吉林大学电子科学与工程学院　胡冬雪

嵌入式系统互联网接入的研究

吉林大学电子科学与工程学院胡冬雪

随着移动终端种类的多样化发展，传统通信方式已经难以满足互联网高端应用对通信可靠性和通信速度的要求，在此背景下，结合TCP/IP协议栈、ARP协议、UDP协议、TCP协议等规定，进行嵌入式系统互联网接入研究已经成为必然，本文为对嵌入式系统互联网接入产生更加全面的认识，对其软硬件体系架构、实现设计以及整体性能展开研究。

嵌入式系统；互联网接入；通信协议

一、前言

嵌入式系统即基于计算机技术的，可通过软硬件剪裁满足应用系统对成本、功能、体积、功耗、可靠性等方面要求的专用计算机系统，其通常由嵌入式微处理器、外围硬件设备、嵌入式操作系统以及特定的应用程序构成，具有专用性强、系统内核小、对开发工具和环境依赖程度高等特点，为达到高性能微处理器和嵌入式操作系统可以在高端应用场合产生理想性能/价格比的效果，需要对嵌入式系统互联网接入进行优化设计。

二、嵌入式系统互联网接入的软硬件架构

（一）嵌入式系统互联网接入的硬件架构

首先，考虑到ISA总线标准可以满足16位数据总线宽度且组成结构相对简单，所以选择其作为TCP/IP协议软件运行的硬件平台，达到数据传输效率较高同时桥接电路环节被舍去的效果。图1为嵌入式计算机系统的结构简图，在其运作的过程中会通过NIC与以太网络连接，由于RTL8019控制器的总线接口采用ISA标准，满足双绞线、同轴电缆等接口需要，并集成了数据储备器等结构功能，在应用的过程中，只通过外接隔离变压器即可满足以太网接入的硬件要求，而且通过DMA数据传输方式可以极大的缩减处理器占用率，所以选用其作为嵌入式系统互联网接入的NIC硬件结构。在接入过程中处理器的选择，要结合应用的具体领域进行，以此满足性能/价格比较高的要求，通常情况下，高端、低端领域分别应用处理能力非常强，具有32K字存储器和100MHz时钟频率的TMS320VC5409 DSP和P89C5lUBPN，而介于两者之间的领域则以C8051F020和MSP430为主，需要注意的是，在TCP/IP协议栈运行中，要针对具体选用的处理器配置相应的存储器，保证各控制器存储功能的实际需要。

图1　嵌入式计算机系统的结构简图

（二）嵌入式系统互联网接入的软件架构

普通PC机中软件系统架构通常由应用、应用程序接口、TCP/ IP协议栈、硬件驱动程序和硬件控制器构成，而在简单嵌入式设备中软件系统直接由应用和硬件控制器构成，后者虽然看似简单，但这对软件的复杂性以及与底层硬件的相似性提出了更高的要求，其要同时完成应用层和TCP/IP协议栈的任务，并对底层硬件控制器进行有效的驱动，所以在嵌入式系统互联网接入软件设计的过程中，一方面要将TCP/IP协议分层封装于对应的函数中，并通过函数调用实现协议层间的联系，以此在区分协议各层功能的同时避免任务切换，另一方面要通过全局数组方式，使协议软件对数据存储区资源共享，以此降低提升数据传输的效率，这种方式虽然在一定程度上会降低整体的吞吐率，但对保证应用运行的可靠性和协议栈数据处理的连续性具有较好的效果。

三、嵌入式系统互联网接入的实现

由于每个TCP/IP协议栈对应的应用场合并不一致，所以其既要具有协议规定的功能，又要具有特定场合下的特殊功能，所以要保证协议栈目标功能的实现，要保证其网络接口层、UDP层、IP层、TCP层等均能满足TCP/IP协议栈功能实现的要求，笔者以网络接口层的实现为例，网络接口层作为协议软件和底层硬件接口的定义，可以对网络硬件进行管理，使映射过程得以完成，并实现数据的输出和接收，在设计的过程中，首先，保证硬件驱动模块初始化网络控制器、查询并取回主机输送数据帧、与控制器通信等功能实现，通过联合类型保证数据存储区被共享，降低内存的消耗，并按照以太网络数据帧的储存限值确定具体的联合类型占用字节数量，以此保证缓冲区的容量定义满足以太网数据帧传输的实际需要，舍去IP层分包、重组等过程，在进行硬件驱动模块设计的过程中，要对选用的控制器进行初始化设置，此时其必须定位合适的MAC地址和缓存数据的具体结构，为判断控制器接收的数据是否需要保留提供依据，保证控制器功能的实现。由于硬件驱动模块中ReceivePacket函数是协议栈输入来源，对寄存器中存储的数据具有读取的功能，所以要保证协议栈功能的实现，需要对其进行反复的调用，实践证明调用的频率与协议栈吞吐率之间具有较显著的正相关性，这决定在设计的过程中要以环形接受队列的形式存在，对出现的异常指示进行针对性的处理，而SendPacket作为硬件驱动模块中网络控制器发送数据包的唯一入口，在设计的过程中，要多次反复的对未发送成功的数据进行重新发送，并将一直发送失败的数据以报告的形式向上级进行发送，使调用的所有数据包均处于被处理的状态。其次，在分组分路设计的过程中，为保证每个分组均由对应的协议进行有效处理，需要在对应的函数中存放分录程序代码或通过表格使分组类型和处理过程建立对应关系，在分组分路设计完成后，硬件驱动模块生成的数据会被分组配置，并对应的进行处理。再次，在ARP协议设计中，为保证上层协议与下层硬件驱动之间的成功转换，要将其划分成输出模块、输入模块、高速缓存管理模块三部分，前者要在数据发送的过程中完成IP地址向物理地址的绑定，并在绑定后实现封装和发送分组，而输入模块要对APR分组数据进行处理并进行二次绑定，使其高速缓存的内容满足入网的需要，后者为输入模块的高速缓存内容替换提供策略支持。

四、结论

通过上述分析可以发现，对嵌入式系统互联网接入展开研究，是微处理器性能不断提升、嵌入式操作系统愈加复杂情况下，保证其性能/价格比的必然选择，在进行设计的过程中，要结合嵌入式系统的特点以及互联网通信协议等方面进行。

［1］邬明罡.物联网技术体系初步成熟［N］.人民邮电报，2015-07-29（007）.

［2］刘晓慧.物联网与嵌入式技术［J］.电脑学习，2011，4（2）：27-28.

［3］何克丽.物联网时代下的嵌入式系统［J］.信息技术学报，2015，12：12-26.

［4］UylessB.TCP/IP及相关协议［M］.良友翻译组译.北京：机械工业出版，2013：67-68.

［5］GaryR，WrightW，RichardS.TCP/IP详解［M］.陆雪莹，蒋慧译.北京：机械工业出版社，2014：2，11-47，162-266.

探究互联网数据中心的基本结构、安全隐患与防护方案

镇江高等专科学校 郑 恒

【摘要】计算机技术、网络技术等现代信息技术的飞速发展，使得互联网数据中心业务受到了越来越多的关注，在为人们提供便利的信息服务的同时，随之而来的安全问题对于信息安全造成了巨大的威胁。本文结合互联网数据中心的基本结构，分析了其所面临的安全隐患，并提出了切实有效的安全防护方案。

【关键词】互联网数据中心 基本结构 安全隐患 防护方案

前言

在当前知识与技术持续创新的背景下，互联网得到了迅猛发展，逐渐向着“互联网+”的领域迈进，其不仅推动了社会经济形态的持续演变，充分激活社会经济实体本身的生命力，也为改革发展和创新提供相应的网络平台。而伴随而来的各种安全隐患，对于互联网数据中心的安全防护能力提出了更高的要求，也受到了运营单位的高度重视。

1.互联网数据中心的基本结构

互联网数据中心（Internet Data Center，IDC），是为了满足互联网业务以及政府部门、企事业单位信息服务需求而构建的应用基础设施，可以通过与互联网的连接，能够凭借丰富的计算、网络及应用资源，向客户提供各类增值服务，如主机托管、网络带宽租用、企业网站建设等，其服务具有良好的安全性和可靠性。

IDC的架构是非常复杂的，可以大致将其分为四个不同的层次，一是互联网接入层，主要负责与INTERNET的相互连接，确保IDC内部网络能够实现对互联网的高速访问，同时也可以对网络汇聚层的交换机进行管理，实现对内网及外网路由信息的转换和维护工作；二是汇聚层，向上负责与核心路由器的互联，向下则负责对多个业务区业务接入层交换机的汇聚［1］。在汇聚层中设置有相应的安全设备，能够实现对内部网络的安全防范，一些重点业务或者大客户也可以直接接入到汇聚层的交换机中；三是业务接入层，主要负责各个业务区内部主机和网络设备的接入等，而且能够根据业务需求，提供类型多样的QoS及安全策略；四是运维管理层，负责对IDC系统的日常运行维护。在该层应该独立建网，与IDC业务网络隔离开来，以避免相互之间的影响。

2.互联网数据中心面临的安全威胁

2.1环境的安全威胁

主要指在对IDC系统进行建构的过程中，缺乏全面细致的考虑，从而引发的安全威胁，如设备的人为损坏或者盗窃、服务器及存储机制的老化、电磁辐射的影响、断电威胁以及自然灾害的威胁等。其会直接导致物理层面的破坏，引发非常严重的后果。

2.2设备的安全威胁

一是设备本身存在缺陷或者没有能够及时修复的安全缺陷，在使用中影响IDC业务的可靠性和安全性；二是设备系统出现故障，导致IDC系统无法正常运行；三是设备系统存在错误的配置或者操作，引发信息泄露等问题［2］。

2.3网络的安全威胁

一是来自互联网或者数据中心内部的各种网络攻击，包括DDOS攻击、系统漏洞攻击等；二是病毒以及恶意软件的威胁，轻则导致数据的泄露和丢失，重则导致系统整体的瘫痪；三是黑客定点攻击，使得IDC内部资源和数据信息被窃取或者破坏。

2.4数据的安全威胁

数据安全威胁主要体现在两个方面，一是网管数据，其所面临的威胁包括了数据在传输环节遭到窃取、破坏、篡改或者越权访问，导致数据的丢失，或者由于介质损坏、误操作等导致的数据丢失及泄露问题；二是内部业务数据，面临的安全威胁包括了病毒、木马的入侵，恶意软件的破坏等，也包括账号密码的丢失、数据权限管理问题等。

3.互联网数据中心的安全防护方案

针对上述安全威胁，想要保证IDC业务的安全性，就必须从实际需求出发，采取有效的安全防护措施，降低乃至消除安全威胁对于IDC的影响，保证良好的运营效果［3］。

3.1树立安全防护意识

管理人员应该正视IDC业务中存在的各种安全威胁，树立起相应的安全防护意识，充分认识到互联网数据信息安全的重要性，强化安全意识和责任意识，在日常工作中严格依照相关标准和规范进行操作，约束自身行为，对于一些重要的业务信息，必须强化监管工作，构建起完善的信息网络安全防范体系，确保IDC业务的安全性。

3.2强化物理安全防护

一方面，应该做好设备的防盗防破坏工作，安排专人进行定期巡查，强化监管工作；另一方面，必须保证设备运行环境的安全。具体来讲，应该将网络设备放置在一个相对安全的环境中，做好电源保护；建立机房环境报警系统，对机房电力、温湿度等异常情况进行预警；对于与系统连接的存储设备，需要进行妥善保管，防止出现数据的损坏或者信息的泄露；应该强化安全防护策略，完善网络本身的物理防御，设置主机防御和边界防御，利用防火墙对网络接入点进行保护，提升其对于意外事故的抵御能力。

3.3落实安全防护部署

对于不同的业务层，需要采取不同的安全防护策略，以确保良好的防护效果。

（1）接入层：作为IDC与互联网相互连接的出口，接入层可以提供高速稳定的网络连接，也可以实现路由选择及分发功能，可以对来自外网的安全威胁进行过滤。对于比较常见的DDOS攻击，可以在接入层中部署异常流量监测系统以及过滤系统等，系统能够对正常流量和异常流量进行智能区分，当发现异常流量后，会自动对齐进行过滤和阻截，然后将经过过滤后的正常流量加注到网络中。同时，也可以实现对内网数据的监控，在完成异常流量的拦截和清洗后，在传输到外网中去［4］。

（2）汇聚层：在汇聚层，一方面可以部署防火墙，实现对病毒以及恶意软件、黑客攻击的防护。这里采用双重异构防火墙，可以实现对于内部网络和外部网络的相互隔离，外层防火墙强调粗粒度访问控制，内层防火墙则主要是针对具体系统的细粒度访问控制；另一方面，应该布设入侵监测系统，通常是利用端口镜像技术将其布设在汇聚交换机上，可以对来住互联网的攻击行为以及内部系统之间的相互攻击进行监测，保证系统的运行效果。

（3）业务层：可以细分为自有业务以及第三方业务，包括了接入交换机、业务系统服务器以及存储设备等。其中，自有业务的主机系统具备较高的可控权限，为了保证网络的可靠性和安全性，可以通过设置双层异构防火墙的方式，将其与第三方业务隔离开来，结合入侵检测系统、防病毒系统、WEB漏洞扫描系统等，形成一体化的安全防护体系；第三方业务主要是为第三方客户提供业务服务，对于主机以及系统并没有较高的管控权限，因此可以根据实际需求，设置防火墙、漏洞扫描、病毒防护等措施。

（4）维护层：主要是维护人员针对数据中心系统进行管理和维护，需要重点加强安全认证工作，确保维护人员在对数据中心设备及资源进行访问时，必须具备一定的操作权限，强化安全认证以及访问控制，结合系统日志的审计功能，对病毒以及漏洞攻击等进行防范。具体来讲，可以在维护层交换机和数据中心的汇聚交换机之间部署防火墙以及安全管控系统，通过访问控制、账号密码管理、权限管理以及安全审计等，保证设备以及系统数据的安全［5］。

4.结语

互联网数据中心可以为企业、公司等提供多样化的增值服务，关系着企业的切身利益，因此，网络环境的安全性直接决定了用户的系统运营以及IDC业务的发展，必须得到足够的重视。本文结合IDC的基本架构，对其现阶段面临的安全隐患进行了分析，并从多个方面对IDC的安全防护措施部署进行了讨论，希望能够为IDC网络安全体系的建设提供一些参考。

参考文献

［1］栾俊廷.互联网数据中心安全防护技术研究［J］.移动信息，2015（6）：9-10.

［2］朱伟.黑洞防护系统在互联网数据中心的应用研究［J］.金融电子化，2012（12）：66-67.

［3］汪芳，陈清金，房秉毅.互联网数据中心安全管理［J］.中兴通讯技术，2012，18（4）：23-26.

［4］刘佳，杜雪涛，朱文涛，张高山.互联网数据中心安全解决方案［J］.电信工程技术与标准化，2010，23（2）：25-29.

［5］彭凯.面向云内部网络结构的安全防护机制研究［D］.北京邮电大学，2014.