CN205017358U - 一种单向隔离光闸 - Google Patents

Abstract

本实用新型公开一种单向隔离光闸，该单向隔离光闸包括：具有第一光纤网卡的内网单元；具有第二光纤网卡的外网单元；以及分光器，分光器包括上行光接口、第一下行光接口、第二下行光接口、第三下行光接口，上行光接口与第一光纤网卡的光发射端口相连，第一下行光接口与第一光纤网卡的光接收端口相连，第二下行光接口与第二光纤网卡的光接收端口相连，第三下行光接口与备份服务器的光纤网卡的光接收端口相连。本实用新型的单向隔离光闸通过光传输的单向技术实现外网单元向内网单元的数据单向传输，确保了数据传输的单向性，及消除了基于电气技术的单向隔离网闸内部电气及软件被控制、篡改的风险，同时还实现了数据备份，避免了数据传输丢失。

Description

一种单向隔离光闸

技术领域

本实用新型涉及网络信息安全领域，尤其涉及一种单向隔离光闸。

背景技术

随着电子政务的迅速发展，包括政府、军队、金融机构、大型企业等业务发展变化，这些行业内部的高安全级别网络，甚至政府等一些涉密网络都有和外部网络，如互联网进行数据交换的需求。在高安全级别网络与低安全级别网络进行数据交换时，为保证高安全级别网络中的数据流向低安全级别网络安全可控，彻底解决高安全级别网络信息泄露的问题以及传输数据丢失的问题，一般采用单向隔离网闸隔离高安全级别网络与低安全级别网络，以实现数据的单向传输。

目前，单向隔离网闸一般采用电气技术实现数据的单向传输。基于电气技术的单向隔离网闸，是在安全隔离网闸内部专用隔离硬件双向传输的基础上通过修改电路，通过时钟开关控制，以实现数据的单向写入和单向读出。这种类型的单向隔离网闸传输数据时，数据接收方和数据传输方处在同一电压下，两者之间以微小的电压正负变化实现数据的单向传输。可以看出，在任何电气传输介质上是很难通过电压的变化来区别数据传输方向，因此基于电气技术的单向隔离网闸，其数据传输的单向性无法得到保障，难以证明其数据单向传输的有效性。其次，基于电气技术的单向隔离网闸，是利用程序代码控制数据的单向读出、单向写入，一旦程序代码被修改，将导致单向隔离的失效，从而产生严重的后果。

实用新型内容

鉴于此，本实用新型提供了一种单向隔离光闸，用以保证内网向外网数据传输的单向性、消除由于程序控制数据的单向传输而造成的安全隐患和数据丢失隐患。

根据本实用新型的一个方面，提供了一种单向隔离光闸，包括：具有第一光纤网卡的内网单元；具有第二光纤网卡的外网单元；以及分光器，分光器包括上行光接口、第一下行光接口、第二下行光接口、第三下行光接口，上行光接口与第一光纤网卡的光发射端口相连，第一下行光接口与第一光纤网卡的光接收端口相连，第二下行光接口与第二光纤网卡的光接收端口相连，第三下行光接口与备份服务器的光纤网卡的光接收端口相连。

可选地，在根据本发明的单向隔离光闸中，内网单元适于接收内网数据，对该内网数据进行安全策略处理；还适于封装处理后的数据，将封装后的数据通过分光器发送至外网单元。

可选地，在根据本发明的单向隔离光闸中，安全策略处理至少包括身份认证、格式检查、病毒查杀以及黑白名单过滤中的一种。

可选地，在根据本发明的单向隔离光闸中，分光器的分光设备为物理多棱镜。

可选地，在根据本发明的单向隔离光闸中，光纤网卡为多模光纤网卡。

可选地，在根据本发明的单向隔离光闸中，内网单元还包括进行CRC检验的第一CRC校验器；外网单元还包括进行CRC校验的第二CRC检验器。

可选地，在根据本发明的单向隔离光闸中，上行光接口与第一光纤网卡的光发射端口、第一下行光接口与第一光纤网卡的光接收端口、以及第二下行光接口与第二光纤网卡的光接收端口，均通过光纤线缆相连。

可选地，在根据本发明的单向隔离光闸中，分光器的第三下行光接口与备份服务器的光纤网卡的光接收端口通过光纤线缆相连。

根据本实用新型的单向隔离光闸，内网单元和外网单元上分别安装有光纤网卡，内网单元的光纤网卡的光发射端口通过分光器与外网单元的光纤网卡的光接收端口相连。当内网单元向外网单元传输数据时，内网单元的光纤网卡将需要传输的数据，转换成光信号，通过光纤线缆将数据传送给外网单元。由于光传输单向技术中，连接光纤的两端分别为光发生器、光接收器，出现连接光纤的两端都具有光发生器以及光接收器的情况是不允许也不可能的。因此，与基于电气技术的单向隔离网闸相比，本实用新型公开的单向隔离光闸的数据传输单向性更加稳定可靠，并且本发明以物理方式实现数据的单向传输，光纤传输通道内无任何电气及软件程序的控制，消除了电气及软件被控制、篡改的风险。进一步地，引入分光器一分三向外网单元、备份单元、以及向内网单元回传数据进行校验的机制，提高数据单向传输可靠性的同时，也避免了数据传输丢失的问题。

附图说明

为了实现上述以及相关目的，本文结合下面的描述和附图来描述某些说明性方面，这些方面指示了可以实践本文所公开的原理的各种方式，并且所有方面及其等效方面旨在落入所要求保护的主题的范围内。通过结合附图阅读下面的详细描述，本公开的上述以及其它目的、特征和优势将变得更加明显。遍及本公开，相同的附图标记通常指代相同的部件或元素。

图1示出了根据本实用新型一种单向隔离光闸的实施例的结构示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

图1为本实用新型一种单向隔离光闸的实施例的结构示意图。如图1所示，单向隔离光闸包括连接内网的内网单元1，连接外网的外网单元2，安装在内网单元1上的光纤网卡3a，安装在外网单元2上的光纤网卡3b，部署在内网单元1与外网单元2间的分光器4。光纤网卡3a包括光发射端口3a1和光接收端口3a2，光纤网卡3b包括光发射端口3b1与光接收端口3b2。分光器4包括上行光接口4a1以及第一下行光接口4b1、第二下行光接口4b2和第三下行光接口4b3，上行光接口4a与光纤网卡3a的光发射端口3a1通过光纤线缆相连，第一下行光接口4b1与光纤网卡3a的光接收端口3a2通过光纤线缆相连，第二下行光接口4b2与光纤网卡3b的光接收端口3b2通过光纤线缆相连，第三下行光接口4b3与备份服务器的光纤网卡的光接收端口通过光纤线缆相连。

内网单元1向外网单元2单向传输数据主要依赖由光纤网卡3a、光纤网卡3b，连接光纤网卡3a、光纤网卡3b的分光器4，以及连接光纤网卡3a、分光器4与光纤网卡3b的光纤线缆组成的光纤通道。内网单元1接收内网数据后，缓存该内网数据，对该内网数据进行预处理、安全策略处理，其中安全策略处理至少包括身份认证、格式检查、病毒查杀以及黑白名单过滤中的一种。而后内网单元1封装上述处理后的数据，将封装后的数据发送给光纤网卡3a，光纤网卡3a将接收的数据转换为光信号，将该光信号通过光发射端口3a1，经连接光发射端口3a1与分光器4的上行光接口4a1的光纤线缆，传入分光器4。分光器4复制接收的光信号，并通过与分光器4的第一下行光接口4b1及光纤网卡3b的光接收端口3b2相连的光纤线缆，将分光器4接收的光信号传送给光纤网卡3b；分光器4通过与分光器4的第二下行光接口4b2及光纤网卡3a的光接收端口3a2相连的光纤线缆，将分光器4复制的光信号传送给光纤网卡3a。若光纤网卡3a接收到分光器4回传的光信号，说明内网单元1已将内网数据传输至外网单元2；光纤网卡3a将接收的分光器4回传的光信号，转换为封装数据，并通过内网单元1验证该数据的准确性，若发现数据错误，则通过内网单元1缓存的内网数据发起数据重传；光纤网卡3b接收分光器4传送的光信号后，将该光信号还原成光纤网卡3a所接收的封装数据，通过外网单元2将该封装数据进行还原处理后，传送给外网。

这样，利用光传输的单向技术，完成内网单元1向外网单元2的数据单向传输。由于光传输单向技术中，连接光纤的两端分别为光发生器、光接收器，出现连接光纤的两端都具有光发生器以及光接收器的情况是不允许也不可能的。因此，与基于电气技术的单向隔离网闸相比，本实施例的单向隔离光闸的数据传输单向性更加稳定可靠。其次，本实施例中的单向隔离光闸是以物理方式实现数据的单向传输，光纤传输通道内无任何电气及软件程序的控制，消除了电气及软件被控制、篡改的风险。另外，本实用新型的单向隔离光闸还引入分光器4向内网单元1回传数据的校验机制，提高了数据单向传输的可靠性。

进一步，内网中可以部署有安装有光纤网卡的备份服务器，第三下行光接口4b3与备份服务器的光纤网卡的光接收端口通过光纤线缆相连，分光器4通过与分光器4的第三下行光接口4b3及备份服务器中光纤网卡的光接收端口相连的光纤线缆，将分光器4复制的光信号传送给备份服务器中光纤网卡，该光纤网卡将分光器4传送的光信号还原成光纤网卡3a所接收的封装数据，备份服务器对该封装数据进行还原处理后存储，以防传输数据丢失。

进一步，分光器的分光设备为物理多棱镜。分光器的第一下行光接口4b1、第三下行光接口4b3、以及第二下行光接口4b2之间的分光比为1：3：6。

进一步，光纤网卡3a和光纤网卡3b的类型为多模光纤网卡。

进一步，内网单元1还包括用于CRC检验的第一CRC检验器，外网单元2还包括用于CRC校验的第二CRC校验器，内网单元1通过第一CRC校验器对要传输的数据加载CRC校验，并通过与外网单元2相连的光纤通道，将校验码传送给外网单元2的第二CRC校验器，外网单元2将接收的数据进行还原处理后，通过第二CRC检验器进行CRC校验对比，验证数据传输的正确性。当CRC校验检测出错误数据时，对检测出的错误数据可以给出明确的提示告警，从而手动排除数据传输中出现的错误。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本实用新型的实施例可以在没有这些具体细节的情况下被实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个实用新型方面中的一个或多个，在上面对本实用新型的示例性实施例的描述中，本实用新型的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本实用新型要求比在每个权利要求中所明确记载的特征更多特征。更确切地说，如下面的权利要求书所反映的那样，实用新型方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本实用新型的单独实施例。

本领域那些技术人员应当理解在本文所公开的示例中的设备的模块或单元或组件可以布置在如该实施例中所描述的设备中，或者可替换地可以定位在与该示例中的设备不同的一个或多个设备中。前述示例中的模块可以组合为一个模块或者此外可以分成多个子模块。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本实用新型的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

此外，所述实施例中的一些在此被描述成可以由计算机系统的处理器或者由执行所述功能的其它装置实施的方法或方法元素的组合。因此，具有用于实施所述方法或方法元素的必要指令的处理器形成用于实施该方法或方法元素的装置。此外，装置实施例的在此所述的元素是如下装置的例子：该装置用于实施由为了实施该实用新型的目的的元素所执行的功能。

如在此所使用的那样，除非另行规定，使用序数词“第一”、“第二”、“第三”等等来描述普通对象仅仅表示涉及类似对象的不同实例，并且并不意图暗示这样被描述的对象必须具有时间上、空间上、排序方面或者以任意其它方式的给定顺序。

尽管根据有限数量的实施例描述了本实用新型，但是受益于上面的描述，本技术领域内的技术人员明白，在由此描述的本实用新型的范围内，可以设想其它实施例。此外，应当注意，本说明书中使用的语言主要是为了可读性和教导的目的而选择的，而不是为了解释或者限定本实用新型的主题而选择的。因此，在不偏离所附权利要求书的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。对于本实用新型的范围，对本实用新型所做的公开是说明性的，而非限制性的，本实用新型的范围由所附权利要求书限定。

Claims (6)

1.一种单向隔离光闸，其特征在于，包括：

具有第一光纤网卡的内网单元；

具有第二光纤网卡的外网单元；以及

分光器，所述分光器包括上行光接口、第一下行光接口、第二下行光接口、第三下行光接口，所述上行光接口与所述第一光纤网卡的光发射端口相连，所述第一下行光接口与所述第一光纤网卡的光接收端口相连，所述第二下行光接口与所述第二光纤网卡的光接收端口相连，所述第三下行光接口与备份服务器的光纤网卡的光接收端口相连。

2.如权利要求1所述的单向隔离光闸，其特征在于，所述分光器的分光设备为物理多棱镜。

3.如权利要求1所述的单向隔离光闸，其特征在于，所述光纤网卡为多模光纤网卡。

4.如权利要求1所述的单向隔离光闸，其特征在于，所述内网单元还包括进行CRC检验的第一CRC校验器；所述外网单元还包括进行CRC校验的第二CRC检验器。

5.如权利要求1-4中任一项所述的单向隔离光闸，其特征在于，所述上行光接口与所述第一光纤网卡的光发射端口、所述第一下行光接口与所述第一光纤网卡的光接收端口、以及所述第二下行光接口与所述第二光纤网卡的光接收端口，均通过光纤线缆相连。

6.如权利要求1所述的单向隔离光闸，其特征在于，所述分光器的第三下行光接口与所述备份服务器的光纤网卡的光接收端口通过光纤线缆相连。