CN1571398A - 基于代理映射的网络安全隔离与信息交换系统及方法 - Google Patents

Abstract

一种基于代理映射的网络安全隔离与信息交换系统及方法。用于信息安全、网络数据交换领域。本发明系统内、外网处理单元分别连接着内网和外网，隔离交换单元包括隔离切换控制器和隔离存储器，内、外网处理单元通过高速数据传输线与隔离切换控制器相连，隔离切换控制器还连接着隔离存储器，内、外网处理单元只能有一个访问隔离存储器，内外网处理单元通过隔离交换单元交换信息，内网处理单元包含一个代理存根，外网处理单元包含一个代理引擎。本发明方法通过代理存根和代理引擎调用内部定义的传输接口并通过隔离交换单元来完成内、外网处理单元间的数据交换，从而以代理映射的方式建立一条内网客户端与外网服务器之间的信息交换通路。

Description

基于代理映射的网络安全隔离与信息交换系统及方法

技术领域

本发明涉及一种网络安全隔离与信息交换系统及方法，具体是一种基于代理映射的网络安全隔离与信息交换系统及方法。用于信息安全、网络数据交换领域。

背景技术

目前普遍采用的网络边界安全防护机制是通过防火墙来实现的。防火墙的实现技术有主要包过滤、应用代理和状态检测等。由于防火墙的硬件体系结构采用单一的堡垒主机的方式，一旦被黑客攻占，则防火墙则完全失去效用。因此普通的网络防火墙产品已无法满足重要网络和数据的安全需求。对于金融、政府和科研机构等对网络安全有高等级要求的用户，它们往往是建立一个专用的内部网络，内网和外网之间采用物理隔离。这就给不同信任域之间的信息交换带来了不便。安全隔离与信息交换是一种新型的能够在保证内外网之间链路隔离的基础上进行适度安全的信息交换的技术。该技术的特点是在安全隔离与信息交换系统中连接内外网的链路断开，通过隔离存储器用摆渡的方式交换数据，在网络之间交换的数据都是应用层的数据，系统不直接或者间接地转发IP包形式的数据。由于用硬件隔离交换数据的方式打断了内外网间的直接协议交互，因此从原理上能提供比防火墙更高的安全性。

目前安全隔离与信息交换系统一般采用双代理中继的方法进行信息交换，经检索发现，北京京泰网络科技有限公司是一家专门从事信息安全隔离产品研发和生产的公司，该公司2003年的产品京泰安全信息交流系统就采用了双代理中继的方式。如对于邮件业务，内网和外网中分别安装一个邮件代理服务器，内网用户发送的邮件完全被内网代理服务器接收，然后通过京泰安全信息交流系统切换到外网代理服务器，外网代理服务器再发送到外部网络，反之亦然。此方法的缺点在于用户接收或者发送数据需要经过两次完整的缓存转发，相当于内外网两个代理服务器通过安全隔离与信息交换系统进行数据的镜像和同步，实时性和可扩展性差。此外，除安全隔离与信息交换系统外，还需要用户额外配置内外网服务器增加了用户成本和管理的复杂度。

发明内容

本发明的目的在于针对基于双代理中继的网络安全隔离与信息交换方法的不足，提出了一种基于代理映射的网络安全隔离与信息交换系统及方法，即在安全隔离与信息交换系统内部对因特网的应用层数据进行映射代理交换，该方法能对基于传输控制协议(TCP)的交互式网络服务提供代理服务，使得安全隔离与信息交换设备既可以支持非实时的网络间数据交换也可以支持万维网(WEB)浏览、电子邮件(Email)传输等实时网络业务。它提高了信息交互的实时性，并且不需要用户在安全隔离与信息交换系统外再额外配置服务器，减少了用户成本和管理复杂性。

本发明是通过以下技术方案实现的，本发明安全隔离与信息交换系统包括三部分：内网处理单元、外网处理单元和隔离交换单元。内、外网处理单元各自拥有一个网络接口及独立的IP地址，分别连接着信任域网络(内网)和非信任域网络(外网)，它们是两个独立的服务器系统，隔离交换单元包括隔离切换控制器和隔离存储器，内、外网处理单元分别通过高速数据传输线与隔离交换单元的隔离切换控制器相连，隔离切换控制器还连接着隔离存储器，在任意一个时间点上，内、外网处理单元只能有一个访问隔离存储器，内外网处理单元通过隔离交换单元交换信息，内网处理单元包含一个代理存根，外网处理单元包含一个代理引擎，对内网用户而言，安全隔离与信息交换系统是一个应用代理服务器，由代理存根和代理引擎协同工作完成一个完整的应用代理服务器功能，两者基于隔离交换单元通过应用传输协议进行对话和数据交换。

隔离切换控制单元的作用相当于一个单刀双掷的电子开关，它周期地在内、外网处理单元与之连接的高速数据传输线之间切换，保证在任意一个时间点上，内、外网处理单元只能有一个访问隔离存储器。

安全隔离与信息交换系统工作在代理服务器模式。内网用户可视该系统为一个普通的应用代理服务器。在使用万维网和电子邮件服务时，用户需要在相应的客户端软件(IE或OUTLOOK)中设置代理，代理服务器的地址为该系统内网处理单元地址。一个完整的代理服务器功能被分割为位于外网处理单元的代理引擎和位于内网处理单元的代理存根两部分，代理存根和代理引擎通过调用内、外网中的传输接口进行通信。传输接口将信息传递给切换控制软件，并通过它来驱动隔离交换单元完成信息在内、外处理单元之间的切换：

所述的代理存根，在安全隔离与信息交换系统的内网处理单元上，对每一种网络业务它是一个系统守护进程。它在网络接口端通过SOCKET调用与TCP/IP协议栈通信，在隔离交换端通过传输接口用内部映射协议通信。代理存根主要实现一个代理服务器的前端处理，包括：

对来自信任域用户的连接请求进行检查。在记录每个合法连接的状态后，连接请求将通过内部映射协议转发给外网处理单元的代理引擎。

处理映射协议从外网处理单元接收的数据，并根据保存的连接状态将数据转发给内网相应的连接。

所述的代理引擎，在外网处理单元中，它在网络接口端通过网络插口(SOCKET)调用与TCP/IP协议栈通信，在隔离交换端通过传输接口与内部映射协议通信。对每一种网络业务，它是一个系统守护进程，实现一个完整代理服务器的绝大多数处理，包括：

通过传输接口接收来自内网处理单元的业务请求，向外部网络服务器发出应用请求。

接收外部网络服务器返回的数据，对数据进行内容检查和病毒查杀。

调用传输接口，将外部网络返回的信息通过隔离传输通道切换回内网。

所述的传输接口，是代理引擎和代理存根与内部映射协议之间通信的接口，主要进行以下处理：

接收来自代理存根或代理引擎的需要交换的信息，将其编码、封装成内部映射协议报文后通过切换控制程序写入到隔离存储器中。

从切换控制程序中读入内外网处理单元交换的数据，根据内部映射协议解析报文后，将报文信息分发到不同的代理存根或代理引擎。

所述的切换控制软件，实现对隔离交换单元硬件的识别和控制，保证在传输协议层读写数据时是物理设备真实连接的，并且保证读写的可靠性。它在系统中为隔离交换单元的硬件驱动程序，并提供与内部映射协议进程的通信接口。

本发明基于代理映射的网络安全隔离与信息交换方法，由上述的安全隔离与信息交换系统作为一个网络代理服务器向内网用户提供网络代理服务，是通过分别位于安全隔离与信息交换系统内、外网处理单元的代理存根和代理引擎调用内部定义的传输接口并通过隔离交换单元来完成内、外网处理单元间的数据交换，从而以代理映射的方式建立一条内网客户端与外网服务器之间的信息交换通路。

以下对本发明方法进一步限定，内网用户通过安全隔离与信息交换系统完成网络信息交换的方法，其步骤如下：

(1)内网处理单元通过代理存根向内网用户提供网络代理服务，采用TCP/IP协议与内网用户通信。它在网络连接端为每一种提供的网络业务开放一个公共TCP端口，在此端口上不断侦听内网用户的网络请求。

(2)在接收到一个内网用户发出的网络应用请求后，代理存根根据应用协议的不同对用户连接进行相应的身份认证，并对协议数据进行安全检查和过滤。如未通过检查则通知内网用户并断开连接。

(3)代理存根接受的应用请求在内部为其保留连接信息，连接请求根据内部映射协议被封装后，代理存根调用传输接口，将数据写入隔离交换单元。

(4)外网处理单元的代理引擎一直在通过调用传输接口检测隔离交换单元中的是否有代理存根写入的数据，如果没有新数据则处理进程被阻塞，否则读取代理存根传来的数据。

(5)代理引擎收到内网处理单元传来的信息后根据内部映射协议进行解析，如果是新的网络应用请求则保留连接信息，并返回代理存根确认信息建立起一条通过隔离交换单元的数据传输通道。

(6)代理引擎根据收到的网络应用请求提供完整的代理服务，即从外网处理单元的网络端向外部服务器用TCP/IP协议发出连接请求并获得数据，该过程根据网络应用不同按照标准的因特网通信协议进行。

(7)代理引擎收到的数据经安全检查后，如内容过滤和病毒查杀，调用传输接口将数据按内部映射协议封装后写入隔离交换单元。

(8)内网处理单元中的代理存根在隔离交换单元一侧，如步骤(4)中代理引擎操作，接收来自外网处理单元传输的数据。

(9)代理存根接收到的外网处理单元传输的数据用映射协议解析，如果是步骤(5)中代理引擎返回的数据传输通道确认信息，则建立数据传输通道并保留其信息。

(10)代理存根收到的是应用数据则用步骤(9)中保留的数据传输通道信息检索步骤(3)中保留的内网用户连接信息，根据该信息将数据用TCP/IP协议发送给内网用户。

(11)代理存根完成用户请求或代理引擎完成数据传输后都可以调用传输接口写入数据传输通道释放请求，删除并释放步骤(3)、(5)和(9)中保留的网络应用请求的连接信息和数据传输通道信息及其资源。

(12)代理存根或代理引擎收到对方发出的数据传输通道释放请求，删除并释放步骤(3)、(5)和(9)中保留的网络应用请求的连接信息和数据传输通道信息及其资源，结束一次网络应用数据传输。

本发明的安全隔离与信息交换系统采用内外网处理单元加隔离交换单元的双主机隔离交换方式，断开了内外网间直接的链路连接，并打断了内外网之间的交互式网络协议，用代理映射的方法进行纯数据隔离交换，可以抵抗一切基于交互式协议的网络攻击。本发明的安全隔离与信息交换方法中，网络应用请求完全由内网用户发起，外网用户不能主动向内网发送任何数据，严格保护了内部网络的安全。此外，内网用户可以实时请求外部网络服务，而外部网络应用数据只需要在外网处理单元缓存并安全检查一次，从而避免了双代理中继模式的缺点。

附图说明

图1本发明安全隔离与信息交换系统结构示意图

图2系统协议栈结构图

图3应用传输协议对话过程图

图4支持邮件和WEB服务的代理引擎结构图

图5支持邮件和WEB服务的代理存根结构图

具体实施方式：

以下结合附图对本发明技术方案作进一步的描述。图1是安全隔离与信息交换系统结构框图。在原型系统中内、外网处理单元选用了X86架构的工控系统，高速数据传输线可采用SCSI或USB等总线，根据总线的不同可实现不同的隔离切换控制单元，并选用相应的隔离存储器，如SCSI或USB接口硬盘。

内、外网处理单元的操作系统选择了Linux操作系统，系统中的协议栈如图2所示。代理引擎通过隔离交换单元同内网处理单元通信，并对数据进行病毒过滤和安全性检查。在内网处理单元，使用代理存根进行各种业务(如EMAIL和WEB)的代理服务，并通过隔离交换单元与外网处理单元通信，代理存根同时也实现了访问控制、数据安全性检查以及病毒过滤等工作。

代理引擎同代理存根之间通过隔离交换单元传输应用层数据，并采用自定义的应用传输协议来保持对话过程，基本的协议对话过程如图3所示，代理存根收到内网请求后保留相关信息并向代理引擎请求建立连接，代理引擎回复连接建立确认后保留此连接的相关信息，这样内外网处理单元之间就建立了一条数据映射通道，代理引擎从外部网络获得的信息可以通过这条通道进行传输。代理存根收到的信息可以根据先前保留的内网请求信息发送给相应的内网主机。当信息交换结束后，代理引擎和代理存根都可以提出断开连接并释放相关资源。

以支持邮件服务和万维网服务为例，图4是在原型系统的外网处理单元中实现的代理引擎结构图。为减少实施难度，代理引擎采用了增强安全检查功能的通用邮件代理QMAIL软件和万维网代理SQUID软件，代理引擎用这些通用代理服务程序来完成具体的网络代理服务工作。连接管理模块只负责数据的转发工作，即它从传输接口收发数据，并通过本机网络插口SOCKET同通用网络代理服务程序(如QMAIL)通信，完成转发功能。连接管理模块在传输接口端单独开一个线程读取来自隔离切换单元的数据，它每收到一个映射过来的连接请求就新创建一个工作线程进行处理，并通过本机网络插口SOCKET与通用代理服务程序建立连接，通过该连接收发数据。图5是在原型系统中内网处理单元实现的代理存根的结构图。通用子模块是进行数据转发的基本模块，主要功能为：从两端收发数据、对各工作线程进行管理、对传输接口数据进行拆包和数据分发等。邮件处理子模块和万维网处理子模块都是通用子模块的扩展模块，用于对特定协议的分析和处理。代理存根模块采用C++多线程方式实现，所以采用由对象控制线程的方式，即每个对象对应有单个或多个工作线程执行其任务，并且该对象控制其下所有线程的创建、执行、停止等管理工作，线程间的通信采用无名管道的方式来完成。代理存根同时从SOCKET和传输接口收发数据，通过数据处理后进行双向转发。在SOCKET端，代理存根按照配置要求打开服务端口进行监听，如在80端口监听内网用户发起的WEB请求，每收到一个连接请求就创建一个工作线程进行处理；在传输接口端，STUB模块单独开一个线程读取传输接口的数据，并将数据转发到对应的工作线程。工作线程对收到的数据进行处理和检查，然后进行转发。

本系统和方法避免了双代理中继安全隔离与信息交换方法实时性差、管理复杂及要求额外服务器资源的缺点，可提供对多种网络服务的支持。根据本发明设计实现的安全隔离与信息交换系统，可在内、外网安全隔离的情况下支持安全电子邮件、安全WEB浏览，安全数据库交换和安全文件交换。目前该系统已经通过国家信息安全测评认证中心检测认证并获得公安部信息安全产品销售许可证，并在多家单位推广使用，效果良好。

Claims (8)

1、一种基于代理映射的网络安全隔离与信息交换系统，包括：内网处理单元、外网处理单元和隔离交换单元，其特征在于，内、外网处理单元各自拥有一个网络接口及独立的IP地址，分别连接着内网和外网，它们是两个独立的服务器系统，隔离交换单元包括隔离切换控制器和隔离存储器，内、外网处理单元分别通过高速数据传输线与隔离交换单元的隔离切换控制器相连，隔离切换控制器还连接着隔离存储器，在任意时间点上，内、外网处理单元只能有一个访问隔离存储器，内外网处理单元通过隔离交换单元交换信息，内网处理单元包含一个代理存根，外网处理单元包含一个代理引擎，代理存根和代理引擎协基于隔离交换单元通过应用传输协议进行对话和数据交换。

2、根据权利要求1所述的基于代理映射的网络安全隔离与信息交换系统，其特征是，对内网用户而言，它是一个应用代理服务器，由代理存根和代理引擎协同工作完成一个完整的应用代理服务器功能，代理存根和代理引擎通过调用内、外网中的传输接口进行通信，传输接口将信息传递给切换控制软件，并通过它来驱动隔离交换硬件单元完成信息在内、外处理单元之间的切换。

3、根据权利要求1或2所述的基于代理映射的网络安全隔离与信息交换系统，其特征是，所述的代理存根，在内网处理单元上，对每一种网络业务它是一个系统守护进程，它在网络接口端通过SOCKET调用与TCP/IP协议栈通信，在隔离交换端通过传输接口用内部映射协议通信，代理存根实现一个代理服务器的前端处理，包括：

对来自信任域用户的连接请求进行检查，在记录每个合法连接的状态后，连接请求将通过内部映射协议转发给外网处理单元的代理引擎；

处理映射协议从外网处理单元接收的数据，并根据保存的连接状态将数据转发给内网相应的连接。

4、根据权利要求1或2所述的基于代理映射的网络安全隔离与信息交换系统，其特征是，所述的代理引擎，在外网处理单元中，它在网络接口端通过SOCKET调用与TCP/IP协议栈通信，在隔离交换端通过传输接口与内部映射协议通信，对每一种网络业务，它是一个系统守护进程，实现一个完整代理服务器的绝大多数处理，包括：

通过传输接口接收来自内网处理单元的业务请求，向外部网络服务器发出应用请求；

接收外部网络服务器返回的数据，对数据进行内容检查和病毒查杀；

调用传输接口，将外部网络返回的信息通过隔离传输通道切换回内网；

5、根据权利要求2所述的基于代理映射的网络安全隔离与信息交换系统，其特征是，所述的传输接口，是代理引擎和代理存根与内部映射协议之间通信的接口，主要进行以下处理：

接收来自代理存根或代理引擎的需要交换的信息，将其编码、封装成内部映射协议报文后通过切换控制程序写入到隔离存储器中；

从切换控制程序中读入内外网处理单元交换的数据，根据内部映射协议解析报文后，将报文信息分发到代理存根或代理引擎。

6、根据权利要求2所述的基于代理映射的网络安全隔离与信息交换系统，其特征是，所述的切换控制软件，实现对隔离交换单元硬件的识别和控制，保证在传输协议层读写数据时是物理设备真实连接的，并且保证读写的可靠性，它在系统中为隔离交换单元的硬件驱动程序，并提供与内部映射协议进程的通信接口。

7、一种基于代理映射的网络安全隔离与信息交换方法，其特征在于，由安全隔离与信息交换系统作为一个网络代理服务器向内网用户提供网络代理服务，通过分别位于安全隔离与信息交换系统内、外网处理单元的代理存根和代理引擎调用内部定义的传输接口并通过隔离交换单元来完成内、外网处理单元间的数据交换，从而以代理映射的方式建立一条内网客户端与外网服务器之间的信息交换通路。

8、根据权利要求7所述的基于代理映射的网络安全隔离与信息交换方法，其特征是，以下对本发明方法进一步限定，内网用户通过安全隔离与信息交换系统完成网络信息交换的方法，其步骤如下：

(1)内网处理单元通过代理存根向内网用户提供网络代理服务，采用TCP/IP与内网用户通信，它在网络连接端为每一种提供的网络业务开放一个公共TCP端口，在此端口上侦听内网用户的网络请求；

(2)在接收到一个内网用户发出的网络应用请求后，代理存根根据应用协议的对用户连接进行相应的身份认证，并对协议数据进行安全检查和过滤，如未通过检查则通知内网用户并断开连接；

(3)代理存根接受的应用请求在内部为其保留连接信息，连接请求根据内部映射协议被封装后，代理存根调用传输接口，将数据写入隔离交换单元；

(4)代理引擎一直在通过调用传输接口检测隔离交换单元中的是否有代理存根写入的数据，如果有新数据，则读取代理存根传来的数据，否则处理进程被阻塞；

(5)代理引擎收到内网处理单元传来的信息后根据内部映射协议进行解析，如果是新的网络应用请求则保留连接信息，并返回代理存根确认信息建立起一条通过隔离交换单元的数据传输通道；

(6)代理引擎根据收到的网络应用请求提供完整的代理服务，即从外网处理单元的网络端向外部服务器用TCP/IP协议发出连接请求并获得数据，该过程根据网络应用按照标准的因特网通信协议进行；

(7)代理引擎收到的数据经安全检查后，调用传输接口将数据按内部映射协议封装后写入隔离交换单元；

(8)代理存根在隔离交换单元一侧，如步骤(4)中代理引擎操作，接收来自外网处理单元传输的数据；

(9)代理存根接收到的外网处理单元传输的数据用映射协议解析，如果是步骤(5)中代理引擎返回的数据传输通道确认信息，则建立数据传输通道并保留其信息；

(10)代理存根收到的是应用数据则用步骤(9)中保留的数据传输通道信息检索步骤(3)中保留的内网用户连接信息，根据该信息将数据用TCP/IP协议发送给内网用户；

(11)代理存根完成用户请求或代理引擎完成数据传输后都能调用传输接口写入数据传输通道释放请求，删除并释放步骤(3)、(5)和(9)中保留的网络应用请求的连接信息和数据传输通道信息及其资源；

(12)代理存根或代理引擎收到对方发出的数据传输通道释放请求，删除并释放步骤(3)、(5)和(9)中保留的网络应用请求的连接信息和数据传输通道信息及其资源，结束一次网络应用数据传输。

Images