[發明專利]一種DMZ主機自動指向的方法、系統及網關

有效

• 申請號: 201410564607.2
• 申請日: 2014-10-21
• 公開（公告）號: CN104283982B
• 公開（公告）日: 2019-04-02
• 發明（設計）人: 張愷;何進;張云勇
• 申請（專利權）人: 中國聯合網絡通信集團有限公司
• 主分類號: H04L29/12
• 分類號: H04L29/12
• 代理公司: 北京安信方達知識產權代理有限公司 11262
• 代理人: 王丹;栗若木

本發明公開了一種DMZ主機自動指向的方法、系統及網關，所述方法包括：網關設備從動態主機設置協議DHCP的地址分配表中讀取一個IP地址，向所有主機設備的上聯端口廣播發送攜帶有所述IP地址的地址解析協議ARP請求幀；判斷是否收到某一主機設備的應答，如果收到，則將所述IP地址指向的某一主機作為隔離區DMZ主機。本發明提供的方法、系統及網關實現自動DMZ主機自動指向的功能，簡化了這種手動DMZ指向功能的繁瑣過程，提高了配置DMZ功能的效率。

技術領域

本發明涉及通信領域，具體涉及一種隔離區(demilitarized zone，簡稱DMZ)主機自動指向的方法、系統及網關。

背景技術

隨著互聯網技術的迅猛發展，全球的網絡資源也呈現出接入數量巨大與業務種類繁多等特點，因此網絡安全的保證也變得越發重要。目前的網絡安全手段很多，如防火墻、防病毒軟件、深度包檢測(Deep Packet Inspection,簡稱DPI)技術等，隔離區DMZ技術也是其中之一。

DMZ中文名稱為“隔離區”，也稱“非軍事化區”。它是為了解決安裝防火墻后外部網絡不能訪問內部網絡服務器的問題，而設立的一個非安全系統與安全系統之間的緩沖區，這個緩沖區位于企業內部網絡和外部網絡之間的小網絡區域內，在這個小網絡區域內可以放置一些必須公開的服務器設施，如企業Web服務器、FTP服務器和論壇等。另一方面，通過這樣一個DMZ區域，更加有效地保護了內部網絡，因為這種網絡部署，比起一般的防火墻方案，對攻擊者來說又多了一道關卡。

在目前的網關設備上也具備了DMZ功能，但多數在配置DMZ功能的過程中，還需要提前了解局域網(Local Area Network，簡稱LAN)側主機設備的IP地址，并且由人工手動添加此IP地址到相應的功能模塊，來實現DMZ的指向功能，這樣在無形中增加了配置的復雜度和工作量，在一定程度上降低了配置的效率。

發明內容

本發明需要解決的技術問題是提供一種DMZ主機自動指向的方法、系統及網關，自動確定指向DMZ主機的IP地址，降低配置效率。

為了解決上述技術問題，本發明提供了一種DMZ主機自動指向的方法，包括：

網關設備從動態主機設置協議DHCP的地址分配表中讀取一個IP地址，向所有主機設備的上聯端口廣播發送攜帶有所述IP地址的地址解析協議ARP請求幀；

判斷是否收到某一主機設備的應答，如果收到，則將所述IP地址指向的某一主機作為隔離區DMZ主機。

進一步地，所述主機設備的應答攜帶有所述IP地址對應的MAC地址。

進一步地，所述方法還包括：

如果沒有收到任何主機設備的應答，則繼續從所述DHCP的地址分配表中挑選下一個IP地址向所有主機設備的上聯端口廣播發送攜帶有所述下一個IP地址的ARP請求幀，直到在廣播發送某一IP地址時收到某一主機的應答后，將所述某一IP地址指向的主機作為DMZ主機。

進一步地，在網關設備從DHCP的地址分配表中讀取一個IP地址之前，所述方法還包括：

所述網關設備使用DHCP協議為接入所述網關設備的主機設備分配IP地址，并將所有主機設備的IP地址存入所述DHCP的地址分配表中。

為了解決上述技術問題，本發明還提供了一種DMZ主機自動指向的系統，包括：

請求發送模塊，用于從DHCP的地址分配表中讀取一個IP地址，向所有主機設備的上聯端口廣播發送攜帶有所述IP地址的地址解析協議ARP請求幀；

判決模塊，用于判斷是否收到某一主機設備的應答，并將判斷結果發送至控制模塊；

控制模塊，用于如果判斷結果是收到某一主機設備的應答，則將所述IP地址指向的某一主機作為隔離區DMZ主機。