武利軍

內蒙古廣播電視臺 內蒙古 呼和浩特市 010050

內蒙古廣播電視臺全臺網高安全區(qū)設計及應用

武利軍

內蒙古廣播電視臺 內蒙古 呼和浩特市 010050

本文對內蒙古廣播電視臺全臺網高安全區(qū)系統(tǒng)設計做了全面深入的分析，并對實際的業(yè)務部署進行介紹。

高安全區(qū) 信息交互 數(shù)據(jù)擺渡 數(shù)據(jù)導入和導出

內蒙古廣播電視臺新大樓全臺網生產系統(tǒng)是以主干平臺為核心，通過主干平臺實現(xiàn)所有生產子系統(tǒng)間的信息交互和文件交互的大型電視節(jié)目制播系統(tǒng)。高安全區(qū)系統(tǒng)是全臺網的一個子系統(tǒng)，主要承擔生產網邊界的安全防護，同時保證在安全的環(huán)境下完成各生產網和辦公網之間的數(shù)據(jù)交互和信息交互，解決生產網業(yè)務如新聞文稿、媒資檢索等業(yè)務在辦公網的部署，解決生產網數(shù)據(jù)導出和辦公網數(shù)據(jù)導入問題。

1 高安全區(qū)系統(tǒng)架構

全臺網制播網絡系統(tǒng)（內網）與信息化辦公系統(tǒng)（外網）是新大樓技術系統(tǒng)的兩大組成部分，分別承擔不同的業(yè)務范圍，獨立規(guī)劃、建設、運行。高安全區(qū)作為主干平臺的一個子系統(tǒng)聯(lián)通內外網，按照接口標準和協(xié)議規(guī)則進行數(shù)據(jù)交換與業(yè)務互通。

綜合分析在高安全區(qū)實現(xiàn)的內外網交互業(yè)務，發(fā)現(xiàn)各類業(yè)務對安全的要求是不一致的，如從辦公網向生產網傳輸數(shù)據(jù)，可以認為是從安全級別低的網絡向安全級別高的網絡傳輸數(shù)據(jù)，是需要重點防范的；而從生產網向辦公網傳輸數(shù)據(jù)，則可認為是從安全級別高的網絡向安全級別低的網絡傳輸數(shù)據(jù)，重點考慮的應該是網絡隔離的問題。因此，高安全區(qū)將根據(jù)不同的業(yè)務需求建設三個傳輸通道：控制信息及元數(shù)據(jù)傳輸通道、辦公網至生產網數(shù)據(jù)傳輸通道和生產網至辦公網數(shù)據(jù)傳輸通道。

在生產網和辦公網交互的數(shù)據(jù)分為三種：文件類數(shù)據(jù)、消息類數(shù)據(jù)、服務調用數(shù)據(jù)。針對文件類型、消息類型、服務調用這三類交互數(shù)據(jù)的特點劃分出網絡安全設施層、BFSS傳輸導入通道和BFSS傳輸導出通道三個物理鏈路，用于完成不同業(yè)務數(shù)據(jù)在內外網之間的流轉。網絡架構，如圖1所示：

圖1 網絡架構示意圖

收錄新聞制作和非新聞制作媒資主干平臺（ESB+EMB），總編室備播播出辦公網控制信息及元數(shù)據(jù)傳輸通道生產網至辦公網數(shù)據(jù)傳輸通道，辦公網至生產網數(shù)據(jù)傳輸通道高安全區(qū)。

（1）元數(shù)據(jù)和控制信息傳輸通道

元數(shù)據(jù)和控制信息傳輸通為雙向交互通道。通道上部署的網絡安全設備Web防火墻，如圖2所示。安全設備采用啟明星辰WAG1020千兆高端WEB應用防火墻系統(tǒng)，網絡吞吐量4Gbp/s，應用層處理能力 800M，HTTP新建連接數(shù)大于10000KB/s，網絡并發(fā)連接數(shù)100萬，HTTP并發(fā)64萬，專門用于生產網與辦公網進行HTTP訪問信息安全交互。

（2）辦公網到生產網媒體數(shù)據(jù)導入通道

數(shù)據(jù)導入通道是基于USB私有傳輸協(xié)議的BFSS數(shù)據(jù)安全擺渡系統(tǒng)加入侵防御組成，用于辦公網向生產網單向傳輸物理文件；BFSS數(shù)據(jù)安全擺渡系統(tǒng)結構由3組服務器組成。如圖2所示，每組服務器由內網、外網服務器通過USB線連接組成私有協(xié)議傳輸通道，防止病毒擴撒，同時內外網服務器分別部署不同殺毒軟件諾頓和NOD32，對傳輸前后的數(shù)據(jù)進行病毒查殺。對于整個數(shù)據(jù)導入通道采用了“一層防毒墻+兩級擺渡殺毒”的三次病毒過濾查殺，充分確保外來內容不對內部系統(tǒng)造成破壞。

（3）生產網到辦公網數(shù)據(jù)導出通道

數(shù)據(jù)導出通道由兩臺冗余網閘組成，用于生產網向辦公網導出物理文件。設計兩條網閘鏈路，一條作為文件數(shù)據(jù)從生產網傳輸?shù)酵獠烤W絡，只能單向傳輸實體文件；另一條鏈路作為流媒體文件對辦公網進行播放時的傳輸通道，在鏈路層可有效隔離生產網和辦公網，重點保護內部生產網絡的安全。數(shù)據(jù)導出通道原設計為單向傳輸通道，由主干平臺核心交換機通過網閘直接接入辦公網核心交換機。但在實際實施過程中，考慮到新聞的時效性要求，設計了一路由辦公網通過UTM防墻毒、網閘直接入新聞網的通道，用于新聞匯聚素材的快速入網。

面對各個系統(tǒng)需要在高安全區(qū)實現(xiàn)的復雜業(yè)務，需要在高安全區(qū)上建立統(tǒng)一的業(yè)務網與辦公網間的擺渡系統(tǒng)及綜合業(yè)務平臺。綜合業(yè)務平臺為部署于內外網的各類服務（功能）提供服務注冊、注銷、中止、狀態(tài)查看及整個生命周期的管理，同時提供統(tǒng)一認證、各種類型的信息通道的接入、注銷、狀態(tài)監(jiān)控等管理，對數(shù)據(jù)導入導出相關操作進行詳細記錄，方便責任追查，確保生產網的和臺內資料的安全。另外，配置了一個輕量級的工作流引擎，完成綜合業(yè)務平臺數(shù)據(jù)導入導出流程的業(yè)務調度和執(zhí)行。

如圖2所示，綜合業(yè)務平臺功能服務通過部署于內、外網區(qū)的功能服務器、數(shù)據(jù)庫服務器、FTP服務器等提供，在內、外網區(qū)去分別配置了一臺存儲，做內、外網數(shù)據(jù)緩存。

所有辦公網與生產網之間的數(shù)據(jù)交換一般必須經過綜合業(yè)務平臺，實現(xiàn)方式分為以下兩種：將辦公網或生產網相應Web頁面直接發(fā)布到生產網或辦公網，由業(yè)務網、辦公網間擺渡系統(tǒng)根據(jù)不同的業(yè)務類型分配相應通道；將辦公網或生產網相關服務注冊在業(yè)務網、辦公網間擺渡系統(tǒng)上，通過生產業(yè)務網、辦公網間擺渡系統(tǒng)轉發(fā)接口協(xié)議數(shù)據(jù)，完成元數(shù)據(jù)和實體數(shù)據(jù)的交換。

圖2 高全區(qū)系統(tǒng)架構示意圖

2 高安全區(qū)業(yè)務流程及應用

內蒙古廣播電視臺全臺網高安全區(qū)綜合業(yè)務支撐平臺系統(tǒng)由三個部分組成，辦公網業(yè)務、綜合業(yè)務平臺和生產網業(yè)務。涉及的流程業(yè)務分為三大類：各生產網需要打通到辦公網的應用服務及流媒體服務；辦公網數(shù)據(jù)導入生產網服務；生產網數(shù)據(jù)需要導出到辦公網的服務。

（1）生產網流媒體服務和各業(yè)務網應用服務，均需要注冊到高安全區(qū)綜合業(yè)務平臺，即通過對高安全區(qū)系統(tǒng)內Web防火墻、UTM防毒墻、網閘等安全設備的設置，將生產網或辦公網的Web服務通過地址轉換到辦公網或生產網。相對生產網透出去的服務，在辦公網可以直接進行操作，就好比在內網操作是一致的。

目前，通過安全區(qū)透到辦公網的服務有新聞制播系統(tǒng)的文稿服務，在線生產媒資檢索服務，媒資系統(tǒng)和整備系統(tǒng)的檢索服務。在辦公網登錄注冊地址即可打開相應Web服務頁面，開展相關業(yè)務。

（2）辦公網數(shù)據(jù)導入流程。數(shù)據(jù)的導入是由綜合業(yè)務平臺的BFSS傳輸系統(tǒng)完成的。編輯記者在辦公網用全臺網統(tǒng)一認證賬戶登錄數(shù)據(jù)導入系統(tǒng)，填寫任務名稱，上傳要傳輸?shù)奈募付康纳a網。通過FTP協(xié)議將數(shù)據(jù)文件上傳至辦公網上載緩存區(qū)，綜合業(yè)務平臺的BFSS傳輸系統(tǒng)根據(jù)流程自動將數(shù)據(jù)文件擺渡至各生產網指定的入庫數(shù)據(jù)緩存區(qū)目錄，生產網可在各自的緩存區(qū)指導已導入的文件并將數(shù)據(jù)導入系統(tǒng)。業(yè)務流程如圖3所示：

圖3 數(shù)據(jù)導入流程圖

圖3 數(shù)據(jù)導出示意圖

（3）生產網數(shù)據(jù)導出流程。生產網導出的數(shù)據(jù)文件分兩種，一種是用于媒資檢索的流媒體文件，一種是用于節(jié)目交換的成品節(jié)目。對于流媒體文件，通過FTP協(xié)議上傳至指定的生產網共享目錄下，由網閘將文件同步至辦公網的共享存儲空間里，完成由生產網導出到辦公網的任務。網閘進行信息同步配置，完成內、外網物理隔斷和實現(xiàn)網閘兩邊共享空間的數(shù)據(jù)同步。如圖4所示：

對于生產網成品節(jié)目數(shù)據(jù)導出到辦公網流程為：生產網將成片數(shù)據(jù)文件上傳至生產網緩存區(qū)，在辦公網內通過HTTP協(xié)議直接訪問下載Web頁面，瀏覽素材資源；點擊頁面上下載素材到辦公網的按鈕或鏈接；下載請求通過平臺轉發(fā)至生產網；生產網緩存區(qū)的文件通過網閘同步到平臺網閘緩沖區(qū)指定目錄下；辦公網從網閘緩沖區(qū)獲取素材。

通過高安全區(qū)綜合業(yè)務平臺對注冊到平臺的賬戶進行數(shù)據(jù)導出權限管理，有導出權限賬戶方可進行數(shù)據(jù)導出。

目前，我臺新聞類欄目均有各自的微信、微博視頻內容發(fā)布，以及需要在多個新聞節(jié)目交換平臺進行節(jié)目交換，都需要有大量的節(jié)目導入導出需要，通過權限管理我們?yōu)槎鄠€欄目設定了導出賬戶，極大方便了節(jié)目人員的操作，簡化了大量審批手續(xù)。

總結

高安全區(qū)系統(tǒng)不僅是全臺網所有生產系統(tǒng)的安全邊界防護，使得全臺網生產系統(tǒng)達到國家二級保防護要求，同時也是業(yè)務支撐系統(tǒng)，承擔所有生產系統(tǒng)的日常各類素材和節(jié)目導入導出，編輯人員在辦公網即可輕松完成所有操作，提高了數(shù)據(jù)導入導出的便捷度，提升了節(jié)目制作效率。

審稿人：杜中 內蒙古廣播電視臺 正高級工程師

責任編輯：王學敏

TN948.4

B

2096-0751（2017）01-0022-04

武利軍 內蒙古廣播電視臺 高級工程師