[发明专利]一种用于工业网络数据转发的控制方法及系统

摘要

本发明提供了一种用于工业网络数据转发的控制方法及系统，工业网络数据包通过网卡一送达协议栈模块，协议栈模块将工业网络数据包转发至工控协议连接跟踪模块，同时拷贝工业网络数据包到DPI模块；DPI模块根据预设的规则对工业网络数据包进行检测，生成工业网络数据包的转发策略并发送至转发策略下发模块；本发明一种用于工业网络数据转发的控制方法及系统，配合使用协议栈模块、工控协议连接跟踪模块、DPI模块、转发策略下发模块及转发控制模块，实现了工业网络数据转发的流程化控制，具有数据转发高效、占用系统资源少、转发时效性强及数据安全性高的特点。

主权项

1.一种用于工业网络数据转发的控制方法，其特征在于：包括：步骤1：工业网络数据包通过网卡一送达协议栈模块，所述协议栈模块将所述工业网络数据包转发至工控协议连接跟踪模块，同时拷贝所述工业网络数据包到DPI模块；步骤2：所述DPI模块根据预设的规则对步骤1中发送的所述工业网络数据包进行检测，生成所述工业网络数据包的转发策略并发送至转发策略下发模块；步骤3：所述转发策略下发模块缓存所述DPI模块发送的转发策略并下发转发策略到步骤1中的所述工控协议连接跟踪模块；步骤4：所述工控协议连接跟踪模块把收到转发策略与对应的连接跟踪信息及对应的所述工业网络数据包，发送至转发控制模块；步骤5：所述转发控制模块根据收到的转发策略对相应的所述工业网络数据包进行处理；当转发策略是放行，则对应的所述工业网络数据包发送至所述协议栈模块，经由网卡二转发到下行链路；当转发策略是DROP时，则对应的所述工业网络数据包直接丢弃；当转发策略是REJECT时，如果对应的所述工业网络数据包为TCP协议，则回复RST包至所述协议栈模块，经由所述网卡一发回；如果对应的所述工业网络数据包是UDP协议，则回复ICMP UNREACHABLE包至所述协议栈模块，经由所述网卡一发回；在步骤2中，转发策略包括：所述工业网络数据包五元组信息及DROP/REJECT策略；在步骤3中，所述转发策略下发模块下发转发策略的机制包括：基于转发策略条目数及基于转发策略生成时间的下发机制；基于转发策略条目数，即是当所述转发策略下发模块缓存的转发策略条目数达到某一阈值时，对转发策略进行批量下发，减少用户分别下发时对系统资源的占用；基于转发策略生成时间，即是指当所述转发策略下发模块缓存的转发策略在某阈值时间内未达到条目数阈值时，则直接下发当前已经缓存的所有转发策略，以此保证转发策略下发的时效性；在步骤3中，所述转发策略下发模块是双线程设计：一个线程负责从所述DPI模块收取转发策略，另一个线程对所述转发策略下发模块缓存的转发策的条目数及生成时间进行监控，并对转发策略进行下发。