[发明专利]一种基于硬件的数据安全网关

权利要求书

1.一种基于硬件的数据安全网关，其特征是，至少包括中心数据安全网关和/或终端数据安全网关，中心数据安全网关包括密码前置单元和业务处理单元；终端数据安全网关包括密码前置单元；

密码前置单元通过数据口与业务处理单元连接实现数据交互；

密码前置单元通过WAN口接收外部进入被保护的网络/设备的数据包，并判断是否是合法的数据包，对于合法并解密成功的数据包予以放行至业务处理单元，对于非法的数据包予以丢弃；

业务处理单元接收密码前置单元解密封装的新的网络数据包，分析出网络数据包的IP地址及端口，对满足权限的数据包从LAN口转发至被保护的网络/设备，否则丢弃该网络数据包。

2.根据权利要求1所述的一种基于硬件的数据安全网关，其特征是，密码前置单元包括：

TCP/IP协议解析模块：用于TCP/IP相关协议栈的识别解析；

密码处理模块：包括HMAC算法模块和SM2加密算法模块；

TCP/IP协议解析模块接收到被保护的网络/设备发出的数据包，先解析出IP数据包，将IP数据包发送至密码处理模块，密码处理模块采用SM2加密算法模块、HMAC算法模块将IP数据包进行SM2算法加密及HMAC算法后，再由TCP/IP协议解析模块封装成新的数据包发出至业务处理单元。

3.根据权利要求1所述的一种基于硬件的数据安全网关，其特征是，密码前置单元采用FPGA或专用密码芯片。

4.根据权利要求1所述的一种基于硬件的数据安全网关，其特征是，业务处理单元包括网络数据包转发模块和权限管理模块；

业务处理单元接收密码前置单元解密后的网络数据包，由权限管理模块分析出网络数据包的IP地址及端口，对满足权限的数据包予以放行，否则丢弃该数据包；

满足权限的数据包予以放行后，由网络数据包转发模块从LAN口转发至被保护的网络/设备。

5.根据权利要求1所述的一种基于硬件的数据安全网关，其特征是，业务处理单元基于通用主板架构实现。

6.根据权利要求1所述的一种基于硬件的数据安全网关，其特征是，密码前置单元判断是否是合法的数据包是基于每个数据包是否携带有发出设备的唯一身份编码来判断，若携带则为合法数据包，若未携带或携带的身份编码不符，则判断为非法数据包。

7.根据权利要求6所述的一种基于硬件的数据安全网关，其特征是，密码前置单元判断是否是合法的数据包，具体判断步骤为：

1)数据包到达密码前置单元后，先通过HMAC算法验证数据包是否被篡改；

2)对于HMAC验证通过的数据包取出设备唯一鉴别码做数据包的合法性验证。

8.根据权利要求2所述的一种基于硬件的数据安全网关，其特征是，TCP/IP协议解析模块封装成新的网络数据包的数据格式为：

新帧首部：该段是以太网协议自定义段；

新数据包IP层、UDP首部：源端地址是发端数据安全网关的IP地址，目的地址是对端数据安全网关的IP地址，其余由tcp/ip协议自定义；

加密的原IP数据包：通信双方要发送的实际IP数据包；

设备唯一鉴别码：每个数据包都携带的设备唯一鉴别码；

HMAC：是对前段数值采用hmac算法计算出来的实际值。