使用集中器實(shí)現(xiàn)網(wǎng)絡(luò)安全隔離的方法及集中器的制造方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及智能用電技術(shù)領(lǐng)域，特別是涉及一種使用集中器實(shí)現(xiàn)網(wǎng)絡(luò)安全隔離的方法，還涉及一種集中器。
【背景技術(shù)】
[0002]在智能用電領(lǐng)域，集中器用于向下抄讀電表數(shù)據(jù)，并將電表數(shù)據(jù)向上傳送至主站，以及響應(yīng)主站進(jìn)行通信。傳統(tǒng)的集中器主要在私網(wǎng)運(yùn)行，即將集中器抄讀到的電表數(shù)據(jù)通過(guò)內(nèi)部網(wǎng)絡(luò)傳輸?shù)焦╇娋炙骄W(wǎng)主站上。用戶可以通過(guò)公網(wǎng)(公網(wǎng))訪問(wèn)供電局內(nèi)部服務(wù)器數(shù)據(jù)。為防止外部惡意攻擊供電局網(wǎng)絡(luò)，在公網(wǎng)和供電局服務(wù)器通信過(guò)程中，必須增加隔離裝置。該隔離裝置能夠?qū)?nèi)部和外部數(shù)據(jù)安全隔離，從而提高了網(wǎng)絡(luò)的安全性。
[0003]隨著供電局客戶要求多樣性發(fā)展，目前很多地方要求集中器具備兩個(gè)網(wǎng)口來(lái)實(shí)現(xiàn)獨(dú)立通信。當(dāng)兩個(gè)網(wǎng)口一路在私網(wǎng)通信，一路和公網(wǎng)通信時(shí)，按照信息安全規(guī)定要求，必須在和公網(wǎng)通信的網(wǎng)絡(luò)上增加隔離裝置。該裝置的造價(jià)高且安裝調(diào)試復(fù)雜，會(huì)極大增加了系統(tǒng)成本及施工難度。

【發(fā)明內(nèi)容】

[0004]基于此，有必要提供一種使用集中器實(shí)現(xiàn)網(wǎng)絡(luò)安全隔離的方法。
[0005]—種使用集中器實(shí)現(xiàn)網(wǎng)絡(luò)安全隔離的方法，所述集中器中設(shè)置有至少兩個(gè)網(wǎng)口 ；所述至少兩個(gè)網(wǎng)口中包括用于與公網(wǎng)連接的公網(wǎng)網(wǎng)口以及用于與私網(wǎng)連接的私網(wǎng)網(wǎng)口 ；所述公網(wǎng)網(wǎng)口和所述私網(wǎng)網(wǎng)口均獨(dú)立配置有物理芯片和路由芯片；所述方法包括以下步驟:接收由所述公網(wǎng)網(wǎng)口發(fā)送來(lái)的數(shù)據(jù)包，并獲取數(shù)據(jù)包發(fā)送方的IP地址以及MAC地址；判斷所述IP地址與所述MAC地址是否匹配；若是，則獲取所述集中器的虛擬IP地址，并將數(shù)據(jù)包發(fā)送至所述虛擬IP地址；在所述虛擬IP地址中判斷數(shù)據(jù)包中的數(shù)據(jù)是否為目標(biāo)格式數(shù)據(jù)；若是則將數(shù)據(jù)包發(fā)送至所述集中器的實(shí)際IP地址；對(duì)數(shù)據(jù)包進(jìn)行過(guò)濾將數(shù)據(jù)幀格式不符合目標(biāo)通信協(xié)議格式的數(shù)據(jù)包去除；將過(guò)濾后的數(shù)據(jù)包通過(guò)所述私網(wǎng)網(wǎng)口發(fā)送至私網(wǎng)。
[0006]在其中的一個(gè)實(shí)施例中，所述在所述虛擬IP地址中判斷數(shù)據(jù)包中的數(shù)據(jù)是否為目標(biāo)格式數(shù)據(jù)的步驟中，所述目標(biāo)格式數(shù)據(jù)為HEX格式數(shù)據(jù)，
[0007]在其中的一個(gè)實(shí)施例中，所述對(duì)數(shù)據(jù)包進(jìn)行過(guò)濾將數(shù)據(jù)幀格式不符合目標(biāo)通信協(xié)議格式的數(shù)據(jù)包去除的步驟中，所述目標(biāo)通信協(xié)議格式為IEC62056通信協(xié)議格式。
[0008]在其中的一個(gè)實(shí)施例中，所述接收由所述公網(wǎng)網(wǎng)口發(fā)送來(lái)的數(shù)據(jù)包，并獲取數(shù)據(jù)包發(fā)送方的IP地址以及MAC地址的步驟之后、所述將過(guò)濾得到的數(shù)據(jù)包通過(guò)所述私網(wǎng)網(wǎng)口發(fā)送至私網(wǎng)的步驟之前還包括步驟:獲取所述數(shù)據(jù)包的通信請(qǐng)求類型；對(duì)數(shù)據(jù)包進(jìn)行過(guò)濾將所述集中器不支持的通信請(qǐng)求類型的數(shù)據(jù)包去除。
[0009]在其中的一個(gè)實(shí)施例中，所述對(duì)數(shù)據(jù)包進(jìn)行過(guò)濾將數(shù)據(jù)幀格式不符合目標(biāo)通信協(xié)議格式的數(shù)據(jù)包去除的步驟是在網(wǎng)絡(luò)通信的鏈路層進(jìn)行。
[0010]一種集中器，包括至少兩個(gè)網(wǎng)口、微處理器、數(shù)據(jù)處理器以及協(xié)議過(guò)濾裝置；所述至少兩個(gè)網(wǎng)口、所述數(shù)據(jù)處理器分別與所述微處理器連接；所述至少兩個(gè)網(wǎng)口中包括用于與公網(wǎng)連接的公網(wǎng)網(wǎng)口以及用于與私網(wǎng)連接的私網(wǎng)網(wǎng)口 ；所述公網(wǎng)網(wǎng)口和所述私網(wǎng)網(wǎng)口均獨(dú)立配置有物理芯片以及路由芯片；所述公網(wǎng)網(wǎng)口用于接收公網(wǎng)發(fā)送來(lái)的數(shù)據(jù)包，并獲取數(shù)據(jù)包發(fā)送方的IP地址以及MAC地址；所述微處理器用于判斷所述IP地址與所述MAC地址是否匹配，并在所述IP地址與所述MAC地址匹配時(shí)獲取集中器的虛擬IP地址；所述微處理器還用于將所述數(shù)據(jù)包發(fā)送至所述虛擬IP地址；所述數(shù)據(jù)處理器用于判斷所述發(fā)送至所述虛擬IP地址的數(shù)據(jù)包中的數(shù)據(jù)是否為目標(biāo)格式數(shù)據(jù)，并在所述數(shù)據(jù)包中的數(shù)據(jù)為目標(biāo)格式數(shù)據(jù)時(shí)將數(shù)據(jù)包發(fā)送至所述集中器的實(shí)際IP地址；所述協(xié)議過(guò)濾裝置用于對(duì)發(fā)送至所述集中器的實(shí)際IP地址的數(shù)據(jù)包進(jìn)行過(guò)濾，將數(shù)據(jù)幀格式不符合目標(biāo)通信協(xié)議格式的數(shù)據(jù)包去除；所述私網(wǎng)接口用于將過(guò)濾后的數(shù)據(jù)包發(fā)送至私網(wǎng)。
[0011 ] 在其中的一個(gè)實(shí)施例中，所述目標(biāo)格式數(shù)據(jù)為HEX格式數(shù)據(jù)。
[0012]在其中的一個(gè)實(shí)施例中，所述目標(biāo)通信協(xié)議格式為IEC62056通信協(xié)議格式。
[0013]在其中的一個(gè)實(shí)施例中，所述集中器采用裁剪的Linux操作系統(tǒng)；所述裁剪的Linux操作系統(tǒng)支持預(yù)設(shè)通信請(qǐng)求；所述數(shù)據(jù)處理器還用于對(duì)數(shù)據(jù)包進(jìn)行過(guò)濾，將所述集中器不支持的通信請(qǐng)求類型的數(shù)據(jù)包去除。
[0014]在其中的一個(gè)實(shí)施例中，所述協(xié)議過(guò)濾裝置設(shè)置于網(wǎng)絡(luò)通信的鏈路層。
[0015]上述使用集中器實(shí)現(xiàn)網(wǎng)絡(luò)安全隔離的方法及集中器，可以實(shí)現(xiàn)集中器的公網(wǎng)與私網(wǎng)之間的安全隔離，從而無(wú)需再在集中器與公網(wǎng)連接的網(wǎng)絡(luò)上增加安全隔離裝置，成本較低且運(yùn)行簡(jiǎn)單，有效降低了系統(tǒng)成本以及施工難度。
【附圖說(shuō)明】
[0016]圖1為一實(shí)施例中的使用集中器實(shí)現(xiàn)網(wǎng)絡(luò)安全隔離的方法的流程圖；
[0017]圖2為一實(shí)施例中的集中器的結(jié)構(gòu)框圖。
【具體實(shí)施方式】
[0018]為了使本發(fā)明的目的、技術(shù)方案及優(yōu)點(diǎn)更加清楚明白，以下結(jié)合附圖及實(shí)施例，對(duì)本發(fā)明進(jìn)行進(jìn)一步詳細(xì)說(shuō)明。應(yīng)當(dāng)理解，此處所描述的具體實(shí)施例僅僅用以解釋本發(fā)明，并不用于限定本發(fā)明。
[0019]—實(shí)施例中的使用集中器實(shí)現(xiàn)網(wǎng)絡(luò)安全隔離的方法，該集中器設(shè)置有至少兩個(gè)網(wǎng)口。具體地，至少兩個(gè)網(wǎng)口中包括用于與公網(wǎng)(公共網(wǎng)絡(luò)，即外網(wǎng))服務(wù)器連接的公網(wǎng)網(wǎng)口以及用于與私網(wǎng)(內(nèi)部網(wǎng)絡(luò))服務(wù)器(即供電內(nèi)網(wǎng)主站)連接的私網(wǎng)網(wǎng)口。公網(wǎng)網(wǎng)口和私網(wǎng)網(wǎng)口均獨(dú)立配置有物理(PHY)芯片以及路由(MAC)芯片，以保證路由的獨(dú)立性，從而對(duì)各個(gè)網(wǎng)絡(luò)口到來(lái)的數(shù)據(jù)幀能正確應(yīng)答，防止出現(xiàn)集中器給各個(gè)網(wǎng)口群發(fā)導(dǎo)致數(shù)據(jù)泄露。物理芯片以及路由芯片由同一中央處理器(CPU)進(jìn)行管理以實(shí)現(xiàn)網(wǎng)口之間正常無(wú)干擾通信。集中器通過(guò)485/PLC/光纖/網(wǎng)絡(luò)向下抄讀電表，取得電表數(shù)據(jù)后，主動(dòng)上報(bào)給私網(wǎng)服務(wù)器或等待私網(wǎng)服務(wù)器或者公網(wǎng)服務(wù)器抄讀。集中器同時(shí)給內(nèi)公網(wǎng)服務(wù)器提供數(shù)據(jù)，通過(guò)集中器可以實(shí)現(xiàn)私網(wǎng)和公網(wǎng)的安全隔離，提高網(wǎng)絡(luò)安全性。
[0020]圖1為一實(shí)施例中的使用集中器實(shí)現(xiàn)網(wǎng)絡(luò)安全隔離的方法的流程圖，包括以下步驟。
[0021]S110，接收由公網(wǎng)網(wǎng)口發(fā)送來(lái)的數(shù)據(jù)包，并獲取數(shù)據(jù)包發(fā)送方的IP地址以及MAC地址。
[0022]集中器通過(guò)公網(wǎng)接口接收由公網(wǎng)服務(wù)器發(fā)送來(lái)的數(shù)據(jù)包，并獲取數(shù)據(jù)包發(fā)送方的IP地址以及MAC地址。
[0023]S120，判斷數(shù)據(jù)包發(fā)送方的IP地址與MAC地址是否匹配。
[0024]為防止IP地址欺騙，會(huì)對(duì)發(fā)送方的IP地址以及MAC地址進(jìn)行綁定。因此，在獲取到數(shù)據(jù)包發(fā)送方的IP地址以及MAC地址后，集中器會(huì)根據(jù)獲取到的IP地址判斷集中器內(nèi)是否存儲(chǔ)有對(duì)應(yīng)于該IP地址的MAC地址。如果存儲(chǔ)有，則進(jìn)一步判斷存儲(chǔ)的MAC地址與獲取到的數(shù)據(jù)包發(fā)送方的MAC地址是否相同。如果二者相同，則判斷數(shù)據(jù)包發(fā)送方的IP地址與MAC地址匹配，執(zhí)行步驟S130以及后續(xù)步驟，否則不匹配，執(zhí)行步驟S170。
[0025]在本實(shí)施例中，在執(zhí)行步驟S120的步驟之前還可以包括預(yù)存數(shù)據(jù)包發(fā)送方的IP地址以及MAC地址的步驟。集中器會(huì)對(duì)經(jīng)常接入的數(shù)據(jù)包發(fā)送方的IP地址以及MAC地址進(jìn)行預(yù)先存儲(chǔ)。在其他的實(shí)施例中，集中器還會(huì)對(duì)多次通信成功后的數(shù)據(jù)包發(fā)送方的IP地址以及MAC地址進(jìn)行記錄存儲(chǔ)，從而作為下一次數(shù)據(jù)傳輸過(guò)程中進(jìn)行IP地址與MAC地址是否匹配的判斷依據(jù)。
[0026]S130，獲取集中器的虛擬IP地址，并將數(shù)據(jù)包發(fā)送至該虛擬IP地址。
[0027]具體地，根據(jù)集中器的IP地址獲取相應(yīng)的內(nèi)部虛擬IP地址，從而將私網(wǎng)通信的IP地址對(duì)外掩藏，防止外部攻擊，進(jìn)一步提高了網(wǎng)絡(luò)通信的安全性。具體地，虛擬IP地址可以與集中器的實(shí)際IP地址進(jìn)行綁定，從而根據(jù)集中器的實(shí)際地址既可以獲取到與其對(duì)應(yīng)的虛擬IP地址。虛擬IP地址也可以根據(jù)通信需要進(jìn)行動(dòng)態(tài)生成，從而進(jìn)一步提高了系統(tǒng)的抗外部攻擊性能。在一實(shí)施例中，在將數(shù)據(jù)包發(fā)送至虛擬IP地址之前，還會(huì)對(duì)數(shù)據(jù)包進(jìn)行通用格式的過(guò)濾。具體地，集中器中會(huì)預(yù)設(shè)部分常用的通用格式，因此當(dāng)數(shù)據(jù)包發(fā)送至集中器時(shí)會(huì)將不是預(yù)設(shè)的通用格式的數(shù)據(jù)包進(jìn)行過(guò)濾去除，從而進(jìn)一步提高系統(tǒng)的抗外部攻擊性能。通用格式的設(shè)定可以根據(jù)實(shí)際通信過(guò)程中的數(shù)據(jù)包格式進(jìn)行設(shè)定。
[0028]S140，在虛擬IP地址中判斷數(shù)據(jù)包中的數(shù)據(jù)是否為目標(biāo)格式數(shù)據(jù)。
[0029]在虛擬IP地址中會(huì)對(duì)數(shù)據(jù)包中的數(shù)據(jù)是否為目標(biāo)格式數(shù)據(jù)進(jìn)行判斷，從而僅將是目標(biāo)格式數(shù)據(jù)的數(shù)據(jù)包保留執(zhí)行步驟S150?S170，否則將丟棄該數(shù)據(jù)包，即執(zhí)行步驟SlSO0通過(guò)虛擬IP地址的過(guò)濾處理，可以保證數(shù)據(jù)包中的數(shù)據(jù)的有效性，從而確保將有效的數(shù)據(jù)包發(fā)送至實(shí)際IP地址中，提高數(shù)據(jù)處理效率的同時(shí)也能夠提高系統(tǒng)的抗外界攻擊性能，提高系統(tǒng)安全性。目標(biāo)格式可以根據(jù)實(shí)際使用需要進(jìn)行設(shè)定，可以為單一目標(biāo)格式也可以為多個(gè)目標(biāo)格式。在本實(shí)施例中，目標(biāo)格式為HEX格式，即僅在數(shù)據(jù)包括中的數(shù)據(jù)為HEX格式數(shù)據(jù)時(shí)才允許其通過(guò)，并執(zhí)行步驟S150?S170，否則執(zhí)行步驟S170。
[0030]S150，將數(shù)據(jù)包括發(fā)送至集中器的實(shí)際IP地址。
[0031 ] 在本實(shí)施例中，數(shù)據(jù)包先發(fā)送至虛擬IP地址處進(jìn)行過(guò)濾處理，從而將具有目標(biāo)格式數(shù)據(jù)的數(shù)據(jù)包發(fā)送至集中器的實(shí)際IP地址中，可以有效屏蔽直接IP攻擊，提高了系統(tǒng)的安全性。
[0032]S160，對(duì)數(shù)據(jù)包進(jìn)行過(guò)濾將數(shù)據(jù)幀格式不符合目標(biāo)通信協(xié)議格式的數(shù)據(jù)包去除。
[0033]為杜絕非法訪問(wèn)幀，需要對(duì)數(shù)據(jù)包中的數(shù)據(jù)幀的格式進(jìn)行判斷，以進(jìn)一步提高通信安全性。目標(biāo)通信協(xié)議格式可以根據(jù)需要進(jìn)行設(shè)定。在本實(shí)施例中，該步驟是在網(wǎng)絡(luò)通信的鏈路層進(jìn)行的。該目標(biāo)通信協(xié)議格式為IEC62056協(xié)議格式，即只有數(shù)據(jù)幀滿足IEC62056格式才允許通過(guò)，并執(zhí)行步驟S170，否則執(zhí)行步驟S180。
[0034]S170，將過(guò)濾后的數(shù)據(jù)包通過(guò)私網(wǎng)網(wǎng)口發(fā)送至私網(wǎng)。