[發(fā)明專利]一種安全隔離文件傳輸控制方法

在審

• 申請?zhí)枺?/td>: 201410220748.2
• 申請日: 2014-05-23
• 公開（公告）號: CN103997495A
• 公開（公告）日: 2014-08-20
• 發(fā)明（設計）人: 馮徑;馬瑋駿;沈曄;張珅;吳陽
• 申請（專利權）人: 中國人民解放軍理工大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 江蘇愛信律師事務所 32241
• 代理人: 唐小紅

技術領域

本發(fā)明涉及一種安全隔離控制方法，具體涉及一種安全隔離文件傳輸控制方法。它特別適用于在不同保密級別的網(wǎng)絡間傳輸數(shù)據(jù)，在保證內網(wǎng)安全的同時，實現(xiàn)文件在內外網(wǎng)的高效傳輸。

背景技術

在網(wǎng)絡安全方面，目前采用的是第五代隔離技術來保證網(wǎng)絡的安全，其主要產品即網(wǎng)絡安全隔離裝置。大多數(shù)主流產商對于網(wǎng)絡安全隔離裝置的核心原理采用的是協(xié)議剝離和身份驗證的方法，國內以山東思瑞，北京數(shù)碼星辰等為代表的主要公司，目前大量采用的都是這一技術的產品。這一技術能夠保證內網(wǎng)安全的關鍵點是通過開關切換及數(shù)據(jù)緩沖設施來進行數(shù)據(jù)交換。開關的切換使得在任何時刻兩個網(wǎng)絡沒有直接連通，而數(shù)據(jù)流經(jīng)網(wǎng)絡安全隔離裝置時TCP/IP協(xié)議被終止，防止了利用協(xié)議進行攻擊，在某一時刻網(wǎng)絡安全隔離裝置只能連接到一個網(wǎng)絡。網(wǎng)絡安全隔離裝置作為代理從內網(wǎng)的網(wǎng)絡數(shù)據(jù)包中抽取出數(shù)據(jù)然后通過數(shù)據(jù)緩沖設施轉到外網(wǎng)，完成數(shù)據(jù)中轉。在中轉過程中，網(wǎng)絡安全隔離裝置會對抽取的數(shù)據(jù)報文的IP地址、MAC地址、端口號、連接方向實施綜合過濾控制，只有滿足要求的報文才可以通過網(wǎng)絡安全隔離裝置。由于網(wǎng)絡安全隔離裝置采用了獨特的開關切換機制，因此，在進行檢查時網(wǎng)絡實際上處于斷開狀態(tài)，即使遭到攻擊，由于攻擊發(fā)生時內外網(wǎng)始終處于物理斷開狀態(tài)，內網(wǎng)仍是安全的。?

網(wǎng)絡安全隔離裝置在實現(xiàn)物理隔斷的同時允許可信網(wǎng)絡和不可信網(wǎng)絡之間的數(shù)據(jù)和信息的安全交換。在安全島硬件上將外網(wǎng)到內網(wǎng)傳遞的應用數(shù)據(jù)大小限定為用于TCP握手的幾個字節(jié)外，保證從外網(wǎng)到內網(wǎng)的TCP應答禁止攜帶應用數(shù)據(jù)，因此，內網(wǎng)不會受到網(wǎng)絡層的攻擊，這就在物理隔離的同時實現(xiàn)了數(shù)據(jù)的安全交換，并提高了防止病毒和黑客非法訪問的能力。

正是由于以上的安全機制，安全隔離裝置不能部署應用層協(xié)議（如FTP，HTTP，SNMP等），同時目前廣泛使用的單向隔離裝置，不具備數(shù)據(jù)雙向通信的功能，不能滿足需要實現(xiàn)高效可靠雙向通信的業(yè)務。因此，亟需解決利用單向安全隔離裝置實現(xiàn)數(shù)據(jù)的高效可靠雙向通信。

發(fā)明內容

基于單向網(wǎng)絡隔離設備，本發(fā)明的目的在于通過各模塊、分時序和定義專有協(xié)議的控制方法控制正反向數(shù)據(jù)傳輸，從而在保證內網(wǎng)安全的同時又大幅度提升數(shù)據(jù)交換的性能，并使整個系統(tǒng)可靠穩(wěn)定工作。

實現(xiàn)本發(fā)明目標的技術解決方案為一種安全隔離文件傳輸控制方法，基于通過前協(xié)議控制模塊、安全保障模塊和后協(xié)議控制模塊內外網(wǎng)傳輸文件的網(wǎng)絡架構，分為：

1、外網(wǎng)主機向內網(wǎng)主機請求連接，發(fā)送文件或者下載文件，即發(fā)送文件時，外網(wǎng)主機為發(fā)送端，內網(wǎng)主機為接收端；下載文件時，外網(wǎng)主機為接收端，內網(wǎng)主機為發(fā)送端。

2、內網(wǎng)主機向外網(wǎng)主機請求連接，發(fā)送文件或者下載文件，即發(fā)送文件時，內網(wǎng)主機為發(fā)送端，外網(wǎng)主機為接收端；下載文件時，內網(wǎng)主機為接收端，外網(wǎng)主機為發(fā)送端。

請求端主機的人機交互模塊請求發(fā)送文件時：

步驟1、配置安全保障模塊：配置IP地址與端口映射表，使來自合法IP地址的數(shù)據(jù)可以通過正向隔離設備或反向隔離設備的端口進行轉發(fā)；

步驟2、啟動系統(tǒng)各單元：啟動單元包括信息處理單元、數(shù)據(jù)交互控制單元、人機交互模塊；

步驟3、請求端主機發(fā)起建立與目的主機的數(shù)據(jù)連接：在請求端主機的人機交互模塊中輸入連接命令VCON，由連接請求端主機的協(xié)議控制模塊的數(shù)據(jù)交互控制單元封裝成VCON報文并發(fā)送至目的主機；

步驟4、目的主機響應請求端主機的數(shù)據(jù)連接請求：連接目的主機的協(xié)議控制模塊的數(shù)據(jù)交互控制單元解析請求的連接命令VCON，生成用戶標識及反饋報文，通知請求端主機連接已建立，并可以進行下一步操作；

步驟5、請求端主機的文件傳輸命令的封裝：在請求端主機的人機交互模塊中輸入發(fā)送文件命令VPUT，連接請求端主機的協(xié)議控制模塊的數(shù)據(jù)交互控制單元進行封裝命令報文并發(fā)送；

步驟6、傳輸文件的拆分：連接請求端主機的協(xié)議控制模塊的文件處理單元處理需要傳輸?shù)奈募绻募拇笮〕^拆分的閾值，則將文件拆分成多個固定大小的文件，同時生成拆分配置文件；

步驟7、文件傳輸：連接請求端主機的協(xié)議控制模塊的信息處理單元將發(fā)送文件命令報文、拆分配置文件、拆分后的數(shù)據(jù)文件，經(jīng)隔離設備配置的端口傳輸給連接目的主機的協(xié)議控制模塊的文件處理單元；

步驟8、文件合并：連接目的主機的協(xié)議控制模塊的文件處理單元解析拆分配置文件信息，并按照配置文件中的內容恢復文件，并傳送給目的主機；