技术领域
[0001] 本
发明属于网络通信技术领域，尤其涉及一种实现主机同时接入内外网络的方法和系统。
背景技术
[0002] 在
计算机网络中，有效地获取外界有用信息的同时防止本地敏感数据被窃取，一直以来都是一个难题。在一些高新技术企业中，为了防止竞争对手通过技术侦测手段盗取重要科技，避免造成商业损失，一般将上网区和非上网区(办公区)进行网络隔离。在军工单位甚至采用了物理隔离，彻底关闭了数据泄露的通道。然而，物理隔离等做法给办公、科研带来了极大的不便，有时仅仅为了获取少量的文件，必须经历文件导入导出、光盘刻录的繁琐过程，牺牲了科研人员的大量宝贵时间，效率十分低下。
[0003] 为了解决光盘刻录导入信息效率较低的问题，出现了数据单向导入的技术：外端交换卡的FPGA芯片周期性轮询检查外交换主机的可读缓存(发缓存)，当发现外交换主机缓存中有数据时，读入至本卡的RAM中，并关闭外端的PCIE通信链路；将RAM里的数据使用光纤单向传输至内端交换卡的RAM中，然后将内端的通信链路打开，并将内端交换卡RAM中的数据写入到内交换主机的收缓存中；内交换主机的处理程序会定时在该数据区读取数据，并保存到本地或转发至目标
服务器。这种方案实际属于一种数据摆渡技术，只有一条网络信道，具有数据难以泄露的显著优势，但同时有误码率高、丢包概率大，使用不够自由，业务种类受限制的问题，而且使用这套方案时需要频繁进行手动网络切换，造成使用上的极大不便。
[0004] 因此，在提高办公效率和加快科研速度方面，设计一种能够直接通过本地主机获取外部网络信息且能够防止本地文件被窃的系统十分必要，具有广阔的市场前景。
发明内容
[0005] 针对
现有技术存在的问题，本发明提供了一种实现主机同时接入内外网络的方法和系统。
[0006] 本发明的目的是通过以下技术方案实现的：
[0007] 根据本发明的第一方面的一种实现主机同时接入内外网络的方法，其特征在于，包括以下步骤：
[0008] S1、将内外网切换装置的三个网络端口分别与本地主机、外部网络和内部网络连接；
[0009] S2、在本地主机使用过程中进行联网方式的切换，所述切换方式包括：
[0010] S21、切换为外网连接，关闭本地主机对本地文件的读取权限；
[0011] S22、切换为本地主机离线工作，同时断开内外网切换装置与内部网络、外部网络的物理层链路连接；恢复本地主机对本地文件的读取权限；
[0012] S23、切换为内网连接，将内外网切换装置与内部网络建立物理连接，将本地主机与内外网切换装置建立连接。
[0013] 在上述方面中，所述步骤S2中在联网方式切换的同时，清空本地主机的发送缓存和内外网切换装置的发送缓存。
[0014] 在上述方面中，所述切换方式S21具体过程如下：
[0015] S211、关闭本地主机对本地文件的读取权限；
[0016] S212、将内外网切换装置与外部网络建立物理连接，将本地主机与内外网切换装置建立连接；
[0017] S213、本地主机发送信息时，先进行加密后发送至内外网切换装置；
[0018] S214、对内外网切换装置接收到的本地信息解密，通过外部网络
接口发送至外网。
[0019] 在上述方面中，所述切换方式S23具体包括：
[0020] S231、恢复本地主机对本地文件的读取权限；
[0021] S232、从本地主机直接发送信息至内外网切换装置；
[0022] S233、将内外网切换装置旁路解密模
块接收到的信息发送至内网。
[0023] 在上述方面中，所述步骤S2中在联网方式切换到切换方式S21或切换方式S23时，将内外网切换装置接收的外网或内网数据不经过处理直接发送至本地主机，通过本地主机进行协议解析和
数据处理。
[0024] 根据本发明的第二方面的一种实现主机同时接入内外网络的系统，其特征在于，所述系统包括：
[0025] 网络连接模块：用于将内外网切换装置的三个网络端口分别与本地主机、外部网络和内部网络连接；
[0026] 联网方式切换模块，用于在本地主机使用过程中进行联网模式的切换，所述方式切换具体包括：
[0027] 外网连接模式单元，用于关闭本地主机对本地文件的读取权限；
[0028] 本地主机离线工作模式单元，用于同时断开内外网切换装置与内部网络、外部网络的物理层链路连接；恢复本地主机对本地文件的读取权限；
[0029] 内网连接模式单元，用于将内外网切换装置与内部网络建立物理连接，将本地主机与内外网切换装置建立连接。
[0030] 在上述方面中，所述联网方式切换模块还用于在联网模式切换的同时，清空本地主机的发送缓存和内外网切换装置的发送缓存。
[0031] 在上述方面中，所述外网连接模式单元具体用于：关闭本地主机对本地文件的读取权限；将内外网切换装置与外部网络建立物理连接，将本地主机与内外网切换装置建立连接；本地主机发送信息时，先进行加密后发送至内外网切换装置；对内外网切换装置接收到的本地信息解密，通过外部网络接口发送至外网。
[0032] 在上述方面中，内网连接模式单元具体用于：恢复本地主机对本地文件的读取权限；从本地主机直接发送信息至内外网切换装置；将内外网切换装置旁路解密模块接收到的信息发送至内网。
[0033] 在上述方面中，联网方式切换模块切换到外网连接模式单元或内网连接模式单元时，将内外网切换装置接收的外网或内网数据不经过处理直接发送至本地主机，通过本地主机进行协议解析和数据处理。
[0034] 本发明具有以下有益效果：
[0035] 1、该发明使本地主机同时接入内外网络，而无需借助中间机，成本降低，部署更灵活；
[0036] 2、该发明使本地主机可以主动发起数据
请求，甚至连接互联网，无须担心本地文件被窃取；
[0037] 3、该发明保护了双向信道完整性，数据传输可靠，不担心数据错误和丢包；
[0038] 4、该发明使得在本地主机就可以实现内外网络连接模式实时切换，操作高效便捷；
[0039] 5、该发明不会出现内外网接口插反的情况出现，避免了人为
泄漏主机文件数据。
附图说明
[0040] 图1为本发明一种实现主机同时接入内外网络的方法示意图；
[0041] 图2为本发明一种实现主机同时接入内外网络的系统示意图；
[0042] 图3为本发明一种实现主机同时接入内外网络的系统切换至外网连接模式示意图；
[0043] 图4为本发明一种实现主机同时接入内外网络的系统切换至内网连接模式示意图；
[0044] 图5为本发明一种实现主机同时接入内外网络的系统切换至离线模式示意图。
具体实施方式
[0045] 为能进一步了解本发明的发明内容、特点及功效，兹列举以下
实施例，并配合附图详细说明如下。
[0046] 下面结合附图对本发明的结构作详细的描述。
[0047] 本发明的构思结合了
密码学和网络技术的各自特点，最终能够实现一种满足主机同时接入内外网络的系统，从而满足通过本地主机获取外部网络信息，且能够防止本地文件被窃取的需求。首先，本发明提出了图1所示的一种实现主机同时接入内外网络的方法，在图1方法的
基础上进行设计可以得到图2所示的一种实现主机同时接入内外网络的系统。
[0048] 本发明实施例提供了一种实现主机同时接入内外网络的方法，包括以下过程：
[0049] (1)将本发明实施例的内外网切换装置的三个网络端口分别与本地主机、外部网络、内部网络连接。
[0050] (2)在本地主机使用过程中进行联网模式的切换，内外网切换装置跟随模式切换，同时清空本地主机的发送缓存和内外网切换装置的发送缓存。
[0051] (3)若切换为外网连接模式，本地主机关闭对本地文件的读取权限。
[0052] (4)在外网连接模式下，内外网切换装置与外部网络建立物理连接，本地主机与内外网切换装置建立连接。
[0053] (5)在外网连接模式下，本地主机发送信息时，先进行加密后发送至内外网切换装置。
[0054] (6)在外网连接模式下，内外网切换装置对接收到的本地信息解密，通过外部网络接口发送至外网。
[0055] (7)若切换为本地主机离线工作模式，则内外网切换装置同时断开与内部网络、外部网络的物理层链路连接。
[0056] (8)在离线工作模式下，本地主机恢复本地文件的读取权限。
[0057] (9)若切换为内网连接模式，内外网切换装置与内部网络建立物理连接，本地主机与内外网切换装置建立连接。
[0058] (10)在内网连接模式下，本地主机恢复本地文件的读取权限。
[0059] (11)在内网连接模式下，本地主机直接发送信息至内外网切换装置。
[0060] (12)在内网连接模式下，内外网切换装置旁路解密模块，将接收信息发送至内网。
[0061] (13)在外网或内网连接模式下，内外网切换装置将接收的外网或内网数据不经过处理直接发送至本地主机，由本地主机进行协议解析和数据处理。
[0062] 在步骤(1)中，内外网切换装置三个端口的先后连接无顺序要求，但需要保证外网接口连接外部网络，内网接口连接内部网络。
[0063] 步骤(2)、(3)、(4)、(5)、(6)、(13)阐述了实现外网连接模式的方法：
[0064] 在步骤(2)中，本地主机可以通过特定的
软件程序控制联网模式的切换，如果有必要，可以在该控制联网模式切换的软件中增加密钥认证的过程，提高系统安全性。当本地主机执行网络切换后，内外网切换装置需要跟随这个模式切换过程，这可以通过本地主机与该装置间进行握手协商解决，类似于TCP协议的三重握手过程，以确保本地主机与该装置的工作模式协同变化。如果有必要，整个协商过程同样可以增加密钥认证过程，或者是完全加密的亦可。如果对
保密性的要求并不严格，也可以通过人工控制的方法进行手动模式切换。清空本地主机发送缓存可以通过复位网卡的方式，而清空装置发送缓存可以通过发送复位命令实现，也可以通过手动关开机、按复位按钮的方式。清空缓存的目的是防止本地文件明文泄露。
[0065] 在步骤(3)、(4)、(5)、(6)中，用户切换到外网连接模式，清空发送缓存。本地主机与装置，装置与外部网络间形成物理连接关系，此时外部网络对于本地主机是透明的，可以直接
访问到。本地主机需要先关闭本地文件的读取权限，然后将用户输入的检索信息进行加密，发送到内外网切换装置，该装置采用相应的解密
算法进行解密，获取明文后发送至外部网络，形成完整的检索路径。关闭读取权限的本地文件，可以是存放有关键数据信息的磁盘、目录的文件，这可以通过软件手段对这些文件的打开权限加密，使得文件无法被直接访问。对用户输入的检索信息先加密后发送，通过软件编程实现。加密的算法可以是对称加密算法，也可以是非对称加密算法。如果本地采用对称加密，则装置采用相应的对称解密算法；如果本地采用非对称加密，则装置采用相应的非对称解密算法。在保密级别要求高的时候，可以采用非对称加密算法实现；在性能要求更重要时，可以使用对称加密算法实现。在安全保密
角度，一方面，由于对本地的敏感文件进行了访问权限控制，在缺乏权限(如密钥)的情况下，文件难以被读取，防止了恶意窃取；另一方面，纵然敏感文件的访问权限被攻破，在不知道加密算法和加密密钥的情况下，第三方软件对于如何向外部网络发送这些文件毫无办法，因为采用错误的加密方式加密的数据抵达装置时都会被装置的解密模块翻译为乱码，这些乱码无法正确路由到第三方软件想要的目的地，也就达到了双重加密的效果，使得妄想穿过本系统窃取本地数据的工作难上加难，几乎不可能实现。
[0066] 在步骤(13)中，由于外部网络的服务器获取了本地主机的数据检索请求，接下来将检索的结果信息回传至内外网切换装置，然后返回到本地主机进行解析和处理，比如显示、保存等。
[0067] 在步骤(7)、(8)阐述了实现离线模式的方法：用户切换到离线工作模式，内外网切换装置断开外部网络和内部网络的物理连接，这就相当于本地主机拔出了网线，处于信息
孤岛状态。此时，本地主机的文件访问权限可以得到恢复，进行正常的办公。
[0068] 步骤(9)、(10)、(11)、(12)、(13)阐述了实现外网连接模式的方法：步骤(9)类似步骤(3)，只是内外网切换装置切换到了内网接口。本地数据关闭数据加密发送功能，同时内外网切换装置关闭数据解密功能。这样以来，本地主机与外部网络形成了隔离，恢复本地文件读取权限后，再次加入到内部网络环境中，可以与内部网络中的其他主机、服务器进行正常的通信。
[0069] 本发明还包括一种实现主机同时接入内外网络的系统。
[0070] 网络连接模块：用于将内外网切换装置的三个网络端口分别与本地主机、外部网络和内部网络连接；
[0071] 联网方式切换模块，用于在本地主机使用过程中进行联网模式的切换，所述方式切换具体包括：
[0072] 外网连接模式单元，用于关闭本地主机对本地文件的读取权限；
[0073] 本地主机离线工作模式单元，用于同时断开内外网切换装置与内部网络、外部网络的物理层链路连接；恢复本地主机对本地文件的读取权限；
[0074] 内网连接模式单元，用于将内外网切换装置与内部网络建立物理连接，将本地主机与内外网切换装置建立连接。
[0075] 下面结合图2、图3、图4、图5对本发明的进行说明。
[0076] 首先对本系统中的本地主机进行说明：
[0077] 图2所示系统中，本地主机由本地发送缓存单元、加密功能单元、发送接口、接收接口、接收缓存单元组成。本地发送缓存单元接收用户层发送的数据，而本地接收缓存单元从接收接口收到的数据，发送至用户层，这个过程可以通过在系统调用API方式实现，比如socket网络套接字。发送缓存与接收缓冲单元相同，它是用户根据应用需求在系统内存开辟的存储空间。
[0078] 在图3外网连接模式下通过加密功能单元进行发送数据加密，加密后的密文发送至本地主机的发送接口；在图4内网连接模式下，本地发送缓存单元的数据直接发送至本地主机的发送接口，不进行加密。加密功能单元的具体算法实现取决于应用需求，在性能要求高的场合使用对称加密算法，如AES算法、DES算法；在安全性要求高的场合使用非对称加密算法，如RSA算法、Elgamal算法、背包算法、Rabin算法、ECC椭圆曲线算法等，可以采用公钥加密私钥解密，也可以私钥加密公钥解密。如果优先考虑系统的高性能和数据保密，则加密功能单元可以采用
硬件加密卡实现；如果考虑低成本，则加密功能单元可以通过软件编程实现。
[0079] 图2的发送和接收接口分别是物理链路层的数据发送和接收接口，优选成熟的以太网物理芯片和媒介访问层实现，如88E1111(或LXT972)配合EMAC的方案，也可以自定义其他适合的方案。本地主机的发送接口与内外网切换装置的接收接口通信，以及本地主机的接收接口与内外网切换装置的发送接口通信，在具体实现中，从主机到装置、从装置到主机这一对通信物理接口优选最广泛使用的RJ45标准，也可以根据具体应用场合自行选择适合的物理连接方式，比如串口、USB、PCIe等连接方式。如果选择PCIe连接方式，则装置以PCIe插入卡的形式在本地主机中使用，可使系统的集成度更优。
[0080] 然后是本系统中的内外网切换装置：图2所示系统的内外网切换装置，由接收接口、解密功能单元、收发缓存单元、三路选择器单元、外网接口、断路、内网接口、发送接口组成。图2所示系统的内外网切换装置，可以采用在嵌入式SoC编写软件的方式实现，也可以通过FPGA硬件逻辑编程实现，在时延敏感、具有高性能要求的应用场合，后者实现更为合适。
[0081] 接收接口接收本地主机通过发送接口传输的数据，交给解密功能单元。收发缓存将三路选择器存入的数据传输至发送接口，由发送接口将数据发送至本地主机的接收接口。发送接口和接收接口的实现与本地主机保持一致。
[0082] 在图3的外网连接模式下，装置从本地主机接收的数据通过解密功能单元进行数据解密，解密后的数据存入收发缓存；而在图4的内网连接模式下，解密功能单元直接将数据存入收发缓存单元，不进行解密。收发缓存单元将解密功能单元存入的数据发送至三路选择器。解密功能单元可以采用软件编程实现，也可以直接使用商用的密码算法芯片的解密功能实现，但都必须与本地主机采用的加密算法对应。当不进行解密时，对于软件实现形式可以通过编程的分支跳转跳过解密过程，对于密码算法芯片的实现形式可以通过关闭解密算法功能实现。
[0083] 对于图2所示系统的收发缓存单元，可以通过外部集成DDR
存储器或SRAM存储器等实现，也可以直接通过片上的存储资源如SRAM存储、FIFO先进先出存储、BlockRAM等逻辑资源实现。
[0084] 对于装置中的三路选择器，在图3外网连接模式下，选择连通外网接口，本地主机就可以通过外网接口与外部网络进行通信，将解密功能单元存入收发缓存的数据发送至外部网络，并将收到的外部网络数据存入收发缓存；在图4的内网连接模式下，三路选择器选择连通内网接口，通过内网接口与内部网络进行通信，将解密功能单元存入收发缓存的数据发送至内部网络，并将接收到的内部网络数据存入收发缓存；在图5的离线工作模式下，三路选择器选择断路，切断了本地主机与外部网络、内部网络的通信，实现了内外网间的隔离。出于设计的便利，三路选择器可以采用逻辑
电路中的Mux选择器实现，但如果需要做到物理隔离，也可以采用具有电气隔离功能的继电器实现。另外，为了防止人为将内部网络和外部网络的网络接口插反的严重操作失误出现，外网接口与内网接口标准不同，包括RJ45接口和光纤接口：外网接口用RJ45，则内网接口用光纤接口；外网接口用光纤接口，则内网接口用RJ45。
[0085] 显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。应理解，这些实施例仅用于说明本发明而不用于限制本发明的范围。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
