專利名稱：一種內(nèi)網(wǎng)與外網(wǎng)間的信息安全傳輸控制方法及其網(wǎng)關(guān)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種網(wǎng)絡(luò)安全控制技術(shù)，尤其涉及一種網(wǎng)關(guān)技術(shù)。
背景技術(shù)：
隨著工業(yè)自動化控制的迅速發(fā)展，愈來愈多的工業(yè)企業(yè)使用其內(nèi)部(或?qū)Ｓ?網(wǎng)絡(luò)將其生產(chǎn)過程專用設(shè)備或工業(yè)智能設(shè)備(Intelligent Electric Device,簡稱“IED”)互聯(lián)在一起，形成生產(chǎn)控制系統(tǒng)網(wǎng)絡(luò)。一般來說，該生產(chǎn)控制系統(tǒng)網(wǎng)絡(luò)要具有一些滿足工業(yè)自動化控制的特殊結(jié)構(gòu)和功能。近年來，伴隨著互聯(lián)網(wǎng)用戶數(shù)量的不斷增長，基于IP(Internet Protocol，互聯(lián)網(wǎng)協(xié)議)網(wǎng)絡(luò)的業(yè)務(wù)應(yīng)用越來越多，但IP技術(shù)在成為構(gòu)筑網(wǎng)絡(luò)應(yīng)用主流技術(shù)的同時，其與生俱 來的簡單和開放的本質(zhì)特征并沒有得到根本性的改變，這就為網(wǎng)絡(luò)安全問題的出現(xiàn)留下了隱患，尤其是對于企業(yè)用戶，由于上述安全隱患的存在，就使得商業(yè)機密在網(wǎng)上進行傳送時很可能因為黑客們的惡意攻擊而變成沒有安全性的數(shù)據(jù)。而在現(xiàn)有技術(shù)中，為保證用戶內(nèi)部網(wǎng)絡(luò)(小區(qū)、企業(yè)網(wǎng)等)不受外部網(wǎng)絡(luò)的攻擊，通常的做法是在內(nèi)部網(wǎng)絡(luò)的出口設(shè)置防火墻，以使內(nèi)部與外部隔絕，保證安全性。但是防火墻有以下幾個缺點
I.防火墻不能抵抗最新的未設(shè)置策略的攻擊病毒。2.防火墻對服務(wù)器合法開放的端口的攻擊大多無法阻止。3.防火墻對待內(nèi)部主動發(fā)起連接的攻擊一般無法阻止。4.防火墻本身也會出現(xiàn)問題和受到攻擊其本身也可能受到攻擊和出現(xiàn)軟/硬件方面的故障。為了克服上述缺點，則需要一種從根本上控制內(nèi)網(wǎng)與外網(wǎng)之間的信息安全傳輸?shù)姆椒ā?br>
發(fā)明內(nèi)容
本發(fā)明主要解決的技術(shù)問題是提供一種內(nèi)網(wǎng)與外網(wǎng)間的信息安全傳輸控制方法及其網(wǎng)關(guān)，使得內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間實現(xiàn)硬件接口和軟件協(xié)議的雙重隔離，防止內(nèi)部網(wǎng)絡(luò)受到外部不良程序的攻擊，從而使得內(nèi)部網(wǎng)絡(luò)的安全性得到保障。為了解決上述技術(shù)問題，本發(fā)明提供了一種內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的信息安全傳輸控制方法，在內(nèi)部網(wǎng)絡(luò)與外部公共網(wǎng)絡(luò)之間設(shè)置一內(nèi)網(wǎng)網(wǎng)關(guān)和一外網(wǎng)網(wǎng)關(guān)，內(nèi)部網(wǎng)絡(luò)與內(nèi)網(wǎng)網(wǎng)關(guān)相連，外部公共網(wǎng)絡(luò)通過網(wǎng)口與外網(wǎng)網(wǎng)關(guān)相連，內(nèi)網(wǎng)網(wǎng)關(guān)與外網(wǎng)網(wǎng)關(guān)之間通過串口相連，該方法包含以下步驟
外網(wǎng)網(wǎng)關(guān)接收來自外部公共網(wǎng)絡(luò)的網(wǎng)口數(shù)據(jù)，對所收到的網(wǎng)口數(shù)據(jù)和數(shù)據(jù)來源進行安全檢查；
將通過安全檢查的網(wǎng)口數(shù)據(jù)轉(zhuǎn)換為串口的協(xié)議數(shù)據(jù)，通過串口發(fā)送到內(nèi)網(wǎng)網(wǎng)關(guān)；
內(nèi)網(wǎng)網(wǎng)關(guān)將數(shù)據(jù)發(fā)送到目標(biāo)地址。作為上述技術(shù)方案的改進，串口包括并行的N個串口，N大于2，一般N為8的整數(shù)倍。作為上述技術(shù)方案的改進，內(nèi)網(wǎng)網(wǎng)關(guān)與外網(wǎng)網(wǎng)關(guān)之間的串口上通過的協(xié)議為私有協(xié)議，或，公共工業(yè)協(xié)議；
串口的協(xié)議數(shù)據(jù)為使用私有協(xié)議的數(shù)據(jù)，或，使用公共工業(yè)協(xié)議的數(shù)據(jù)。作為上述技術(shù)方案的改進，內(nèi)網(wǎng)網(wǎng)關(guān)與內(nèi)部網(wǎng)絡(luò)之間通過以下方式之一連接高速總線連接、或串口連接、或網(wǎng)口連接。作為上述技術(shù)方案的改進，內(nèi)網(wǎng)網(wǎng)關(guān)將數(shù)據(jù)發(fā)送到目標(biāo)地址的步驟之前，包含以下步驟
內(nèi)網(wǎng)網(wǎng)關(guān)將串口的協(xié)議數(shù)據(jù)轉(zhuǎn)換為內(nèi)部網(wǎng)絡(luò)格式，或者轉(zhuǎn)換為高速總線數(shù)據(jù)；
內(nèi)網(wǎng)網(wǎng)關(guān)將數(shù)據(jù)發(fā)送到目標(biāo)地址的步驟中，將轉(zhuǎn)換后的數(shù)據(jù)發(fā)送到目標(biāo)地址。作為上述技術(shù)方案的改進，上述網(wǎng)口數(shù)據(jù)包括服務(wù)請求信息，數(shù)據(jù)來源包括訪問者IP地址、和/或訪問者端口、和/或訪問者MAC地址； 對所收到的網(wǎng)口數(shù)據(jù)和數(shù)據(jù)來源進行安全檢查的方式為
預(yù)先設(shè)置允許訪問內(nèi)部網(wǎng)絡(luò)的白名單，該白名單至少包括允許通過的訪問者的來源信息，以及該訪問者允許的服務(wù)；訪問者的來源信息包含訪問者IP地址、和/或訪問者端口、和/或訪問者MAC地址；
在收到來自訪問者的服務(wù)請求后，根據(jù)白名單對發(fā)送服務(wù)請求的訪問者的來源信息、及其所請求的服務(wù)進行驗證，如果訪問者的來源信息及其所請求的服務(wù)均包含在白名單中，則通過安全檢查；如果訪問者的來源信息和/或其所請求的服務(wù)未包含在白名單中，則安全檢查失敗。作為上述技術(shù)方案的改進，該方法還可以包含以下步驟
內(nèi)網(wǎng)網(wǎng)關(guān)收到來自內(nèi)部網(wǎng)絡(luò)的待發(fā)送數(shù)據(jù)時,將待發(fā)送數(shù)據(jù)轉(zhuǎn)換為串口的協(xié)議數(shù)據(jù)，發(fā)送到外網(wǎng)網(wǎng)關(guān)；
外網(wǎng)網(wǎng)關(guān)將串口的協(xié)議數(shù)據(jù)轉(zhuǎn)換為網(wǎng)口數(shù)據(jù)，通過外部公共網(wǎng)絡(luò)發(fā)送到目標(biāo)接收端。本發(fā)明還提供了一種內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的網(wǎng)關(guān)，在內(nèi)部網(wǎng)絡(luò)與外部公共網(wǎng)絡(luò)之間設(shè)置一內(nèi)網(wǎng)網(wǎng)關(guān)和一外網(wǎng)網(wǎng)關(guān)，內(nèi)部網(wǎng)絡(luò)與內(nèi)網(wǎng)網(wǎng)關(guān)相連，外部公共網(wǎng)絡(luò)通過網(wǎng)口與外網(wǎng)網(wǎng)關(guān)相連，內(nèi)網(wǎng)網(wǎng)關(guān)與外網(wǎng)網(wǎng)關(guān)之間通過串口相連；
外網(wǎng)網(wǎng)關(guān)中包含
第一接收模塊，用于接收來自外部公共網(wǎng)絡(luò)的網(wǎng)口數(shù)據(jù)；
安全檢查單元，用于對第一接收模塊所收到的網(wǎng)口數(shù)據(jù)和數(shù)據(jù)來源進行安全檢查； 第一數(shù)據(jù)轉(zhuǎn)換模塊，用于將通過安全檢查的網(wǎng)口數(shù)據(jù)轉(zhuǎn)換為串口的協(xié)議數(shù)據(jù)；
第一發(fā)送模塊，用于通過串口將第一數(shù)據(jù)轉(zhuǎn)換模塊轉(zhuǎn)換后的數(shù)據(jù)發(fā)送到內(nèi)網(wǎng)網(wǎng)關(guān)；
內(nèi)網(wǎng)網(wǎng)關(guān)中包含
第二接收模塊，用于通過串口接收來自外網(wǎng)網(wǎng)關(guān)的串口協(xié)議數(shù)據(jù)；
第二發(fā)送模塊，用于將第二接收模塊收到的數(shù)據(jù)發(fā)送到目標(biāo)地址。作為上述技術(shù)方案的改進，串口包括并行的N個串口，N大于2，一般為8的整數(shù)倍。作為上述技術(shù)方案的改進，內(nèi)網(wǎng)網(wǎng)關(guān)與外網(wǎng)網(wǎng)關(guān)之間的串口上通過的協(xié)議可以為私有協(xié)議，或，公共工業(yè)協(xié)議；
串口的協(xié)議數(shù)據(jù)為使用私有協(xié)議的數(shù)據(jù)，或，使用公共工業(yè)協(xié)議的數(shù)據(jù)。作為上述技術(shù)方案的改進，內(nèi)網(wǎng)網(wǎng)關(guān)與內(nèi)部網(wǎng)絡(luò)之間通過以下方式之一連接高速總線連接、或串口連接、或網(wǎng)口連接。作為上述技術(shù)方案的改進，內(nèi)網(wǎng)網(wǎng)關(guān)中還可以包含
第二數(shù)據(jù)轉(zhuǎn)換模塊，用于將第二接收模塊收到的串口協(xié)議數(shù)據(jù)轉(zhuǎn)換為內(nèi)部網(wǎng)絡(luò)格式，或者轉(zhuǎn)換為高速總線數(shù)據(jù)；
第二發(fā)送模塊將轉(zhuǎn)換后的數(shù)據(jù)發(fā)送到目標(biāo)地址。作為上述技術(shù)方案的改進，網(wǎng)口數(shù)據(jù)包括服務(wù)請求信息，數(shù)據(jù)來源包括訪問者IP地址、和/或訪問者端口、和/或訪問者MAC地址；
安全檢查單元中進一步包含
存儲子模塊，用于存儲允許訪問內(nèi)部網(wǎng)絡(luò)的白名單，該白名單至少包括允許通過的訪問者的來源信息，以及該訪問者允許的服務(wù)；訪問者的來源信息包含訪問者IP地址、和/或 訪問者端口、和/或訪問者MAC地址；
白名單驗證子模塊，用于在收到來自訪問者的服務(wù)請求后，根據(jù)白名單對發(fā)送服務(wù)請求的訪問者的來源信息、及其所請求的服務(wù)進行驗證，如果訪問者的來源信息及其所請求的服務(wù)均包含在白名單中，則通過安全檢查；如果訪問者的來源信息和/或其所請求的服務(wù)未包含在白名單中，則安全檢查失敗。作為上述技術(shù)方案的改進，內(nèi)網(wǎng)網(wǎng)關(guān)中還包含
第三接收模塊，用于從內(nèi)部網(wǎng)絡(luò)接收待發(fā)送的數(shù)據(jù)；
第三數(shù)據(jù)轉(zhuǎn)換模塊，用于將待發(fā)送數(shù)據(jù)轉(zhuǎn)換為串口的協(xié)議數(shù)據(jù)；
第三發(fā)送模塊，用于將轉(zhuǎn)換后的協(xié)議數(shù)據(jù)通過串口發(fā)送到外網(wǎng)網(wǎng)關(guān)；
外網(wǎng)網(wǎng)關(guān)中還包含
第四接收模塊，用于通過串口接收來自內(nèi)網(wǎng)網(wǎng)關(guān)的協(xié)議數(shù)據(jù)；
第四數(shù)據(jù)轉(zhuǎn)換模塊，用于將第四接收模塊收到的串口的協(xié)議數(shù)據(jù)轉(zhuǎn)換為網(wǎng)口數(shù)據(jù)； 第四發(fā)送模塊，用于通過外部公共網(wǎng)絡(luò)將網(wǎng)口數(shù)據(jù)發(fā)送到目標(biāo)接收端。本發(fā)明實施方式與現(xiàn)有技術(shù)相比，主要區(qū)別及其效果在于在內(nèi)部網(wǎng)絡(luò)與外部公共網(wǎng)絡(luò)之間分別設(shè)置一內(nèi)網(wǎng)網(wǎng)關(guān)和一外網(wǎng)網(wǎng)關(guān)。內(nèi)部網(wǎng)絡(luò)與內(nèi)網(wǎng)網(wǎng)關(guān)相連，外部公共網(wǎng)絡(luò)通過網(wǎng)口與外網(wǎng)網(wǎng)關(guān)相連，內(nèi)網(wǎng)網(wǎng)關(guān)與外網(wǎng)網(wǎng)關(guān)之間則通過串口相連。當(dāng)外網(wǎng)網(wǎng)關(guān)接收來自外部公共網(wǎng)絡(luò)的網(wǎng)口數(shù)據(jù)時，對所收到的網(wǎng)口數(shù)據(jù)和數(shù)據(jù)來源進行安全檢查，并將通過安全檢查的網(wǎng)口數(shù)據(jù)轉(zhuǎn)換為串口的協(xié)議數(shù)據(jù)，通過串口發(fā)送到內(nèi)網(wǎng)網(wǎng)關(guān)，由內(nèi)網(wǎng)網(wǎng)關(guān)將該數(shù)據(jù)發(fā)送到目標(biāo)地址。這種雙網(wǎng)關(guān)傳輸方式使得內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間實現(xiàn)硬件接口和軟件協(xié)議的雙重隔離，通過硬件接口的隔離，使得外部程序無法直接將網(wǎng)口數(shù)據(jù)傳輸?shù)絻?nèi)網(wǎng)；而由于外部程序無法獲知內(nèi)網(wǎng)網(wǎng)關(guān)與外網(wǎng)網(wǎng)關(guān)之間的串口協(xié)議，因此無法破解網(wǎng)關(guān)直接連接到內(nèi)網(wǎng)，與內(nèi)網(wǎng)進行信息交互，而必須通過外網(wǎng)網(wǎng)關(guān)的安全檢查。一般該外部程序的來源以及交互的數(shù)據(jù)信息都必須通過外網(wǎng)網(wǎng)關(guān)的檢查，從而可以有效防止內(nèi)部網(wǎng)絡(luò)受到外部不良程序的攻擊，使得內(nèi)部網(wǎng)絡(luò)的安全性得到保障。 內(nèi)網(wǎng)網(wǎng)關(guān)與外網(wǎng)網(wǎng)關(guān)之間使用的串口協(xié)議可以是私有協(xié)議，私有協(xié)議的保密性更強；也可以是已有的公共工業(yè)協(xié)議，公共協(xié)議的兼容性更好。采用白名單策略對所收到的網(wǎng)口數(shù)據(jù)和數(shù)據(jù)來源進行安全檢查，根據(jù)白名單對發(fā)送服務(wù)請求的訪問者IP地址/端口 /MAC地址、及其所請求的服務(wù)進行驗證，如果IP地址/端口 /MAC地址未通過驗證,或者該IP地址/端口 /MAC地址雖通過驗證但其所請求的服務(wù)超出權(quán)限，則均無法通過安全驗證。通過該白名單方式能夠進一步防止內(nèi)部網(wǎng)絡(luò)受到外部不良程序的攻擊，使得內(nèi)部網(wǎng)絡(luò)的安全性得到保障。


下面結(jié)合附圖和具體實施方式
對本發(fā)明作進一步詳細(xì)說明。圖I是本發(fā)明第一實施方式的內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的信息安全傳輸控制方法流程 圖2是本發(fā)明第二實施方式中的內(nèi)網(wǎng)網(wǎng)關(guān)與外網(wǎng)網(wǎng)關(guān)的結(jié)構(gòu)示意圖。
具體實施方式
為使本發(fā)明的目的、技術(shù)方案和優(yōu)點更加清楚，下面將結(jié)合附圖對本發(fā)明的實施方式作進一步地詳細(xì)描述。本發(fā)明第一實施方式涉及一種內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的信息安全傳輸控制方法。本實施方式中以內(nèi)部工業(yè)網(wǎng)絡(luò)為例進行說明，在內(nèi)部工業(yè)網(wǎng)絡(luò)與外部公共網(wǎng)絡(luò)之間設(shè)置一內(nèi)網(wǎng)網(wǎng)關(guān)和一外網(wǎng)網(wǎng)關(guān)。其中，內(nèi)部工業(yè)網(wǎng)絡(luò)與內(nèi)網(wǎng)網(wǎng)關(guān)相連，外部公共網(wǎng)絡(luò)通過網(wǎng)口與外網(wǎng)網(wǎng)關(guān)相連，內(nèi)網(wǎng)網(wǎng)關(guān)與內(nèi)部工業(yè)網(wǎng)絡(luò)之間可以通過高速總線、或串口、或網(wǎng)口等連接。內(nèi)網(wǎng)網(wǎng)關(guān)與外網(wǎng)網(wǎng)關(guān)之間則通過串口相連，這里的串口一般包括并行的多個串口，通常為8的整數(shù)倍，如8個或16個，以提高傳輸速度。內(nèi)網(wǎng)網(wǎng)關(guān)與外網(wǎng)網(wǎng)關(guān)之間的串口上允許通過的協(xié)議為私有協(xié)議，或，公共工業(yè)協(xié)議。當(dāng)外網(wǎng)網(wǎng)關(guān)接收來自外部公共網(wǎng)絡(luò)的網(wǎng)口數(shù)據(jù)時，對所收到的網(wǎng)口數(shù)據(jù)和數(shù)據(jù)來源進行安全檢查，并將通過安全檢查的網(wǎng)口數(shù)據(jù)轉(zhuǎn)換為串口的協(xié)議數(shù)據(jù)，通過串口發(fā)送到內(nèi)網(wǎng)網(wǎng)關(guān)，由內(nèi)網(wǎng)網(wǎng)關(guān)將該數(shù)據(jù)發(fā)送到目標(biāo)地址。具體的流程如圖I所示。在步驟101中，外網(wǎng)網(wǎng)關(guān)接收來自外部公共網(wǎng)絡(luò)的網(wǎng)口數(shù)據(jù)。所接收到的網(wǎng)口數(shù)據(jù)包括服務(wù)請求信息，而數(shù)據(jù)來源包含訪問者IP地址、端口、MAC地址等。在步驟102中，對所收到的網(wǎng)口數(shù)據(jù)和數(shù)據(jù)來源進行安全檢查。如果通過，則進入步驟103，否則，進入步驟104，拒絕該服務(wù)請求。本實施方式中，需要預(yù)先設(shè)置允許訪問內(nèi)部工業(yè)網(wǎng)絡(luò)的白名單，該白名單至少包括允許通過的訪問者的來源信息，以及允許的服務(wù)。訪問者的來源信息可以是訪問者IP地址/端口 /MAC地址或其組合。本步驟中，在收到來自訪問者的服務(wù)請求后，根據(jù)白名單對發(fā)送服務(wù)請求的訪問者的來源信息、及其所請求的服務(wù)進行驗證，如果訪問者的來源信息及其所請求的服務(wù)均包含在白名單中，則通過安全檢查，進入步驟103 ;如果訪問者的來源信息和/或其所請求的服務(wù)未包含在白名單中，則安全檢查失敗，進入步驟104，拒絕該服務(wù)請求。如訪問者的IP地址/端口 /MAC地址未包含在白名單中，或者訪問者的IP地址/端口 /MAC地址雖然包含在白名單中，但其請求的服務(wù)未包含在白名單中(即沒有訪問該服務(wù)的權(quán)限)，則安全檢查失敗。在步驟103中，將通過安全檢查的網(wǎng)口數(shù)據(jù)轉(zhuǎn)換為串口的工業(yè)協(xié)議數(shù)據(jù)。這里的工業(yè)協(xié)議數(shù)據(jù)可以為使用私有協(xié)議的數(shù)據(jù)，也可以是使用公共工業(yè)協(xié)議的數(shù)據(jù)。也就是說，可以根據(jù)私有協(xié)議對網(wǎng)口數(shù)據(jù)進行轉(zhuǎn)換，或者使用已有的公共工業(yè)協(xié)議對網(wǎng)口數(shù)據(jù)進行轉(zhuǎn)換，相對而言，私有協(xié)議的保密性更強，公共協(xié)議的兼容性更好。在步驟105中，將轉(zhuǎn)換后的工業(yè)協(xié)議數(shù)據(jù)通過串口發(fā)送到內(nèi)網(wǎng)網(wǎng)關(guān)。在步驟106中，內(nèi)網(wǎng)網(wǎng)關(guān)將數(shù)據(jù)(服務(wù)請求)發(fā)送到目標(biāo)地址。如果內(nèi)部工業(yè)網(wǎng)絡(luò)與內(nèi)網(wǎng)網(wǎng)關(guān)之間通過串口連接，則內(nèi)網(wǎng)網(wǎng)關(guān)直接將串口數(shù)據(jù)發(fā)送到內(nèi)網(wǎng)的目標(biāo)地址；如果通過高速總線或網(wǎng)口連接，則內(nèi)網(wǎng)網(wǎng)關(guān)將串口數(shù)據(jù)轉(zhuǎn)換為高速總線數(shù)據(jù)后，將轉(zhuǎn)換后的數(shù)據(jù)發(fā)送到目標(biāo)地址；如果內(nèi)網(wǎng)網(wǎng)關(guān)與內(nèi)部工業(yè)網(wǎng)絡(luò)之間通過其他方式連接,則同樣將會把串口的工業(yè)協(xié)議數(shù)據(jù)轉(zhuǎn)換為相應(yīng)的內(nèi)部網(wǎng)絡(luò)格式之后進行發(fā)送。內(nèi)部工業(yè)網(wǎng)絡(luò)與內(nèi)網(wǎng)網(wǎng)關(guān)之間的連接方式可以根據(jù)內(nèi)部網(wǎng)絡(luò)的需要來確定。在本實施方式中，內(nèi)部網(wǎng)絡(luò)與外部公共網(wǎng)絡(luò)之間的信息安全傳輸是相互的，即從內(nèi)部網(wǎng)絡(luò)也可以發(fā)送相應(yīng)的數(shù)據(jù)至外部公共網(wǎng)絡(luò)的目標(biāo)接收端。具體地說，內(nèi)網(wǎng)網(wǎng)關(guān)收到來自內(nèi)部工業(yè)網(wǎng)絡(luò)的待發(fā)送數(shù)據(jù)時，將待發(fā)送數(shù)據(jù)轉(zhuǎn)換為工業(yè)協(xié)議數(shù)據(jù)，發(fā)送到外網(wǎng)網(wǎng)關(guān)，并由外網(wǎng)網(wǎng)關(guān)將工業(yè)協(xié)議數(shù)據(jù)轉(zhuǎn)換為網(wǎng)口協(xié)議數(shù)據(jù)，如TCP/IP協(xié)議，通過外部公共網(wǎng)絡(luò)發(fā) 送到目標(biāo)接收端。綜上所述，通過在內(nèi)部網(wǎng)絡(luò)與外部公共網(wǎng)絡(luò)之間分別設(shè)置一內(nèi)網(wǎng)網(wǎng)關(guān)和一外網(wǎng)網(wǎng)關(guān)。內(nèi)部網(wǎng)絡(luò)與內(nèi)網(wǎng)網(wǎng)關(guān)相連，外部公共網(wǎng)絡(luò)通過網(wǎng)口與外網(wǎng)網(wǎng)關(guān)相連，內(nèi)網(wǎng)網(wǎng)關(guān)與外網(wǎng)網(wǎng)關(guān)之間則通過串口相連。當(dāng)外網(wǎng)網(wǎng)關(guān)接收來自外部公共網(wǎng)絡(luò)的網(wǎng)口數(shù)據(jù)時，對所收到的網(wǎng)口數(shù)據(jù)和數(shù)據(jù)來源進行安全檢查，并將通過安全檢查的網(wǎng)口數(shù)據(jù)轉(zhuǎn)換為串口的協(xié)議數(shù)據(jù)，通過串口發(fā)送到內(nèi)網(wǎng)網(wǎng)關(guān)，由內(nèi)網(wǎng)網(wǎng)關(guān)將該數(shù)據(jù)發(fā)送到目標(biāo)地址。這種雙網(wǎng)關(guān)傳輸方式使得內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間實現(xiàn)硬件接口和軟件協(xié)議的雙重隔離，通過硬件接口的隔離，使得外部程序無法直接將網(wǎng)口數(shù)據(jù)傳輸?shù)絻?nèi)網(wǎng)；而由于外部程序無法獲知內(nèi)網(wǎng)網(wǎng)關(guān)與外網(wǎng)網(wǎng)關(guān)之間的串口協(xié)議，因此無法破解網(wǎng)關(guān)直接連接到內(nèi)網(wǎng)，與內(nèi)網(wǎng)進行信息交互，而必須通過外網(wǎng)網(wǎng)關(guān)的安全檢查。一般該外部程序的來源以及交互的數(shù)據(jù)信息都必須通過外網(wǎng)網(wǎng)關(guān)的檢查，從而可以有效防止內(nèi)部網(wǎng)絡(luò)受到外部不良程序的攻擊，使得內(nèi)部網(wǎng)絡(luò)的安全性得到保障。另外，通過白名單策略對所收到的網(wǎng)口數(shù)據(jù)和數(shù)據(jù)來源進行安全檢查，根據(jù)白名單對發(fā)送服務(wù)請求的訪問者的來源信息、及其所請求的服務(wù)進行驗證，如果IP地址/端口/MAC地址未通過驗證，或者該IP地址/端口 /MAC地址雖通過驗證但其所請求的服務(wù)超出權(quán)限，則均無法通過安全驗證。通過該白名單方式能夠進一步防止內(nèi)部網(wǎng)絡(luò)受到外部不良程序的攻擊，使得內(nèi)部網(wǎng)絡(luò)的安全性得到保障。本發(fā)明第二實施方式涉及一種內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的網(wǎng)關(guān)，如圖2所示，在內(nèi)部工業(yè)網(wǎng)絡(luò)與外部公共網(wǎng)絡(luò)之間設(shè)置一內(nèi)網(wǎng)網(wǎng)關(guān)和一外網(wǎng)網(wǎng)關(guān)，內(nèi)部工業(yè)網(wǎng)絡(luò)與內(nèi)網(wǎng)網(wǎng)關(guān)相連(可以通過高速總線連接、或串口連接、或網(wǎng)口連接，等)，外部公共網(wǎng)絡(luò)通過網(wǎng)口與外網(wǎng)網(wǎng)關(guān)相連，內(nèi)網(wǎng)網(wǎng)關(guān)與外網(wǎng)網(wǎng)關(guān)之間通過串口相連，這里的串口一般為并行的多個串口，可以是8的整數(shù)倍個串口，如8個或16個，以提高傳輸速度。內(nèi)網(wǎng)網(wǎng)關(guān)與外網(wǎng)網(wǎng)關(guān)之間的串口上通過的協(xié)議可以為私有協(xié)議，或，公共工業(yè)協(xié)議。其中外網(wǎng)網(wǎng)關(guān)中包含第一接收模塊，用于接收來自外部公共網(wǎng)絡(luò)的網(wǎng)口數(shù)據(jù)；安全檢查單元，用于對第一接收模塊所收到的網(wǎng)口數(shù)據(jù)和數(shù)據(jù)來源進行安全檢查；第一數(shù)據(jù)轉(zhuǎn)換模塊，用于將通過安全檢查的網(wǎng)口數(shù)據(jù)轉(zhuǎn)換為串口的工業(yè)協(xié)議數(shù)據(jù)；第一發(fā)送模塊，用于通過串口將第一數(shù)據(jù)轉(zhuǎn)換模塊轉(zhuǎn)換后的數(shù)據(jù)發(fā)送到內(nèi)網(wǎng)網(wǎng)關(guān)。
內(nèi)網(wǎng)網(wǎng)關(guān)中包含第二接收模塊，用于通過串口接收來自外網(wǎng)網(wǎng)關(guān)的工業(yè)協(xié)議數(shù)據(jù)；第二發(fā)送模塊，用于將第二接收模塊收到的數(shù)據(jù)發(fā)送到目標(biāo)地址。其中工業(yè)協(xié)議數(shù)據(jù)可以為使用私有協(xié)議的數(shù)據(jù)，或，使用公共工業(yè)協(xié)議的數(shù)據(jù)。內(nèi)網(wǎng)網(wǎng)關(guān)中一般還可以包含第二數(shù)據(jù)轉(zhuǎn)換模塊，用于將第二接收模塊收到的工業(yè)協(xié)議數(shù)據(jù)轉(zhuǎn)換為內(nèi)部網(wǎng)絡(luò)格式，或者轉(zhuǎn)換為高速總線數(shù)據(jù)；第二發(fā)送模塊將轉(zhuǎn)換后的數(shù)據(jù)發(fā)送到目標(biāo)地址。本實施方式中的網(wǎng)口數(shù)據(jù)包括服務(wù)請求信息，數(shù)據(jù)來源包括訪問者IP地址、端口、MAC地址等；安全檢查單元中進一步包含
存儲子模塊，存儲允許訪問內(nèi)部工業(yè)網(wǎng)絡(luò)的白名單，該白名單至少包括允許通過的訪問者的來源信息，以及允許的服務(wù)；訪問者的來源信息包含訪問者IP地址/端口 /MAC地址或其組合。
白名單驗證子模塊，用于在收到來自訪問者的服務(wù)請求后，根據(jù)白名單對發(fā)送服務(wù)請求的訪問者的來源信息、及其所請求的服務(wù)進行驗證，如果訪問者的來源信息及其所請求的服務(wù)均包含在白名單中，則通過安全檢查；如果訪問者的來源信息和/或其所請求的服務(wù)未包含在白名單中，則安全檢查失敗。作為上述技術(shù)方案的改進，內(nèi)網(wǎng)網(wǎng)關(guān)中進一步包含第三接收模塊，用于從內(nèi)部工業(yè)網(wǎng)絡(luò)接收待發(fā)送的數(shù)據(jù)；第三數(shù)據(jù)轉(zhuǎn)換模塊，用于將待發(fā)送數(shù)據(jù)轉(zhuǎn)換為工業(yè)協(xié)議數(shù)據(jù)；第三發(fā)送模塊，用于將轉(zhuǎn)換后的數(shù)據(jù)通過串口發(fā)送到外網(wǎng)網(wǎng)關(guān)。外網(wǎng)網(wǎng)關(guān)中進一步包含第四接收模塊，用于通過串口接收來自內(nèi)網(wǎng)網(wǎng)關(guān)的工業(yè)協(xié)議數(shù)據(jù)；第四數(shù)據(jù)轉(zhuǎn)換模塊，用于將第四接收模塊收到的工業(yè)協(xié)議數(shù)據(jù)轉(zhuǎn)換為網(wǎng)口協(xié)議數(shù)據(jù)；第四發(fā)送模塊，用于通過外部公共網(wǎng)絡(luò)將網(wǎng)口協(xié)議數(shù)據(jù)發(fā)送到目標(biāo)接收端。這種雙網(wǎng)關(guān)的設(shè)置方式使得內(nèi)網(wǎng)與外網(wǎng)之間實現(xiàn)硬件接口和軟件協(xié)議的雙重隔離，通過硬件接口的隔離，使得外部程序無法直接將網(wǎng)口數(shù)據(jù)傳輸?shù)絻?nèi)網(wǎng)；而由于外部程序無法獲知內(nèi)網(wǎng)網(wǎng)關(guān)與外網(wǎng)網(wǎng)關(guān)之間的串口協(xié)議，因此無法破解網(wǎng)關(guān)直接連接到內(nèi)網(wǎng)，與內(nèi)網(wǎng)進行信息交互，而必須通過外網(wǎng)網(wǎng)關(guān)的安全檢查。一般外部程序的來源以及交互的數(shù)據(jù)信息都必須通過外網(wǎng)網(wǎng)關(guān)的檢查，從而可以有效防止內(nèi)部網(wǎng)絡(luò)受到外部不良程序的攻擊，使得內(nèi)部網(wǎng)絡(luò)的安全性得到保障。雖然通過參照本發(fā)明的某些優(yōu)選實施方式，已經(jīng)對本發(fā)明進行了圖示和描述，但本領(lǐng)域的普通技術(shù)人員應(yīng)該明白，可以在形式上和細(xì)節(jié)上對其作各種改變，而不偏離本發(fā)明的精神和范圍。
權(quán)利要求
1.一種內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的信息安全傳輸控制方法，其特征在于，在內(nèi)部網(wǎng)絡(luò)與外部公共網(wǎng)絡(luò)之間設(shè)置一內(nèi)網(wǎng)網(wǎng)關(guān)和一外網(wǎng)網(wǎng)關(guān)，所述內(nèi)部網(wǎng)絡(luò)與所述內(nèi)網(wǎng)網(wǎng)關(guān)相連，所述外部公共網(wǎng)絡(luò)通過網(wǎng)口與所述外網(wǎng)網(wǎng)關(guān)相連，所述內(nèi)網(wǎng)網(wǎng)關(guān)與所述外網(wǎng)網(wǎng)關(guān)之間通過串口相連，所述方法包含以下步驟 所述外網(wǎng)網(wǎng)關(guān)接收來自外部公共網(wǎng)絡(luò)的網(wǎng)口數(shù)據(jù)，對所收到的網(wǎng)口數(shù)據(jù)和數(shù)據(jù)來源進行安全檢查； 將通過安全檢查的網(wǎng)口數(shù)據(jù)轉(zhuǎn)換為串口的協(xié)議數(shù)據(jù)，通過串口發(fā)送到所述內(nèi)網(wǎng)網(wǎng)關(guān)； 所述內(nèi)網(wǎng)網(wǎng)關(guān)將所述數(shù)據(jù)發(fā)送到目標(biāo)地址。
2.根據(jù)權(quán)利要求I所述的內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的信息安全傳輸控制方法，其特征在于，所述串口包括并行的N個串口，所述N大于2。
3.根據(jù)權(quán)利要求I所述的內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的信息安全傳輸控制方法，其特征在于，所述內(nèi)網(wǎng)網(wǎng)關(guān)與所述外網(wǎng)網(wǎng)關(guān)之間的串口上通過的協(xié)議為私有協(xié)議，或，公共工業(yè)協(xié)議； 所述串口的協(xié)議數(shù)據(jù)為使用私有協(xié)議的數(shù)據(jù)，或，使用公共工業(yè)協(xié)議的數(shù)據(jù)。
4.根據(jù)權(quán)利要求I所述的內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的信息安全傳輸控制方法，其特征在于，所述內(nèi)網(wǎng)網(wǎng)關(guān)與所述內(nèi)部網(wǎng)絡(luò)之間通過以下方式之一連接高速總線連接、或串口連接、或網(wǎng)口連接。
5.根據(jù)權(quán)利要求4所述的內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的信息安全傳輸控制方法，其特征在于，所述內(nèi)網(wǎng)網(wǎng)關(guān)將所述數(shù)據(jù)發(fā)送到目標(biāo)地址的步驟之前，包含以下步驟 所述內(nèi)網(wǎng)網(wǎng)關(guān)將所述串口的協(xié)議數(shù)據(jù)轉(zhuǎn)換為內(nèi)部網(wǎng)絡(luò)格式，或者轉(zhuǎn)換為高速總線數(shù)據(jù)； 所述內(nèi)網(wǎng)網(wǎng)關(guān)將所述數(shù)據(jù)發(fā)送到目標(biāo)地址的步驟中，將轉(zhuǎn)換后的數(shù)據(jù)發(fā)送到所述目標(biāo)地址。
6.根據(jù)權(quán)利要求I所述的內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的信息安全傳輸控制方法，其特征在于，所述網(wǎng)口數(shù)據(jù)包括服務(wù)請求信息，所述數(shù)據(jù)來源包括訪問者IP地址、和/或訪問者端口、和/或訪問者MAC地址； 所述對所收到的網(wǎng)口數(shù)據(jù)和數(shù)據(jù)來源進行安全檢查的方式為 預(yù)先設(shè)置允許訪問所述內(nèi)部網(wǎng)絡(luò)的白名單，該白名單至少包括允許通過的訪問者的來源信息，以及該訪問者允許的服務(wù)；所述訪問者的來源信息包含訪問者IP地址、和/或訪問者端口、和/或訪問者MAC地址； 在收到來自訪問者的服務(wù)請求后，根據(jù)所述白名單對發(fā)送服務(wù)請求的訪問者的來源信息、及其所請求的服務(wù)進行驗證，如果所述訪問者的來源信息及其所請求的服務(wù)均包含在所述白名單中，則通過所述安全檢查；如果所述訪問者的來源信息和/或其所請求的服務(wù)未包含在所述白名單中，則所述安全檢查失敗。
7.根據(jù)權(quán)利要求I至6中任意一項所述的內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的信息安全傳輸控制方法，其特征在于，還包含以下步驟 所述內(nèi)網(wǎng)網(wǎng)關(guān)收到來自內(nèi)部網(wǎng)絡(luò)的待發(fā)送數(shù)據(jù)時，將待發(fā)送數(shù)據(jù)轉(zhuǎn)換為所述串口的協(xié)議數(shù)據(jù)，發(fā)送到所述外網(wǎng)網(wǎng)關(guān)； 所述外網(wǎng)網(wǎng)關(guān)將所述串口的協(xié)議數(shù)據(jù)轉(zhuǎn)換為網(wǎng)口數(shù)據(jù)，通過外部公共網(wǎng)絡(luò)發(fā)送到目標(biāo)接收端。
8.一種內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的網(wǎng)關(guān)，其特征在于，在內(nèi)部網(wǎng)絡(luò)與外部公共網(wǎng)絡(luò)之間設(shè)置一內(nèi)網(wǎng)網(wǎng)關(guān)和一外網(wǎng)網(wǎng)關(guān)，所述內(nèi)部網(wǎng)絡(luò)與所述內(nèi)網(wǎng)網(wǎng)關(guān)相連，所述外部公共網(wǎng)絡(luò)通過網(wǎng)口與所述外網(wǎng)網(wǎng)關(guān)相連，所述內(nèi)網(wǎng)網(wǎng)關(guān)與所述外網(wǎng)網(wǎng)關(guān)之間通過串口相連； 所述外網(wǎng)網(wǎng)關(guān)中包含 第一接收模塊，用于接收來自外部公共網(wǎng)絡(luò)的網(wǎng)口數(shù)據(jù)； 安全檢查單元，用于對所述第一接收模塊所收到的網(wǎng)口數(shù)據(jù)和數(shù)據(jù)來源進行安全檢查； 第一數(shù)據(jù)轉(zhuǎn)換模塊，用于將通過安全檢查的網(wǎng)口數(shù)據(jù)轉(zhuǎn)換為串口的協(xié)議數(shù)據(jù)； 第一發(fā)送模塊，用于通過串口將所述第一數(shù)據(jù)轉(zhuǎn)換模塊轉(zhuǎn)換后的數(shù)據(jù)發(fā)送到所述內(nèi)網(wǎng)網(wǎng)關(guān)； 所述內(nèi)網(wǎng)網(wǎng)關(guān)中包含 第二接收模塊，用于通過串口接收來自所述外網(wǎng)網(wǎng)關(guān)的串口協(xié)議數(shù)據(jù)； 第二發(fā)送模塊，用于將所述第二接收模塊收到的數(shù)據(jù)發(fā)送到目標(biāo)地址。
9.根據(jù)權(quán)利要求8所述的內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的網(wǎng)關(guān)，其特征在于，所述串口包括并行的N個串口，所述N大于2。
10.根據(jù)權(quán)利要求8所述的內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的網(wǎng)關(guān)，其特征在于，所述內(nèi)網(wǎng)網(wǎng)關(guān)與所述外網(wǎng)網(wǎng)關(guān)之間的串口上通過的協(xié)議為私有協(xié)議，或，公共工業(yè)協(xié)議； 所述串口的協(xié)議數(shù)據(jù)為使用私有協(xié)議的數(shù)據(jù)，或，使用公共工業(yè)協(xié)議的數(shù)據(jù)。
11.根據(jù)權(quán)利要求8所述的內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的網(wǎng)關(guān)，其特征在于，所述內(nèi)網(wǎng)網(wǎng)關(guān)與所述內(nèi)部網(wǎng)絡(luò)之間通過以下方式之一連接高速總線連接、或串口連接、或網(wǎng)口連接。
12.根據(jù)權(quán)利要求11所述的內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的網(wǎng)關(guān)，其特征在于，所述內(nèi)網(wǎng)網(wǎng)關(guān)中還包含 第二數(shù)據(jù)轉(zhuǎn)換模塊，用于將所述第二接收模塊收到的串口協(xié)議數(shù)據(jù)轉(zhuǎn)換為內(nèi)部網(wǎng)絡(luò)格式，或者轉(zhuǎn)換為高速總線數(shù)據(jù)； 所述第二發(fā)送模塊將轉(zhuǎn)換后的數(shù)據(jù)發(fā)送到所述目標(biāo)地址。
13.根據(jù)權(quán)利要求8所述的內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的網(wǎng)關(guān)，其特征在于，所述網(wǎng)口數(shù)據(jù)包括服務(wù)請求信息，所述數(shù)據(jù)來源包括訪問者IP地址、和/或訪問者端口、和/或訪問者MAC地址； 所述安全檢查單元中進一步包含 存儲子模塊，用于存儲允許訪問所述內(nèi)部網(wǎng)絡(luò)的白名單，該白名單至少包括允許通過的訪問者的來源信息，以及該訪問者允許的服務(wù)；所述訪問者的來源信息包含訪問者IP地址、和/或訪問者端口、和/或訪問者MAC地址； 白名單驗證子模塊，用于在收到來自訪問者的服務(wù)請求后，根據(jù)所述白名單對發(fā)送服務(wù)請求的訪問者的來源信息、及其所請求的服務(wù)進行驗證，如果所述訪問者的來源信息及其所請求的服務(wù)均包含在所述白名單中，則通過所述安全檢查；如果所述訪問者的來源信息和/或其所請求的服務(wù)未包含在所述白名單中，則所述安全檢查失敗。
14.根據(jù)權(quán)利要求8至13中任意一項所述的內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間的網(wǎng)關(guān)，其特征在于，所述內(nèi)網(wǎng)網(wǎng)關(guān)中還包含第三接收模塊，用于從內(nèi)部網(wǎng)絡(luò)接收待發(fā)送的數(shù)據(jù)； 第三數(shù)據(jù)轉(zhuǎn)換模塊，用于將所述待發(fā)送數(shù)據(jù)轉(zhuǎn)換為所述串口的協(xié)議數(shù)據(jù)； 第三發(fā)送模塊，用于將所述轉(zhuǎn)換后的協(xié)議數(shù)據(jù)通過串口發(fā)送到所述外網(wǎng)網(wǎng)關(guān)； 所述外網(wǎng)網(wǎng)關(guān)中還包含 第四接收模塊，用于通過串口接收來自所述內(nèi)網(wǎng)網(wǎng)關(guān)的協(xié)議數(shù)據(jù)； 第四數(shù)據(jù)轉(zhuǎn)換模塊，用于將所述第四接收模塊收到的串口的協(xié)議數(shù)據(jù)轉(zhuǎn)換為網(wǎng)口數(shù)據(jù)； 第四發(fā)送模塊，用于通過外部公共網(wǎng)絡(luò)將所述網(wǎng)口數(shù)據(jù)發(fā)送到目標(biāo)接收端。
全文摘要
本發(fā)明公開了一種內(nèi)網(wǎng)與外網(wǎng)間的信息安全傳輸控制方法及其網(wǎng)關(guān)，在內(nèi)部工業(yè)網(wǎng)絡(luò)與外部公共網(wǎng)絡(luò)之間分別設(shè)置一內(nèi)網(wǎng)網(wǎng)關(guān)和一外網(wǎng)網(wǎng)關(guān)。內(nèi)部工業(yè)網(wǎng)絡(luò)與內(nèi)網(wǎng)網(wǎng)關(guān)相連，外部公共網(wǎng)絡(luò)通過網(wǎng)口與外網(wǎng)網(wǎng)關(guān)相連，內(nèi)網(wǎng)網(wǎng)關(guān)與外網(wǎng)網(wǎng)關(guān)之間則通過串口相連。當(dāng)外網(wǎng)網(wǎng)關(guān)接收來自外部公共網(wǎng)絡(luò)的網(wǎng)口數(shù)據(jù)時，對所收到的網(wǎng)口數(shù)據(jù)和數(shù)據(jù)來源進行安全檢查，并將通過安全檢查的網(wǎng)口數(shù)據(jù)轉(zhuǎn)換為串口的工業(yè)協(xié)議數(shù)據(jù)，通過串口發(fā)送到內(nèi)網(wǎng)網(wǎng)關(guān)，由內(nèi)網(wǎng)網(wǎng)關(guān)將該數(shù)據(jù)發(fā)送到目標(biāo)地址。這種網(wǎng)關(guān)傳輸方式使得內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間實現(xiàn)硬件接口和軟件協(xié)議的雙重隔離，有效防止內(nèi)部網(wǎng)絡(luò)受到外部不良程序的攻擊，使得內(nèi)部網(wǎng)絡(luò)的安全性得到保障。
文檔編號H04L12/66GK102882828SQ20111019241
公開日2013年1月16日 申請日期2011年7月11日 優(yōu)先權(quán)日2011年7月11日
發(fā)明者梁俊, 孫勝前 申請人:上?？婶斚到y(tǒng)軟件有限公司