一种舰载网络隔离与交换技术的研究＊

张 靓 袁 野 杨 勇

（1.海军驻426厂军事代表室 大连 116005）（2.91550部队 大连 116023）（3.武汉市74223信箱 武汉 430074）

1 引言

面对新型网络攻击手段的出现和高安全度网络对安全的特殊需求，全新安全防护防范理念的网络安全技术—“网络隔离技术”应运而生。

网络隔离技术的目标是确保把有害的攻击隔离，在可信网络之外和保证可信网络内部信息不外泄的前提下，完成网间数据的安全交换。

2 网络隔离技术的发展与特点

网络隔离［1］，英文名为 Network Isolation，主要是指把两个或两个以上可路由的网络（如：TCP／IP）通过不可路由的协议（如：IPX／SPX、NetBEUI等）进行数据交换而达到隔离目的。由于其原理主要是采用了不同的协议，所以通常也叫协议隔离（Protocol Isolation）。

随着隔离产品的发展隔离技术经历了完全隔离、硬件卡隔离、数据转播隔离、空气开关隔离、安全通道隔离五个发展阶段。就隔离技术而言应具有以下要求：

1）要具有高度的自身安全性

隔离产品要保证自身具有高度的安全性［2］，从技术实现上，应采用加固或安全的操作系统，关键在于要把内外网接口从操作系统层分离。通过构建两套主机系统分别控制内外网络接口，并在其接口间通过不可路由的协议进行数据交换，以达到自身的安全级别。

2）要满足应用透明化和处理高速化要求

面对各种网络环境下的数据交换隔离技术应支持网络接入、网络应用的透明化和交换处理的高速化的需求。

3）要满足数据交换的可信、可控、可靠等要求

在应用安全上要能防止非法通道等网络攻击的出现，保证满足数据安全稳定传递、网络安全访问以及操作可审计等要求。

3 舰载网络隔离与交换应用需求

商用成熟网络隔离产品在电子政务、银行、通信等领域已有成熟的应用，在军用办公信息化领域也已有少量应用。但在实时性、可靠性、安全性等要求高的舰用环境下的网络集成领域，舰载网络隔离产品的应用需作进一步深入的分析。

3.1 舰载网络互联互通需求

根据基本组成和使命任务，现代海军舰船中除了作战自动化系统外，还有舰船平台自动化系统、办公自动化系统、通信自动化等业务系统［3］。舰船平台自动化系统实现对舰船内各种机电设备的自动化监控，包括火警、消防、液位、阀门状态、空调、动力、照明和航行等；通信自动化系统保证舰船内、外的通信联系，提供网络支持能力，实现对数据、语言、图形、图像等信息的接收和发送；办公自动化系统管理两方面的内容，与舰船有关的系统信息（如名称、舷号、服役时间、长度、排水量等）和行政管理信息（如人事、工资、医疗、文件等）。鉴于使命任务和安全级别的差异，各业务系统间在信息访问上有着不同的需求和安全策略，例如平台自动化系统需要实时获取通信自动化系统的设备状态来完成全舰平台的状态报警监控。平台自动化系统需要获取办公自动化系统的实时视频会议信息等。舰载环境下面对不同业务系统、操作系统平台间的信息访问、安全隔离等业务应用需求，如何安全、可靠、实时、统一地进行互连、互通、互操作将是网络隔离技术在舰载领域应用的关键点。

3.2 舰载网络设备特性要求

由于舰载网络产品的应用场合和使用对象的不同，要求舰载网络隔离应用产品具有较强的环境适应性，具体说来有低温、高温、湿热、振动、冲击、电磁兼容等物理要求，以及具有安全性、可维护性、可靠性、互换性、实时性、可管理性、可测试性、可扩展性等性能要求。

4 舰载网络隔离应用设计

4.1 隔离与交换模型

目前舰船中涉及到两种类型的网络，信息网络和控制网络，信息网络应用于作战和通信等业务系统，其为常见的局域网和广域网，其互联技术已十分成熟；控制网络是指完成设备状态监控和自动化控制的网络，如CANBUS、FF、ProFIBUS等，主要用于舰船平台设备级（传感器、执行器、控制模块等）的数据传输。

实现信息网络和控制网络跨网间信息的安全交换，需要解决两个层次的问题：第一层次问题是首先实现底层控制网络的互联，将底层控制网络通过各自的专用协议进行自身互连；第二层次问题是在底层控制网络互连的基础上，基于标准通信协议实现信息网络层的分布式应用集成，舰船内存在多个专业控制子系统，如损管子系统、三防子系统、动力子系统、电站子系统、辅机子系统、空调与冷热源子系统等，这些子系统设备来自不同的制造商，遵从不同的通信标准，它们独立构成专用控制系统，需开发特定的应用软件才可对外通信，不具有通用性和扩展性；因此控制网与信息网络的互联，传统的做法是采用专用网关，但不具有通用性和扩展性，通过采用OPC、Web技术可实现舰艇控制网络与信息网络间统一信息交换和安全隔离［4］。

图1 舰载网络隔离与交换示意图

OPC接口技术提供从数据源获得数据的一种标准方式。通过各现场设备、应用软件所具备的标准的OPC软接口，可方便地访问不同数据源的数据，使运行在不同平台上、用不同语言编写的各种应用软件顺利集成，将数据传送给客户应用程序。只要自控设备生产商开发一套遵循OPC规范的服务器，由服务器充当数据源向外发布数据的代理，客户应用程序就能以标准的方式通过服务器完成数据交换，实现数据交换的标准化和开放性，为舰载网络的隔离与数据交换提供有效的工具，信息网络层采用基于Web的访问方式具有简单易用、开放、灵活等特点，无需开发专用客户端软件使系统易于维护和升级。

对于舰载网络上具有容量大、高实时性、可靠传输等要求的各类视频数据，用纯粹的软件隔离与交换方式不能满足使用要求。尤其在多路多类型视频源并发交换时单纯软件交换的方式对机器配置要求高，CPU处理负载大，处理延时大，很难达到视频信息的实时可靠传输与安全交换。通过专用的视频交换板卡和视频流路由软件的组合使用可解决大容量并发实时视频流数据的。

对于跨网的邮件、文件传输、Web访问等网络应用服务的安全交换与隔离在访问控制的模型和策略设计上有多层的访问模型和具体策略，共性访问模型是通过用户身份验证、物理连接绑定与过滤、事件记录等方式进行安全可控的反问；具体来说对FTP服务通过专用服务端口、限制非法IP访问、限制重连等策略达到安全访问；对邮件服务器进行垃圾邮件过滤、动态中继阻断等策略来控制服务攻击；其它安全控制策略的针对加载的业务应用有着不同设置这里不作详细描述。

4.2 隔离与交换系统结构与模块设计

考虑舰用条件和使命任务，这一系统采用较高的软硬件配置，构成一体化的综合安全隔离与交换设备，软件上由多个模块化的业务组件构成，支持用户定义和组件扩展；硬件上采用内网主机模块、外网主机模块和隔离交换模块以及视频模块等专用板卡组成，并在端口、电源、整机等方面进行了冗余可靠设计。软件模块由FTP访问模块、邮件访问模块、文件交换模块、视频流路由模块、协议转换模块、Web服务模块、安全域处理模块、系统维护模块等组成。软硬件结构图如图2、3所示。

图2 舰载网络隔离与交换设备硬件示意图

图3 舰载网络隔离与交换设备软件模块示意图

FTP访问模块提供内、外网用户间双向FTP访问，即内网用户可通过安全隔离与交换系统访问外网FTP服务器，外网用户可通过本系统访问内网FTP服务器，并同时可进行双向的FTP访问；邮件访问模块可使内网或者外网用户通过本系统访问另一侧网络的邮件服务器进行收发邮件；文件交换模块在保证物理隔离的前提下，通过XML文件形式实现不同安全域文件服务器单向、双向的文件自动同步；视频模块完成多路视频流的实时传输和路由转发；协议转换模块缺省为OPC协议转换，也可根据用户自定义的协议格式进行转换；Web服务模块提供内网客户端通过本系统与外网进行基于HTTP协议的Web双向浏览，还可以对访问网页的内容进行相应的过滤，并支持基于Web的设备管理服务；安全域处理模块是对内外网的接收信息进行预检测和文件查杀以及各应用模块的访问控制策略管理；系统维护模块提供日志管理和设备外部远程管理的MIB维护等。

5 结语

网络隔离交换技术通过不可路由协议将两个或两个以上的路由网络进行数据交换而达到隔离目的，具有比防火墙更高的安全级别。在舰载网络应用领域，由于其网络环境较互联网而言相对简单而且安全管理和应用入网安全测试较为严格，故在隔离交换应用中解决快速、可靠的互连、互通并适度的安全防护显得更为重要，本文通过分析网络隔离技术的特点，结合舰载网络环境，提出一套舰载网络隔离与交换应用系统的设计思路及业务架构，并在实际装备中有所应用与实现，随着舰载网络应用多元化和安全防护要求的不断提高，舰载网络隔离与交互技术还需不断的提高与发展。

［1］刘勇燕，刘勇鹏，张小红.GAP技术实现政府内外网隔离的应用研究［J］.计算机与数字工程，2009，37（9）.

［2］孔滨.安全隔离与信息交换系统检测与应用［J］.计算机安全－物理隔离网闸专辑，2004，7.

［3］李勇群.下一代舰艇平台集成监控系统［J］.国外舰船工程，2001（7）.

［4］刘沿阳，邵昱.舰船综合自动化系统的现状与发展趋势［J］.船舶工程，2006，2.

［5］彭珺，高珺.计算机网络信息安全及防护策略研究［J］.计算机与数字工程，2011，39（1）.

［6］OPC Data Access Custom Interface Specification 2.05.http：／／www.opcfoundation.org.