專利名稱：：一種基于國產(chǎn)自主處理器的硬件防火墻系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
：本實(shí)用新型涉及一種硬件防火墻，具體地說是一種基于國產(chǎn)自主處理器的硬件防火墻系統(tǒng)。
背景技術(shù)：
：Internet的發(fā)展給政府結(jié)構(gòu)、企事業(yè)單位帶來了革命性的改革和開放。他們正努力通過利用Internet來提高辦事效率和市場反應(yīng)速度，以便更具競爭力。通過Internet，企業(yè)可以從異地取回重要數(shù)據(jù)，同時又要面對Internet開放帶來的數(shù)據(jù)安全的新挑戰(zhàn)和新危險(xiǎn)即客戶、銷售商、移動用戶、異地員工和內(nèi)部員工的安全訪問；以及保護(hù)企業(yè)的機(jī)密信息不受黑客和工業(yè)間諜的入侵。因此企業(yè)必須加筑安全的“戰(zhàn)壕"，而這個“戰(zhàn)壕“就是防火墻。當(dāng)前硬件防火墻的硬件架構(gòu)存在三種1)X86硬件架構(gòu)；2)ASIC硬件架構(gòu)；3)網(wǎng)絡(luò)處理器(NP)硬件架構(gòu)。但是上述3種架構(gòu)的都是基于國外的處理器，不能夠在根本上保證系統(tǒng)的自主可控性，從而使信息網(wǎng)絡(luò)的安全也受到不確定因素的威脅。近幾年，在控制器或處理器內(nèi)部添加后門而產(chǎn)生重大影響事件的不斷發(fā)生，對計(jì)算機(jī)系統(tǒng)及其信息安全敲響了警鐘。防火墻作為信息安全最為致命的環(huán)節(jié)，硬件架構(gòu)的國產(chǎn)化更為迫切。
發(fā)明內(nèi)容本實(shí)用新型的技術(shù)任務(wù)是針對現(xiàn)有技術(shù)的不足，提供一種設(shè)計(jì)合理、結(jié)構(gòu)簡單的基于國產(chǎn)自主處理器的硬件防火墻系統(tǒng)。本實(shí)用新型解決其技術(shù)問題所采用的技術(shù)方案是包括龍芯處理器、千兆網(wǎng)絡(luò)控制芯片、顯示芯片、南橋和千兆網(wǎng)絡(luò)接口，南橋、顯示芯片、千兆網(wǎng)絡(luò)控制芯片分別與龍芯處理器相連接，每個千兆網(wǎng)絡(luò)控制芯片分別對應(yīng)一個千兆網(wǎng)絡(luò)接口并與其相連接。千兆網(wǎng)絡(luò)控制芯片設(shè)置有5個。本實(shí)用新型的硬件防火墻系統(tǒng)就是針對國外處理器的不確定性，提供的一種基于國產(chǎn)龍芯2F的一種防火墻系統(tǒng)。本系統(tǒng)包括硬件和軟件部分，硬件和軟件配合完成如下功能用戶管理及權(quán)限分配用戶分為管理員和超級管理員，超級管理員可以增加、修改、刪除用戶，但是不能對防火墻進(jìn)行管理。管理員用戶可以對防火墻進(jìn)行配置管理。用戶登錄需要認(rèn)證，登錄時如果輸入密碼錯誤次數(shù)達(dá)到限制次數(shù)，該賬戶就會處于鎖定狀態(tài)，過固定時間后會自動解鎖。網(wǎng)絡(luò)的基本配置該功能是配置一些網(wǎng)卡的ip，arp等，ip地址通過ifconfig或iplink等命令可以實(shí)現(xiàn)；arp地址的邦定可以通過arp_s或iplink命令來實(shí)現(xiàn)。過濾(filter)、地址轉(zhuǎn)換(snat)、端口影射(dnat)配置該項(xiàng)的配置就是通過iptables命令，去設(shè)置不同表的不同鏈的規(guī)則來實(shí)現(xiàn)的，在內(nèi)核只需要打開netfilter選項(xiàng)和所需模塊就可以實(shí)現(xiàn)。[0011]路由管理，高級路由和多路接入配置默認(rèn)路由，添加、刪除路由規(guī)則，高級路由可以配置的參數(shù)更加詳細(xì)一些，普通路由通過route命令就可以配置，高級路由有iprule和iproute來配合完成。透明模式的配置該功能是用來配置網(wǎng)卡的橋模式，同時也需要支持混合模式，橋模式的配置通過ifconfig和brctl配合實(shí)現(xiàn)。DHCPD的server和DHCPrelay的支持該功能就是通過DHCP協(xié)議地址配置客戶端的ip地址，網(wǎng)關(guān)，這方面的sever有dhcpd和udhcpd等，由于dpchd比較大，所以應(yīng)該選擇udhcpd。DHCP服務(wù)一般是工作在一個網(wǎng)段內(nèi)，通過DHCPrealy的功能就可以從其它網(wǎng)段的服務(wù)器上取得配置信息。DHCPrelay的功能通過dhcrelay工具實(shí)現(xiàn)IDS及其IDS聯(lián)動IDS即入侵檢測系統(tǒng)，能夠?qū)W(wǎng)絡(luò)上的數(shù)據(jù)進(jìn)行探測，并把探測的結(jié)構(gòu)保存起來，以供管理員分析使用。如果配置了IDS聯(lián)動就可以預(yù)先配置好規(guī)則，根據(jù)網(wǎng)絡(luò)的狀態(tài)，如果發(fā)現(xiàn)安全漏洞，就可以通過動態(tài)的配置防火墻來防止攻擊。實(shí)現(xiàn)IDS的比較出名開源軟件有snort，如果要實(shí)現(xiàn)聯(lián)動的功能就需要snortsam這個工具，這個工具有兩部分組成，其中的一部分需要打patch進(jìn)snort，snort需要重新編譯才能支持聯(lián)動。VPN支持VPN(虛擬私人網(wǎng)絡(luò))利用已加密的通道協(xié)議(TunnelingProtocol)來達(dá)到保密、傳送端認(rèn)證、訊息準(zhǔn)確性等私人訊息安全效果。這種技術(shù)可以用不安全的網(wǎng)絡(luò)(例如因特網(wǎng))來傳送可靠、安全的訊息。需要注意的是，加密訊息與否是可以控制的。沒有加密的虛擬私人網(wǎng)絡(luò)訊息依然有被竊取的危險(xiǎn)。常用的TunnelingProtocol有ipsec、pptp、12f、12tp。本系統(tǒng)采用IPSEC的軟件Openswan實(shí)現(xiàn)VPN的功能流量控制通過在內(nèi)核中打開相應(yīng)的QoS選項(xiàng)，在用戶空間是用iproute工具包中的tc就可以實(shí)現(xiàn)流量控制。日志系統(tǒng)日志對防火墻是比較重要的，可以把日志存在本地，也可以把日志傳輸?shù)竭h(yuǎn)程主機(jī)上，通過syslogd和klogd可以實(shí)現(xiàn)日志的功能。其他功能比如ICMP診斷(hping)，路由追蹤(traceroute)，抓報(bào)(探測pdump)等，由于涉及到有大量的數(shù)據(jù)顯示，所以可能需要使用ajax技術(shù)，還有一些特色功能比如p2p軟件，迅雷等，其中用到了的1ayer7這個模塊。本實(shí)用新型的一種基于國產(chǎn)自主處理器的硬件防火墻系統(tǒng)與現(xiàn)有技術(shù)相比，所產(chǎn)生的有益效果是龍芯處理器是中科院計(jì)算所自行研制的、并擁有全部知識產(chǎn)權(quán)的高性能通用處理器，采用MIPS指令集。MIPS體系結(jié)構(gòu)的處理器擁有比較大的10帶寬和中斷處理延遲，非常適合網(wǎng)絡(luò)設(shè)備。在根本上保證了系統(tǒng)的自主可控性，從而避免信息網(wǎng)絡(luò)的安全受到不確定因素的威脅。附圖1是本實(shí)用新型的結(jié)構(gòu)框圖；圖中，1、龍芯處理器，2、千兆網(wǎng)絡(luò)控制芯片，3、顯示芯片，4、南橋，5、千兆網(wǎng)絡(luò)接口。具體實(shí)施方式[0025]以下結(jié)合附圖對本實(shí)用新型作以下詳細(xì)說明。如附圖所示，本實(shí)用新型的一種基于國產(chǎn)自主處理器的硬件防火墻系統(tǒng)，其結(jié)構(gòu)包括龍芯處理器1、千兆網(wǎng)絡(luò)控制芯片2、顯示芯片3、南橋4和千兆網(wǎng)絡(luò)接口5，南橋4、顯示芯片3、千兆網(wǎng)絡(luò)控制芯片2分別與龍芯處理器1相連接，每個千兆網(wǎng)絡(luò)控制芯片2分別對應(yīng)一個千兆網(wǎng)絡(luò)接口5并與其相連接。千兆網(wǎng)絡(luò)控制芯片2設(shè)置有5個。采用龍芯2F處理器，系統(tǒng)提供5個千兆網(wǎng)絡(luò)接口，采用82541ER千兆網(wǎng)絡(luò)控制器芯片，顯示芯片采用SM712嵌入式顯示芯片，南橋采用CS5536芯片。千兆網(wǎng)絡(luò)接口0和網(wǎng)絡(luò)接口1具有Byp—種基于國產(chǎn)自主處理器的硬件防火墻系統(tǒng)ss的功能(在系統(tǒng)不開機(jī)的情況下，千兆網(wǎng)絡(luò)接口0和1具有集線器的功能)。軟件系統(tǒng)采用裁剪的Iinux系統(tǒng)，采用自己設(shè)計(jì)的文件系統(tǒng)。除說明書所述的技術(shù)特征外，均為本專業(yè)人員的已知技術(shù)。權(quán)利要求1.一種基于國產(chǎn)自主處理器的硬件防火墻系統(tǒng)，其特征在于包括龍芯處理器、千兆網(wǎng)絡(luò)控制芯片、顯示芯片、南橋和千兆網(wǎng)絡(luò)接口，南橋、顯示芯片、千兆網(wǎng)絡(luò)控制芯片分別與龍芯處理器相連接，每個千兆網(wǎng)絡(luò)控制芯片分別對應(yīng)一個千兆網(wǎng)絡(luò)接口并與其相連接。2.根據(jù)權(quán)利要求1所述的一種基于國產(chǎn)自主處理器的硬件防火墻系統(tǒng)，其特征在于千兆網(wǎng)絡(luò)控制芯片設(shè)置有5個。專利摘要本實(shí)用新型提供一種基于國產(chǎn)自主處理器的硬件防火墻系統(tǒng)，屬于硬件防火墻領(lǐng)域。該系統(tǒng)的結(jié)構(gòu)包括龍芯處理器、千兆網(wǎng)絡(luò)控制芯片、顯示芯片、南橋和千兆網(wǎng)絡(luò)接口，南橋、顯示芯片、千兆網(wǎng)絡(luò)控制芯片分別與龍芯處理器相連接，每個千兆網(wǎng)絡(luò)控制芯片分別對應(yīng)一個千兆網(wǎng)絡(luò)接口并與其相連接。該系統(tǒng)和現(xiàn)有技術(shù)相比，具有設(shè)計(jì)合理、結(jié)構(gòu)簡單、保證系統(tǒng)自主可控性、避免遭受不確定因素威脅等特點(diǎn)。文檔編號H04L29/06GK202068440SQ20112016775公開日2011年12月7日申請日期2011年5月24日優(yōu)先權(quán)日2011年5月24日發(fā)明者吳登勇,李瑞娥,牛玉峰申請人:山東超越數(shù)控電子有限公司