HDUSec-安全隔离网闸项目总结

淡淡的烟草味﹌ 2022-06-02 06:23 106阅读 0赞

比赛结束了，得给我们的项目做一个总结。

## 作品简介 ##

我们作品的名称是HDUSec-安全隔离网闸，HDUSec是代表我们协会。作品主要是仿造工业网闸进行创新，实现的主要功能是基

于可重构的Xilinx FPGA，过滤外网到内网的文件，通过协议转化来安全单项传输文件，同时还集成了报警，智能控制等模块，下面是系统的实现。

##  ##

# 系统实现 #

系统分成三个单元：文件缓存单元，系统控制单元，文件转发引擎。系统主要采用了分布式的架构，这里的分布式是广义的，

主要是一个系统分布在两块开发板上，两块都是Xilinx的，一块是Atlys，另一块是Nexys3。

首先是Nexys3板卡，Nexy3板卡较Atlys，资源相对少了些，处理性能也低些，我们在Nexys3上采用了MicroBlaze架构，通过对DDR

内存控制器，PMode等控制模块的利化，通过PLB总线和板子的外部单物理层网络芯片MicroRAM通信。在Microblaze架构上移植了

Xilkernel，Xilkernel是Xilinx公司研发的轻型嵌入式系统，Xilkernel采用的LWIP协议栈，LWIP是很轻型的协议栈，有它自己一套标准

的 LWIP Socket API。我们裁剪了基本的应用层协议，在LWIP只搭建了一个回显服务器和tftp服务器。整个Nexys3就够成了系统的文

件缓存单元，文件从外网到内网传送，文件会先存储到文件缓存单元的DDR上，等待系统控制单元的请求。

然后再说Atlys板卡，Atlys板卡是Sparnt-6系列的，系统控制单元和文件转发引擎在Atlys板卡上。我们在Atlys板卡上采用的是

OpenRISC架构，OpenRISC是OpenCORES下开源的项目，正是OpenRISC的开源，可以根据开发者根据自己的需求实现对系统硬

件的裁剪，OpenRISC的开源降低了项目的开发成本，也大大缩短了项目开发的周期。在OpenRISC架构中我们采用的核心处理器是

or3200，or3200是OpenRISC家族中系能最好的。在OpenRISC上面移植了Linux 3.4.2的内核，当然因为移植了内核，就降低了Atlys

的性能。接下来就基本上是linux上面的开发了，在应用层我们搭建了一套web服务器，支持POST和GET请求，设计不足就是Web服

务器没有开线程池，当时主要是想到板子的并不是用于商用，反正是自己玩玩的。Web服务器调用后台的cgi程序，后台的cgi接口是

我定的，至于js，html，ajax则是囧哥和何少帮我完成的。后台cgi调用的程序基本上我都以C为主，不过有些时候为了方便，就写了

好多脚本，脚本里面主要是awk，sed和grep等工具，就是C和Shell脚本混编构成了服务器的后台。其实我们在应用层做的工作挺多

的，我们设计了管理员和普通用户，都采用了身份验证机制。管理员登入之后，可以对系统进行全局设置，主要是文件类型库，敏

感词库，用户帐号等进行基本的管理，还有就是短信发送号码设置，最后就是用户下载文件的日志记录和查看。下面主要是文件转

发引擎的工作，对于普通用户，经过身份验证之后，登入普通用户界面，这时候web服务器会去向Nexys3板卡上的文件缓存单元请

求DDR中的文件目录，目录的数据包会从Nexys3传输到Atlys，然后由Atlys返回给客户端浏览器。用户看到在Nexy3的DDR中的文件

目录，并且下载。用户点击下载，通过POST包发送给Web服务器命令，Web服务器去Nexys3上下载指定的文件，文件到达Atlys，

然后开始检测文件类型是否与系统控制单元中预设文件类型符合，然后是检测文件内容，不合法的文件都移除到系统的隔离区，等

待管理员查看。在此过程中通过外接的GSM模块进行报警，以短信的形式发送给管理员。在web服务器还设计了一套基于手机的管

理界面，管理员可以通过手机访问系统，进行基本的系统管理。如果报警信息，管理员通过手机登入，关闭系统网卡，并且可以通

过发送短信打开系统工作状态。文件转发引擎只会转发文件类型和内容都OK的文件，这里为了保证内网的安全，采用了协议转换的

方式，由传统的TCP/IP协议转换成了串口协议，传输到内网，从外保证就是系统被Hacker攻破了，也绝对不会影响到内网。为了保

证文件传送的可靠性，我们采用了基于连接的ZMODEM协议，ZMODEM是一种类似TCP一样存在错误校验的通信协议，以牺牲效率

来保证可靠性。

# 系统创新和特色 #

1.系统是采用了分布式架构，系统分布在了两个不同的开发板上，为了保证系统的安全性，在两块不同的开发板上根据资源的限制分

别移植了Microblaze和OpenRISC架构，并在各自软核上移植不同的内核。

2.系统的硬件支持是基于可重构的Xilinx FPGA的，可以根据开发者需求裁剪

3.文件传送过程中采用了协议转化的形式，内网和外网不存在物理上的直接连接，仅仅是一个逻辑上的虚拟连接，更有效的保证了内

网的安全。

发表评论取消回复

表情：

评论列表（有 0 条评论，106人围观）

还没有评论，来说两句吧...

相关阅读

相关企业开发名词解析 — — 前置机、跳板机、堡垒机、网闸

企业开发名词解析 — — 前置机、跳板机、堡垒机 1 前置机 1.1 概念前置机是指用于现场的中间设备前置机一般是存在于前台客户端和后台服务器之

骑猪看日落/ 2024年04月07日 14:54/ 0 赞/ 72 阅读

相关停车场的道闸系统设计

目录摘要 I Abstract II 目录 III 1.引言 1 1.1 研究背景 1 1.2 国内外研究现状 2 1.3 课题的意义和解决

蔚落/ 2024年04月01日 12:44/ 0 赞/ 71 阅读

相关接入网关和隔离网关

文章目录 1. 什么是网关？ 2. 网关的作用是什么？ 3. 接入网关和隔离网关 4. 访问控制列表（ACL）是怎么配置的？ 5. Java

悠悠/ 2023年09月24日 19:28/ 0 赞/ 17 阅读

相关官网改版项目问题总结

最近官网改版的任务交给了我，开发使用的是jq操作dom，后台php渲染的方式，如今已经开发完成，现在把一些问题记录下来，已备忘。 1、Safari浏览器不能自动播放视频这

小灰灰/ 2023年08月17日 16:32/ 0 赞/ 147 阅读

相关 Kafka穿过网闸（物理层）进行消费

Kafka穿过网闸（物理层）进行消费前言服务器信息互联网服务器A：网闸机器B：内网服务器C： Kafk

刺骨的言语ヽ痛彻心扉/ 2022年12月29日 06:50/ 0 赞/ 114 阅读

相关【安全隔离】VMlogin虚拟多登浏览器

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0VuZ2xp

深藏阁楼爱情的钟/ 2022年11月13日 04:21/ 0 赞/ 150 阅读

相关牛客网初级项目总结

1. 开发工具Git，PyCharm 2. Flask，Flask-Script 3. Flask-SQLAlchemy 4. Flask-Login 5. 云存储

Bertha 。/ 2022年06月03日 10:25/ 0 赞/ 220 阅读

相关 HDUSec-安全隔离网闸项目总结

比赛结束了，得给我们的项目做一个总结。作品简介我们作品的名称是HDUSec-安全隔离网闸，HDUSec是代表我们协会。作品主要是仿造工业网闸进行创新，

淡淡的烟草味﹌/ 2022年06月02日 06:23/ 0 赞/ 107 阅读

相关 Docker安全之用户资源隔离

来源：[http://www.zimug.com/453.html][http_www.zimug.com_453.html] docker进行资源隔离的6种namespa

缺乏、安全感/ 2022年05月12日 14:04/ 0 赞/ 241 阅读

相关安全总结

另外，用户可以使用现有工具，比如 Apparmor, SELinux, GRSEC 来增强安全性；甚至自己在内核中实现更复杂的安全机制。

朱雀/ 2020年05月17日 15:23/ 0 赞/ 2127 阅读