安全隔離與信息交換系統(tǒng)的擴(kuò)展及應(yīng)用

邵大鵬

（北京郵電大學(xué)教務(wù)處，北京100876）

1 引言

能夠支持識(shí)別源的多對(duì)一單播和組播功能，并給出了相應(yīng)的應(yīng)用實(shí)例。

隨著計(jì)算機(jī)、通信、網(wǎng)絡(luò)技術(shù)的迅速發(fā)展，全球信息化的步伐越來越快，網(wǎng)絡(luò)信息安全問題已成為影響國家長(zhǎng)遠(yuǎn)利益而亟待解決的重大關(guān)鍵問題。人們對(duì)信息傳輸?shù)陌踩?、及時(shí)性、有效性要求越來越高[1]。在網(wǎng)絡(luò)環(huán)境中，要想更好地防止內(nèi)部網(wǎng)絡(luò)漏洞，保護(hù)內(nèi)部網(wǎng)絡(luò)的安全性，最好的辦法就是實(shí)現(xiàn)外網(wǎng)和內(nèi)網(wǎng)的安全隔離[2]。以防火墻產(chǎn)品為核心的傳統(tǒng)邏輯隔離安全解決方案，可以在一定程度上保障網(wǎng)絡(luò)數(shù)據(jù)通信的安全，但在高安全性需求的網(wǎng)絡(luò)環(huán)境中，其提供的安全保障水平相對(duì)不足，無法滿足用戶的實(shí)際需求。隨著電子政務(wù)等網(wǎng)上業(yè)務(wù)的不斷發(fā)展，網(wǎng)絡(luò)間的信息交換需求日益強(qiáng)烈。為應(yīng)對(duì)不同級(jí)別網(wǎng)絡(luò)間信息交換的諸多風(fēng)險(xiǎn)，網(wǎng)絡(luò)安全隔離與信息交換技術(shù)也隨之產(chǎn)生。

在上世紀(jì)90年代中期，俄羅斯人Ry Jones首先提出了“AirGap”隔離概念。隨后，以色列研制成功了物理隔離卡，實(shí)現(xiàn)了網(wǎng)絡(luò)與網(wǎng)絡(luò)之間的安全隔離。美國Whale Communications公司和以色列SpearHead公司先后推出了e-Gap和NetGap產(chǎn)品，利用專有硬件實(shí)現(xiàn)兩個(gè)網(wǎng)絡(luò)在不連通的情況下進(jìn)行數(shù)據(jù)的安全交換和資源共享，從而使安全隔離技術(shù)從單純的實(shí)現(xiàn)“網(wǎng)絡(luò)隔離禁止交換”發(fā)展到“安全隔離和可靠、可控交換”的程度[3]。

安全隔離技術(shù)在提高了安全性的同時(shí)，也限制了業(yè)務(wù)的支持種類，拓展安全隔離產(chǎn)品支持更多的實(shí)際業(yè)務(wù)需求是安全隔離產(chǎn)品發(fā)展的主要方向。根據(jù)實(shí)際業(yè)務(wù)需要，網(wǎng)絡(luò)安全隔離產(chǎn)品需要能夠支持識(shí)別源的多對(duì)一單播功能和組播功能的安全隔離與信息交換系統(tǒng)。本文從安全隔離與信息交換系統(tǒng)入手進(jìn)行研究，擴(kuò)展了安全隔離與信息交換系統(tǒng)的基本功能，使系統(tǒng)

2 安全隔離與信息交換系統(tǒng)

安全隔離與信息交換系統(tǒng)，是具有隔離與信息交換兩個(gè)特點(diǎn)的網(wǎng)絡(luò)信息安全系統(tǒng)，是一種通過專用硬件使不同網(wǎng)絡(luò)在不連通的情況下實(shí)現(xiàn)安全數(shù)據(jù)傳輸和資源共享的技術(shù)。隔離指的是把不安全的外部網(wǎng)絡(luò)和安全的內(nèi)部網(wǎng)絡(luò)隔離起來；交換指的是利用第三方系統(tǒng)，為外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)提供數(shù)據(jù)交換的能力。它采用獨(dú)特的硬件設(shè)計(jì)，并在此基礎(chǔ)上繼承了多種安全技術(shù)，能夠顯著提高內(nèi)部用戶網(wǎng)絡(luò)的安全強(qiáng)度。對(duì)需要傳輸?shù)臄?shù)據(jù)進(jìn)行定義，稱為“白名單”，符合定義的數(shù)據(jù)時(shí)允許，其余的禁止。

安全隔離與信息交換系統(tǒng)的應(yīng)用需求主要有兩大類：一類是用于因特網(wǎng)和涉密網(wǎng)絡(luò)之間，如因特網(wǎng)與政務(wù)內(nèi)網(wǎng)（涉密網(wǎng)）之間，此處需要數(shù)據(jù)只能從互聯(lián)網(wǎng)流向涉密網(wǎng)絡(luò)，而不能從涉密網(wǎng)絡(luò)流向互聯(lián)網(wǎng)；另一類是用于其他類別的網(wǎng)絡(luò)之間，如政務(wù)內(nèi)網(wǎng)（涉密網(wǎng)，與互聯(lián)網(wǎng)物理隔離）和政務(wù)外網(wǎng)（非涉密網(wǎng)，與互聯(lián)網(wǎng)邏輯隔離）之間等。

安全隔離與信息交換系統(tǒng)由內(nèi)網(wǎng)主機(jī)系統(tǒng)、外網(wǎng)主機(jī)系統(tǒng)、隔離交換模塊共三部分組成，使用帶有多種控制功能的固態(tài)開關(guān)讀寫介質(zhì)連接兩個(gè)獨(dú)立的主機(jī)系統(tǒng)，模擬人工在兩個(gè)隔離網(wǎng)絡(luò)之間實(shí)現(xiàn)信息交換。安全隔離與信息交換系統(tǒng)本質(zhì)在于：兩個(gè)獨(dú)立主機(jī)系統(tǒng)之間，不存在通信的物理連接和邏輯連接，不存在依據(jù)TCP/IP協(xié)議的信息包轉(zhuǎn)發(fā)，只有數(shù)據(jù)塊的無協(xié)議“擺渡”。安全隔離與信息交換系統(tǒng)的工作原理如圖1所示。

圖1 安全隔離與信息交換系統(tǒng)的工作原理圖

安全隔離與信息交換系統(tǒng)支持雙向數(shù)據(jù)交換，以應(yīng)用代理訪問的方式實(shí)現(xiàn)。系統(tǒng)一端主機(jī)作為客戶端接收來自訪問客戶端的訪問，對(duì)通過預(yù)先配置的檢測(cè)控制規(guī)則的報(bào)文，以格式化數(shù)據(jù)塊的方式通過隔離交換模塊交換到服務(wù)端。服務(wù)端再以訪問客戶端代理身份訪問真實(shí)的應(yīng)用服務(wù)器。

3 多對(duì)一單播的擴(kuò)展

安全隔離與信息交換系統(tǒng)一般是一個(gè)訪問客戶端訪問一臺(tái)應(yīng)用服務(wù)器，但隨著用戶需求的增加，可能會(huì)存在多個(gè)訪問客戶端訪問同一臺(tái)應(yīng)用服務(wù)器的需求，這就需要對(duì)現(xiàn)有的安全隔離與信息交換系統(tǒng)進(jìn)行多對(duì)一單播的擴(kuò)展。

3.1 實(shí)現(xiàn)原理

識(shí)別源的多對(duì)一業(yè)務(wù)需求是指多個(gè)訪問客戶端能夠訪問同一應(yīng)用服務(wù)器的同一端口，并且應(yīng)用服務(wù)器能夠區(qū)分開數(shù)據(jù)是哪個(gè)源訪問客戶端發(fā)來的。由于當(dāng)前的安全隔離與信息交換系統(tǒng)在服務(wù)端轉(zhuǎn)發(fā)數(shù)據(jù)到真實(shí)應(yīng)用服務(wù)器時(shí)，總是以一個(gè)默認(rèn)的地址轉(zhuǎn)發(fā)，導(dǎo)致應(yīng)用服務(wù)器不能夠區(qū)分真實(shí)的源地址?；诖司鸵笙到y(tǒng)服務(wù)端針對(duì)不同源地址的訪問端建立不同的任務(wù)，并以真實(shí)的源地址轉(zhuǎn)發(fā)數(shù)據(jù)。但客戶端在啟動(dòng)不同任務(wù)時(shí)不能夠配置本機(jī)地址綁定相同端口。針對(duì)這兩個(gè)問題，系統(tǒng)可以在服務(wù)端增加指定源地址的配置項(xiàng)以解決發(fā)送端只能以固定地址轉(zhuǎn)發(fā)的弊端，并通過在客戶端增加端口重定向模塊以解決不同任務(wù)本機(jī)地址不能同時(shí)綁定一個(gè)端口的問題。

安全隔離與信息交換系統(tǒng)進(jìn)行上述功能改進(jìn)后，當(dāng)客戶端在某端口監(jiān)聽到數(shù)據(jù)時(shí)，首先把數(shù)據(jù)接收下來，查找端口重定向規(guī)則表，找到后把數(shù)據(jù)轉(zhuǎn)給重定向后的端口，經(jīng)任務(wù)檢測(cè)控制后經(jīng)隔離交換模塊擺渡到服務(wù)端，服務(wù)端按照配置的源地址轉(zhuǎn)發(fā)給實(shí)際的應(yīng)用服務(wù)器。

3.2 應(yīng)用實(shí)例

本文以郵件收發(fā)系統(tǒng)為例，進(jìn)一步闡述安全隔離與信息交換系統(tǒng)的識(shí)別源的多對(duì)一功能的實(shí)現(xiàn)過程。應(yīng)用要求C 郵件接收端能夠收到A 和B 郵件發(fā)送端所傳輸?shù)泥]件，并能夠?qū) 和B 的郵件發(fā)送端進(jìn)行區(qū)分，其應(yīng)用示意圖如圖2所示。

圖2 安全隔離與信息交換系統(tǒng)的指定源多對(duì)一應(yīng)用示意圖

其具體實(shí)現(xiàn)過程：系統(tǒng)在客戶端監(jiān)聽自己的5000端口，將A發(fā)送來的數(shù)據(jù)重定向到5001端口，將B發(fā)送來的數(shù)據(jù)重定向到5002端口。當(dāng)A發(fā)送給C實(shí)現(xiàn)郵件傳輸時(shí)，客戶端根據(jù)A的地址執(zhí)行重定向后的端口5001對(duì)應(yīng)的任務(wù)，經(jīng)過數(shù)據(jù)擺渡到服務(wù)端，服務(wù)端再通過指定源地址A將數(shù)據(jù)轉(zhuǎn)發(fā)至C 郵件接收端。同理，C將接收到B發(fā)來郵件。最終，C可以收到A和B發(fā)送來的郵件，并可成功的對(duì)它們進(jìn)行區(qū)分。

通過這種方式，實(shí)現(xiàn)了對(duì)安全隔離與信息交換系統(tǒng)中多對(duì)一單播功能的擴(kuò)展，使其能夠支持識(shí)別源的多對(duì)一模式，在保證網(wǎng)絡(luò)安全隔離的同時(shí)，豐富了原有的信息交換內(nèi)容，進(jìn)一步滿足用戶的業(yè)務(wù)需求。

4 組播應(yīng)用支持

安全隔離與信息交換系統(tǒng)一般是不支持組播需求，為了滿足用戶對(duì)組播的實(shí)際需要，需要對(duì)現(xiàn)有的安全隔離與信息交換系統(tǒng)進(jìn)行組播應(yīng)用支持的擴(kuò)展。

4.1 實(shí)現(xiàn)原理

安全隔離與信息交換系統(tǒng)工作在應(yīng)用層，在兩個(gè)網(wǎng)絡(luò)之間一方面代理服務(wù)端響應(yīng)客戶端的請(qǐng)求，另一方面發(fā)起代理發(fā)送端對(duì)服務(wù)端的訪問，其工作原理決定了其無法像路由器、交換機(jī)那樣直接透明轉(zhuǎn)發(fā)的方式對(duì)多播進(jìn)行支持。

安全隔離與信息交換系統(tǒng)需要通過將一端主機(jī)以組播單元的身份加入組播組，接受組播內(nèi)的信息，收到組播報(bào)文信息后，通過隔離交換模塊，將組播報(bào)文交換到另外一端。另外一端以另外一個(gè)組播單元的身份加入另外一個(gè)組播組，將交換過來的數(shù)據(jù)組包發(fā)給到整個(gè)組播組。通過這種將內(nèi)網(wǎng)主機(jī)和外網(wǎng)主機(jī)分別加入兩個(gè)物理隔離的組播組，然后通過數(shù)據(jù)擺渡來實(shí)現(xiàn)組播數(shù)據(jù)的傳輸方式，實(shí)現(xiàn)了對(duì)組播應(yīng)用的支持。

4.2 應(yīng)用實(shí)例

以RTP語音系統(tǒng)為例，進(jìn)一步闡述安全隔離與信息交換系統(tǒng)中組播應(yīng)用支持的實(shí)現(xiàn)原理，應(yīng)用示意圖如圖3所示。

圖3 安全隔離與信息交換系統(tǒng)的組播應(yīng)用示意圖

安全隔離與信息交換系統(tǒng)將客戶端主機(jī)加入RTP語音機(jī)C所在的組播組A，將組服務(wù)端主機(jī)加入RTP語音機(jī)D所在的組播組B。當(dāng)C需要和D實(shí)現(xiàn)組播語音交互的時(shí)候，C和D分別將自己需要發(fā)送的語音數(shù)據(jù)發(fā)送到所屬組播組內(nèi)，此時(shí)由于系統(tǒng)兩端主機(jī)已經(jīng)分別加入組播組A和組播組B，因此C和D發(fā)送的組播數(shù)據(jù)會(huì)分別被兩端主機(jī)接收。兩端主機(jī)各自接收數(shù)據(jù)后，然后將數(shù)據(jù)通過數(shù)據(jù)擺渡的方式擺渡到另一端主機(jī)，然后另一端主機(jī)將該數(shù)據(jù)發(fā)送至指定的組播組內(nèi)，C和D即可分別收到對(duì)端發(fā)送的語音數(shù)據(jù)，實(shí)現(xiàn)組播語音數(shù)據(jù)的交互。

通過這種方式，實(shí)現(xiàn)了對(duì)安全隔離與信息交換系統(tǒng)中組播應(yīng)用功能的擴(kuò)展，使其能夠支持組播模式，在保證網(wǎng)絡(luò)安全隔離的同時(shí)，豐富了原有的信息交換內(nèi)容，進(jìn)一步滿足用戶業(yè)務(wù)需求。

5 結(jié)束語

經(jīng)過多年的發(fā)展與不懈的探索，網(wǎng)絡(luò)安全隔離與信息交換技術(shù)的發(fā)展日漸成熟，已成為防范網(wǎng)絡(luò)攻擊、保護(hù)信息安全的重要手段。采用安全隔離與信息交換系統(tǒng)后，可以真正實(shí)現(xiàn)網(wǎng)絡(luò)間硬件上的隔離，保護(hù)信息安全，避免網(wǎng)絡(luò)攻擊事件的發(fā)生，同時(shí)防止數(shù)據(jù)泄露。本文通過對(duì)安全隔離與信息交換系統(tǒng)的相關(guān)配置項(xiàng)的擴(kuò)展，使其能夠支持識(shí)別源的多對(duì)一單播和組播功能。擴(kuò)展后的安全隔離與信息交換系統(tǒng)可以通過具體配置項(xiàng)靈活的對(duì)其通訊方式進(jìn)行控制，并且組播功能可實(shí)現(xiàn)內(nèi)外網(wǎng)不同組播組之間的通信，增強(qiáng)了安全隔離與信息交換系統(tǒng)對(duì)實(shí)際業(yè)務(wù)需求的適應(yīng)性。