專利名稱：一種隔離網(wǎng)閘的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及用于實現(xiàn)網(wǎng)絡(luò)隔離的隔離網(wǎng)閘。
背景技術(shù)：
用于實現(xiàn)網(wǎng)絡(luò)隔離的現(xiàn)有隔離網(wǎng)閘如圖1，外網(wǎng)是安全性不高的外部網(wǎng)絡(luò)，內(nèi)網(wǎng)是安全性很高的內(nèi)部專用網(wǎng)絡(luò)。正常情況下，外網(wǎng)和內(nèi)網(wǎng)是完全斷開的。隔離網(wǎng)閘設(shè)在兩個網(wǎng)絡(luò)之間，包括控制臺和存儲介質(zhì)。當(dāng)內(nèi)網(wǎng)有數(shù)據(jù)需傳輸?shù)酵饩W(wǎng)時，首先如圖2所示，控制臺和內(nèi)網(wǎng)主機之間建立連接，數(shù)據(jù)從內(nèi)網(wǎng)主機發(fā)至控制臺，控制臺剝離協(xié)議從而分離出數(shù)據(jù)后將數(shù)據(jù)寫入到存儲介質(zhì)中?？刂婆_寫入完成后，就斷開與內(nèi)網(wǎng)主機之間的連接，然后如圖 3所示和外網(wǎng)主機之間建立連接，隨后控制臺從存儲介質(zhì)讀出數(shù)據(jù)發(fā)送至外網(wǎng)主機，至此完成一次數(shù)據(jù)傳輸。一個完整的數(shù)據(jù)包必須完整收全存儲，再讀出，其過程必然造成數(shù)據(jù)傳輸?shù)臅r延，無法做到線速轉(zhuǎn)發(fā)。因此，一般隔離網(wǎng)閘的的傳輸帶寬不高，一般在百兆級。要增加帶寬，一般采用多個控制臺負(fù)荷分擔(dān)方式實現(xiàn)，其實現(xiàn)成本較高，并且負(fù)荷分擔(dān)的控制比較復(fù)雜。經(jīng)隔離網(wǎng)閘的數(shù)據(jù)傳輸通過上述擺渡切換實現(xiàn)內(nèi)網(wǎng)和外網(wǎng)之間連接的開斷，此開斷切換越快，傳輸帶寬就越高。但現(xiàn)有的隔離網(wǎng)閘不能設(shè)計成具有太快的切換速率，因為如果切換太快，網(wǎng)閘的作用就會被弱化，理論上存在讓內(nèi)網(wǎng)和外網(wǎng)之間直接建立連接的可能。 攻擊者可以利用這一程序漏洞繞過隔離網(wǎng)閘建立內(nèi)網(wǎng)和外網(wǎng)之間的直接連接?，F(xiàn)有隔離網(wǎng)閘的傳輸帶寬和安全性之間存在著上述無法消除的矛盾，這是因為經(jīng)過隔離網(wǎng)閘的數(shù)據(jù)雙向傳輸是在同一物理介質(zhì)中進行的，存在建立連接的可能。此外，數(shù)據(jù)雙向傳輸在同一物理介質(zhì)中進行使得攻擊者只需入侵一個模塊，例如入侵上述控制臺或存儲介質(zhì)的其中之一者，雙向傳輸?shù)臄?shù)據(jù)就都會被截獲。

發(fā)明內(nèi)容
本發(fā)明的目的是(1)實現(xiàn)雙向傳輸；(2)降低雙向傳輸?shù)臄?shù)據(jù)均被截獲的可能性；(3)以較低的成本提高隔離網(wǎng)閘的雙向傳輸帶寬；(4)防止內(nèi)網(wǎng)和外網(wǎng)之間繞過網(wǎng)閘直接建立連接，讓其傳輸帶寬的提高不對安全性造成影響。為此給出一種隔離網(wǎng)閘，包括用于連接網(wǎng)絡(luò)A的身份認(rèn)證模塊A和數(shù)據(jù)采集模塊 A，包括用于連接網(wǎng)絡(luò)B的身份認(rèn)證模塊B和數(shù)據(jù)采集模塊B，信息從網(wǎng)絡(luò)A發(fā)往網(wǎng)絡(luò)B的中途須從身份認(rèn)證模塊A發(fā)至數(shù)據(jù)采集模塊B，且從身份認(rèn)證模塊A至數(shù)據(jù)采集模塊B為單向不可逆的傳輸通路；信息從網(wǎng)絡(luò)B發(fā)往網(wǎng)絡(luò)A的中途須從身份認(rèn)證模塊B發(fā)至數(shù)據(jù)采集模塊A，且從身份認(rèn)證模塊B至數(shù)據(jù)采集模塊A為單向不可逆的傳輸通路。所給出的隔離網(wǎng)閘的有益效果是
(1)隔離網(wǎng)閘在兩個方向上的傳輸各用一條單向不可逆的傳輸通路實現(xiàn)了雙向傳輸；(2)攻擊者如果只入侵其中一個傳輸方向的模塊，只能截獲該傳輸方向的數(shù)據(jù)，但無法截獲反向傳輸?shù)臄?shù)據(jù)，降低了雙向傳輸?shù)臄?shù)據(jù)均被截獲的可能性；(3)省略了數(shù)據(jù)傳輸中的先存儲再讀出的繁雜過程，無需增加高成本的設(shè)備就提高了傳輸帶寬；(4)兩個方向的傳輸通路不可逆，身份認(rèn)證模塊A負(fù)責(zé)對來自網(wǎng)絡(luò)A的用戶進行身份認(rèn)證，身份認(rèn)證模塊B負(fù)責(zé)對來自網(wǎng)絡(luò)B的用戶進行身份認(rèn)證，防止了內(nèi)網(wǎng)和外網(wǎng)之間繞過網(wǎng)間直接建立連接，傳輸帶寬的提高就不再對安全性造成影響。優(yōu)選地，所述的單向不可逆的傳輸通路為如下的光纖單向傳輸通路包括兩張光網(wǎng)卡，其一用作發(fā)射卡，其二用作接收卡；發(fā)射卡具有發(fā)射端和接收端，發(fā)射卡的數(shù)據(jù)發(fā)送需由其自身的接收端收到額定波長的光來啟動；設(shè)有分光器，發(fā)射卡發(fā)射的光作為分光器的入射光；分光器的出射光有二，其一由接收卡接收，其二由發(fā)射卡的接收端接收。該光纖單向傳輸通路無需另行設(shè)計制造非標(biāo)準(zhǔn)的光網(wǎng)卡，而是采用現(xiàn)有的光網(wǎng)卡，也無需另提供額定波長的光源，而且由于發(fā)射卡的接收端收到的是發(fā)射卡自身發(fā)出的額定波長的光，故不需要經(jīng)過調(diào)試，從而以低成本實現(xiàn)了光纖單向傳輸。


圖1是現(xiàn)有網(wǎng)絡(luò)隔離系統(tǒng)架構(gòu)圖。圖2是圖1中控制臺處理內(nèi)網(wǎng)數(shù)據(jù)的示意圖。圖3是圖1中控制臺處理外網(wǎng)數(shù)據(jù)的示意圖。圖4是本發(fā)明實施例網(wǎng)絡(luò)隔離系統(tǒng)架構(gòu)圖。
具體實施例方式如圖4，網(wǎng)絡(luò)A是安全性很高的內(nèi)部專用網(wǎng)絡(luò)，網(wǎng)絡(luò)B是安全性不高的外部網(wǎng)絡(luò)，用于實現(xiàn)網(wǎng)絡(luò)隔離的隔離網(wǎng)閘包括主控單元A、主控單元B和分光器1、2。主控單元A用于與網(wǎng)絡(luò)A進行數(shù)據(jù)交互，主控單元B用于與網(wǎng)絡(luò)B進行數(shù)據(jù)交互。主控單元A具有身份認(rèn)證模塊A和數(shù)據(jù)采集模塊A，主控單元B具有身份認(rèn)證模塊B和數(shù)據(jù)采集模塊B。圖4中，身份認(rèn)證模塊均帶有光網(wǎng)卡作為發(fā)射卡，數(shù)據(jù)采集模塊均帶有光網(wǎng)卡作為接收卡。光網(wǎng)卡是現(xiàn)有技術(shù)，其具有發(fā)射端和接收端，其數(shù)據(jù)發(fā)送需由其自身的接收端收到額定波長的光來啟動。圖4左側(cè)的光纖單向傳輸通路在系統(tǒng)中所起的作用在本段詳述。分光器1以身份認(rèn)證模塊A發(fā)射卡發(fā)射的光作為入射光；分光器1的出射光有二，其一由數(shù)據(jù)采集模塊B接收卡的接收端接收，其二由身份認(rèn)證模塊A發(fā)射卡的接收端接收。初始化時，身份認(rèn)證模塊 A發(fā)射卡的發(fā)射端發(fā)出的不帶所需傳輸數(shù)據(jù)的額定波長的光被分光器1分到數(shù)據(jù)采集模塊 B接收卡的接收端和身份認(rèn)證模塊A發(fā)射卡的接收端，不僅讓數(shù)據(jù)采集模塊B接收卡完成了初始化，還讓身份認(rèn)證模塊A發(fā)射卡完成了初始化。初始化完成后，當(dāng)網(wǎng)絡(luò)A有數(shù)據(jù)需傳輸?shù)骄W(wǎng)絡(luò)B時，首先向主控單元A提出請求，由身份認(rèn)證模塊A進行身份認(rèn)證。身份認(rèn)證通過后，身份認(rèn)證模塊A發(fā)射卡的發(fā)射端發(fā)送數(shù)據(jù)，該數(shù)據(jù)經(jīng)由分光器1到達(dá)數(shù)據(jù)采集模塊B接收卡的接收端，至于此時身份認(rèn)證模塊A發(fā)射卡的接收端也收到此數(shù)據(jù)并不會影響數(shù)據(jù)單向傳輸?shù)膶崿F(xiàn)。數(shù)據(jù)采集模塊B把所收到的數(shù)據(jù)發(fā)到網(wǎng)絡(luò)B。圖4右側(cè)的光纖單向傳輸通路在系統(tǒng)中所起的作用在本段詳述。分光器2以身份認(rèn)證模塊B發(fā)射卡發(fā)射的光作為入射光；分光器2的出射光有二，其一由數(shù)據(jù)采集模塊A接收卡的接收端接收，其二由身份認(rèn)證模塊B發(fā)射卡的接收端接收。初始化時，身份認(rèn)證模塊 B發(fā)射卡的發(fā)射端發(fā)出的不帶所需傳輸數(shù)據(jù)的額定波長的光被分光器2分到數(shù)據(jù)采集模塊 A接收卡的接收端和身份認(rèn)證模塊B發(fā)射卡的接收端，不僅讓數(shù)據(jù)采集模塊A接收卡完成了初始化，還讓身份認(rèn)證模塊B發(fā)射卡完成了初始化。初始化完成后，當(dāng)網(wǎng)絡(luò)B有數(shù)據(jù)需傳輸?shù)骄W(wǎng)絡(luò)A時，首先向主控單元B提出請求，由身份認(rèn)證模塊B進行身份認(rèn)證.身份認(rèn)證通過后，身份認(rèn)證模塊B發(fā)射卡發(fā)射端發(fā)送數(shù)據(jù)，該數(shù)據(jù)經(jīng)由分光器2到達(dá)數(shù)據(jù)采集模塊A接收卡的接收端，至于此時身份認(rèn)證模塊B發(fā)射卡的接收端也收到此數(shù)據(jù)并不會影響數(shù)據(jù)單向傳輸?shù)膶崿F(xiàn)。數(shù)據(jù)采集模塊A把所收到的數(shù)據(jù)發(fā)到網(wǎng)絡(luò)A。圖4中，數(shù)據(jù)采集模塊接收卡的發(fā)射端不起作用，無須進行光路連接。攻擊者如果只入侵其中一個傳輸方向的模塊，只能截獲該傳輸方向的數(shù)據(jù)，但無法截獲反向傳輸?shù)臄?shù)據(jù)，降低了雙向傳輸?shù)臄?shù)據(jù)均被截獲的可能性。圖4中，數(shù)據(jù)在身份認(rèn)證模塊和數(shù)據(jù)采集模塊中線速轉(zhuǎn)發(fā)而非存儲后再讀取，具有較高的傳輸帶寬。圖4中，主控單元A和主控單元B之間在數(shù)據(jù)鏈路層上通過不同于網(wǎng)絡(luò)A和網(wǎng)絡(luò)B 的數(shù)據(jù)封裝格式進行數(shù)據(jù)交互，例如，網(wǎng)絡(luò)A和網(wǎng)絡(luò)B采用IP/Ethernet協(xié)議封裝數(shù)據(jù)，而主控單元A和主控單元B之間的上述光路傳輸則采用非IP/Ethernet的數(shù)據(jù)封裝格式，甚至是自定義的數(shù)據(jù)封裝格式，使網(wǎng)絡(luò)上的攻擊者難以逾越主控單元A和主控單元B之間的這一隔離，提高了網(wǎng)絡(luò)隔離的安全性。圖4中，數(shù)據(jù)由身份認(rèn)證模塊進行加密，由數(shù)據(jù)采集模塊進行解密，確保數(shù)據(jù)在上述光路傳輸中的安全。
權(quán)利要求
1.一種隔離網(wǎng)閘，其特征是，包括用于連接網(wǎng)絡(luò)A的身份認(rèn)證模塊A和數(shù)據(jù)采集模塊 A，包括用于連接網(wǎng)絡(luò)B的身份認(rèn)證模塊B和數(shù)據(jù)采集模塊B，信息從網(wǎng)絡(luò)A發(fā)往網(wǎng)絡(luò)B的中途須從身份認(rèn)證模塊A發(fā)至數(shù)據(jù)采集模塊B，且從身份認(rèn)證模塊A至數(shù)據(jù)采集模塊B為單向不可逆的傳輸通路；信息從網(wǎng)絡(luò)B發(fā)往網(wǎng)絡(luò)A的中途須從身份認(rèn)證模塊B發(fā)至數(shù)據(jù)采集模塊A，且從身份認(rèn)證模塊B至數(shù)據(jù)采集模塊A為單向不可逆的傳輸通路。
2.根據(jù)權(quán)利要求1所述的隔離網(wǎng)閘，其特征是，所述的單向不可逆的傳輸通路為如下的光纖單向傳輸通路包括兩張光網(wǎng)卡，其一用作發(fā)射卡，其二用作接收卡；發(fā)射卡具有發(fā)射端和接收端，發(fā)射卡的數(shù)據(jù)發(fā)送需由其自身的接收端收到額定波長的光來啟動；設(shè)有分光器，發(fā)射卡發(fā)射的光作為分光器的入射光；分光器的出射光有二，其一由接收卡接收，其二由發(fā)射卡的接收端接收。
全文摘要
隔離網(wǎng)閘，包括用于連接網(wǎng)絡(luò)A的身份認(rèn)證模塊A和數(shù)據(jù)采集模塊A，包括用于連接網(wǎng)絡(luò)B的身份認(rèn)證模塊B和數(shù)據(jù)采集模塊B，信息從網(wǎng)絡(luò)A發(fā)往網(wǎng)絡(luò)B的中途須從身份認(rèn)證模塊A發(fā)至數(shù)據(jù)采集模塊B，且從身份認(rèn)證模塊A至數(shù)據(jù)采集模塊B為單向不可逆的傳輸通路；信息從網(wǎng)絡(luò)B發(fā)往網(wǎng)絡(luò)A的中途須從身份認(rèn)證模塊B發(fā)至數(shù)據(jù)采集模塊A，且從身份認(rèn)證模塊B至數(shù)據(jù)采集模塊A為單向不可逆的傳輸通路。所給出的隔離網(wǎng)閘的有益效果是(1)實現(xiàn)雙向傳輸；(2)降低雙向傳輸?shù)臄?shù)據(jù)均被截獲的可能性；(3)以較低的成本提高隔離網(wǎng)閘的雙向傳輸帶寬；以及(4)防止內(nèi)網(wǎng)和外網(wǎng)之間繞過網(wǎng)閘直接建立連接，讓其傳輸帶寬的提高不對安全性造成影響。
文檔編號H04L12/46GK102208982SQ20111011146
公開日2011年10月5日 申請日期2011年4月28日 優(yōu)先權(quán)日2011年4月28日
發(fā)明者闕勁峰 申請人:廣州匯智通信技術(shù)有限公司