基于雙宿主機(jī)架構(gòu)的嵌入式安全網(wǎng)關(guān)設(shè)計(jì)

張貞桂, 林少鋒

(1.西安郵電大學(xué) 外國(guó)語(yǔ)學(xué)院, 陜西 西安 710121; 2.西安通信學(xué)院 信息安全系, 陜西 西安 710106)

基于雙宿主機(jī)架構(gòu)的嵌入式安全網(wǎng)關(guān)設(shè)計(jì)

張貞桂1, 林少鋒2

(1.西安郵電大學(xué) 外國(guó)語(yǔ)學(xué)院, 陜西 西安 710121; 2.西安通信學(xué)院 信息安全系, 陜西 西安 710106)

為了規(guī)避信息系統(tǒng)在互聯(lián)網(wǎng)應(yīng)用中的泄密及網(wǎng)絡(luò)入侵風(fēng)險(xiǎn)，依據(jù)“黑核”體系思想，采用2個(gè)S3C6410 ARM處理器作為連接內(nèi)外網(wǎng)絡(luò)的獨(dú)立主機(jī)，結(jié)合1個(gè)EP1C12Q240I7 FPGA器件作為控制內(nèi)外網(wǎng)連接及原始數(shù)據(jù)擺渡的中轉(zhuǎn)站，設(shè)計(jì)一種基于雙宿主機(jī)架構(gòu)的信息安全防御網(wǎng)關(guān)，斷開網(wǎng)絡(luò)層連接，防范基于TCP/IP協(xié)議的網(wǎng)絡(luò)攻擊。將所設(shè)計(jì)的網(wǎng)關(guān)部署于公網(wǎng)，可在隔離外部網(wǎng)絡(luò)的情況下，構(gòu)建高密級(jí)專用信息系統(tǒng)，提供可信的端到端服務(wù)。

端到端加密；網(wǎng)絡(luò)隔離；嵌入式網(wǎng)關(guān)

隨著信息技術(shù)高速發(fā)展，網(wǎng)絡(luò)環(huán)境日趨復(fù)雜，木馬滲透、病毒入侵等行為直接影響信息安全及系統(tǒng)本身的可靠運(yùn)行，采用防火墻、虛擬專網(wǎng)、身份認(rèn)證等安全技術(shù)可確保信息的保密性和完整性。

文獻(xiàn)[1-2]研究和設(shè)計(jì)了基于Web的安全網(wǎng)關(guān)，精簡(jiǎn)了網(wǎng)絡(luò)協(xié)議，通過制訂安全策略，實(shí)現(xiàn)設(shè)備安全接入和數(shù)據(jù)加密，但該類網(wǎng)關(guān)主要針對(duì)工控網(wǎng)絡(luò)進(jìn)行設(shè)計(jì)，其傳輸速率較低；文獻(xiàn)[3-4]提出了防止IP欺騙的防火墻網(wǎng)關(guān)設(shè)計(jì)方案，具有較高的吞吐量，但防護(hù)手段較為單一，不能有效防范口令入侵、WinNuke等其他攻擊手段；文獻(xiàn)[5]提出了基于IPSec協(xié)議的VPN網(wǎng)關(guān)實(shí)現(xiàn)方式，該類網(wǎng)關(guān)融合了防火墻和VPN的優(yōu)勢(shì)，廣泛應(yīng)用于企事業(yè)信息系統(tǒng)，但仍然是單主機(jī)架構(gòu)設(shè)計(jì)模式，雖然傳輸信道較為安全，但由于防火墻本身的安全性都無(wú)法完全保證，因此其保護(hù)的內(nèi)部網(wǎng)絡(luò)仍然存在安全隱患。文獻(xiàn)[6]提出一種使用PCI卡和雙端口RAM實(shí)現(xiàn)網(wǎng)絡(luò)隔離的設(shè)計(jì)方案，雖然具有較高的吞吐量，但設(shè)計(jì)復(fù)雜，成本較高。

針對(duì)嵌入式安全網(wǎng)關(guān)的不足，本文擬根據(jù)“黑核”體系思想，將防火墻、VPN、密鑰管理與網(wǎng)絡(luò)隔離技術(shù)相結(jié)合，設(shè)計(jì)一種雙宿主機(jī)架構(gòu)安全網(wǎng)關(guān)，實(shí)現(xiàn)內(nèi)網(wǎng)保護(hù)和端到端保密通信，并給出遠(yuǎn)程視頻信息系統(tǒng)點(diǎn)對(duì)多點(diǎn)星型網(wǎng)絡(luò)拓?fù)浣M織應(yīng)用方案。

1 “黑核”體系思想

全球信息柵格的“黑核”體系思想就是“在不可信的網(wǎng)絡(luò)上傳輸加密的涉密信息”以達(dá)到信息的保密性和完整性[2]。在網(wǎng)絡(luò)安全模型中，僅考慮數(shù)據(jù)傳輸?shù)陌踩允遣粔虻?，也需要采用相?yīng)技術(shù)對(duì)內(nèi)網(wǎng)進(jìn)行防護(hù)，保護(hù)應(yīng)用主機(jī)系統(tǒng)及原始信息安全。本文設(shè)計(jì)的嵌入式安全網(wǎng)關(guān)安置在內(nèi)外網(wǎng)絡(luò)之間，任何可信主機(jī)都必須由它與互聯(lián)網(wǎng)隔離；任何經(jīng)過它往外傳輸?shù)臄?shù)據(jù)都需要加密；任何連接都需要根據(jù)預(yù)先設(shè)置的安全規(guī)則來(lái)審查。從邏輯上看，該安全網(wǎng)關(guān)是個(gè)網(wǎng)絡(luò)接入設(shè)備；而從工作原理看，它是一個(gè)控制內(nèi)外網(wǎng)連接的過濾器、加密器、隔離器或者監(jiān)視器。

2 安全網(wǎng)關(guān)設(shè)計(jì)

在安全網(wǎng)關(guān)設(shè)計(jì)中，設(shè)計(jì)的關(guān)鍵在于如何把外網(wǎng)連接和內(nèi)網(wǎng)連接從一套操作系統(tǒng)中分離出來(lái)。本文采用的雙主機(jī)架構(gòu)框圖如圖1所示。

圖1 雙宿主機(jī)架構(gòu)

外部網(wǎng)絡(luò)主機(jī)用于連接外部不可信網(wǎng)絡(luò)，內(nèi)部網(wǎng)絡(luò)主機(jī)用于連接內(nèi)部可信網(wǎng)絡(luò)，而ASIC隔離電路板作為兩個(gè)主機(jī)設(shè)備之間的代理，在網(wǎng)絡(luò)層是斷開的基礎(chǔ)上，針對(duì)互聯(lián)網(wǎng)協(xié)議實(shí)現(xiàn)可信和不可信網(wǎng)絡(luò)之間信息的可控傳輸。

系統(tǒng)硬件以2片高性能ARM處理器S3C6410作為連接內(nèi)外網(wǎng)絡(luò)的主機(jī)，并結(jié)合FPGA器件EP1C18F4620作為隔離代理構(gòu)建網(wǎng)絡(luò)隔離硬件平臺(tái)。另外，對(duì)嵌入式操作系統(tǒng)Linux 3.0.1內(nèi)核版本進(jìn)行裁減，開發(fā)Netfliter架構(gòu)防火墻、IPSec VPN C/S程序，以及SHA-256簽名/認(rèn)證、密鑰管理和網(wǎng)絡(luò)隔離等功能模塊，實(shí)現(xiàn)一體化防護(hù)方案。

2.1 硬件設(shè)計(jì)

系統(tǒng)硬件平臺(tái)為軟件運(yùn)行的基礎(chǔ)，綜合性能和成本要求進(jìn)行器件選型，其設(shè)計(jì)原理框圖如圖2所示，為雙ARM主機(jī)隔離應(yīng)用模式。

硬件平臺(tái)主要包括以下功能模塊。

(1) ARM處理器模塊。雙宿主機(jī)架構(gòu)的內(nèi)外網(wǎng)主機(jī)硬件電路相近，主要由S3C6410主處理器、DDR和FLASH、SD數(shù)據(jù)接口等電路組成，提供JTAG調(diào)試接口、2個(gè)百兆網(wǎng)口、異步串行接口、外部總線接口等。用于運(yùn)行精簡(jiǎn)的操作系統(tǒng)、嵌入式防火墻、FPGA讀寫驅(qū)動(dòng)及VPN程序。

(2) FPGA邏輯模塊。該模塊由邏輯器件EP1C18F4620、配置芯片EPSC4和時(shí)鐘等電路組成，用于完成密鑰證書驗(yàn)證、數(shù)據(jù)簽名/認(rèn)證和原始數(shù)據(jù)擺渡。

(3) 電源模塊。系統(tǒng)外接5V 1A供電電源，通過電源轉(zhuǎn)換芯片，提供ARM11處理器等電子元件所需3.3V、1.8V、1.5V等穩(wěn)定電源。

硬件平臺(tái)除了上述3個(gè)主要的功能模塊，還包括串行接口、網(wǎng)絡(luò)接口、USB接口等外圍電路。

2.2 軟件設(shè)計(jì)

系統(tǒng)包括防火墻、IPSec VPN安全協(xié)議、網(wǎng)絡(luò)隔離和密鑰管理等4個(gè)主要功能模塊。

在雙宿主機(jī)架構(gòu)中，外部ARM主機(jī)在裁剪的Linux操作系統(tǒng)上加載防火墻過濾數(shù)據(jù)包，運(yùn)行VPN加密的數(shù)據(jù)流；FPGA器件通過開辟兩個(gè)雙端口RAM區(qū)擺渡內(nèi)外網(wǎng)絡(luò)傳輸?shù)脑紨?shù)據(jù)包，并進(jìn)行SHA-256身份驗(yàn)證；內(nèi)部ARM主機(jī)在精簡(jiǎn)的操作系統(tǒng)上運(yùn)行FPGA數(shù)據(jù)讀寫驅(qū)動(dòng)、Ukey驅(qū)動(dòng)及安全審查；密鑰管理用于保證設(shè)備接入系統(tǒng)的可控性。

2.2.1 防火墻

為便于嵌入式防火墻的升級(jí)和維護(hù)，采用Netfilter架構(gòu)的Iptables規(guī)則進(jìn)行網(wǎng)絡(luò)訪問控制，檢查網(wǎng)絡(luò)數(shù)據(jù)報(bào)文是否被篡改或假冒，確認(rèn)信息來(lái)源是否可靠，避免外部攻擊者對(duì)內(nèi)網(wǎng)進(jìn)行滲透，阻止非法網(wǎng)絡(luò)數(shù)據(jù)穿過隔離器，在內(nèi)網(wǎng)和外網(wǎng)之間構(gòu)造保護(hù)屏障。

防火墻子模塊的包過濾規(guī)則主要從源IP地址、目的IP地址、源端口、目的端口以及系統(tǒng)服務(wù)等方面考慮。常見的網(wǎng)絡(luò)攻擊及防范策略設(shè)置如下。

(1) 拒絕服務(wù)攻擊(SYN Flood)

iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT

(2) 分布式拒絕服務(wù)攻擊(DDoS)

分布式拒絕服務(wù)攻擊通過網(wǎng)絡(luò)中已控制的眾多網(wǎng)絡(luò)主機(jī)同時(shí)對(duì)目標(biāo)服務(wù)器發(fā)起拒絕服務(wù)攻擊完成攻擊任務(wù)，威力更加強(qiáng)大，常見的攻擊為25、80等SMTP、HTTP常規(guī)服務(wù)端口。根據(jù)攻擊原理，可以通過限制客戶端與服務(wù)器同時(shí)連接的時(shí)長(zhǎng)及個(gè)數(shù)進(jìn)行有效防范。Iptables安全過濾規(guī)則可以設(shè)置為

iptables -A INPUT -p tcp --syn -m limit --limit 12/s --limit-burst 24 -j ACCEPT

2.2.2 VPN功能

VPN功能子模塊的作用是在不可信的網(wǎng)絡(luò)中通過隧道協(xié)議搭建可信的網(wǎng)絡(luò)子環(huán)境，提供信息的加密傳輸，主要由應(yīng)用層部分、傳輸層部分和網(wǎng)絡(luò)層3部分組成[7]，如圖3所示。

圖3 VPN網(wǎng)關(guān)實(shí)現(xiàn)原理

應(yīng)用層的密鑰協(xié)商模塊用于完成身份信息驗(yàn)證、密鑰及算法協(xié)商等工作，利用通信接口模塊與安全策略庫(kù)/安全關(guān)聯(lián)庫(kù)(SPD/SAD)管理功能模塊進(jìn)行關(guān)鍵信息交互；另外配置管理模塊主要進(jìn)行密鑰參數(shù)協(xié)商，IPSec安全策略、證書及預(yù)共享密鑰的管理和配置。

在傳輸層采用UDP協(xié)議為通信接口模塊傳送數(shù)據(jù)，解決系統(tǒng)內(nèi)部的密鑰管理員和密鑰管理程序之間的信息傳送問題，對(duì)上接收應(yīng)用層用戶信息，同時(shí)可與下層的SPD/SAD進(jìn)行交互，并可以為用戶進(jìn)程提供消息反饋。

在網(wǎng)絡(luò)層則運(yùn)用密碼算法模塊為AH/ESP處理模塊提供DES、AES和RSA等加/解密算法；采用認(rèn)證報(bào)頭AH對(duì)IP數(shù)據(jù)包的IP報(bào)頭與數(shù)據(jù)載荷提供身份驗(yàn)證、抗重放攻擊與完整性校驗(yàn)?zāi)芰?，但不?duì)數(shù)據(jù)包加密，其完整性選用MD5算法進(jìn)行校驗(yàn)。技術(shù)上AH和ESP都可以通過SA安全關(guān)聯(lián)來(lái)保護(hù)通信，本文將AH與ESP相結(jié)合并應(yīng)用到系統(tǒng)中以提供更高級(jí)別的安全保障；SPD/SAD管理模塊用于管理安全關(guān)聯(lián)和安全策略。

易非喜歡曹操，是因?yàn)榘职?。爸爸愛飲酒，豪飲高歌，舉杯前，他常大聲吟詠：“何以解憂？唯有杜康！”當(dāng)時(shí)還真有叫杜康的酒，可是幾十年過去了，這酒卻也跟著爸爸一起煙消云散了。

針對(duì)當(dāng)前大部分IPSec VPN產(chǎn)品不支持NAT穿透以及斷線重連等問題，在VPN開源OpenSwan平臺(tái)上為IPSec VPN添加NAT穿透功能(NAT-T)，使得IPSec VPN可穿透代理設(shè)備；通過對(duì)安全隧道進(jìn)行“定時(shí)監(jiān)測(cè)”，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)通信問題并進(jìn)行修復(fù)，加強(qiáng)了物理連接斷開重連后隧道的自恢復(fù)功能，一定程度上提高了系統(tǒng)的適用性和可靠性。

2.2.3 網(wǎng)絡(luò)隔離子模塊

網(wǎng)絡(luò)隔離模塊需要FPGA和內(nèi)外網(wǎng)ARM處理器配合工作，主要通過在FPGA中設(shè)置雙向RAM獨(dú)立緩存對(duì)進(jìn)出內(nèi)外網(wǎng)的高速數(shù)據(jù)擺渡[8]、密鑰合成和數(shù)據(jù)簽名/認(rèn)證。圖4為基于雙通道實(shí)時(shí)開關(guān)的網(wǎng)絡(luò)隔離功能模塊實(shí)現(xiàn)原理框圖。

圖4 網(wǎng)絡(luò)隔離功能模塊原理

外網(wǎng)通信控制器A機(jī)連接不可信網(wǎng)，負(fù)責(zé)建立IPSec VPN端到端的安全隧道，同時(shí)啟用嵌入式防火墻過濾不符合規(guī)則的數(shù)據(jù)包；內(nèi)網(wǎng)通信控制器B機(jī)連接可信網(wǎng)，對(duì)所有傳輸?shù)酵獠烤W(wǎng)絡(luò)的數(shù)據(jù)進(jìn)行嚴(yán)格審查，包括用戶及其訪問權(quán)限和內(nèi)容審查，防止內(nèi)部重要信息的泄漏，實(shí)現(xiàn)了內(nèi)外網(wǎng)絡(luò)的邏輯隔離[9]；中轉(zhuǎn)FPGA劃分出2塊獨(dú)立的RAM區(qū)，使進(jìn)出的數(shù)據(jù)流相互隔離，并采用專用通信協(xié)議將用戶數(shù)據(jù)以總線方式和內(nèi)外網(wǎng)通信控制器ARM11進(jìn)行實(shí)時(shí)數(shù)據(jù)擺渡。

當(dāng)內(nèi)網(wǎng)有數(shù)據(jù)向外發(fā)送時(shí)，內(nèi)網(wǎng)ARM剝離TCP/IP協(xié)議，將原始數(shù)據(jù)寫入FPGA的A區(qū)RAM，F(xiàn)PGA接到寫入完畢信號(hào)后讀取該區(qū)數(shù)據(jù)送給SHA-256模塊進(jìn)行簽名運(yùn)算，再將此數(shù)據(jù)覆蓋A區(qū)，斷開內(nèi)網(wǎng)連接，通過郵箱機(jī)制通知外網(wǎng)ARM讀取數(shù)據(jù)，實(shí)現(xiàn)高速數(shù)據(jù)擺渡。反之，外網(wǎng)發(fā)往內(nèi)網(wǎng)的數(shù)據(jù)采用B區(qū)RAM進(jìn)行數(shù)據(jù)擺渡，區(qū)別在于SHA-256算法運(yùn)算模塊需要對(duì)擺渡的數(shù)據(jù)進(jìn)行驗(yàn)證，通過則發(fā)往內(nèi)網(wǎng)，否則丟棄。其邏輯電路設(shè)計(jì)必須滿足ARM外部存儲(chǔ)器設(shè)備讀寫時(shí)序要求，并定義握手信號(hào)。其具體電路設(shè)計(jì)包含16位數(shù)據(jù)總線、10位地址總線、寫使能、讀使能、輸出使能、忙信號(hào)指示、片選、高8位輸入/輸出控制、低8位輸入/輸出控制、數(shù)據(jù)包就緒中斷通知、數(shù)據(jù)包讀完標(biāo)志、數(shù)據(jù)包寫完標(biāo)志(郵箱地址)、時(shí)鐘等信號(hào)的連接。

時(shí)序仿真結(jié)果表明，在132 MHz時(shí)鐘及16位數(shù)據(jù)總線并行處理?xiàng)l件下，F(xiàn)PGA隔離器件經(jīng)過數(shù)據(jù)存、取、拆、判、算、轉(zhuǎn)5級(jí)流水處理，其吞吐量較大，但受ARM外設(shè)分時(shí)訪問機(jī)制的影響，設(shè)備總體吞吐量將低于50 Mb/s。

2.2.4 密鑰管理模塊

網(wǎng)關(guān)是信息系統(tǒng)的可信接入關(guān)鍵節(jié)點(diǎn)，需要進(jìn)行授權(quán)管理。常規(guī)方法是采用Ukey證書認(rèn)證的方式進(jìn)行授權(quán)管理?？紤]到Ukey證書被復(fù)制或遺失帶來(lái)隱患，系統(tǒng)采用分離式密鑰管理機(jī)制對(duì)證書進(jìn)行保護(hù)，如圖5所示。

圖5 分離存儲(chǔ)密鑰管理機(jī)制

系統(tǒng)工作時(shí)，雙宿主機(jī)系統(tǒng)的內(nèi)網(wǎng)ARM讀取證書B并通過串行方式發(fā)送給FPGA，同時(shí)與FPGA讀取EPCS4中的證書A進(jìn)行異或運(yùn)算，生成系統(tǒng)實(shí)際使用的密鑰證書，然后經(jīng)過SHA-256算法模塊進(jìn)行認(rèn)證。認(rèn)證成功后，開啟FPGA的數(shù)據(jù)擺渡通道；反之，則等待下一次認(rèn)證。其中，證書A通過Ukey專用驅(qū)動(dòng)寫入U(xiǎn)key存儲(chǔ)器，通過設(shè)置UKey的PIN碼進(jìn)行保護(hù)；證書B通過專用軟件寫入FPGA的EPCS4配置芯片，隱藏在可執(zhí)行的二進(jìn)制配置文件中。

這兩個(gè)不相關(guān)的證書由“隔離機(jī)證書管理中心”軟件進(jìn)行集中管理，如圖6所示。軟件包括隨機(jī)數(shù)種子生成、中心節(jié)點(diǎn)管理、外部節(jié)點(diǎn)管理、數(shù)據(jù)庫(kù)維護(hù)、用戶管理和軟件說(shuō)明6個(gè)模塊，其中隨機(jī)數(shù)種子生成模塊用于隨機(jī)化密鑰證書源，節(jié)點(diǎn)管理提供了密鑰的寫入、重置和銷毀等功能。添加外部節(jié)點(diǎn)時(shí)可以設(shè)置節(jié)點(diǎn)網(wǎng)段號(hào)、部署的洲際和地區(qū)等證書相關(guān)信息，軟件自動(dòng)將密鑰證書源分離為證書A與證書B，并記錄在數(shù)據(jù)庫(kù)中。這種分離式密鑰證書管理方式雖然較為復(fù)雜，但可解決因UKey或網(wǎng)關(guān)主體設(shè)備丟失導(dǎo)致節(jié)點(diǎn)密鑰證書泄露以影響系統(tǒng)可信接入的安全問題。

圖6 證書管理界面

3 系統(tǒng)應(yīng)用及其安全性

依據(jù)“黑核”體系思想，將基于雙主機(jī)架構(gòu)的安全網(wǎng)關(guān)部署于網(wǎng)絡(luò)邊緣作為遠(yuǎn)程視頻信息系統(tǒng)的接入點(diǎn)，用于隔離可信網(wǎng)絡(luò)和不可信網(wǎng)絡(luò)，通過WAN建立安全隧道進(jìn)行信息安全交互，在網(wǎng)絡(luò)安全與信息共享間實(shí)現(xiàn)均衡。拓?fù)浣Y(jié)構(gòu)如圖7所示。

圖7 系統(tǒng)應(yīng)用拓?fù)浣Y(jié)構(gòu)

圖7中，可信網(wǎng)絡(luò)中的接入中心由可視電話、IP加密機(jī)、Ukey、IPSec VPN服務(wù)器，多端口交換機(jī)和安全網(wǎng)關(guān)組成，其中IPSec VPN服務(wù)器用于建立和維護(hù)與客戶端多條并發(fā)的虛擬加密隧道，實(shí)現(xiàn)接入中心視音頻業(yè)務(wù)的授權(quán)接入；而客戶端可信網(wǎng)絡(luò)部署則較為簡(jiǎn)單，僅需要安裝安全網(wǎng)關(guān)、IP加密機(jī)及相應(yīng)終端設(shè)備。

該系統(tǒng)中，由于安全網(wǎng)關(guān)采用雙主機(jī)架構(gòu)設(shè)計(jì)方式，即使因?yàn)榉阑饓Ρ旧淼娜毕?，黑客入侵了外部ARM主機(jī)系統(tǒng)，它也無(wú)法利用網(wǎng)絡(luò)協(xié)議漏洞通過FPGA隔離器原始數(shù)據(jù)擺渡滲透內(nèi)部網(wǎng)絡(luò)，從而保護(hù)了遠(yuǎn)程視頻信息系統(tǒng)的安全。

通過wireshark抓包分析和TransFile軟件分別對(duì)網(wǎng)絡(luò)攻擊和吞吐量進(jìn)行簡(jiǎn)易測(cè)試，結(jié)果表明該網(wǎng)關(guān)能抵御DDoS攻擊、IP地址欺騙和口令破解等網(wǎng)絡(luò)入侵；其網(wǎng)絡(luò)吞吐量為32.5Mb/s，能滿足一般視頻通信要求，也適用于面向連接的文件資料傳輸。

4 結(jié)束語(yǔ)

設(shè)計(jì)并實(shí)現(xiàn)了一種基于雙宿主機(jī)架構(gòu)的安全網(wǎng)關(guān)。測(cè)試結(jié)果表明，設(shè)計(jì)可行，且部署方便，支持應(yīng)用透明，但由于數(shù)據(jù)包安全審查、認(rèn)證和加密等信息處理，對(duì)傳輸速率有一定影響，需要在后續(xù)研究中進(jìn)行改進(jìn)。

[1] 盧偉. 無(wú)線傳感網(wǎng)的嵌入式Web服務(wù)器網(wǎng)關(guān)設(shè)計(jì)[D].武漢：武漢科技大學(xué)，2012: 39-53.

[2] 韓立毛,趙躍華,杜云海.嵌入式Web網(wǎng)關(guān)系統(tǒng)的安全研究與設(shè)計(jì)[J].計(jì)算機(jī)安全，2010(2)：55-57.

[3] 胡穎群.基于Linux平臺(tái)防止IP欺騙的SYN攻擊防火墻的設(shè)計(jì)與實(shí)現(xiàn)[J].計(jì)算機(jī)測(cè)量與控制,2013(7)：1880-1884.

[4] 秦拯,歐露，張大方.高吞吐量協(xié)作防火墻的雙向去冗余方法[J].湖南大學(xué)學(xué)報(bào)，2013,40(1):93-97.

[5] 王志剛,石穎.基于IPSec協(xié)議的VPN安全網(wǎng)關(guān)設(shè)計(jì)[J].計(jì)算機(jī)工程，2009，35(17)：146-151.

[6] 高占元.一種基于雙端口RAM的隔離卡裝置：中國(guó)，200920131570[P].2010-08-18.

[7] Liu A X, Gouda M G. Complete redundancy removal for packet classifiers in TCAMs[J]. IEEE Transactions on Parallel and Distributed Systems,2010,21(4):424-437.

[8] 唐斌.基于FPGA的雙端口視頻緩沖器設(shè)計(jì)[J].液晶與顯示,2014,29(4):1575-1579.

[9] 劉翔宇,白瑞.外部中斷控制器的設(shè)計(jì)與實(shí)現(xiàn)[J].西安郵電學(xué)院學(xué)報(bào)，2010,15(3):80-84.

[責(zé)任編輯:瑞金]

Design of a secure gateway based on double-homed structure

ZHANG Zhengui1, LIN Shaofeng2

(1. School of Foreign Languages, Xi’an University of Posts and Telecommunications, Xi’an 710121, China;2. Department of Information Security, Xi’an Communications Institute, Xi’an 710106, China)

A secure gateway based on double host architecture is designed according to the idea of black core system to tackle at leakage and intrusion risk of the information system in the internet application. This device of framework disconnects the network layer and can prevent network attacks based on TCP/IP protocol. In the design, two ARM processor S3C6410 is applied as independent host of the internal and external network, and FPGA device EP1C12Q240I7 is used to control internal and external network connections and original data of the ferry station. Through the deployment of the gateway in the public network, external network can be isolated and the high level of special information system can be constructed for providing trusted end-to-end services.

end-to-end encryption, network isolation, embedded gateway

10.13682/j.issn.2095-6533.2015.04.005

2015-05-10

陜西省自然科學(xué)基礎(chǔ)研究計(jì)劃資助項(xiàng)目(2014JM2- 6097)

張貞桂(1981- )，女，碩士，講師，從事通信類專業(yè)英語(yǔ)研究。E-mail: zhangzhengui99@163.com 林少鋒(1978- )，男，碩士，講師，從事網(wǎng)絡(luò)安全研究。E-mail:448537556@qq.com

TN915.08

A

2095-6533(2015)04-0023-06