（计算机应用技术专业论文）基于物理层隔离的单向文件传输系统的研究.pdf

摘要 摘要 随着计算机技术的快速发展和网络技术应用的普及，成千上百万的普通市民 利用网络来完成银行事务处理，购物和填写纳税单等活动，网络安全已逐渐成为 一个巨大的潜在问题，特别是在涉及到国家机密方面。因此，国家保密局颁布的 计算机信息系统国际联网保密管理规定规定，“涉及国家秘密的计算机信息 系统，不得直接或间接地与国际互联网或其它公共信息网络相联接，必须实行物 理隔离。按照物理隔离的要求，相关用户连接互联网时，必须与涉密网络实行 网络隔离和计算机信息隔离。因此，在涉密企事业单位如果要实现内网向外网的 数据( d b 或是文件) 发布的功能，内网和外网就不能通过简单的组网方式连接 起来，就必须通过物理隔离的方式来实现。 有些企业通过隔离卡的方式来实现这一功能，但是通过该类产品实现国家机 要部门对网络安全的这种特殊要求时，会不可避免的存在诸如成本代价高，工作 效率低，数据传递实时性差，布线复杂等缺点。因此，通过一种新的技术，弥补 现有技术与产品上固有的缺陷就显得很有必要。 本文提出一种新型的内( l a n ) ，外( i n t e r n e t ) 网络物理层隔离的设计方案 及实现。在该方案中，只留有内网服务器到外网服务器的物理层单向连接，而外 网服务器只能通过i o 电平向内网服务器反馈一些通讯握手信号和简单的控制 信号，即内网数据库系统可以安全地向外网授权用户发布数据，但外网的用户却 没有从网络上侵入内网数据库系统的物理层通路。从而既满足了内网计算机信息 系统与i n t e r n e t 在物理层上的隔离要求，又具有组网方便快捷，成本代价低， 数据传输实时性好等优点。 关键词：物理层隔离；单向协议；轮渡系统 广东工业大学硕士学位论文 a b s t r a c t t h e r ea r ea l lk i n d so fm e t h o d st op r o t e c ty o u rn e t w o r ks e c u r i t y b u tt h e r ei sn o ta m e t h o dt h a tc a ns a t i s f ya l lc u s t o m e r s t h e r ei sd i f f e r e n ts e c r e tc l a s sf o rd i f f e r e n tu s e r s t h em e t h o db a s e do np h y s i c a ll a y e rp a r t i t i o nc a ne n s u r el a nn o tb e i n gi n v a d e db y i n t e r n e tu s e r s a tp r e s e n t ，t h em o s tf a s h i o n a b l et e c h n o l o g yb a s e do np h y s i c a ll a y e r p a r t i t i o ni sn e t w o r ks e c u r i t ys e p a r a t e dc a r d i tc a nb u i l dt w ov i r t u a ls y s t e m so na c o m p u t e r ，a n dt h ec o m p u t e rc o u l db ee i t h e ri ns e c u r es t a t eo rp u b l i cs t a t e t h e t w os t a t e sa r ec o m p l e t e l ys e p a r a t e db a s e do np h y s i c a l l a y e r s oaw o r k i n g s t a t i o nc a nc o n n e c tl a na n dw a nw i t ha b s o l u t es e c u r i t y b u tt h i st e c h n o l o g y h a saf e wd i s a d v a n t a g e s f i r s t ，t h ec o s ti st o oh i g h s e c o n d ，t h ed i s t r i b u t i o no f l i n e si sv e r yc o m p l e x t h i r d ，t h ee f f i c i e n c yo ft r a n s p o r ti st o ol o wa n dt h er e a l t i m ec h a r a c t e ri st o ob a d s ot h e r ei san e wm e t h o dt h a tr e p l a c e st h en e t w o r k s e c u r i t ys e p a r a t e dc a r di ns o m ep a r t si sv e r yn e c e s s a r ya n du r g e n t t h es i n g l ed i r e c t i o nf i l e t r a n s p o r ts y s t e mi saf e a s i b l ea n da t t r a c t i v em o d e c o n n e c t i o nb e t w e e nl a na n di n t e r n e tw i t ht h es y s t e m , i tc a l ls e p a r a t et h et w o c o m p u t e rs y s t e m sb a s e do np h y s i c a ll a y e r , b u ty o un e e d n tc h a n g ew i t hf o r m e rs y s t e m t h es y s t e mc o s ti sl o w e r , e f f i c i e n c yi sh i g h e ra n dr e a lt i m ec h a r a c t e ri sb e t t e rt h a n n e t w o r ks e c u r i t ys e p a r a t e dc a r d i nt h ec a s e ，t h e r ei ss i n g l ed i r e c t i o np a t ho np h y s i c a ll a y e rf r o ml a nt oi n t e m e t ， s oo n l yl a nh a st h ec a p a b i l i t yt od i s t r i b u t ed a t u mt oa u t h o r i z e du s e r sc o n n e c t e dw i t h i n t e m e t t h es y s t e mo fi n t e r n e tp a r tc a l lf e e db a c ks o m ec o m m u n i c a t i o na n dc o n t r o l s i g n a l st ol a np a r t t h eu s e r si ni n t e m e ta r ei m p o s s i b l et oi n t r u d ei n t ol a n f o rn o p h y s i c a la c c e s s s ot h el a n i sa b s o l u t es e c u r e b e c a u s ei tc a no n l yt r a n s p o r td a t u m f r o ml a ni n t oi n t e m e t ，t h eu s a g ei sl i m i t e di ns o m e s p e c i a ld e p a r t m e n t s k e y w o r d s ：p h y s i c a lp a r t i t i o n ：s i n g l ed i r e c t i o np r o t o c o l ；f e r r ys y s t e m 广东工业大学硕士学位论文 独创性声明 秉承学校严谨的学风与优良的科学道德，本人声明所呈交的论文是我个人在 导师的指导下进行的研究工作及取得的研究成果。尽我所知，除了文中特别加以 标注和致谢的地方外，论文中不包含其他人已经发表或撰写过的研究成果，不包 含本人或其他用途使用过的成果。与我一同工作的同志对本研究所做的任何贡献 均已在论文中作了明确的说明，并表示了谢意。 本学位论文成果是本人在广东工业大学读书期间在导师的指导下取得的，论 文成果归广东工业大学所有。 申请学位论文与资料若有不实之处，本人承担一切相关责任，特此声明。 指导教师签字： 论文作者签字： 6 8 年乡月日 ， 第一章绪论 第一章绪论 1 1 选题的背景及意义 i n t e r n e t 的方便快捷使我们的工作效率得到了极大的提高，但与此同时，我 们也正受到日益严重的来自网络的安全威胁，诸如数据窃贼、黑客侵袭、病毒骚 扰，甚至系统内部的泄密者。互联网的安全性能对我们在进行网络互联时如何确 保国家秘密和商业秘密提出了挑战。尽管我们正在广泛地使用各种复杂的软件技 术，如防火墙、代理服务器、侵袭探测器、通道控制机制等等，但是由于这些技 术都是基于软件的保护，是一种逻辑机制，这对于逻辑实体( 即黑客或内部用户) 而言是可能被操纵的，由于这些技术的极端复杂性与有限性，这些在线分析技术 无法提供某些组织( 如军队、军工、政府、金融、研究院、电信以及企业) 提出 的高度数据安全要求。所以产生了物理隔离技术，它主要是基于这样的思想：如 果不存在与网络的物理连接，网络安全威胁便受到了真正的限制。根据国家保密 局2 0 0 0 年1 月1 日起颁布实施的计算机信息系统国际联网保密管理规定第 二章保密制度第六条的规定，“涉及国家秘密的计算机信息系统，不得直接或间 接地与国际互联网或其它公共信息网络相连接，必须实行物理隔离 。于是，相 关的很多物理隔离的安全技术产品应运而生。 物理隔离在安全上的要求主要有3 点：一、在物理传导上使内外网络隔断， 确保外部网不能通过网络连接而侵入内部网；同时防止内部网信息通过网络连接 泄漏到外部网。二、在物理辐射上隔断内部网与外部网，确保内部网信息不会通 过电磁辐射或耦合方式泄漏到外部网。三、在物理存储上隔断两个网络环境，对 于断电后会遗失信息的部件，如内存、处理器等暂存部件，要在网络转换时作清 除处理，防止残留信息出网；对于断电非遗失性设备如磁带机、硬盘等存储设备， 内部网与外部网信息要分开存储。 广东工业大学硕士学位论文 如何实现在物理层隔离网络，目前有两种网络隔离技术：1 单主板安全隔 离计算机：其核心技术是双硬盘技术，将内外网络转换功能做入b i o s 中，并将 插槽也分为内网和外网，使用更方便，也更安全，价格界乎于双主机和隔离卡之 间。2 隔离卡技术：其核心技术是双硬盘技术，启动外网时关闭内网硬盘，启 动内网时关闭外网硬盘，使两个网络和硬盘物理隔离，它不仅用于两个网络物理 隔离的情况，也可用于个人资料要保密又要上互联网的个人计算机的情况。但 是通过该类产品实现国家机要部门对网络安全的这种特殊要求时，会不可避免的 存在诸如成本代价高，工作效率低，数据传递实时性差，布线复杂等缺点。因此， 通过一种新的技术，弥补现有技术与产品上固有的缺陷就显得很有必要。 1 2 本系统概述 基于物理层隔离的单向文件传输系统就是这样一种技术，她既能满足物理层 隔离的要求，又能克服网络隔离卡的一些缺点。 门以 ill【 vv 7 广l 母 岫一 s 跚! 朋町 一掣 e 也 l i l l - jl _ j 1 7 l i 一_ j 1 7 l 砥：1 r 圈i y 8 ta 二c r r s t _ i n p u 。 -冲1僵 o u t p u t v 。舰皿 t r a a s m t t e rr e c e i v e r 图1 - 1 系统架构 f i g u r e l 一1s y s t e ma r c h i t e c t u r e 上图为基于物理层隔离的单向文件传输的系统架构。它分为两大部份：输入 端和输出端，h o s ta 位于网段a ，它从文件服务器接收到数据经处理封装后直 接传送到网段b ，h o s tb 通过从h o s ta 收到的转发目的地址把数据传送过去。 因数据只有从h o s ta 到h o s tb 的物理通道，而没有从h o s tb 到h o s ta 的物理 2 第一章绪论 通道，它们之间是通过5 根信号线进行通讯协商和出错处理。这样就使得从网段 b 不可能通过网络入侵到网段a ，从而可以保证网段a 的相对安全。 1 3 本文的主要工作 一)构建一个基于a r m 的嵌入式l i n u x 系统，其中包括：g n u 跨平台开发工 具的建立；内核裁剪，移植；根文件系统的内容； r a md i s k 文件系统的制 作等。 - - )对基于物理层隔离技术的单向文件传输系统的研究，其中包括：硬件的 设计；软件整体的架构；低层驱动的设计和实现；控制层和应用层的设计和 实现等。 1 4 本文的结构 本文的结构：第一章绪论，讲述了课题的背景和本文的工作；第二章相关技 术介绍，论述了网络加密协议在t c p i p 模型各层次的实现；第三章嵌入式系统 的构建，描述怎样构建一个嵌入式系统及安排相关的工作目录；第四章是本文的 主体部分，着重分析了基于物理层隔离的单向文件传输系统的原理，实现及开发 流程；最后一章，总结全文。 3 广东工业大学硕士学位论文 2 1 概述 第二章相关技术介绍 随着网络技术的飞速发展，现在成千上百万的普通市民利用网络来完成银行 事务处理，购物和填写纳税单等活动，因此，对加强网络安全的需求也越来越迫 切。现市面上已有各种各样的网络安全产品，每种产品都有其优缺点和使用的不 同场合，目前基本上可以满足不同用户对网络安全不同级别的需求。现就我所知， 按照其处于t c p i p 参考模型的不同层次中，作一个简单的介绍。 2 2 各层保密协议简介 2 2 1 基于物理层的网络隔离卡 网络隔离卡是一种基于物理层进行内外网络分离的技术，追溯隔离卡技术的 发展历程，目前隔离卡这种成熟的技术已经发展到了第三代。 第一代双网隔离技术采用纯硬件隔离技术，切换时可以不用切换软件，用机 械开关手工拨动的方法，实现关机切换。采用此技术的隔离卡，对操作系统没有 要求，对一些早期的电脑兼容性较为实用，一些对电脑知识不熟的年龄较大的使 用者较为喜欢，但随着电脑技术发展，此技术使用不方便的弊端就显出来了，很 快就落后了目前大多厂家都已经停产了。 第二代双网隔离技术采用软件切换技术，此技术不但使用方便，还增加很多 功能，如切换时可选择是否对光驱、软驱、u s b 盘检测、禁用、提示，可由用户 自行设计开机提示画面，与用户办公系统融为一体，可随意定义是否出现开机选 择画面，可设置电源冷启动等功能，用户只要用鼠标轻轻一点，就可自动切换到 另一个网络，但随着电脑硬盘不断的升级换代，人们对速度追求也高了，此技术 的隔离卡切换速度不能满足用户的需要了。 4 第二章相关技术介绍 第三代双网隔离技术采用w i n d o w s 休眠技术，可以使隔离卡的切换速度提高 一倍以上，又称快速切换技术。采用此技术的物理隔离卡不但切换速度比原来快 一倍以上，而且切换时还可以保留工作现场。此功能大大方便了用户，可以不用 停下手中的工作，在不关闭工作窗口的情况下切换到别一个网络，等再切换回来 时，还是在原来工作的窗口下。 在发展第一代隔离卡时，对换硬盘的技术分三种。第一种是切换硬盘的电源 线，由于此技术要求较高，要在硬盘工作过程中，采用多项技术，使硬盘磁头先 停止工作，再归位复原，再断电切换等一般隔离卡生产企业也不敢采用此项技术。 第二种是采用切换硬盘数据线的方式，此技术简单，成本低廉，大多厂家都采用 此项技术。后来也就有一些不能采用电源切换技术的厂家传言说：硬盘电源切换 技术，容易损坏硬盘说法，其实，著名硬盘厂家希捷公司已经对南方的几个隔离 卡生产企业都进行过测试，不但隔离卡没有影响硬盘使用寿命和损坏的证据。相 反还符合能源之星的绿色节能标准。原理很简单，一个硬盘工作，另一个硬盘是 断电不工作的。第三种是采用电源和数据线同时切换的技术，此技术更为复杂， 除厂家的生产，研发能力要求很高外，生产成本也增加了不少。但此隔离卡，可 以解决许多硬盘的兼容性问题，适用也很广。目前只有国内少数有实力的厂家能 生产这种隔离卡。 发展第二代隔离卡时，也出现了适用于不同硬盘数量的隔离卡，一般为三种。 第一种最常见的双硬盘隔离卡，此技术简单适用，技术成熟。第二种是单硬盘隔 离卡，安装在主板和硬盘之间，依据单硬盘独有技术，完全控制硬盘与主板之间 的数据通道，并控制网络连接以及通讯线路。使用继电器操作控制内部网络与外 部网络之间的切换以及对应的网络连接，好处就是性价比高，一块硬盘也可实现 内外网分区，有效杜绝黑客侵入，防止内部信息泄露和被破坏。第三种是三硬盘 隔离技术，此技术隔离卡就是硬盘数量上的增加，可以装三个独立的系统和切换 三个网络。也有更多的，如四硬盘，四网络等。 2 2 2 基于数据链路层的i e e e8 0 2 1 x 仂议 在数据链路层上，对于点到点线路上的分组，它们在离开一台机器的时候可 5 广东工业大学硕士学位论文 以被加密，当进入另外一台机器的时候被解密，所有的细节可以在数据链路层内 部来处理，上面的层对于数据链路层上发生的事情一无所知。然而，当分组必须 要穿越多台路由器的时候，这种方案可能无法正确地工作，因为在每一台路由器 上分组必须被解密，从而使得这些分组容易受到来自路由器内部的攻击。而且， 它也不允许只保护某一些会话，而其它的会话不保护。 i e e e 8 0 2l a n w a n 委员会为解决无线局域网网络安全问题，提出了8 0 2 i x 协 议。后来，8 0 2 1 x 协议作为局域网端口的一个普通接入控制机制应用于以太网 中，主要解决以太网内认证和安全方面的问题。8 0 2 1 x 协议是一种基于端口的 网络接入控制( p o r tb a s e dn e t w o r ka c c e s sc o n t r 0 1 ) 协议。“基于端口的网 络接入控制”是指在局域网接入设备的端口这一级对所接入的设备进行认证和控 制。连接在端口上的用户设备如果能通过认证，就可以访问局域网中的资源；如 果不能通过认证，则无法访问局域网中的资源。 i e e e8 0 2 1 x 认证系统利用e a p ( e x t e n s i b l ea u t h e n t i c a t i o np r o t o c o l ， 可扩展认证协议) 协议，在客户端和认证服务器之间交换认证信息。 图2 - 18 0 2 1 x 认证系统的工作机制 f i g u r e 2 1m e c h a n i s mo f 8 0 2 1xa u t h e n t i c a t i o n 1 在客户端p a e 与设备端p a e 之间，e a p 协议报文使用e a p o l 封装格式，直 接承载于l a n 环境中； 2 在设备端p a e 与r a d i u s 服务器之间，e a p 协议报文可以使用e a p o r ( e a p o v e rr a d i u s ) 封装格式，承载于r a d i u s 协议中；也可以由设备端p a e 进行终结， 而在设备端p a e 与r a d i u s 服务器之间传送p a p 协议报文或c h a p 协议报文； 3 当用户通过认证后，认证服务器会把用户的相关信息传递给设备端，设备端 p a e 根据r a d i u s 服务器的指示( a c c e p t 或r e j e c t ) 决定受控端口的授权非授 权状态。 6 第二章相关技术介绍 2 2 3 基于网络层的n e t f il t e r i p t a b l e s l i n u x 提供了一个非常优秀的防火墙工具- - n e t f i l t e r i p t a b l e s 。它完全免 费、功能强大、使用灵活、可以对流入和流出的信息进行细化控制，且可以在一 台低配置机器上很好地运行。下面将简单介绍使用n e t f i l t e r i p t a b l e s 实现防 火墙架设和i n t e r n e t 连接共享等应用。 n e t f i l t e r i p t a b e l s 应用程序，被认为是l i n u x 中实现包过滤功能的第四 代应用程序。n e t f i l t e r i p t a b l e s 包含在2 4 以后的内核中，它可以实现防火 墙、n a t ( 网络地址翻译) 和数据包的分割等功能。n e t f i l t e r 工作在内核内部， 而i p t a b l e s 则是让用户定义规则集的表结构。n e t f i lt e r i p t a b l e s 从i p c h a i n s 和i p w a d f m ( i p 防火墙管理) 演化而来，功能更加强大。下文将n e t f il t e r i p t a b e l s 统一称为i p t a b l e s 。 可以用i p t a b l e s 为u n i x 、l i n u x 和b s d 个人工作站创建一个防火墙，也可 以为一个子网创建防火墙以保护其它的系统平台。i p t a l e s 只读取数据包头，不 会给信息流增加负担，也无需进行验证。要想获得更好的安全性，可以将其和一 个代理服务器( 比如s q u i d ) 相结合。 典型的防火墙设置有两个网卡：一个流入，一个流出。i p t a b l e s 读取流入 和流出数据包的报头，将它们与规则集( r u l e s e t ) 相比较，将可接受的数据包 从一个网卡转发至另一个网卡，对被拒绝的数据包，可以丢弃或按照所定义的方 式来处理。 通过向防火墙提供有关对来自某个源地址、到某个目的地或具有特定协议类 型的信息包要做些什么的指令，规则控制信息包的过滤。通过使用i p t a b l e s 系 统提供的特殊命令i p t a b l e s 建立这些规则，并将其添加到内核空间特定信息包 过滤表内的链中。关于添加、去除、编辑规则的命令，一般语法如下： i p t a b l e s 一tt a b l e c o m m a n d m a t c h t a r g e t 7 广东工业大学硕士学位论文 与i p c h a i n s 和i p f w a d m 不同的是，i p t a b l e s 可以配置有状态的防火墙。 i p t a b l e s 可以检测到源地址和目的地址、源端口和目的端口及流入数据包的顺 序，即i p t a b l e s 记住了在现有连接中，哪些数据包已经被允许接收。这使得暂 时性的端口只有在需要时才会被打开，并且会拒绝所有永久性占用端口的请求， 大大地加强了安全性。同时，那些被更改了报头的数据包，即使包含有一个被允 许的目的地址和端口，也会被检测到并被丢弃。此外，有状态的防火墙能够指定 并记住为发送或接收信息包所建立连接的状态。防火墙可以从信息包的连接跟踪 状态获得该信息。在决定新的信息包过滤时，防火墙所使用的这些状态信息可以 增加其效率和速度。 2 2 4 基于传掰副罢的加密协议 安全套接层( s s l ) 及其新继任者传输层安全( t l s ) 是在互联网上提供保 密安全信道的加密协议，为诸如网站、电子邮件、网上传真等等数据传输 进行保密。s s l3 0 和t l s1 0 有轻微差别，但两种规范其实大致相同。 s s l 利用密钥算法在互联网上提供端点身份认证与通讯保密。在典型例 子中，只有服务器被可靠身份认证( 即其验证被确保) ，客户端踪迹不一定 经可靠认证；相互间的身份认证需要公钥基础设施( p k i ) 设置于客户端中。 协议的设计在某种程度上能够使客户端n 务器应用程序通讯本身预防窃 听、t a m p e r i n g 、和消息伪造。 s s l 包含三个基本阶段： 1 ) 对等协商密钥算法支持； 2 ) 基于公钥密码的密钥交换和基于证书的身份认证； 3 ) 基于对称密钥的数据传输保密。 在第一阶段，客户端与服务器协商所用密码算法。当前广泛实现的算法 选择如下： 1 ) 公钥密码系统：r s a 、d i f f i e - h e l i m a n 、d s a 及f o r t e z z a ； 2 ) 对称密钥系统：r c 2 、r c 4 、i d e a 、d e s 、t r i p l ed e s 及a e s ； 3 ) 单向散列函数：m d 5 及s h a 。 8 第二章相关技术介绍 首先，s s l 的记录层( r e c o r dl a y e r ) 用于封装更高层的h t t p 等协议。记 录层数据可以被随意压缩、加密，与消息验证码( m a c ) 打包在一起。每个记 录层包都有一个c o n t e n t t y p e 段用以记录更上层用的协议。 客户端要收发几个握手信号： 发送一个c 1 i e n t h e l i o 消息，说明它支持的密码算法列表、压缩方法 及最高协议版本，也发送稍後将被使用的随机字节； 然後收到一个s e r v e r h e l i o 消息，包含服务器选择的连接参数，源自 客户端初期所提供的c 1 i e n t h e l i o ； 当双方知道了连接参数，客户端与服务器交换证书( 依靠被选择的公钥 系统) 。这些证书通常基于x 5 0 9 ，不过已有草案支持以o p e n p g p 为基础的 证书。 服务器能够请求得到来自客户端的证书，所以连接可以是相互的身份 认证。客户端与服务器通过加密信道协商一个共同的”主密钥”( a n dt h e c ll e n t - a n ds e r v e r g e n e r a t e dr a n d o mv a l u e s ) ，这通过精心谨慎设计的 伪随机数函数实现。结果可能使用d i f f i e h e l i m a n 交换，或简单的公钥加 密，双方各自用私钥解密。所有其他关键数据的加密均使用这个”主密钥”。 2 2 5 基于应用层的加密协议 网络管理员可以在应用层上实现对数据的加密。如现在比较流行的h t t p s 协 议，就是在应用层层面上实现加密的一个典型代表。h t t p s 协议以保密为目标研 发的一种技术。简单的说他就是h t t p 协议的安全版，他是在s s l 协议上实现的 一种加密手段。它使用了h t t p 协议，但是他们之间有一个很大的不同，即h t t p s 协议存在不同于h t t p 的默认端口及一个加密身份验证层。这个安全协议的最初 研发由网景公司进行，提供了身份验证与加密通讯方法，现在它被广泛用于互联 网上安全敏感的通讯。如现在不少网络设备可以通过浏览器来进行管理。为了提 高设备的安全性，通过浏览器管理网络设备的话，都是采用安全的h t t p s 协议， 而不是h t t p 协议。为此如故应用程序有一个w e b 接口或者一个后断服务器，对 9 广东工业大学硕士学位论文 于这种情况出于安全方面的考虑，最好的选择就是通过安全的超文本协议和安全 套接字层来( h t t p s ) 加强w e b 浏览器和数据服务器之间传输数据的安全性。 可见，现在支持应用层加密的协议也是比较多的。这主要是因为在应用层进 行数据加密的话，有一个非常明显的优点，几可以按照不同的需要有选择的对数 据进行加密。如现在网络管理员需要远程维护一台网络设备。现在这个管理员有 三个不同的选择，他可以分别通过浏览器、s s h 、t e l n e t 这三种方式来实现远程 管理。而如果在应用层实现加密的话，那么管理员就可以选择对于那种方式进行 加密。如管理员可能认为通过浏览器管理网络设备安全风险比较大，那么可以为 浏览器这种方式设置应用层加密手段，来提高网络设备的安全性。但是管理员会 认为采用t e l n e t 远程管理路由器比较安全，不需要采用加密措施。那么通过 t e n n e t 传输的数据就不会加密。故如果在应用层实现数据加密，其用户的选择 性会比较强一点。可以根据不同的应用来选择是否需要加密。由于不需要多所有 的数据都采取加密处理，故中间的网络设备其开销也会少的多。 不过这也有一定的缺陷，这个缺陷主要体现在两个方面。一是要委托用户控 制，也就是说，是否要采取加密措施，其主动权很大一部分在用户手中。由于用 户缺乏安全意识等原因，这会降低加密措施所带来的安全性保障。二是增加了在 每个服务器上配置加密措施的工作量。而且由于每个服务器上都要进行单独的培 植，这不利于在企业内部实现一致的安全策略。所以，在应用层面采取加密，虽 然可以降低中间网络设备的开销，但是增加了网络管理员的工作量。 1 0 第三章嵌入式系统的构建 第三章嵌入式系统的构建 3 1 嵌入式系统的开发工具和环境 通用计算机具有完善的人机接口界面，在上面增加一些开发应用程序和环境 即可进行对自身的开发。而嵌入式系统本身不具备自主开发能力，即使设计完成 以后用户通常也是不能对其中的程序功能进行修改的，必须有另一套开发工具和 环境才能进行开发。 3 2 1 开发工具概述 与主流软件开发非常类似，嵌入式系统开发也需要用到编译器，链接器，解 释程序，集成开发环境以及诸如此类的其他开发工具。然而，嵌入式开发者的工 具有所不同，因为他们用来执行应用程序的平台与用来建立应用程序的平台并不 相同。因此，这些工具常被称为跨平台开发工具或简称交叉开发工具。 3 2 2 实际项h i 作空间的使用 在你为目标板开发及定制软件的过程中，将需要在一个综合的、容易使用 的目录结构里，组织各种软件包和项目组件。我使用的项目目录安排方式： 目录内容 b o o t l d r b u il d - t o o l s d e b u g d o c 目标板的引导加载程序 建立跨平台开发工具链需要用到的包和目录 调试工具以及所有相关包 项目将会用到的所有文档 广东工业大学硕士学位论文 像，以及根文件系统 k e r n e l r o o t f s u s e r t m p t o o l s g o a h e a d b u s y b o x 准备使用在目标板上的引导加载程序和内核的二进制映 在目标板上进行评估的各个内核版本 目标板的内核在运行时看到的根文件系统 系统需要用到的应用程序在此目录 进行实验时或临时文件会用此目录 跨平台开发工具链以及c 链接库全都放在此目录 w e bs e r v e r b u s y b o xt o o l s 3 2 3g n u 跨平台开发工具链的建立 为了对任何目标板进行应用程序的交叉开发，需要将各种二进制工具集成成 工具链，其中包括l d 、g a s 、a r 、c 编译器( g c c ) 以及c 链接库( g l i b c ) 。可 以从网站兰圭乜；么么兰圭q ：g 翌婪：q ! g 么g 旦坠么下载g n u 工具链的各个组件：b i n u t i l s 包，g c a 包，g li b c 包，根据前面建议的项目目录安排方式，这些包应该下载到$ p r j r o o t b u i i d t o o l s 目录。 想要选用适当的版本，必须试着找到适合主机和目标板的组合。可以打听他 人已成功应用的组合，也可以自己测试可用的版本组合。一开始使用每个套件最 新出来的稳定版本，如果无法建立的话，再依次换成较旧的版本。当发现一个可 以编译成功的新版本组合，务必测试其产生的工具链是否可以使用。有些版本的 组合或许可以编译成功，但是使用的时候仍旧会失败。 3 2 3 1 建立前的准备工作 1 主机上应该有一个原生工具链； 2 为主机准备一组有效的内核头文件，这些头文件通常必须放在u s r i n c l u d e 1 i n u x ，u s r i n c l u d e a s m 和u s r i n c l u d e a s m - g e n e r i c 等目录中， 用来编译安装在系统上的原生g l i b c 。在较旧的发行包以及某些安装中， 12 第三章嵌入式系统的构建 这些目录实际上是u s r s r c l i n u x 目录里某些目录的符号链接。而u s r s r c l i n u x 目录本身则是发行包安装的内核源码的符号链接。 3 2 3 2 工作空间的设置 工具链将会建立在$ p r j r o o t ) b u i l d t o o l s 目录中，而建立的组件则会被安 装到$ p r j r o o t t o o l s 目录中。为此，需要定义一些额外的环境变量。可简化 建立的程序，下面是用来建立新环境变量的p a t h s h 命令脚本： e x p o r tp r o j e c t = p r o j e c t e x p o r tp r j r o o t = h o m e h g y i $ p r o j e c t ) e x p o r tt a r g e t = a r m li n u x定义目标板类型 e x p o r tp r e f i x = $ p r j r o o t ) t o o ls为组件配置命令脚本 提供一个指针，目标扳工具程序被安装的目录 e x p o r tt a r g e t p r e f i x = $ p r e f i x ) $ t a r g e t )与目标板相关的头文件 和链接库安装的目录 e x p o r tp a t h = $ p r e f i x ) b i n ：$ p a t h ) e x p o r t a r c h = a r m e x p o r t c r o s sc o m p i l e = a r m - ii n u x 3 2 3 3 准备b u i l d - t o o l s 目录 该目录中应该包含的包以及建立的目录： g c c 一3 3 2 t a r g z ，g l i b c 一2 3 2 t a r g z ，b i n u t i i s 一3 3 4 t a r g z 3 2 3 4 内核头文件的设置 下载内核存放在内核的目录$ p r j r o o t ) k e r n e l ，所有的内核都可以从位于h t t p ：77 w 删。k e r n e l o r g 飞戴o 1 ) 解压内核 13 广东工业大学硕士学位论文 s t a rx v z fli n u x 一2 6 2 4 t a r g z 2 ) 配置内核 sc d1 i n u x - 2 6 2 4 sm a k ea r c h = a r mc r o s s _ c o m p i l e = a r m - li n u x m e n u c o n f i g 3 ) 建立工具链所需要的i n c l u d e 目录，并将内核头文件复制过去： sm k d i r ps t a r g e t _ p r e f i x ) i n c l u d e sc p ri n c l u d e 1i n u x s t a r g e t _ p r e f o x i n c l u d e sc p ri n c l u d e a s m i 3 8 6 s t a r g e t p r e f i x ) i n c l u d e a s m sc p ri n c l u d e a s m - g e n e r i c s t a r g e t p r e f o x ) i n c l u d e 请注意，不必在每次设定内核配置之后重建工具链。工具链只需要一组可供目标 板使用的有效头文件即可，这些头文件在早先的程序中就已经提供了。今后你可 能会选择重新设定内核的配置，或是使用另一个内核，这都不会对工具链造成任 何的影响，除非你变更了处理器或系统的类型。 3 2 3 5b i n u t i l s 的设置 1 ) 取源码解压 s t a rx v z fb i n u t i l s 一3 3 4 t a r g z 2 ) 为跨平台开发设定包的配置 $ c db u i l d b i n u t i i s s b i n u t i l e 一3 3 4 c o n f i g u r e 一一t a r g e t = $ t a r g e t 一一p r e f i x = $ p r e f i 3 ) 建立实际的工具 $ m a k e 4 ) 安装b i n u t i l s $ m a k ei n s t a l1 安装目录 列出适当的目录来检查安装结果是否正确： s i ss p r e f i x ) b i n 14 第三章嵌入式系统的构建 a r m 一1i n u x a sa r m li n u x l da r m - ii n u x s t r i p 3 2 3 6 引导编译器的设置 与b i n u t i l s 套件相比，g c c 套件只包含一个工具程序( 即g n u 编译器) ，不 过它还支持一些组件，如运行时库。在目前阶段，会建立引导编译器，该编译器 只支持c 语言。等到c 链接库编译好之后，会重新便宜g c c 并提供完整的c + + 支 1 ) 取源码解压 s t a rx v z fg c c 一3 3 2 t a r g z 将会产生一个包含内容为g c c 一3 3 2 目录。 2 ) 配置 $ c d b uiid 。b o o t 。g c c $ g c c 一3 3 2 c o n f i g u r e 一一t a r g e t = $ t a r g e t 一一p r e f i x = $ p r e f i x ) 一一 w i t h o u t h e a d e r s 一一w i t h n e w l i b 一一e n a b l e l a n g u a g e s = c 因为这是个交叉编译器，还不需要目标板的系统头文件，所以需要使用- - w i t h o u t h e a d e r s ，还要以w i t hn e w l i b 来告诉配置工具不要使用g l i b c ，因为9 1 i b c 尚未针对目标板完成编译的动作。 3 ) 编译和安装 s m a k ea ll g c c s m a k ei n s t a l1 一g c c 可重新检查一番，编译器文件名是a r m li n u x g c c 。 3 2 3 7c 链接库的设置 1 ) 取源码放到$ p r j r o o t b u i l d - t o o l s 目录解压 $ t a rx v z fg li b c li n u x t h r e a d s 一2 3 2 t a r g z 一一d i r e c t o r y = g li b c 一2 3 2 15 广东工业大学硕士学位论文 2 ) 编译 $ c c = a r m - 1i n u x g c c g li b c 一3 3 2 c o n f i g u r e 一一h o s t = $ t a r g e t 一一p r e f i x = ”u s r ”一一e n a b l e a d d o n s w i t hh e a d e r s = $ t a r g e t _ p r e f i x i n c l u d e $ m a k e 3 ) 安装 s m a k ec r o s s = a r m - i i n u x p r e f i x = “i n s t a l l 3 2 3 8 完整编译器的设置 为目标板安装支持c 和c + + 的完整编译器。 1 ) 配置 $ c d $ p r j r o o t ) b u i l d t o o l s b u i l d g c c $ g c c 一3 3 2 c o n f i g u r e 一一t a r g e t = $ t a r g e t 一一p r e f i x = $ p r e f i x ) 一一 e n a b l e l a n g u a g e s = c ，c + + 若把t a r g e t _ p r e f i x 设成$ p r e f i x ) $ t a r g e t ) 之外的值，将需要使用w i t hh e a d e r s 和= w i t hl i b s 选项来同配置命令脚本到哪里寻找g l i b c 安装的头文件 和链接库。 2 ) 编译和安装 s m a k ea 1 1 $ m a k ei n s t a l1 3 3 内核方面的考虑 3 3 1 内核概述 内核是所有l