嵌入式系統互聯網接入的研究

吉林大學電子科學與工程學院　胡冬雪

嵌入式系統互聯網接入的研究

吉林大學電子科學與工程學院胡冬雪

隨著移動終端種類的多樣化發展，傳統通信方式已經難以滿足互聯網高端應用對通信可靠性和通信速度的要求，在此背景下，結合TCP/IP協議棧、ARP協議、UDP協議、TCP協議等規定，進行嵌入式系統互聯網接入研究已經成為必然，本文為對嵌入式系統互聯網接入產生更加全面的認識，對其軟硬件體系架構、實現設計以及整體性能展開研究。

嵌入式系統；互聯網接入；通信協議

一、前言

嵌入式系統即基于計算機技術的，可通過軟硬件剪裁滿足應用系統對成本、功能、體積、功耗、可靠性等方面要求的專用計算機系統，其通常由嵌入式微處理器、外圍硬件設備、嵌入式操作系統以及特定的應用程序構成，具有專用性強、系統內核小、對開發工具和環境依賴程度高等特點，為達到高性能微處理器和嵌入式操作系統可以在高端應用場合產生理想性能/價格比的效果，需要對嵌入式系統互聯網接入進行優化設計。

二、嵌入式系統互聯網接入的軟硬件架構

（一）嵌入式系統互聯網接入的硬件架構

首先，考慮到ISA總線標準可以滿足16位數據總線寬度且組成結構相對簡單，所以選擇其作為TCP/IP協議軟件運行的硬件平臺，達到數據傳輸效率較高同時橋接電路環節被舍去的效果。圖1為嵌入式計算機系統的結構簡圖，在其運作的過程中會通過NIC與以太網絡連接，由于RTL8019控制器的總線接口采用ISA標準，滿足雙絞線、同軸電纜等接口需要，并集成了數據儲備器等結構功能，在應用的過程中，只通過外接隔離變壓器即可滿足以太網接入的硬件要求，而且通過DMA數據傳輸方式可以極大的縮減處理器占用率，所以選用其作為嵌入式系統互聯網接入的NIC硬件結構。在接入過程中處理器的選擇，要結合應用的具體領域進行，以此滿足性能/價格比較高的要求，通常情況下，高端、低端領域分別應用處理能力非常強，具有32K字存儲器和100MHz時鐘頻率的TMS320VC5409 DSP和P89C5lUBPN，而介于兩者之間的領域則以C8051F020和MSP430為主，需要注意的是，在TCP/IP協議棧運行中，要針對具體選用的處理器配置相應的存儲器，保證各控制器存儲功能的實際需要。

圖1　嵌入式計算機系統的結構簡圖

（二）嵌入式系統互聯網接入的軟件架構

普通PC機中軟件系統架構通常由應用、應用程序接口、TCP/ IP協議棧、硬件驅動程序和硬件控制器構成，而在簡單嵌入式設備中軟件系統直接由應用和硬件控制器構成，后者雖然看似簡單，但這對軟件的復雜性以及與底層硬件的相似性提出了更高的要求，其要同時完成應用層和TCP/IP協議棧的任務，并對底層硬件控制器進行有效的驅動，所以在嵌入式系統互聯網接入軟件設計的過程中，一方面要將TCP/IP協議分層封裝于對應的函數中，并通過函數調用實現協議層間的聯系，以此在區分協議各層功能的同時避免任務切換，另一方面要通過全局數組方式，使協議軟件對數據存儲區資源共享，以此降低提升數據傳輸的效率，這種方式雖然在一定程度上會降低整體的吞吐率，但對保證應用運行的可靠性和協議棧數據處理的連續性具有較好的效果。

三、嵌入式系統互聯網接入的實現

由于每個TCP/IP協議棧對應的應用場合并不一致，所以其既要具有協議規定的功能，又要具有特定場合下的特殊功能，所以要保證協議棧目標功能的實現，要保證其網絡接口層、UDP層、IP層、TCP層等均能滿足TCP/IP協議棧功能實現的要求，筆者以網絡接口層的實現為例，網絡接口層作為協議軟件和底層硬件接口的定義，可以對網絡硬件進行管理，使映射過程得以完成，并實現數據的輸出和接收，在設計的過程中，首先，保證硬件驅動模塊初始化網絡控制器、查詢并取回主機輸送數據幀、與控制器通信等功能實現，通過聯合類型保證數據存儲區被共享，降低內存的消耗，并按照以太網絡數據幀的儲存限值確定具體的聯合類型占用字節數量，以此保證緩沖區的容量定義滿足以太網數據幀傳輸的實際需要，舍去IP層分包、重組等過程，在進行硬件驅動模塊設計的過程中，要對選用的控制器進行初始化設置，此時其必須定位合適的MAC地址和緩存數據的具體結構，為判斷控制器接收的數據是否需要保留提供依據，保證控制器功能的實現。由于硬件驅動模塊中ReceivePacket函數是協議棧輸入來源，對寄存器中存儲的數據具有讀取的功能，所以要保證協議棧功能的實現，需要對其進行反復的調用，實踐證明調用的頻率與協議棧吞吐率之間具有較顯著的正相關性，這決定在設計的過程中要以環形接受隊列的形式存在，對出現的異常指示進行針對性的處理，而SendPacket作為硬件驅動模塊中網絡控制器發送數據包的唯一入口，在設計的過程中，要多次反復的對未發送成功的數據進行重新發送，并將一直發送失敗的數據以報告的形式向上級進行發送，使調用的所有數據包均處于被處理的狀態。其次，在分組分路設計的過程中，為保證每個分組均由對應的協議進行有效處理，需要在對應的函數中存放分錄程序代碼或通過表格使分組類型和處理過程建立對應關系，在分組分路設計完成后，硬件驅動模塊生成的數據會被分組配置，并對應的進行處理。再次，在ARP協議設計中，為保證上層協議與下層硬件驅動之間的成功轉換，要將其劃分成輸出模塊、輸入模塊、高速緩存管理模塊三部分，前者要在數據發送的過程中完成IP地址向物理地址的綁定，并在綁定后實現封裝和發送分組，而輸入模塊要對APR分組數據進行處理并進行二次綁定，使其高速緩存的內容滿足入網的需要，后者為輸入模塊的高速緩存內容替換提供策略支持。

四、結論

通過上述分析可以發現，對嵌入式系統互聯網接入展開研究，是微處理器性能不斷提升、嵌入式操作系統愈加復雜情況下，保證其性能/價格比的必然選擇，在進行設計的過程中，要結合嵌入式系統的特點以及互聯網通信協議等方面進行。

［1］鄔明罡.物聯網技術體系初步成熟［N］.人民郵電報，2015-07-29（007）.

［2］劉曉慧.物聯網與嵌入式技術［J］.電腦學習，2011，4（2）：27-28.

［3］何克麗.物聯網時代下的嵌入式系統［J］.信息技術學報，2015，12：12-26.

［4］UylessB.TCP/IP及相關協議［M］.良友翻譯組譯.北京：機械工業出版，2013：67-68.

［5］GaryR，WrightW，RichardS.TCP/IP詳解［M］.陸雪瑩，蔣慧譯.北京：機械工業出版社，2014：2，11-47，162-266.

探究互聯網數據中心的基本結構、安全隱患與防護方案

鎮江高等專科學校 鄭 恒

【摘要】計算機技術、網絡技術等現代信息技術的飛速發展，使得互聯網數據中心業務受到了越來越多的關注，在為人們提供便利的信息服務的同時，隨之而來的安全問題對于信息安全造成了巨大的威脅。本文結合互聯網數據中心的基本結構，分析了其所面臨的安全隱患，并提出了切實有效的安全防護方案。

【關鍵詞】互聯網數據中心 基本結構 安全隱患 防護方案

前言

在當前知識與技術持續創新的背景下，互聯網得到了迅猛發展，逐漸向著“互聯網+”的領域邁進，其不僅推動了社會經濟形態的持續演變，充分激活社會經濟實體本身的生命力，也為改革發展和創新提供相應的網絡平臺。而伴隨而來的各種安全隱患，對于互聯網數據中心的安全防護能力提出了更高的要求，也受到了運營單位的高度重視。

1.互聯網數據中心的基本結構

互聯網數據中心（Internet Data Center，IDC），是為了滿足互聯網業務以及政府部門、企事業單位信息服務需求而構建的應用基礎設施，可以通過與互聯網的連接，能夠憑借豐富的計算、網絡及應用資源，向客戶提供各類增值服務，如主機托管、網絡帶寬租用、企業網站建設等，其服務具有良好的安全性和可靠性。

IDC的架構是非常復雜的，可以大致將其分為四個不同的層次，一是互聯網接入層，主要負責與INTERNET的相互連接，確保IDC內部網絡能夠實現對互聯網的高速訪問，同時也可以對網絡匯聚層的交換機進行管理，實現對內網及外網路由信息的轉換和維護工作；二是匯聚層，向上負責與核心路由器的互聯，向下則負責對多個業務區業務接入層交換機的匯聚［1］。在匯聚層中設置有相應的安全設備，能夠實現對內部網絡的安全防范，一些重點業務或者大客戶也可以直接接入到匯聚層的交換機中；三是業務接入層，主要負責各個業務區內部主機和網絡設備的接入等，而且能夠根據業務需求，提供類型多樣的QoS及安全策略；四是運維管理層，負責對IDC系統的日常運行維護。在該層應該獨立建網，與IDC業務網絡隔離開來，以避免相互之間的影響。

2.互聯網數據中心面臨的安全威脅

2.1環境的安全威脅

主要指在對IDC系統進行建構的過程中，缺乏全面細致的考慮，從而引發的安全威脅，如設備的人為損壞或者盜竊、服務器及存儲機制的老化、電磁輻射的影響、斷電威脅以及自然災害的威脅等。其會直接導致物理層面的破壞，引發非常嚴重的后果。

2.2設備的安全威脅

一是設備本身存在缺陷或者沒有能夠及時修復的安全缺陷，在使用中影響IDC業務的可靠性和安全性；二是設備系統出現故障，導致IDC系統無法正常運行；三是設備系統存在錯誤的配置或者操作，引發信息泄露等問題［2］。

2.3網絡的安全威脅

一是來自互聯網或者數據中心內部的各種網絡攻擊，包括DDOS攻擊、系統漏洞攻擊等；二是病毒以及惡意軟件的威脅，輕則導致數據的泄露和丟失，重則導致系統整體的癱瘓；三是黑客定點攻擊，使得IDC內部資源和數據信息被竊取或者破壞。

2.4數據的安全威脅

數據安全威脅主要體現在兩個方面，一是網管數據，其所面臨的威脅包括了數據在傳輸環節遭到竊取、破壞、篡改或者越權訪問，導致數據的丟失，或者由于介質損壞、誤操作等導致的數據丟失及泄露問題；二是內部業務數據，面臨的安全威脅包括了病毒、木馬的入侵，惡意軟件的破壞等，也包括賬號密碼的丟失、數據權限管理問題等。

3.互聯網數據中心的安全防護方案

針對上述安全威脅，想要保證IDC業務的安全性，就必須從實際需求出發，采取有效的安全防護措施，降低乃至消除安全威脅對于IDC的影響，保證良好的運營效果［3］。

3.1樹立安全防護意識

管理人員應該正視IDC業務中存在的各種安全威脅，樹立起相應的安全防護意識，充分認識到互聯網數據信息安全的重要性，強化安全意識和責任意識，在日常工作中嚴格依照相關標準和規范進行操作，約束自身行為，對于一些重要的業務信息，必須強化監管工作，構建起完善的信息網絡安全防范體系，確保IDC業務的安全性。

3.2強化物理安全防護

一方面，應該做好設備的防盜防破壞工作，安排專人進行定期巡查，強化監管工作；另一方面，必須保證設備運行環境的安全。具體來講，應該將網絡設備放置在一個相對安全的環境中，做好電源保護；建立機房環境報警系統，對機房電力、溫濕度等異常情況進行預警；對于與系統連接的存儲設備，需要進行妥善保管，防止出現數據的損壞或者信息的泄露；應該強化安全防護策略，完善網絡本身的物理防御，設置主機防御和邊界防御，利用防火墻對網絡接入點進行保護，提升其對于意外事故的抵御能力。

3.3落實安全防護部署

對于不同的業務層，需要采取不同的安全防護策略，以確保良好的防護效果。

（1）接入層：作為IDC與互聯網相互連接的出口，接入層可以提供高速穩定的網絡連接，也可以實現路由選擇及分發功能，可以對來自外網的安全威脅進行過濾。對于比較常見的DDOS攻擊，可以在接入層中部署異常流量監測系統以及過濾系統等，系統能夠對正常流量和異常流量進行智能區分，當發現異常流量后，會自動對齊進行過濾和阻截，然后將經過過濾后的正常流量加注到網絡中。同時，也可以實現對內網數據的監控，在完成異常流量的攔截和清洗后，在傳輸到外網中去［4］。

（2）匯聚層：在匯聚層，一方面可以部署防火墻，實現對病毒以及惡意軟件、黑客攻擊的防護。這里采用雙重異構防火墻，可以實現對于內部網絡和外部網絡的相互隔離，外層防火墻強調粗粒度訪問控制，內層防火墻則主要是針對具體系統的細粒度訪問控制；另一方面，應該布設入侵監測系統，通常是利用端口鏡像技術將其布設在匯聚交換機上，可以對來住互聯網的攻擊行為以及內部系統之間的相互攻擊進行監測，保證系統的運行效果。

（3）業務層：可以細分為自有業務以及第三方業務，包括了接入交換機、業務系統服務器以及存儲設備等。其中，自有業務的主機系統具備較高的可控權限，為了保證網絡的可靠性和安全性，可以通過設置雙層異構防火墻的方式，將其與第三方業務隔離開來，結合入侵檢測系統、防病毒系統、WEB漏洞掃描系統等，形成一體化的安全防護體系；第三方業務主要是為第三方客戶提供業務服務，對于主機以及系統并沒有較高的管控權限，因此可以根據實際需求，設置防火墻、漏洞掃描、病毒防護等措施。

（4）維護層：主要是維護人員針對數據中心系統進行管理和維護，需要重點加強安全認證工作，確保維護人員在對數據中心設備及資源進行訪問時，必須具備一定的操作權限，強化安全認證以及訪問控制，結合系統日志的審計功能，對病毒以及漏洞攻擊等進行防范。具體來講，可以在維護層交換機和數據中心的匯聚交換機之間部署防火墻以及安全管控系統，通過訪問控制、賬號密碼管理、權限管理以及安全審計等，保證設備以及系統數據的安全［5］。

4.結語

互聯網數據中心可以為企業、公司等提供多樣化的增值服務，關系著企業的切身利益，因此，網絡環境的安全性直接決定了用戶的系統運營以及IDC業務的發展，必須得到足夠的重視。本文結合IDC的基本架構，對其現階段面臨的安全隱患進行了分析，并從多個方面對IDC的安全防護措施部署進行了討論，希望能夠為IDC網絡安全體系的建設提供一些參考。

參考文獻

［1］欒俊廷.互聯網數據中心安全防護技術研究［J］.移動信息，2015（6）：9-10.

［2］朱偉.黑洞防護系統在互聯網數據中心的應用研究［J］.金融電子化，2012（12）：66-67.

［3］汪芳，陳清金，房秉毅.互聯網數據中心安全管理［J］.中興通訊技術，2012，18（4）：23-26.

［4］劉佳，杜雪濤，朱文濤，張高山.互聯網數據中心安全解決方案［J］.電信工程技術與標準化，2010，23（2）：25-29.

［5］彭凱.面向云內部網絡結構的安全防護機制研究［D］.北京郵電大學，2014.