CN100428671C - 网络隔离装置及方法 - Google Patents

Abstract

一种网络隔离装置及方法，其中网络隔离装置包括：网络接口，包括网线输出口及至少两个网线输入口；切换电路，选择网线与存储设备接通，并且同一时间只能有一存储设备与一网线输入口接通；误触发控制电路，输出切换控制信号给切换电路，且在系统正常运行及待机状态时保持切换控制信号为原态；而切换电路根据接收到的切换控制信号状态是否改变而进行切换。相应地网络隔离方法包括以下步骤：启动切换步骤，输出切换启动信号；误触发控制步骤，接收切换启动信号，输出切换控制信号，且在系统状态是正常运行及待机状态时保持切换控制信号为原态；切换步骤，接收切换控制信号并根据切换控制信号状态是否改变而进行切换，并使同一时间只接通一个网络。

Description

网络隔离装置及方法

技术领域

本发明涉及计算机网络信息安全技术领域，尤指本地网络与远程服务网络相分离的网络安全隔离的装置及方法。

背景技术

因特网是获取信息的重要渠道，因特网的开放性在提供给用户充分的共享资源的同时，也会给用户机的安全带来很大的隐患，如黑客的攻击，病毒的入侵等等，内部网络的构建是很多单位都在运行的一种模式。如何在同一台计算机上既能登陆内部网络又能登陆因特网并且保证网络的安全是业界关注的一个重要课题。

对网络信息的隔离注重安全与实用，网络隔离可分为软件隔离与硬件隔离，软件隔离是通过软件去控制硬盘的读写，保护硬盘的主引导记录实现硬盘数据控制，但它不是非常安全，因为控制硬盘读写的代码需要调入内存，而内存中的任何数据都是可以释放出来的；硬件隔离其实是一种物理隔离，它隔离了存储设备，用不同存储设备上的操作系统对应不同的网络，实现真正意义上的隔离。物理隔离可以说是网络安全的最后一道防线。既然网络已经不能直接或间接地连通了，那么也就不可能通过网络泄密或者是染毒、受到攻击。从网络的七层结构来看，物理层的隔离也是最彻底的。

现有网络隔离设备采用的硬件隔离(如隔离卡)，通过系统掉电后重启进行内外网络存储设备间的切换，这样可保证存储数据的安全。切换时一般为系统掉电后通过外部的网络切换键触发开关。

然而在硬件隔离中却没有解决系统待机S3(Suspend to RAM)后唤醒的问题，因为在系统进入S3后同样会产生类似的掉电现象，这时如果误操作了触发开关，存储设备的供电状态也会发生切换，在唤醒时就会找不到原来运行着的系统，从而导致唤醒失败。

发明内容

本发明解决的问题是提供一种网络隔离装置及方法，避免网络硬件隔离中进入S3后唤醒失败，确保系统待机后的误操作不影响系统的正常唤醒并在系统上电后正常运行状态下的误操作也不会影响系统的稳定运行。

为解决上述问题，本发明网络隔离装置至少可挂接两个存储设备，包括：网络接口，包括网线输出口及至少两个网线输入口；

切换电路，选择网线与存储设备接通，并且同一时间只能有一存储设备与一网线输入口接通；

防误切换控制电路，输入端接收待机采样信号及开机检测信号，并根据待机采样信号及开机检测信号产生触发控制信号，且在系统正常运行及待机状态时保持触发控制信号不变；

触发电路，输入端与防误切换控制电路的输出端相连，根据触发控制信号状态判断是否响应一切换启动信号而产生相应的切换控制信号，并输出切换控制信号给切换电路；

切换电路根据接收到的切换控制信号状态是否改变而确定是否执行切换。

待机采样信号从ACPI获得，而开机检测信号从PCI总线获得。

防误切换控制电路由两个与非门组成，其中一个与非门的两个输入端都接入开机检测信号，其输出端接入另一个与非门的一个输入端；而另一个与非门的另一输入端则接入待机采样信号以及经由电阻接入待命电源，另一个与非门的输出端输出触发控制信号至触发电路的输入端，且两个与非门皆由待命电源供电。触发电路是个触发器，用防误切换控制电路的触发控制信号作为时钟，而切换启动信号接入该触发器的输入端，且该触发器输出一个切换控制信号，该触发器由待命电源供电。

切换电路包括网络切换电路及电源切换电路，输入端皆与触发电路的输出端相连接，根据切换控制信号状态是否改变而进行相应的电源及网络切换。电源切换电路采用Mosfet或P型场效应管作为开关，并根据切换控制信号进行网络电源切换。网络切换电路采用继电器作为开关，该继电器的控制端接入切换控制信号，输入端与网线输出口相连，输出端分别与网线输入口连接。

所述网络隔离装置通过PCI-IDE转换电路挂接存储设备，该转换电路包括：转换芯片、用总线与转换芯片相连接的两个IDE设备接口，且转换芯片与配套的BIOS组合；IDE设备接口可直接挂接存储设备，并与多个网络一一对应，存储设备各自安装独立的操作系统。所述网络隔离装置通过PCI接口插在主板的扩展槽中。网络隔离装置设有PC电源接口及多个网络电源接口，PC电源接口接PC供电电源+5V和+12V，而多个网络电源接口与多个存储设备一一对应。网络隔离装置还包括有切换开关，通过该切换开关产生切换启动信号。

相应地，本发明网络隔离方法包括以下步骤：启动切换步骤，输出切换启动信号；防误切换控制步骤，接收待机采样信号及开机检测信号，并根据待机采样信号及开机检测信号产生触发控制信号，且在系统正常运行及待机状态时保持触发控制信号不变；触发步骤，根据触发控制信号状态判断是否响应切换启动信号而产生相应的切换控制信号，输出切换控制信号；切换步骤，接收切换控制信号并根据切换控制信号状态是否改变而进行切换，并使同一时间只接通一个网络。

切换步骤包括网络切换步骤及电源切换步骤，根据切换控制信号状态是否改变而进行相应的电源及网络切换。

与现有技术相比，本发明具有以下优点：

1.实现了多个网络间隔离，而且在运行过程中不会引入其它影响计算机正常工作的因素，解决了一直困扰其他网络隔离方法中无法解决的进入待机状态后无法唤醒的难题。

2.本发明扩展了IDE接口设备，使存储设备可以挂在本装置上运行，节约了IDE资源。

3.容易实现、设计成本低，具有良好的经济效益。

附图说明

图1是本发明网络隔离装置的结构框图。

图2是本发明网络隔离装置的局部细化结构图。

图3是本发明网络隔离装置的防误切换控制电路的电气原理图。

图4是本发明网络隔离装置的触发电路及电源切换电路的电气原理图。

图5是本发明网络隔离装置的网络切换电路的电气原理图。

具体实施方式

本发明通过待机状态采样来判别系统是进入关机状态还是进入待机状态，从而判定内外网络的切换是否发生作用。本实施例待机状态采样信号的选取是S3状态，在计算机主板上引入S3状态信号到隔离装置上，通过误触发控制电路保证系统在S3状态时和正常运行状态时的网络切换误操作不影响原有状态，保证系统的稳定运行。同理在其它非关机状态下，误操作网络切换(如不小心拨动切换开关)，其网络切换无效。

其中S3是ACPI的一种状态。而ACPI(Advanced Configuration and PowerInterface，高级配置与电源接口)，是英特尔、微软和东芝共同开发的一种电源管理标准，共有六种状态，分别是S0到S5。本实施例采用S3状态，即Suspendto RAM(挂起到内存)状态，简称STR。顾名思义，STR就是把系统进入STR前的工作状态数据都存放到内存中去。在STR状态下，电源仍然继续为内存等最必要的设备供电，以确保数据不丢失，而其他设备均处于关闭状态，系统的耗电量极低。一旦我们按下Power按钮，系统就被唤醒，马上从内存中读取数据并恢复到STR之前的工作状态。

本实施例中的网络隔离装置以隔离卡为例，但本发明网络隔离装置不局限于隔离卡，凡是使用本发明原理达成相应技术效果皆在本发明保护范围之内。另外本实施例中的网络切换是应用于内网与外网的切换，诚然也可以应用多个/种网络间的切换。

请参照图1所示，隔离卡1设有PCI接口2及至少3个网络接口3。隔离卡1通过PCI接口2插在计算机的PCI扩展槽中，从PCI总线上获得相关数据(如开机检测信号)。网络接口3在本实施例中采用3个RJ45接口，一个作为网线输出口，两个作为网线输入口(至少两个网线输入口)，分别与网卡40、内网(本地网络)41及外网(外部网络)42相连，根据网络切换使网卡40在同一时间内只与一个网络接通，即内网41或外网42。

该隔离卡1的内部包括挂IDE设备的PCI-IDE转换电路5和进行网络隔离的隔离控制电路6。其中隔离卡1不采用IDE接口挂接存储设备也可以，只要设有可挂接两个以上存储设备的扩展接口即可。

PCI-IDE转换电路5，包括转换芯片50、用总线与转换芯片50相连接的IDE接口51、52。转换芯片50选择一款合适的转换芯片，在实施例中选用的是ITE的芯片ite8212f，与配套的BIOS 53组合，这样就可以不依靠计算机主板的BIOS实现IDE设备扩展。隔离卡1通过两个IDE设备接口51、52，可直接挂接本地网络和外部网络两块硬盘，各自安装独立的操作系统，分别与内外网络41、42相对应。在同一时间内只有一个硬盘供电并与相应的网络接通，另外一个硬盘不供电，其对应的网络也切断，实现内外网络彻底的物理隔离。隔离卡1亦可挂CD-ROM启动，节省了主板上的IDE资源。

隔离控制电路6包括以下几部分：

切换电路7，选择网线与存储设备(如硬盘)接通，并且同一时间只能有一存储设备与一网线输入口接通，根据接收到的切换控制信号状态是否改变，产生相应的切换信号，决定是否进行网络及电源切换；

误触发控制电路8，输出端与切换电路7连接，并输出切换控制信号(本实施例中指触发信号)给切换电路7，该误触发控制电路8在误触发时(如在系统正常运行状态及待机状态进行误操作切换开关10时)维持切换控制信号为原态21(即不响应切换启动信号)，若是正常的切换则改变切换控制信号状态，致使切换电路7启动网络及电源切换；

待机采样电路9，输出端与误触发控制电路8相连接，采集待机信号输出给误触发控制电路8，在待机信号选取常用的S3信号，这样适用于各种主板，不用依靠改变主板BIOS实现，根据易用性的原则，从主板上前面板插针中的省电模式插针中选取，即ACPI灯的yellow信号；

切换开关10，输出切换启动信号(本实施例中是键控信号)给误触发控制电路8，该切换开关10连接到前面板上的按键(未图示)，通过按键控制切换开关10；

开机检测电路21，通过PCI接口2获得开机检测信号并输出给误触发控制电路8，若有开机检测信号输出则系统正常运行。

此外，隔离卡1还包括与切换电路7相连的电源接口11，该电源接口11进一步包括PC电源接口110、内网电源接口111及外网电源接口112。PC电源接口110为输入电源从主板上获取电源，根据切换电路7输出的切换信号，进行电源切换使得同一时间内只与相应内网电源接口111或外网电源接口112接通。而内网电源接口111和外网电源接口112为硬盘供电，分别与本地网络和外部网络两块硬盘相连接。

网络接口3，也与切换电路7相连，根据切换信号，使网卡40在同一时间内只与一个网络接通，即内网41或外网42。网络接口3(见图4)包括插接网卡并与主板连接的主板网口30、分别插接内网41和外网42网线的内网接口31、外网接口32。

请参照图2所示，该图2是隔离控制电路6的细化方框图，其中误触发控制电路8进一步包括防误切换控制电路80及触发电路81；而切换电路7进一步分为电源切换电路71和网络切换电路72。

防误切换控制电路80，输入端与待机采样电路9和开机检测电路21的输出端相连接，接收待机采样信号及开机检测信号，并根据待机采样信号及开机检测信号产生触发控制信号，进而控制误触发控制电路8的触发信号(切换控制信号)的状态，使得在系统在正常运行及待机状态下保持触发控制信号状态不变；

触发电路81，输入端与防误切换控制电路80的输出端及切换开关10相连，根据触发控制信号状态判断是否响应切换启动信号而产生相应的切换控制信号；

电源切换电路71及网络切换电路72，输入端皆与触发电路81的输出端相连接，根据切换控制信号状态是否改变而进行相应的电源及网络切换。

请参照图3所示，防误切换控制电路80的电气原理图，防误切换控制电路80是本发明的关键，主要由两个与非门801、802组成。与非门801的两个输入端都接入开机检测信号；而与非门802的一个输入端接入与非门801的输出端，另一输入端则接入待机采样信号以及经由电阻接入待命电源(V3.3SB)，与非门802的输出端输出触发控制信号至触发电路81的输入端。两个与非门801、802皆由待命电源供电。

防误切换控制电路80控制过程是这样的：首先要接收开机检测信号，开机检测信号可由主机的电源信号VCC产生，上电之后就会在正常运行状态保持送出的触发信号控制信号不变，进而保持触发电路81的切换控制信号不变(与非门802与与非门801输出端连接的输入端接入低电平，另一输入端接入电平无论高低，则与非门802输出触发控制信号都一直保持高电平)；待机采样信号从主板上引用过来，在系统正常运行状态下维持高电平，一旦进入S3，主板上将会掉电，这时主板上会产生待机采样信号为低电平，接入与非门802的输入端，则继续维持送出的触发控制信号不变，进而保持触发电路81的切换控制信号不变，因此保证待机状态下不发生网络和电源切换，使得唤醒后恢复正常，从而屏蔽掉控制内外网络切换的切换开关。这样就保证了切换开关仅在开机状态时的一次有效。

请参照图4所示，触发电路81的核心是一个触发器810(本实施例中采用D触发器)，从防误切换控制电路80接收到的触发控制信号，用来作为自己的时钟，由切换开关10的键控信号(切换启动信号)作为输入端，产生一个切换控制信号去控制电源切换电路71和网络切换电路72。键控信号则连接到前面板的按键，由用户去控制选择内网还是外网。为了保证切换控制信号的准确无误，触发器810亦由V3.3SB供电。

再请参照图4所示，根据需要系统运行不同的网络，对应不同的存储设备(如本实施例中的硬盘)，这样可以保证数据的绝对隔离，由此不同存储设备的供电需要用切换的供电方式。本发明中切换供电方式由电源切换电路71实现，本装置发明的网络隔离装置中有三个电源接口11，其中PC电源接口接PC供电电源(如，图4中的+5V，+12V来自ATX电源)，内网电源接口111及外网电源接口112分别接入内网硬盘电源与外网硬盘电源，通过切换使之不能同时供电。电源切换电路71采用Mosfet(功率场效应管)710作为开关根据切换控制信号进行内外网电源切换。考虑到Mosfet 710作为开关本身的压降，在12V切换时采用P管712(P型场效应管)作开关。

请参照图5所示，网络切换电路72根据触发器810发出的切换控制信号决定切向内网还是外网。网线上传输的是差分信号，为避免信号的损耗，网络切换电路72选用导通电阻非常小的继电器720、721作为开关。继电器720、721的控制端接入切换控制信号，输入端与主板网口30(网线输出口)相连，两个输出端分别与内外网接口(网线输入口)31、32连接。继电器720有两个导通状态，在未上电状态下，默认为外网导通，上电后如切换开关选择外网，继电器720、721不变，若为内网，继电器720、721切换。若两个以上网络间切换则可采用多个继电器。对于双网切换一般至少要用两个继电器，因为百兆网有两对差分线要切换，千照网有四对差分线，因此百兆网要用2个继电器，兼容千兆就要用4个。

电源与网络切换电路的切换控制信号从触发电路81获取，此电路在每次开机时响应一次。

相应地，一种网络隔离方法该方法包括以下步骤：

(1)启动切换步骤，输出切换启动信号；

(2)误触发控制步骤，接收切换启动信号，输出切换控制信号，且在系统状态是正常运行及待机状态时保持切换控制信号为原态；

(3)切换步骤，接收切换控制信号并根据切换控制信号状态是否改变而进行切换，并使同一时间内只接通一个网络。

误触发控制步骤进一步包括：

防误切换控制步骤，接收待机采样信号及开机检测信号，并根据待机采样信号及开机检测信号产生触发控制信号，使系统正常运行及待机状态时保持触发控制信号不变；及

触发步骤，根据触发控制信号状态判断是否响应切换启动信号而产生相应的切换控制信号。

切换步骤包括网络切换步骤及电源切换步骤，根据切换控制信号状态是否改变而进行相应的电源及网络切换。

综上所述，本发明网络隔离装置及方法设有系统正常运行中与待机唤醒中的防误切换操作功能。在这两种状态下，随意改动网络切换开关都不会影响系统状态改变。能够正常唤醒系统的待机状态，不产生内外网络上的切换。

当掉电现象发生时，首先通过待机采样信号判别掉电的方式，如果是正常或异常关机掉电，则误触发控制电路恢复初始状态，准备响应下一次开机时的网络状态要求；如果是系统进入待机状态下，则误触发控制电路保持掉电前状态，屏蔽切换开关，从而使系统可以正常唤醒。在系统正常运行过程中，防误电路会一直屏蔽切换启动信号，以免在系统正常工作时的误切换操作导致掉电。

Claims (13)

1.一种网络隔离装置，至少可挂接两个存储设备，包括：

网络接口，包括网线输出口及至少两个网线输入口；

切换电路，选择网线与存储设备接通，并且同一时间只能有一存储设备与一网线输入口接通；

其特征在于，该网络隔离装置还包括

防误切换控制电路，输入端接收待机采样信号及开机检测信号，并根据待机采样信号及开机检测信号产生触发控制信号，使系统正常运行及待机状态时保持触发控制信号不变；及

触发电路，输入端与防误切换控制电路的输出端相连，根据触发控制信号状态判断是否响应一切换启动信号而产生相应的切换控制信号，并输出切换控制信号给切换电路；

而切换电路根据接收到的切换控制信号状态是否改变而确定是否执行切换。

2.如权利要求1所述的网络隔离装置，其特征在于，所述切换启动信号由一个与触发电路的输入端、防误切换控制电路的输出端相连的切换开关产生。

3.如权利要求2所述的网络隔离装置，其特征在于，防误切换控制电路由两个与非门组成，其中一个与非门的两个输入端都接入开机检测信号，其输出端接入另一个与非门的一个输入端；而另一个与非门的另一输入端则接入待机采样信号以及经由电阻接入待命电源，另一个与非门的输出端输出触发控制信号至触发电路的输入端，且两个与非门皆由待命电源供电。

4.如权利要求3所述的网络隔离装置，其特征在于，触发电路是个触发器，用防误切换控制电路的触发控制信号作为时钟，而切换启动信号接入该触发器的输入端，且该触发器输出一个切换控制信号，该触发器由待命电源供电。

5.如权利要求4所述的网络隔离装置，其特征在于，待机采样信号从ACPI获得，而开机检测信号从PCI总线获得。

6.如权利要求5所述的网络隔离装置，其特征在于，网络隔离装置设有PC电源接口及多个网络电源接口，PC电源接口接PC供电电源+5V和+12V，而多个网络电源接口与多个存储设备一一对应。

7.如权利要求6所述的网络隔离装置，其特征在于，切换电路包括网络切换电路及电源切换电路，输入端皆与触发电路的输出端相连接，根据切换控制信号状态是否改变而进行相应的电源及网络切换。

8.如权利要求7所述的网络隔离装置，其特征在于，电源切换电路采用Mosfet或P型场效应管作为开关，并根据切换控制信号进行网络电源切换。

9.如权利要求8所述的网络隔离装置，其特征在于，网络切换电路采用继电器作为开关，该继电器的控制端接入切换控制信号，输入端与网线输出口相连，输出端分别与网线输入口连接。

10.如权利要求6所述的网络隔离装置，其特征在于，所述网络隔离装置通过PCI-IDE转换电路挂接存储设备，该转换电路包括：转换芯片、用总线与转换芯片相连接的两个IDE设备接口，且转换芯片与配套的BIOS组合；IDE设备接口可直接挂接存储设备，并与多个网络一一对应，存储设备各自安装独立的操作系统。

11.如权利要求1至10任意一项所述的网络隔离装置，其特征在于，所述网络隔离装置通过PCI接口插在主板的扩展槽中。

12.一种网络隔离方法，其特征在于，该方法包括以下步骤：

启动切换步骤，输出切换启动信号；

防误切换控制步骤，接收待机采样信号及开机检测信号，并根据待机采样信号及开机检测信号产生触发控制信号，且在系统正常运行及待机状态时保持触发控制信号不变；

触发步骤，根据触发控制信号状态判断是否响应切换启动信号而产生相应的切换控制信号，输出切换控制信号；切换步骤，接收切换控制信号并根据切换控制信号状态是否改变而进行切换，并使同一时间只接通一个网络。

13.如权利要求12所述的网络隔离方法，其特征在于，切换步骤包括网络切换步骤及电源切换步骤，根据切换控制信号状态是否改变而进行相应的电源及网络切换。

Images