一种核电站模拟机的局域网准入控制方法和系统的制作方法
【专利摘要】本发明涉及一种核电站模拟机的局域网准入控制方法和系统，该方法包括以下步骤：核电站模拟机中的策略服务器向所连接网络发送本机的策略文件，所述策略服务器为核电站模拟机中每个子网络与网络间互联的设备；所述策略服务器还侦听网络消息建立正常网络设备集合，并控制设备访问网络；核电站模拟机中策略服务器之外的普通设备接收网络的策略文件，根据策略文件更新防火墙和防水墙的策略。本发明通过设置策略以实现对网络设备的控制，在设备在未授权之前，防火墙软件和防水墙软件可自动投入保护本机的信息安全，在授权之后，根据策略进行本机控制，策略服务器负责本网络的网络分配，未授权的设备被隔离以防止其获取网络信息。
【专利说明】—种核电站模拟机的局域网准入控制方法和系统
【技术领域】
[0001]本发明涉及核电站【技术领域】，更具体地说，涉及一种核电站模拟机的局域网准入控制方法和系统。
【背景技术】
[0002]核电站全范围模拟机（FSS)简称为核电站模拟机，是核电站操作员培训和考试取照的必备设备，也是其它相关人员培训和设计验证、工程分析的良好工具。随着中国核电的快速发展，对核电专业人才的需求也快速膨胀，FSS已经成为核电工程建设关键路径上重要设备之一。
[0003]FSS由两大部分组成，硬件系统和软件系统。FSS硬件系统一般由以下设备组成：
[0004]I、仿真计算机：模拟机的核心和基础。一般有多个终端计算机通过网络与其相连，并显示获取其数据进行显示。
[0005]2、IO接口系统：盘台与计算机之间的信息传递接口。
[0006]3、控制盘台：实际主控室中的控制盘台复制品或虚拟控制盘台计算机。
[0007]4、控制系统仿真设备：实现控制和监视的计算机系统。其本身就是一套复杂的系统。根据安全级别可分成安全级控制系统和非安全级控制系统。每套系统包括多个操作员站，工程师站，仿真服务器，历史服务器，计算服务器等计算机。
[0008]5、就地操作仿真设备：模拟主控室外就地操作的设备。
[0009]6、环境仿真设备：声响、灯光等设备。
[0010]7、教练员站：教练员与FSS的接口设备。
[0011]8、工程师站：开发与调试设备。
[0012]FSS硬件系统所包含的众多设备通过以太网进行连接以完成互相之间的数据交换。设备根据其特性和复杂程序可以是单一的机器，比如工程师站。也可以是单个网络，t匕如安全级数字仪控系统（DCS)。从而使得FSS的网络结构变得复杂。一般而言，FSS的网络结构采用多网络隔离型的结构，如图I所示。在这种结构中，FSS系统包含多个子网络。一般安全级控制系统和非安全级控制系统组成单独的子网络。控制系统的仿真服务器一般包含多块网卡，通过不同的网卡与其他的系统相连，而控制系统中的其他设备直接与控制系统仿真服务器交换数据，它们对子网络外的设备透明。这种网络结构最大程序隔离了控制系统和其他的系统，使得控制系统的网络对其他设备而言完全透明，可以达到网络通讯效率最高，因此在实际工程中应用最为广泛。此外，FSS —般还会配备有无线路由网络和其他的网关计算机，以提供移动网络的数据接入服务和与其他网络进行数据交换。
[0013]此外，FSS也有其他的两种网络结构：
[0014]I、单一网络型
[0015]所有的系统通过一台或多台交换机组成一个单一的网络。
[0016]2、多网络互联型
[0017]多个网络通过路由器互联。由于性能原因，这种方式应用较少。[0018]FSS是集核电设计、核电运行、数值计算以及信息技术和软件技术为一体的高科技产品。FSS几乎涉及核电所有相关学科，其中包含仿真平台、建模工具、过程模型及其数据、数字仪控仿真及其数据等关键技术和关键数据。因此，FSS是一款高科技产品，其中的模型、数据和软件是其核心价值所在。如何保证FSS系统的完整性和访问的可控性是一项亟需解决的问题。
[0019]随着技术的发展，病毒、蠕虫和间谍软件等安全威胁继续损害FSS客户的利益，并使客户遭受重大损失。与此同时，移动计算的普及进一步加剧了威胁。移动用户能够连接FSS无线网络，常在无意中轻易地感染病毒并将其带进FSS，进而感染网络。此外，一般物理的磁盘接入也会给FSS的安全带来威胁。
[0020]然而，现有的网络准入控制（NAC)技术主要着重点在于多网络互联的结构，对于多网络隔离型的结构并不涉足。主要原因在于这种结构比较特殊，处理起来也比较麻烦；目前的NAC技术无法满足FSS的一些特定需求，比如FSS需要在网络存在风险或准入控制机制失效时停止运行，以防止通讯数据外泄。此外，现有的NAC技术主要考虑防止设备非经授权访问网络资源，其对于防止移动磁盘拷贝、打印机打印、局域网共享等文件漏露技术并没有有效的技术方案。
【发明内容】
[0021]本发明要解决的技术问题在于，针对现有网络准入控制机制无法有效保护核电站模拟机中设备数据的保密性的缺陷，提供一种核电站模拟机的局域网准入控制方法和系统。
[0022]本发明解决其技术问题所采用的技术方案是：构造一种核电站模拟机的局域网准入控制方法，包括以下步骤：
[0023]核电站模拟机中的策略服务器向所连接网络发送本机的策略文件，所述策略服务器为核电站模拟机中每个子网络与网络间互联的设备；所述策略服务器还侦听网络消息建立正常网络设备集合，并根据建立的正常网络设备集合允许设备访问网络；
[0024]核电站模拟机中策略服务器之外的普通设备接收网络的策略文件，根据策略文件更新防火墙和防水墙的策略。
[0025]在根据本发明所述的核电站模拟机的局域网准入控制方法中，所述策略服务器在向所连接网络发送本机策略文件之前根据本机的策略执行检查，向网络反馈策略检查结果，并在检查失败时设置防火墙和防水墙启动默认策略，成功时向网络发送本机策略文件；
[0026]且所述普通设备在接收网络的策略文件之后根据更新的策略执行检查，并反馈策略检查结果，向网络反馈策略检查结果，并在检查失败时设置防火墙和防水墙启动默认策略。
[0027]在根据本发明所述的核电站模拟机的局域网准入控制方法中，所述策略服务器侦听网络消息并建立正常网络设备集合的过程具体包括以下步骤：
[0028]策略服务器向网络发送网络信息状态请求并侦听网络消息；
[0029]在接收到设备的网络消息为策略检查结果时，将成功的设备加入正常网络设备集合，失败的设备加入禁止访问网络组，其中所述正常网络设备集合中初始包括该策略服务器所连接网络中其它策略服务器；
[0030]在接收到设备的网络消息为策略文件时，将接收到的策略文件与本机的策略进行比较，确定是否更新本机的策略，并在更新后对本机的策略执行检查反馈策略检查结果；
[0031]在接收到设备的网络消息为不属于正常网络设备集合和禁止访问网络组中的设备消息时，向其发送本机的策略文件并设置定时器以等待其反馈策略检查结果并执行对应操作，如果定时器超时仍未收到其策略检查结果则将其加入禁止访问网络组中；
[0032]在接收到设备的网络消息为网络状态信息请求时，如果禁止访问网络组中包含设备则反馈网络异常状态信息，否则根据本网络内全部策略服务器的策略检查结果反馈网络正常状态消息或网络异常状态信息；
[0033]在接收到设备的网络消息为网络正常状态消息时，将该设备加入正常网络设备集合，在接收到设备的网络消息为网络异常状态信息时，在正常网络设备集合中删除该设备。
[0034]在根据本发明所述的核电站模拟机的局域网准入控制方法中，还包括所述普通设备侦听网络消息并执行对应操作：
[0035]在接收的网络消息为网络状态信息请求时，返回本机的策略检查结果；
[0036]在接收的网络消息为策略文件时，将接收到的策略文件与本机的策略进行比较，确定是否更新本机的策略，并在更新后对本机的策略执行检查反馈策略检查结果；
[0037]在接收的网络消息为策略服务器的策略检查失败结果时，设置防火墙和防水墙启动默认策略。
[0038]在根据本发明所述的核电站模拟机的局域网准入控制方法中，还包括：所述策略服务器还接收本网络中仿真计算机的网络状态信息请求，并反馈所述网络正常状态消息以保障仿真在线运行，或者反馈所述网络异常状态消息以取消仿真在线运行。
[0039]本发明还提供了一种核电站模拟机的局域网准入控制系统，包括策略服务器和普通设备，所述策略服务器为核电站模拟机中每个子网络与网络间互联的设备；所述普通设备为核电站模拟机中策略服务器之外的设备；
[0040]所述核电站模拟机中的策略服务器向所连接网络发送本机的策略文件；所述策略服务器还侦听网络消息建立正常网络设备集合，并根据建立的正常网络设备集合允许设备访问网络；
[0041]所述普通设备接收网络的策略文件，根据策略文件更新防火墙和防水墙的策略。
[0042]在根据本发明所述的核电站模拟机的局域网准入控制系统中，所述策略服务器在向所连接网络发送本机策略文件之前根据本机的策略执行检查，向网络反馈策略检查结果，并在检查失败时设置防火墙和防水墙启动默认策略，成功时向网络发送本机策略文件；且所述普通设备在接收网络的策略文件之后根据更新的策略执行检查，并反馈策略检查结果，向网络反馈策略检查结果，并在检查失败时设置防火墙和防水墙启动默认策略。
[0043]在根据本发明所述的核电站模拟机的局域网准入控制系统中，所述策略服务器通过向网络发送网络信息状态请求并侦听网络消息以建立正常网络设备集合，其中：
[0044]在接收到设备的网络消息为策略检查结果时，将成功的设备加入正常网络设备集合，失败的设备加入禁止访问网络组，其中所述正常网络设备集合中初始包括该策略服务器所连接网络中其它策略服务器；
[0045]在接收到设备的网络消息为策略文件时，将接收到的策略文件与本机的策略进行比较，确定是否更新本机的策略，并在更新后对本机的策略执行检查反馈策略检查结果；
[0046]在接收到设备的网络消息为不属于正常网络设备集合和禁止访问网络组中的设备消息时，向其发送本机的策略文件并设置定时器以等待其反馈策略检查结果并执行对应操作，如果定时器超时仍未收到其策略检查结果则将其加入禁止访问网络组中；
[0047]在接收到设备的网络消息为网络状态信息请求时，如果禁止访问网络组中包含该设备则反馈网络异常状态信息，否则根据本网络内全部策略服务器的策略检查结果反馈网络正常状态消息或网络异常状态信息；
[0048]在接收到设备的网络消息为网络正常状态消息时，将该设备加入正常网络设备集合，在接收到设备的网络消息为网络异常状态信息时，在正常网络设备集合中删除该设备。
[0049]在根据本发明所述的核电站模拟机的局域网准入控制系统中，所述普通设备还侦听网络消息并执行对应操作，其中：
[0050]在接收的网络消息为网络状态信息请求时，返回本机的策略检查结果；
[0051]在接收的网络消息为策略文件时，将接收到的策略文件与本机的策略进行比较，确定是否更新本机的策略，并在更新后对本机的策略执行检查反馈策略检查结果；
[0052]在接收的网络消息为策略服务器的策略检查失败结果时，设置防火墙和防水墙启动默认策略。
[0053]在根据本发明所述的核电站模拟机的局域网准入控制系统中，所述策略服务器还接收本网络仿真计算机的网络状态信息请求，并反馈所述网络正常状态消息以保障仿真在线运行，或者反馈所述网络异常状态消息以取消仿真在线运行。
[0054]实施本发明的核电站模拟机的局域网准入控制方法和系统，具有以下有益效果：本发明通过设置策略以实现对整个网络的控制，在设备在未授权之前，防火墙软件和防水墙软件可自动投入保护本机的信息安全，在授权之后，根据策略进行本机控制，策略服务器负责本网络的网络分配，未授权的设备被隔离以防止其获取网络信息。
【专利附图】
【附图说明】
[0055]下面将结合附图及实施例对本发明作进一步说明，附图中：
[0056]图I为根据本发明的核电站模拟机的设备网络连接图。
【具体实施方式】
[0057]为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。
[0058]请参阅图1，为根据本发明的核电站模拟机的设备网络连接图。如图I所示，核电站模拟机包括多个子网络，例如由仿真服务器11、开发工作站12、无线访问站点13、打印机14和教控台15等构成的第一子网络S 1，由安全级DCS仿真服务器、安全级操作员站22、教练员站23和维护站24等构成的第二子网络S2，由非安全级DCS仿真服务器31、非安全级操作员站32、计算服务器33和报警服务器34等构成的第三子网络S3，以及网关设备41和其它设备（图中未示出）等构成的第四子网络S4。其中，第二子网络S2为安全级控制系统，该第三子网络S3为非安全级控制系统。本发明在每个子网络中选定一台设备配置成策略服务器，由于本网络采用多网络隔离，因此优先选择核电站模拟机中每个子网络与网络间互联的设备作为策略服务器，例如图I中仿真服务器11、安全级DCS仿真服务器21、非安全级DCS仿真服务器31和网关设备41。核电站模拟机中除策略服务器之外的设备为普通设备。
[0059]本发明在所有核电站模拟机中的设备都配置防水墙软件、防火墙软件、杀毒软件和网络准入控制（NAC)软件。其中，防水墙软件用于阻止所有的移动磁盘的写操作和打印机的打印服务。杀毒软件用于扫描计算机中是否存在病毒、蠕虫和间谍软件等安全威胁。网络准入控制（NAC)软件主要通过对交换机进行VLAN划分或漏洞扫描的方式(本机制使用这些技术进行描述但不仅限于这些技术）以提供网络访问控制服务。防火墙软件用于阻止两个设备间的直接访问。此外，策略服务器上还安装有策略服务器软件，提供策略更新和杀毒软件更新服务。所有的防水墙软件、防火墙软件、杀毒软件和网络准入控制软件都需要以自身网络中的策略服务器的IP作为其更新地址。策略服务器以自己的IP作为更新地址。当网络中包含多台策略服务器时，需要选定其中一台作为本网络的策略服务器，其他的策略服务器以其IP作为更新地址。
[0060]本发明采用的策略是一组用于网络准入检查的安全准则，一般包括如下内容：
[0061]a.仿真计算机配置地址。
[0062]b.判断设备是否运行操作系统的授权版本。
[0063]c.通过检查来查看操作系统是否安装了适当补丁，或完成了最新的修复。
[0064]d.判断设备是否安装了防病毒软件以及是否带有最新的系列签名文件。
[0065]e.判断设备是否安装了防火墙、防水墙软件，并是否正在运行。
[0066]f.确保已打开并正在运行防病毒技术。
[0067]g.判断是否已安装并正确配置了个人防火墙、入侵防御或其他桌面系统安全软件。
[0068]f.检查设备的企业镜像是否已被修改或篡改。
[0069]策略以文件形式保存在策略服务器上。管理员可进行策略的修改操作。策略带时间标签，该标签可用于策略服务器间相互更新策略。设备可以根据接收的策略文件对本机的策略进行更新。
[0070]本发明提供的核电站模拟机的局域网准入控制方法主要包括分别由策略服务器和普通设备执行的以下步骤：
[0071]由核电站模拟机中的策略服务器向所连接网络发送本机的策略文件。该策略服务器还侦听网络消息建立正常网络设备集合，并根据建立的正常网络设备集合允许设备访问网络。同时，核电站模拟机中策略服务器之外的普通设备接收网络的策略文件，根据策略文件更新防火墙和防水墙的策略。
[0072]例如，安全级DCS仿真服务器21向所连接网络即第二子网络S2和仿真服务器11发送策略文件，并侦听第二子网络S2和仿真服务器11的网络消息，并根据该网络消息建立正常网络设备集合，并根据建立的正常网络设备集合允许设备访问网络。同时，安全级操作员站22、教练员站23和维护站24接收安全级DCS仿真服务器21发送的策略文件，根据策略文件更新防火墙和防水墙的策略，例如通过防水墙软件对移动磁盘的写操作和打印机的打印服务进行控制，通过防火墙软件阻止两个设备间的直接访问。这样，就能通过在策略服务器上设置策略来对网络的准入控制规则进行设置，以保障网络的安全。[0073]本发明的核电站模拟机的局域网准入控制方法中，还对设备的策略执行情况进行判断。策略服务器在向所连接网络发送本机策略文件之前先根据本机的策略执行检查，判断各个软件是否按照当前的策略执行，如果是则检查成功，如果否则检查失败，策略服务器向网络反馈该策略检查结果。策略服务器如果检查成功时才向网络发送本机策略文件，失败时则设置防火墙和防水墙启动默认策略。普通设备在接收网络的策略文件之后根据更新的策略执行检查，并反馈策略检查结果，向网络反馈策略检查结果，并在检查失败时设置防火墙和防水墙启动默认策略。这样，即使设备没有按照更新的策略进行，系统也能够恢复到默认策略，保护数据安全。同时，普通设备会反馈策略检查结果，以供策略服务器确定是否将该普通设备加入正常网络设备集合；策略服务器也会反馈策略检查结果，以供所连接网络的其它策略服务器确定在正常网络设备集合中保留或删除该策略服务器。
[0074]本发明的核电站模拟机的局域网准入控制方法中，策略服务器侦听网络消息并建立正常网络设备集合的过程具体包括以下步骤：策略服务器向网络发送网络信息状态请求并侦听网络消息，根据不同的网络消息执行不同的操作：
[0075]策略服务器在接收到设备的网络消息为策略检查结果时，将成功的设备加入正常网络设备集合，失败的设备加入禁止访问网络组，其中正常网络设备集合中初始包括该策略服务器所连接网络中其它策略服务器。
[0076]策略服务器在接收到设备的网络消息为策略文件时，将接收到的策略文件与本机的策略进行比较，确定是否更新本机的策略，并在更新后对本机的策略执行检查反馈策略检查结果。
[0077]策略服务器在接收到设备的网络消息为不属于正常网络设备集合和禁止访问网络组中的设备消息时，向其发送本机的策略文件并设置定时器以等待其反馈策略检查结果并执行对应操作，如果定时器超时仍未收到其策略检查结果则将其加入禁止访问网络组中。
[0078]策略服务器在接收到设备的网络消息为网络状态信息请求时，如果禁止访问网络组中包含该设备则反馈网络异常状态信息，否则根据本网络内全部策略服务器的策略检查结果反馈网络正常状态消息或网络异常状态信息。
[0079]策略服务器在接收到设备的网络消息为网络正常状态消息时，将该设备加入正常网络设备集合，在接收到设备的网络消息为网络异常状态信息时，在正常网络设备集合中删除该设备。
[0080]本发明的核电站模拟机的局域网准入控制方法中，还包括由普通设备侦听网络消息并执行对应操作：在接收的网络消息为网络状态信息请求时，返回本机的策略检查结果；在接收的网络消息为策略文件时，将接收到的策略文件与本机的策略进行比较，确定是否更新本机的策略，并在更新后对本机的策略执行检查反馈策略检查结果；在接收的网络消息为策略服务器的策略检查失败结果时，设置防火墙和防水墙启动默认策略。
[0081]下面对本发明的核电站模拟机中普通设备和策略服务器的软件执行流程进行详细说明。
[0082](一）普通设备：
[0083]步骤I :设备启动时，防火墙软件、防水墙软件，杀毒软件和网络接入控制软件自动投入使用。[0084]步骤2 :防火墙启用默认策略，该策略阻止本机的所有非网络接入控制软件的对外连接请求以防止网络文件拷贝。防水墙启用默认策略，阻止本机移动磁盘写操作和打印机的打印操作。
[0085]步骤3 :网络接入控制软件等待策略服务器提供最新的策略文件更新包和杀毒软件特征库更新包。
[0086]步骤4 :更新所有软件策略和杀毒软件特征库，失败则保持当前的配置不变。
[0087]步骤5 ：网络接入控制软件根据当前策略执行检查，并通知策略服务器检查结果。
[0088]步骤6 :防火墙、防水墙软件使用更新的策略执行。并循环执行之后的步骤。
[0089]步骤7 :网络接入控制软件向所连接网络发送网络信息状态请求并侦听网络消息并执行。
[0090]步骤8 :针对不同的网络消息，普通设备执行以下不同的操作：如果设备A发送网络状态信息请求，则向设备A返回本机的策略检查结果。如果设备B反馈一种策略Tl，则证明设备B是策略服务器，将Tl与当前策略比较，如果Tl较新，则更新当前策略并重新执行检查，最后通知设备B检查结果；如果设备C发送策略服务器的策略检查失败信息，则转入步骤2。
[0091](二）策略服务器：
[0092]步骤I :设备启动时，防火墙软件、防水墙软件，杀毒软件和网络接入控制软件自动投入使用。
[0093]步骤2 :防火墙启用默认策略，该策略阻止本机的所有非网络接入控制软件的对外连接请求以防止网络文件拷贝。防水墙启用默认策略，阻止本机移动磁盘写操作和打印机的打印操作。循环执行之后的步骤。
[0094]步骤3 :网络接入控制软件根据当前策略执行检查，如果检查失败则保持当前状态，并转入步骤7。否则网络接入控制软件向本设备所连接网络广播本设备当前配置的策略并执行下一步骤。
[0095]步骤4 :向所连接网络发送网络信息状态请求侦听网络消息并执行网络中存活的各种终端扫描。终端扫描需要针对本设备所连接的所有网络和单独连接的设备。策略服务器针对所连接网络NETi建立网络设备集合SETitl例如，安全级DCS仿真服务器21针对所连接网络NET2包括第二子网络S2和仿真服务器11建立网络设备集合SET2,以记录各设备的请求记录等信息。策略服务器还建立正常网络设备集合NORMALSETi，在初始时将本网络中除本设备外的其它策略服务器加入集合NORMALSETi中，并通过对所连接网络的各设备的终端扫描，即反馈的网络消息的情况，确定是否将各个设备加入正常网络设备集合N0RMAL_SETi中。例如，安全级DCS仿真服务器21建立的正常网络设备集合N0RMAL_SET2中初始时默认包含仿真服务器11，即初始时允许仿真服务器11访问该网络，以获取仿真服务器11的策略文件等信息。随后，安全级DCS仿真服务器21对安全级操作员站22、教练员站23反馈的策略执行结果进行判断，以确定是否将这些普通设备加入正常网络设备集合N0RMAL_SETi中允许访问网络。策略服务器会将正常网络设备集合NORMALSETi中的设备归入允许访问网络组VLANl中以允许其访问网络。同时将网络设备集合SET2中未记入正常网络设备集合NORMALSETi中的设备分至禁止访问网络组VLANO中以拒绝其访问FSS的资源。
[0096]步骤5 :针对不同的网络消息，策略服务器执行以下不同的操作：[0097]如果设备A反馈策略检查失败消息，则将其归入VLANO中以拒绝其访问FSS的资源。
[0098]如果设备B反馈策略检查成功消息，则其归入允许访问VLANl中以允许其访问网络。
[0099]如果设备C反馈一种策略Tl，则证明设备C也是策略服务器，将Tl与当前策略比较，如果Tl更新则更新当前策略，并转步骤3中执行策略检查。
[0100]如果设备D是一个新出现的终端，即侦听到其反馈的网络消息中的设备标识不属于VLANl和VLANO中，则向其发送本设备当前配置的策略并设置定时器以等待其反馈策略检查结果，如果定时器超时仍未收到其策略检查结果则将其加入VLANO中。
[0101]如果设备E发送网络状态信息请求，则设备E可能为策略服务器或者其它非正常设备，在SETi中记录该设备的请求记录(该记录信息具有时间标签会在特定的时间内失效)。策略服务器查看VLANO中是否包含设备，如果是则证明该设备为策略检查失败的设备或者其它异常设备，因此向网络广播网络异常状态信息，否则该设备E为网络中其它策略服务器。当其它策略服务器向本设备反馈网络状态信息请求时，为了避免本设备为了确定网络状态又向该设备发送网络状态信息请求，从而进入死循环，本发明特别在此加入了以下判断操作。本设备查找NORMALSETi中所有的策略服务器，如果NORMALSETi中只有一台策略服务器，并且其向本设备请求了网络状态信息，则不再向其请求网络状态信息，而是直接广播正常网络状态信息给网络。其中，网络状态信息请求中包含所有发送过该信息的设备标识信息，以便于在SETi中记录各个设备的请求记录。如果NORMALSETi中有多台策略服务器，则策略服务器向没有请求过网络状态信息的策略服务器逐一发送网络状态信息请求。例如，假设图1中网关设备41又连接回第`一子网络SI中仿真服务器11，则仿真服务器11在接收到网关设备41的网络状态信息请求时，仿真服务器11在SET1中记录网络状态信息请求中所有发送过该信息的设备标识信息，即假如该网络状态信息请求是曾经从非安全级DCS仿真服务器31发送网络状态信息请求给网关设备41的，因此该网络状态信息请求中记录了非安全级DCS仿真服务器31和网关设备41的设备标识信息。因此仿真服务器11查找Normai^set1中所有的策略服务器，为安全级dcs仿真服务器21、非安全级dcs仿真服务器31和网关设备41，由于非安全级DCS仿真服务器31和网关设备41均已在SET1中记录了其向本设备发送了网络状态信息请求，因此只需向安全级DCS仿真服务器21发送网络状态信息请求以查询网络状态即可，而不再需要重复向非安全级DCS仿真服务器31和网关设备41发送，从而避免了系统进入死循环。
[0102]如果设备F发送网络异常状态信息，则删除在SETi中记录的该设备请求记录，并在NORMALSETi中删除该设备的网络正常状态信息，将其归入VLANO中禁止其访问网络。同时查看网络异常状态信息的标识信息是否包含本设备的标识信息，如果不包含则向所连接网络广播网络异常状态信息。
[0103]如果设备G发送网络正常状态信息，则将其网络正常状态信息加入集合N0RMAL_SETi中，并归入VLANl中允许其访问网络。如果NORMALSETi中所有设备都包含网络正常状态信息，则广播网络正常状态信息。
[0104]如果设备H发送策略服务器的策略检查失败信息，则删除在SETi中记录的该设备请求记录并删除NORMALSETi中该设备的信息。并查看策略服务器的策略检查失败信息的标识信息是否包含本设备的标识信息，如果不包含则广播策略检查失败信息。
[0105]步骤6 :防火墙、防水墙软件使用更新的策略执行。转入步骤4。
[0106]步骤7 :循环执行以下动作：防火墙启用默认策略，该策略阻止本机的所有非网络接入控制软件的对外连接请求以防止网络文件拷贝；防水墙启用默认策略，阻止本机移动磁盘写操作和打印机的打印操作；向本设备所连接的网络广播策略服务器的策略检查失败信息；响应网络状态信息请求并返回网络异常状态信息；响应策略更新消息，将更新策略与当前策略比较，如果更新则更新当前策略并返回步骤3。
[0107]在本发明的核电站模拟机的局域网准入控制方法中，还包括：策略服务器还接收本网络中仿真计算机的网络状态信息请求，并反馈所述网络正常状态消息以保障仿真在线运行，或者反馈所述网络异常状态消息以取消仿真在线运行。FSS中仿真计算机可以与仿真服务器一体设置或者是独立设置。仿真计算机的运行过程如下：
[0108]步骤I :仿真计算机的仿真软件启动后，循环执行以下步骤；
[0109]步骤2 :仿真软件向本子网络内策略服务器发生网络状态信息请求，并设置定时器。
[0110]步骤3 :如果策略服务器返回网络正常状态信息，则仿真软件在线运行权限正常工作；如果定时器超时且仍未收到网络状态信息，则取消仿真计算机在线运行权限；如果收到网络异常状态消息，则取消仿真计算机在线运行权限；如果策略服务器返回策略服务器的策略检查失败信息，则取消仿真计算机在线运行权限。
[0111]本发明还提供了一种核电站模拟机的局域网准入控制系统，包括策略服务器和普通设备，其中，策略服务器为核电站模拟机中每个子网络与网络间互联的设备；普通设备为核电站模拟机中策略服务器之外的设备。核电站模拟机中的策略服务器向所连接网络发送本机的策略文件；所述策略服务器还侦听网络消息建立正常网络设备集合，并根据建立的正常网络设备集合允许设备访问网络；所述普通设备接收网络的策略文件，根据策略文件更新防火墙和防水墙的策略。
[0112]应该说明地是，本发明提供的核电站模拟机的局域网准入控制方法和系统所采用的原理和流程相同，因此对核电站模拟机的局域网准入控制方法的各个实施例的详细阐述也适用于核电站模拟机的局域网准入控制系统中，例如策略服务器和普通设备的具体实现过程以及相互之间的信号发送关系。
[0113]由于FSS需要进行访问控制和内容保护，防止其中数据、软件不被病毒破坏、网络非法拷贝、非法打印和磁盘介质直接拷贝。为解决以上难题，本发明的控制机制提供了前述保护FSS的NAC策略，该策略要达到的效果如下：
[0114]I、适应多网络隔离型的网络结构的需求，同时也适应其他类型的FSS网络结构的要求。
[0115]2、为FSS中访问网络资源的所有终端设备（如PC、笔记本电脑、服务器、PDA等）提供足够保护，以防御网络安全威胁。
[0116]3、防止磁盘介质直接拷贝FSS设备的数据。
[0117]4、防止未授权的设备接入网络。
[0118]5、防止FSS在网络存在风险时或者准入控制机制失效时保持运行状态。
[0119]与传统的NAC不同，本控制机制适用于FSS的多网络隔离型网络结构。由于多网络隔离型的本质是网络间访问透明，所以造成了网络准入控制的困难。如何适用这种网络结构是本控制机制的重点。此外，本控制机制与仿真服务器紧密结合，可对整个FSS进行运行控制。
[0120]在本发明的控制机制作用下，所有设备在未授权之前，防火墙软件、防水墙软件和杀毒软件可自动投入，保护本机的信息安全。在授权之后，根据策略进行本机控制；策略服务器负责本网络的网络分配，未授权的设备被隔离以防止其获取网络信息。一个网络包含多个策略服务器时，根据配置情况，其中一个策略服务器会对网络进行控制。当存在隔离网络的情况时，通过策略广播和网络状态信息广播的方式，可以很好的解决网络透明的问题，达到局域网网络控制和网络信息概况收集的目的。仿真计算机根据网络信息概况决定软件是否正常运行，达到防止FSS的局域网准入控制机制被破坏的目的。本控制机制也适用于其他的FSS网络结构。
[0121]本发明是根据特定实施例进行描述的，但本领域的技术人员应明白在不脱离本发明范围时，可进行各种变化和等同替换。此外，为适应本发明技术的特定场合或材料，可对本发明进行诸多修改而不脱离其保护范围。因此，本发明并不限于在此公开的特定实施例，而包括所有落入到权利要求保护范围的实施例。
【权利要求】
1.一种核电站模拟机的局域网准入控制方法，其特征在于，包括以下步骤: 核电站模拟机中的策略服务器向所连接网络发送本机的策略文件，所述策略服务器为核电站模拟机中每个子网络与网络间互联的设备；所述策略服务器还侦听网络消息建立正常网络设备集合，并根据建立的正常网络设备集合允许设备访问网络； 核电站模拟机中策略服务器之外的普通设备接收网络的策略文件，根据策略文件更新防火墙和防水墙的策略。
2.根据权利要求1所述的核电站模拟机的局域网准入控制方法，其特征在于，所述策略服务器在向所连接网络发送本机策略文件之前根据本机的策略执行检查，向网络反馈策略检查结果，并在检查失败时设置防火墙和防水墙启动默认策略，成功时向网络发送本机策略文件； 且所述普通设备在接收网络的策略文件之后根据更新的策略执行检查，并反馈策略检查结果，向网络反馈策略检查结果，并在检查失败时设置防火墙和防水墙启动默认策略。
3.根据权利要求2所述的核电站模拟机的局域网准入控制方法，其特征在于，所述策略服务器侦听网络消息并建立正常网络设备集合的过程具体包括以下步骤: 策略服务器向网络发送网络信息状态请求并侦听网络消息； 在接收到设备的网络消息为策略检查结果时，将成功的设备加入正常网络设备集合，失败的设备加入禁止访问网络组，其中所述正常网络设备集合中初始包括该策略服务器所连接网络中其它策 略服务器； 在接收到设备的网络消息为策略文件时，将接收到的策略文件与本机的策略进行比较，确定是否更新本机的策略，并在更新后对本机的策略执行检查反馈策略检查结果；在接收到设备的网络消息为不属于正常网络设备集合和禁止访问网络组中的设备消息时，向其发送本机的策略文件并设置定时器以等待其反馈策略检查结果并执行对应操作，如果定时器超时仍未收到其策略检查结果则将其加入禁止访问网络组中； 在接收到设备的网络消息为网络状态信息请求时，如果禁止访问网络组中包含设备则反馈网络异常状态信息，否则根据本网络内全部策略服务器的策略检查结果反馈网络正常状态消息或网络异常状态信息； 在接收到设备的网络消息为网络正常状态消息时，将该设备加入正常网络设备集合，在接收到设备的网络消息为网络异常状态信息时，在正常网络设备集合中删除该设备。
4.根据权利要求3所述的核电站模拟机的局域网准入控制方法，其特征在于，还包括所述普通设备侦听网络消息并执行对应操作: 在接收的网络消息为网络状态信息请求时，返回本机的策略检查结果； 在接收的网络消息为策略文件时，将接收到的策略文件与本机的策略进行比较，确定是否更新本机的策略，并在更新后对本机的策略执行检查反馈策略检查结果； 在接收的网络消息为策略服务器的策略检查失败结果时，设置防火墙和防水墙启动默认策略。
5.根据权利要求4所述的核电站模拟机的局域网准入控制方法，其特征在于，还包括:所述策略服务器还接收本网络中仿真计算机的网络状态信息请求，并反馈所述网络正常状态消息以保障仿真在线运行，或者反馈所述网络异常状态消息以取消仿真在线运行。
6.一种核电站模拟机的局域网准入控制系统，其特征在于，包括策略服务器和普通设备，所述策略服务器为核电站模拟机中每个子网络与网络间互联的设备；所述普通设备为核电站模拟机中策略服务器之外的设备； 所述核电站模拟机中的策略服务器向所连接网络发送本机的策略文件；所述策略服务器还侦听网络消息建立正常网络设备集合，并根据建立的正常网络设备集合允许设备访问网络； 所述普通设备接收网络的策略文件，根据策略文件更新防火墙和防水墙的策略。
7.根据权利要求6所述的核电站模拟机的局域网准入控制系统，其特征在于，所述策略服务器在向所连接网络发送本机策略文件之前根据本机的策略执行检查，向网络反馈策略检查结果，并在检查失败时设置防火墙和防水墙启动默认策略，成功时向网络发送本机策略文件； 且所述普通设备在接收网络的策略文件之后根据更新的策略执行检查，并反馈策略检查结果，向网络反馈策略检查结果，并在检查失败时设置防火墙和防水墙启动默认策略。
8.根据权利要求7所述的核电站模拟机的局域网准入控制系统，其特征在于，所述策略服务器通过向网络发送网络信息状态请求并侦听网络消息以建立正常网络设备集合，其中： 在接收到设备的网络消息为策略检查结果时，将成功的设备加入正常网络设备集合，失败的设备加入禁止访问网络组，其中所述正常网络设备集合中初始包括该策略服务器所连接网络中其它策略服务器； 在接收到设备的网络消息为策略文件时，将接收到的策略文件与本机的策略进行比较，确定是否更新本机的策略，并在更新后对本机的策略执行检查反馈策略检查结果；在接收到设备的网络消息为不属于正常网络设备集合和禁止访问网络组中的设备消息时，向其发送本机的策略文件并设置定时器以等待其反馈策略检查结果并执行对应操作，如果定时器超时仍未收到其策略检查结果则将其加入禁止访问网络组中； 在接收到设备的网络消息为网络状态信息请求时，如果禁止访问网络组中包含该设备则反馈网络异常状态信息，否则根据本网络内全部策略服务器的策略检查结果反馈网络正常状态消息或网络异常状态信息； 在接收到设备的网络消息为网络正常状态消息时，将该设备加入正常网络设备集合，在接收到设备的网络消息为网络异常状态信息时，在正常网络设备集合中删除该设备。
9.根据权利要求8所述的核电站模拟机的局域网准入控制系统，其特征在于，所述普通设备还侦听网络消息并执行对应操作，其中： 在接收的网络消息为网络状态信息请求时，返回本机的策略检查结果； 在接收的网络消息为策略文件时，将接收到的策略文件与本机的策略进行比较，确定是否更新本机的策略，并在更新后对本机的策略执行检查反馈策略检查结果； 在接收的网络消息为策略服务器的策略检查失败结果时，设置防火墙和防水墙启动默认策略。
10.根据权利要求9所述的核电站模拟机的局域网准入控制系统，其特征在于，所述策略服务器还接收本网络仿真计算机的网络状态信息请求，并反馈所述网络正常状态消息以保障仿真在线运行，或者反馈所述网络异常状态消息以取消仿真在线运行。
【文档编号】H04L12/911GK103841050SQ201210482800
【公开日】2014年6月4日 申请日期:2012年11月23日 优先权日:2012年11月23日
【发明者】钟俊, 章旋, 曹建亭 申请人:中广核（北京）仿真技术有限公司, 中国广东核电集团有限公司