根据地址映射表信息，将返回数据包目的地址信息更改为外部网络对应的IP地址信息，并通过其他单向传输链路返回到外部网络连接的单向设备入口端并返回到外部网络对应的合法节点。

与现有技术相比，本发明提供的基于单向隔离设备的多IP地址映射绑定系统及方法，至少实现了如下的有益效果：

本发明可实现在跨网接入访问应用时可以做到外部网络的设备访问到内部网络业务应用时将外部网络设备与内部网络应用访问建立一一对应的关系，确保业务访问的可追溯性；

本发明防止对内部应用系统访问时，对业务安全性要求高的网络环境下，确保业务处理的防抵赖性；

当然，实施本发明的任一产品必不特定需要同时达到以上所述的所有技术效果。

通过以下参照附图对本发明的示例性实施例的详细描述，本发明的其它特征及其优点将会变得清楚。

附图说明

被结合在说明书中并构成说明书的一部分的附图示出了本发明的实施例，并且连同其说明一起用于解释本发明的原理。

图1是本发明提供的一种基于单向隔离设备的IP地址映射绑定系统结构图；

图2是本发明提供的一种基于单向隔离设备的IP地址映射绑定方法流程图；

其中，1-第一节点；2-跨网单向接入设备；21-第一入口端；22-第一出口端；23-第二入口端；24-第二出口端；3-第二节点。

具体实施方式

现在将参照附图来详细描述本发明的各种示例性实施例。应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本发明的范围。

以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为说明书的一部分。

在这里示出和讨论的所有例子中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它例子可以具有不同的值。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

实施例1：

参照图1，图1是本发明提供的一种基于单向隔离设备的IP地址映射绑定系统结构图。图1中基于单向隔离设备的IP地址映射绑定系统包括一种基于单向隔离设备的多IP地址映射绑定系统，其特征在于，包括多个第一节点1、跨网单向接入设备2和多个第二节点3，跨网单向接入设备2包括第一入口端21、第一出口端22、第二入口端23和第二出口端24。

图1中第一节点1可以具有A-N个第一节点，第二节点2可以具有A’-N’个第二节点，第一节点对应的是外部网络，第二节点对应的是内部网络。

第一节点1，与第一入口端21相耦接，用于发送访问请求数据发送至第一入口端21；

第一入口端21，分别与第一节点1、所述第一出口端22、所第二出口端24相耦接，用于接收第一节点1的访问请求数据，并记录每个第一节点1的IP地址，通过单向链路传输协议将访问请求数据发送至第一出口端22；还用于接收第二出口端24返回的返回数据，并将返回数据发送至第一节点1；

第一出口端22，分别与第一入口端21、第二节点3、和第二入口端23相耦接，用于接收第一入口端21发送的访问请求数据并发送至第二节点3，并接收第二节点3发送的返回数据，将返回数据发送到第二入口端23；在第一出口端22创建IP地址映射表，并在第一出口端22的网络连接设备上创建多个第一虚拟网卡，第一虚拟网卡用于模拟第二节点3的第二虚拟网卡并对第一虚拟网卡进行配置对应的IP地址信息，使得访问请求数据中的IP地址与第二节点3的IP地址为一一对应的映射关系；第一出口端22接收到返回数据后，将返回数据中的目的地址信息更改为与第一节点1相对应的IP地址信息；

第二节点3，与第一出口端22相耦接，用于接收第一出口端22的访问请求数据，将访问请求数据进行处理得到返回数据，并将返回数据发送到第一出口端22；

第二入口端23，分别与第一出口端22和第二出口端24相耦接，用于接收第一出口端22发送的返回数据并根据单向链路传输协议发送至第二出口端24；

第二出口端24，分别与第一入口端21、和第二入口端23相耦接，用于接收第二入口端23发送的返回数据并发送至第一入口端21。

可选的，第一节点1与第一入口端21之间为双向连接；第一出口端22与第二节点3之间为双向连接。

可选的，访问请求数据包括网络数据包、文本文件、流式文件、版式文件、图像文件或视频文件。

本发明外部网络连接的单向设备入口端(第一入口端21)能够记录合法节点A-N的内部IP地址，并通过单向传输协议和单向传输链路可以访问请求落地文件，并保存对应外部网络访问设备的IP地址信息，并将信息传递到内部网络连接的单向设备出口端(第一出口端22)，同时在内部网络连接的单向设备出口端(第一出口端22)创建地址映射表，并在内部网络连接的单向设备出口端(第一出口端22)的网络连接设备上创建多个虚拟网卡，用于模拟多个连接内部网络的虚拟网卡并配置对应的合法IP地址信息。来自于单向传输链路的访问请求在被发送到内部网络的合法节点(第二节点3)前，根据地址映射表将请求数据包的源地址更换为对应的内网网络的合法IP地质信息，确保外部网路请求对应的IP与内部网络合法IP地址的一一绑定的映射关系，确保实现基于单向隔离网络的多IP地址映射绑定，当外部网络请求处理后返回到内部网络单向设备出口端(第一出口端)后，根据地址映射表信息，将返回数据包目的地址信息更改为外部网络对应的IP地址信息，并通过其他单向传输链路返回到外部网络连接的单向设备入口端并返回到外部网络对应的合法节点(第一节点)。

实施例2：

本发明还提供了一种基于单向隔离设备的多IP地址映射绑定方法，应用于实施例1中的系统，包括以下步骤：

步骤201：第一节点发送访问请求数据发送至第一入口端；

这里的第一节点包括多个，可以为合法节点A-N，每个合法节点都具有各自的IP地址。

步骤202：第一入口端接收访问请求数据，并记录每个第一节点的IP地址，通过单向链路传输协议将访问请求数据发送至第一出口端；

可以理解的是单向设备入口端(第一入口端)记录的合法节点A－N的内部IP地址(是外部网络的IP地址)是用于标识合法节点A－N的网络地址。该网络地址可以是自定义的私有网络地址，该网段地址可以与虚拟网卡配置的合法IP地址网段不同。合法节点A－N的外部网络IP地址需要与单向接入设备的出口端设置的虚拟网卡对应的合法IP地址建立一一对应关系，以便访问请求可以通过转换为虚拟网卡的IP地址的源地址信息的数据包发送给业务应用系统，业务应用系统处理后将数据返回给对应IP地址的虚拟网卡，并查询地址映射表，将该返回数据的目的地址修改为合法节点对应的外部网络IP地址，以便单向设备入口端接收到返回的请求数据可以将其返回到对应的合法节点。

步骤203：第一出口端接收访问请求数据，并发送至第二节点；

步骤204：在第一出口端创建IP地址映射表，并在第一出口端的网络连接设备上创建多个第一虚拟网卡，第一虚拟网卡用于模拟第二节点的第二虚拟网卡并对第一虚拟网卡进行配置对应的IP地址信息，使得访问请求数据中的IP地址与第二节点的IP地址为一一对应的映射关系；

单向设备出口端创建的地址映射表主要用于维护外部网络访问的终端对应的IP地址信息与转换为内部网络对应的合法IP地址信息(虚拟网卡配置的合法IP地址信息)之间的关系。比如外部网络的终端的IP地址为192.168.1.2/255.255.255.0，虚拟网卡配置的合法IP地址如10.1.0.2/255.255.255.0，两者建立对应关系，则访问内部网络业务应用系统是对应的访问请求来自于10.1.0.2/255.255.255.0，则说明通过单向传输链路隔离的外网终端192.168.1.2/255.255.255.0访问并操作了内部网络业务应用系统。通过在出口端创建地址映射表，以实现外部网络终端的IP地址信息与内部网络对应的合法IP地址的映射关系。

步骤205：第二节点接收第一出口端的访问请求数据，将访问请求数据进行处理得到返回数据，并将返回数据发送到第一出口端；

步骤206：第一出口端接收到返回数据，将返回数据中的目的地址信息更改为与第一节点相对应的IP地址信息，并将返回数据发送至第二入口端；

步骤207：第二入口端接收第一出口端发送的返回数据并根据单向链路传输协议发送至第二出口端；

步骤208：第二出口端接收第二入口端发送的返回数据并发送至第一入口端；

步骤209：第一入口端接收第二出口端返回的返回数据，并将返回数据发送至第一节点。

可选的，第一节点与第一入口端之间为双向连接，第一出口端与第二节点之间为双向连接。

可选的，访问请求数据包括网络数据包、文本文件、流式文件、版式文件、图像文件或视频文件。

本发明外部网络连接的单向设备入口端(第一入口端)能够记录合法节点A-N的内部IP地址，并通过单向传输协议和单向传输链路可以访问请求落地文件，并保存对应外部网络访问设备的IP地址信息，并将信息传递到内部网络连接的单向设备出口端(第一出口端)，同时在内部网络连接的单向设备出口端(第一出口端)创建地址映射表，并在内部网络连接的单向设备出口端(第一出口端)的网络连接设备上创建多个虚拟网卡，用于模拟多个连接内部网络的虚拟网卡并配置对应的合法IP地址信息。来自于单向传输链路的访问请求在被发送到内部网络的合法节点(第二节点)前，根据地址映射表将请求数据包的源地址更换为对应的内网网络的合法IP地质信息，确保外部网路请求对应的IP与内部网络合法IP地址的一一绑定的映射关系，确保实现基于单向隔离网络的多IP地址映射绑定，当外部网络请求处理后返回到内部网络单向设备出口端(第一出口端)后，根据地址映射表信息，将返回数据包目的地址信息更改为外部网络对应的IP地址信息，并通过其他单向传输链路返回到外部网络连接的单向设备入口端并返回到外部网络对应的合法节点(第一节点)。

实施例3：

本实施例为应用实施例：

外部网络的合法节点A的IP地址为192.168.1.2/255.255.255.0，它需要访问内部业务应用系统A，合法节点A对应的单向设备出口端的虚拟网卡A，配置的合法IP地址为10.1.0.2/255.255.255.0，两者建立对应的地址映射关系，当合法节点A将访问请求路由到单向设备入口端时，单向设备入口端将请求落地为XML文件或其他格式数据文件，并将合法节点A地址信息保存在落地后的文件中。通过单向链路(进)将数据文件摆渡到与之单向连接的单向设备出口端。来自于合法节点A的192.168.1.2/255.255.255.0访问请求的落地文件被转换为对应的请求数据，并将该请求数据对应的源IP地址根据地址映射关系修改为虚拟网卡A对应的IP地址，如10.1.0.2/255.255.255.0，该访问请求数据发送到业务应用系统A，业务应用系统A对请求处理后返回处理数据到虚拟网卡A，对应的IP地址信息为10.1.0.2/255.255.255.0。与内部网络连接的单向出口端将请求返回的数据落地成文件，并根据地址映射表的信息将合法节点A对应的IP地址信息保存到落地的数据和文件中，并通过单向链路(出)将落地的数据和文件摆渡到与外部网络连接的单向设备入口端，并将该数据和文件转换为请求返回的数据，并通过单向设备入口端将数据返回给合法节点A。通过在单向设备出口端(与内部网络连接的单向设备出口端)创建地址映射表，以实现外部网络终端的IP地址信息与内部网络对应的合法IP地址的映射关系。

通过上述实施例可知，本发明提供的基于单向隔离设备的多IP地址映射绑定系统及方法，至少实现了如下的有益效果：

本发明可实现在跨网接入访问应用时可以做到外部网络的设备访问到内部网络业务应用时将外部网络设备与内部网络应用访问建立一一对应的关系，确保业务访问的可追溯性；

本发明防止对内部应用系统访问时，对业务安全性要求高的网络环境下，确保业务处理的防抵赖性。

虽然已经通过例子对本发明的一些特定实施例进行了详细说明，但是本领域的技术人员应该理解，以上例子仅是为了进行说明，而不是为了限制本发明的范围。本领域的技术人员应该理解，可在不脱离本发明的范围和精神的情况下，对以上实施例进行修改。本发明的范围由所附权利要求来限定。

Claims (6)

1.一种基于单向隔离设备的多IP地址映射绑定系统，其特征在于，包括多个第一节点、跨网单向接入设备和多个第二节点，所述跨网单向接入设备包括第一入口端、第一出口端、第二入口端和第二出口端，其中，

所述第一节点，与所述第一入口端相耦接，用于发送访问请求数据发送至所述第一入口端；

所述第一入口端，分别与所述第一节点、所述第一出口端、所第二出口端相耦接，用于接收所述第一节点的访问请求数据，并记录每个所述第一节点的IP地址，通过单向链路传输协议将所述访问请求数据发送至所述第一出口端；还用于接收所述第二出口端返回的返回数据，并将所述返回数据发送至所述第一节点；

所述第一出口端，分别与所述第一入口端、所述第二节点、和所述第二入口端相耦接，用于接收所述第一入口端发送的访问请求数据并发送至所述第二节点，并接收所述第二节点发送的返回数据，将所述返回数据发送到所述第二入口端；在所述第一出口端创建IP地址映射表，并在所述第一出口端的网络连接设备上创建多个第一虚拟网卡，所述第一虚拟网卡用于模拟所述第二节点的第二虚拟网卡并对所述第一虚拟网卡进行配置对应的IP地址信息，使得所述访问请求数据中的IP地址与所述第二节点的IP地址为一一对应的映射关系；所述第一出口端接收到所述返回数据后，将所述返回数据中的目的地址信息更改为与所述第一节点相对应的IP地址信息；

所述第二节点，与所述第一出口端相耦接，用于接收所述第一出口端的所述访问请求数据，将所述访问请求数据进行处理得到返回数据，并将所述返回数据发送到所述第一出口端；

所述第二入口端，分别与所述第一出口端和第二出口端相耦接，用于接收所述第一出口端发送的所述返回数据并根据单向链路传输协议发送至所述第二出口端；

所述第二出口端，分别与所述第一入口端、和所述第二入口端相耦接，用于接收所述第二入口端发送的所述返回数据并发送至所述第一入口端；

所述第一入口端中访问请求数据为落地文件，通过单向传输协议和单向传输链路访问请求落地文件，并保存对应所述第一节点的IP地址信息，并将信息传递到所述第二节点连接的所述第一出口端。

2.根据权利要求1所述的基于单向隔离设备的多IP地址映射绑定系统，其特征在于，所述第一节点与所述第一入口端之间为双向连接；所述第一出口端与所述第二节点之间为双向连接。

3.根据权利要求1所述的基于单向隔离设备的多IP地址映射绑定系统，其特征在于，所述访问请求数据包括网络数据包、文本文件、流式文件、版式文件、图像文件或视频文件。

4.一种基于单向隔离设备的多IP地址映射绑定方法，应用于权利要求1至3所述的系统，其特征在于，包括步骤：

第一节点发送访问请求数据发送至第一入口端；

所述第一入口端接收所述访问请求数据，并记录每个所述第一节点的IP地址，通过单向链路传输协议将所述访问请求数据发送至所述第一出口端；

所述第一出口端接收所述访问请求数据，并发送至所述第二节点；

在所述第一出口端创建IP地址映射表，并在所述第一出口端的网络连接设备上创建多个第一虚拟网卡，所述第一虚拟网卡用于模拟所述第二节点的第二虚拟网卡并对所述第一虚拟网卡进行配置对应的IP地址信息，使得所述访问请求数据中的IP地址与所述第二节点的IP地址为一一对应的映射关系；

所述第二节点接收所述第一出口端的所述访问请求数据，将所述访问请求数据进行处理得到返回数据，并将所述返回数据发送到所述第一出口端；

所述第一出口端接收到所述返回数据，将所述返回数据中的目的地址信息更改为与所述第一节点相对应的IP地址信息，并将所述返回数据发送至所述第二入口端；

所述第二入口端接收所述第一出口端发送的所述返回数据并根据单向链路传输协议发送至所述第二出口端；

所述第二出口端接收所述第二入口端发送的所述返回数据并发送至所述第一入口端；

所述第一入口端接收所述第二出口端返回的所述返回数据，并将所述返回数据发送至所述第一节点；

所述第一入口端中访问请求数据为落地文件，通过单向传输协议和单向传输链路访问请求落地文件，并保存对应所述第一节点的IP地址信息，并将信息传递到所述第二节点连接的所述第一出口端。

5.根据权利要求4所述的基于单向隔离设备的多IP地址映射绑定方法，其特征在于，所述第一节点与所述第一入口端之间为双向连接，所述第一出口端与所述第二节点之间为双向连接。

6.根据权利要求4所述的基于单向隔离设备的多IP地址映射绑定方法，其特征在于，所述访问请求数据包括网络数据包、文本文件、流式文件、版式文件、图像文件或视频文件。

Images