МУЛЬТИСЕРВИСНЫЙ МАРШРУТИЗАТОР С МАСКИРОВАНИЕМ ИНФОРМАЦИОННЫХ НАПРАВЛЕНИЙ

Предлагаемая полезная модель относится к области систем передачи данных и маршрутизируемых сетей с коммутацией пакетов сообщений, в частности, к модульным масштабируемым структурам для построения маршрутизаторов быстрого Ethernet, и может быть использована для реализации безопасного (защищенного) информационного обмена через сети связи общего пользования, такие как Интернет.
Известен аналог «Система защиты для связанных компьютерных сетей» по патенту РФ №2152691 МПК G06F 12/14, опубл. 10.07.2000 г., заключающийся в том, что устройство содержит первую сетевую материнскую плату и вторую сетевую материнскую плату, каждая из указанных первой и второй сетевых материнских плат имеет сетевой интерфейсный адаптер для обмена с указанными первой и второй компьютерными сетями соответственно, каждая из указанных сетевых материнских плат дополнительно имеет адаптер передачи для обмена с адаптером передачи другой сетевой материнской платы, указанные адаптеры передачи являются парными и идентичными, каждая из сетевых материнских плат имеет сетевые программные средства для предотвращения передачи информации об услугах маршрутизации между сетевыми интерфейсными адаптерами и адаптером передачи каждой из сетевых материнских плат, каждая сетевая материнская плата дополнительно содержит программные средства преобразования протокола, препятствующие прохождению информации протокола верхнего уровня и информации об адресе источника и адресе назначения между указанным сетевым интерфейсным адаптером и указанным адаптером передачи каждой сетевой материнской платы, причем по меньшей мере одна из сетевых материнских плат имеет промежуточные программные средства интерфейса прикладных программ для предоставления услуг обмена на уровне прикладной задачи компьютерам, подключенным к указанной по меньшей мере одной сетевой материнской плате.
Недостатком данного устройства является низкая скрытность информационных направлений при организации связи между компьютерными сетями через сети связи общего пользования, такие как Интернет.
Известно устройство защиты канала связи вычислительной сети по патенту РФ №2306599, МПК G06F 21/00, опубл. 10.09.2007 г., заключающийся в том, что устройство содержит локальный сегмент защиты (ЛСЗ), первый и второй вход/выходы которого подключены соответственно к ЛВС и маршрутизатору, подключенному к сети Интернет, и содержащий блок хранения базы адресов (БХБА), процессор, блок кодирования/декодирования (КД), информационные вход и выход, входы «пароль» и «тип преобразования» которого подключены к соответствующим портам процессора, в ЛСЗ дополнительно введены блок выбора адреса (БВА), блок оперативного хранения текущих адресов (БОХТА), первый и второй сетевой адаптер (СА). Управляющий вход БВА подключен к порту «адрес» процессора, а х-разрядный выход блока выбора адреса подключен к х-разрядному входу БХБА. У БХБА m-разрядный выход подключен к m-разрядному входу БОХТА. Управляющий вход и m-разрядный выход БОХТА подключены соответственно к порту «запрос текущего адреса» и m-разрядному порту «текущий адрес» процессора. У первого СА n-разрядные выход и вход подключены соответственно к n-разрядным входу «исходный пакет» и выходу «исходный пакет» процессора. Причем выход «локальная сеть» первого СА является первым входом/выходом ЛСЗ. У второго С А р-разрядные вход и выход подключены соответственно к р-разрядным выходу и входу «информация/уведомление» процессора, а t-разрядный порт «управление» процессора подключен к t-разрядному управляющему входу второго СА. Выход «сеть Интернет» второго СА является вторым входом/выходом ЛСЗ.
Недостатками данного устройства являются узкая область применения и относительно низкая помехоустойчивость. Узость области применения обусловлена отсутствием поддержки протоколов маршрутизации и, как следствие, невозможностью использования устройства для информационного обмена через сети связи общего пользования, такие как Интернет, без дополнительного маршрутизатора. Относительно низкая помехоустойчивость обусловлена тем, что наличие в сетях передачи данных преднамеренных и непреднамеренных помех приводит к потерям пакетов в процессе их передачи, что приводит к сбоям процесса приема и передачи пакетов сообщений в процессе смены адресной информации.
Наиболее близким техническим решением, принятым за прототип, является полезная модель «Мультисервисный маршрутизатор», по патенту РФ №186859, МПК H06L 12/701 (2013.01), опубл. 06.02.2019 Бюл. №4. Прототип относится к системам передачи данных, в частности к модульной, масштабируемой структуре для построения маршрутизаторов сетей быстрого Ethernet. Мультисервисный маршрутизатор содержит коммутационный блок и маршрутный процессор, соединенные между собой первыми входами/выходами, троичную ассоциативную память, выход которой соединен с третьим входом маршрутного процессора; первый процессорный модуль, первый вход/выход которого соединен с третьим входом/выходом коммутационного блока; второй процессорный модуль, первый вход/выход которого соединен со вторым входом/выходом коммутационного блока; модуль высокоскоростной обработки пакетных данных с неблокируемой высокоскоростной матрицей коммутации на базе ПЛИС (FPGA), первый выход которого соединен со вторым входом первого процессорного модуля, второй выход - со вторым входом второго процессорного модуля, а третий выход - со вторым входом маршрутного процессора; первый СОМ порт, вход/выход которого соединен с третьим входом/выходом первого процессорного модуля; второй СОМ порт, вход/выход которого соединен с третьим входом/выходом второго процессорного модуля; первый Ethernet порт, вход/выход которого соединен с четвертым входом/выходом первого процессорного модуля; второй Ethernet порт, вход/выход которого соединен с четвертым входом/выходом второго процессорного модуля; N SFP модулей, входы/выходы которых соединены, соответственно, с N входами/выходами маршрутного процессора; модуль синхронизации, первый выход которого соединен с пятым входом модуля высокоскоростной обработки пакетных данных с неблокируемой высокоскоростной матрицей коммутации на базе ПЛИС (FPGA), а второй выход - с четвертым входом модуля высокоскоростной обработки пакетных данных с неблокируемой высокоскоростной матрицей коммутации на базе ПЛИС (FPGA).
В данном прототипе поддерживают протоколы маршрутизации, обеспечивают надежное и непрерывное определение текущего времени и выдачу сигналов, синхронизированных с назначенной системной шкалой времени, чем достигают обеспечение возможности синхронизации устройств. За счет фильтрации сетевых пакетов и преобразования (трансляции) сетевых адресов устройство позволяет скрывать IP-адреса абонентов подсетей друг от друга.
Недостатком устройства-прототипа является относительно невысокая безопасность и скрытность работы канала связи. Указанный недостаток обусловлен тем, что каналы связи удаленных сегментов системы передачи данных, связанных такими устройствами через сеть Интернет, легко выделяются путем анализа трафика в некоторой точке сети Интернет, так как для них характерна высокая интенсивность обмена пакетами сообщений с одинаковыми адресами внешних интерфейсов маршрутизаторов. При этом оказывается возможным определение адресов удаленных сегментов системы передачи данных и раскрытие структуры распределенной системы передачи данных. Такой информации достаточно для нарушения информационного обмена, либо для осуществления деструктивных воздействий по отношению к распределенной системе передачи данных, в частности - на само устройство.
Целью предлагаемой полезной модели является обеспечение безопасности и скрытности работы канала связи в сети Интернет за счет усложнения процедуры определения адресов и выявления взаимосвязей удаленных сегментов распределенной системы передачи данных при анализе трафика в некоторой точке сети Интернет путем непрерывного изменения в передаваемых пакетах сообщений адресов внешних интерфейсов маршрутизаторов, обеспечивающих выход отправителя и получателя пакетов сообщений в сеть Интернет, что делает практически невозможным их определение, идентификацию и вскрытие структуры распределенной системы передачи данных. Для обеспечения помехоустойчивости устройства в условиях преднамеренных и непреднамеренных помех, которые приводят к потерям пакетов в процессе их передачи, необходимо обеспечение непрерывного определения текущего времени и выдача сигналов для синхронизации процесса передачи данных между маршрутизаторами, варьирующими адреса своих внешних интерфейсов.
Поставленная цель достигается тем, что в устройство, содержащее содержащий коммутационный блок и маршрутный процессор, соединенные между собой первыми входами/выходами, троичную ассоциативную память, первый выход которой соединен с третьим входом маршрутного процессора, процессорный модуль, первый вход/выход которого со вторым входом/выходом коммутационного блока, модуль высокоскоростной обработки пакетных данных с неблокируемой высокоскоростной матрицей коммутации на базе ПЛИС (FPGA), первый выход которого соединен со вторым входом процессорного модуля, третий выход - со вторым входом маршрутного процессора; СОМ порт, вход/выход которого соединен с третьим входом/выходом процессорного модуля; Ethernet порт, вход/выход которого соединен с четвертым входом/выходом процессорного модуля; TV SPF модулей, входы/выходы которых соединены, соответственно, с N входами/выходами маршрутного процессора; модуль синхронизации, первый выход которого соединен с пятым входом модуля с неблокируемой высокоскоростной матрицей коммутации на базе ПЛИС (FPGA), а второй выход - с четвертым входом с неблокируемой высокоскоростной матрицей коммутации на базе ПЛИС (FPGA), дополнительно введены модуль маскирования информационных направлений; блок изменения параметров канального уровня (М4С-адресов); блок изменения параметров сетевого уровня (IP-адресов). Первый вход модуля маскирования информационных направлений соединен с пятым выходом процессорного модуля. Второй выход модуля маскирования информационных направлений соединен с со вторым входом блока изменения параметров канального уровня (MAC-адресов), первый выход которого соединен со вторым входом троичной ассоциативной памяти. Третий выход модуля маскирования информационных направлений соединен с со вторым входом блока изменения параметров сетевого уровня (IP-адресов), первый выход которого соединен со третьим входом троичной ассоциативной памяти. Четвертый вход модуля маскирования информационных направлений соединен со вторым выходом модуля высокоскоростной обработки пакетных данных с неблокируемой высокоскоростной матрицей коммутации на базе ПЛИС (FPGA).
Все элементы мультисервисного маршрутизатора с маскированием информационных направлений выполнены с использованием цифровых технологий.
Сравнение с прототипом показывает, что заявляемое устройство отличается наличием новых блоков и их связями между ними. Таким образом, заявляемое устройство соответствует критерию «новизна».
Введение перечисленных новых элементов в указанной связи с другими элементами приводит к изменению в передаваемых пакетах сообщений адресов внешних интерфейсов маршрутизаторов, обеспечивающих выход отправителя и получателя пакетов сообщений в сеть Интернет, что делает практически невозможным их определение, идентификацию и вскрытие структуры распределенной системы передачи данных. Это подтверждает соответствие технического решения критерию «существенные отличия».
Заявленная полезная модель поясняется чертежами:
фиг. 1 - блок-схема мультисервисного маршрутизатора с маскированием информационных направлений;
фиг. 2 - иллюстрация принципа маскирования информационных направлений вариацией IP-адресов интерфейсов мультисервисного маршрутизатора.
Устройство работает следующим образом. Маршрутизация в сетях передачи данных - это процесс определения маршрута следования пакетов сообщений в сетях передачи данных. Различают статические маршруты, которые задают административно, и динамические маршруты, которые вычисляют с помощью алгоритмов маршрутизации, базируясь на информации о топологии и состоянии сети, полученной с помощью протоколов маршрутизации (от других маршрутизаторов).
Маршрутизация в сети Интернет основана на протоколах семейства TCP/IP. В случае маршрутизации IP-пакетов, маршрутизатор, осуществляющий передачу пакетов сообщений корреспондирующих абонентов в сеть связи общего пользования, реализует преобразование сетевых адресов - NAT (от англ. Network Address Translation) - механизм динамической замены IP-адресов проходящих через него в сеть связи общего пользования пакетов сообщений на IP-адрес своего внешнего интерфейса.
В сетях передачи данных операторов связи возможна маршрутизация не только IP-пакетов, но и кадров Ethernet организацией виртуальных частных сетей (от англ. Virtual Private Networks) канального уровня (так называемых Layer 2 Virtual Private Networks, L2VPN). Для этого механизм многопротокольной коммутации по меткам - MPLS (от англ. multiprotocol label switching), который заключается в передаче данных от одного узла сети к другому с использованием меток. MPLS является масштабируемым и независимым от каких-либо протоколов механизмом передачи данных. Решение о передаче пакета данных другому узлу сети осуществляется только на основании значения присвоенной метки без необходимости анализа самого пакета данных. За счет этого возможно создание «сквозного» виртуального канала, независимого от среды передачи и используемых протоколов передачи данных.
Функцию маршрутизации пакетов сообщений в устройстве выполняет специализированный маршрутный процессор (1), в котором выполняют программное обеспечение по анализу содержимого пакета сообщений, преобразованию сетевых адресов, направлению к нужному интерфейсу (9) в соответствии с таблицей маршрутизации, которую формируют процессорным модулем (5). Локальную настройку устройства осуществляют через СОМ порт (8) и Ethernet порт (7), подключенные непосредственно к процессорному модулю (5). Для коммутации N SFP модулей (9) к маршрутному процессору используют коммутационный блок (коммутатор РСГ), см. блок 2 на фиг. 1. SFP (от англ. Small Form-factor Pluggable) - промышленный стандарт модульных компактных приемопередатчиков (трансиверов), используемых для подключения платы сетевого устройства (в частности, маршрутизатора) к кабельной линии связи (оптическому волокну или неэкранированной витой паре) и согласования электрических параметров стыка (интерфейса).
Таблицу маршрутизации формируют при инициализации устройства, применяя процессорным модулем (5) статическую или динамическую маршрутизацию. Сформированную таблицу запоминают в троичной ассоциативной памяти (4), применяемую в устройстве для повышения его быстродействия при поиске в таблице маршрутизации. При поступлении пакета сообщений через модуль SFP (9) маршрутный процессор (1) анализирует заголовок пакета сообщений, и по результатам анализа, в случае обнаружения служебного пакета сообщений, направляет его на процессорный модуль (5) через модуль (3) высокоскоростной обработки пакетных данных с неблокируемой высокоскоростной матрицей коммутации на базе программируемых логических интегральных схем, ПЛИС, или FPGA (от англ. Field-Programmable Gate Array), программируемых пользователем вентильных матриц.
В противном случае, то есть в случае обнаружения транзитного (не служебного пакета сообщений), маршрутный процессор (1) осуществляет поиск маршрутной информации в таблице маршрутизации, хранящейся в троичной ассоциативной памяти (4), и по результатам поиска транслирует пакет сообщений через соответствующий модуль SFP (9) в сеть.
Модуль синхронизации (6) предназначен для обеспечения помехоустойчивости устройства в условиях преднамеренных и непреднамеренных помех, путем обеспечения непрерывного определения текущего времени и выдачи сигналов 10 МГц и 1 Гц в модуль (3) высокоскоростной обработки пакетных данных с неблокируемой высокоскоростной матрицей коммутации на базе ПЛИС (FPGA).
Для активизации в устройстве функции маскирования информационных направлений инициализируют модуль маскирования информационных направлений (10). Инициализацию могут осуществлять локально, передавая управляющую информацию через СОМ порт (8) и Ethernet порт (7) посредством процессорного модуля (5), пятый выход (5.5) которого соединен со первым входом (12.1) модуля маскирования информационных направлений (10), или дистанционно, передавая принимаемые модулем SFP (9) служебные пакеты сообщений через маршрутный процессор (1) и модуль (3) высокоскоростной обработки пакетных данных с неблокируемой высокоскоростной матрицей коммутации на базе ПЛИС (FPGA), выход (3.2) которого соединен со входом (10.4) модуля маскирования информационных направлений (10). Инициализация модуля маскирования информационных направлений (10) заключается в получении, декодировании и применении устройством конфигурационной информации, содержащей матрицы связностей маскированных информационных направлений по М4С-адресам и IP-адресам, и значение параметра времени их смены (на практике значение этого параметра выбирают в интервале от 1 до 10 секунд).
Декодированные модулем маскирования информационных направлений (10) матрицы связностей маскированных информационных направлений по М4 С-адресам и IP-адресам запоминают соответственно в блоке (11) изменения параметров канального уровня (М4С-адресов), вход (11.2) которого соединен с выходом (10.2) модуля маскирования информационных направлений (10), и в блоке (12) изменения параметров сетевого уровня (IP-адресов), вход (12.2) которого соединен с выходом (10.3) модуля маскирования информационных направлений (10). Эти матрицы являются указателями для вариации адресов внешнего (внешних) интерфейса (интерфейсов) маршрутизатора, выбранного (выбранных) для организации маскирующих информационных направлений, а их связность, то есть логика маскирования информационных направлений, доступна для чтения из троичной ассоциативной памяти (4), вход (4.2) которой соединен с выходом (11.1) блока (11) изменения параметров канального уровня (MAC-адресов), а вход (4.3) соединен с выходом (12.1) блока (12) изменения параметров сетевого уровня (IP-адресов). Модуль маскирования информационных направлений (10), блок (11) изменения параметров канального уровня (МАС-адресов) и блок (12) изменения параметров сетевого уровня (IP-адресов) могут быть реализованы применением Soft-микропроцессоров и (или) микросхем памяти, например, таких как EEPROM (от англ. Electrically Erasable Programmable Read-Only Memory) - электрически стираемого перепрограммируемого постоянного запоминающего устройства, или флеш-памяти.
Для маршрутизаторов, в которых модуль маскирования информационных направлений (10) отсутствует или не инициализирован, а также для программного обеспечения, анализирующего доступность сетевых интерфейсов, или анализирующего трафик пакетов сообщений в некоторой точке сети связи общего пользования, маскированное информационное направление будет представляться («выглядеть») как совокупность изменяющихся информационных направлений (MAC- и(или) IP-адресов) в соответствии с установленным значением параметра их смены. Иллюстрация принципа маскирования информационных направлений вариацией IP-адресов интерфейсов мультисервисного маршрутизатора представлена на фиг. 2. Фиг. 2, а иллюстрирует пример немаскированного информационного направления между интерфейсами маршрутизатора с IP-адресами 213.196.77.15 и 210.196.76.18. Пусть при инициализации маскирования каждый из взаимодействующих маршрутизаторов осуществляет маскирование одного интерфейса - с IP-адресами 213.196.77.15 и 210.196.76.18 соответственно (см. фиг. 2, а). Пусть конфигурационным файлом задана избыточность маскирования для каждого IP-адреса, равной четырем, а значение параметра времени их смены - 1 секунда. Матрица связностей маскированных информационных направлений по IP-адресам представлена на фиг. 2, б. Тогда по истечении приблизительно 10 секунд идеальный наблюдатель вместо одного информационного направления «увидит» 10 информационных направлений, представленных на фиг. 2, в.
Таким образом, благодаря новой совокупности существенных признаков в заявленной полезной модели обеспечивается безопасность и скрытность работы канала связи в сети Интернет за счет усложнения процедуры определения адресов и выявления взаимосвязей удаленных сегментов распределенной системы передачи данных при анализе трафика в некоторой точке сети Интернет путем непрерывного изменения в передаваемых пакетах сообщений адресов внешних интерфейсов маршрутизаторов, обеспечивающих выход отправителя и получателя пакетов сообщений в сеть Интернет, что делает практически невозможным их определение, идентификацию и вскрытие структуры распределенной системы передачи данных. Для обеспечения помехоустойчивости устройства в условиях преднамеренных и непреднамеренных помех, которые приводят к потерям пакетов в процессе их передачи, обеспечивается непрерывное определение текущего времени и выдача сигналов для синхронизации процесса передачи данных между маршрутизаторами, варьирующими адреса своих внешних интерфейсов.
Мультисервисный маршрутизатор с маскированием информационных направлений является промышленно применимым, так как он может быть реализован на основе промышленного компьютера, позволяющего использовать свободно распространяемое программное обеспечение семейства Linux (например, VyOS) для построения маршрутизаторов, и допускающего установку широкого ассортимента дополнительных плат расширения.