[发明专利]内外测网间隔离计算机

说明书

所属技术领域

本发明涉及一种网络通信安全防护装置，尤其是一种具有网络数据线速过滤和隔离功能的内外测网间隔离计算机。 

背景技术

目前，公知的能在网络上起到通信安全防护作用的防火墙、网闸一般采取存储转发的方式工作。由于对所有接收到的网络帧都进行转发，其中可能包含病毒、木马等数据帧，这些数据帧会影响“关键部位”内网的数据安全，并可能会窃取内部机密数据传播到外部的网络中，造成数据泄密。因此，在现阶段以太网数据通信中，保障关键内网的数据安全，进行数据过滤、隔离尤为重要。本发明中的网间隔离计算机，是一种专门用于为各部门外部网以及内部不同密级网络之间的隔离和安全防护而设计的一款双向网络信息安全隔离设备，可以有效地保护部门内部网络的边界安全，高速可靠地实现内网和外网的隔离通信，既保证了正常的数据交互通信需求，有保证了数据交互的安全、可靠、可控。 

发明内容

为了克服防火墙、网闸的无法对网路数据内容进行过滤和直接线速处理的不足，本发明提供一种网间隔离计算机，该隔离计算机不仅能控制网间数据交换，而且能可考虑地对通信数据的特征进行判断，从而保证内外网间的数据安全。 

本发明解决其技术问题所采用的技术方案是：不使用通用计算机附加常规数据摆渡外设的形式；系统设计采用自适应的10M/100M/1000M网口方案，同时设计光口和电口，由系统配置决定工作状态；一个网口用于与单位内部以太网相连，用来接收内网数据或者转发经过滤隔离后的外网数据；另一个网口与外网的数据交换设备相连，根据转发协议的规范以组播的形式分发给外网的可靠接收端的计算机；由于内外网分别使用专用网口，且两个网口之间采用的是非网络的数据摆渡方式，加上数据流向的控制和数据过滤，从而实现两侧网络的物理隔离。网间隔离计算机的工作模式由ARM管理(用户通过配套设置软件可方便配置系统工作状态)，系统设计网络接口与以太网完全兼容。 

本发明的实施效果是，可以在完全线速处理的条件下完成网间数据包的过滤和隔离，即完成了网络数据的安全传输，又保证了数据传输速率不会由于本设备的加入而降低。 

附图说明

下面结合附图和实施实例对本发明做进一步说明。 

图1是网间隔离计算机整体结构组成示意图，是本发明的接口组成框图。 

图2是网络隔离计算机主控板原理设计框图，是本发明的原理框图。 

如说明书附图中图1所示，本发明的隔离计算机由主控板、内网光口和电口、外网光口和电口、LCD接口、按键接口组成。主控板完成内网网络接口数据物理层接入、传输层手法、以太网包过滤等功能；内网光口和电口用于连接内网的交换机系统，可以使用千兆以太网口，也可以使用1.25Gbps的光纤接口；同理，外网光口和电口也可以使用千兆以太网口和1.25Gbps的光纤接口；LCD接口用来显示系统工作状态、自检信息、统计信息等；按键用来查看系统状态。 

如说明书附图中图2所示，网络接口的PHY芯片为88E1111，MAC控制器为AX88180，逻辑控制FPGA型号为XC5VLC060，ARM控制单元型号为LPC2478。隔离计算机的工作原理如下：从10/100/1000M Base-T网络来的数据首先经过物理层协议芯片(PHY)，然后由10/100/1000M Base-T网络控制器接收；接收端的FPGA使用硬件逻辑的方式缓冲每一包UDP(TCP/IP)协议数据(依据网络标准，每包最多1512字节，最少64字节，由于网络芯片内部已经有缓存，此处设计最多4包缓存量)，同时完成数据分析，关键字(标志位)的判断(例如：是否该数据包是发送给本机的，是则处理，否则扔掉)，然后将合法数据根据设置进行处理后，使用32位并行总线将数据转发给FPGA-2；FPGA-2收到数据以后，根据关键字(标志位)的内容，从映射IP列表中取得IP地址(组播策略)，然后分发(组播)数据；分发策略由单片机 管理，根据具体设计由单片机将每个终端IP(或组播策略)写入到相应寄存器中；由于整个物理层均在系统控制当中，因此完全可以完成设备两端网口的“非正常”访问数据的隔离。 

具体实施方式

如说明书附图中图2所示，首先根据电路板的CAD图纸加工PCB板，然后根据器件清单和位号进行焊接。焊接完毕进行质检工作，检验合格的板子首先需要进行加电测试，然后再一次烧写FPGA软件和ARM处理器软件，再进行通信测试，通过测试则表明系统可以正常工作了。 

使用时，首先将内外网的网线分别接在网间隔离计算机后面板的两个不同的网口上，然后将交流220V电压接到网间隔离计算机的后面板上，开启前面板开关按钮，网间隔离计算机启动。通过系统隔离设置软件，对隔离计算机进行过滤规则的设置；设置完毕之后，隔离计算机就可以按照设置好的隔离规则进行内外网数据的隔离通信，正常工作。用户可以随时添加或者删除网络隔离计算的隔离规则。