DE102005032284A1

DE102005032284A1 - System und Verfahren zum Verbinden lokaler Dateisysteme zweier Rechner

Info

Publication number: DE102005032284A1
Application number: DE102005032284A
Authority: DE
Inventors: Saman Behnam
Original assignee: Tuev Automotive Tuev Sued GmbH; Tuev Automotive Tuev Sued Gruppe GmbH
Current assignee: Tuev Automotive Tuev Sued GmbH; Tuev Automotive Tuev Sued Gruppe GmbH
Priority date: 2005-07-11
Filing date: 2005-07-11
Publication date: 2007-01-25

Abstract

Ein System und ein Verfahren verbinden einen ersten Rechner durch ein Vermittlersystem mit einem zweiten Rechner, wobei ein lokales Dateisystem des ersten Rechnes auf das Vermittlersystem durch einen symbolischen Link gemountet wird, über den der zweite Rechner auf das lokale Dateisystem zugreifen kann, ohne dass zwischen dem ersten und dem zweiten Rechner ein Routing erfolgt.

Description

Die Erfindung betrifft ein System und ein Verfahren zum Verbinden von Rechnern, insbesondere zum Verbinden lokaler Dateisysteme zweier Rechner, die in getrennten nicht gerouteten Netzen liegen.
Empfindliche Computernetzwerke, beispielsweise ein Prüf- und Messnetz mit Prüfarbeitsplatzrechnern, dürfen oft aus Sicherheitsgründen nicht mit dem normalen Unternehmenshausnetz, in dem eine Mehrzahl von Büroarbeitsplatzrechnern miteinander vernetzt sind, verbunden werden. Die Erreichbarkeit der Daten auf einem Prüfarbeitsplatzrechner für die Büroarbeitsplatzrechner über das Netzwerk bringt jedoch eine Steigerung der Produktivität.
Bekannte Systeme zum Verbinden eines Büroarbeitsplatzrechners mit beispielsweise einem Prüfarbeitsplatzrechner in einem empfindlichen Netzwerk verwenden im Allgemeinen eine Autorisierung bevor die Verbindung hergestellt werden kann.

Die DE 103 31 307 verwendet beispielsweise ein Sicherheitsmodul, das zwischen einem Büroarbeitsplatznetzwerk und einem Produktionsnetzwerk liegt und erst nach einer Autorisierung einen Zugriff auf das Produktionsnetzwerk erlaubt. Für den Zugriff erfolgt dabei ein sogenanntes Routing, so dass ein Büroarbeitsplatzrechner auf einen Rechner im Produktionsnetzwerk zugreifen kann.

Das Verwenden von Routing hat jedoch den Nachteil, dass Netzwerkviren über den Büroarbeitsplatzrechner in das Produktionsnetzwerk eingebracht werden können, da diese durch den Autorisierungsvorgang mit autorisiert werden.

Die DE 103 32 470 löst dieses Problem dadurch, dass ein sogenannter Fileserver verwendet wird, auf dem sämtliche Daten eines empfindlichen Unternehmensnetzwerks physikalisch abgelegt werden, und von einem externen Netz aus auf die Daten dieses Fileserver zugegriffen wird. Die DE 103 32 470 offenbart die Merkmale des Oberbegriffs des Patentanspruchs 1.

Nachteil dieser Lösung ist es, dass der Fileserver eine große Speicherkapazität aufweisen muss, um sämtliche Daten des empfindlichen Unternehmensnetzwerks speichern zu können, was wiederum die Kosten erhöht.

Aufgabe der Erfindung ist die Schaffung eines kostengünstigen und einfachen Systems und Verfahrens mit einer Möglichkeit von einem externen Netzwerk aus auf einen Rechner in einem empfindlichen Netzwerk zuzugreifen, ohne dass die Gefahr besteht, dass Netzwerkviren in das empfindliche Netzwerk eingebracht werden.

Die Lösung dieser Aufgabe ist den unabhängigen Ansprüchen zu entnehmen. Vorteilhafte Weiterentwicklungen der Erfindung sind in den Unteransprüchen angegeben.

Gemäß der Erfindung werden zwei Rechner in getrennten, nicht gerouteten Netzwerken ohne ein Routing zu betreiben hinsichtlich ihrer Dateisysteme miteinander verbunden. Dabei wird zwischen den zwei getrennten Netzwerken ein Vermittlersystem verwendet, das ein „Protokoll Shutteling" bereitstellt, wobei ein symbolischer Link auf ein lokales Detailsystem des Rechners in dem empfindlichen Netzwerk in das Vermittlersystem gemountet wird, über den der Rechner in dem anderen Netz auf das lokale Dateisystem zugreifen kann.

Klassische Anwendungsfälle der Erfindung finden sich beispielsweise in der Automotive-Industrie, wo Prüf- und Messnetze von Büro- und Arbeitsplatznetzen getrennt sind, wobei Büro- und Arbeitsplatznetzrechner auf das Prüf- und Messnetz zugreifen müssen. Andere Anwendungsgebiete finden sich in der Medizintechnik, chemischen Industrie, im produzierenden Gewerbe etc.

Im Folgenden wird unter Bezugnahme auf die beigefügten Zeichnungen ein Ausführungsbeispiel der Erfindung beschrieben. Es zeigen:
1 ein Blockdiagramm eines Systems gemäß einem bevorzugten Ausführungsbeispiel der Erfindung; und
2 ein Flussdiagramm eines Verfahrens gemäß einem bevorzugten Ausführungsbeispiel der Erfindung.
1 zeigt ein schematisches Blockdiagramm eines Systems 1, um einen ersten Rechner 2 mit einem zweiten Rechner 3 zu verbinden. Der erste Rechner 2 befindet sich dabei beispielsweise in einem empfindlichen Netzwerk 4, und der zweite Rechner 3 befindet sich beispielsweise in einem externen Netzwerk 5, das beispielsweise das Internet ist.
Wie in 1 gezeigt befindet sich zwischen dem ersten Rechner 2 und dem zweiten Rechner 3 ein Vermittlersystem 6, das beispielsweise ein handelsüblicher PC ist.
Das Vermittlersystem 6 enthält gemäß dem bevorzugten Ausführungsbeispiel zwei voneinander getrennte Ethernet-Anschlüsse 7a, b, denen unterschiedliche IP-Adressen zugeordnet sind. Andere geeignete Schnittstellen zur Verbindung des Vermittlersystems 6 mit dem empfindlichen Netzwerk 4 bzw. mit dem externen Netzwerk 5 können verwendet werden, soweit sichergestellt ist, dass die beiden separaten Anschlüsse 7a und 7b nicht miteinander verbunden (geroutet) sind. Gemäß dem bevorzugten Ausführungsbeispiel werden also zwischen den Ethernet-Anschlüssen 7a und 7b keine Routen gesetzt.
Der erste Rechner 2 in dem empfindlichen Netzwerk 4 enthält eine Serveranwendung, die gemäß dem bevorzugten Ausführungsbeispiel ein NFS-Server 8 ist. Der NFS-Server ermöglich es einem System, Dateien und Verzeichnisse über ein Netzwerk mit anderen zu teilen. Über NFS können Benutzer und Programme auf Daten entfernter Systeme zugreifen, und zwar genau so, wie wenn es sich um lokale Daten handeln würde. An Stelle des NFS-Servers kann eine andere geeignete Anwendung verwendet werden, die die gleiche Funktionalität bereitstellt.
Wie in 1 gezeigt, wird gemäß dem bevorzugten Ausführungsbeispiel mittels des NFS-Servers 8 die lokale Festplatte 9 des ersten Rechners 2 freigegeben. Somit können Benutzer und Programme auf die Daten der lokalen Festplatte 9 bzw. auf ihr lokales Dateisystem zugreifen.
Speziell wird auf das lokale Dateisystem der Festplatte 9 über einen NFS-Client 10, der auf dem Vermittlersystem 6 läuft, zugegriffen. An Stelle des NFS-Clients 10 kann das Vermittlersystem 6 auch eine entsprechend andere Clientanwendung enthalten, so fern diese in der Lage ist die von der Serveranwendung 8 des ersten Rechners freigegebenen Ressourcen zu verwenden.
Wie in 1 gezeigt, enthält das Vermittlersystem 6 ferner einen Samba-Server 11, in den der Inhalt der freigegebenen Festplatte 9 in einen Ordner Y gemountet wird. Der Ordner Y stellt dabei einen symbolischen Link auf den Inhalt der Festplatte 9 dar. Die Daten der Festplatte 9 befinden sich somit physikalisch nicht auf dem Vermittlersystem 6.
Der Samba-Server 11 simuliert einen Windows^®-Server und erlaubt somit Windows^®-Systemen über den symbolischen Link auf den Ordner Y auf das lokale Dateisystem der Festplatte 9 zuzugreifen.
An Stelle des Samba-Servers 11 kann ein anderer geeigneter Server verwendet werden, um über einen symbolischen Link auf die Festplatte 9 einem externen Rechner im externen Netzwerk 5 zu erlauben auf das von dem NFS-Server 8 freigegebene lokale Dateisystem der Festplatte 9 zuzugreifen.
Wie in 1 gezeigt, erfolgt gemäß dem bevorzugten Ausführungsbeispiel der Zugriff über eine geeignete Clientanwendung 12, die auf dem zweiten Rechner 3 läuft. Da gemäß dem bevorzugten Ausführungsbeispiel das Vermittlersystem 6 einen Samba-Server 11 verwendet, kann es sich bei dem zweiten Rechner 2 um einen Windows^®-System handeln.
Der Samba-Server 11 nimmt eine Anfrage des Clients 12 des zweiten Rechners 3 entgegen und vermittelt die Anfrage an den NFS-Client 10, der lokal auf dem Vermittlersystem 6 gemäß dem bevorzugten Ausführungsbeispiel läuft. Der NFS-Client 10 vermittelt die Anfrage weiter an den NFS-Server 8, der auf dem ersten Rechner 2 läuft. Dieses Prinzip ist bidirektional anwendbar.
Im Folgenden wird unter Bezugnahme auf 2 ein Verfahren gemäß einem bevorzugten Ausführungsbeispiel der Erfindung beschrieben, dass beispielsweise von dem in 1 gezeigten System verwendet wird.
In Schritt S1 erfolgt die Freigabe der lokalen Festplatte 9 des ersten Rechners 2 durch den NFS-Server 8.
In Schritt S2 wird das von dem NFS-Server 8 freigegebene Dateisystem der Festplatte 9 von dem NFS-Client 10, der auf dem Vermittlersystem 6 läuft, verwendet.
In Schritt S3 werden die NFS-Freigaben (gemäß dem bevorzugten Ausführungsbeispiel das lokale Dateisystem der Festplatte 9) in den Samba-Server 11 in Form eines symbolischen Links hineingemountet (eingehängt), wodurch eine Protokollübergabe (Protokoll Shutteling) erfolgt.
In Schritt S4 erfolgt der Zugriff des Clients 12 des zweiten Rechners 3 auf die in den Samba-Server 11 hineingemountete NFS-Freigabe (gemäß diesem Ausführungsbeispiel das lokale Dateisystem der Festplatte 9 des ersten Rechners 2).
Obwohl die Erfindung im Vorangegangenen unter Bezugnahme auf ein bevorzugtes Ausführungsbeispiel beschrieben wurde, ist es selbstverständlich, dass Modifikationen und Änderungen vorgenommen werden können, ohne den Schutzbereich der Erfindung zu verlassen, sofern sichergestellt ist, dass das Vermittlersystem eine Verbindung zwischen einem empfindlichen Netz und einem externen Netz bereitstellt, indem ein sogenanntes Protokoll Shutteling verwendet wird, ohne Routen der beiden Netze. Andere geeignete Client- und Serveranwendungen können entsprechend den auf den jeweiligen Rechnern in den Netzwerken installierten Betriebssystemen verwendet werden, um die gleichen oben genannten Funktionen und Aufgaben zu erfüllen.

1: System
2: erster Rechner
3: zweiter Rechner
4: empfindliches Netzwerk
5: externes Netzwerk
6: Vermittlungssystem
7a, b: Ethernet-Anschlüsse
8: NFS-Server
9: Festplatte
10: NFS-Client
11: Samba-Server
12: Client

Claims

System zum Verbinden von Rechnern (2; 3), bei dem ein erster Rechner (2) durch ein Vermittlersystem (6) mit einem zweiten Rechner (3) verbunden ist, dadurch gekennzeichnet, dass ein lokales Dateisystem (9) des ersten Rechners (2) auf das Vermittlersystem (6) mittels eines symbolischen Links (Y) gemountet wird, über den der zweite Rechner (3) auf das lokale Dateisystem (9) zugreifen kann, ohne dass zwischen dem ersten und dem zweiten Rechner (2; 3) ein Routing erfolgt.
System nach Anspruch 1, wobei auf dem ersten Rechner (2) eine Serveranwendung (8) installiert ist, die einen vordefinierten Teil des lokalen Dateisystems des ersten Rechners (2) freigibt zur Verwendung durch eine auf dem Vermittlersystem (6) installierte Clientanwendung (10).
System nach Anspruch 2, wobei die Serveranwendung (8) ein NFS-Server und die Clientanwendung (10) ein NFS-Client sind.
System nach Anspruch 2 oder 3, wobei auf dem Vermittlersystem (6) ferner eine Serveranwendung (11) installiert ist, die mit der Clientanwendung des Vermittlersystems (6) derart kommuniziert, dass das von der Clientanwendung (10) verwendbare freigegebene lokale Dateisystem des ersten Rechners (2) als der symbolische Link in die Serveranwendung (11) gemountet und dadurch dem zweiten Rechner (3) bereitgestellt wird.
System nach Anspruch 4, wobei die Serveranwendung (11) des Vermittlersystems (6) ein Samba-Server ist.
System nach Anspruch 4 oder 5, wobei eine auf dem zweiten Rechner (3) installierte Clientanwendung (12) den von der Serveranwendung (11) des Vermittlersystems (6) bereitgestellten symbolischen Link (Y) verwendet, um auf das freigegebene lokale Dateisystem (9) des ersten Rechners (2) zuzugreifen.
System nach einem der Ansprüche 1 bis 6, wobei das Vermittlersystem (6) über getrennte Schnittstellen (7a, 7b) mit dem ersten und dem zweiten Rechner (2; 3) jeweils verbunden ist.
System nach einem der Ansprüche 1 bis 7, wobei der erste und der zweite Rechner (2; 3) in voneinander getrennten Rechnernetzen (4; 5) angeordnet sind.
Verfahren zum Verbinden von Rechnern, mit den Schritten Freigeben (S1) eines lokalen Dateisystems auf einem ersten Rechner (2) durch eine auf dem ersten Rechner (2) laufende Serveranwendung (8); Verwenden (S2) des freigegebenen lokalen Dateisystems durch eine auf einem Vermittlersystem (6), das mit dem ersten Rechner (2) verbunden ist, laufende Clientanwendung (10); Mounten (S3) des von der Clientanwendung (10) verwendeten lokalen Dateisystems des ersten Rechners (2) in eine auf dem Vermittlersystem (6) laufende Serveranwendung (11) durch Verwendung eines symbolischen Links (Y); und Zugreifen (S5) auf das in die Serveranwendung (11) des Vermittlersystems (6) gemountete lokale Dateisystem über den symbolischen Link (Y) durch eine auf einem zweiten Rechner (3), der mit dem Vermittlersystem (6) verbunden ist, laufende Clientanwendung (12).
Verfahren nach Anspruch 9, wobei die auf dem ersten Rechner (2) laufende Serveranwendung (8) ein NFS-Server, die auf dem Vermittlersystem (6) laufende Clientanwendung (10) ein NFS-Client und die auf dem Vermittlersystem (6) laufende Serveranwendung (11) ein Samba-Server ist.