一种安全可信网关系统、控制方法、介质、设备及终端技术方案

本发明专利技术属于通信技术领域，公开了一种安全可信网关系统、控制方法、介质、设备及终端，利用网关客户端与网关服务端建立TLS连接，捕获目的地为内部网络的用户数据包，将用户的数据包以隧道的形式通过TLS连接发往网关服务端，将从TLS连接收到的隧道包正确解包并发往对应用户进程；利用网关服务端与网关客户端建立TLS连接，接收和解析来自TLS连接的隧道包，按照过滤的规则正确过滤数据包，按照流量控制的要求正确控制数据包的流量，将数据包经NAT后发往内部网络，将来自内部网络的数据包以隧道的方式通过对应的TLS连接发送，对网关的过滤规则与流量控制规则进行管理。本发明专利技术简化身份认证和权限验证流程，提高安全访问效率。提高安全访问效率。提高安全访问效率。

【技术实现步骤摘要】
一种安全可信网关系统、控制方法、介质、设备及终端


[0001]本专利技术属于通信
，尤其涉及一种安全可信网关系统、控制方法、介质、设备及终端。

技术介绍

[0002]高档数控系统是国家制造业核心竞争力的集中体现之一，是生产制造高精尖装备的母机，其产业具有重大战略意义，但在网络化、智能化的转型升级过程中正面临日益严峻的信息安全问题。以西门子、发那科为首的国际数控厂商以纵深防御为思路建设开放式安全数控系统，一定程度上形成技术壁垒，对我国自主可控不利。目前，对于开放式数控系统来说，典型智能产线包括来自不同厂家、支持不同的通信协议的数控系统、机器人、传送装备、AGV等多种装备，且大多数通信协议采用明文传输，给用户带来集成困难和安全隐患。尤其是对具有重大安全隐患的国外产品，无法将可信控制模块或安全密码模块集成到装备内部。如何适配这些异构形式的通信协议，保证产线的集成开放性和灵活性，同时又能以安全可信的方式接入数控网络，形成自主与国外混品牌混型号数控系统的安全可信互联互操作方案，并对上传/下载工艺文件、加工代码等进行密文传输和安全分析，是安全的智能数控产线必需要解决的关键科学问题。
[0003]通过上述分析，现有技术存在的问题及缺陷为：现有开放式数控系统大多数通信协议采用明文传输，给用户带来集成困难和安全隐患；对具有重大安全隐患的国外产品，无法将可信控制模块或安全密码模块集成到装备内部；数控系统在硬件结构、计算资源、业务行为等方面与通用计算机系统有较大差异，需要保证资源占有率小、计算实时性高、业务精度高等数控特征，构成了一个多高特性的数控系统本体环境，厂商企业无法接受对正常生产业务造成影响的安全可信防护方案；如何统筹考虑数控系统网关的硬件接口、计算资源、业务软件开放性以及插补控制实时性等约束条件，优化数控系统网关与安全可信关键技术的软硬件融合，实现安全可信增强对数控系统业务的零影响，是数控系统安全可信技术可用、可靠必须要解决的关键科学问题。

技术实现思路

[0004]针对现有技术存在的问题，本专利技术提供了一种安全可信网关系统、控制方法、介质、设备及终端，尤其涉及一种基于国密算法的安全可信网关系统、控制方法、介质、设备及终端。
[0005]本专利技术是这样实现的，一种安全可信网关系统的控制方法，安全可信网关系统的控制方法包括：利用网关客户端与网关服务端建立TLS连接，捕获目的地为内部网络的用户数据包，将用户的数据包以隧道的形式通过TLS连接发往网关服务端，并将从TLS连接收到的隧道包正确解包并发往对应的用户进程；利用网关服务端与网关客户端建立TLS连接，接收和解析来自TLS连接的隧道包，按照过滤的规则正确过滤数据包，按照流量控制的要求正确控制数据包的流量，将数据包经NAT后发往内部网络，将来自内部网络的数据包以隧道的
方式通过对应的TLS连接发送，并对网关的过滤规则与流量控制规则进行管理。
[0006]进一步，安全可信网关系统的控制方法包括以下步骤：
[0007]步骤一，进行安全网关的网络边界协议过滤；
[0008]步骤二，进行安全网关的网络隔离与流量控制；
[0009]步骤三，进行安全网关的可信网络边界防护；
[0010]步骤四，基于可信计算3.0实现高速加密和访问控制。
[0011]进一步，步骤一中的安全网关的网络边界协议过滤包括：
[0012](1)针对由web应用层的数据传输：使用HTTPS代理，认证方式如下：
[0013]单向认证：客户端向服务器发送消息，服务器接到消息后，用服务器端的密钥库中的私钥对数据进行加密；将加密后的数据和服务器端的公钥一起发送到客户端，客户端用服务器发送来的公钥对数据解密；在用传到客户端的服务器公钥对数据加密传给服务器端，服务器用私钥对数据进行解密。
[0014]双向认证：
[0015]1)客户端向服务器发送消息，将消息用客户端证书加密后连同客户端证书一起发送到服务器端；
[0016]2)服务器接到消息后用用客户端证书把消息解密，再用服务器私钥将消息加密，将服务器证书和消息共同发送到客户端；
[0017]3)客户端用发来的服务器证书对消息进行解密，用服务器的证书对消息加密；在用客户端的证书对消息在进行一次加密，连同加密消息和客户端证书一起发送到服务器端；
[0018]4)到服务器端用客户端传来的证书对消息进行解密，确保消息是客户发送；再用服务器端的私钥对消息在进行解密，得到明文数据。
[0019]在网关的TCP传输层使用TLS代理，经过网关后以TLS通信与开放式数控系统中DNC、MDC、MES和ERP的应用进行数据传输交互。
[0020]安全网关针对内部子网采取网络加密代理，在经过安全网关后使用TLS代理，在通过虚拟网卡与数控系统中的应用交互。
[0021](2)针对NC
‑
Link层的数据传输：使用NC
‑
Link加密网关，辅助产线进行安全数据交互；由于NC
‑
Link协议涉及数据采集、G代码文件传输、指令下发的上行或下行数据，分类对NC
‑
Link的接入设备进行认证和访问控制，对数据传输进行加密和完整性保护。
[0022]进一步，步骤二中的安全网关的网络隔离与流量控制包括：
[0023](1)基于VPN网关的网络隔离
[0024]利用外部计算机EPC和管理机MPC实现IPSec，EPC直接连接到内部网络上，是专门用于访问Internet的专用机或装有隔离卡的两用途计算机。利用管理机MPC对各外部计算机EPC的上网情况进行配置、控制、跟踪、审计以及实时监视。SE是IPSec VPN安全网关，在内部网络与外部网络之间；各EPC通过内部网络与SE形成隧道，利用隧道访问外部网络Interent，隧道对内部网络不透明；EPC、SE构成依托内部网络，又与内部网络完全隔离的虚拟网络。
[0025](2)单向传输控制
[0026]切断外网和内网之间的TCP/IP连接；外网处理单元将基于网络协议的应用数据进
行剥离形成静态数据；将静态数据按专用的非IP数据帧格式进行封装，并通过单向传输单元发送到内网处理单元；最后由内网处理单元还原静态数据，并重新进行TCP/IP协议封装并发送到内网中。在数据交换的过程中，分别在外网处理单元和内网处理单元上实施安全控制措施，保障数据传输的安全性。
[0027]在数据单向摆渡的过程中，外网处理单元和内网处理单元分别在链路层、网络层、传输层、应用层施加安全控制措施，构成多层次一体化的单向安全隔离摆渡机制。其中，利用链路层采取MAC地址绑定检查，防范网络中的ARP地址欺骗攻击。通过网络层信息安全检查，防范IP碎片、源路由、Ping of Death的攻击行为；通过与IP通信方进行身份认证，建立安全传输隧道，实现IP包的完整性、真实性检查，防范IP包的欺骗、伪造和重放的攻击；根据IP包的源地址、目的地址、传输协议、源端口、目的端口本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种安全可信网关系统的控制方法，其特征在于，安全可信网关系统的控制方法包括：利用网关客户端与网关服务端建立TLS连接，捕获目的地为内部网络的用户数据包，将用户的数据包以隧道的形式通过TLS连接发往网关服务端，并将从TLS连接收到的隧道包正确解包并发往对应的用户进程；利用网关服务端与网关客户端建立TLS连接，接收和解析来自TLS连接的隧道包，按照过滤的规则正确过滤数据包，按照流量控制的要求正确控制数据包的流量，将数据包经NAT后发往内部网络，将来自内部网络的数据包以隧道的方式通过对应的TLS连接发送，并对网关的过滤规则与流量控制规则进行管理。2.如权利要求1所述的安全可信网关系统的控制方法，其特征在于，安全可信网关系统的控制方法包括以下步骤：步骤一，进行安全网关的网络边界协议过滤；步骤二，进行安全网关的网络隔离与流量控制；步骤三，进行安全网关的可信网络边界防护；步骤四，基于可信计算3.0实现高速加密和访问控制。3.如权利要求2所述的安全可信网关系统的控制方法，其特征在于，步骤一中的安全网关的网络边界协议过滤包括：(1)针对由web应用层的数据传输：使用HTTPS代理，认证方式如下：单向认证：客户端向服务器发送消息，服务器接到消息后，用服务器端的密钥库中的私钥对数据进行加密；将加密后的数据和服务器端的公钥一起发送到客户端，客户端用服务器发送来的公钥对数据解密；在用传到客户端的服务器公钥对数据加密传给服务器端，服务器用私钥对数据进行解密；双向认证：1)客户端向服务器发送消息，将消息用客户端证书加密后连同客户端证书一起发送到服务器端；2)服务器接到消息后用用客户端证书把消息解密，再用服务器私钥将消息加密，将服务器证书和消息共同发送到客户端；3)客户端用发来的服务器证书对消息进行解密，用服务器的证书对消息加密；在用客户端的证书对消息在进行一次加密，连同加密消息和客户端证书一起发送到服务器端；4)到服务器端用客户端传来的证书对消息进行解密，确保消息是客户发送；再用服务器端的私钥对消息在进行解密，得到明文数据；在网关的TCP传输层使用TLS代理，经过网关后以TLS通信与开放式数控系统中DNC、MDC、MES和ERP的应用进行数据传输交互；安全网关针对内部子网采取网络加密代理，在经过安全网关后使用TLS代理，在通过虚拟网卡与数控系统中的应用交互；(2)针对NC
‑
Link层的数据传输：使用NC
‑
Link加密网关，辅助产线进行安全数据交互；由于NC
‑
Link协议涉及数据采集、G代码文件传输、指令下发的上行或下行数据，分类对NC
‑
Link的接入设备进行认证和访问控制，对数据传输进行加密和完整性保护。4.如权利要求2所述的安全可信网关系统的控制方法，其特征在于，步骤二中的安全网关的网络隔离与流量控制包括：(1)基于VPN网关的网络隔离
利用外部计算机EPC和管理机MPC实现IPSec，EPC直接连接到内部网络上，是专门用于访问Internet的专用机或装有隔离卡的两用途计算机；利用管理机MPC对各外部计算机EPC的上网情况进行配置、控制、跟踪、审计以及实时监视；SE是IPSec VPN安全网关，在内部网络与外部网络之间；各EPC通过内部网络与SE形成隧道，利用隧道访问外部网络Interent，隧道对内部网络不透明；EPC、SE构成依托内部网络，又与内部网络完全隔离的虚拟网络；(2)单向传输控制切断外网和内网之间的TCP/IP连接；外网处理单元将基于网络协议的应用数据进行剥离形成静态数据；将静态数据按专用的非IP数据帧格式进行封装，并通过单向传输单元发送到内网处理单元；最后由内网处理单元还原静态数据，并重新进行TCP/IP协议封装并发送到内网中；在数据交换的过程中，分别在外网处理单元和内网处理单元上实施安全控制措施，保障数据传输的安全性；在数据单向摆渡的过程中，外网处理单元和内网处理单元分别在链路层、网络层、传输层、应用层施加安全控制措施，构成多层次一体化的单向安全隔离摆渡机制；其中，利用链路层采取MAC地址绑定检查，防范网络中的ARP地址欺骗攻击；通过网络层信息安全检查，防范IP碎片、源路由、Ping of Death的攻击行为；通过与IP通信方进行身份认证，建立安全传输隧道，实现IP包的完整性、真实性检查，防范IP包的欺骗、伪造和重放的攻击；根据IP包的源地址、目的地址、传输协议、源端口、目的端口和时间信息，结合连接状态跟踪机制，按照用户配置的规则实现网络层的访问控制；传输层针对TCP协议，加入SYN Flooding防护机制，抵御SYN Flooding攻击；针对UDP协议，采用流量控制机制，防范UDP Flooding攻击；应用层支持可配置的数据格式定义，实现对应用层数据的格式检查；结合防病毒、防木马系统实现对应用数据的病毒木马查杀；采用应用层会话跟踪技术，防止针对应用协议的会话劫持攻击；根据应用层数据的关键字信息，结合应用会话状态跟踪机制，按照用户配置的规则实现应用层的访问控制。5.如权利要求2所述的安全可信网关系统的控制方法，其特征在于，步骤三中的安全网关的可信网络边界防护包括：终端A作为网络连接的发起方，终端B作为被访问方；通信的双方在硬件层都配置TPCM卡，用于标识身份、密码运算和启动度量的功能；在系统层安装部署可信软...

【专利技术属性】
技术研发人员：骆婷，王天美，邱江兴，王文勋，汤学明，
申请(专利权)人：华中科技大学，
类型：发明
国别省市：