CN112383410B - 一种正向隔离装置状态的检测方法及介质 - Google Patents

Abstract

本发明公开了一种正向隔离装置状态的检测方法及介质，该方法包括以下步骤：获取第一区域和第二区域的连接状态；获取第二区域端口状态；同步第二区域的状态至第一区域；判断第一区域与第二区域通过正向隔离装置连接是否异常；当第一区域连接第二区域异常时，根据第二区域的连接状态和第二区域端口状态进行异常诊断。本发明至少具有以下有益效果：能够结合内外网的连接状态简单、快速并准确的诊断连接异常产生的原因，提高了内外网连接故障时的检测效率。

Description

一种正向隔离装置状态的检测方法及介质

技术领域

本发明涉及计算机技术领域，特别涉及一种正向隔离装置状态的检测方法及介质。

背景技术

正向隔离装置是一种将两个区域隔离开的装置，区域内部数据的传输可视为安全传输，两个区域之间的数据传输的安全性需要正向隔离装置保证，正向隔离装置其主要特征是只允许数据由内网或称第一区域到外网或称第二区域单向传输，而外网到内网只能传输一个字节数据。

正向隔离装置用于隔离区域连接，保护内外网连接数据的安全性，但其本身也存在一些难以克服的问题：(1)当内网连接外网失败时，不能直接判断出是内外网的应用问题还是正向隔离装置的问题；(2)单侧连接异常问题：当内网连接或外网连接之一断开时，而另一个连接正常，导致连接迟迟无法恢复。

现有正向隔离装置状态的检测方案很落后、效率很低。内外网之间连接异常只能依靠专业人员根据内外网的连接状态及隔离日志分析才能得出连接异常的原因，且现有正向隔离装置状态的检测方法准确率低，误判的概率比较大。

发明内容

本发明旨在至少解决现有技术中存在的技术问题之一。为此，本发明提出一种正向隔离装置状态的检测方法及介质，能够在内外网连接失败时，准确定位问题点、分析连接失败的原因，并能够解决正向隔离导致的单侧连接异常问题。

本发明还提出一种具有上述正向隔离装置状态的检测方法的计算机可读存储介质。

根据本发明的第一方面实施例的一种正向隔离装置状态的检测方法，包括以下步骤：获取第一区域和第二区域的连接状态；获取所述第二区域端口状态；同步所述第二区域的状态至所述第一区域；判断所述第一区域与所述第二区域通过所述正向隔离装置连接是否异常；当所述第一区域连接所述第二区域异常时，根据所述第二区域的连接状态和所述第二区域端口状态进行异常诊断；其中，所述第一区域与所述第二区域的连接设置有心跳机制。

根据本发明的一些实施例，所述异常诊断包括：判断所述第二区域的连接状态是否异常；判断所述第二区域端口是否处于监听状态；当所述第二区域的连接正常，诊断所述正向隔离装置状态为异常；当所述第二区域的连接异常且所述第二区域端口处于监听状态，诊断所述正向隔离装置状态为异常；当所述第二区域的连接异常且所述第二区域端口监听异常，诊断第二区域应用为异常。

根据本发明的一些实施例，所述第二区域通过单字节心跳保活与所述第一区域的连接。

根据本发明的一些实施例，所述第一区域与所述第二区域的隔离包括：网络与网络之间的隔离；主机与网络之间的隔离；主机与主机之间的隔离。

根据本发明的一些实施例，所述第二区域端口状态包括监听状态和建立连接状态。

根据本发明的一些实施例，同步所述第二区域的状态至所述第一区域通过反向隔离实现。

根据本发明的一些实施例，在同一时刻，所述正向隔离装置只与一个区域建立连接。

根据本发明的一些实施例，在所述正向隔离装置中，所述第二区域仅能单比特或单字节应答所述第一区域。

根据本发明的第二方面实施例的一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被一个或多个处理器执行时能够执行上述任一项所述的一种正向隔离装置状态的检测方法的步骤。

根据本发明实施例的一种正向隔离装置状态的检测方法，至少具有如下有益效果：能够结合内外网的连接状态简单、快速并准确的诊断连接异常产生的原因，提高了内外网连接故障时的检测效率，无需人工手动检测，提升了检测的准确率并节约了检测成本，优化了检测方法。

本发明的附加方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：

图1为本发明实施例的检测方法的流程示意图；

图2为本发明实施例的检测方法的诊断流程示意图；

图3为本发明实施例的模块示意框图；

图4为本发明实施例的计算机存储介质模块示意框图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能理解为对本发明的限制。

在本发明的描述中，若干的含义是一个或者多个，多个的含义是两个及两个以上，大于、小于、超过等理解为不包括本数，以上、以下、以内等理解为包括本数。如果有描述到第一、第二只是用于区分技术特征为目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量或者隐含指明所指示的技术特征的先后关系。

参照图1，图1示出了本发明实施例的检测方法的流程示意图包括以下步骤：获取第一区域和第二区域的连接状态；获取第二区域端口状态；同步第二区域的状态至第一区域；判断第一区域与第二区域通过正向隔离装置连接是否异常；当第一区域连接第二区域异常时，根据第二区域的连接状态和第二区域端口状态进行异常诊断；其中，第一区域与第二区域的连接设置有心跳机制。

需要说明的是，通过获取第二区域和第一区域的连接状态以及第二区域的端口状态，当第一区域连接第二区域异常时，均能够根据第二区域的连接状态和第二区域的端口状态及时准确的诊断出异常连接产生的位置点，从而分析出连接失败产生的原因，及时恢复第一区域和第二区域的正常连接。同时，利用第一区域与第二区域的连接设置有心跳机制，解决了正向隔离导致的单侧连接异常无法恢复的问题，当超过规定的时间没有收到心跳时，则断开连接。

通过本发明实施例的检测方法，能够结合内外网的连接状态简单、快速并准确的诊断连接异常产生的原因，并且能够解决正向隔离导致的单侧连接异常问题，提高了内外网连接故障时的检测效率，无需人工手动检测，提升了检测的准确率并节约了检测成本，优化了检测方法。

参照图2，图2示出了本发明实施例的检测方法的诊断流程示意图，如图2中所示，异常诊断检测包括：判断第二区域的连接状态是否异常；判断第二区域端口是否处于监听状态；当第二区域的连接正常，诊断正向隔离装置状态为异常；当第二区域的连接异常且第二区域端口处于监听状态，诊断正向隔离装置状态为异常；当第二区域的连接异常且第二区域端口监听异常，诊断第二区域应用为异常，可以理解的是，本发明中的第一区域和第二区域可以是一个网络，也可以是一个主机，本发明第二区域可以指外部网络或外部主机，本发明第一区域可以指内部网络或内部主机。

在本发明的一些具体实施例中，在正向隔离装置中，第二区域通过单字节心跳保活与第一区域的连接，可以理解的是，在正向隔离装置中，只允许数据由内网到外网单向传输，外网到内网只能传输一个字节数据，如此能够实现高安全性的内外网络间的数据的隔离，使得数据只能从内网传输向外部网络，而外网只能做出应答操作，不能向内网传输数据，如此从根本上实现了内外网的数据隔离。

参照图3，图3示出了本发明实施例的模块示意框图，图3中，第一区域通过正向隔离装置与第二区域连接，数据传输的方向为从第一区域流向第二区域，能够想到的是，通过正向隔离装置进行隔离的第一区域与第二区域包括：网络与网络之间的隔离；主机与网络之间的隔离；主机与主机之间的隔离，在本发明一些实施例当中，第一区域指内网，第二区域指外网。

在本发明的一些具体实施例中，需要检测第二区域端口状态，检测的第二区域端口状态包括但不限于监听状态和建立连接状态，需要说明的是，通过检测第二区域的端口状态，能够在第一区域连接第二区域产生异常时，提供诊断依据。

在本发明的一些具体实施例中，可以理解的是，当要同步第二区域的状态至第一区域时，需要通过反向隔离实现，由于在正向隔离装置中，只允许数据由内网到外网单向传输，外网到内网只能传输一个字节数据，因此，当外网需要传输数据至内网时，通过正向隔离装置是不能完成的，此时，需要借助反向隔离装置实现该功能。

为了实现更好的安全隔离，在本发明的一些具体实施例中，在同一时刻，正向隔离装置只能够与一个区域建立连接，即正向隔离装置同时只能与一侧网络建立连接。

如上述内容，在本发明的一些具体实施例中，在正向隔离装置中，第二区域仅能单比特或单字节应答第一区域。

在本发明的一些具体实施例中存在一种计算机可读存储介质，其上存储有计算机程序，计算机程序被一个或多个处理器执行时能够执行上述任一项的一种正向隔离装置状态的检测方法的步骤。

参照图4，图4所示为根据本发明实施方式的存储介质示意图。存储介质上存储有操作系统和计算机程序，计算机程序用于执行：获取第一区域和第二区域的连接状态；获取第二区域端口状态；同步第二区域的状态至第一区域；判断第一区域与第二区域通过正向隔离装置连接是否异常；当第一区域连接第二区域异常时，根据第二区域的连接状态和第二区域端口状态进行异常诊断。

下面结合一个具体的实施例，对本发明的一种正向隔离装置状态的检测方法予以说明。

在一个具体的实施例当中，本发明可以用于电力二次系统，将电力系统的专用网络进行安全分区，横向隔离，保障电力监控系统和电力调度数据网络的安全。具体的，正向隔离装置的应用系统由内网客户端、正向隔离装置和外网服务器组成。其中内网是指生产控制区，外网是指管理信息区。正向隔离装置的方向性主要体现在仅允许由其内网客户端侧向外网服务器侧发起连接以及数据流从内网客户端流向外网服务器的单向性。

当内网客户端需要有数据到达外网服务器的时候，内网的客户端立即发起对正向隔离设备的数据连接，此时外网服务器端无法通过正向隔离装置与内网进行数据交互。当内网数据完全写入正向隔离装置的单向安全通道，正向隔离装置连接内网客户端一侧立即中断与内网的连接，将单向安全通道内的数据推向外网服务器一侧，外网服务器侧收到数据后发起对外网服务器的数据连接。外网服务器的应答数据能够通过单比特或单字节应答内网客户端。

在本发明另一个具体的实施例中，正向隔离装置的应用系统由内网主机、正向隔离装置和外网服务器组成。当内网主机向外网服务器传输数据发生连接异常时，首先诊断外网服务器与正向隔离装置的连接状态是否异常；其次诊断外网服务器的通信端口是否处于监听状态，当外网服务器的连接正常，则诊断结果为正向隔离装置的状态异常，需要排查正向隔离装置产生的异常原因，当诊断出外网服务器的连接异常并且外网服务器端口还处于监听状态时，则诊断结果为正向隔离装置状态异常，需要排查正向隔离装置产生的异常原因；当诊断出外网服务器的连接异常并且外网服务器的端口监听也存在异常情况时，则诊断结果为外网服务器的应用程序发生异常，需要进一步排查外网的应用程序产生异常的原因。

需要说明的是，在本发明具体的实施例当中，内网主机或者内网客户端与外网服务器或者外网主机之间的连接均设置有心跳机制，在本发明具体的实施例当中，可以采用TCP KeepAlive实现心跳检测，也可以通过正常数据交互探测实现心跳检测，还可以通过带外数据实现心跳检测，当超过规定的时间没有收到心跳时，则断开连接，此举解决了正向隔离导致的单侧连接异常无法恢复的问题。

尽管本文描述了具体实施方案，但是本领域中的普通技术人员将认识到，许多其它修改或另选的实施方案同样处于本公开的范围内。例如，结合特定设备或组件描述的功能和/或处理能力中的任一项可以由任何其它设备或部件来执行。另外，虽然已根据本公开的实施方案描述了各种例示性具体实施和架构，但是本领域中的普通技术人员将认识到，对本文的例示性具体实施和架构的许多其它修改也处于本公开的范围内。

上文参考根据示例性实施方案的方法和/或计算机程序产品的框图和流程图描述了本公开的某些方面。应当理解，框图和流程图中的一个或多个块以及框图和流程图中的块的组合可分别通过执行计算机可执行程序指令来实现。同样，根据一些实施方案，框图和流程图中的一些块可能无需按示出的顺序执行，或者可以无需全部执行。另外，超出框图和流程图中的块所示的那些部件和/或操作以外的附加部件和/或操作可存在于某些实施方案中。

因此，框图和流程图中的块支持用于执行指定功能的装置的组合、用于执行指定功能的元件或步骤的组合以及用于执行指定功能的程序指令装置。还应当理解，框图和流程图中的每个块以及框图和流程图中的块的组合可以由执行特定功能、元件或步骤的专用硬件计算机系统或者专用硬件和计算机指令的组合来实现。

本文的程序模块、应用程序等可包括一个或多个软件组件，包括例如软件对象、方法、数据结构等。每个此类软件组件可包括计算机可执行指令，计算机可执行指令响应于执行而使本文的功能的至少一部分(例如，本文的例示性方法的一种或多种操作)被执行。

软件组件可以用各种编程语言中的任一种来编码。一种例示性编程语言可以为低级编程语言，诸如与特定硬件体系结构和/或操作系统平台相关联的汇编语言。包括汇编语言指令的软件组件可能需要在由硬件架构和/或平台执行之前由汇编程序转换为可执行的机器代码。另一种示例性编程语言可以为更高级的编程语言，其可以跨多种架构移植。包括更高级编程语言的软件组件在执行之前可能需要由解释器或编译器转换为中间表示。编程语言的其它示例包括但不限于宏语言、外壳或命令语言、作业控制语言、脚本语言、数据库查询或搜索语言、或报告编写语言。在一个或多个示例性实施方案中，包含上述编程语言示例中的一者的指令的软件组件可直接由操作系统或其它软件组件执行，而无需首先转换成另一种形式。

软件组件可存储为文件或其它数据存储构造。具有相似类型或相关功能的软件组件可一起存储在诸如特定的目录、文件夹或库中。软件组件可为静态的(例如，预设的或固定的)或动态的(例如，在执行时创建或修改的)。

上面结合附图对本发明实施例作了详细说明，但是本发明不限于上述实施例，在所属技术领域普通技术人员所具备的知识范围内，还可以在不脱离本发明宗旨的前提下做出各种变化。

Claims (7)

1.一种正向隔离装置状态的检测方法，其特征在于，包括以下步骤：

获取第一区域和第二区域的连接状态；

获取所述第二区域端口状态；

同步所述第二区域的状态至所述第一区域；

判断所述第一区域与所述第二区域通过所述正向隔离装置连接是否异常；

当所述第一区域连接所述第二区域异常时，根据所述第二区域的连接状态和所述第二区域端口状态进行异常诊断；

其中，所述第一区域与所述第二区域的连接设置有心跳机制；

所述异常诊断包括：

判断所述第二区域的连接状态是否异常，其中所述第二区域通过单字节心跳保活与所述第一区域的连接；

判断所述第二区域端口是否处于监听状态；

当所述第二区域的连接正常，诊断所述正向隔离装置状态为异常；

当所述第二区域的连接异常且所述第二区域端口处于监听状态，诊断所述正向隔离装置状态为异常；

当所述第二区域的连接异常且所述第二区域端口监听异常，诊断第二区域应用为异常。

2.根据权利要求1所述的正向隔离装置状态的检测方法，其特征在于，所述第一区域与所述第二区域的隔离包括：

网络与网络之间的隔离；

主机与网络之间的隔离；

主机与主机之间的隔离。

3.根据权利要求1所述的正向隔离装置状态的检测方法，其特征在于，所述第二区域端口状态包括监听状态和建立连接状态。

4.根据权利要求1所述的正向隔离装置状态的检测方法，其特征在于，同步所述第二区域的状态至所述第一区域通过反向隔离实现。

5.根据权利要求1所述的正向隔离装置状态的检测方法，其特征在于，在同一时刻，所述正向隔离装置只与一个区域建立连接。

6.根据权利要求1所述的正向隔离装置状态的检测方法，其特征在于，在所述正向隔离装置中，所述第二区域仅能单比特或单字节应答所述第一区域。

7.一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1至6中任一项的方法。

Images