程 鑫，付懿姝，王 鑫，席晟哲

（國網河南省電力公司安陽供電公司，河南安陽 455000）

在OSI 開放式連接模式中，應用層協(xié)議定義了在多個終端上運行的應用軟件之間的消息交換，并定義了通信雙方進行信息傳遞和解讀：通過特定的協(xié)議，傳送方將特定的信息按照特定的協(xié)議進行打包，最后以位流的方式在整個網絡中傳播；接收端在接收到數據包后，根據網絡協(xié)議的要求對其進行處理，然后將其轉化為文件或者向其他的網絡發(fā)送。通信協(xié)議包含三大部分：①語法。數據的格式、編碼和結構；②語義。信息的構成、區(qū)分控制體系、通信內容；③時間。通信的時間，通信內容的順序。由于通信數據需要在沒有反饋的情況下進行，因此，傳統(tǒng)的網絡協(xié)議堆疊無法與本系統(tǒng)的底層硬件架構相適應。確保資料的安全性；文章重點討論了傳輸的可靠性問題，包括單路光閘專用傳輸協(xié)議的設計，采用正向誤差校正技術保證了光閘光傳輸的可靠性，并采用MD5技術對文件進行完整性驗證。

1 安全需求分析及目標

1.1 安全需求分析

在單向光閘的傳輸控制系統(tǒng)的設計時，要充分考慮通信的基本要求和應用環(huán)境。既要考慮傳輸技術及相關協(xié)議的共性要求，又要兼顧不同網絡環(huán)境下的實際應用需求。基于信息安全視角，對傳輸系統(tǒng)中的每個環(huán)節(jié)的潛在隱患進行多重分析。具體應完成以下幾個方面的基本內容。

1.1.1 單向性

為了有效保證涉密網絡從非涉密網絡傳輸信息和數據的基本安全，既要確保邏輯層面對數據的單向無反饋傳輸，又要確保物理層傳輸的單向隔離機制。

1.1.2 涉密環(huán)境的信息安全

涉密涉密網絡在與非涉密的外網進行數據通信時，容易受到未經授權的用戶或實體的攻擊，從而造成信息的泄露，危及涉密信息主體的根本利益。為此，要采取一系列的軟件和硬件手段確保機密信息的絕對安全。同時，為了避免目標文件傳輸中，惡意攻擊者單向將病毒文件傳送到涉密環(huán)境中，單向控制系統(tǒng)必須指定相應授權的用戶，并配備相關病毒過濾之類的安全模塊。

1.1.3 業(yè)務數據的穩(wěn)定傳輸

單向光閘傳輸控制系統(tǒng)設計需要充分確保單向無反饋的傳輸，這將對數據傳輸的可靠性產生一定的影響。所以，在設計單向光閘過程要通過軟、硬件兩個方面進行，以確保數據傳輸的安全性和可靠性。

1.2 安全目標

凡接入私有傳輸協(xié)議的信息系統(tǒng)，均應秉持“上網不涉密”的基本安全目標。為有效保障涉密信息的基本安全，既保證涉密環(huán)境中常態(tài)化接入又能確保外網相關的信息數據傳輸安全。這就要求進行單向光閘傳輸控制系統(tǒng)進行設計時，要滿足機密性、完整性和高效性的信息安全目標任務。

2 私有傳輸協(xié)議設計

2.1 私有協(xié)議

所謂的協(xié)議（在這里中特指的是網絡協(xié)議），是一種由通信各方共同遵守的協(xié)議。如以何種形式傳送，怎樣彼此辨認等。IP 協(xié)議是以太網中最為關鍵的一種協(xié)議，它已經成為各計算機網絡的基本規(guī)范。私有協(xié)議是一種企業(yè)制定內部規(guī)范，它在公司外部不公開規(guī)范細節(jié)，文章將私有協(xié)議定義為一系列僅適用于為實現(xiàn)本系統(tǒng)安全性要求，并依據其設計出相應的網絡協(xié)議。采用私有協(xié)議可以從某種意義上解決網絡通信的基本安全問題，從而達到通信安全控制的目的。文章所描述的單向光閘是專為涉密環(huán)境中文件單向傳輸需求而定制。為保證通信過程的可控性，提高對信道的利用率，文章設計的私有傳輸協(xié)議，在提高了傳輸效率的同時可以有效阻止非法數據的傳輸，從而保證了只有符合該協(xié)議的數據才能通過單向光閘。

文章所述的單向光閘是專門針對在機密環(huán)境下進行單程傳輸的要求而設計的。為了確保通信過程的可控性和提高信道利用率，提出了一種私有的傳輸協(xié)議，它既能有效地防止非法的數據的傳輸，又能有效保證符合協(xié)議數據要求而通過單向光閘。

2.2 光闡路有傳輸協(xié)議設計

結合TCP 和UDP 的特點，充分考慮用戶環(huán)境的安全性要求，結合單向光閘的軟、硬件特性，設計了一套用于單程光閘的私有DMTP 傳輸協(xié)議。

DMTP 協(xié)議的主要作用是，將從通信代理處發(fā)出的PDU 制成一種能夠被單向光閘傳送系統(tǒng)識別的數據包，然后通過單光纖通道傳送到接收機，再由接收機進行處理。

單向光纖傳輸通道的傳輸特性確保了在鏈路層上的所有以太網數據通道均為單向傳輸?；趩蜗蚬忾l傳輸系統(tǒng)的應用背景和安全性要求，將單向光閘傳送系統(tǒng)置于多個密級網絡中，涉密網絡僅負責接收和接收，而無涉密網僅負責傳送數據，并與發(fā)射機相連。由于數據包的數量很大，所以在數據流的傳輸中，采用了多路傳輸技術，并針對數據流的特點，提出了一組專用的數據傳輸協(xié)議，從物理和邏輯兩個方面實現(xiàn)了數據的雙向不反饋。因為多路傳輸技術在協(xié)議中的應用，所以將其稱為DMTP（DMTP）。圖1 顯示了DMTP 協(xié)議的網絡模型。

圖1 DMTP協(xié)議網絡模型圖

單向光閘私有傳送協(xié)議是在傳送層工作的，DMTP 主要負責整個數據的傳送與控制，將特定的通信細節(jié)隱藏給上層的使用者，如同在不同的傳送實體之間建立一條可靠的虛擬通道。DMTP 私有傳送協(xié)議的分組結構見圖2：

圖2 DMTP數據包結構圖

2.3 光闡傳輸中的文件完整性

保證傳輸數據的完整性是本系統(tǒng)的主要研究方向，而完整性檢驗技術則能夠通過對信息摘要的計算來判定文檔的完整性。在傳送和傳送時，為了保證文檔的傳送完整性，將文檔標題中的MD5標記和MD5的數值設計為：在發(fā)送文件前對文檔進行概要運算，并將概要信息存儲在文檔信息頭部，接收方收到數據后分析文檔標題，獲取MD5的數值，再進行與MD5的比較。如果兩者相同，則表示在發(fā)送時沒有丟失，否則表明文檔完整性有問題，在發(fā)送時數據包丟失。

2.4 光闡中的前向糾錯技術

FEC 是為了提高數據通信的可靠性而設計的一種差錯控制技術。在單程光纖中，如果發(fā)生了傳輸差錯，接收方將不能再次發(fā)送數據。發(fā)送方將監(jiān)督符號添加到所需傳送的數據信息。在接收端檢測到錯誤信號時，能及時修正錯誤。在發(fā)射初期，信號源生成k 位信息，并將其傳送到編碼器。在此數據序列之后，編碼器添加（n-k）比特冗余奇偶校驗碼，最后編碼器輸出n位數據。隨著數據的冗余度的增加，數據包中的純數據所占的比重將會降低。但是，在數據的冗余程度足夠大的情況下，接收方所接收到的信息的精確度就會得到保障。編碼后的碼字經過調制器的處理，變成一個可以傳送到頻道的信號。信號經通道傳輸至接收機，接收機在接收端接收到編碼字后，將其解調成數字信號。最后，通過與原始碼的特殊關系，譯碼器能夠檢測出錯誤并獲得相應的碼字。最后把這個數字的資料傳送到寄宿者那里。FEC 將為每個Ethernet 提供FEC的代碼。起始標簽和終止標簽通過10位編碼來完成，在頓尾加入冗余奇偶校驗字節(jié)，F(xiàn)EC 將對以太網貼的全部內容進行編碼，其中包含前導碼、以太網包頭以及FCS 校驗位。僅不對空閑字符進行編碼。在FEC編碼之后幀結構見圖3。

圖3 具備FEC功能的幀結構圖

3 數據包捕獲方法

Libpcap 是一個非常成熟的數據包捕捉框架，它采用BPF 包過濾機制，為用戶的應用程序提供一個包捕捉的接口。但是Libpcap 必須要對內存進行多次復制，PF_RING 可以捕捉并存儲在一個環(huán)形緩沖器中，這樣就可以通過Libpcap 把數據包mmap 傳送到一個應用程序中，從而大幅降低存儲的復制次數，同時利用PF_RING 和Libpcap 可以有效地獲取數據包。

3.1 數據包捕獲機制

在以太網中，數據是以幀為單位進行的，而幀則是以廣播的方式傳送到各個主機，主機收到ARP 廣播后，就會判斷出是否向自己發(fā)出了請求，并決定是否接受，這樣就可以捕捉到數據包。包捕捉機制主要有包捕捉機制、核心級分組篩選機制以及數據端口接收端。該方法通過在數據鏈路層上設置一個旁路過程，從網絡卡的緩存隊列中提取和處理，最終由應用程序的數據包捕捉機制傳輸到應用。封包捕捉機制不會對操作系統(tǒng)的網絡協(xié)議找出產生任何影響，但是因為它不能解析出特定的傳輸協(xié)議，所以內核的網絡協(xié)議會將其丟棄。這樣不僅不會影響系統(tǒng)的性能，而且還可以自動分析所獲取的數據包。

3.2 Libpcap數據包捕獲技術

Libpcap 采用BPF 的分組過濾機制，BPF 的過濾主要是基于內核，它能設計出對應的策略，在捕捉到數據包的同時，對不必要的分組進行篩選。Libpcap是一個在應用程序層面上運行的包捕捉程序。

3.3 PF_RING技術

PF_RING 是Luca Deri 開發(fā)的一種基于“零拷貝”技術的快速數據包捕捉庫，可以很好地解決傳統(tǒng)的數據包捕捉技術所遇到的困難。PF_RING 與常規(guī)方法不同，它將從網卡緩沖中收到的數據包儲存在一個由兩個接口組成的環(huán)狀緩沖器中，一個用于存儲網卡的寫入，一個用于為用戶程序提供一個接口，而PF_RING 則利用mmap 來完成對數據包的讀取。

4 結束語

本研究主要包括兩方面的內容：光閘專用協(xié)議的實現(xiàn)以及光纖單室內的正向誤差校正。在光閘網專用協(xié)議中，首先介紹了光閩專用協(xié)議的概念，然后針對其特性進行了詳細的設計。文章介紹了在傳輸過程中，文檔的報頭結構，接收方通過對報文報頭的分解，得到報文報頭，得到與報文有關的信息，然后再對報文進行處理，從而形成一個文件。在文檔信息標頭中使用MD5，可以對文檔進行完整性檢查。前向誤差校正技術部分，對FEC正向誤差校正的機理進行了說明，并給出了RS 碼的基本理論，并給出了RS 糾錯編解碼的具體實現(xiàn)方法。文章對數據包捕獲技術進行了深入的探討，探討了Libpcap 包捕捉的基本理論，并探討了PF_RING 技術的特性，并將PF_RING 技術與Libpcap 包捕捉機制進行結合，從而實現(xiàn)對數據包的捕獲和信息處理。