[发明专利]基于非网络方式的数据隔离装置的数据隔离方法与系统

摘要

本发明提供一种基于非网络方式的数据隔离装置及其隔离方法与系统，包括内网主机、外网主机和隔离通信模块，内外网主机均网络协议栈，并分别维护TCP代理客户端模块和TCP代理服务端模块。TCP代理服务端模块与业务数据包客户端建TCP连接socket1及数据转发，TCP代理客户端模块负责与业务数据包服务端建立TCP连接socket2及数据转发，隔离通信模块使用私有协议，剥除了业务数据包TCP头及以下的报文头，仅进行纯业务数据载荷转发。整体上实现内、外端主机之间的四层隔离子系统通信，有效阻止除“基于私有协议内部的攻击”之外的所有网络攻击，确保内部网络与外部网络物理隔绝的前提下，网络数据交互的高效率。

主权项

1.一种基于非网络方式的数据隔离装置的数据隔离方法，其特征在于，非网络方式的数据隔离装置包括内网主机、外网主机和隔离通信模块，所述内网主机和所述外网主机通过所述隔离通信模块物理连接，所述内网主机和所述外网主机分别加载有隔离通道私有协议、操作系统和网络协议栈；非网络方式的数据隔离装置的数据隔离方法包括步骤：建立所述外网主机中的TCP代理服务端和所述内网主机中的TCP代理客户端；采用端口重定向技术，建立所述TCP代理服务端与外网数据包客户端之间的TCP连接socket1；获取隔离通信模块的私有通信协议，根据所述隔离通信模块的私有通信协议，建立所述TCP代理服务端与所述TCP代理客户端之间的非网络隔离通道；采用源网络地址转换查询技术，建立所述TCP代理客户端与外网数据包服务端的TCP连接socket2；将socket1和socket2维护成逻辑通道，以使外网数据包客户端与外网数据包服务端之间传输的业务数据包在socket1、隔离通道和socket2三段区间内传输；当有业务数据包通过所述非网络隔离通道传输时，剥除所述业务数据包的TCP头及以下的报文头，仅进行纯业务数据载荷传输；所述采用源网络地址转换查询技术，建立所述TCP代理客户端与外网数据包服务端的TCP连接socket2具体包括步骤：所述TCP代理客户端建立套接字socket2，并绑定port3接口；所述TCP代理客户端向内核添加源网络地址转换策略，将TCP代理服务端到所述TCP代理客户端的数据包源地址映射为外网数据包客户端的地址；所述TCP代理客户端使用socket2向外网数据包服务端发起TCP连接请求，外网数据包服务端读取到连接源地址为外网数据包客户端的地址，连接建立成功；所述当有业务数据包通过所述非网络隔离通道传输时，剥除所述业务数据包的TCP头及以下的报文头，仅进行纯业务数据载荷传输之前还有步骤：当socket1或socket2主被动断开时，删除内网主机中的所有源网络地址转换策略。