專利名稱：基于代理映射的網(wǎng)絡(luò)安全隔離與信息交換系統(tǒng)及方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種網(wǎng)絡(luò)安全隔離與信息交換系統(tǒng)及方法，具體是一種基于代理映射的網(wǎng)絡(luò)安全隔離與信息交換系統(tǒng)及方法。用于信息安全、網(wǎng)絡(luò)數(shù)據(jù)交換領(lǐng)域。
背景技術(shù)：
目前普遍采用的網(wǎng)絡(luò)邊界安全防護(hù)機(jī)制是通過防火墻來實現(xiàn)的。防火墻的實現(xiàn)技術(shù)有主要包過濾、應(yīng)用代理和狀態(tài)檢測等。由于防火墻的硬件體系結(jié)構(gòu)采用單一的堡壘主機(jī)的方式，一旦被黑客攻占，則防火墻則完全失去效用。因此普通的網(wǎng)絡(luò)防火墻產(chǎn)品已無法滿足重要網(wǎng)絡(luò)和數(shù)據(jù)的安全需求。對于金融、政府和科研機(jī)構(gòu)等對網(wǎng)絡(luò)安全有高等級要求的用戶，它們往往是建立一個專用的內(nèi)部網(wǎng)絡(luò)，內(nèi)網(wǎng)和外網(wǎng)之間采用物理隔離。這就給不同信任域之間的信息交換帶來了不便。安全隔離與信息交換是一種新型的能夠在保證內(nèi)外網(wǎng)之間鏈路隔離的基礎(chǔ)上進(jìn)行適度安全的信息交換的技術(shù)。該技術(shù)的特點是在安全隔離與信息交換系統(tǒng)中連接內(nèi)外網(wǎng)的鏈路斷開，通過隔離存儲器用擺渡的方式交換數(shù)據(jù)，在網(wǎng)絡(luò)之間交換的數(shù)據(jù)都是應(yīng)用層的數(shù)據(jù)，系統(tǒng)不直接或者間接地轉(zhuǎn)發(fā)IP包形式的數(shù)據(jù)。由于用硬件隔離交換數(shù)據(jù)的方式打斷了內(nèi)外網(wǎng)間的直接協(xié)議交互，因此從原理上能提供比防火墻更高的安全性。
目前安全隔離與信息交換系統(tǒng)一般采用雙代理中繼的方法進(jìn)行信息交換，經(jīng)檢索發(fā)現(xiàn)，北京京泰網(wǎng)絡(luò)科技有限公司是一家專門從事信息安全隔離產(chǎn)品研發(fā)和生產(chǎn)的公司，該公司2003年的產(chǎn)品京泰安全信息交流系統(tǒng)就采用了雙代理中繼的方式。如對于郵件業(yè)務(wù)，內(nèi)網(wǎng)和外網(wǎng)中分別安裝一個郵件代理服務(wù)器，內(nèi)網(wǎng)用戶發(fā)送的郵件完全被內(nèi)網(wǎng)代理服務(wù)器接收，然后通過京泰安全信息交流系統(tǒng)切換到外網(wǎng)代理服務(wù)器，外網(wǎng)代理服務(wù)器再發(fā)送到外部網(wǎng)絡(luò)，反之亦然。此方法的缺點在于用戶接收或者發(fā)送數(shù)據(jù)需要經(jīng)過兩次完整的緩存轉(zhuǎn)發(fā)，相當(dāng)于內(nèi)外網(wǎng)兩個代理服務(wù)器通過安全隔離與信息交換系統(tǒng)進(jìn)行數(shù)據(jù)的鏡像和同步，實時性和可擴(kuò)展性差。此外，除安全隔離與信息交換系統(tǒng)外，還需要用戶額外配置內(nèi)外網(wǎng)服務(wù)器增加了用戶成本和管理的復(fù)雜度。

發(fā)明內(nèi)容
本發(fā)明的目的在于針對基于雙代理中繼的網(wǎng)絡(luò)安全隔離與信息交換方法的不足，提出了一種基于代理映射的網(wǎng)絡(luò)安全隔離與信息交換系統(tǒng)及方法，即在安全隔離與信息交換系統(tǒng)內(nèi)部對因特網(wǎng)的應(yīng)用層數(shù)據(jù)進(jìn)行映射代理交換，該方法能對基于傳輸控制協(xié)議(TCP)的交互式網(wǎng)絡(luò)服務(wù)提供代理服務(wù)，使得安全隔離與信息交換設(shè)備既可以支持非實時的網(wǎng)絡(luò)間數(shù)據(jù)交換也可以支持萬維網(wǎng)(WEB)瀏覽、電子郵件(Email)傳輸?shù)葘崟r網(wǎng)絡(luò)業(yè)務(wù)。它提高了信息交互的實時性，并且不需要用戶在安全隔離與信息交換系統(tǒng)外再額外配置服務(wù)器，減少了用戶成本和管理復(fù)雜性。
本發(fā)明是通過以下技術(shù)方案實現(xiàn)的，本發(fā)明安全隔離與信息交換系統(tǒng)包括三部分內(nèi)網(wǎng)處理單元、外網(wǎng)處理單元和隔離交換單元。內(nèi)、外網(wǎng)處理單元各自擁有一個網(wǎng)絡(luò)接口及獨立的IP地址，分別連接著信任域網(wǎng)絡(luò)(內(nèi)網(wǎng))和非信任域網(wǎng)絡(luò)(外網(wǎng))，它們是兩個獨立的服務(wù)器系統(tǒng)，隔離交換單元包括隔離切換控制器和隔離存儲器，內(nèi)、外網(wǎng)處理單元分別通過高速數(shù)據(jù)傳輸線與隔離交換單元的隔離切換控制器相連，隔離切換控制器還連接著隔離存儲器，在任意一個時間點上，內(nèi)、外網(wǎng)處理單元只能有一個訪問隔離存儲器，內(nèi)外網(wǎng)處理單元通過隔離交換單元交換信息，內(nèi)網(wǎng)處理單元包含一個代理存根，外網(wǎng)處理單元包含一個代理引擎，對內(nèi)網(wǎng)用戶而言，安全隔離與信息交換系統(tǒng)是一個應(yīng)用代理服務(wù)器，由代理存根和代理引擎協(xié)同工作完成一個完整的應(yīng)用代理服務(wù)器功能，兩者基于隔離交換單元通過應(yīng)用傳輸協(xié)議進(jìn)行對話和數(shù)據(jù)交換。
隔離切換控制單元的作用相當(dāng)于一個單刀雙擲的電子開關(guān)，它周期地在內(nèi)、外網(wǎng)處理單元與之連接的高速數(shù)據(jù)傳輸線之間切換，保證在任意一個時間點上，內(nèi)、外網(wǎng)處理單元只能有一個訪問隔離存儲器。
安全隔離與信息交換系統(tǒng)工作在代理服務(wù)器模式。內(nèi)網(wǎng)用戶可視該系統(tǒng)為一個普通的應(yīng)用代理服務(wù)器。在使用萬維網(wǎng)和電子郵件服務(wù)時，用戶需要在相應(yīng)的客戶端軟件(IE或OUTLOOK)中設(shè)置代理，代理服務(wù)器的地址為該系統(tǒng)內(nèi)網(wǎng)處理單元地址。一個完整的代理服務(wù)器功能被分割為位于外網(wǎng)處理單元的代理引擎和位于內(nèi)網(wǎng)處理單元的代理存根兩部分，代理存根和代理引擎通過調(diào)用內(nèi)、外網(wǎng)中的傳輸接口進(jìn)行通信。傳輸接口將信息傳遞給切換控制軟件，并通過它來驅(qū)動隔離交換單元完成信息在內(nèi)、外處理單元之間的切換所述的代理存根，在安全隔離與信息交換系統(tǒng)的內(nèi)網(wǎng)處理單元上，對每一種網(wǎng)絡(luò)業(yè)務(wù)它是一個系統(tǒng)守護(hù)進(jìn)程。它在網(wǎng)絡(luò)接口端通過SOCKET調(diào)用與TCP/IP協(xié)議棧通信，在隔離交換端通過傳輸接口用內(nèi)部映射協(xié)議通信。代理存根主要實現(xiàn)一個代理服務(wù)器的前端處理，包括對來自信任域用戶的連接請求進(jìn)行檢查。在記錄每個合法連接的狀態(tài)后，連接請求將通過內(nèi)部映射協(xié)議轉(zhuǎn)發(fā)給外網(wǎng)處理單元的代理引擎。
處理映射協(xié)議從外網(wǎng)處理單元接收的數(shù)據(jù)，并根據(jù)保存的連接狀態(tài)將數(shù)據(jù)轉(zhuǎn)發(fā)給內(nèi)網(wǎng)相應(yīng)的連接。
所述的代理引擎，在外網(wǎng)處理單元中，它在網(wǎng)絡(luò)接口端通過網(wǎng)絡(luò)插口(SOCKET)調(diào)用與TCP/IP協(xié)議棧通信，在隔離交換端通過傳輸接口與內(nèi)部映射協(xié)議通信。對每一種網(wǎng)絡(luò)業(yè)務(wù)，它是一個系統(tǒng)守護(hù)進(jìn)程，實現(xiàn)一個完整代理服務(wù)器的絕大多數(shù)處理，包括通過傳輸接口接收來自內(nèi)網(wǎng)處理單元的業(yè)務(wù)請求，向外部網(wǎng)絡(luò)服務(wù)器發(fā)出應(yīng)用請求。
接收外部網(wǎng)絡(luò)服務(wù)器返回的數(shù)據(jù)，對數(shù)據(jù)進(jìn)行內(nèi)容檢查和病毒查殺。
調(diào)用傳輸接口，將外部網(wǎng)絡(luò)返回的信息通過隔離傳輸通道切換回內(nèi)網(wǎng)。
所述的傳輸接口，是代理引擎和代理存根與內(nèi)部映射協(xié)議之間通信的接口，主要進(jìn)行以下處理接收來自代理存根或代理引擎的需要交換的信息，將其編碼、封裝成內(nèi)部映射協(xié)議報文后通過切換控制程序?qū)懭氲礁綦x存儲器中。
從切換控制程序中讀入內(nèi)外網(wǎng)處理單元交換的數(shù)據(jù)，根據(jù)內(nèi)部映射協(xié)議解析報文后，將報文信息分發(fā)到不同的代理存根或代理引擎。
所述的切換控制軟件，實現(xiàn)對隔離交換單元硬件的識別和控制，保證在傳輸協(xié)議層讀寫數(shù)據(jù)時是物理設(shè)備真實連接的，并且保證讀寫的可靠性。它在系統(tǒng)中為隔離交換單元的硬件驅(qū)動程序，并提供與內(nèi)部映射協(xié)議進(jìn)程的通信接口。
本發(fā)明基于代理映射的網(wǎng)絡(luò)安全隔離與信息交換方法，由上述的安全隔離與信息交換系統(tǒng)作為一個網(wǎng)絡(luò)代理服務(wù)器向內(nèi)網(wǎng)用戶提供網(wǎng)絡(luò)代理服務(wù)，是通過分別位于安全隔離與信息交換系統(tǒng)內(nèi)、外網(wǎng)處理單元的代理存根和代理引擎調(diào)用內(nèi)部定義的傳輸接口并通過隔離交換單元來完成內(nèi)、外網(wǎng)處理單元間的數(shù)據(jù)交換，從而以代理映射的方式建立一條內(nèi)網(wǎng)客戶端與外網(wǎng)服務(wù)器之間的信息交換通路。
以下對本發(fā)明方法進(jìn)一步限定，內(nèi)網(wǎng)用戶通過安全隔離與信息交換系統(tǒng)完成網(wǎng)絡(luò)信息交換的方法，其步驟如下(1)內(nèi)網(wǎng)處理單元通過代理存根向內(nèi)網(wǎng)用戶提供網(wǎng)絡(luò)代理服務(wù)，采用TCP/IP協(xié)議與內(nèi)網(wǎng)用戶通信。它在網(wǎng)絡(luò)連接端為每一種提供的網(wǎng)絡(luò)業(yè)務(wù)開放一個公共TCP端口，在此端口上不斷偵聽內(nèi)網(wǎng)用戶的網(wǎng)絡(luò)請求。
(2)在接收到一個內(nèi)網(wǎng)用戶發(fā)出的網(wǎng)絡(luò)應(yīng)用請求后，代理存根根據(jù)應(yīng)用協(xié)議的不同對用戶連接進(jìn)行相應(yīng)的身份認(rèn)證，并對協(xié)議數(shù)據(jù)進(jìn)行安全檢查和過濾。如未通過檢查則通知內(nèi)網(wǎng)用戶并斷開連接。
(3)代理存根接受的應(yīng)用請求在內(nèi)部為其保留連接信息，連接請求根據(jù)內(nèi)部映射協(xié)議被封裝后，代理存根調(diào)用傳輸接口，將數(shù)據(jù)寫入隔離交換單元。
(4)外網(wǎng)處理單元的代理引擎一直在通過調(diào)用傳輸接口檢測隔離交換單元中的是否有代理存根寫入的數(shù)據(jù)，如果沒有新數(shù)據(jù)則處理進(jìn)程被阻塞，否則讀取代理存根傳來的數(shù)據(jù)。
(5)代理引擎收到內(nèi)網(wǎng)處理單元傳來的信息后根據(jù)內(nèi)部映射協(xié)議進(jìn)行解析，如果是新的網(wǎng)絡(luò)應(yīng)用請求則保留連接信息，并返回代理存根確認(rèn)信息建立起一條通過隔離交換單元的數(shù)據(jù)傳輸通道。
(6)代理引擎根據(jù)收到的網(wǎng)絡(luò)應(yīng)用請求提供完整的代理服務(wù)，即從外網(wǎng)處理單元的網(wǎng)絡(luò)端向外部服務(wù)器用TCP/IP協(xié)議發(fā)出連接請求并獲得數(shù)據(jù)，該過程根據(jù)網(wǎng)絡(luò)應(yīng)用不同按照標(biāo)準(zhǔn)的因特網(wǎng)通信協(xié)議進(jìn)行。
(7)代理引擎收到的數(shù)據(jù)經(jīng)安全檢查后，如內(nèi)容過濾和病毒查殺，調(diào)用傳輸接口將數(shù)據(jù)按內(nèi)部映射協(xié)議封裝后寫入隔離交換單元。
(8)內(nèi)網(wǎng)處理單元中的代理存根在隔離交換單元一側(cè)，如步驟(4)中代理引擎操作，接收來自外網(wǎng)處理單元傳輸?shù)臄?shù)據(jù)。
(9)代理存根接收到的外網(wǎng)處理單元傳輸?shù)臄?shù)據(jù)用映射協(xié)議解析，如果是步驟(5)中代理引擎返回的數(shù)據(jù)傳輸通道確認(rèn)信息，則建立數(shù)據(jù)傳輸通道并保留其信息。
(10)代理存根收到的是應(yīng)用數(shù)據(jù)則用步驟(9)中保留的數(shù)據(jù)傳輸通道信息檢索步驟(3)中保留的內(nèi)網(wǎng)用戶連接信息，根據(jù)該信息將數(shù)據(jù)用TCP/IP協(xié)議發(fā)送給內(nèi)網(wǎng)用戶。
(11)代理存根完成用戶請求或代理引擎完成數(shù)據(jù)傳輸后都可以調(diào)用傳輸接口寫入數(shù)據(jù)傳輸通道釋放請求，刪除并釋放步驟(3)、(5)和(9)中保留的網(wǎng)絡(luò)應(yīng)用請求的連接信息和數(shù)據(jù)傳輸通道信息及其資源。
(12)代理存根或代理引擎收到對方發(fā)出的數(shù)據(jù)傳輸通道釋放請求，刪除并釋放步驟(3)、(5)和(9)中保留的網(wǎng)絡(luò)應(yīng)用請求的連接信息和數(shù)據(jù)傳輸通道信息及其資源，結(jié)束一次網(wǎng)絡(luò)應(yīng)用數(shù)據(jù)傳輸。
本發(fā)明的安全隔離與信息交換系統(tǒng)采用內(nèi)外網(wǎng)處理單元加隔離交換單元的雙主機(jī)隔離交換方式，斷開了內(nèi)外網(wǎng)間直接的鏈路連接，并打斷了內(nèi)外網(wǎng)之間的交互式網(wǎng)絡(luò)協(xié)議，用代理映射的方法進(jìn)行純數(shù)據(jù)隔離交換，可以抵抗一切基于交互式協(xié)議的網(wǎng)絡(luò)攻擊。本發(fā)明的安全隔離與信息交換方法中，網(wǎng)絡(luò)應(yīng)用請求完全由內(nèi)網(wǎng)用戶發(fā)起，外網(wǎng)用戶不能主動向內(nèi)網(wǎng)發(fā)送任何數(shù)據(jù)，嚴(yán)格保護(hù)了內(nèi)部網(wǎng)絡(luò)的安全。此外，內(nèi)網(wǎng)用戶可以實時請求外部網(wǎng)絡(luò)服務(wù)，而外部網(wǎng)絡(luò)應(yīng)用數(shù)據(jù)只需要在外網(wǎng)處理單元緩存并安全檢查一次，從而避免了雙代理中繼模式的缺點。


圖1本發(fā)明安全隔離與信息交換系統(tǒng)結(jié)構(gòu)示意2系統(tǒng)協(xié)議棧結(jié)構(gòu)3應(yīng)用傳輸協(xié)議對話過程4支持郵件和WEB服務(wù)的代理引擎結(jié)構(gòu)5支持郵件和WEB服務(wù)的代理存根結(jié)構(gòu)圖
具體實施例方式以下結(jié)合附圖對本發(fā)明技術(shù)方案作進(jìn)一步的描述。圖1是安全隔離與信息交換系統(tǒng)結(jié)構(gòu)框圖。在原型系統(tǒng)中內(nèi)、外網(wǎng)處理單元選用了X86架構(gòu)的工控系統(tǒng)，高速數(shù)據(jù)傳輸線可采用SCSI或USB等總線，根據(jù)總線的不同可實現(xiàn)不同的隔離切換控制單元，并選用相應(yīng)的隔離存儲器，如SCSI或USB接口硬盤。
內(nèi)、外網(wǎng)處理單元的操作系統(tǒng)選擇了Linux操作系統(tǒng)，系統(tǒng)中的協(xié)議棧如圖2所示。代理引擎通過隔離交換單元同內(nèi)網(wǎng)處理單元通信，并對數(shù)據(jù)進(jìn)行病毒過濾和安全性檢查。在內(nèi)網(wǎng)處理單元，使用代理存根進(jìn)行各種業(yè)務(wù)(如EMAIL和WEB)的代理服務(wù)，并通過隔離交換單元與外網(wǎng)處理單元通信，代理存根同時也實現(xiàn)了訪問控制、數(shù)據(jù)安全性檢查以及病毒過濾等工作。
代理引擎同代理存根之間通過隔離交換單元傳輸應(yīng)用層數(shù)據(jù)，并采用自定義的應(yīng)用傳輸協(xié)議來保持對話過程，基本的協(xié)議對話過程如圖3所示，代理存根收到內(nèi)網(wǎng)請求后保留相關(guān)信息并向代理引擎請求建立連接，代理引擎回復(fù)連接建立確認(rèn)后保留此連接的相關(guān)信息，這樣內(nèi)外網(wǎng)處理單元之間就建立了一條數(shù)據(jù)映射通道，代理引擎從外部網(wǎng)絡(luò)獲得的信息可以通過這條通道進(jìn)行傳輸。代理存根收到的信息可以根據(jù)先前保留的內(nèi)網(wǎng)請求信息發(fā)送給相應(yīng)的內(nèi)網(wǎng)主機(jī)。當(dāng)信息交換結(jié)束后，代理引擎和代理存根都可以提出斷開連接并釋放相關(guān)資源。
以支持郵件服務(wù)和萬維網(wǎng)服務(wù)為例，圖4是在原型系統(tǒng)的外網(wǎng)處理單元中實現(xiàn)的代理引擎結(jié)構(gòu)圖。為減少實施難度，代理引擎采用了增強安全檢查功能的通用郵件代理QMAIL軟件和萬維網(wǎng)代理SQUID軟件，代理引擎用這些通用代理服務(wù)程序來完成具體的網(wǎng)絡(luò)代理服務(wù)工作。連接管理模塊只負(fù)責(zé)數(shù)據(jù)的轉(zhuǎn)發(fā)工作，即它從傳輸接口收發(fā)數(shù)據(jù)，并通過本機(jī)網(wǎng)絡(luò)插口SOCKET同通用網(wǎng)絡(luò)代理服務(wù)程序(如QMAIL)通信，完成轉(zhuǎn)發(fā)功能。連接管理模塊在傳輸接口端單獨開一個線程讀取來自隔離切換單元的數(shù)據(jù)，它每收到一個映射過來的連接請求就新創(chuàng)建一個工作線程進(jìn)行處理，并通過本機(jī)網(wǎng)絡(luò)插口SOCKET與通用代理服務(wù)程序建立連接，通過該連接收發(fā)數(shù)據(jù)。圖5是在原型系統(tǒng)中內(nèi)網(wǎng)處理單元實現(xiàn)的代理存根的結(jié)構(gòu)圖。通用子模塊是進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)的基本模塊，主要功能為從兩端收發(fā)數(shù)據(jù)、對各工作線程進(jìn)行管理、對傳輸接口數(shù)據(jù)進(jìn)行拆包和數(shù)據(jù)分發(fā)等。郵件處理子模塊和萬維網(wǎng)處理子模塊都是通用子模塊的擴(kuò)展模塊，用于對特定協(xié)議的分析和處理。代理存根模塊采用C++多線程方式實現(xiàn)，所以采用由對象控制線程的方式，即每個對象對應(yīng)有單個或多個工作線程執(zhí)行其任務(wù)，并且該對象控制其下所有線程的創(chuàng)建、執(zhí)行、停止等管理工作，線程間的通信采用無名管道的方式來完成。代理存根同時從SOCKET和傳輸接口收發(fā)數(shù)據(jù)，通過數(shù)據(jù)處理后進(jìn)行雙向轉(zhuǎn)發(fā)。在SOCKET端，代理存根按照配置要求打開服務(wù)端口進(jìn)行監(jiān)聽，如在80端口監(jiān)聽內(nèi)網(wǎng)用戶發(fā)起的WEB請求，每收到一個連接請求就創(chuàng)建一個工作線程進(jìn)行處理；在傳輸接口端，STUB模塊單獨開一個線程讀取傳輸接口的數(shù)據(jù)，并將數(shù)據(jù)轉(zhuǎn)發(fā)到對應(yīng)的工作線程。工作線程對收到的數(shù)據(jù)進(jìn)行處理和檢查，然后進(jìn)行轉(zhuǎn)發(fā)。
本系統(tǒng)和方法避免了雙代理中繼安全隔離與信息交換方法實時性差、管理復(fù)雜及要求額外服務(wù)器資源的缺點，可提供對多種網(wǎng)絡(luò)服務(wù)的支持。根據(jù)本發(fā)明設(shè)計實現(xiàn)的安全隔離與信息交換系統(tǒng)，可在內(nèi)、外網(wǎng)安全隔離的情況下支持安全電子郵件、安全WEB瀏覽，安全數(shù)據(jù)庫交換和安全文件交換。目前該系統(tǒng)已經(jīng)通過國家信息安全測評認(rèn)證中心檢測認(rèn)證并獲得公安部信息安全產(chǎn)品銷售許可證，并在多家單位推廣使用，效果良好。
權(quán)利要求
1.一種基于代理映射的網(wǎng)絡(luò)安全隔離與信息交換系統(tǒng)，包括內(nèi)網(wǎng)處理單元、外網(wǎng)處理單元和隔離交換單元，其特征在于，內(nèi)、外網(wǎng)處理單元各自擁有一個網(wǎng)絡(luò)接口及獨立的IP地址，分別連接著內(nèi)網(wǎng)和外網(wǎng)，它們是兩個獨立的服務(wù)器系統(tǒng)，隔離交換單元包括隔離切換控制器和隔離存儲器，內(nèi)、外網(wǎng)處理單元分別通過高速數(shù)據(jù)傳輸線與隔離交換單元的隔離切換控制器相連，隔離切換控制器還連接著隔離存儲器，在任意時間點上，內(nèi)、外網(wǎng)處理單元只能有一個訪問隔離存儲器，內(nèi)外網(wǎng)處理單元通過隔離交換單元交換信息，內(nèi)網(wǎng)處理單元包含一個代理存根，外網(wǎng)處理單元包含一個代理引擎，代理存根和代理引擎協(xié)基于隔離交換單元通過應(yīng)用傳輸協(xié)議進(jìn)行對話和數(shù)據(jù)交換。
2.根據(jù)權(quán)利要求1所述的基于代理映射的網(wǎng)絡(luò)安全隔離與信息交換系統(tǒng)，其特征是，對內(nèi)網(wǎng)用戶而言，它是一個應(yīng)用代理服務(wù)器，由代理存根和代理引擎協(xié)同工作完成一個完整的應(yīng)用代理服務(wù)器功能，代理存根和代理引擎通過調(diào)用內(nèi)、外網(wǎng)中的傳輸接口進(jìn)行通信，傳輸接口將信息傳遞給切換控制軟件，并通過它來驅(qū)動隔離交換硬件單元完成信息在內(nèi)、外處理單元之間的切換。
3.根據(jù)權(quán)利要求1或2所述的基于代理映射的網(wǎng)絡(luò)安全隔離與信息交換系統(tǒng)，其特征是，所述的代理存根，在內(nèi)網(wǎng)處理單元上，對每一種網(wǎng)絡(luò)業(yè)務(wù)它是一個系統(tǒng)守護(hù)進(jìn)程，它在網(wǎng)絡(luò)接口端通過SOCKET調(diào)用與TCP/IP協(xié)議棧通信，在隔離交換端通過傳輸接口用內(nèi)部映射協(xié)議通信，代理存根實現(xiàn)一個代理服務(wù)器的前端處理，包括對來自信任域用戶的連接請求進(jìn)行檢查，在記錄每個合法連接的狀態(tài)后，連接請求將通過內(nèi)部映射協(xié)議轉(zhuǎn)發(fā)給外網(wǎng)處理單元的代理引擎；處理映射協(xié)議從外網(wǎng)處理單元接收的數(shù)據(jù)，并根據(jù)保存的連接狀態(tài)將數(shù)據(jù)轉(zhuǎn)發(fā)給內(nèi)網(wǎng)相應(yīng)的連接。
4.根據(jù)權(quán)利要求1或2所述的基于代理映射的網(wǎng)絡(luò)安全隔離與信息交換系統(tǒng)，其特征是，所述的代理引擎，在外網(wǎng)處理單元中，它在網(wǎng)絡(luò)接口端通過SOCKET調(diào)用與TCP/IP協(xié)議棧通信，在隔離交換端通過傳輸接口與內(nèi)部映射協(xié)議通信，對每一種網(wǎng)絡(luò)業(yè)務(wù)，它是一個系統(tǒng)守護(hù)進(jìn)程，實現(xiàn)一個完整代理服務(wù)器的絕大多數(shù)處理，包括通過傳輸接口接收來自內(nèi)網(wǎng)處理單元的業(yè)務(wù)請求，向外部網(wǎng)絡(luò)服務(wù)器發(fā)出應(yīng)用請求；接收外部網(wǎng)絡(luò)服務(wù)器返回的數(shù)據(jù)，對數(shù)據(jù)進(jìn)行內(nèi)容檢查和病毒查殺；調(diào)用傳輸接口，將外部網(wǎng)絡(luò)返回的信息通過隔離傳輸通道切換回內(nèi)網(wǎng)；
5.根據(jù)權(quán)利要求2所述的基于代理映射的網(wǎng)絡(luò)安全隔離與信息交換系統(tǒng)，其特征是，所述的傳輸接口，是代理引擎和代理存根與內(nèi)部映射協(xié)議之間通信的接口，主要進(jìn)行以下處理接收來自代理存根或代理引擎的需要交換的信息，將其編碼、封裝成內(nèi)部映射協(xié)議報文后通過切換控制程序?qū)懭氲礁綦x存儲器中；從切換控制程序中讀入內(nèi)外網(wǎng)處理單元交換的數(shù)據(jù)，根據(jù)內(nèi)部映射協(xié)議解析報文后，將報文信息分發(fā)到代理存根或代理引擎。
6.根據(jù)權(quán)利要求2所述的基于代理映射的網(wǎng)絡(luò)安全隔離與信息交換系統(tǒng)，其特征是，所述的切換控制軟件，實現(xiàn)對隔離交換單元硬件的識別和控制，保證在傳輸協(xié)議層讀寫數(shù)據(jù)時是物理設(shè)備真實連接的，并且保證讀寫的可靠性，它在系統(tǒng)中為隔離交換單元的硬件驅(qū)動程序，并提供與內(nèi)部映射協(xié)議進(jìn)程的通信接口。
7.一種基于代理映射的網(wǎng)絡(luò)安全隔離與信息交換方法，其特征在于，由安全隔離與信息交換系統(tǒng)作為一個網(wǎng)絡(luò)代理服務(wù)器向內(nèi)網(wǎng)用戶提供網(wǎng)絡(luò)代理服務(wù)，通過分別位于安全隔離與信息交換系統(tǒng)內(nèi)、外網(wǎng)處理單元的代理存根和代理引擎調(diào)用內(nèi)部定義的傳輸接口并通過隔離交換單元來完成內(nèi)、外網(wǎng)處理單元間的數(shù)據(jù)交換，從而以代理映射的方式建立一條內(nèi)網(wǎng)客戶端與外網(wǎng)服務(wù)器之間的信息交換通路。
8.根據(jù)權(quán)利要求7所述的基于代理映射的網(wǎng)絡(luò)安全隔離與信息交換方法，其特征是，以下對本發(fā)明方法進(jìn)一步限定，內(nèi)網(wǎng)用戶通過安全隔離與信息交換系統(tǒng)完成網(wǎng)絡(luò)信息交換的方法，其步驟如下(1)內(nèi)網(wǎng)處理單元通過代理存根向內(nèi)網(wǎng)用戶提供網(wǎng)絡(luò)代理服務(wù)，采用TCP/IP與內(nèi)網(wǎng)用戶通信，它在網(wǎng)絡(luò)連接端為每一種提供的網(wǎng)絡(luò)業(yè)務(wù)開放一個公共TCP端口，在此端口上偵聽內(nèi)網(wǎng)用戶的網(wǎng)絡(luò)請求；(2)在接收到一個內(nèi)網(wǎng)用戶發(fā)出的網(wǎng)絡(luò)應(yīng)用請求后，代理存根根據(jù)應(yīng)用協(xié)議的對用戶連接進(jìn)行相應(yīng)的身份認(rèn)證，并對協(xié)議數(shù)據(jù)進(jìn)行安全檢查和過濾，如未通過檢查則通知內(nèi)網(wǎng)用戶并斷開連接；(3)代理存根接受的應(yīng)用請求在內(nèi)部為其保留連接信息，連接請求根據(jù)內(nèi)部映射協(xié)議被封裝后，代理存根調(diào)用傳輸接口，將數(shù)據(jù)寫入隔離交換單元；(4)代理引擎一直在通過調(diào)用傳輸接口檢測隔離交換單元中的是否有代理存根寫入的數(shù)據(jù)，如果有新數(shù)據(jù)，則讀取代理存根傳來的數(shù)據(jù)，否則處理進(jìn)程被阻塞；(5)代理引擎收到內(nèi)網(wǎng)處理單元傳來的信息后根據(jù)內(nèi)部映射協(xié)議進(jìn)行解析，如果是新的網(wǎng)絡(luò)應(yīng)用請求則保留連接信息，并返回代理存根確認(rèn)信息建立起一條通過隔離交換單元的數(shù)據(jù)傳輸通道；(6)代理引擎根據(jù)收到的網(wǎng)絡(luò)應(yīng)用請求提供完整的代理服務(wù)，即從外網(wǎng)處理單元的網(wǎng)絡(luò)端向外部服務(wù)器用TCP/IP協(xié)議發(fā)出連接請求并獲得數(shù)據(jù)，該過程根據(jù)網(wǎng)絡(luò)應(yīng)用按照標(biāo)準(zhǔn)的因特網(wǎng)通信協(xié)議進(jìn)行；(7)代理引擎收到的數(shù)據(jù)經(jīng)安全檢查后，調(diào)用傳輸接口將數(shù)據(jù)按內(nèi)部映射協(xié)議封裝后寫入隔離交換單元；(8)代理存根在隔離交換單元一側(cè)，如步驟(4)中代理引擎操作，接收來自外網(wǎng)處理單元傳輸?shù)臄?shù)據(jù)；(9)代理存根接收到的外網(wǎng)處理單元傳輸?shù)臄?shù)據(jù)用映射協(xié)議解析，如果是步驟(5)中代理引擎返回的數(shù)據(jù)傳輸通道確認(rèn)信息，則建立數(shù)據(jù)傳輸通道并保留其信息；(10)代理存根收到的是應(yīng)用數(shù)據(jù)則用步驟(9)中保留的數(shù)據(jù)傳輸通道信息檢索步驟(3)中保留的內(nèi)網(wǎng)用戶連接信息，根據(jù)該信息將數(shù)據(jù)用TCP/IP協(xié)議發(fā)送給內(nèi)網(wǎng)用戶；(11)代理存根完成用戶請求或代理引擎完成數(shù)據(jù)傳輸后都能調(diào)用傳輸接口寫入數(shù)據(jù)傳輸通道釋放請求，刪除并釋放步驟(3)、(5)和(9)中保留的網(wǎng)絡(luò)應(yīng)用請求的連接信息和數(shù)據(jù)傳輸通道信息及其資源；(12)代理存根或代理引擎收到對方發(fā)出的數(shù)據(jù)傳輸通道釋放請求，刪除并釋放步驟(3)、(5)和(9)中保留的網(wǎng)絡(luò)應(yīng)用請求的連接信息和數(shù)據(jù)傳輸通道信息及其資源，結(jié)束一次網(wǎng)絡(luò)應(yīng)用數(shù)據(jù)傳輸。
全文摘要
一種基于代理映射的網(wǎng)絡(luò)安全隔離與信息交換系統(tǒng)及方法。用于信息安全、網(wǎng)絡(luò)數(shù)據(jù)交換領(lǐng)域。本發(fā)明系統(tǒng)內(nèi)、外網(wǎng)處理單元分別連接著內(nèi)網(wǎng)和外網(wǎng)，隔離交換單元包括隔離切換控制器和隔離存儲器，內(nèi)、外網(wǎng)處理單元通過高速數(shù)據(jù)傳輸線與隔離切換控制器相連，隔離切換控制器還連接著隔離存儲器，內(nèi)、外網(wǎng)處理單元只能有一個訪問隔離存儲器，內(nèi)外網(wǎng)處理單元通過隔離交換單元交換信息，內(nèi)網(wǎng)處理單元包含一個代理存根，外網(wǎng)處理單元包含一個代理引擎。本發(fā)明方法通過代理存根和代理引擎調(diào)用內(nèi)部定義的傳輸接口并通過隔離交換單元來完成內(nèi)、外網(wǎng)處理單元間的數(shù)據(jù)交換，從而以代理映射的方式建立一條內(nèi)網(wǎng)客戶端與外網(wǎng)服務(wù)器之間的信息交換通路。
文檔編號H04L12/12GK1571398SQ20041001801
公開日2005年1月26日 申請日期2004年4月29日 優(yōu)先權(quán)日2004年4月29日
發(fā)明者潘理, 李建華, 王凱, 王杰 申請人:上海交通大學(xué)