基于PCI接口模塊和物理隔離模塊實(shí)現(xiàn)網(wǎng)絡(luò)衛(wèi)士隔離卡的設(shè)計(jì)

引言

由于網(wǎng)絡(luò)終端設(shè)備的大部分?jǐn)?shù)據(jù)都存儲(chǔ)在硬盤上，因此，數(shù)據(jù)安全的核心是硬盤數(shù)據(jù)的安全，其保護(hù)手段之一是物理隔離技術(shù)。本文設(shè)計(jì)的雙硬盤網(wǎng)絡(luò)衛(wèi)士隔離卡用于將普通計(jì)算機(jī)分為安全環(huán)境（內(nèi)網(wǎng)）和開(kāi)放環(huán)境（外網(wǎng)），內(nèi)網(wǎng)和外網(wǎng)使用不同的硬盤，并且連接到不同的網(wǎng)絡(luò)，從而能夠避免硬盤中的重要數(shù)據(jù)通過(guò)網(wǎng)絡(luò)等方式泄露。一般的雙網(wǎng)卡方案、多重引導(dǎo)卡或者多用戶管理卡只是在邏輯層提供硬盤數(shù)據(jù)隔離，而網(wǎng)絡(luò)衛(wèi)士隔離卡的特點(diǎn)主要是在物理層提供硬盤數(shù)據(jù)隔離，確保更高的數(shù)據(jù)安全性。網(wǎng)絡(luò)衛(wèi)士隔離卡基于PCI總線，采用了先進(jìn)的物理隔離技術(shù)，不僅能保證網(wǎng)絡(luò)終端設(shè)備的信息安全，而且使用方便、可靠、高效。 總體設(shè)計(jì)方案

網(wǎng)絡(luò)衛(wèi)士隔離卡的工作原理是：利用PCI總線的擴(kuò)展ROM機(jī)制，在隔離卡上嵌入擴(kuò)展程序，開(kāi)機(jī)后，擴(kuò)展程序先取得控制權(quán)，出現(xiàn)選擇內(nèi)外網(wǎng)的圖形界面。當(dāng)擴(kuò)展ROM接收到用戶的選擇后，通過(guò)I／O讀取當(dāng)前的網(wǎng)絡(luò)狀態(tài)，如果與選擇的不匹配，則通過(guò)I／O端口向物理隔離模塊發(fā)出切換選擇，由繼電器實(shí)現(xiàn)硬盤以及內(nèi)外網(wǎng)的切換。如果匹配，則將控制權(quán)交給選中的硬盤引導(dǎo)程序，啟動(dòng)操作系統(tǒng)，進(jìn)入相應(yīng)的網(wǎng)絡(luò)環(huán)境。

網(wǎng)絡(luò)衛(wèi)士隔離卡由三個(gè)模塊組成，分別是PCI接口模塊、物理隔離模塊和網(wǎng)絡(luò)連接控制模塊，如圖1所示。PCI接口模塊由CH365和為其提供初始化配置信息的串行E2PROM以及存儲(chǔ)器組成。作為PCI總線與本地總線之間的橋，該模塊連接PCI卡的本地端邏輯到PCI總線上，并將PCI命令（例如讀寫(xiě)某個(gè)寄存器、存儲(chǔ)器、I／O端口）翻譯到本地端。物理隔離模塊主要由物理隔離電路（用高速CPLD實(shí)現(xiàn)）和分別連接計(jì)算機(jī)主板和硬盤的兩個(gè)IDE接口組成。網(wǎng)絡(luò)連接控制模塊控制計(jì)算機(jī)網(wǎng)卡與Internet網(wǎng)線的連接狀態(tài)，配合物理隔離模塊對(duì)硬盤實(shí)施隔離。

硬件組成

PCI接口模塊

在本設(shè)計(jì)中，PCI接口模塊由南京沁恒公司的CH365和Atmel公司的E2PROM AT24C02以及華邦公司的W27C512存儲(chǔ)器構(gòu)成。CH365是一個(gè)連接：PCI總線的通用接口芯片，支持I／O端口映射、存儲(chǔ)器映射、擴(kuò)展ROM以及中斷，可將基于32位PCI總線的從設(shè)備接口轉(zhuǎn)換為主動(dòng)并行接口：8位數(shù)據(jù)、16位地址、I／O讀寫(xiě)、存儲(chǔ)器讀寫(xiě)。支持低電平有效的本地中斷請(qǐng)求，支持中斷共享。支持長(zhǎng)度達(dá)240字節(jié)的I／O端口。支持本地硬件定址功能，自由選擇I／O地址，并在指定地址實(shí)現(xiàn)I／O端口。不論在設(shè)計(jì)難度、開(kāi)發(fā)周期、ISA移植，還是在價(jià)格上都有其自身優(yōu)越性。通過(guò)CH1365在標(biāo)準(zhǔn)的PCI總線上獲得擴(kuò)展ROM發(fā)出的切換指令以及當(dāng)前所處的網(wǎng)絡(luò)環(huán)境，實(shí)現(xiàn)內(nèi)外網(wǎng)絡(luò)環(huán)境的判斷和切換，達(dá)到兩塊硬盤的絕對(duì)隔離。實(shí)際電路中用到的引腳如圖2所示。

電路中的W27C512是E2PROM芯片，用于存放擴(kuò)展ROM程序。由于內(nèi)外網(wǎng)絡(luò)切換和鎖定指令只需要兩條I／O指令，加上啟動(dòng)選擇界面等部分后，擴(kuò)展ROM程序仍然很小，通常為8KB～64KB，所以可以使用27C5 12、27C256、27C128甚至27C64等ROM芯片。如果需要支持在線程序升級(jí)等附加功能，也可以使用閃存29C512、29C010或者29F010等。電路中的24C02芯片用于記憶用戶的使用習(xí)慣，保存進(jìn)入內(nèi)網(wǎng)時(shí)的安全密碼、擴(kuò)展ROM。的啟動(dòng)模式、工作模式等，同時(shí)還保存了該設(shè)備的PIN碼和用戶可以修改的加解密信息。

物理隔離模塊

物理隔離模塊由物理隔離電路和3個(gè)IDE插槽組成。3個(gè)IDE插槽通過(guò)IDE數(shù)據(jù)線分別連接主板IDE插槽（簡(jiǎn)稱IDE0）和兩塊硬盤的IDE接口（簡(jiǎn)稱IDE 1和IDE2），隔離電路采用xilinx公司的CPLD芯片XC95 144，通過(guò)一個(gè)同步信號(hào)同時(shí)切換IDE接口的信號(hào)線，大大削弱了信號(hào)之間的干擾，性能更穩(wěn)定。

網(wǎng)絡(luò)連接控制模塊

網(wǎng)絡(luò)連接控制模塊由繼電器組（兩個(gè)雙刀雙擲繼電器）和三個(gè)以太網(wǎng)口構(gòu)成。三個(gè)以太網(wǎng)口中的兩個(gè)分別連接內(nèi)網(wǎng)和外網(wǎng)，另一個(gè)通過(guò)網(wǎng)線連接網(wǎng)卡。雖然在100Base-T或10Base-T以太網(wǎng)中，只使用了以太網(wǎng)口的第1、2、3、6引腳（1、2發(fā)送數(shù)據(jù)，3、6接收數(shù)據(jù)），但是，本文采用通過(guò)4個(gè)繼電器使以太網(wǎng)口的8條線全切的方式，既可用于低速網(wǎng)絡(luò)，也能在千兆以太網(wǎng)中一展身手。網(wǎng)絡(luò)連接如圖3所示。由開(kāi)關(guān)選擇信號(hào)S的高低決定網(wǎng)卡與內(nèi)網(wǎng)還是外網(wǎng)連通。

結(jié)語(yǔ)

物理隔離是一種理想的安全保護(hù)手段，可滿足許多高保密單位對(duì)于機(jī)密信息的安全需求，諸如政府機(jī)關(guān)、軍事機(jī)構(gòu)、電信、金融、大型企業(yè)及科研院校等。本文設(shè)計(jì)實(shí)現(xiàn)的安全隔離卡采用物理隔離的設(shè)計(jì)思路，通過(guò)安裝隔離卡和第二硬盤，把一臺(tái)計(jì)算機(jī)虛擬為兩臺(tái)計(jì)算機(jī)，從而實(shí)現(xiàn)內(nèi)、外網(wǎng)絡(luò)間的絕對(duì)物理隔離，大大增強(qiáng)了計(jì)算機(jī)用戶信息的安全性。

責(zé)任編輯：gt