基于網(wǎng)閘技術(shù)的建設(shè)用地審批信息發(fā)布系統(tǒng)研究

蔣金亮，陳艷平

隨著金土工程一期建設(shè)項目的圓滿完成，國內(nèi)大多國土資源廳建設(shè)用地審批系統(tǒng)都已正式投入運行，但是建設(shè)用地審批信息發(fā)布大多還是采用手工發(fā)布方式。采取手工方式，一是工作量比較大，二是信息發(fā)布實效性比較差。建立建設(shè)用地信息實時發(fā)布機制，開發(fā)部署建設(shè)用地審批信息發(fā)布系統(tǒng)，將建設(shè)用地審批情況在網(wǎng)上及時安全地發(fā)布出去，對于減輕工作人員工作量、提高建設(shè)用地審批工作效率和服務(wù)質(zhì)量具有重要意義。

1 系統(tǒng)設(shè)計

1.1 系統(tǒng)設(shè)計原則

建設(shè)用地審批實行國家、省、市、縣四級管理模式，市、縣級國土資源管理部門對所在地建設(shè)用地項目審查通過后，上報省廳審批。上報的建設(shè)用地項目資料一般包含建設(shè)用地申請表、征地方案、供地方案、土地開發(fā)利用方案和補充耕地方案以及礦產(chǎn)壓覆情況等專項審查信息。其中，審批地塊的坐標(biāo)信息屬于涉密類信息，這信息被不法分子獲取后勢必給國家安全帶來一定隱患。為此，系統(tǒng)設(shè)計應(yīng)重點考慮系統(tǒng)的安全性。

1.2 系統(tǒng)設(shè)計思路

按照國家安全部門要求，省廳機關(guān)局域網(wǎng)都要建成外部局域網(wǎng)和內(nèi)部局域網(wǎng)兩部分，外部局域網(wǎng)和內(nèi)部局域網(wǎng)之間物理隔離，外部局域網(wǎng)與國際互聯(lián)網(wǎng)相連，內(nèi)部局域網(wǎng)用于廳內(nèi)部辦公使用。目前，在用的建設(shè)用地審批系統(tǒng)都是部署在單位的內(nèi)網(wǎng)上。

為做到將內(nèi)網(wǎng)建設(shè)用地審批信息的實時發(fā)布到外網(wǎng)，需要對建設(shè)用地審批系統(tǒng)中項目的審批情況進(jìn)行實時跟蹤，一旦監(jiān)測到有項目審批完成，將從建設(shè)用地審批業(yè)務(wù)數(shù)據(jù)庫中，提取有關(guān)建設(shè)用地信息至發(fā)布數(shù)據(jù)庫，經(jīng)審核人審核通過后（也可設(shè)置為自動發(fā)布模式，即不需經(jīng)審核人審核），系統(tǒng)從信息發(fā)布數(shù)據(jù)集提取并生成一個待發(fā)布的建設(shè)用地信息源文件（＊.xls），并將該文件以固定格式保存在內(nèi)網(wǎng)服務(wù)器上，網(wǎng)閘將根據(jù)定制規(guī)則將該文件擺渡到外網(wǎng)服務(wù)器上，部署在外網(wǎng)的系統(tǒng)監(jiān)測到有新的文件過來后，對文件信息進(jìn)行分析整理，然后發(fā)布出去。系統(tǒng)架構(gòu)圖如下：

圖1 系統(tǒng)架構(gòu)圖

1.3 技術(shù)路線選型

本系統(tǒng)采用B／S架構(gòu)，信息采集、編輯及監(jiān)測跟蹤、信息源文件生成及信息發(fā)布等功能可采用J2EE或.NET等開發(fā)，內(nèi)外網(wǎng)文件存放路徑需要在系統(tǒng)中設(shè)定。本系統(tǒng)重點在于信息內(nèi)外網(wǎng)傳遞環(huán)境的設(shè)計，在保證內(nèi)網(wǎng)服務(wù)器上的信息源文件準(zhǔn)確及時無誤地傳輸?shù)酵饩W(wǎng)服務(wù)器上，又要確保內(nèi)網(wǎng)不受到來自外網(wǎng)的惡意入侵。以前，大多采取雙網(wǎng)卡模式，一個網(wǎng)卡接內(nèi)網(wǎng)，一個網(wǎng)卡接外網(wǎng)。但這種模式在內(nèi)外網(wǎng)物理隔離網(wǎng)絡(luò)環(huán)境下則不適用。本系統(tǒng)引入網(wǎng)閘技術(shù)，以期解決上述問題。

1.4 信息傳遞環(huán)境設(shè)計

本系統(tǒng)信息發(fā)布過程中內(nèi)網(wǎng)與外網(wǎng)間存在著信息交換需求，然而基于內(nèi)網(wǎng)數(shù)據(jù)保密性的考慮，不能將內(nèi)網(wǎng)暴露在對外環(huán)境中。解決該問題的有效方式是設(shè)置安全島，通過安全島來實現(xiàn)內(nèi)外網(wǎng)間信息的過濾和兩個網(wǎng)絡(luò)間的物理隔離，從而在內(nèi)外網(wǎng)間實現(xiàn)安全的數(shù)據(jù)交換。安全島是獨立于內(nèi)、外網(wǎng)的一個特殊的過渡區(qū)域，它被置于內(nèi)網(wǎng)和外網(wǎng)相交的邊界位置，一方面將內(nèi)網(wǎng)與外網(wǎng)物理隔離，防止外網(wǎng)中黑客利用漏洞等攻擊手段進(jìn)入內(nèi)網(wǎng)，另一方面又完成數(shù)據(jù)的中轉(zhuǎn)，在其安全策略的控制下安全地進(jìn)行內(nèi)外網(wǎng)間的數(shù)據(jù)交換。信息從內(nèi)網(wǎng)傳到外網(wǎng)的工作示意圖如下：

圖2 網(wǎng)閘工作示意圖

隔離網(wǎng)閘（GAP）技術(shù)是實現(xiàn)安全島的關(guān)鍵技術(shù)，它如同一個高速開關(guān)在內(nèi)外網(wǎng)間來回切換，同一時刻內(nèi)外網(wǎng)間沒有連接，處于物理隔離狀態(tài)。在此基礎(chǔ)上，隔離網(wǎng)閘作為代理從內(nèi)網(wǎng)的網(wǎng)絡(luò)訪問包中抽取出數(shù)據(jù)然后通過反射開關(guān)轉(zhuǎn)入外網(wǎng)，完成數(shù)據(jù)中轉(zhuǎn)。在中轉(zhuǎn)過程中，隔離網(wǎng)閘會對抽取的數(shù)據(jù)做應(yīng)用層的協(xié)議檢查、內(nèi)容檢測，也會對IP包地址實施過濾控制，由于隔離網(wǎng)閘采用了獨特的開關(guān)切換機制，因此，在進(jìn)行這些檢查時網(wǎng)絡(luò)實際上處于斷開狀態(tài)，只有通過嚴(yán)格檢查的數(shù)據(jù)才有可能進(jìn)入內(nèi)網(wǎng)，即使黑客強行攻擊了隔離網(wǎng)閘，由于攻擊發(fā)生時內(nèi)外網(wǎng)始終處于物理斷開狀態(tài)，黑客也無法進(jìn)入內(nèi)網(wǎng)。另一方面，由于網(wǎng)閘僅抽取數(shù)據(jù)交換到外網(wǎng)，并不接收來自外網(wǎng)的信息，因此，內(nèi)網(wǎng)不會受到來自外界網(wǎng)絡(luò)層的攻擊，這就在物理隔離的同時實現(xiàn)了數(shù)據(jù)的安全交換。

2 系統(tǒng)實現(xiàn)

2.1 網(wǎng)閘參數(shù)設(shè)置

本系統(tǒng)采用的網(wǎng)閘是聯(lián)想的SIS－3000GF。由于安全需要，本系統(tǒng)只需要將內(nèi)網(wǎng)文件發(fā)送到外網(wǎng)，而不需要從外網(wǎng)接收數(shù)據(jù)，因此，網(wǎng)閘的內(nèi)網(wǎng)工作模式設(shè)置為僅發(fā)送，外網(wǎng)工作模式設(shè)置為進(jìn)接收。具體參數(shù)設(shè)置如下圖：

圖3 網(wǎng)閘內(nèi)網(wǎng)端口參數(shù)設(shè)置

圖4 網(wǎng)閘外網(wǎng)端口參數(shù)設(shè)置

本設(shè)置采取的是靜態(tài)NAT地址轉(zhuǎn)換技術(shù)，內(nèi)網(wǎng)與網(wǎng)閘的內(nèi)網(wǎng)端口相連，外網(wǎng)與網(wǎng)閘的外網(wǎng)端口相連，內(nèi)網(wǎng)端口設(shè)置的是內(nèi)網(wǎng)合法IP地址，如：10.0.0.1，外網(wǎng)端口設(shè)置的是外網(wǎng)合法IP地址，如：192.168.1.254。當(dāng)信息從內(nèi)網(wǎng)向外網(wǎng)傳遞時，信息首先傳遞到網(wǎng)站內(nèi)網(wǎng)端口10.0.0.1的存儲卡上，經(jīng)解包處理后，將純數(shù)據(jù)擺渡到外網(wǎng)端口192.168.1.254的存儲卡上，然后經(jīng)打包處理后發(fā)送出去。這種數(shù)據(jù)傳輸模式隱藏了內(nèi)部網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)，同時做到了同一時刻內(nèi)外網(wǎng)之間物理隔離，從而有效地保證了內(nèi)網(wǎng)的安全。

2.2 系統(tǒng)功能

（1）用戶管理模塊：包括用戶信息管理、密碼口令管理、權(quán)限管理等；

（2）信息采集模塊：對建設(shè)用地審批情況進(jìn)行跟蹤監(jiān)測，根據(jù)需要提取待發(fā)布信息至發(fā)布數(shù)據(jù)庫；

（3）信息編輯模塊：對經(jīng)審核需要發(fā)布出去的建設(shè)用地審批項目信息進(jìn)行分析、整理，生成待發(fā)布的信息源文件，存放到內(nèi)網(wǎng)服務(wù)器上。

（4）信息發(fā)布模塊：對外網(wǎng)服務(wù)器上發(fā)布文件夾進(jìn)行動態(tài)監(jiān)測，發(fā)現(xiàn)有待發(fā)布信息源文件，經(jīng)分析處理后發(fā)到外網(wǎng)門戶網(wǎng)站，本功能模塊也可在網(wǎng)站系統(tǒng)中實現(xiàn)；

（5）系統(tǒng)管理模塊：包括設(shè)置信息源文件存放到內(nèi)網(wǎng)服務(wù)器上的路徑、系統(tǒng)數(shù)據(jù)的管理和維護(hù)、系統(tǒng)參數(shù)的初始化、信息發(fā)布模式定制等。其中，信息發(fā)布模式包括自動模式和審核模式兩種。一個信息源文件可包含一個或多個建設(shè)用地項目信息，也可根據(jù)系統(tǒng)設(shè)置進(jìn)行定時定期發(fā)布。

2.3 發(fā)布效果

圖5 信息發(fā)布

圖6 信息內(nèi)容

3 結(jié)束語

本系統(tǒng)結(jié)合建設(shè)用地審批信息發(fā)布實際工作需求，通過引入網(wǎng)閘技術(shù)，實現(xiàn)了在內(nèi)外網(wǎng)物理隔離情況下內(nèi)網(wǎng)數(shù)據(jù)向外網(wǎng)的動態(tài)發(fā)布。該系統(tǒng)的部署和應(yīng)用，滿足了用地申請人對其所申報建設(shè)用地項目審批通過情況的及時掌握，提高了政府行政審批工作的透明度和服務(wù)質(zhì)量，同時也為開展涉密數(shù)據(jù)的動態(tài)發(fā)布工作積累了經(jīng)驗。

［1］ 國土資源部，《關(guān)于進(jìn)一步運用現(xiàn)代科技信息手段規(guī)范和創(chuàng)新管理的指導(dǎo)意見》（國土資發(fā)2010〔81〕號），2010.

［2］ 王 珺，李立新，李福林.物理隔離和網(wǎng)閘的技術(shù)原理淺析［J］.徽計算機信息，2007（24）.

［3］ 國土資源部，《關(guān)于進(jìn)一步加強和改進(jìn)建設(shè)用地備案工作的通知》（國土資發(fā)2007〔326〕號），2007.

［4］ 謝昌榮，李菊英.電子政務(wù)網(wǎng)格安全結(jié)構(gòu)研究［J］.計算機安全，2007（7）.