CN204089858U - 一种安全隔离应用层网关 - Google Patents

Abstract

本实用新型公开了一种安全隔离应用层网关，其由软交换前置机、正向隔离设备、反向隔离设备、软交换后置机组成。软交换前置机和软交换后置机分别可以是一台多网卡的工控机，通过网络接口软交换前置机连接外网的人机交互设备、正向隔离设备和反向隔离设备；通过网络接口软交换后置机连接内网的人机交互设备、正向隔离设备和反向隔离设备。本实用新型使内外网的数据实现互通，内网至外网的数据交换由内网经软交换后置机、正向隔离设备、软交换前置机至外网；外网至内网的数据交换由外网经软前置机、反向隔离设备、软交换后置机至内网。本实用新型有效地提高了内外网的数据交互性能。

Description

一种安全隔离应用层网关

技术领域

本实用新型涉及一种安全隔离应用层网关，具体涉及一种基于网络隔离装置的文件传输网关。它特别适用于保密级别高的网络，在保证内网安全的同时，实现文件在内外网的高效传输。 

背景技术

在网络安全方面，目前采用的是第五代隔离技术来保证网络的安全，其主要产品即网络安全隔离装置。大多数主流产商对于网络安全隔离装置的核心原理采用的是协议剥离和身份验证的方法，国内以山东思瑞，北京数码星辰等为代表的主要公司，目前大量采用的都是这一技术的产品。这一技术能够保证内网安全的关键点是通过开关切换及数据缓冲设施来进行数据交换。开关的切换使得在任何时刻两个网络没有直接连通，而数据流经网络安全隔离装置时TCP/IP协议被终止，防止了利用协议进行攻击，在某一时刻网络安全隔离装置只能连接到一个网络。网络安全隔离装置作为代理从内网的网络数据包中抽取出数据然后通过数据缓冲设施转到外网，完成数据中转。在中转过程中，网络安全隔离装置会对抽取的数据报文的IP地址、MAC地址、端口号、连接方向实施综合过滤控制，只有满足要求的报文才可以通过网络安全隔离装置。由于网络安全隔离装置采用了独特的开关切换机制，因此，在进行检查时网络实际上处于断开状态，即使遭到攻击，由于攻击发生时内外网始终处于物理断开状态，内网仍是安全的。  

网络安全隔离装置在实现物理隔断的同时允许可信网络和不可信网络之间的数据和信息的安全交换。在安全岛硬件上将外网到内网传递的应用数据大小限定为用于TCP握手的几个字节外，保证从外网到内网的TCP应答禁止携带应用数据，因此，内网不会受到网络层的攻击，这就在物理隔离的同时实现了数据的安全交换，并提高了防止病毒和黑客非法访问的能力。 

正是由于以上的安全机制，安全隔离装置不能部署应用层协议（如FTP，HTTP，SNMP等），同时目前广泛使用的单向隔离装置，不具备数据双向通信的功能，不能满足需要实现高效可靠双向通信的业务。因此，亟需解决利用单向安全隔离装置时限数据的高效可靠双向通信。 

实用新型内容

本实用新型的目的在于通过采用两个网络安全隔离设备作为核心硬件，用于正反向数据传输，从而在保证内网安全的同时又大幅度提升数据交换的性能，并使整个系统可靠稳定工作。 

实现本实用新型目标的技术解决方案为： 

一种安全隔离应用层网关，由软交换前置机、正向隔离设备、反向隔离设备和软交换后置机组成。 

软交换前置机和软交换后置机分别可以是一台多网卡的工控机，通过网络接口软交换前置机连接外网的人机交互设备、正向隔离设备和反向隔离设备；通过网络接口软交换后置机连接内网的人机交互设备、正向隔离设备和反向隔离设备。 

正向隔离设备用于维护内网到外网的数据流，即内网的人机交互设备经软交换后置机、正向隔离设备、软交换前置机到外网的人机交互设备的数据流；反向隔离设备用于维护外网到内网的数据流，即外网的人机交互设备经软交换前置机、反向隔离设备、软交换后置机到内网的人机交互设备的数据流，保证数据的双向传输。 

正向隔离设备和反向隔离设备中的控制台单元进行配置，使符合规则的数据流通过，即实现有具有可控性地双向数据传输。 

正向隔离设备和反向隔离设备进行配置的规则包括IP地址、网络端口、特征码验证、MAC地址绑定。 

本实用新型具有以下显著特点： 

1）通过软交换前置机和软交换后置机分时序定义专有协议的工作模式，显著提高了文件数据在内外网传输的可控性，高效性，传输速率仅限于网络安全隔离的网络带宽，使整个系统的网络丢包率显著下降。

2）使内外网的文件数据能够互通，不局限于单向传输，内网的工作效率也相应提高。

附图说明

图1：为现有技术的网络安全隔离装置原理图。 

图2：为本实用新型的总体框图。 

具体实施方式

下面结合附图对本实用新型进行进一步描述： 

图1为现有技术的网络安全隔离装置原理图，由控制台、内部单元、外部单元及数据交换单元4部分组成。其中：内部单元由端口转换、TCP代理和UDP代理构成，负责与内网交互；外部单元由TCP代理和UDP代理构成，负责与外网交互；数据交换单元是不基于网络传输的中介单元，负责内部单元和外部单元的数据交换；控制台控制内部单元和外部单元的配置信息，决定网络隔离装置的安全策略，保证了网络安全隔离装置连接着内网和外网，同时也保证着任意时刻它与内网和外网的其中一个相连接。 

图2是本实用新型的总体框图，其由外网的人机交互设备、软交换前置机、正向隔离设备、反向隔离设备、软交换后置机和内网的人机交互设备组成。正向隔离设备用于维护内网到外网的数据流，即内网的人机交互设备经软交换后置机、正向隔离设备、软交换前置机到外网的人机交互设备的数据流；反向隔离设备用于维护外网到内网的数据流，即外网的人机交互设备经软交换前置机、反向隔离设备、软交换后置机到内网的人机交互设备的数据流，保证数据的双向传输；正、反向隔离设备中的控制台单元进行配置，使符合规则的数据流通过，配置的规则包括IP地址、网络端口、特征码验证、MAC地址绑定。 

软交换前置机和软交换后置机分别可以是一台多网卡的工控机，通过网络接口软交换前置机连接外网的人机交互设备、正向隔离设备和反向隔离设备；通过网络接口软交换后置机连接内网的人机交互设备、正向隔离设备和反向隔离设备。 

本实用新型的工作过程如下： 

整个网关系统搭建完成之后，首先由正向隔离设备和反向隔离设备中的控制台单元配置网络安全隔离设备，设置允许通过隔离设备的单个IP地址或者多个IP网段；允许通过外网的人机交互设备向内网的人机交互设备请求连接，发送CON报文，内网的人机交互设备分析报文同意连接，并通知外网的人机交互设备可以进行下一步操作；外网的人机交互设备分析回馈报文，并发送GET或者PUT或者其他命令的报文；同理内网的人机交互设备完成外网的人机交互设备的请求，并发送或接收文件数据报文，完成文件数据在内外网的传输。 

本实用新型能够解决单向网络安全隔离装置不能部署应用层协议，数据互通性能差的缺点，提高被隔离装置隔离的内外网数据交换效率。 

Claims (1)

1.一种安全隔离应用层网关，其特征在于由软交换前置机、正向隔离设备、反向隔离设备和软交换后置机组成；

软交换前置机和软交换后置机分别可以是一台多网卡的工控机，通过网络接口软交换前置机连接外网的人机交互设备、正向隔离设备和反向隔离设备；通过网络接口软交换后置机连接内网的人机交互设备、正向隔离设备和反向隔离设备。