Fanuc A14B-0076-B001隨著計算機在工業(yè)控制上的廣泛應用和網(wǎng)絡安全的重要性的日益凸現(xiàn)，由于工控網(wǎng)絡領域的特殊性，其需求的安全程度也比普通網(wǎng)絡要高得多，否則就有造成重大工業(yè)生產(chǎn)事故的危險。國內(nèi)在這一特殊領域幾乎是空白，在工業(yè)控制場合往往用通用防火墻代替，由于大多通用防火墻采用單機，審核點少，配有ip地址（某些防火墻）等弱點，其在安全上的不完善性，使其不能勝任重要的工控場合，而通用防火墻的某些優(yōu)點，比如支持高帶寬和支持多網(wǎng)絡層協(xié)議，則在工業(yè)控制場合毫無用武之地，如工控需求帶寬一般不會超過10-Mbps，網(wǎng)絡層協(xié)議幾乎都是運行IP協(xié)議。
根據(jù)上述情形，筆者開發(fā)一個適用于工業(yè)控制場合的割斷防火墻無疑是具有學術(shù)價值和市場潛力雙重意義的。所提出了一種設計實現(xiàn)方案是：雙工控主板采用USBdatacable互聯(lián)，USB線傳輸采用非網(wǎng)絡帖，并在多點做鏈路層級別的雙向數(shù)據(jù)審核。整個防火墻四個接口均無IP地址（對外界來看相當于一根網(wǎng)線），沒有任何主機能夠登陸或者攻擊。雖然四個接口均工作在鏈路層，但也能夠?qū)Ω邔訁f(xié)議Fanuc A14B-0076-B001進行跟蹤和審核。為了提高帶寬，提供雙USBdatacable作負載均衡措施。
1項目整體框架與功能介紹1.1適用環(huán)境和整體流程介紹給出了工控網(wǎng)絡割斷防火墻框架圖，其數(shù)據(jù)包流程是：主板1的網(wǎng)卡采用雜收模式監(jiān)聽所有到達該網(wǎng)卡的數(shù)據(jù)包，經(jīng)過一次數(shù)據(jù)審核，用非網(wǎng)絡幀的協(xié)議封裝該網(wǎng)的待發(fā)送幀，然后再經(jīng)過一次數(shù)據(jù)審核，工控網(wǎng)絡割斷防火墻框架圖將該數(shù)據(jù)幀發(fā)向USBdatacalbe，在主板2的USBdata cable端接收該數(shù)據(jù)幀，經(jīng)過第三次數(shù)據(jù)審核，通過解幀操作將該數(shù)據(jù)幀還原為以太網(wǎng)幀，再經(jīng)過第四次數(shù)據(jù)審核，最后通過主板2的網(wǎng)卡將以太網(wǎng)幀發(fā)送出去。
相反方向數(shù)據(jù)流程亦然。
1.2防火墻內(nèi)核模塊功能本系統(tǒng)基于開放源碼的mix操作系統(tǒng)開發(fā)，通過定制修改添加其內(nèi)核源代碼來完成功能，在內(nèi)核中做數(shù)據(jù)審核和數(shù)據(jù)轉(zhuǎn)發(fā)既保證了其篼安全性也充分保收稿U期：2002 -08-06.楊潤華，本科生，主研領域：操作系統(tǒng)內(nèi)核技術(shù)，IP網(wǎng)絡技術(shù)，網(wǎng)絡安全技術(shù)。
證了效率?？紤]到為了達到過濾高層協(xié)議的目標，必須充分利用Linux內(nèi)核IP包過濾框架Netfilter來實現(xiàn)篼效可靠復雜規(guī)則的過濾，而同時IP網(wǎng)絡協(xié)議在通信中占有絕對優(yōu)勢，故只考慮對IP協(xié)議的支持。左邊是該防火墻內(nèi)核模塊結(jié)構(gòu)圖。
優(yōu)秀的操作系統(tǒng)內(nèi)核防火墻框架之一。該模塊負責割斷防火墻IP及其上層協(xié)議（TCP，內(nèi)核模塊結(jié)構(gòu)圖UDP）的復雜規(guī)則過濾；USBdataframecheck：USB數(shù)據(jù)帔審核模塊，檢測該數(shù)據(jù)幀是否包括敏感內(nèi)容；2割斷防火墻實現(xiàn)的若干關(guān)鍵技術(shù)研究2.1Netfilter框架數(shù)據(jù)包的來源Linux內(nèi)核IP包過濾框架Netfilter在其PREROUT-iNG的hookpoint默認是不接受任何非發(fā)往本機以太網(wǎng)卡的數(shù)據(jù)包的，即不接受包類型為PACKETOTHERHOST的數(shù)據(jù)包。因為在Linux標準內(nèi)核ipb.c中的IP協(xié)議接收函數(shù)ip一rev中有如下代碼：的數(shù)據(jù)包陷入PROMISChookpoint.關(guān)鍵代碼實現(xiàn)如下：Netfilter框架數(shù)據(jù)包的出口由于進人Netfilter框架流程的數(shù)據(jù)包最終不是像普通數(shù)據(jù)包一樣根據(jù)目的地址詢路由表，然后向下一跳（nesthop）發(fā)送該數(shù)據(jù)包，而是在完成數(shù)據(jù)審核后根據(jù)輸人設備選定輸出設備（若從網(wǎng)卡收上來，則向USB接口發(fā)；若從USB接口收上來，則向網(wǎng)卡發(fā)）直接將該包發(fā)送出去，然后利用返回值NFSTOLEN通知Netfilter：數(shù)據(jù)包已經(jīng)被挪用，無需對它做進一步處理。
的ipttarget模塊來完成功能的。
ARP數(shù)據(jù)包的轉(zhuǎn)發(fā)ARP數(shù)據(jù)包的接收函數(shù)位于arp.c中的aiprcv，其對于非發(fā)往本機網(wǎng)絡接口的ARPPacket的操作是拋然后，需要做的操作是在做了一些正確性檢之后，不應該做進一步處理，而是直接選擇發(fā)送網(wǎng)絡接口設備，發(fā)送一個與該ARPPacket―樣的數(shù)據(jù)包。關(guān)鍵代碼如下：最后繞過常規(guī)處理流程，因為防火墻是不會接受任何數(shù)據(jù)包處理的，并且本身也不對外發(fā)送任何ARP包，這樣也就沒有任何主機能夠窺探防火墻網(wǎng)絡接口的MAC地址。
USBdatacable虛擬網(wǎng)卡驅(qū)動4種工作模的bulk模式）行為模擬以太網(wǎng)卡，必須為USBdatacable設備寫虛擬網(wǎng)卡驅(qū)動程序。該虛擬網(wǎng)卡驅(qū)動程序需要完成如下兩項工作：（下轉(zhuǎn)第52頁）由于原始24位BMP圖像文件隱藏信息后，其數(shù)據(jù)部分字節(jié)數(shù)值最多變化為1，該字節(jié)代表的像素最多只變化了1/256，所以，已隱藏信息的BMP圖像與未隱藏信息的BMP圖像，用肉眼是看不出差別的；該算法中嵌入信息的容量與所選取的掩護圖像的大小成正比，約為1：8（忽略文件頭不能隱藏數(shù)據(jù)的54位字節(jié)）。
5信息隱藏技術(shù)的研究動態(tài)和發(fā)展現(xiàn)狀在1994年的IEEE國際圖像處理會議（ICIP*94），R.G.Schyndel等人第一次明確提出了“數(shù)字水印”的概念，從此掀起了現(xiàn)代信息隱藏技術(shù)研究的篼潮。目前已有的數(shù)字水印算法主要包括以下幾種：（上接第39頁）設備。
成；編寫各項網(wǎng)絡設備需要的操作函數(shù)并注冊成netdev完成，下面給出初始化并注冊網(wǎng)絡設備的代碼段：ethersetup（net）；3割斷防火墻技術(shù)特點本工控割斷防火墻放置于受保護區(qū)域和外網(wǎng)之間，可以直接采用串口配置防火墻參數(shù)，就可以達到保護敏感區(qū)域的目的。
紋理塊映射編碼方法；頻率域數(shù)字水印方法。
Telemecanique TSX TS4 50G Language Cartridge
Siemens 6SC6040-1AA00 Rack
Siemens 6SC6012-2AG01 Rack
INA ZKLF-F-82100 Kugellager
Siemens C98043-A1098-L11 04 / 6RA8261-2CA0 Karte
Siemens C98043-A1098-L1 28 / 6RA8261-2A Karte
Siemens C98043-A1086-L1 33 Karte
Fanuc A06B-1006-B 100 Motor
Heidenhain ND 710 Positionsanzeige Id.Nr.: 339725-02
Mitsubishi Melsec F1-60MR Programmable Controller
Siemens C98043-A1001-L5
Siemens C98043-A1005-L2-15
Siemens C98043-A1005-L2-E 14 Karte
Siemens C98043-A1086-L11 Karte
Siemens 6FC5103-0AD03-0AA0 Maschinensteuertafel M ohne
Siemens 6FC5103-0AD01-0AA0 Maschinenbedientafel T 19" o
Fanuc A16B-2200-0090 /07A Axes Control Card
Fanuc A14B-0076-B001 Input Unit
Siemens 6FC5235-0AA05-1AA2 Diskettenlaufwerk
Gildemeister 0.652.960-46.2 Platine
Gildemeister 0.860.204-59.1 Platine
Siemens C98043-A1086-L1 33 Karte
Gildemeister MEM ADR 7000 / IN9552031 Karte
Gildemeister MEM ADR 4000 / IN0853012 Karte
Gildemeister MEM.ADR.6000 / AP1 0.552.009 Karte
Gildemeister KA1 0.525.881 / EPM: 4014030 Karte
Gildemeister MEM ADR 7000 / SE2-90 0.853.247 Karte
Gildemeister KA1 0.525.881 / EPM: 4169012 Karte
Gildemeister ESK 0.525.880 / EPM: 4022078 Karte
