楊波 韓玥 陳宛彤

大連市旅順口區(qū)氣象局 遼寧 大連 116041

1 項(xiàng)目背景

隨著觀測(cè)、預(yù)報(bào)、預(yù)警、數(shù)據(jù)統(tǒng)計(jì)、農(nóng)業(yè)氣象、防災(zāi)減災(zāi)等工作在基層氣象業(yè)務(wù)工作中的發(fā)展和完善，縣級(jí)氣象信息化建設(shè)顯得越來(lái)越重要。網(wǎng)絡(luò)傳輸及其機(jī)房通信設(shè)備作為信息化建設(shè)的基礎(chǔ)，不僅承擔(dān)數(shù)據(jù)文件、語(yǔ)音信息、視頻語(yǔ)音等各類(lèi)應(yīng)用提供了傳輸渠道，而且由于網(wǎng)絡(luò)通信的及時(shí)性也為氣象數(shù)據(jù)傳輸時(shí)效達(dá)標(biāo)奠定了基礎(chǔ)。目前，多地區(qū)縣級(jí)氣象網(wǎng)絡(luò)專線帶寬30～50M，基本能夠滿足氣象實(shí)況數(shù)據(jù)傳輸及時(shí)性的要求[1]。同時(shí)，聯(lián)通、移動(dòng)等運(yùn)營(yíng)商支持的網(wǎng)絡(luò)帶寬具有靈活的可擴(kuò)展能力和維護(hù)便捷的特點(diǎn)，能夠滿足業(yè)務(wù)持續(xù)發(fā)展的需要?？h級(jí)氣象業(yè)務(wù)工作需要訪問(wèn)內(nèi)網(wǎng)和互聯(lián)網(wǎng)，其中內(nèi)網(wǎng)為基礎(chǔ)業(yè)務(wù)通信網(wǎng)絡(luò)，用戶能夠訪問(wèn)國(guó)家級(jí)氣象局、省級(jí)氣象局和市級(jí)氣象局的業(yè)務(wù)內(nèi)網(wǎng)，用于氣象業(yè)務(wù)中各類(lèi)天氣要素實(shí)況數(shù)據(jù)上傳、內(nèi)網(wǎng)平臺(tái)查詢、預(yù)警發(fā)布、決策產(chǎn)品發(fā)布、氣象政務(wù)平臺(tái)訪問(wèn)等。另外，用戶通過(guò)互聯(lián)網(wǎng)主要完成的任務(wù)有預(yù)報(bào)產(chǎn)品對(duì)外服務(wù)，包括微信、微博等平臺(tái)發(fā)布及天氣在線類(lèi)平臺(tái)查詢等。

安全性方面，在各級(jí)運(yùn)維人員技術(shù)支持下，氣象內(nèi)網(wǎng)屬于專用網(wǎng)絡(luò)，安全性、可靠性和穩(wěn)定性相對(duì)較高，而互聯(lián)網(wǎng)由于其無(wú)邊界性造成的潛在風(fēng)險(xiǎn)和安全隱患就大很多。加上近年來(lái)網(wǎng)絡(luò)安全事件頻出，基層工作者的網(wǎng)絡(luò)安全意識(shí)需要加強(qiáng)，安全防護(hù)措施也需要改進(jìn)?；诖耍瑢?duì)縣級(jí)基層氣象部門(mén)的內(nèi)網(wǎng)和外網(wǎng)進(jìn)行物理隔離改造工作勢(shì)在必行。

2 雙網(wǎng)分離建設(shè)方案

網(wǎng)管人員通過(guò)大量走訪討論，參考其他地區(qū)縣級(jí)氣象部門(mén)內(nèi)、外網(wǎng)分離方法，整體上看主要分為3種模式：第一種是絕對(duì)物理隔離，即內(nèi)網(wǎng)和外網(wǎng)獨(dú)立存在，內(nèi)網(wǎng)電腦和外網(wǎng)電腦分別通過(guò)各自通信線路進(jìn)行訪問(wèn)和傳輸。第二種是軟件物理隔離，即通過(guò)在電腦上安裝隔離卡和網(wǎng)卡等手段，使得內(nèi)網(wǎng)和外網(wǎng)分別運(yùn)行在兩套操作系統(tǒng)下，理論上雙網(wǎng)也不存在交叉。第三種為相對(duì)物理隔離，即采用隔離網(wǎng)閘等設(shè)備使處于相對(duì)獨(dú)立的兩個(gè)網(wǎng)絡(luò)通過(guò)限制訪問(wèn)的方式能夠相互通信[2]。該方案通過(guò)“數(shù)據(jù)擺渡”方式完成數(shù)據(jù)交換，本質(zhì)上不存在網(wǎng)絡(luò)底層訪問(wèn)路由和TCP/UDP協(xié)議通信。經(jīng)過(guò)技術(shù)專家團(tuán)隊(duì)與氣象一線業(yè)務(wù)人員的反復(fù)討論，本單位計(jì)劃采用在兩個(gè)網(wǎng)絡(luò)中間部署隔離網(wǎng)閘的方式實(shí)現(xiàn)縣局氣象網(wǎng)絡(luò)分離。下面對(duì)使用隔離網(wǎng)閘方案進(jìn)行談?wù)摲治觥?/p>

2.1 物理隔離

物理隔離，其技術(shù)架構(gòu)核心在于隔離。物理隔離技術(shù)，并不是要替代防火墻、入侵檢測(cè)、漏洞掃描和防病毒系統(tǒng)等安全工具。相反地，物理隔離是網(wǎng)絡(luò)管理者進(jìn)行“深度防御”的另外一塊基石和保障。物理隔離的目標(biāo)是保護(hù)“核心”業(yè)務(wù)系統(tǒng)。物理隔離技術(shù)，是要在本質(zhì)解決互聯(lián)網(wǎng)的安全問(wèn)題。物理隔離網(wǎng)閘的特點(diǎn)是在外網(wǎng)網(wǎng)閘和內(nèi)網(wǎng)網(wǎng)閘主機(jī)上同時(shí)提供具體的應(yīng)用代理服務(wù)。在剝離TCP/IP基礎(chǔ)之上，兩塊網(wǎng)閘才能將應(yīng)用協(xié)議“剝離”，屏蔽應(yīng)用協(xié)議可能的漏洞，保證“擺渡”通信的安全性。

2.2 隔離網(wǎng)閘原理

網(wǎng)閘（安全隔離與信息系統(tǒng)），采用“代理＋安全隔離”機(jī)制，實(shí)現(xiàn)網(wǎng)絡(luò)隔離、協(xié)議落地，通過(guò)對(duì)應(yīng)用協(xié)議解析和數(shù)據(jù)的還原，具有對(duì)應(yīng)用層數(shù)據(jù)進(jìn)行強(qiáng)制檢查、內(nèi)容過(guò)濾和訪問(wèn)控制。

安全隔離技術(shù)的工作原理是使用帶有多種控制功能的固態(tài)開(kāi)關(guān)讀寫(xiě)介質(zhì)連接兩個(gè)獨(dú)立的主機(jī)系統(tǒng)，模擬人工在兩個(gè)隔離網(wǎng)絡(luò)之間的信息交換[3]。被隔離的兩個(gè)網(wǎng)絡(luò)本質(zhì)在于兩個(gè)獨(dú)立主機(jī)系統(tǒng)之間，不存在通信的物理連接和邏輯連接，不存在依據(jù)TCP/IP協(xié)議的信息包轉(zhuǎn)發(fā)，只有格式化數(shù)據(jù)塊的無(wú)協(xié)議“擺渡”。被隔離的兩個(gè)網(wǎng)絡(luò)之間的數(shù)據(jù)傳遞方式完全私有化，不具備任何通用性，并非邏輯上的隔離。

安全隔離與信息交換系統(tǒng)架構(gòu)主要由內(nèi)網(wǎng)主機(jī)系統(tǒng)、外網(wǎng)主機(jī)系統(tǒng)和隔離交換矩陣3部分構(gòu)成。內(nèi)網(wǎng)主機(jī)系統(tǒng)與內(nèi)網(wǎng)相連，外網(wǎng)主機(jī)系統(tǒng)與外網(wǎng)相連，內(nèi)/外網(wǎng)主機(jī)系統(tǒng)分別負(fù)責(zé)內(nèi)外網(wǎng)信息的獲取和協(xié)議分析，隔離交換矩陣根據(jù)安全策略完成信息的安全檢測(cè)，內(nèi)外網(wǎng)絡(luò)之間的安全交換。網(wǎng)閘協(xié)議原理拓?fù)淙鐖D1所示。

圖1 隔離網(wǎng)閘通信原理圖

3 網(wǎng)絡(luò)部署

本文縣級(jí)氣象部門(mén)采用內(nèi)網(wǎng)和外網(wǎng)兩套獨(dú)立的網(wǎng)絡(luò)通信線路，路由器、交換機(jī)等設(shè)備分別部署使得網(wǎng)絡(luò)架構(gòu)清晰。同時(shí)，通過(guò)分別部署防火墻和殺毒軟件等可充分保障內(nèi)、外網(wǎng)應(yīng)用系統(tǒng)的安全性和業(yè)務(wù)傳輸穩(wěn)定性，有利于加快部署。

在滿足業(yè)務(wù)需求的基礎(chǔ)上，從網(wǎng)絡(luò)量級(jí)看，縣級(jí)氣象部門(mén)網(wǎng)絡(luò)結(jié)構(gòu)比較簡(jiǎn)單，需要的硬件設(shè)備和軟件平臺(tái)較少。但是從安全性和傳輸可靠性方面，縣級(jí)氣象網(wǎng)絡(luò)需要基本的設(shè)備如防火墻、路由器、交換機(jī)等。網(wǎng)絡(luò)管理類(lèi)軟件方面，內(nèi)網(wǎng)和外網(wǎng)系統(tǒng)都需要部署殺毒軟件和安全防御工具等。

縣級(jí)氣象網(wǎng)絡(luò)分離的改造工作，首先要保障內(nèi)、外網(wǎng)的安全性。其中內(nèi)網(wǎng)安全性通過(guò)部署市局統(tǒng)一發(fā)布的安全軟件，如火絨安全防御軟件，定期對(duì)系統(tǒng)進(jìn)行查殺和漏洞修復(fù)。同時(shí)網(wǎng)管人員要求業(yè)務(wù)人員不能隨意卸載查殺軟件、不得隨意更改IP地址等。遇到異常情況關(guān)閉計(jì)算機(jī)進(jìn)行排查，防止全網(wǎng)系統(tǒng)中毒。外網(wǎng)系統(tǒng)安全性方面，同樣需要在系統(tǒng)中安裝360安全衛(wèi)士等軟件，并保持良好的上網(wǎng)習(xí)慣。

雙網(wǎng)分別連接完畢，實(shí)現(xiàn)了內(nèi)網(wǎng)訪問(wèn)國(guó)、省、市級(jí)業(yè)務(wù)系統(tǒng)和外網(wǎng)機(jī)器訪問(wèn)互聯(lián)網(wǎng)的正常需求。接著需要考慮的是由于應(yīng)用系統(tǒng)的融合以及服務(wù)對(duì)象的增加造成的不同業(yè)務(wù)之間的交互需求，即隔離網(wǎng)閘部署方式[4]。由圖1可知，網(wǎng)閘的部署需要放置在兩個(gè)網(wǎng)絡(luò)之間，并且根據(jù)業(yè)務(wù)需求配置任務(wù)和策略，完成跨網(wǎng)數(shù)據(jù)“擺渡”功能。進(jìn)行內(nèi)、外網(wǎng)分離改造后的縣級(jí)氣象部門(mén)的網(wǎng)絡(luò)部署架構(gòu)如圖2所示。

圖2 內(nèi)外網(wǎng)分離后的縣級(jí)氣象網(wǎng)絡(luò)架構(gòu)

4 應(yīng)用研究分析

經(jīng)過(guò)方案探討、設(shè)備采購(gòu)、調(diào)試上架、應(yīng)用測(cè)試等關(guān)鍵步驟之后，縣級(jí)氣象部門(mén)網(wǎng)管人員對(duì)初定的業(yè)務(wù)應(yīng)用進(jìn)行測(cè)試和分析。按照測(cè)試方案，需要對(duì)網(wǎng)絡(luò)中3個(gè)方面分別進(jìn)行測(cè)試，第一方面是內(nèi)網(wǎng)網(wǎng)絡(luò)訪問(wèn)是否正常，包括網(wǎng)絡(luò)傳輸速率、內(nèi)網(wǎng)平臺(tái)訪問(wèn)及網(wǎng)絡(luò)安全性等；第二方面是外網(wǎng)訪問(wèn)互聯(lián)網(wǎng)是否正常；第三方面是通過(guò)網(wǎng)閘能否跨網(wǎng)訪問(wèn)及安全性。

經(jīng)過(guò)測(cè)試，上述3個(gè)方面測(cè)試效果良好。需要注意的是，在進(jìn)行跨網(wǎng)訪問(wèn)時(shí)，隔離網(wǎng)閘的配置較為復(fù)雜，首先需要添加資源，即源地址和目的地址。要完成訪問(wèn)，還需要配置客戶端和服務(wù)端安全傳輸策略，分為透明代理和普通訪問(wèn)兩種模式。按照網(wǎng)閘工作原理要求，內(nèi)外網(wǎng)網(wǎng)閘需要配置相同的任務(wù)號(hào)進(jìn)行數(shù)據(jù)“擺渡”，同時(shí)根據(jù)需要配置訪問(wèn)端口和協(xié)議等。進(jìn)行嚴(yán)格的配置后，跨網(wǎng)訪問(wèn)就可以順利實(shí)現(xiàn)了。即在縣級(jí)氣象內(nèi)網(wǎng)部分機(jī)器可以訪問(wèn)互聯(lián)網(wǎng)微信、微博等平臺(tái)。同時(shí)，外網(wǎng)機(jī)器還可以通過(guò)網(wǎng)閘訪問(wèn)內(nèi)網(wǎng)某個(gè)業(yè)務(wù)系統(tǒng)網(wǎng)頁(yè)，訪問(wèn)速度及運(yùn)行狀態(tài)良好。

5 結(jié)束語(yǔ)

信息技術(shù)迅速發(fā)展的當(dāng)下，網(wǎng)絡(luò)安全、數(shù)據(jù)安全發(fā)展成為新的威脅。各縣級(jí)基層氣象部門(mén)按照上級(jí)要求逐步完成雙網(wǎng)分離，通過(guò)物理隔離的方式完成內(nèi)網(wǎng)和外網(wǎng)隔離的改造，一定程度上降低了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。結(jié)合本地業(yè)務(wù)實(shí)際，本文采用的物理隔離方法是使用網(wǎng)閘完成部分業(yè)務(wù)“擺渡”功能。從技術(shù)角度看，網(wǎng)閘的應(yīng)用能夠避免防火墻等安全設(shè)備產(chǎn)生的路由協(xié)議轉(zhuǎn)換問(wèn)題。應(yīng)用效果上看，該方式既能滿足隔離的需要，同時(shí)還能達(dá)到內(nèi)網(wǎng)訪問(wèn)微博等互聯(lián)網(wǎng)網(wǎng)頁(yè)的需要。