基于網(wǎng)閘技術(shù)構(gòu)建內(nèi)外網(wǎng)一體化門戶

王慶凱

近年來(lái),電子政務(wù)發(fā)展迅速,體現(xiàn)在社會(huì)生活的各個(gè)方面,如工商注冊(cè)申報(bào)、網(wǎng)上報(bào)稅、網(wǎng)上報(bào)關(guān)、基金項(xiàng)目申報(bào)等等。電子政務(wù)與國(guó)家和個(gè)人的利益密切相關(guān),在我國(guó)電子政務(wù)系統(tǒng)建設(shè)中,外部網(wǎng)絡(luò)連接著廣大民眾,內(nèi)部網(wǎng)絡(luò)連接著政府公務(wù)員桌面辦公系統(tǒng),專網(wǎng)連接著各級(jí)政府的信息系統(tǒng),而在外網(wǎng)、內(nèi)網(wǎng)、專網(wǎng)之間交換信息是基本要求。如何在保證內(nèi)網(wǎng)和專網(wǎng)資源安全的前提下,實(shí)現(xiàn)從民眾到政府的網(wǎng)絡(luò)暢通、資源共享、方便快捷是電子政務(wù)系統(tǒng)建設(shè)中必須解決的技術(shù)問(wèn)題。

關(guān)于網(wǎng)閘

物理隔離網(wǎng)閘是使用帶有多種控制功能的固態(tài)開(kāi)關(guān)讀寫(xiě)介質(zhì)連接兩個(gè)獨(dú)立主機(jī)系統(tǒng)的信息安全設(shè)備。由于物理隔離網(wǎng)閘所連接的兩個(gè)獨(dú)立主機(jī)系統(tǒng)之間,不存在通信的物理連接、邏輯連接、信息傳輸命令、信息傳輸協(xié)議,不存在依據(jù)協(xié)議的信息包轉(zhuǎn)發(fā),只有數(shù)據(jù)文件的無(wú)協(xié)議“擺渡”,且對(duì)固態(tài)存儲(chǔ)介質(zhì)只有“讀”和“寫(xiě)”兩個(gè)命令,所以,物理隔離網(wǎng)閘從物理上隔離、阻斷了具有潛在攻擊可能的一切連接,使“黑客“無(wú)法入侵、無(wú)法攻擊、無(wú)法破壞,實(shí)現(xiàn)了真正的安全。

網(wǎng)閘模型設(shè)計(jì)一般分三個(gè)基本部分組成:一是內(nèi)網(wǎng)處理單元:包括內(nèi)網(wǎng)接口單元與內(nèi)網(wǎng)數(shù)據(jù)緩沖區(qū)。二是外網(wǎng)處理單元:與內(nèi)網(wǎng)處理單元功能相同,但處理的是外網(wǎng)連接。三是隔離與交換控制控制單元:是網(wǎng)閘隔離控制的擺渡控制,控制交換通道的開(kāi)啟與關(guān)閉。

網(wǎng)閘的主要功能有:阻斷網(wǎng)絡(luò)的直接物理連接和邏輯連接;數(shù)據(jù)傳輸機(jī)制的不可編程性;安全審查;原始數(shù)據(jù)無(wú)危害性;管理和控制功能;根據(jù)需要提供定制安全策略和傳輸策略的功能;支持定時(shí)/實(shí)時(shí)文件交換;支持Web方式;支持?jǐn)?shù)據(jù)庫(kù)同步。

政府網(wǎng)絡(luò)中物理隔離技術(shù)的應(yīng)用

在政府網(wǎng)絡(luò)中,內(nèi)部網(wǎng)上有著大量高度機(jī)密的數(shù)據(jù)和信息,一旦網(wǎng)絡(luò)安全得不到保證,可能造成政治、經(jīng)濟(jì)等各方面的巨大損失,因此網(wǎng)絡(luò)安全必須放在首位。在政府工作不斷地實(shí)現(xiàn)信息化、高效便捷的同時(shí),安全保護(hù)成了亟待解決的問(wèn)題。

面對(duì)網(wǎng)絡(luò)安全的威脅,現(xiàn)在常用的安全防護(hù)方法主要有:

軟件解決方案:現(xiàn)在正在廣泛應(yīng)用的是許多復(fù)雜的軟件及部分硬件技術(shù),如用防火墻、代理服務(wù)器、入侵探測(cè)器、通道控制等手段來(lái)降低來(lái)自Internet的危險(xiǎn)。

法規(guī)和行政命令:法規(guī)和行政命令對(duì)安全工作是絕對(duì)必須的,嚴(yán)格的工作紀(jì)律是安全防護(hù)的重要保證。

物理隔離方案:采用硬件物理隔離方案,即將內(nèi)部涉密網(wǎng)與外部網(wǎng)徹底地物理隔離開(kāi),沒(méi)有任何線路連接。這樣可以保證網(wǎng)上黑客無(wú)法連接內(nèi)部涉密網(wǎng),具有極高的安全性。

其中,物理隔離解決方案在政府網(wǎng)絡(luò)中的應(yīng)用主要有一下四種:

一是涉密網(wǎng)與非涉密網(wǎng)之間:

二是局域網(wǎng)與互聯(lián)網(wǎng)之間(內(nèi)網(wǎng)與外網(wǎng)之間):

在政府辦公網(wǎng)絡(luò)的局域網(wǎng)絡(luò)中,涉及政府敏感信息,有時(shí)需要與互聯(lián)網(wǎng)在物理上斷開(kāi),用物理隔離網(wǎng)閘是一個(gè)最常用的辦法。

三是辦公網(wǎng)與業(yè)務(wù)網(wǎng)之間:

由于許多政府的辦公網(wǎng)絡(luò)與業(yè)務(wù)網(wǎng)絡(luò)的信息敏感程度不同,例如,地稅、國(guó)稅局的辦公網(wǎng)絡(luò)和稅收業(yè)務(wù)網(wǎng)絡(luò)就是很典型的信息敏感程度不同的兩類網(wǎng)絡(luò)。為了提高工作效率,辦公網(wǎng)絡(luò)有時(shí)需要與業(yè)務(wù)網(wǎng)絡(luò)交換信息。為解決業(yè)務(wù)網(wǎng)絡(luò)的安全,比較好的辦法就是在辦公網(wǎng)與業(yè)務(wù)網(wǎng)之間使用物理隔離網(wǎng)閘,實(shí)現(xiàn)兩類網(wǎng)絡(luò)的物理隔離。

四是電子政務(wù)的內(nèi)網(wǎng)與專網(wǎng)之間:

在電子政務(wù)系統(tǒng)建設(shè)中要求政府內(nèi)網(wǎng)與外網(wǎng)之間用邏輯隔離,在政府專網(wǎng)與內(nèi)網(wǎng)之間用物理隔離?，F(xiàn)常用的方法是用物理隔離網(wǎng)閘來(lái)實(shí)現(xiàn)。

網(wǎng)閘技術(shù)構(gòu)建政府內(nèi)外網(wǎng)門戶網(wǎng)站

1、政府門戶內(nèi)外網(wǎng)統(tǒng)一需求簡(jiǎn)述

內(nèi)網(wǎng)的功能概述:政府與企業(yè)將內(nèi)部公務(wù)內(nèi)網(wǎng)定位為企業(yè)或政府內(nèi)部工作網(wǎng),與其它網(wǎng)絡(luò)物理隔離,傳輸不涉及國(guó)家秘密或企業(yè)商業(yè)機(jī)密的內(nèi)部信息。根據(jù)國(guó)家涉密應(yīng)用需求和與機(jī)要網(wǎng)的協(xié)調(diào)情況,以及內(nèi)網(wǎng)加密設(shè)施的完善程度等方面的情況,一定程度上界定是否將內(nèi)部機(jī)密信息在內(nèi)網(wǎng)上傳輸。

外網(wǎng)的功能概述:外網(wǎng)定位為國(guó)家機(jī)關(guān)或企事業(yè)單位對(duì)社會(huì)公眾與商業(yè)機(jī)構(gòu)服務(wù)的業(yè)務(wù)網(wǎng),與互聯(lián)網(wǎng)通過(guò)網(wǎng)絡(luò)安全系統(tǒng)邏輯相連。國(guó)家機(jī)構(gòu)或企業(yè)以門戶網(wǎng)站為外網(wǎng)形式在互聯(lián)網(wǎng)上運(yùn)行,并且要采取必需的安全防護(hù)措施。門戶網(wǎng)站辦事欄目,主要體現(xiàn)政府或企事業(yè)單位各個(gè)職能部門的網(wǎng)絡(luò)窗口并負(fù)責(zé)建設(shè)和維護(hù),逐步形成一個(gè)統(tǒng)一網(wǎng)絡(luò)信息體系。

內(nèi)外網(wǎng)統(tǒng)一的目的:外網(wǎng)和內(nèi)網(wǎng)物理斷開(kāi),政府用戶通過(guò)外部網(wǎng)站的申請(qǐng)、表格無(wú)法傳輸?shù)絻?nèi)網(wǎng)的申批系統(tǒng)中來(lái),給門戶網(wǎng)站的服務(wù)帶來(lái)了很大的局限性,使網(wǎng)站無(wú)法給政府用戶帶來(lái)方便、快捷的服務(wù)。

同時(shí)外部網(wǎng)站無(wú)法從政府內(nèi)網(wǎng)中獲取數(shù)據(jù),需要的數(shù)據(jù)無(wú)法共享給外部。

統(tǒng)一的內(nèi)外網(wǎng)平臺(tái),可以提供數(shù)據(jù)交換和整合功能,支持跨平臺(tái)操作,支持各種不同數(shù)據(jù)庫(kù),實(shí)現(xiàn)數(shù)據(jù)的實(shí)時(shí)獲取、轉(zhuǎn)換、傳輸、交換、整合等,實(shí)現(xiàn)信息資源共享。同時(shí),通過(guò)統(tǒng)一出口,方便與社會(huì)各界、企業(yè)、個(gè)人等實(shí)現(xiàn)數(shù)據(jù)交換;通過(guò)網(wǎng)閘的信息交換功能可以讓政府門戶內(nèi)外網(wǎng)達(dá)到統(tǒng)一的需求目的。

2、網(wǎng)閘技術(shù)實(shí)現(xiàn)內(nèi)外網(wǎng)信息交換

物理隔離網(wǎng)閘隔離、阻斷了網(wǎng)絡(luò)的所有連接,實(shí)際上就是隔離、阻斷了網(wǎng)絡(luò)的連通。網(wǎng)絡(luò)被隔離、阻斷后,兩個(gè)獨(dú)立主機(jī)系統(tǒng)之間如何進(jìn)行信息交換?在互聯(lián)網(wǎng)時(shí)代以前,信息照樣進(jìn)行交換,如數(shù)據(jù)文件復(fù)制(拷貝)、數(shù)據(jù)擺渡、數(shù)據(jù)鏡像、數(shù)據(jù)反射等等,物理隔離網(wǎng)閘就是使用數(shù)據(jù)“擺渡”的方式實(shí)現(xiàn)兩個(gè)網(wǎng)絡(luò)之間的信息交換。

網(wǎng)絡(luò)的外部主機(jī)系統(tǒng)通過(guò)物理隔離網(wǎng)閘與網(wǎng)絡(luò)的內(nèi)部主機(jī)系統(tǒng)“連接”起來(lái),物理隔離網(wǎng)閘將外部主機(jī)的TCP/IP協(xié)議全部剝離,將原始數(shù)據(jù)通過(guò)存儲(chǔ)介質(zhì),以“擺渡”的方式導(dǎo)入到內(nèi)部主機(jī)系統(tǒng),實(shí)現(xiàn)信息的交換。物理隔離網(wǎng)閘的原始數(shù)據(jù)“擺渡”機(jī)制是原始數(shù)據(jù)通過(guò)存儲(chǔ)介質(zhì)的存儲(chǔ)(寫(xiě)入)和轉(zhuǎn)發(fā)(讀出)。

物理隔離網(wǎng)閘在網(wǎng)絡(luò)的第七層將數(shù)據(jù)還原為原始數(shù)據(jù)文件,然后以“擺渡文件”的形式來(lái)傳遞原始數(shù)據(jù)。任何形式的數(shù)據(jù)包、信息傳輸命令和TCP/IP協(xié)議都不可能穿透物理隔離網(wǎng)閘。

當(dāng)內(nèi)網(wǎng)與外網(wǎng)之間無(wú)信息交換時(shí),物理隔離網(wǎng)閘與內(nèi)網(wǎng),物理隔離網(wǎng)閘與外網(wǎng),內(nèi)網(wǎng)與外網(wǎng)之間是完全斷開(kāi)的,即三者之間不存在物理連接和邏輯連接,如圖1所示。

當(dāng)內(nèi)網(wǎng)數(shù)據(jù)需要傳輸?shù)酵饩W(wǎng)時(shí),物理隔離網(wǎng)閘主動(dòng)向內(nèi)網(wǎng)服務(wù)器數(shù)據(jù)交換代理發(fā)起非TCP/IP協(xié)議的數(shù)據(jù)連接請(qǐng)求,并發(fā)出“寫(xiě)”命令,將寫(xiě)入開(kāi)關(guān)合上,并把所有的協(xié)議剝離,將原始數(shù)據(jù)寫(xiě)入存儲(chǔ)介質(zhì)。在此過(guò)程中,外網(wǎng)服務(wù)器與物理隔離網(wǎng)閘始終處于斷開(kāi)狀態(tài)。

一旦數(shù)據(jù)完全寫(xiě)入物理隔離網(wǎng)閘的存儲(chǔ)介質(zhì),開(kāi)關(guān)立即打開(kāi),中斷與內(nèi)網(wǎng)的連接。轉(zhuǎn)而發(fā)起對(duì)外網(wǎng)的非TCP/IP協(xié)議的數(shù)據(jù)連接請(qǐng)求,當(dāng)外網(wǎng)服務(wù)器收到請(qǐng)求后,發(fā)出“讀取”命令,將物理隔離網(wǎng)閘存儲(chǔ)介質(zhì)內(nèi)的數(shù)據(jù)導(dǎo)向外網(wǎng)服務(wù)器。外網(wǎng)服務(wù)器收到數(shù)據(jù)后,按TCP/IP協(xié)議重新封裝接收到的數(shù)據(jù),交給應(yīng)用系統(tǒng),完成了內(nèi)網(wǎng)到外網(wǎng)的信息交換。詳見(jiàn)圖3所示。

至于從外網(wǎng)到內(nèi)網(wǎng)的信息交換,與上述類似,只是方向相反。

由上不難看出:每一次數(shù)據(jù)交換,物理隔離網(wǎng)閘都經(jīng)歷了數(shù)據(jù)的寫(xiě)入、數(shù)據(jù)讀出兩個(gè)過(guò)程;內(nèi)網(wǎng)與外網(wǎng)永不連接;內(nèi)網(wǎng)和外網(wǎng)在同一時(shí)刻最多只有一個(gè)同物理隔離網(wǎng)閘建立非TCP/IP協(xié)議的數(shù)據(jù)連接。

大漢網(wǎng)絡(luò)基于網(wǎng)閘技術(shù)構(gòu)建內(nèi)外網(wǎng)統(tǒng)一門戶的案例

1.項(xiàng)目案例背景

項(xiàng)目為XX省XX局的的內(nèi)外門戶平臺(tái)省級(jí)集中建設(shè)和改造。主要的關(guān)鍵點(diǎn)如下:

1)內(nèi)外門戶平臺(tái)建設(shè)包括內(nèi)部網(wǎng)站和外部網(wǎng)站,兩網(wǎng)站之間物理隔離。內(nèi)部網(wǎng)站定位為綜合辦公平臺(tái),外部網(wǎng)站定位為業(yè)務(wù)服務(wù)平臺(tái)。項(xiàng)目?jī)?nèi)外網(wǎng)站的管理維護(hù)工作將在同一套網(wǎng)站管理系統(tǒng)下運(yùn)行,除實(shí)時(shí)交互類內(nèi)容外,其它全部的管理維護(hù)工作都在內(nèi)部網(wǎng)絡(luò)環(huán)境里完成,數(shù)據(jù)能夠同步到外部網(wǎng)站,同時(shí)要保證安全的最大化。

2)針對(duì)網(wǎng)絡(luò)內(nèi)外物理隔離的實(shí)際,借鑒我們?yōu)槠渌?wù)網(wǎng)站解決物理隔離和維護(hù)工作量矛盾的成功經(jīng)驗(yàn),制定了成熟而合理的解決方案。在此項(xiàng)目中內(nèi)容管理及數(shù)據(jù)庫(kù)服務(wù)器采用集群方式確保系統(tǒng)高可用性和可靠性;外網(wǎng)網(wǎng)站的靜態(tài)發(fā)布文件通過(guò)內(nèi)網(wǎng)前置機(jī)上的網(wǎng)閘同步軟件發(fā)送到外網(wǎng)的前置機(jī),再轉(zhuǎn)發(fā)至外網(wǎng)WEB服務(wù)器;外網(wǎng)網(wǎng)站的數(shù)據(jù)庫(kù)也由網(wǎng)閘的數(shù)據(jù)庫(kù)同步軟件實(shí)時(shí)把內(nèi)網(wǎng)的數(shù)據(jù)庫(kù)同步到外網(wǎng)來(lái),實(shí)時(shí)交互類的除外。

2.網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)

3.項(xiàng)目應(yīng)用部署

內(nèi)網(wǎng)服務(wù)器共9臺(tái),1臺(tái)網(wǎng)閘前置機(jī),兩臺(tái)數(shù)據(jù)庫(kù)及兩臺(tái)應(yīng)用制作服務(wù)器分別做了集群,都將數(shù)據(jù)文件存放在磁盤(pán)陣列上。內(nèi)網(wǎng)所有服務(wù)器都采用的是RedHat AS4 的操作系統(tǒng)。

外網(wǎng)服務(wù)器共10臺(tái),1臺(tái)網(wǎng)閘前置機(jī),數(shù)據(jù)庫(kù)、防篡改等不被直接訪問(wèn)的服務(wù)器放在外網(wǎng)的安全區(qū)內(nèi),網(wǎng)站W(wǎng)EB、互動(dòng)及應(yīng)用模塊需要供外部訪問(wèn)的服務(wù)器都放在DMZ區(qū),外網(wǎng)DMZ區(qū)與安全區(qū)內(nèi)設(shè)有防火墻保證了一定的安全性。

內(nèi)外網(wǎng)的前置機(jī)操作系統(tǒng)都為WINDOWS 2003 SERVER,并安裝了網(wǎng)閘提供的文件同步及數(shù)據(jù)庫(kù)同步軟件。

4.技術(shù)實(shí)現(xiàn)步驟

此項(xiàng)目硬件環(huán)境較復(fù)雜,內(nèi)網(wǎng)服務(wù)器8臺(tái),外網(wǎng)服務(wù)器10臺(tái),內(nèi)外網(wǎng)網(wǎng)閘前置機(jī)各1臺(tái),網(wǎng)閘2臺(tái)(一臺(tái)作為冷備),內(nèi)網(wǎng)建設(shè)環(huán)境在內(nèi)部局域網(wǎng)中相對(duì)較安全,所以只在與內(nèi)部局域網(wǎng)連接設(shè)立防火墻即可,并有入侵檢測(cè)和病毒防護(hù)等防護(hù)措施。外網(wǎng)環(huán)境相對(duì)較復(fù)雜,數(shù)據(jù)庫(kù)、防篡改等不被直接訪問(wèn)的服務(wù)器放在外網(wǎng)的安全區(qū)內(nèi),網(wǎng)站W(wǎng)EB、互動(dòng)及應(yīng)用模塊需要供外部訪問(wèn)的服務(wù)器都放在DMZ區(qū),外網(wǎng)DMZ區(qū)與安全區(qū)內(nèi)設(shè)有防火墻保證了一定的安全性。網(wǎng)閘設(shè)備就在外網(wǎng)與內(nèi)網(wǎng)之間,內(nèi)外兩段分別連接內(nèi)外網(wǎng)絡(luò),當(dāng)有信息交換時(shí)通過(guò)網(wǎng)閘中間段將內(nèi)或外部需要傳輸?shù)男畔l(fā)送到另一端。

外網(wǎng)與內(nèi)網(wǎng)的門戶網(wǎng)站都在內(nèi)網(wǎng)的內(nèi)容管理平臺(tái)統(tǒng)一進(jìn)行管理,內(nèi)容管理制作服務(wù)器將外部網(wǎng)站的網(wǎng)頁(yè)靜態(tài)文件打包壓縮發(fā)送至內(nèi)網(wǎng)的網(wǎng)閘前置機(jī),再由內(nèi)網(wǎng)前置機(jī)通過(guò)網(wǎng)閘的文件同步軟件,將文件發(fā)送至外網(wǎng)的網(wǎng)閘前置機(jī),最終由網(wǎng)閘前置機(jī)把文件傳送到WEB服務(wù)器,其中間傳輸?shù)奈募紴榻?jīng)程序打包壓縮成的PKG包,即傳輸?shù)倪^(guò)程中保證了文件的安全性。

外網(wǎng)的數(shù)據(jù)庫(kù)也同樣通過(guò)內(nèi)網(wǎng)前置機(jī)設(shè)置了數(shù)據(jù)庫(kù)同步通道,網(wǎng)閘的數(shù)據(jù)庫(kù)同步軟件在內(nèi)外網(wǎng)的數(shù)據(jù)庫(kù)中分別設(shè)置了“增加”、“刪除”、“更新”的觸發(fā)器,當(dāng)對(duì)數(shù)據(jù)庫(kù)執(zhí)行相應(yīng)操作時(shí),觸發(fā)器會(huì)把數(shù)據(jù)庫(kù)執(zhí)行的操作作為命令方式傳輸通過(guò)網(wǎng)閘,再到另一端的數(shù)據(jù)庫(kù)中執(zhí)行相應(yīng)的命令操作,有效地保證了數(shù)據(jù)庫(kù)的準(zhǔn)確性與實(shí)時(shí)性。

不論是從內(nèi)向外,還是從外向內(nèi),文件同步與數(shù)據(jù)庫(kù)同步的方式都是一樣的,但需要遵循兩點(diǎn)條件:一、文件同步需要支持一對(duì)多和多對(duì)一的多層文件夾同步模式;二、數(shù)據(jù)庫(kù)同步需要支持可設(shè)置到數(shù)據(jù)庫(kù)中具體的某一張表的某一個(gè)字段同步。

由于網(wǎng)閘的同步畢竟還是物理隔離的,對(duì)安全性有了很大的保障,但同時(shí)也就不能要求太高的實(shí)時(shí)性了。

政府網(wǎng)絡(luò)安全是國(guó)家網(wǎng)絡(luò)安全的基石,也是針對(duì)未來(lái)的信息戰(zhàn)來(lái)加強(qiáng)國(guó)防建設(shè)的重要基礎(chǔ)。對(duì)于政府部門來(lái)說(shuō),就需要對(duì)網(wǎng)絡(luò)中需保護(hù)的信息和數(shù)據(jù)進(jìn)行詳細(xì)的經(jīng)濟(jì)性評(píng)估,決定投資強(qiáng)度。利用有效的網(wǎng)絡(luò)安全設(shè)備,從而保證政府網(wǎng)絡(luò)的安全性是目前最為有效的一種手段,也是構(gòu)建新時(shí)代網(wǎng)絡(luò)環(huán)境的必備條件。

展望未來(lái)的網(wǎng)絡(luò)發(fā)展趨勢(shì),我們都需要提前做好準(zhǔn)備。學(xué)習(xí)新技能,應(yīng)用新技術(shù),是我們最愿意也是最擅長(zhǎng)做的事情,秉承我們多年來(lái)對(duì)政府門戶構(gòu)建的經(jīng)驗(yàn),我們已讓網(wǎng)閘技術(shù)較好的為政府部門提供安全保障,并時(shí)刻都在關(guān)注著它的發(fā)展,將與網(wǎng)絡(luò)新時(shí)代共成長(zhǎng)。