安全隔離網(wǎng)閘在電視節(jié)目制作中的應(yīng)用

姜 周，周海榮

淮安市廣播電視臺(tái)，江蘇淮安 223001

0 引言

目前，由于非線性編輯技術(shù)的普及，大多數(shù)電視臺(tái)的電視節(jié)目制作系統(tǒng)主要由非編網(wǎng)絡(luò)、媒體資源庫(kù)以及新聞文稿系統(tǒng)構(gòu)成[1]。出于節(jié)目制作安全性的考慮，這部分通常作為內(nèi)網(wǎng)使用，并不與外網(wǎng)（包括辦公網(wǎng)及Internet）直接連通。實(shí)際上，這部分網(wǎng)絡(luò)不可避免地要求具有一定的交互性，例如編輯記者外采的視音頻文件需要導(dǎo)入非編系統(tǒng)、對(duì)媒體資源庫(kù)以及新聞文稿系統(tǒng)的訪問(wèn)也不應(yīng)局限于剪輯機(jī)房。那么，有沒(méi)有一種辦法，使記者們可以方便地在自己的辦公電腦，甚至家中，向非編系統(tǒng)上傳視音頻文件、瀏覽媒資庫(kù)、編輯新聞文稿，同時(shí)還能在較大程度上保證內(nèi)網(wǎng)數(shù)據(jù)的安全呢？

一種直觀且有效的辦法是設(shè)置防火墻（firewall）。防火墻的構(gòu)成包括兩臺(tái)分組過(guò)濾路由器（packet filter）和一個(gè)應(yīng)用網(wǎng)關(guān)（application gateway）[2]，它通過(guò)有效的數(shù)據(jù)過(guò)濾，可以使內(nèi)網(wǎng)免受非法用戶(hù)的侵入以及避免內(nèi)網(wǎng)保密的數(shù)據(jù)被轉(zhuǎn)運(yùn)出去。但是其基于連通網(wǎng)絡(luò)的工作原理，以及對(duì)應(yīng)用透明的隔離方式，對(duì)DoS攻擊和DDoS攻擊則顯得無(wú)能為力。

安全隔離網(wǎng)閘（GAP，又稱(chēng)物理隔離網(wǎng)閘）的出現(xiàn)則很好地彌補(bǔ)了這一不足，它最早使用在軍方，用以解決涉密網(wǎng)絡(luò)與公共網(wǎng)絡(luò)的連接問(wèn)題[3]。它采用SU-Gap安全隔離技術(shù)，創(chuàng)建一個(gè)內(nèi)、外網(wǎng)物理斷開(kāi)的環(huán)境，它由內(nèi)網(wǎng)控制單元、外網(wǎng)控制單元以及隔離與交換控制單元三個(gè)部分構(gòu)成，采用專(zhuān)用的操作系統(tǒng)（一般為精簡(jiǎn)的嵌入式Linux系統(tǒng)[4]）和私有協(xié)議實(shí)現(xiàn)數(shù)據(jù)的交換，可以最大限度的防止未知攻擊。

以下將介紹安全隔離網(wǎng)閘在電視節(jié)目制作系統(tǒng)中的實(shí)際應(yīng)用。

1 應(yīng)用實(shí)例

根據(jù)以上描述，我們?nèi)菀桩?huà)出應(yīng)用安全隔離網(wǎng)閘連接的內(nèi)外網(wǎng)示意圖，見(jiàn)圖1。虛線框中部分即為電視節(jié)目制作內(nèi)網(wǎng)，它的每一部分與網(wǎng)閘的內(nèi)網(wǎng)端口單獨(dú)連接，可以分別管理外網(wǎng)對(duì)每一部分的訪問(wèn)，網(wǎng)閘的外網(wǎng)端口連接單位辦公網(wǎng)，這部分網(wǎng)絡(luò)接入Internet。

圖1 內(nèi)外網(wǎng)示意圖

其中，非編網(wǎng)通過(guò)網(wǎng)閘與外網(wǎng)連接的目的是為了與外界交換視音頻文件，需要網(wǎng)閘實(shí)現(xiàn)雙向文件擺渡的功能；媒資庫(kù)與外網(wǎng)連接則為了使外網(wǎng)可以方便地訪問(wèn)媒資庫(kù)，檢索和管理庫(kù)內(nèi)素材，而對(duì)媒資庫(kù)的訪問(wèn)通常由Web服務(wù)實(shí)現(xiàn)，需要網(wǎng)閘實(shí)現(xiàn)Web瀏覽功能；而新聞文稿系統(tǒng)則是一個(gè)簡(jiǎn)單的數(shù)據(jù)庫(kù)系統(tǒng)，需要網(wǎng)閘打開(kāi)外網(wǎng)對(duì)內(nèi)網(wǎng)的數(shù)據(jù)庫(kù)訪問(wèn)。

下面詳細(xì)介紹這三部分功能。

1.1 外網(wǎng)與非編網(wǎng)的文件交互

文件交互模塊是任何主流網(wǎng)閘的必備功能，網(wǎng)閘內(nèi)部有專(zhuān)用的通道實(shí)現(xiàn)文件擺渡。網(wǎng)閘的供應(yīng)商一般會(huì)提供一個(gè)客戶(hù)端，分別安裝在內(nèi)網(wǎng)和外網(wǎng)的各一臺(tái)服務(wù)器上，在網(wǎng)閘上只需要進(jìn)行相應(yīng)的配置就可以構(gòu)建一條文件傳輸?shù)逆溌贰?/p>

實(shí)際應(yīng)用中，我們需要不止一條文件交互鏈路。例如，編輯記者外采的視音頻文件或者一些圖片及文字素材需要導(dǎo)入非編系統(tǒng)，而由非編系統(tǒng)制作好的節(jié)目?jī)?nèi)容也常常需要拷貝出來(lái)，這就至少需要一條由外到內(nèi)的文件傳輸通道和一條由內(nèi)到外的通道。

在內(nèi)網(wǎng)，我們可以設(shè)置一臺(tái)用于文件交互的服務(wù)器，該服務(wù)器可以訪問(wèn)到需要進(jìn)行文件交互的存儲(chǔ)區(qū)域。在其上安裝所有通道的內(nèi)網(wǎng)客戶(hù)端，通過(guò)這些客戶(hù)端從網(wǎng)閘接收來(lái)自外網(wǎng)的文件，以及把要導(dǎo)出的文件發(fā)送到網(wǎng)閘。而在網(wǎng)閘外側(cè)的辦公網(wǎng)中，有一臺(tái)或數(shù)臺(tái)工作站上安裝相應(yīng)的外網(wǎng)客戶(hù)端，就可以實(shí)現(xiàn)文件的內(nèi)外網(wǎng)交互。為了使用方便，這些客戶(hù)端可安裝為后臺(tái)服務(wù)，以實(shí)現(xiàn)開(kāi)機(jī)后自動(dòng)運(yùn)行。而辦公網(wǎng)內(nèi)的其它計(jì)算機(jī)則可以通過(guò)文件共享或網(wǎng)絡(luò)盤(pán)映射的方式訪問(wèn)這幾臺(tái)工作站。

可以實(shí)現(xiàn)交互的文件類(lèi)型應(yīng)受到嚴(yán)格的限制，一般來(lái)說(shuō)，只允許少數(shù)幾種格式的視音頻文件、圖片文件以及文本文件通過(guò)網(wǎng)閘，文件類(lèi)型應(yīng)通過(guò)特征碼的方式識(shí)別，而不應(yīng)僅僅通過(guò)擴(kuò)展名識(shí)別。

1.2 外網(wǎng)對(duì)媒資庫(kù)的Web瀏覽

Web瀏覽功能也是安全隔離網(wǎng)閘的一項(xiàng)基本功能，在網(wǎng)閘的訪問(wèn)控制配置中，打開(kāi)相應(yīng)的Web瀏覽端口（建議不要使用默認(rèn)端口，如80、21等），設(shè)置Web服務(wù)器的內(nèi)網(wǎng)IP，就可以在外網(wǎng)通過(guò)訪問(wèn)網(wǎng)閘的外網(wǎng)地址，訪問(wèn)到內(nèi)部的Web服務(wù)器。

舉例說(shuō)明，假如媒資庫(kù)Web服務(wù)器的實(shí)際地址為http∶//10.10.10.1∶8080，則在內(nèi)網(wǎng)需要鍵入以上地址就能訪問(wèn)媒資庫(kù)。而網(wǎng)閘外網(wǎng)IP地址為192.168.88.6，在網(wǎng)閘訪問(wèn)控制中配置好到10.10.10.1服務(wù)器的Web訪問(wèn)端口8080后，在外網(wǎng)鍵入http∶//192.168.88.6∶8080就可以打開(kāi)媒資庫(kù)網(wǎng)頁(yè)。如果使用域名地址來(lái)訪問(wèn)，則需要在外網(wǎng)DNS中將該域名解析為網(wǎng)閘的外網(wǎng)IP，或在本機(jī)的hosts文件中指定。

1.3 外網(wǎng)對(duì)新聞文稿數(shù)據(jù)庫(kù)的訪問(wèn)

數(shù)據(jù)庫(kù)訪問(wèn)是安全隔離網(wǎng)閘的一項(xiàng)重要功能，與Web訪問(wèn)配置相似，在網(wǎng)閘中打開(kāi)到數(shù)據(jù)庫(kù)服務(wù)器的端口，例如SQL Server默認(rèn)的1433端口或任意指定的可用端口[5]，在外網(wǎng)客戶(hù)端中指定數(shù)據(jù)庫(kù)服務(wù)器的IP為網(wǎng)閘的外網(wǎng)IP，就可以實(shí)現(xiàn)對(duì)內(nèi)網(wǎng)數(shù)據(jù)庫(kù)的訪問(wèn)。

需要在外網(wǎng)客戶(hù)端修改及管理數(shù)據(jù)庫(kù)時(shí)，如本實(shí)例中對(duì)新聞文稿系統(tǒng)的訪問(wèn)，當(dāng)編輯記者需要在辦公室甚至家中編寫(xiě)新聞稿件時(shí)，可以采用以上的方法。但在一些電子政務(wù)場(chǎng)合，內(nèi)部的數(shù)據(jù)庫(kù)僅開(kāi)放查詢(xún)功能給外網(wǎng)，而不允許外網(wǎng)用戶(hù)進(jìn)行修改，例如某市的住房公積金系統(tǒng)，它要求最大程度的安全，并允許客戶(hù)在外網(wǎng)查詢(xún)自己的公積金信息，則可以采用以下要介紹的數(shù)據(jù)庫(kù)同步方案。

我們將真正的數(shù)據(jù)庫(kù)系統(tǒng)部署在內(nèi)網(wǎng)，只能在內(nèi)網(wǎng)進(jìn)行修改及維護(hù)，而在外網(wǎng)同樣建立一個(gè)數(shù)據(jù)庫(kù)服務(wù)器，這兩臺(tái)服務(wù)器之間通過(guò)網(wǎng)閘相連，利用網(wǎng)閘自身的數(shù)據(jù)庫(kù)同步功能，定時(shí)將內(nèi)網(wǎng)數(shù)據(jù)庫(kù)單向同步到外網(wǎng)服務(wù)器上。這樣，外網(wǎng)客戶(hù)查詢(xún)自己的信息時(shí)，訪問(wèn)的是外網(wǎng)數(shù)據(jù)庫(kù)服務(wù)器，即使外網(wǎng)服務(wù)器被攻擊，數(shù)據(jù)庫(kù)受損，對(duì)內(nèi)部數(shù)據(jù)也毫無(wú)影響。例如住房公積金查詢(xún)系統(tǒng)，使用這種方案后，只需每天同步一次，可以在相當(dāng)大的程度上保證數(shù)據(jù)的安全。

2 總結(jié)與討論

以上通過(guò)對(duì)安全隔離網(wǎng)閘在電視節(jié)目制作系統(tǒng)中的應(yīng)用實(shí)例的介紹，讀者可以了解到網(wǎng)閘這一網(wǎng)絡(luò)安全設(shè)備的大致特點(diǎn)，事實(shí)上，以上實(shí)例介紹的正是筆者所就職的電視臺(tái)正在使用的方案。在該方案的使用過(guò)程中，也遇到一些問(wèn)題，不妨與讀者交流討論。

筆者發(fā)現(xiàn)，內(nèi)外網(wǎng)文件交互方案對(duì)網(wǎng)絡(luò)質(zhì)量要求嚴(yán)格。眾所周知，電視節(jié)目素材文件體積龐大（動(dòng)輒數(shù)十GB），且數(shù)量眾多，僅通過(guò)一臺(tái)網(wǎng)閘來(lái)進(jìn)行單線程的傳輸，非常耗時(shí)，還易導(dǎo)致網(wǎng)絡(luò)擁塞。對(duì)此，筆者只能通過(guò)拉專(zhuān)線到每臺(tái)負(fù)責(zé)文件交互的工作站，以避免以太網(wǎng)交換機(jī)的負(fù)荷過(guò)重。另外，由于筆者水平所限，對(duì)于此方案有不嚴(yán)密之處，歡迎讀者一并來(lái)電來(lái)函交流討論。

[1]孟群編著.電視節(jié)目制作技術(shù).北京：高等教育出版社，2006，5.

[2]A.S.Tanenbaum著.潘愛(ài)民譯.計(jì)算機(jī)網(wǎng)絡(luò).4版.北京:清華大學(xué)出版社，2004，8.

[3]王群編著.計(jì)算機(jī)網(wǎng)絡(luò)安全管理.北京：人民郵電出版社，2010，3.

[4]任哲等編著.嵌入式操作系統(tǒng)基礎(chǔ)μC/OS-Ⅱ和Linux.北京: 北京航空航天大學(xué)出版社，2006，8.

[5]施伯樂(lè)，等編著.數(shù)據(jù)庫(kù)教程.北京：電子工業(yè)出版社，2004，9.