引言

由于網絡終端設備的大部分數據都存儲在硬盤上，因此，數據安全的核心是硬盤數據的安全，其保護手段之一是物理隔離技術。本文設計的雙硬盤網絡衛士隔離卡用于將普通計算機分為安全環境（內網）和開放環境（外網），內網和外網使用不同的硬盤，并且連接到不同的網絡，從而能夠避免硬盤中的重要數據通過網絡等方式泄露。一般的雙網卡方案、多重引導卡或者多用戶管理卡只是在邏輯層提供硬盤數據隔離，而網絡衛士隔離卡的特點主要是在物理層提供硬盤數據隔離，確保更高的數據安全性。網絡衛士隔離卡基于PCI總線，采用了先進的物理隔離技術，不僅能保證網絡終端設備的信息安全，而且使用方便、可靠、高效。

總體設計方案

網絡衛士隔離卡的工作原理是：利用PCI總線的擴展ROM機制，在隔離卡上嵌入擴展程序，開機后，擴展程序先取得控制權，出現選擇內外網的圖形界面。當擴展ROM接收到用戶的選擇后，通過I／O讀取當前的網絡狀態，如果與選擇的不匹配，則通過I／O端口向物理隔離模塊發出切換選擇，由繼電器實現硬盤以及內外網的切換。如果匹配，則將控制權交給選中的硬盤引導程序，啟動操作系統，進入相應的網絡環境。

網絡衛士隔離卡由三個模塊組成，分別是PCI接口模塊、物理隔離模塊和網絡連接控制模塊，如圖1所示。PCI接口模塊由CH365和為其提供初始化配置信息的串行E2PROM以及存儲器組成。作為PCI總線與本地總線之間的橋，該模塊連接PCI卡的本地端邏輯到PCI總線上，并將PCI命令（例如讀寫某個寄存器、存儲器、I／O端口）翻譯到本地端。物理隔離模塊主要由物理隔離電路（用高速CPLD實現）和分別連接計算機主板和硬盤的兩個IDE接口組成。網絡連接控制模塊控制計算機網卡與Internet網線的連接狀態，配合物理隔離模塊對硬盤實施隔離。

硬件組成

PCI接口模塊

在本設計中，PCI接口模塊由南京沁恒公司的CH365和Atmel公司的E2PROM AT24C02以及華邦公司的W27C512存儲器構成。CH365是一個連接：PCI總線的通用接口芯片，支持I／O端口映射、存儲器映射、擴展ROM以及中斷，可將基于32位PCI總線的從設備接口轉換為主動并行接口：8位數據、16位地址、I／O讀寫、存儲器讀寫。支持低電平有效的本地中斷請求，支持中斷共享。支持長度達240字節的I／O端口。支持本地硬件定址功能，自由選擇I／O地址，并在指定地址實現I／O端口。不論在設計難度、開發周期、ISA移植，還是在價格上都有其自身優越性。通過CH1365在標準的PCI總線上獲得擴展ROM發出的切換指令以及當前所處的網絡環境，實現內外網絡環境的判斷和切換，達到兩塊硬盤的絕對隔離。實際電路中用到的引腳如圖2所示。

電路中的W27C512是E2PROM芯片，用于存放擴展ROM程序。由于內外網絡切換和鎖定指令只需要兩條I／O指令，加上啟動選擇界面等部分后，擴展ROM程序仍然很小，通常為8KB～64KB，所以可以使用27C5 12、27C256、27C128甚至27C64等ROM芯片。如果需要支持在線程序升級等附加功能，也可以使用閃存29C512、29C010或者29F010等。電路中的24C02芯片用于記憶用戶的使用習慣，保存進入內網時的安全密碼、擴展ROM。的啟動模式、工作模式等，同時還保存了該設備的PIN碼和用戶可以修改的加解密信息。

物理隔離模塊

物理隔離模塊由物理隔離電路和3個IDE插槽組成。3個IDE插槽通過IDE數據線分別連接主板IDE插槽（簡稱IDE0）和兩塊硬盤的IDE接口（簡稱IDE 1和IDE2），隔離電路采用xilinx公司的CPLD芯片XC95 144，通過一個同步信號同時切換IDE接口的信號線，大大削弱了信號之間的干擾，性能更穩定。

網絡連接控制模塊

網絡連接控制模塊由繼電器組（兩個雙刀雙擲繼電器）和三個以太網口構成。三個以太網口中的兩個分別連接內網和外網，另一個通過網線連接網卡。雖然在100Base-T或10Base-T以太網中，只使用了以太網口的第1、2、3、6引腳（1、2發送數據，3、6接收數據），但是，本文采用通過4個繼電器使以太網口的8條線全切的方式，既可用于低速網絡，也能在千兆以太網中一展身手。網絡連接如圖3所示。由開關選擇信號S的高低決定網卡與內網還是外網連通。

結語

物理隔離是一種理想的安全保護手段，可滿足許多高保密單位對于機密信息的安全需求，諸如政府機關、軍事機構、電信、金融、大型企業及科研院校等。本文設計實現的安全隔離卡采用物理隔離的設計思路，通過安裝隔離卡和第二硬盤，把一臺計算機虛擬為兩臺計算機，從而實現內、外網絡間的絕對物理隔離，大大增強了計算機用戶信息的安全性。

責任編輯：gt