唐 波 江蘇省廣播電視總臺

基于物理隔離技術(shù)的可信網(wǎng)絡(luò)系統(tǒng)的構(gòu)建

唐 波 江蘇省廣播電視總臺

本文以廣播發(fā)射中心網(wǎng)絡(luò)系統(tǒng)的建設(shè)為背景，介紹了網(wǎng)絡(luò)系統(tǒng)的建設(shè)內(nèi)容，闡述了網(wǎng)絡(luò)系統(tǒng)的架構(gòu)以及技術(shù)網(wǎng)、辦公網(wǎng)、無線網(wǎng)絡(luò)的設(shè)計方案，介紹了本系統(tǒng)的VLAN規(guī)劃和IP規(guī)劃。最后，本文闡述了物理隔離系統(tǒng)在本系統(tǒng)中的應(yīng)用，如何實現(xiàn)技術(shù)網(wǎng)和辦公網(wǎng)在物理隔離條件下數(shù)據(jù)的安全交換。

物理隔離 數(shù)據(jù)交換 網(wǎng)絡(luò)安全VLAN STP協(xié)議

一、項目背景

隨著南京城市建設(shè)的快速推進，廣播發(fā)射中心的舊址（南京市江東門北街33號）已發(fā)展成為高樓林立、人口密布的核心區(qū)域，廣播的發(fā)射環(huán)境受到了嚴重破壞，發(fā)射效果大為降低并且有日益惡化的趨勢。為了確保廣播發(fā)射中心的安全、優(yōu)質(zhì)發(fā)射，江蘇省委常委會于2008 年2月14日確定廣播發(fā)射中心采用異地重建的方式遷往南京市江寧區(qū)谷里鎮(zhèn)蓮花塘村。

新廣播發(fā)射中心采用先進成熟的技術(shù)，按照“有人留守、無人值班”的自動化管理模式，以“全國領(lǐng)先、世界水平”為建設(shè)目標(biāo)，旨在建設(shè)一套自動化水平高、安全可靠、滿足分層管理需求的全臺自動化系統(tǒng)，從而確保廣播發(fā)射中心的安全播出。因此，廣播發(fā)射中心需要構(gòu)建一個科學(xué)合理、可管可控、安全可信的網(wǎng)絡(luò)系統(tǒng)，為全臺自動化系統(tǒng)提供一個良好的運行平臺。

二、建設(shè)內(nèi)容

通過對網(wǎng)絡(luò)系統(tǒng)的功能需求、安全性需求、數(shù)據(jù)交換需求的分析，廣播發(fā)射中心網(wǎng)絡(luò)系統(tǒng)的建設(shè)內(nèi)容包括以下四個部分：

（1）建設(shè)一個技術(shù)網(wǎng)絡(luò)系統(tǒng)。技術(shù)網(wǎng)連接廣播發(fā)射中心的各技術(shù)子系統(tǒng)，為技術(shù)子系統(tǒng)的運行提供一個安全可靠的網(wǎng)絡(luò)環(huán)境。

（2）建設(shè)一個辦公網(wǎng)絡(luò)系統(tǒng)。辦公網(wǎng)承擔(dān)日常辦公、流程審批、公文流轉(zhuǎn)、為辦公管理系統(tǒng)提供運行平臺等任務(wù)。

（3）在辦公網(wǎng)絡(luò)中建設(shè)一套無線網(wǎng)絡(luò)。無線網(wǎng)絡(luò)用于移動設(shè)備接入到辦公網(wǎng)，實現(xiàn)廣播發(fā)射中心的移動辦公。

（4）建設(shè)一套物理隔離系統(tǒng)。物理隔離系統(tǒng)實現(xiàn)技術(shù)網(wǎng)和辦公網(wǎng)在物理隔離的條件下，數(shù)據(jù)在兩個網(wǎng)絡(luò)間的安全傳輸。

三、網(wǎng)絡(luò)系統(tǒng)設(shè)計

1.網(wǎng)絡(luò)架構(gòu)設(shè)計

根據(jù)廣播發(fā)射中心網(wǎng)絡(luò)系統(tǒng)的建設(shè)內(nèi)容，我們設(shè)計了網(wǎng)絡(luò)系統(tǒng)的架構(gòu)。

（1）網(wǎng)絡(luò)系統(tǒng)包括技術(shù)網(wǎng)和辦公網(wǎng)兩個網(wǎng)絡(luò)。為了確保技術(shù)網(wǎng)的安全性，技術(shù)網(wǎng)和辦公網(wǎng)之間物理隔離。

（2）技術(shù)網(wǎng)連接發(fā)射自動化系統(tǒng)的五個子系統(tǒng)（發(fā)射機控制系統(tǒng)、節(jié)目傳輸系統(tǒng)、自臺監(jiān)測系統(tǒng)、天饋監(jiān)測系統(tǒng)、發(fā)射機指標(biāo)自動測試系統(tǒng)）和運行綜合管理系統(tǒng)。

（3）辦公網(wǎng)連接辦公管理系統(tǒng)。

（4）在技術(shù)網(wǎng)和辦公網(wǎng)之間構(gòu)建一套物理隔離系統(tǒng)，實現(xiàn)技術(shù)網(wǎng)和辦公網(wǎng)之間的數(shù)據(jù)交換需求。

廣播發(fā)射中心網(wǎng)絡(luò)系統(tǒng)的架構(gòu)如圖1所示。

圖1 網(wǎng)絡(luò)系統(tǒng)架構(gòu)圖

2.技術(shù)網(wǎng)設(shè)計

技術(shù)網(wǎng)連接了發(fā)射自動化系統(tǒng)的五個子系統(tǒng)和運行綜合管理系統(tǒng)，技術(shù)網(wǎng)的安全穩(wěn)定性直接影響著技術(shù)系統(tǒng)的運行狀況和廣播發(fā)射中心的安全播出。因此，在設(shè)計技術(shù)網(wǎng)的架構(gòu)時，采用了以下關(guān)鍵技術(shù)來確保技術(shù)網(wǎng)的安全穩(wěn)定性。

（1）技術(shù)網(wǎng)使用了兩臺互為備份的核心交換機，兩臺核心交換機分別與每臺接入交換機連接。在技術(shù)網(wǎng)中啟用STP協(xié)議，斷開接入交換機雙連接到兩臺核心交換機后產(chǎn)生的環(huán)路。當(dāng)一臺核心交換機發(fā)生故障時，STP協(xié)議會重新生成一條核心交換機和接入交換之間的可用路由，從而確保技術(shù)網(wǎng)的正常運行。

圖2 技術(shù)網(wǎng)網(wǎng)絡(luò)拓撲圖

（2）發(fā)射自動化系統(tǒng)的五個子系統(tǒng)以及運行綜合管理系統(tǒng)分別使用單獨的接入交換機，并使用VLAN技術(shù)將各技術(shù)子系統(tǒng)劃分為獨立的虛擬子網(wǎng)，從而隔離廣播風(fēng)暴，控制技術(shù)網(wǎng)在發(fā)生故障時影響的范圍。

技術(shù)網(wǎng)的網(wǎng)絡(luò)拓撲圖如圖2所示。

2.1辦公網(wǎng)設(shè)計

2.1.1 辦公網(wǎng)接入設(shè)計

在辦公網(wǎng)的接入設(shè)計時，我們研究和分析了多種辦公網(wǎng)接入方案，通過分析每個方案的優(yōu)勢和劣勢，最終確定了辦公網(wǎng)的接入方式：利用廣播傳媒中心到廣播發(fā)射中心傳輸節(jié)目的光纖中富裕的纖芯，將廣播傳媒中心的辦公網(wǎng)絡(luò)接入到廣播發(fā)射中心。該辦公網(wǎng)接入方式具有以下兩個優(yōu)勢：

（1）辦公網(wǎng)由廣播傳媒中心接入后，廣播發(fā)射中心的辦公網(wǎng)將納入廣播傳媒中心的統(tǒng)一管理，廣播發(fā)射中心可以節(jié)省網(wǎng)絡(luò)接入費用、網(wǎng)絡(luò)安全管理設(shè)備的采購和運維費用。

圖3 辦公網(wǎng)網(wǎng)絡(luò)拓撲圖

（2）由于廣播傳媒中心的辦公網(wǎng)與總臺的辦公網(wǎng)是互聯(lián)互通的，采用該辦公網(wǎng)接入方式后，廣播發(fā)射中心的辦公網(wǎng)同時實現(xiàn)了與電臺辦公網(wǎng)、總臺辦公網(wǎng)的互聯(lián)互通。

2.1.2 辦公網(wǎng)架構(gòu)設(shè)計

廣播發(fā)射中心的辦公網(wǎng)絡(luò)使用了一臺核心交換機。核心交換機上聯(lián)廣播傳媒中心的辦公網(wǎng)核心交換機，下聯(lián)廣播發(fā)射中心的機房樓接入交換機、辦公樓接入交換機、值班樓接入交換機和會議樓接入交換機。辦公網(wǎng)的網(wǎng)絡(luò)拓撲圖如圖3所示。

2.2 無線網(wǎng)絡(luò)設(shè)計

為了方便移動設(shè)備接入到辦公網(wǎng)，滿足移動辦公的需求，廣播發(fā)射中心實現(xiàn)了辦公網(wǎng)的無線覆蓋。

廣播發(fā)射中心占地面積約829畝，其中空地面積約811畝，建筑物占地面積約18畝。根據(jù)廣播發(fā)射中心的場地特點，并綜合考慮建設(shè)成本和網(wǎng)絡(luò)利用率等因素后，我們確定了無線網(wǎng)絡(luò)的覆蓋方案：在辦公樓、值班樓、會議樓、發(fā)射機房、短波機房等室內(nèi)區(qū)域?qū)崿F(xiàn)無線網(wǎng)絡(luò)的全覆蓋，在以6個調(diào)配室為中心的室外區(qū)域?qū)崿F(xiàn)無線網(wǎng)絡(luò)的局部覆蓋。

廣播發(fā)射中心的無線網(wǎng)絡(luò)采用了無線控制器+瘦AP的架構(gòu)。在部署和維護無線網(wǎng)絡(luò)時，不必對每臺AP單獨配置，只需在無線控制器上建立AP的配置模板，AP啟動后會自動從無線控制器上下載配置信息，這極大的提高了無線網(wǎng)絡(luò)的部署和維護效率。

2.3 VLAN規(guī)劃

為了隔離廣播風(fēng)暴，實現(xiàn)網(wǎng)絡(luò)的分級管理和遠程管理，控制網(wǎng)絡(luò)發(fā)生故障時影響的范圍，提高網(wǎng)絡(luò)管理的科學(xué)性，我們對廣播發(fā)射中心的網(wǎng)絡(luò)系統(tǒng)作了VLAN規(guī)劃。

技術(shù)網(wǎng)以技術(shù)子系統(tǒng)為單位規(guī)劃了6個VLAN。辦公網(wǎng)以建筑物為單位規(guī)劃了3個VLAN，其中無線網(wǎng)絡(luò)單獨規(guī)劃了一個VLAN。此外，技術(shù)網(wǎng)和辦公網(wǎng)各規(guī)劃了一個VLAN用于設(shè)備管理。詳細的規(guī)劃VLAN如表1所示。

表1 VLAN規(guī)劃

2.4 IP規(guī)劃

IP地址是TCP/IP協(xié)議族中的網(wǎng)絡(luò)層邏輯地址，它被用來唯一標(biāo)識網(wǎng)絡(luò)中的一個節(jié)點。廣播發(fā)射中心的IP規(guī)劃充分考慮了網(wǎng)絡(luò)系統(tǒng)的當(dāng)前需求、未來發(fā)展、現(xiàn)有的資源、網(wǎng)絡(luò)的管理和維護。

廣播發(fā)射中心網(wǎng)絡(luò)系統(tǒng)的IP地址由設(shè)備管理地址和局域網(wǎng)地址兩部分組成。設(shè)備管理地址主要用于標(biāo)識網(wǎng)絡(luò)系統(tǒng)中的設(shè)備，實現(xiàn)設(shè)備遠程管理，局域網(wǎng)地址用來分配給設(shè)備開展各項業(yè)務(wù)。

（1）設(shè)備管理地址

設(shè)備管理地址以A類IP地址子網(wǎng)空間為基本分配單位。按照自然數(shù)排列順序，依次給每臺設(shè)備規(guī)劃地址。技術(shù)網(wǎng)的設(shè)備管理地址使用10.1.1.0/24網(wǎng)段，辦公網(wǎng)的設(shè)備管理地址使用10.1.2.0/24網(wǎng)段。

（2）局域網(wǎng)地址

技術(shù)網(wǎng)的局域網(wǎng)地址以C類IP地址子網(wǎng)空間為基本分配單位，實行靜態(tài)分配IP的方式。其中發(fā)射機控制系統(tǒng)使用192.168.1.0/24網(wǎng)段，節(jié)目傳輸系統(tǒng)使用192.168.2.0/24網(wǎng)段，天饋監(jiān)測系統(tǒng)使用192.168.3.0/24網(wǎng)段，自臺監(jiān)測系統(tǒng)使用192.168.4.0/24網(wǎng)段，發(fā)射機指標(biāo)自動測試系統(tǒng)使用192.168.5.0/24網(wǎng)段，運行綜合管理系統(tǒng)192.168.6.0/24網(wǎng)段。

由于廣播發(fā)射中心的辦公網(wǎng)絡(luò)由廣播傳媒中心接入，根據(jù)廣播傳媒中心的網(wǎng)絡(luò)管理需要，辦公網(wǎng)的局域網(wǎng)地址由廣播傳媒中心分配。辦公網(wǎng)在辦公區(qū)域使用10.201.1.0/24網(wǎng)段，宿舍區(qū)域使用10.201.2.0/24網(wǎng)段，機房區(qū)域使用10.201.3.0/24網(wǎng)段。

四、物理隔離系統(tǒng)

在本次網(wǎng)絡(luò)系統(tǒng)的建設(shè)中，為了確保技術(shù)網(wǎng)的安全性，技術(shù)網(wǎng)和辦公網(wǎng)之間是物理隔離的。但是，技術(shù)網(wǎng)和辦公網(wǎng)之間存在數(shù)據(jù)的交換需求，例如：辦公管理系統(tǒng)需要獲取技術(shù)設(shè)備的基礎(chǔ)信息和運行參數(shù)，用于展示技術(shù)設(shè)備的運行狀態(tài)；辦公管理系統(tǒng)需要獲取運行綜合管理系統(tǒng)中的運行圖信息，實現(xiàn)播音時間的統(tǒng)計功能。

為了實現(xiàn)技術(shù)網(wǎng)和辦公網(wǎng)的數(shù)據(jù)交換功能，我們在技術(shù)網(wǎng)和辦公網(wǎng)之間構(gòu)建了一套物理隔離系統(tǒng)。物理隔離系統(tǒng)使用帶有多種控制功能的固態(tài)開關(guān)讀寫介質(zhì)連接兩個獨立的主機系統(tǒng)，模擬人工在兩個隔離網(wǎng)絡(luò)之間的信息交換。物理隔離系統(tǒng)的本質(zhì)在于：兩個獨立主機系統(tǒng)之間，不存在通信的物理連接和邏輯連接，不存在依據(jù)TCP/IP協(xié)議的信息包轉(zhuǎn)發(fā)，只有格式化數(shù)據(jù)塊的無協(xié)議“擺渡”，被隔離網(wǎng)絡(luò)之間的數(shù)據(jù)傳遞方式采用完全的私有方式，不具備任何通用性。物理隔離系統(tǒng)的使用，實現(xiàn)了技術(shù)網(wǎng)和辦公網(wǎng)在物理隔離條件下數(shù)據(jù)的安全傳輸。

五、總結(jié)

廣播發(fā)射中心的網(wǎng)絡(luò)系統(tǒng)于2013年5月開始建設(shè)，2014年5月完成建設(shè)。網(wǎng)絡(luò)系統(tǒng)的建成使用，為全臺自動化系統(tǒng)提供了一個良好的運行環(huán)境，對廣播發(fā)射中心全面實現(xiàn)“數(shù)字化、網(wǎng)絡(luò)化、智能化”具有重要的積極意義。網(wǎng)絡(luò)系統(tǒng)使用至今已一年有余，在此期間，系統(tǒng)未發(fā)生任何設(shè)備故障和網(wǎng)絡(luò)安全事故，整個網(wǎng)絡(luò)系統(tǒng)穩(wěn)定可靠、安全。