[发明专利]一种内网安全接入方法及系统

权利要求书

1.一种内网安全接入方法，其特征在于，包括以下步骤：

步骤1：在主站采集服务器与内网业务接入服务模块之间建立点对点隧道；在外网终端接入服务模块与安全接入终端之间建立点对点隧道；内网业务接入服务模块初始化内存文件目录；启动内网业务接入服务模块的网络监听；启动安全接入终端的网络监听；在内网业务接入服务模块上配置外部接入厂站IP，将外部接入厂站附加路由更新脚本传送给主站采集服务器；主站采集服务器运行路由更新脚本更新附加路由表；

步骤2：主站采集服务器发起网络会话连接信息，附加路由表将连接请求引导到内网业务接入服务模块的端口监听服务、将下行数据报文通过主站采集服务器与内网业务接入服务模块之间的点对点隧道发送给内网业务接入服务模块的网络监听；

步骤3：内网业务接入服务模块在接收到下行数据报文后，加密创建包含网络会话连接信息和下行数据报文的下行内存加密文件并发送给物理隔离正向终端；同时更新网络会话连接信息至连接白名单；

步骤4：物理隔离正向终端将下行内存加密文件交换到外网终端接入服务模块的指定内存文件中；

步骤5：外网终端接入服务模块对接收的下行内存加密文件进行解密解析得到网络会话连接信息和下行数据报文，根据网络会话连接信息向安全接入终端发起连接，并通过外网终端接入服务模块与安全接入终端之间的点对点隧道发送下行数据报文给安全接入终端的网络监听；

步骤6：安全接入终端根据接收的下行数据报文的规约内容，生成相应的上行数据报文，并通过外网终端接入服务模块与安全接入终端之间的点对点隧道返回给外网终端接入服务模块的网络监听；

步骤7：外网终端接入服务模块接收到上行数据报文后，加密创建包含网络会话连接信息和上行数据报文的上行内存加密文件并发送给物理隔离反向终端；

步骤8：物理隔离反向终端将上行内存加密文件交换到内网业务接入服务模块；

步骤9：内网业务接入服务模块对接收的上行内存加密文件进行解密解析得到网络会话连接信息和上行数据报文；判断网络会话连接信息的连接合法性，若合法则获得对应的会话连接并将上行数据报文发送给主站采集服务器，若非法则丢弃本次连接并记录日志到非法日志文件中。

2.按照权利要求1所述一种内网安全接入方法，其特征在于，所述点对点隧道采用GRE隧道的方式。

3.按照权利要求1所述一种内网安全接入方法，其特征在于，所述厂站附加路由的目标地址为厂站IP地址，路由地址为点对点隧道内网业务接入服务器侧的IP地址。

4.按照权利要求1所述一种内网安全接入方法，其特征在于，所述连接白名单采用Hash表结构。

5.按照权利要求1所述一种内网安全接入方法，其特征在于，所述判断网络会话连接信息的连接合法性为查询连接白名单Hash表中是否存在网络会话连接信息，若存在则判断合法，若不存在则判断非法。

6.按照权利要求1所述一种内网安全接入方法，其特征在于，所述内网业务接入服务模块在解析加密文件时，如果解析失败，则丢弃文件，并将丢弃记录到非法日志文件中。