CN209913856U - 一种基于zynq的网络数据安全分析辅助设备 - Google Patents

Abstract

本实用新型公开了一种基于ZYNQ的网络数据安全分析辅助设备。该设备采用以模块化集成的结构，由万兆以太网接口模块，数据分析控制核心模块、ARMA9处理单元、PCIE数据接口转换模块、外网输出控制模块、安全解析重构模块、存储模块、显示屏模块、时钟模块及电源模块构成。本实用新型本实用新型拥有安全过滤、流量数据统计、协议代理分析的功能。用户利用该设备，能够解决当今网络安全设备不能兼顾高速、安全和高效的问题，提高网络拓扑的处理高速性、安全性和高效性。

Description

一种基于ZYNQ的网络数据安全分析辅助设备

技术领域

本实用新型涉及网络协议卸载、网络通信、网络信息安全及异构处理技术领域，适用于企业核心网络安全数据分析及数据安全服务器系统，尤其是一种基于ZYNQ的网络数据安全分析辅助设备。

背景技术

网络通信的速度在当今时代飞速发展，从百兆、千兆以至万兆，网络数据的流量也大大增加。然而由于网络协议在设置初期并未考虑到安全的问题，当今网络信息安全策划成为了网络通信中必须解决的问题。如今流行的网络安全软件，多数基于应用层，对于底层的网络攻击容易被攻破，并系统软件存在很多未知的漏洞，大大降低了其安全性能；如今的网络安全专用设备多数基于处理器架构，延时较高，对于处理器资源占用较大，在高速网络环境下，大大降低了网络的性能。

实用新型内容

本实用新型目的是针对现有技术不足而提供的一种基于ZYNQ的网络数据安全分析辅助设备，本实用新型采用以模块化集成的结构，由万兆以太网外网输入接口模块，数据分析控制核心模块、ARMA9处理单元、显示屏模块、PCIE数据接口转换模块、万兆以太网外网输出模块、外网输出控制模块、安全解析重构模块、存储模块、万兆以太网内网输入接口模块、万兆以太网内网输出接口模块时钟模块及电源模块构成。本实用新型拥有安全过滤、流量数据统计、协议代理分析的功能。用于安全过滤时，由ARMA9处理单元和显示屏模块接收用户配置信息，通过数据分析控制核心模块配置到安全解析重构模块，把接收的外网的数据进行安全过滤，再通过万兆以太网内网输出接口模块输入内网的网络拓扑；用于流量数据统计时，数据分析控制核心模块接收从万兆以太网外网输入接口模块输入的外网网络数据，对数据的底层协议如TCP、UDP、IP、ARP等进行分析，并统计数据瞬时流量和累计流量等数据，把得到的统计信息传递给ARMA9处理单元，通过该模块驱动显示屏模块反馈给用户。用于协议代理分析时，数据分析控制核心模块接收从万兆以太网外网输入接口模块输入的外网网络数据，并驱动控制安全解析重构模块把网络数进行基本协议的卸载，卸载后的裸数据通过存储模块和PCIE接口模块传递给主机，由主机对数据进行分析。

实现本实用新型目的的具体技术方案是：

一种基于ZYNQ的网络数据安全分析辅助设备，其特点包括，该设备包括万兆以太网外网输入接口模块，数据分析控制核心模块、ARMA9处理单元、PCIE数据接口转换模块、万兆以太网外网输出模块、外网输出控制模块、安全解析重构模块、存储模块、万兆以太网内网输入接口模块、显示屏模块、万兆以太网内网输出接口模块时钟模块及电源模块；

所述万兆以太网外网输入接口模块分别与数据分析控制核心模块、安全解析重构模块、时钟模块及电源模块连接；

所述数据分析控制核心模块分别与ARMA9处理单元、外网输出控制模块、安全解析重构模块、时钟模块及电源模块连接；

所述ARMA9处理单元分别与数据分析控制核心模块、时钟模块及电源模块连接；

所述PCIE数据接口转换模块分别与存储模块、时钟模块及电源模块连接；

所述万兆以太网外网输出模块分别与外网输出控制模块、万兆以太网内网输入接口模块、时钟模块及电源模块连接；

所述外网输出控制模块分别与万兆以太网外网输出模块、数据分析控制核心模块、安全解析重构模块、时钟模块及电源模块连接；

所述安全解析重构模块分别与万兆以太网外网输入接口模块、万兆以太网内网输出接口模块、外网输出控制模块、存储模块、时钟模块及电源模块连接；

所述存储模块分别与安全解析重构模块、PCIE数据接口转换模块、时钟模块及电源模块连接；

所述万兆以太网内网输入接口模块分别与外网输出控制模块、时钟模块及电源模块连接；

所述万兆以太网内网输出接口模块分别与安全解析重构模块、时钟模块及电源模块连接。

所述显示屏模块分别与ARMA9处理单元、时钟模块及电源模块连接。

其中：

所述万兆以太网外网输入接口模块由万兆以太网光口连接万兆以太网PHY核构成。

所述数据分析控制核心模块由数据包检测模块连接网络流量统计模块模块和核心控制模块构成。

所述PCIE数据接口转换模块由PCIE数据控制模块连接PCIE数据接收引擎和PCIE数据发送引擎构成。

所述万兆以太网外网输出模块由万兆以太网光口连接万兆以太网PHY核构成。

所述安全解析重构模块由协议解析重构模块和安全过滤模块构成。

所述万兆以太网内网输入接口模块由万兆以太网光口连接万兆以太网PHY核构成。

所述万兆以太网内网输出接口模块由万兆以太网光口连接万兆以太网PHY核构成。

本实用新型的有益效果

本实用新型提出了一种基于异构结构（专用逻辑电路和处理器）网络数据安全分析辅助设备，协助PC进行网络安全数据分析。在硬件上进行安全过滤拦截，并做了底层协议的卸载工作，把卸载后的数据交于PC端处理分析，这样既降低了PC处理器分析数据的资源占用率，并保证网络数据的安全性和高速性，从而比较完善的应对了当今网络的情况。

目前企业服务器多数遭受众多的网络攻击，利用此设备，可以大大增强数据的服务器的网络安全性，并保证了数据传输的高速性，基于此设备，还能够大大提升网络数据分析的效率。

附图说明

图1为本实用新型使用状态参考图；

图2为本实用新型结构示意图；

图3为本实用新型操作过程示意图。

具体实施方式

下面结合附图及实施例对本实用新型进行详细描述。

实施例

本实用新型工作时需一台电脑作为主数据分析器，本实用新型插在该电脑的PCIE上作为辅助分析设备，并位于内网和外网之间，发挥安全隔离的作用，如附图1所示。

本实用新型的工作流程：

网络数据安全隔离工作流程，如附图2所示。安全配置信息包括允许通过网络数据包的IP地址、MAC地址、端口地址、TCP协议、UDP协议等，通过显示屏模块15输入，显示屏模块15把信息传递给ARMA9处理单元3进行配置信息的预处理，通过DMA把配置信息输入到核心控制模块23，模块23把DMA的串行数据进行串并转换，转为并行寄存器给予安全过滤模块72，模块72发挥过滤的作用。外网数据通过万兆以太网光口13接入设备，输入万兆以太网PHY核14转为64bit的AXI Stream数据流，该数据流进入安全过滤模块72进行数据安全过滤，再把AXI Stream输出到万兆以太网PHY核14，由万兆以太网PHY核14转为万兆光口数据，通过万兆以太网光口13接入内网。

网络协议代理工作流程，如附图2所示。若选择协议代理回复功能外网网络数据流从万兆以太网光口13输入，在万兆以太网PHY核14中对万兆网络数据包流整形为64bit AXIStream数据流输入数据包检测模块21，在数据包检测模块21中对包头信息进行检测后交于核心控制模块23，核心控制模块23根据检测的结果，控制协议解析重构模块71进行协议的应答操作（TCP、ICMP、ARP等），产生的应答数据流通过外网输出控制模块6进行轮询输出到万兆以太网PHY核14，万兆以太网PHY核14把64bit AXI Stream数据流转换为万兆光口数据流由万兆以太网光口13输出外网。

若不选择协议代理回复功能，协议的回复数据可以由万兆以太网光口13把内网万兆数据接入，通过万兆以太网PHY核14转换为64bit AXI Stream数据，通过外网输出控制模块6轮询输出至万兆以太网PHY核14，由万兆以太网PHY核14转为万兆网络数据流，通过万兆以太网光口13输出。

不管是否选择协议代理回复，都可以执行网络协议数据卸载的功能，协议解析重构模块71根据核心控制模块23产生的控制信息对于输入协议解析重构模块71的64bit AXIStream网络数据流进行裸数据的剥离，把剥离后的数据输入存储模块8进行数据位宽转换，转为128bit AXI Stream数据流，输入PCIE数据控制模块41，PCIE数据控制模块41根据PCIETLP协议控制PCIE数据发送引擎43发送裸数据至PCIE，通过PCIE数据接收引擎42接收应答控制信息。传至PCIE的裸数据可以进行数据安全分析。

数据流统计工作流程，如附图2所示。外网网络数据流从万兆以太网光口13输入在万兆以太网PHY中对万兆网络数据包流整形为64bit AXI Stream数据流输入数据包检测模块21，在数据包检测模块21中对包头信息进行检测后把检测的包头信息和数据流交于网络流量统计模块22，网络流量统计模块22根据数据包检测模块21检测的结果和数据流统计出网络数据流的相关信息包括网络吞吐率，TCP连接数，UDP传送数，相应IP地址通信次数等，传输给ARMA9处理单元3，ARMA9处理单元3驱动显示屏模块15显示相关的统计信息。

本实用新型的工作过程如附图3所示，在给设备上电，电脑开机后，检测正常后，通过显示屏配置安全过滤和协议卸载配置信息，包括IP\MAC\PORT地址配置，TCP/UDP/ICMP/ARP协议是否通过和是否协议代理的配置。然后打开电脑，由于本实用新型已将网络数据相关协议进行卸载，任意数据分析程序可以直接对数据进行分析处理，开始进行网络数据流的分析。通过一段时间的网络数据分析后，可以根据主机对于网络数据分析结果和本实用新型统计的网络信息，通过显示屏，调整配置，以达到网络链路的高速性和安全性。

本实用新型利用硬件逻辑电路的高速、并行和安全的特点，配合处理器处理的灵活和高效性，实现了万兆网络数据的安全高速的通过，并能够高效的分析处理数据。能够解决当今网络安全设备不能兼顾高速、安全和高效的问题，提高网络拓扑的处理高速性、安全性和高效性。本实用新型可作为企业服务器网络数据安全分析隔离的应用。

Claims (8)

1.一种基于ZYNQ的网络数据安全分析辅助设备，其特征在于，该设备包括万兆以太网外网输入接口模块（1），数据分析控制核心模块（2）、ARMA9处理单元（3）、PCIE数据接口转换模块（4）、万兆以太网外网输出模块（5）、外网输出控制模块（6）、安全解析重构模块（7）、存储模块（8）、万兆以太网内网输入接口模块（9）、万兆以太网内网输出接口模块（10）、显示屏模块（15）、时钟模块（11）及电源模块（12）；

所述万兆以太网外网输入接口模块（1）分别与数据分析控制核心模块（2）、安全解析重构模块（7）、时钟模块（11）及电源模块（12）连接；

所述数据分析控制核心模块（2）分别与ARMA9处理单元（3）、外网输出控制模块（6）、安全解析重构模块（7）、时钟模块（11）及电源模块（12）连接；

所述ARMA9处理单元（3）分别与数据分析控制核心模块（2）、显示屏模块（15）、时钟模块（11）及电源模块（12）连接；

所述PCIE数据接口转换模块（4）分别与存储模块（8）、时钟模块（11）及电源模块（12）连接；

所述万兆以太网外网输出模块（5）分别与外网输出控制模块（6）、万兆以太网内网输入接口模块（9）、时钟模块（11）及电源模块（12）连接；

所述外网输出控制模块（6）分别与万兆以太网外网输出模块（5）、数据分析控制核心模块（2）、安全解析重构模块（7）、时钟模块（11）及电源模块（12）连接；

所述安全解析重构模块（7）分别与万兆以太网外网输入接口模块（1）、万兆以太网内网输出接口模块（10）、外网输出控制模块（6）、存储模块（8）、时钟模块（11）及电源模块（12）连接；

所述存储模块（8）分别与安全解析重构模块（7）、PCIE数据接口转换模块（4）、时钟模块（11）及电源模块（12）连接；

所述万兆以太网内网输入接口模块（9）分别与外网输出控制模块（6）、时钟模块（11）及电源模块（12）连接；

所述万兆以太网内网输出接口模块（10）分别与安全解析重构模块（7）、时钟模块（11）及电源模块（12）连接；

所述显示屏模块（15）分别与ARMA9处理单元（3）、时钟模块（11）及电源模块（12）连接。

2.根据权利要求1所述的网络数据安全分析辅助设备，其特征在于，所述万兆以太网外网输入接口模块（1）由万兆以太网光口（13）连接万兆以太网PHY核（14）构成。

3.根据权利要求1所述的网络数据安全分析设备，其特征在于，所述数据分析控制核心模块（2）由数据包检测模块（21）连接网络流量统计模块（22）和核心控制模块（23）构成。

4.根据权利要求1所述的网络数据安全分析设备，其特征在于，所述PCIE数据接口转换模块（4）由PCIE数据控制模块（41）连接PCIE数据接收引擎（42）和PCIE数据发送引擎（43）构成。

5.根据权利要求1所述的网络数据安全分析设备，其特征在于，所述万兆以太网外网输出模块（5）由万兆以太网光口（13）连接万兆以太网PHY核（14）构成。

6.根据权利要求1所述的网络数据安全分析设备，其特征在于，所述安全解析重构模块（7）由协议解析重构模块（71）和安全过滤模块（72）构成。

7.根据权利要求1所述的网络数据安全分析设备，其特征在于，所述万兆以太网内网输入接口模块（9）由万兆以太网光口（13）连接万兆以太网PHY核（14）构成。

8.根据权利要求1所述的网络数据安全分析设备，其特征在于，所述万兆以太网内网输出接口模块（10）由万兆以太网光口（13）连接万兆以太网PHY核（14）构成。

Images