一种基于协议内容识别的数据安全隔离网闸和方法与流程

本发明涉及一种基于协议内容识别的数据安全隔离网闸和方法，是一种计算机网络的安全设备和方法，是一种网闸隔离和检测视频数据的方法。

背景技术：

1、传随着智慧广电建设进程的推进，各级广播电视台站、融媒体中心都部署了大量的it设备和生产保障设备。同时也部署了智慧运维平台以协助管理员及时应对设备的突发情况。因此，智慧运维平台通常通过微信、钉钉等即时通信软件将故障报警信息实时推送给管理员，从而要求智慧运维平台必须和互联网联通。但是，广播电视台站、融媒体中心的设备，尤其是与视音频内容相关的设备，由于安全性和保密性要求，不允许连接互联网，甚至不允许间接连接互联网，从而确保视音频内容不泄露、不被篡改。这与智慧运维的设备要求是矛盾的。因此，如何既可以保证保密设备的数据监测信息能够实时发送到智慧运维平台，又要即使智慧运维平台被攻陷，仍能够确保被攻陷的风险不会通过视频传输线缆扩大到保密设备，如何做到这一点，是一个需要解决的问题。

技术实现思路

1、为了克服现有技术的问题，本发明提出了一种基于协议内容识别的数据安全隔离网闸和方法。所述的隔离网闸和方法通过设置中心节点和边缘设备的方式使用隔离子网之间的联系，并利用协议内容识别的方式对子网之间传递的数据进行合法性检验，即实现了子网之间的数据传递，又确保了网络安全。

2、本发明的目的是这样实现的：一种基于协议内容识别的数据安全隔离网闸，包括：一个中心节点和多个边缘设备，所述的中心节点设有多个由一个用于将边缘设备中的视频流传输至中心节点的hdmi输入接口，和一个用于中心节点发送至边缘设备的视频流的hdmi输出接口所构成的hdmi端口，所述的各个hdmi端口通过两条hdmi线缆连接各自的边缘设备；

3、所述的中心节点是设有cpu、内存、存储器的具有数字存储功能和数字运算功能的电子设备；所述的中心节点是负责采集hdmi线缆中的视频流，并将视频流转换为数据流，通过分析数据流中的协议内容，判断该数据流是否为合法数据流的设备；

4、所述的边缘设备是设有cpu、内存、硬盘具有数字存储功能和数字运算功能的电子装置；所述的边缘设备设有至少一个用于通过以太网连接网络设备并进行通信的网口。

5、进一步的，所述的中心节点和网络边缘设备所使用的cpu是x86或arm架构。

6、进一步的，所述的hdmi端口和两条hdmi线缆为hdmi1.3、1.4、2.0版本之一。

7、进一步的，所述的中心节点和网络边缘设备之间的负载协议为zabbix。

8、一种使用上述数据安全隔离网闸的基于协议内容识别的数据安全隔离方法，包括：

9、所述的中心节点用于采集hdmi线缆中的视频流，并将视频流转换为数据流，通过分析数据流中的协议内容，判断该数据流是否为合法数据流，如合法，则根据数据流内容通过相应的hdmi线缆向子网进行发送，如数据流非法，则丢弃该数据流；

10、所述的边缘设备用于接收子网内设备上报的监测数据，验证该数据流格式是否合法，以及是否符合通讯协议，不符合则丢弃该数据流，符合则将监测数据由zabbix协议转换为视频流，由hdmi线缆发送给中心节点，所述的边缘设备还用于从hdmi线缆上采集中心节点发来的视频流，并转换为数据流，验证该数据流格式是否合法，以及是否符合zabbix协议，不符合则丢弃该数据流，符合则依据数据流内容将监测数据发到子网。

11、进一步的，所述的中心节点的数据转发方法包括如下步骤：

12、1）数据由hdmi线缆采集到之后转换为原始数据报文，并对原始数据报文判断是否合法；

13、2）内置mac表用于报文转发；

14、3）将原始数据报文中的源mac与发来该报文的hdmi端口关系存入mac表便于回复报文端口查找；

15、4）根据原始数据报文中的目的mac在mac表中查找是否存在对应的hdmi端口，如不存在，则向所有hdmi端口发送查询报文并等待回复，并将回复的mac地址与hdmi端口关系存入mac表；

16、5）如存在，则将原始数据报文向该hdmi端口发送，发送过程与边缘设备一致。

17、进一步的，所述的边缘设备的zabbix协议数据上行流程为：

18、1）根据上报设备发送来的数据报文，判断是否符合ip协议，即ip头信息中记录的数据长度是否与报文长度匹配；

19、2）根据数据报文ip协议内容，判断是否符合zabbix协议，如果全部匹配，则验证成功，允许该报文继续传送，否则丢弃该报文；

20、3）在报文头增加crc32校验，并拆分为64字节的数据片段，不足64字节的数据片段进行补0填充，不足4段数据片段的补0填充，每4段数据片段进行rs纠错编码，生成1段校验数据，打包成320字节数据组，后续数据片段依次打包成数据组；

21、4）数据包头与多个数据组依次排列形成基带数据包；

22、5）将基带数据包依据bgr颜色表逐行填入图像矩阵，不足1帧图像的补0填充；

23、6）图像分辨率设置为任何分辨率；

24、7）多帧图像组成视频流由hdmi输出接口进行发送；

25、边缘设备的zabbix协议数据下行流程为：

26、1）通过hdmi采集器采集hdmi输入接口的数据流；

27、2）将数据流拆分成每一帧图像；

28、3）逐行获取图像的bgr颜色并转换成基带数据流；

29、4）在基带数据流中查找“eucasg”字符串，如找到，则确定基带数据包的起始位置；

30、5）依据基带数据包的协议版本和数据长度获取完整基带数据包；

31、6）基带数据包以320字节为单位拆分成多个数据组；

32、7）每个数据组以64字节为单位拆分成5个数据片段，5个数据片段根据rs纠删解码，得到4个原始数据片段；

33、8）将每个数据组获得的原始数据片段依次排列形成原始数据报文，原始数据报文根据头信息记录的crc32校验码进行校验；

34、9）根据原始数据报文，判断是否符合ip协议，即ip头信息中记录的数据长度是否与报文长度匹配；

35、10）根据原始数据报文ip协议内容，判断是否符合zabbix协议，如果全部匹配，则验证成功，允许该报文继续传送，否则丢弃该报文；

36、11）原始数据报文通过以太网发送至相应设备。

37、进一步的，所述的基带数据包格式如下：

38、第一栏为协议名称，长度为6字节；第二栏为协议版本，长度为1字节；第三栏为数据长度，长度为8字节；第四栏为纠删数据包依次排列。

39、进一步的，所述的判断是否符合zabbix协议的判断如下：

40、1）协议头是否由“zbxd\x01”5字节起始；

41、2）数据长度是否与报文匹配；

42、3）数据内容是否为json格式；

43、4）json内容是否存在关键key。

44、本发明的优点和有益效果是：本发明通过设置中心节点和边缘设备的方式使用隔离子网之间的联系，并利用hdmi端口作用中心节点和边缘设备之间的通讯端口，并采用crc32校验、rs编码、zabbix等协议内容识别的方法对数据进行检验，即实现了子网之间的数据传递，又确保了网络安全。