Система защиты для связанных компьютерных сетей

 

Изобретение относится к системам защиты для подсоединения первой компьютерной сети ко второй компьютерной сети. Техническим результатом является то, что каждая материнская плата обеспечивает преобразование протокола из первого протокола во второй протокол и удаляет адресную информацию об источнике и о назначении из коммуникационных сообщений, переданных на другую компьютерную материнскую плату, промежуточные программные средства интерфейса прикладных программ или программные средства динамической библиотеки связи обеспечивают управление коммуникационными сообщениями между двумя материнскими платами для прохождения кодов, необходимых для запроса и получения сервиса от другой компьютерной сети, который достигается тем, что устройство защиты имеет пару компьютерных материнских плат, каждая из которых имеет сетевой интерфейсный адаптер для приема и передачи коммуникационных сообщений от компьютерной сети на адаптер передачи, которые должны быть переданы в другую компьютерную сеть через адаптер передачи и сетевой интерфейсный адаптер, имеющихся на второй компьютерной материнской плате. 2 с. и 9 з.п.ф-лы, 1 ил.

Изобретение относится к системе защиты для предотвращения несанкционированной связи между компьютерными сетями, более конкретно к предотвращению несанкционированного доступа к частной компьютерной сети из общедоступной компьютерной сети, такой как Internet.

Предшествующий уровень техники Недавние технологические разработки облегчили доступ к общедоступным компьютерным сетям, таким как Internet. Обмен информацией между частными компьютерными сетями и пользователями, подключенными к сети Internet ставит вопрос о защите информации, хранящейся в частных компьютерных сетях, от несанкционированного доступа внешних пользователей сети Internet, и от несанкционированного экспорта частными пользователями во внешнюю сеть. Например, группе частных пользователей, которые работают над одним вопросом, может потребоваться доступ к общим данным, причем желательно защитить такую информацию от раскрытия для внешних пользователей. Недавно были опубликованы доклады об уязвимости даже компьютерных сетей Пентагона для вторжения пользователей общественной сети Internet, называемых "крэкерами". При вторжении в частные компьютерные сети крэкеры способны уничтожить файлы или диски, прервать программы, отыскать секретную информацию и даже внести компьютерные вирусы, "троянских коней" и/или "червей" в эти частные сети.

Другой связанной с этим проблемой является защита связанных частных компьютерных сетей. Например, многие компании имеют филиалы, расположенные в различных частях страны. Каждый филиал может иметь компьютерную сеть, и каждая из этих локальных компьютерных сетей связана с компьютерной сетью компании. Желательно при использовании таких компьютерных сетей предотвратить несанкционированный доступ к каждой из этих локальных компьютерных сетей со стороны других локальных компьютерных сетей.

Для связи по сети Internet набор протоколов Transmission Control Protocol/Internet Protocol - TCP/IP (Протокол управления передачей/Протокол Internet) предоставляет стандартизированный формат коммуникаций между узлами компьютерной сети и между компьютерными сетями. Этот набор протоколов используется также внутри и между частными компьютерными сетями. Частные (закрытые) компьютерные сети часто связаны с другими такими же компьютерными сетями, например, в компании, где множество групп пользователей существует в структуре с соответствующими многочисленными компьютерными сетями. Присутствует также риск вторжения и компьютерного злоупотребления такой частной компьютерной сетью со стороны пользователей другой частной сети. Например, недовольный служащий, работающий в локальной сети (LAN) в одном подразделении компании, может вторгнуться в частную компьютерную сеть другого подразделения компании и изменить или уничтожить файлы или внести компьютерные вирусы, "троянских коней" и/или "червей" в узлы, связанные такой сетью.

Частные компьютерные сети приобретают различные формы и имеют разное назначение. Существуют компьютерные сети кредитных карточек, которые направляют сетевой трафик в банки для санкционирования и осуществления сделок; существуют университетские компьютерные сети, поддерживающие учебную или научно-исследовательскую информацию, а также существуют частные компьютерные сети компаний, которые содержат разнообразную закрытую информацию. В будущем ожидается еще более интенсивная связь с компьютерными сетями с использованием таких механизмов, как компьютеризованное домашнее телевидение и мультимедийное обслуживание. Создание системы защиты против вторжения так называемых "крэкеров" будет также важно и для пользования домашнего компьютера.

Известные в настоящее время системы защиты часто оказываются или неэффективными в предотвращении "взлома" частной компьютерной сети или имеют строго ограниченный доступ к коммуникационным услугам для связи с другими сетями. В общем случае существующие системы защиты блокируют определенные критические коммуникационные услуги между компьютерными сетями. Например, в связи с сетью Internet, такие важные коммуникационные услуги сервиса, как прикладные задачи передачи файлов, например, Протокол передачи файлов (File Transfer Protocol - FTP), Тривиальный протокол передачи файлов (Trivial File Transfer Protocol - TFTP) и HTTP, а также услуги эмуляции терминала, например, прикладные задачи Telnet, блокируются в целях защиты. Однако, когда такие услуги заблокированы, большая часть ресурсов коммуникационного обмена с другими компьютерными сетями теряется, оставляя частной компьютерной сети только основные услуги электронной почты (E-mail) для сети Internet, например такие, которые предоставляются Простым протоколом передачи почтовых сообщений (Simple Mail Transfer Protocol - SMTP) и прикладными задачами РОРЗ. Даже с такими блокированными услугами эмуляции и передачи файлов частные компьютерные сети не защищены от "взлома" крэкерами из общедоступной сети Internet или других частных сетей. Посторонний пользователь может получить заголовки из файлов посылаемых сообщений (sendmail) и постскриптума (postscript), используемые в электронной почте (E-mail) и включающие в себя основные данные, для входа в привилегированные файлы посредством имитации законного пользователя.

Такие системы защиты реализуются несколькими способами. Например, применяются программные экранирующие маршрутизаторы для ограничения передачи в частную сеть и из нее конкретными узлами или конкретными типами передач. Однако эти ограничения по своей природе также строго ограничивают доступ к коммуникационному обслуживанию с использованием общедоступной сети Internet или другим сетям.

Брандмауэры (устройства защиты от распространения ошибки) главной машины, известные также, как двудомные брандмауэры, предоставляют дополнительный уровень защиты с помощью вставки отдельной компьютерной системы между частной сетью и общедоступной сетью Internet. В некоторых двудомных брандмауэрах продвижение пакета Internet Ptotocol (IP) блокируется автоматически, предотвращая брандмауэр от маршрутизации IP пакетов в соответствии с предоставляемыми адресами. Такие двудомные брандмауэры предоставляют также специальный набор прикладных задач Протокола управления передачей (Transmission Control Protocol-TCP) для работы в качестве уполномоченного представителя для связи с пользователями вне частной сети. Таким способом брандмауэр контролирует коммуникации, входящие и выходящие из частной сети. Например пользователь частной сети может использовать прикладную задачу, например Telnet, для входа в систему брандмауэра в главном узле. Затем пользователю частной сети предлагается ввести Internet - адрес оконечного узла. Затем брандмауэр организует канал между пользователем частной сети и оконечным узлом и контролирует соединение между этими точками. Недостатком, свойственным использованию брандмауэров в главном узле, является постоянная потребность в увеличении размера системы брандмауэра для поддержания возрастающего трафика между частной компьютерной сетью и общедоступной сетью Internet. Другим недостатком брандмауэров в главном узле является то, что крэкерам нужно преодолеть только систему защиты единственной компьютерной системы, для того чтобы получить доступ к частной сети.

Другая система защиты, известная в качестве бастионных главных узлов, известная также как брандмауэр уровня прикладной задачи, преодолевает эти недостатки брандмауэра в главном узле за счет обеспечения подсети главных узлов для управления трафиком в частную сеть и из нее. Подсеть может быть расширена добавлением главных узлов, когда требуется увеличить пропускную способность. С бастионными ведущими узлами для частной сети разрешен доступ только до внешнего маршрутизатора R2, в то время как частной сети разрешен доступ только до маршрутизатора R1. Между маршрутизаторами предусматривается группа уполномоченных ведущих узлов, которые контролируют доступ к различным прикладным задачам, доступным для коммуникационного обмена с частными и общедоступными сетями.

Недостатком этой системы является то, что должен быть специально записан код для указания каждой прикладной задачи для ее передачи в подсети, вследствие чего изменения в доступности прикладной задачи становятся дорогостоящими и требующими больших временных затрат. Другим недостатком является высокая стоимость и сложность поддержания отдельной подсети и множества компьютерных систем в качестве ведущих для системы.

Соответственно задачей настоящего изобретения является создание системы защиты для соединения частной компьютерной сети с другой частной или общедоступной компьютерной сетью, которая обеспечивает полную доступность сервиса для компьютерных сетей при обеспечении защиты частной компьютерной сети от несанкционированного доступа крэкерами из общедоступной компьютерной сети или другой частной компьютерной сети.

Задачей настоящего изобретения является также создание системы защиты, которая может быть построена из имеющихся в наличии стандартных аппаратных и программных компонентов, не требуя дорогостоящего специального кодирования или аппаратного обеспечения.

Другой задачей настоящего изобретения является создание системы защиты, которая полностью была бы заключена в одном блоке и управлялась от него.

Дополнительной задачей настоящего изобретения является создание системы защиты, которая защищала бы ведущие компьютеры операционных систем Unix и MVS, связанных с частной компьютерной сетью от несанкционированного доступа пользователями частной компьютерной сети, связанной с частной локальной сетью (LAN) или территориальной сетью (WAN).

Еще одной дополнительной задачей настоящего изобретения является создание системы защиты, имеющей две компьютерные материнские платы для резервирования критической сетевой коммуникационной информации с одной компьютерной материнской платы на другую.

Еще одна задача изобретения состоит в обеспечении использования неограниченных адресов TCP/IP в частной сети, которые не ограничены процедурами регистрации общедоступной сети Internet, благодаря чему имена областей, маски подсети и TCP/IP адреса сети и имени ведущего узла могут быть определены независимо в частных сетях.

Другой задачей настоящего изобретения является создание коммуникационной связи между первой и второй компьютерной сетью, в которой маска подсети, используемая для коммуникаций внутри первой компьютерной сети, устанавливается независимо от маски подсети, которая присутствует в интерфейсе ко второй сети.

Сущность изобретения Указанные задачи настоящего изобретения соответственно обеспечиваются системой защиты для предотвращения несанкционированных обменов между первой компьютерной сетью и второй компьютерной сетью. Заявителем установлено, что межсетевая защита может быть обеспечена посредством создания системы защиты, которая включает в себя первую сетевую материнскую плату и вторую сетевую материнскую плату, каждая материнская плата имеет сетевой интерфейсный адаптер для обмена с первой и второй компьютерными сетями соответственно. Каждая сетевая материнская плата имеет также адаптер передачи для обмена с адаптером передачи другой сетевой материнской платы. Адаптеры передачи должны быть парными и идентичными. Все необходимое аппаратное и программное обеспечение для реализации данной системы защиты является доступным из многочисленных источников, и не требуется создания специальных аппаратных или программных средств.

В частности, предусматривается система защиты для предотвращения несанкционированных обменов между первой компьютерной сетью и второй компьютерной сетью, содержащая первую сетевую материнскую плату и вторую сетевую материнскую плату. Каждая из указанных первой и второй сетевых материнских плат имеет сетевой интерфейсный адаптер для обмена с первой и второй компьютерными сетями, соответственно. Каждая из сетевых материнских плат также имеет адаптер передачи для связи с адаптером передачи другой сетевой материнской платы. Адаптеры передачи являются парными и идентичными. Помимо этого каждая из указанных сетевых материнских плат имеет программные средства для предотвращения передачи информации об услугах маршрутизации между сетевыми интерфейсными адаптерами и адаптерами передачи каждой сетевой материнской платы, при этом каждая из указанных сетевых материнских плат также содержит программные средства преобразования протокола, чтобы воспрепятствовать прохождению информации протокола верхнего уровня и информации об источнике источника и адресе назначения между сетевым интерфейсным адаптером и адаптером передачи каждой сетевой материнской платы. По меньшей мере одна сетевая материнская плата имеет промежуточные программные средства интерфейса прикладных программ для предоставления услуг обмена на уровне прикладной задачи компьютерам, подключенным по меньшей мере к одной сетевой материнской плате.

Коммуникационные сообщения, принятые подсоединенными к первой и второй материнским платам компьютерной сети адаптерами сетевых интерфейсов, в формате Протокола управления передачей/Протокола управления Internet (Transmission Control Protocol/Internet Control Protocol) (TCP/IP) или протокола Internet (Protocol Internet) (IP), сформированные в пакеты формата пакетного обмена Internet (Internet Packed Exchange), IP (IPX), преобразуются в формат пакетного обмена Internet (IPX) коммуникационных сообщений для последующей передачи в сетевую материнскую плату, соединенную с другой общедоступной или частной компьютерной сетью соответственно. Этот процесс преобразования удаляет верхний уровень протокола TCP, маску подсети и защищает исходный заголовок IP дейтаграммы (независимо от других пакетов передаваемого массива данных), содержащего информацию заголовка IP, адрес назначения IP и адрес источника IP, от дальнейшей передачи к другой сети. Услуги маршрутизации: продвижение пакета IP и информационный протокол маршрутизации уровней (Routing Information Protocol - RIP) TCP/IP, протокол разрешения адресов (Address Resolution Protocol - ARP) и протокол управления сообщениями Internet (Internet Control Message Protocol - ICMP) являются недоступными для передачи между адаптером сетевого интерфейса и адаптером передачи каждой сетевой материнской платы. Удаление исходных заголовков дейтаграмм IP и недоступность услуг маршрутизации запрещает неразрешенному пользователю первой или второй компьютерных сетей получить IP адреса и соответствующие физические адреса, которые необходимы для прямого обмена с узлами другой сети.

Вторая сетевая материнская плата дополнительно предоставляет промежуточные программные средства API и программные средства клиент/сервер для разрешения коммуникационных услуг для второй компьютерной сети и от нее с помощью запрашивающих узлов первой сети. С другой стороны, для разрешения таких обменов могут быть использованы программные средства динамической библиотеки связей (Dynamic Link Library - DLL) вместо или дополнительно к промежуточным программным средствам API.

В одном из вариантов осуществления данного изобретения вторая компьютерная сеть является общедоступной сетью, а вторая сетевая материнская плата имеет промежуточные программные средства интерфейса прикладных программ для предоставления услуг обмена на уровне прикладной задачи для компьютеров, подключенных к сетевому интерфейсному адаптеру второй сетевой материнской платы.

Как вариант первая и вторая компьютерные сети являются частными, и каждая из указанных сетевых материнских плат сети имеет промежуточные программные средства интерфейса прикладных программ для предоставления коммуникационных услуг на уровне прикладной задачи для компьютеров, подключенных к сетевому интерфейсному адаптеру каждой из сетевых материнских плат.

Вторая сетевая материнская плата далее устанавливает имя области, адрес IP, маску подсети, для того чтобы пользователи второй сети могли найти и подсоединяться ко второй сетевой материнской плате. Имя области, адрес IP, маска подсети являются независимыми от исходных имени области, адреса IP и маски подсети, которые использовались в адаптере сетевого интерфейса в первой сетевой материнской плате. Фактически каждая из указанных сетевых материнских плат может независимо устанавливать по меньшей мере одно определенное название домена, определенную субсетевую маску и определенный адрес TCP/IP. Независимость масок подсети позволяет частной сети связываться с системой защиты согласно настоящему изобретению, для объединения стольких узлов, сколько требуется, независимо от маски подсети, которая предоставлена второй сетевой материнской платой для общедоступной сети.

Система защиты может также содержать сетевые материнские платы, которые находятся в общем блоке и совместно используют общий источник питания, при этом каждая из сетевых материнских плат содержит магнитное запоминающее устройство и средство для периодического резервирования информации с каждого из магнитных запоминающих устройств на другое магнитное запоминающее устройство. Магнитные запоминающие устройства предпочтительно имеют одинаковую емкость.

Краткое описание чертежей В дальнейшем изобретение появляется конкретными вариантами его воплощения со ссылками на чертеж, на котором представлена блок-схема защиты согласно настоящему изобретению и ее подсоединение к частной и общедоступной (Internet) компьютерным сетям.

Подробное описание предпочтительного воплощения Вариант воплощения настоящего изобретения изображен на чертеже. Как показано на чертеже, две материнские платы 12 и 20 подсоединены к общему источнику питания 28. Материнская плата 20 подсоединена к общедоступной сети, например Internet, 26, в то время как материнская плата 12 подсоединена к частной сети 10. С другой стороны, материнская плата 20 может быть подсоединена к другой частной компьютерной сети 26, например в другом филиале одной и той же компании. К тому же в соответствии с изобретением могут быть соединены многочисленные частные и/или общедоступные сети. Каждая общедоступная или частная сеть является набором связанных узлов, узлы являются любыми адресуемыми или подсоединяемыми устройствами, которые могут быть компьютерами, например рабочими местами, файл-серверами, универсальными вычислительными машинами под управлением операционных систем Unix или NVS, или другими цифровыми устройствами, например маршрутизаторами, принтерами, контроллерами, периферийными устройствами и т.д.

Материнские платы 12, 20 каждая имеют пару сетевых адаптеров 14, 16 и 18, 22 соответственно. Сетевые адаптеры 14 и 22 являются сетевыми интерфейсными адаптерами, используемыми для приема и передачи коммуникационных сообщений в частную и общедоступную сети 10 и 26 и из них соответственно. Сетевые адаптеры 16 и 18 являются адаптерами передачи, используемыми для обмена между материнскими платами 12, 20. Адаптеры передачи 16 и 18 могут быть любыми картами типа Ethernet или ARCnet, при условии, что они являются идентичными и парными. Адаптеры передачи 16 и 18 не могут располагаться на одной материнской плате.

Каждая материнская плата имеет стандартные компоненты, например микропроцессор, жесткий диск, память со случайным доступом, предпочтительно 32 Мб или более, базовую систему ввода/вывода на ПЗУ ROMBIOS и плату вывода изображения (видеокарту). Дополнительно каждая материнская плата содержит свое собственное отдельное сетевое программное обеспечение. Например, Novell Netware (R) или Microsoft NT (TM). Использование двух материнских плат 12 и 20 совместно друг с другом сокращает перегрузку, коэффициент загрузки центрального процессора и развязывает частную и общедоступную сети. С другой стороны, две материнские платы могут быть отдельными автономными компьютерными системами, которые содержат как минимум компоненты, описанные для материнских плат 12 и 20. За исключением общего источника питания 28.

Сетевой интерфейсный адаптер 22 на материнской плате 20 предпочтительно является картой кольцевой сети с эстафетным доступом (или Ethernet), которая подсоединяется через маршрутизатор 24 к линиям провайдера общего доступа 56K, T1 или T3 или к другим таким линиям (обозначенным пунктиром) к сети Internet или другой частной сети. Программное обеспечение, используемое для связи сетевого интерфейсного адаптера 22 с сетью Internet или другой частной сетью, предоставляет информацию о сервере имени области (Domain Name Server), адрес TCP/IP Internet и маску подсети, которая позволяет пользователям общедоступной сети найти и подключиться к входу системы защиты. Например, могут быть использованы Novell Netware (R) версии 3.12 или 4.X и Novell Netware IP (R) или Microsoft NT 3.5+ (TM) для установления собственного (совместимого) TCP/IP подсоединения к Internet. Сетевое программное обеспечение предоставляет услуги протокола дейтаграмм пользователя (User Datagram Protocol - UDP) и протокола управления передачей TCP для коммуникационных сообщений с Internet или другой частной сетью 26 и из них. UDP предоставляет сервис доставки без установления соединения для посылки и приема пакетов от особых процессов между посылающим и передающим узлами Internet. TCP добавляет надежную доставку потока дополнительно к сервису протокола Internet доставки пакета без установления соединения.

Сетевой интерфейсный адаптер 14 на материнской плате 12 может быть картой кольцевой сети с эстафетным доступом, картой Ethernet или картой ARCnet, которая подсоединена к частной сети 10, которая может быть или локальной (LAN) или территориальной (WAN) сетью. Программное обеспечение, которое связывает сетевой интерфейсный адаптер 14 с частной сетью 10, предоставляет услуги протокола управления передачей/протокола Internet (TCP/IP) или услуги IP канала/формирования пакетов данных IPX IP(IPX) для связи с частной сетью 10. Соответствующее сетевое программное обеспечение для сетевого интерфейсного адаптера 14 может быть Novell Netware (R) Nultiprotocol Router (MPR) или Novell Netware (R) версии 3.12 или 4.X, используемое совместно с Novell Netware IP (R). С другой стороны, могут быть использованы программные пакеты файл-сервера, например, Microsoft Windows NTAS 3.5+. Такие программные средства предоставляют сервер имени области (Domain Name Server), адрес TCP/IP и маску подсети, которая является независимой и отличной от сервера имени области, адреса TCP/IP и маски подсети, используемых сетевым интерфейсным адаптером со стороны общедоступной сети на материнской плате 20, и которая позволяет также пользователям общедоступной сети находить и подключаться к материнской плате 20 со стороны общедоступной сети.

Коммуникационные сообщения, принятые сетевым интерфейсным адаптером 14 от частной сети 10 в формате протокола управления передачей/протокола Internet (TCP/IP) или в формате IP канала /формирования пакетов данных IPX IP (IPX), преобразуются в коммуникационные сообщения формата пакетного обмена Internet (IPX) для передачи адаптером передачи 16 в адаптер передачи 18 на материнской плате 20 со стороны общедоступной сети. Аналогично, коммуникационные сообщения, принятые сетевым интерфейсным адаптером 22 от общедоступной сети 26 в формате протокола управления передачей/протокола Internet (TCP/IP), также преобразуются в коммуникационные сообщения формата пакетного обмена Internet (IPX) для передачи адаптером передачи 18 в адаптер передачи 16 на материнской плате 12 со стороны частной сети. Преобразование в формат IPX удаляет верхний уровень протокола TCP и исходные заголовки дейтаграммы IP, содержащие информацию заголовка, адрес IP источника и адрес IP назначения из коммуникационных сообщений, передаваемых между сетевыми интерфейсными адаптерами и адаптерами передачи на каждой материнской плате.

Связывающие команды, предоставляемые сетевым программным обеспечением на каждой материнской плате, используются для блокирования всех услуг маршрутизации, таких как протокола разрешения адресов (ARP), протокола информации маршрутизации (RIP) и протокола управления сообщениями Internet (ICMP) между сетевыми интерфейсными адаптерами 14, 22 и адаптерами передачи 16 и 18 соответственно. Удаление заголовков IP дейтаграмм и блокировка услуг маршрутизации запрещает передачу физических адресов (известных также как адреса "управления доступом к среде" для использования с картами Ethernet) устройств, связанных с частной сетью.

Предпочтительно, чтобы сетевые программные средства, используемые сетевым интерфейсным адаптером 22 на материнской плате 20 общедоступной сети, обеспечивали возможность идентифицкации каждого пользователя, входящего в материнскую плату 20 адресом узла, специфичным для физического положения пользователя, и/или адресом узла компьютера, используемого для подключения. Когда для адаптеров передачи применяются карты Ethernet, то эта информация может быть сохранена. Использование карт Ethernet может позволить использовать адрес узла в качестве еще одного средства защиты для запрещения многочисленным пользователям частной сети доступа к материнской плате 20 с других, отличных от их собственного, рабочих мест. Однако, когда применяются карты ARCnet в качестве адаптеров передачи, эта функция не может быть доступна, т. к. информация об адресе узла не сохраняется.

Промежуточные интерфейсные программные прикладные задачи (промежуточные программы API) или динамические библиотеки связей (DLL) используются для того, чтобы разрешить пользователям частной компьютерной сети 10 связаться с материнской платой 20 для последующего обмена с Internet. Промежуточные программы API и библиотеки DLL представляют альтернативный механизм для прохождения выполняемого кода между частным устройством сети, известного как рабочее место клиента, к материнской плате 20, которая функционирует как сервер для прикладных задач или файлов, обменивающихся с Internet. Использование коммерческих промежуточных программ API и библиотек DLL, например Winsock Compliant версий из серии 1.1.x (TM) и IPX ODI соединения между адаптерами передачи 16 и 18 позволяет передавать выполняемый код, требуемый для выполнения прикладных задач, от материнской платы 20.

В дополнение к промежуточным программам API и библиотеке DLL, применяемым для прохождения выполняемого кода к материнской плате 20, используется дополнительное программное обеспечение клиент/сервер, например, NCSA Mosaic (TM), Cornell University Cello (TM), Ameritech/NOTIS WINGOPHER (TM), Pegasus EMAIL (TN) для обеспечения материнской платой 20 общедоступной сети сервиса Internet для пользователей частной сети. Это разрешает пользователям частной сети использовать полный набор услуг Internet, например протоколы эмуляции Telnet, Telbet 3270, Telnet 5250, и протоколы передачи HTTP, FTP, TFTP, анонимные FTP, SMTP и РОРЗ, для просмотра общедоступной сети Internet. Однако такие программные средства клиент/сервер на материнской плате 20 не могут позволить неразрешенному пользователю частной сети LAN или WAN получить доступ к главным вычислительным машинам под управлением операционных систем Unix (TM), MVS (TM) или VM (TM) частной сети, т.к. более высокоуровневые услуги эмуляции, например Telnet, которые необходимы для доступа к ним, недоступны между адаптерами передачи 16 и 18.

Предпочтительно, чтобы на материнской плате 20 поставлялось дополнительное программное обеспечение, которое включает в себя программные средства тестирования и защиты от вируса, программы пароля, которые идентифицируют потенциальные ошибки в защите просматривающим пользователем, а супервизор учитывает известные слабые пароли и разрешает кодирование, автоматический выход из системы для неактивных рабочих станций, программные средства защиты и контроля доступа, которые позволяют контролировать конкретных пользователей и рабочие места, а также доступ к файлам и директориям со стороны общедоступной сети и обеспечивают кодирование между услугами защиты одинаковой конфигурации на рабочих местах пользователей. Предпочтительно, чтобы программное обеспечение, допускающее одновременные кодированные и некодированные циклы работы, например PGP, также были бы установлены на материнской плате 20.

Для связи множества частных или общедоступных компьютерных сетей система защиты согласно изобретению должна быть снабжена интерфейсом между каждой парой компьютерных сетей. Например, когда три компьютерные сети должны быть соединены, то система защиты, такая как на фиг. 1, может быть установлена между частной сетью 10 и каждой из второй и третьей компьютерными сетями.

Ниже приведен пример, как настоящее изобретение может быть использовано для управления коммуникационными сообщениями между частной сетью и общедоступной сетью Internet, в то же время предотвращая получение пользователями общедоступной сети Internet критической адресной информации, необходимой для непосредственного обмена с рабочими местами частной сети. Сетевой интерфейсный адаптер 14 материнской платы 12 частной сети принимает коммуникационное сообщение в формате TCP/IP от рабочего места частной сети 10, запрашивая услуги доступа Internet. Услуги доступа Internet, например протокол эмуляции Telnet, протокол передачи файлов такой как FTP, TFTP и услуги E-mail, например SMTP, обеспечиваются материнской платой 20 для рабочих мест, подсоединенных к частной сети через промежуточные программы API или библиотеки DLL, которые вызываются материнской платой 12 через интерфейс между адаптерами передачи 16 и 18.

Выходящее коммуникационное сообщение имеет IP адрес источника, который идентифицирует рабочее место инициировавшее обмен, и IP назначения, который идентифицирует сетевой интерфейсный адаптер 14. Это коммуникационное сообщение преобразуется в формат пакетного обмена Internet (IPX) для продвижения в адаптер передачи 16 на материнской плате 12 для дальнейшего продвижения в адаптер передачи 18 материнской платы 20 общедоступной сети. Преобразование коммуникационного сообщения в формат IPX удаляет исходные IP адреса источника и назначения из этого сообщения. К тому же все услуги маршрутизации, например ARP, RIP и ICMP являются недоступными между двумя материнскими платами, предотвращая передачу корректировок маршрутизации, которые связывают IP адреса рабочих мест, подсоединенных к частной сети, с соответствующими им физическими адресами. Таким способом выходящее из частной сети коммуникационное сообщение не имеет адресной информации, которая может позволить пользователям общедоступной сети Internet напрямую связаться с рабочими местами частной сети.

Материнская плата 20 получает IP коммуникационное сообщение через адаптер передачи 18 и преобразует его в коммуникационное сообщение формата TCP/IP, имеющее адрес источника TCP/IP, маску подсети и имя области (Domain Name), которое идентифицирует сетевой интерфейсный адаптер 22 как источник коммуникационного сообщения. Это коммуникационное сообщение перед выходом из материнской платы 20 должно пройти через дополнительные программные средства защиты, например контроль с использованием пароля, или программу защиты и доступа. Коммуникационное сообщение затем передается в сеть Internet, и материнская плата 20 ожидает ответ. Когда ответ получен, материнская плата 20 преобразует его из формата TCP/IP обратно в IPX формат и передает его через адаптер передачи 18 к адаптеру передачи 16 обратно на материнскую плату 12. Материнская плата 12 далее преобразует ответ обратно в формат TCP/IP для обратной передачи в частную сеть 10. В данном процессе исходные адреса IP источника и назначения также удаляются из ответа общедоступной сети. Услуги маршрутизации также являются недоступными для приходящих коммуникаций, предотвращая таким образом передачу корректировок маршрутизации, которые связывают IP адреса устройств, подсоединенных к общедоступной сети, с соответствующими им физическими адресами. Таким образом, приходящее коммуникационное сообщение от общедоступной сети не предоставляет адресной информации, которой пользователи частной сети могут воспользоваться для обмена напрямую с рабочими местами частной сети. Таким способом пользователем частной сети также не разрешается получение адресной информации об устройствах, подключенных к общедоступной сети, которая могла бы обеспечить прямой обмен с ними для несанкционированной выдачи данных из частной сети.

В то время как изобретение подробно описано в соответствии с некоторыми предпочтительными его воплощениями, специалистами могут быть сделаны многочисленные модификации и изменения. Соответственно предполагается, что все такие модификации и изменения, не изменяющие сущность изобретения, охватываются пунктами формулы изобретения.

Формула изобретения

1. Система защиты для предотвращения несанкционированных обменов между первой компьютерной сетью и второй компьютерной сетью, отличающаяся тем, что содержит первую сетевую материнскую плату и вторую сетевую материнскую плату, каждая из указанных первой и второй сетевых материнских плат имеет сетевой интерфейсный адаптер для обмена с указанными первой и второй компьютерными сетями соответственно, каждая из указанных сетевых материнских плат дополнительно имеет адаптер передачи для обмена с адаптером передачи другой сетевой материнской платы, указанные адаптеры передачи являются парными и идентичными, каждая из сетевых материнских плат имеет сетевые программные средства для предотвращения передачи информации об услугах маршрутизации между сетевыми интерфейсными адаптерами и адаптером передачи каждой из сетевых материнских плат, каждая сетевая материнская плата дополнительно содержит программные средства преобразования протокола, препятствующие прохождению информации протокола верхнего уровня и информации об адресе источника и адресе назначения между указанным сетевым интерфейсным адаптером и указанным адаптером передачи каждой сетевой материнской платы, причем по меньшей мере одна из сетевых материнских плат имеет промежуточные программные средства интерфейса прикладных программ для предоставления услуг обмена на уровне прикладной задачи компьютерам, подключенным к указанной по меньшей мере одной сетевой материнской плате.

2. Система защиты по п.1, отличающаяся тем, что вторая компьютерная сеть является общедоступной, а вторая сетевая материнская плата имеет промежуточные программные средства интерфейса прикладных программ для предоставления услуг обмена на уровне прикладной задачи для компьютеров, подключенных к сетевому интерфейсному адаптеру второй сетевой материнской платы.

3. Система защиты по п.1, отличающаяся тем, что каждая из указанных первой и второй компьютерных сетей является частной, а каждая из указанных сетевых материнских плат сети содержит промежуточные программные средства интерфейса прикладных программ для предоставления коммуникационных услуг на уровне прикладной задачи для компьютеров, подключенных к сетевому интерфейсному адаптеру каждой из сетевых материнских плат.

4. Система защиты по п.1, отличающаяся тем, что сетевые материнские платы расположены в общем блоке и совместно используют общий источник питания.

5. Система защиты по п.1, отличающаяся тем, что каждая из материнских плат сети включает в себя магнитное запоминающее устройство и средство для периодического резервирования информации с каждого из магнитных запоминающих устройств на другое магнитное запоминающее устройство.

6. Система защиты по п.5, отличающаяся тем, что запоминающие устройства имеют одинаковую емкость.

7. Система защиты по п.1, отличающаяся тем, что каждая из сетевых материнских плат независимо устанавливает отдельное имя области.

8. Система защиты по п.7, отличающаяся тем, что каждая из сетевых материнских плат независимо устанавливает отдельную маску подсети.

9. Система защиты по п.8, отличающаяся тем, что каждая из материнских плат сети независимо устанавливает отдельный адрес ТСР/IP.

10. Способ защиты от несанкционированных обменов между первой компьютерной сетью и второй компьютерной сетью, отличающийся тем, что принимают на первую сетевую материнскую плату из первой компьютерной сети коммуникационное сообщение в первом формате сетевого протокола, предотвращают передачу сервисных коммуникационных сообщений маршрутизации от первой компьютерной сети, преобразуют коммуникационное сообщение во второй формат сетевого протокола, в результате чего информация об адресах источника и назначения удаляется из коммуникационного сообщения, передают коммуникационное сообщение во вторую сетевую материнскую плату, осуществляют обратное преобразование во второй сетевой материнской плате коммуникационного сообщения в первый формат сетевого протокола, передают коммуникационное сообщение после обратного преобразования во вторую компьютерную сеть, в результате чего предотвращается получение пользователями, подключенными к указанным первой или второй компьютерным сетям, служебной информации о маршрутизации и адресной информации, что препятствует несанкционированным обменам между компьютерами, подключенными к первой и второй компьютерным сетям.

11. Способ по п.10, отличающийся тем, что дополнительно на второй сетевой материнской плате осуществляют управление доступом ко второй компьютерной сети с помощью устройства, подключенного к первой сетевой материнской плате.

РИСУНКИ

Рисунок 1