一種區域網中的計算機啟動方法和一種區域網的製作方法

2023-05-31 20:16:01

專利名稱：一種區域網中的計算機啟動方法和一種區域網的製作方法
技術領域：
本發明涉及網絡安全技術，特別是涉及一種區域網中的計算機啟動方法和一種局 域網。
背景技術：
隨著網絡技術的發展和社會信息化程度的不斷提高，網絡在給人們帶來巨大的經 濟效益和社會效益的同時，網絡安全問題也日益突出。區域網作為網絡的一種，是指在一定 區域內由多臺計算機互聯而成的計算機組，該區域一般是指方圓幾千米以內的區域。局域 網可以獨立實現應用軟體共享、文件管理、印表機共享、工作組內的日程安排、電子郵件和 傳真通信服務等功能。區域網相對於外網而言是封閉的，它可以通過網關與外網相連進行 通信，因此，對區域網的安全威脅一方面是來自外部，例如網絡攻擊、破壞及入侵；另一方面 來自於內部人員有意或無意的攻擊或洩密。目前，用於對付外部威脅的安全技術主要有防 火牆、訪問控制、入侵檢測、認證和加密等，這些技術已基本可以防禦外部對區域網的攻擊 或入侵，而來自區域網內部的安全威脅卻越來越嚴重，因此，保障區域網免受內部攻擊或洩 密成為當前的研究熱點。對區域網的內部攻擊或洩密，與對區域網的系統伺服器、數據伺服器以及區域網 中的計算機存儲設備的訪問直接相關，例如，病毒、木馬等非法應用程式在區域網中的計算 機上運行，當訪問系統伺服器或數據伺服器時，就有可能將其感染；區域網用戶有意或無意 的洩密行為，也通常是在取得涉密文件後利用網絡或計算機存儲設備等輸出設備把重要信 息洩露出去。圖1為現有技術中區域網的結構圖。如圖1所示，現有技術中，區域網101通過網 關102與外網103相連，區域網101包括應用伺服器104、資源伺服器105、動態監控交換機 集合106以及透明計算機107，其中，應用伺服器104包括Web伺服器108、郵件伺服器109 和列印伺服器110等，用於向透明計算機107提供各種應用服務；資源伺服器105包括保存 涉密文件的數據伺服器111和進行系統控制的系統伺服器112，動態監控交換機集合106包 括用於控制透明計算機的通信連接的控制器113和用於向透明計算機107提供網絡連接的 交換機114 ；透明計算機107中沒有本地硬碟等存儲設備，也沒有接口與移動存儲設備相連 接。現有技術防止區域網101內部安全威脅的方法，是利用圖1中的透明計算機107 作為區域網101的終端。透明計算機107沒有本地硬碟等存儲設備，它從系統伺服器讀取 作業系統，在本地運行各種應用程式，運行結果存儲在伺服器的存儲設備。由於透明計算機 107沒有本地硬碟等存儲設備，因而也就不能存儲任何文件，只要有效防範來自外部的安全 威脅，就可以保證區域網101的安全。現有技術中，由於作為終端的透明計算機沒有本地硬碟等存儲設備，自身不能保 存作業系統，只能從系統伺服器讀取，因此，這種透明計算機離開該區域網就無法使用，這 大大降低了終端設備的使用率。
另外，現有技術中的區域網採用透明計算機作為終端，如果想要部署區域網時必 然要增加額外的成本購買透明計算機。而且，由於透明計算機與普通計算機的結構有所不 同，因而所組建的區域網的結構也必然有所差異，這也增加了使用透明計算機終端的局域 網的組建成本。綜上所述，現有的採用透明計算機作為終端的區域網，降低了終端的使用率，而且 提高了組網成本。

發明內容
本發明公開了一種區域網中的計算機啟動方法，該方法能提高終端的使用率，降 低組網成本。本發明還公開了一種區域網，該區域網能提高終端的使用率，且組網成本低。為達到上述目的，本發明的技術方案是這樣實現的一種區域網中的計算機啟動方法，該區域網通過網關與外網連接，該區域網包括 系統伺服器、數據伺服器和計算機，該方法包括計算機在啟動時，確定從本地硬碟的作業系統引導或從系統伺服器上的虛擬鏡像 文件引導，並通知系統伺服器；當確定從本地硬碟的作業系統引導時，該計算機從本地硬碟上的作業系統引導啟 動，系統伺服器設置網關對於該計算機可用，並拒絕該計算機訪問系統伺服器和數據服務 器；當確定從系統伺服器上的虛擬鏡像文件引導時，該計算機從系統伺服器上的虛擬 鏡像文件引導啟動，系統伺服器設置網關以及該計算機的本地硬碟都對於該計算機不可用。所述系統伺服器上的虛擬鏡像文件，是通過虛擬化技術將該計算機本地硬碟的操 作系統鏡像到系統伺服器，從而在系統伺服器上形成的。當確定從本地硬碟的作業系統引導時，該方法進一步包括系統伺服器不監控該 計算機的訪問事件；當確定從系統伺服器上的虛擬鏡像文件引導時，該方法進一步包括系統伺服器 監控該計算機的訪問事件。當確定從系統伺服器上的虛擬鏡像文件引導時，該方法進一步包括系統伺服器詢問計算機的使用模式；計算機確定使用模式為私有模式或標準模式，並通知系統伺服器；當計算機的使用模式為私有模式時，系統伺服器將該計算機對作業系統的修改保 存於所述虛擬鏡像文件；當計算機的使用模式為標準模式時，系統伺服器將該計算機對作業系統的修改不 保存到所述虛擬鏡像文件。系統伺服器上的監控模塊預先設置強制控制條件和強制控制規則；當計算機從系統伺服器上的虛擬鏡像文件引導時，該方法進一步包括系統伺服器上的監控模塊將該計算機的訪問事件記錄到日誌中；系統伺服器上的監控模塊根據所述日誌，判斷該計算機的訪問事件是否符合所述強制控制條件，如果是，則根據所述強制控制規則，對該計算機進行強制控制。一種區域網，該區域網通過網關與外網連接，所述區域網包括系統伺服器、數據 伺服器和計算機；其中，計算機，用於在啟動時，確定從本地硬碟的作業系統引導或從系統伺服器上的虛 擬鏡像文件引導，並通知系統伺服器；當確定從本地硬碟的作業系統引導時，從本地硬碟上 的作業系統引導啟動；當確定從系統伺服器上的虛擬鏡像文件引導時，從系統伺服器上的 虛擬鏡像文件引導啟動；系統伺服器，用於在計算機確定從本地硬碟的作業系統引導時，設置網關對於該 計算機可用，並拒絕該計算機訪問系統伺服器和數據伺服器；在計算機確定從系統伺服器 上的虛擬鏡像文件引導時，設置網關以及該計算機的本地硬碟都對於該計算機不可用；
數據伺服器，用於保存數據。所述系統伺服器，通過虛擬化技術將計算機本地硬碟上的作業系統鏡像到系統服 務器，從而得到虛擬鏡像文件。系統伺服器，進一步包括監控模塊；當計算機確定從本地硬碟的作業系統引導時，所述監控模塊不監控該計算機的訪 問事件；當計算機確定從系統伺服器上的虛擬鏡像文件引導時，所述監控模塊監控該計算 機的訪問事件。系統伺服器，在計算機確定從系統伺服器上的虛擬鏡像文件引導時，進一步用於 詢問計算機的使用模式，接收計算機的使用模式確定信息；如果計算機的使用模式為私有 模式，則將計算機對作業系統的修改保存到所述虛擬鏡像文件；如果計算機的使用模式為 標準模式，則不將計算機對作業系統的修改保存到所述虛擬鏡像文件計算機，進一步用於接收系統伺服器對使用模式的詢問，確定使用模式為私有模 式或標準模式，並向系統伺服器發送使用模式確定信息；對作業系統進行修改。系統伺服器，進一步包括監控模塊，用於預先設置強制控制條件和強制控制規 則；監控模塊，用於在計算機從系統伺服器上的虛擬鏡像文件引導啟動時，將該計算 機的訪問事件記錄到日誌中，並根據所述日誌判斷計算機的訪問事件是否符合所述強制控 制條件，如果是，則根據所述強制控制規則對計算機進行強制控制。由此可見，本發明中區域網的終端計算機在啟動時，首先確定從本地硬碟的操作 系統引導或從系統伺服器上的虛擬鏡像文件引導，並通知系統伺服器，當計算機從本地硬 盤上的作業系統引導啟動時，系統伺服器設置網關對於該計算機可用，並拒絕該計算機訪 問系統伺服器和數據伺服器，當計算機從系統伺服器上的虛擬鏡像文件引導啟動時，系統 伺服器設置網關以及該計算機的本地硬碟都對於該計算機不可用的技術方案，由於計算機 從本地硬碟的作業系統引導時，是作為普通的網絡終端使用，而不能訪問區域網中的相關 信息，當計算機從系統伺服器上的虛擬鏡像文件引導時，是作為區域網的終端使用，能夠訪 問區域網，但不能訪問外網以及在本地存儲信息，因此做到了一機兩用，從而提高了終端設 備的使用率，降低了組網成本。


圖1為現有技術中區域網的結構圖；圖2為本發明提出的區域網中的計算機啟動方法圖；圖3為本發明提出的系統伺服器的監控模塊對計算機進行強制控制的流程圖；圖4為本發明提出的區域網的結構圖。
具體實施例方式本發明的核心思想是在區域網的組網中，終端使用普通的計算機，而不是透明計 算機；區域網中的計算機在啟動時，確定從本地硬碟的作業系統引導或從系統伺服器上的 虛擬鏡像文件引導，並通知系統伺服器；如果確定從本地硬碟的作業系統引導，那麼該計算 機從本地硬碟上的作業系統引導啟動，系統伺服器把網關設置為對於該計算機可用，並拒 絕該計算機對系統伺服器和數據伺服器的訪問；如果確定從系統伺服器上的虛擬鏡像文件 引導，那麼該計算機從系統伺服器上的虛擬鏡像文件引導啟動，系統伺服器將網關以及該 計算機的本地硬碟都設置為對於該計算機不可用。這樣，當計算機從本地硬碟的作業系統引導時，是作為普通網絡終端使用，而不能 訪問區域網中的相關信息，當計算機從系統伺服器上的虛擬鏡像文件引導時，是作為局域 網的終端使用，能夠訪問區域網，但不能訪問外網以及在本地存儲信息，因此做到了 一機兩 用，提高了終端設備的使用率，降低了組網成本為了使本發明的目的、技術方案和優點更加清楚，下面結合附圖和具體實施例對 本發明進行詳細描述。本發明實施例中的區域網的組網結構與圖1所示的現有區域網結構相比，區別僅 在於，其終端不是透明計算機，而是普通的計算。因此，本發明中實施例中區域網在結構上 至少包括系統伺服器、數據伺服器和計算機等設備，其中，本發明實施例區域網中的計算機 相對現有技術中的透明計算機而言，具有本地硬碟等存儲設備，可以保存本地作業系統，並 能夠從本地作業系統引導啟動。圖2為本發明提出的區域網中的計算機啟動方法圖。如圖2所示，該方法包括以 下步驟步驟201 計算機啟動時，系統伺服器詢問計算機的引導方式，計算機確定從本地 硬碟的作業系統引導或從系統伺服器上的虛擬鏡像文件引導，並通知系統伺服器。這裡，區域網中的計算機在啟動時，系統伺服器通過詢問計算機的引導方式，來確 定計算機讀取作業系統的位置，以及計算機啟動後訪問區域網和外網的權限。在本實施例中，區域網中的計算機有兩種引導方式，一種引導方式是從本地硬碟 的作業系統引導，另一種引導方式是從系統伺服器上的虛擬鏡像文件引導。為簡化描述，在 後面的描述中，將從本地硬碟的作業系統引導簡稱為本地硬碟引導方式，將從系統伺服器 上的虛擬鏡像文件引導簡稱為虛擬鏡像文件引導方式。這裡，系統伺服器上的虛擬鏡像文 件是通過以下方法形成的通過虛擬化技術，將計算機本地硬碟的作業系統鏡像到系統服 務器，從而在系統伺服器上形成虛擬鏡像文件。區域網中的計算機採用不同的引導方式，意味著計算機讀取作業系統的位置不 同，並且計算機訪問區域網和外網的權限也有所不同。
作為對系統伺服器的詢問的響應，計算機可以有三種方式確定引導方式為本地硬 盤引導方式第一種方式是在系統伺服器提供的選項中選擇本地硬碟引導方式；第二種方 式是計算機在啟動時，用戶通過按鍵盤上的「Esc」鍵，直接從本地硬碟引導方式啟動；第三 種方式是設置計算機的基本輸入輸出系統(BIOS)，使計算機不能與系統伺服器或數據服務 器建立連接，從而不能訪問區域網中的涉密文件，只能採用本地硬碟引導方式。作為對系統伺服器的詢問的響應，計算機可以在系統伺服器提供的選項中選擇虛 擬鏡像文件引導方式作為自身的引導方式，從而啟動。當計算機確定採用本地硬碟引導方式時，依次執行步驟202、和203 ；當計算機確 定採用虛擬鏡像文件引導方式時，依次執行步驟204和205，以及步驟206或207。步驟202 當確定計算機的引導方式為本地硬碟引導方式時，系統伺服器設置網 關對於該計算機可用，拒絕計算機訪問自身和數據伺服器，系統伺服器設置自身的監控模 塊不監控該計算機的訪問事件。這裡，計算機的引導方式為本地硬碟引導方式，意味著該計算機從本地硬碟的操 作系統引導啟動，並且該計算機可以通過網關訪問外網，但沒有訪問區域網的權限，即不能 訪問系統伺服器和數據伺服器。網關的狀態為相對於該計算機可用，這樣計算機可以通過網關跟外網連接，實現 與外網的通信。數據伺服器拒絕計算機訪問自身和數據伺服器，則計算機不能訪問數據伺服器中 的涉密文件，從而防止洩密，保障了區域網的安全。系統伺服器包括監控模塊。進一步地，當計算機的引導方式為本地硬碟引導方式時，由於計算機不能訪問系 統伺服器和應用伺服器，該計算機不會威脅到區域網的安全，系統伺服器中的監控模塊不 需要監控該計算機的訪問事件，因此，系統伺服器設置自身的監控模塊不監控該計算機的 訪問事件。計算機的訪問事件在後面做具體描述。步驟203 計算機從本地硬碟上的作業系統引導啟動。這裡，本實施例的區域網中的終端不是透明計算機，而是具有本地硬碟的計算機， 本地硬碟用來存儲本地的作業系統。需要說明的是，步驟202和步驟203的執行順序不限定，可以是同時，也可以是步 驟203在步驟202之前執行。步驟204:當確定計算機的引導方式為虛擬鏡像文件引導方式時，系統伺服器設 置網關和該計算機的本地硬碟都對於該計算機不可用，設置自身的監控模塊監控該計算機 的訪問事件。這裡，當計算機的引導方式為虛擬鏡像文件引導方式時，意味著計算機具有訪問 區域網的權限，因而可以訪問數據伺服器中的涉密文件。系統伺服器設置計算機的本地硬 盤的狀態為相對於該計算機不可用，可以防止計算機將訪問的涉密文件保存到計算機的本 地硬碟中；系統伺服器設置網關的狀態為相對於該計算機不可用，可以防止計算機通過網 關向外網傳輸涉密文件，這樣的設置有效防止了區域網的數據伺服器所保存的涉密文件的 洩密。進一步地，當計算機的引導方式為虛擬鏡像文件引導方式時，由於計算機有訪問系統伺服器和數據伺服器的權限，有可能威脅到區域網的安全，就需要系統伺服器中的監 控模塊監控該計算機的訪問事件，因此，系統伺服器設置自身的監控模塊監控該計算機的 訪問事件。監控模塊對該計算機的訪問事件的監控在後面做具體描述。步驟205 計算機從系統伺服器上的虛擬鏡像文件引導啟動，系統伺服器詢問計 算機的使用模式，計算機確定使用模式為私有模式或標準模式，並通知系統伺服器。這裡，當計算機的引導方式為虛擬鏡像文件引導方式時，計算機從系統伺服器上 的虛擬鏡像文件引導啟動。本發明中，計算機的使用模式有兩種，一種是私有模式，一種是標準模式。計算機 的使用模式不同，計算機對作業系統所做的修改的保存方式也有所不同。系統伺服器通過 詢問的方式得到計算機採用的使用模式，從而設置計算機對作業系統所做的修改的保存方 式。計算機確定使用模式之後，按照使用模式的不同，計算機對作業系統所做的修改 分別在步驟206和步驟207中按照不同的方式進行保存。步驟206 當計算機的使用模式為私有模式時，系統伺服器將該計算機對操作系 統的修改保存於虛擬鏡像文件。這裡，在私有模式下，系統伺服器將計算機對作業系統的修改保存於虛擬鏡像文 件之後，在該計算機以後的所有會話中，本次會話中的修改都能繼續保留使用。其中，計算 機的一次會話，是指從用戶登錄該計算機開始、直至該用戶註銷此次登錄為止的整個過程， 在計算機的一次會話中，計算機始終以登錄在該計算機上的用戶的身份對區域網或外網進 行訪問。步驟207 當計算機的使用模式為標準模式時，系統伺服器將該計算機對操作系 統的修改不保存到虛擬鏡像文件。這裡，在標準模式下，計算機對作業系統的修改僅在計算機的本次會話中有效，而 不保存到虛擬鏡像文件，當計算機退出本次會話後，該修改即被取消，在以後的會話中該修 改不能再保留使用。計算機採用私有模式時，計算機對作業系統的修改能夠保存到系統伺服器上的虛 擬鏡像文件中，從而使計算機在以後的所有會話中都能使用該修改，這有利於作業系統不 斷得到升級，保證作業系統的持續安全；計算機採用標準模式時，計算機對作業系統的修改 不能保存到虛擬鏡像文件，這些修改只在本次會話中使用，這可以防止計算機在本次會話 中對作業系統進行有意或無意的破壞，有利於保證作業系統的安全。為了保證區域網的安全，當確定計算機的引導方式為虛擬鏡像文件引導方式時， 系統伺服器上的監控模塊進一步負責監控計算機的訪問事件。計算機的各種訪問事件，可以是計算機訪問區域網中另一臺計算機的事件，也可 以是計算機訪問數據伺服器中保存的涉密文件的事件，還可以是計算機訪問區域網中的應 用伺服器的事件等。在現有技術中，計算機具有最高安全級別和當前安全級別，保存在數 據伺服器中的涉密文件則具有自身的安全級別，這裡，安全級別代表一種權限，安全級別越 高，則表示相應的權限也越高。計算機的最高安全級別，表示計算機所具有的訪問涉密文件 的最大權限，計算機所能訪問的涉密文件的安全級別不能高於計算機的最高安全級別，計 算機所能訪問的區域網中另一臺計算機的最高安全級別必須與自身的最高安全級別相等。計算機的當前安全級別，表示計算機當前所擁有的訪問涉密文件的權限，計算機當前所能 訪問的涉密文件的安全級別不能高於計算機的當前安全級別。計算機的當前安全級別是可 以變化的，但不能超過該計算機的最高安全級別，如果涉密文件的安全級別高於計算機的 當前安全級別，卻低於其最高安全級別，那麼計算機也能通過動態調整當前安全級別的方 式，將自身的當前安全級別提高到與該涉密文件的安全級別相等，從而實現對該涉密文件 的訪問。監控模塊根據現有技術中的監控策略對計算機的訪問事件 進行監控的一個實施 例如下當計算機訪問區域網中另一臺計算機時，監控模塊比較這兩臺計算機的最高安全 級別，如果二者的最高安全級別相等，則允許兩臺計算機之間進行通信，否則不允許它們進 行通信。當計算機訪問數據伺服器中的涉密文件時，監控模塊將計算機的當前安全級別、最 高安全級別與涉密文件的安全級別進行比較，如果涉密文件的安全級別不高於計算機的當 前安全級別，那麼允許該計算機訪問該涉密文件；如果涉密文件的安全級別高於計算機的 當前安全級別，但不高於計算機的最高安全級別，那麼監控模塊通知計算機動態調整當前 安全級別，使其提高到與該涉密文件的安全級別相等，然後允許該計算機訪問該涉密文件； 如果涉密文件的安全級別高於計算機的最高安全級別，那麼監控模塊不允許該計算機訪問 該涉密文件。當計算機訪問應用伺服器時，監控模塊首先查詢該計算機是否具有訪問應用 伺服器的權限，如果該計算機具有訪問應用伺服器的權限，則監控模塊允許該計算機訪問 應用伺服器，如果沒有，那麼監控模塊不允許該計算機訪問應用伺服器。以上只是監控模塊監控計算機的訪問事件的一個實施例，監控模塊監控計算機訪 問事件的方式不僅限於上述方式，且屬於現有技術，此處不再一一列舉。當確定計算機的引導方式為本地硬碟引導方式時，如步驟202所述，計算機不能 訪問系統伺服器和應用伺服器，因而該計算機不會威脅到區域網的安全，系統伺服器中的 監控模塊不需要監控該計算機的訪問事件，因此，系統伺服器設置自身的監控模塊不監控 該計算機的訪問事件。本發明中，區域網中的計算機在啟動時首先確定其引導方式，引導方式不同，計算 機讀取作業系統的位置不同，計算機啟動後訪問區域網和外網的權限也不相同，當採用本 地硬碟引導方式時，計算機不能訪問區域網中的涉密文件，但能通過網關與外網連通，從而 實現與外界信息的共享，當採用虛擬鏡像文件引導方式時，計算機不能與外網連通，也不能 在本地硬碟上保存文件，但能訪問區域網中的涉密文件，這種區域網中的計算機啟動方法 既有效保證了區域網的安全，又能使計算機在脫離區域網的情況下正常使用，相對現有技 術，這大大提高了終端設備的使用率。另外，由於本發明中區域網終端是採用市場上常見的普通計算機，無需像現有技 術中的透明計算機那樣經過特殊設計和製造，在部署網絡時只需按照市場價格購買設備即 可，並且區域網的結構也是採用通用結構，無需重新設計，因此，相對現有技術，本發明的設 備購買成本和組網成本都很低。圖3為本發明提出的系統伺服器的監控模塊對計算機進行強制控制的流程圖，如 圖3所示，系統伺服器的監控模塊可以進一步對區域網中的計算機進行強制控制，以防止 計算機在訪問中進行有意或無意的非法操作。監控模塊對計算機進行強制控制的流程包 括
步驟301 系統伺服器上的監控模塊預先設置強制控制條件和強制控制規則。這裡，系統伺服器上的監控模塊需要預先設置強制控制條件和強制控制規則，從 而對訪問事件符合強制控制條件的計算機按照強制控制規則進行強制控制。強制控制條件的一個實施例如下同一計算機在同一次會話中訪問同一涉密文件 三次以上，並且每次都被監控模塊拒絕，對符合這種強制控制條件的計算機，監控模塊可以 對其進行強制控制，相應的強制控制規則為強制關機；強制控制條件另一個實施例為同 一計算機在同一次會話中三次以上請求與最高安全級別高於自身的計算機進行通信的請 求，對符合該強制控制條件的計算機，監控模塊可以對其進行強制控制，相應的強制控制規 則為警告。以上為強制控制條件和強制控制規則的兩個實施例，本發明中所述的強制控制條 件和強制控制規則不僅限於以上兩個實施例，凡是計算機所做的可能對區域網造成洩密或 安全威脅的非法操作，都可以屬於強制控制條件，而監控模塊針對訪問事件符合強制控制 條件的計算機所可以進行的操作，都可以屬於強制控制規則。步驟302 當計算機的引導方式為虛擬鏡像文件引導方式時，系統伺服器上的監 控模塊將計算機的訪問事件記錄到日誌中。這裡，監控模塊對計算機的訪問事件進行記錄的目的是進行系統分析，從而找到 訪問事件符合步驟301中設置的強制控制條件的計算機，然後按照強制控制規則對其進行 強制控制。計算機的訪問事件與圖2步驟205中所述的相同，在此不做重複描述。步驟303 系統伺服器上的監控模塊根據日誌，判斷計算機的訪問事件是否符合 強制控制條件。這裡，如果監控模塊根據日誌，判斷區域網中的一臺計算機的訪問事件符合強制 控制條件，則執行步驟304，否則，執行步驟305。步驟304 系統伺服器上的監控模塊根據強制控制規則，對計算機進行強制控制。這裡，監控模塊在步驟303中判斷區域網中一臺計算機的訪問事件符合步驟301 中設置的強制控制條件，就按照步驟301設置的強制控制規則，對該計算機進行強制控制。步驟305 系統伺服器上的監控模塊不對計算機進行強制控制。這裡，監控模塊在步驟303中判斷區域網中一臺計算機的訪問事件不符合步驟 301中設置的強制控制條件，就不對該計算機進行強制控制。另夕卜，本發明還提出了一種區域網，圖4為本發明提出的區域網的結構圖。如圖4 所示，該區域網的組網結構與圖1的差別在於終端不是透明計算機，而是普通的計算機。該 區域網401通過網關402與外網403連接，該區域網401包括應用伺服器404、資源服務 器405、動態監控交換機集合406以及計算機407。其中，應用伺服器404，包括Web伺服器408、郵件伺服器409和列印伺服器410等，用於 向計算機407提供Web服務、郵件服務及列印服務等各種應用服務；資源伺服器405包括數據伺服器411和系統伺服器412 ；數據伺服器411，用於保存數據，其中，包括涉密文件；系統伺服器412，用於在計算機407啟動時詢問計算機407的引導方式；如果計算 機407確定採用本地硬碟弓|導方式，則設置網關402對於該計算機407可用，並拒絕該計算
11機407訪問數據伺服器411和系統伺服器412 ；如果計算機407確定採用虛擬鏡像文件引導方式，則設置網關402和計算機407上的本地硬碟都對於該計算機不可用；系統伺服器412 上的虛擬鏡像文件，是通過虛擬化技術將計算機407本地硬碟上的作業系統鏡像到系統服 務器412，從而在系統伺服器412上形成的；動態監控交換機集合406，包括控制器413和交換機414 ；控制器413，用於對區域網401中的各計算機的通信連接進行控制；交換機414，用於為區域網401中的各計算機提供網絡連接；計算機407，用於在啟動時，確定採用本地硬碟引導方式或虛擬鏡像文件引導方式，並通知系統伺服器412 ；如果確定採用本地硬碟引導方式，則從本地硬碟上的作業系統 引導啟動；如果確定採用虛擬鏡像文件引導方式，則從系統伺服器412上的虛擬鏡像文件 引導啟動；這裡，與現有技術的透明計算機相比，計算機407包括本地硬碟等存儲設備，可 以保存本地作業系統，用於供計算機讀取並啟動。由於本發明區域網401中的應用伺服器404、動態監控交換機集合406以及數據服 務器411的功能與現有技術相同，本發明中不多做描述。由此可見，本發明中，區域網401中的計算機407在啟動時首先確認其引導方式， 當採用本地硬碟引導方式時，計算機407不能訪問數據伺服器411中的涉密文件，但能通過 網關402與外網403連通，從而實現與外界信息的共享，當採用虛擬鏡像文件引導方式時， 計算機407不能與外網403連通，也不能在本地硬碟上保存文件，但能訪問數據伺服器411 中的涉密文件，這種區域網既有效保證了網絡數據的安全，又能使計算機407在脫離局域 網401的情況下正常使用，相對現有技術，這大大提高了終端設備的使用效率。另外，由於本發明中區域網401所使用的終端為市場上常見的計算機，無需像現 有技術中的透明計算機那樣經過特殊設計和製造，在部署網絡時只需按照市場價格購買設 備即可，並且區域網的結構也是採用通用結構，無需重新設計，因此，相對現有技術，本發明 的設備購買成本和組網成本都很低。為了進一步保證區域網401的安全，本發明中，系統伺服器412進一步包括監控模 塊，當計算機407確定採用本地硬碟引導方式時，由於計算機407不能訪問數據伺服器411 和系統伺服器412，因此，監控模塊不需監控該計算機407。本發明中，為了進一步使區域網的長期持續安全得到保證，當計算機確定採用虛 擬鏡像文件引導方式時，對區域網401中的計算機407設置了兩種使用模式一種是私有模 式，一種是標準模式。計算機407的使用模式不同，計算機407對作業系統所做的修改的保 存方式也有所不同。系統伺服器412通過詢問的方式得到計算機407採用的使用模式，從 而設置計算機407對作業系統所做的修改的保存方式，因此，系統伺服器412，在計算機的引導方式為虛擬鏡像文件引導方式時，進一步用於詢 問計算機407的使用模式，接收計算機的使用模式確定信息；如果計算機407的使用模式為 私有模式，則將計算機407對作業系統的修改保存到虛擬鏡像文件，如果計算機407的使用 模式為標準模式，則不將計算機407對作業系統的修改保存到虛擬鏡像文件；計算機407，進一步用於接收系統伺服器412對使用模式的詢問，確定使用模式為 私有模式或標準模式，並向系統伺服器412發送使用模式確定信息；對作業系統進行修改。進一步地，為了防止計算機有意或無意的非法操作對區域網401的安全造成威脅，本發明中系統伺服器412上的監控模塊還具有針對區域網401中的計算機的強制控制 功能，其具體結構如下系統伺服器412上的監控模塊，進一步用於在計算機的引導方式為虛擬鏡像文件 引導方式時，預先設置強制控制條件和強制控制規則；當計算機407的引導方式為虛擬鏡 像文件引導方式時，將計算機407的訪問事件記錄到日誌中；根據日誌，判斷計算機407的 訪問事件是否符合強制控制條件，如果符合強制控制條件，則根據強制控制規則，對計算機 407進行強制控制，如果不符合強制控制條件，則不對計算機407進行強制控制。由此可見，本發明 具有以下優點(1)本發明中，區域網中的計算機在啟動時首先確定其引導方式，引導方式不同， 計算機讀取作業系統的位置不同，計算機啟動後訪問區域網和外網的權限也不相同，當採 用本地硬碟引導方式時，計算機不能訪問區域網中的涉密文件，但能通過網關與外網連通， 從而實現與外界信息的共享，當採用虛擬鏡像文件引導方式時，計算機不能與外網連通，也 不能在本地硬碟上保存文件，但能訪問區域網中的涉密文件，這種區域網中的計算機啟動 方法既有效保證了區域網的安全，又能使計算機在脫離區域網的情況下正常使用，相對現 有技術，這大大提高了終端設備的使用率。(2)本發明中，由於區域網終端是採用市場上常見的普通計算機，無需像現有技 術中的透明計算機那樣經過特殊設計和製造，在部署網絡時只需按照市場價格購買設備即 可，並且區域網的結構也是採用通用結構，無需重新設計，因此，相對現有技術，本發明的設 備購買成本和組網成本都很低。(3)本發明中，計算機具有私有模式和標準模式兩種使用模式，當採用私有模式 時，系統伺服器將計算機對作業系統的修改能夠保存到系統伺服器上的虛擬鏡像文件中， 從而使計算機在以後的所有會話中都能使用該修改，這有利於作業系統不斷得到升級，保 證作業系統的安全性；計算機採用標準模式時，系統伺服器將計算機對作業系統的修改不 能保存到虛擬鏡像文件，這些修改只在本次會話中使用，這可以防止用戶對作業系統進行 有意或無意的破壞，有利於作業系統的安全性。因此，相對於現有技術，本發明能大大提高 計算機作業系統的安全性。(4)本發明中，由於系統伺服器的監控模塊具有針對區域網中計算機的強制控制 功能，如果區域網中的計算機有意或無意進行的錯誤操作符合強制控制條件，那麼監控模 塊將根據強制控制規則對其進行強制控制，因此，相對於現有技術，本發明能更有效地保護 區域網的安全。以上所述僅為本發明的較佳實施例而已，並不用以限制本發明，凡在本發明的精 神和原則之內，所做的任何修改、等同替換、改進等，均應包含在本發明保護的範圍之內。
權利要求
一種區域網中的計算機啟動方法，該區域網通過網關與外網連接，該區域網包括系統伺服器、數據伺服器和計算機，其特徵在於，該方法包括計算機在啟動時，確定從本地硬碟的作業系統引導或從系統伺服器上的虛擬鏡像文件引導，並通知系統伺服器；當確定從本地硬碟的作業系統引導時，該計算機從本地硬碟上的作業系統引導啟動，系統伺服器設置網關對於該計算機可用，並拒絕該計算機訪問系統伺服器和數據伺服器；當確定從系統伺服器上的虛擬鏡像文件引導時，該計算機從系統伺服器上的虛擬鏡像文件引導啟動，系統伺服器設置網關以及該計算機的本地硬碟都對於該計算機不可用。
2.根據權利要求1所述的方法，其特徵在於，所述系統伺服器上的虛擬鏡像文件，是通 過虛擬化技術將該計算機本地硬碟的作業系統鏡像到系統伺服器，從而在系統伺服器上形 成的。
3.根據權利要求1或2所述的方法，其特徵在於，當確定從本地硬碟的作業系統引導時，該方法進一步包括系統伺服器不監控該計算 機的訪問事件；當確定從系統伺服器上的虛擬鏡像文件引導時，該方法進一步包括系統伺服器監控 該計算機的訪問事件。
4.根據權利要求1或2所述的方法，其特徵在於，當確定從系統伺服器上的虛擬鏡像文 件引導時，該方法進一步包括系統伺服器詢問計算機的使用模式；計算機確定使用模式為私有模式或標準模式，並通知系統伺服器；當計算機的使用模式為私有模式時，系統伺服器將該計算機對作業系統的修改保存於 所述虛擬鏡像文件；當計算機的使用模式為標準模式時，系統伺服器將該計算機對作業系統的修改不保存 到所述虛擬鏡像文件。
5.根據權利要求1或2所述的方法，其特徵在於，系統伺服器預先設置強制控制條件和 強制控制規則；當計算機從系統伺服器上的虛擬鏡像文件引導時，該方法進一步包括系統伺服器將該計算機的訪問事件記錄到日誌中；系統伺服器根據所述日誌，判斷該計算機的訪問事件是否符合所述強制控制條件，如 果是，則根據所述強制控制規則，對該計算機進行強制控制。
6.一種區域網，該區域網通過網關與外網連接，其特徵在於，所述區域網包括系統服 務器、數據伺服器和計算機；其中，計算機，用於在啟動時，確定從本地硬碟的作業系統引導或從系統伺服器上的虛擬鏡 像文件引導，並通知系統伺服器；當確定從本地硬碟的作業系統引導時，從本地硬碟上的操 作系統引導啟動；當確定從系統伺服器上的虛擬鏡像文件引導時，從系統伺服器上的虛擬 鏡像文件引導啟動；系統伺服器，用於在計算機確定從本地硬碟的作業系統引導時，設置網關對於該計算 機可用，並拒絕該計算機訪問系統伺服器和數據伺服器；在計算機確定從系統伺服器上的 虛擬鏡像文件引導時，設置網關以及該計算機的本地硬碟都對於該計算機不可用；數據伺服器，用於保存數據。
7.根據權利要求6所述的區域網，其特徵在於，所述系統伺服器，通過虛擬化技術將計 算機本地硬碟上的作業系統鏡像到自身上，從而形成虛擬鏡像文件。
8.根據權利要求6或7所述的區域網，其特徵在於，系統伺服器，進一步包括監控模塊；當計算機確定從本地硬碟的作業系統引導時，所述監控模塊不監控該計算機的訪問事件；當計算機確定從系統伺服器上的虛擬鏡像文件引導時，所述監控模塊監控該計算機的 訪問事件。
9.根據權利要求6或7所述的區域網，其特徵在於，系統伺服器，在計算機確定從系統伺服器上的虛擬鏡像文件引導時，進一步用於詢問 計算機的使用模式，接收計算機的使用模式確定信息；如果計算機的使用模式為私有模式， 則將計算機對作業系統的修改保存到所述虛擬鏡像文件；如果計算機的使用模式為標準模 式，則不將計算機對作業系統的修改保存到所述虛擬鏡像文件；計算機，進一步用於接收系統伺服器對使用模式的詢問，確定使用模式為私有模式或 標準模式，並向系統伺服器發送使用模式確定信息；對作業系統進行修改。
10.根據權利要求6或7所述的區域網，其特徵在於，系統伺服器，進一步包括監控模 塊，用於預先設置強制控制條件和強制控制規則；監控模塊，用於在計算機從系統伺服器上的虛擬鏡像文件引導啟動時，將該計算機的 訪問事件記錄到日誌中，並根據所述日誌判斷計算機的訪問事件是否符合所述強制控制條 件，如果是，則根據所述強制控制規則對計算機進行強制控制。
全文摘要
本發明公開了一種區域網中的計算機啟動方法和一種區域網。該區域網通過網關與外網連接，包括系統伺服器、數據伺服器和計算機，該方法包括計算機啟動時，確定從本地硬碟的作業系統引導或從系統伺服器上的虛擬鏡像文件引導，並通知系統伺服器；當確定從本地硬碟的作業系統引導時，該計算機從本地硬碟上的作業系統引導啟動，系統伺服器設置網關對於該計算機可用，拒絕該計算機訪問系統伺服器和數據伺服器；當確定從系統伺服器上的虛擬鏡像文件引導時，該計算機從系統伺服器上的虛擬鏡像文件引導啟動，系統伺服器設置網關及該計算機的本地硬碟都對於該計算機不可用。本發明用普通計算機作為區域網的終端，能提高終端設備的使用率，降低組網成本。
文檔編號H04L12/24GK101820438SQ20101010167
公開日2010年9月1日 申請日期2010年1月27日 優先權日2010年1月27日
發明者戴一奇 申請人:戴一奇