[发明专利]一种网络隔离设备及方法

说明书

本发明实施例提供了一种网络隔离设备及方法，包括处理器、出接口、多个入接口；网络隔离设备通过入接口与采集设备连接，网络隔离设备通过出接口与中心设备连接；多个入接口之间相互隔离；多个入接口中的第一入接口，用于接收数据包，将数据包发送至处理器；处理器，用于检测数据包与预设的过滤规则是否匹配；若是，则丢弃数据包；若否，则将数据包发送至出接口；出接口，用于向中心设备发送数据包。可见，本发明实施例实现了冗余双网在物理层面和逻辑层面的数据隔离，提高了网络安全性。

技术领域

本发明涉及网络安全技术领域，特别是涉及一种网络隔离设备及方法。

背景技术

在轨道交通安全数据网中，采用冗余双网架构，双网之间的业务网络相互隔离。当其中一个网络出现故障或受到攻击时，用户与轨道交通安全数据网之间的业务通信可以自动切换到另一个网络中独立完成工作，保障信号安全数据网的正常运转和轨道交通的正常运营。采集设备对冗余双网中的数据进行分开采集，得到的数据需要通过带外网络上传到中心设备进行数据分析处理。在此过程中，若中心设备受到攻击，中心设备会成为带外网络上双网数据转发的中继站。也就是，一个网络中的采集设备被恶意劫持后，通过带外网络将恶意代码上传到中心设备，中心设备将恶意代码转发到双网中的另一个网络，从而对另一个网络造成威胁，打破了双网之间的隔离状态，导致轨道交通控制信号数据网的网络安全风险大大增加。

发明内容

本发明实施例的目的在于提供一种网络隔离设备及方法，以实现冗余双网的数据隔离，提高网络安全性。具体技术方案如下：

第一方面，本发明实施例提供了一种网络隔离设备，所述网络隔离设备包括处理器、出接口、多个入接口；所述网络隔离设备通过入接口与采集设备连接，所述网络隔离设备通过出接口与中心设备连接；所述多个入接口之间相互隔离；

所述多个入接口中的第一入接口，用于接收数据包，将所述数据包发送至所述处理器；

所述处理器，用于检测所述数据包与预设的过滤规则是否匹配；若是，则丢弃所述数据包；若否，则将所述数据包发送至出接口；

所述出接口，用于向所述中心设备发送所述数据包。

可选的，所述过滤规则包括五元组信息；

所述处理器，具体用于检测所述数据包的五元组信息是否与所述过滤规则包括的五元组信息匹配；若五元组信息匹配，则确定所述数据包与过滤规则不匹配，将所述数据包发送至出接口；若五元组信息不匹配，则确定所述数据包与过滤规则匹配，丢弃所述数据包。

可选的，所述过滤规则包括预设协议格式；

所述处理器，具体用于检测所述数据包的协议格式是否与所述过滤规则包括的预设协议格式匹配；若预设协议格式不匹配，则确定所述数据包与过滤规则不匹配，将所述数据包发送至出接口；若预设协议格式匹配，则确定所述数据包与过滤规则匹配，丢弃所述数据包。

可选的，若所述网络隔离设备包括多个出接口，则所述多个出接口之间相互隔离。

可选的，所述处理器，具体用于按照预先存储的入接口和出接口的对应关系，确定所述第一入接口对应的出接口，将所述数据包发送至所述第一入接口对应的出接口。

可选的，所述入接口为双向接口，所述出接口为双向接口。

第二方面，本发明实施例还提供了一种网络隔离方法，应用于网络隔离设备，所述网络隔离设备包括处理器、出接口、多个入接口；所述网络隔离设备通过入接口与采集设备连接，所述网络隔离设备通过出接口与中心设备连接；所述多个入接口之间相互隔离；

所述多个入接口中的第一入接口接收数据包，将所述数据包发送至所述处理器；

所述处理器检测所述数据包与预设的过滤规则是否匹配；若是，则丢弃所述数据包；若否，则将所述数据包发送至出接口；