縣級氣象業(yè)務(wù)雙網(wǎng)分離方案設(shè)計與應(yīng)用研究

楊波 韓玥 陳宛彤

大連市旅順口區(qū)氣象局 遼寧 大連 116041

1 項(xiàng)目背景

隨著觀測、預(yù)報、預(yù)警、數(shù)據(jù)統(tǒng)計、農(nóng)業(yè)氣象、防災(zāi)減災(zāi)等工作在基層氣象業(yè)務(wù)工作中的發(fā)展和完善，縣級氣象信息化建設(shè)顯得越來越重要。網(wǎng)絡(luò)傳輸及其機(jī)房通信設(shè)備作為信息化建設(shè)的基礎(chǔ)，不僅承擔(dān)數(shù)據(jù)文件、語音信息、視頻語音等各類應(yīng)用提供了傳輸渠道，而且由于網(wǎng)絡(luò)通信的及時性也為氣象數(shù)據(jù)傳輸時效達(dá)標(biāo)奠定了基礎(chǔ)。目前，多地區(qū)縣級氣象網(wǎng)絡(luò)專線帶寬30～50M，基本能夠滿足氣象實(shí)況數(shù)據(jù)傳輸及時性的要求[1]。同時，聯(lián)通、移動等運(yùn)營商支持的網(wǎng)絡(luò)帶寬具有靈活的可擴(kuò)展能力和維護(hù)便捷的特點(diǎn)，能夠滿足業(yè)務(wù)持續(xù)發(fā)展的需要?？h級氣象業(yè)務(wù)工作需要訪問內(nèi)網(wǎng)和互聯(lián)網(wǎng)，其中內(nèi)網(wǎng)為基礎(chǔ)業(yè)務(wù)通信網(wǎng)絡(luò)，用戶能夠訪問國家級氣象局、省級氣象局和市級氣象局的業(yè)務(wù)內(nèi)網(wǎng)，用于氣象業(yè)務(wù)中各類天氣要素實(shí)況數(shù)據(jù)上傳、內(nèi)網(wǎng)平臺查詢、預(yù)警發(fā)布、決策產(chǎn)品發(fā)布、氣象政務(wù)平臺訪問等。另外，用戶通過互聯(lián)網(wǎng)主要完成的任務(wù)有預(yù)報產(chǎn)品對外服務(wù)，包括微信、微博等平臺發(fā)布及天氣在線類平臺查詢等。

安全性方面，在各級運(yùn)維人員技術(shù)支持下，氣象內(nèi)網(wǎng)屬于專用網(wǎng)絡(luò)，安全性、可靠性和穩(wěn)定性相對較高，而互聯(lián)網(wǎng)由于其無邊界性造成的潛在風(fēng)險和安全隱患就大很多。加上近年來網(wǎng)絡(luò)安全事件頻出，基層工作者的網(wǎng)絡(luò)安全意識需要加強(qiáng)，安全防護(hù)措施也需要改進(jìn)?；诖?，對縣級基層氣象部門的內(nèi)網(wǎng)和外網(wǎng)進(jìn)行物理隔離改造工作勢在必行。

2 雙網(wǎng)分離建設(shè)方案

網(wǎng)管人員通過大量走訪討論，參考其他地區(qū)縣級氣象部門內(nèi)、外網(wǎng)分離方法，整體上看主要分為3種模式：第一種是絕對物理隔離，即內(nèi)網(wǎng)和外網(wǎng)獨(dú)立存在，內(nèi)網(wǎng)電腦和外網(wǎng)電腦分別通過各自通信線路進(jìn)行訪問和傳輸。第二種是軟件物理隔離，即通過在電腦上安裝隔離卡和網(wǎng)卡等手段，使得內(nèi)網(wǎng)和外網(wǎng)分別運(yùn)行在兩套操作系統(tǒng)下，理論上雙網(wǎng)也不存在交叉。第三種為相對物理隔離，即采用隔離網(wǎng)閘等設(shè)備使處于相對獨(dú)立的兩個網(wǎng)絡(luò)通過限制訪問的方式能夠相互通信[2]。該方案通過“數(shù)據(jù)擺渡”方式完成數(shù)據(jù)交換，本質(zhì)上不存在網(wǎng)絡(luò)底層訪問路由和TCP/UDP協(xié)議通信。經(jīng)過技術(shù)專家團(tuán)隊(duì)與氣象一線業(yè)務(wù)人員的反復(fù)討論，本單位計劃采用在兩個網(wǎng)絡(luò)中間部署隔離網(wǎng)閘的方式實(shí)現(xiàn)縣局氣象網(wǎng)絡(luò)分離。下面對使用隔離網(wǎng)閘方案進(jìn)行談?wù)摲治觥?/p>

2.1 物理隔離

物理隔離，其技術(shù)架構(gòu)核心在于隔離。物理隔離技術(shù)，并不是要替代防火墻、入侵檢測、漏洞掃描和防病毒系統(tǒng)等安全工具。相反地，物理隔離是網(wǎng)絡(luò)管理者進(jìn)行“深度防御”的另外一塊基石和保障。物理隔離的目標(biāo)是保護(hù)“核心”業(yè)務(wù)系統(tǒng)。物理隔離技術(shù)，是要在本質(zhì)解決互聯(lián)網(wǎng)的安全問題。物理隔離網(wǎng)閘的特點(diǎn)是在外網(wǎng)網(wǎng)閘和內(nèi)網(wǎng)網(wǎng)閘主機(jī)上同時提供具體的應(yīng)用代理服務(wù)。在剝離TCP/IP基礎(chǔ)之上，兩塊網(wǎng)閘才能將應(yīng)用協(xié)議“剝離”，屏蔽應(yīng)用協(xié)議可能的漏洞，保證“擺渡”通信的安全性。

2.2 隔離網(wǎng)閘原理

網(wǎng)閘（安全隔離與信息系統(tǒng)），采用“代理＋安全隔離”機(jī)制，實(shí)現(xiàn)網(wǎng)絡(luò)隔離、協(xié)議落地，通過對應(yīng)用協(xié)議解析和數(shù)據(jù)的還原，具有對應(yīng)用層數(shù)據(jù)進(jìn)行強(qiáng)制檢查、內(nèi)容過濾和訪問控制。

安全隔離技術(shù)的工作原理是使用帶有多種控制功能的固態(tài)開關(guān)讀寫介質(zhì)連接兩個獨(dú)立的主機(jī)系統(tǒng)，模擬人工在兩個隔離網(wǎng)絡(luò)之間的信息交換[3]。被隔離的兩個網(wǎng)絡(luò)本質(zhì)在于兩個獨(dú)立主機(jī)系統(tǒng)之間，不存在通信的物理連接和邏輯連接，不存在依據(jù)TCP/IP協(xié)議的信息包轉(zhuǎn)發(fā)，只有格式化數(shù)據(jù)塊的無協(xié)議“擺渡”。被隔離的兩個網(wǎng)絡(luò)之間的數(shù)據(jù)傳遞方式完全私有化，不具備任何通用性，并非邏輯上的隔離。

安全隔離與信息交換系統(tǒng)架構(gòu)主要由內(nèi)網(wǎng)主機(jī)系統(tǒng)、外網(wǎng)主機(jī)系統(tǒng)和隔離交換矩陣3部分構(gòu)成。內(nèi)網(wǎng)主機(jī)系統(tǒng)與內(nèi)網(wǎng)相連，外網(wǎng)主機(jī)系統(tǒng)與外網(wǎng)相連，內(nèi)/外網(wǎng)主機(jī)系統(tǒng)分別負(fù)責(zé)內(nèi)外網(wǎng)信息的獲取和協(xié)議分析，隔離交換矩陣根據(jù)安全策略完成信息的安全檢測，內(nèi)外網(wǎng)絡(luò)之間的安全交換。網(wǎng)閘協(xié)議原理拓?fù)淙鐖D1所示。

圖1 隔離網(wǎng)閘通信原理圖

3 網(wǎng)絡(luò)部署

本文縣級氣象部門采用內(nèi)網(wǎng)和外網(wǎng)兩套獨(dú)立的網(wǎng)絡(luò)通信線路，路由器、交換機(jī)等設(shè)備分別部署使得網(wǎng)絡(luò)架構(gòu)清晰。同時，通過分別部署防火墻和殺毒軟件等可充分保障內(nèi)、外網(wǎng)應(yīng)用系統(tǒng)的安全性和業(yè)務(wù)傳輸穩(wěn)定性，有利于加快部署。

在滿足業(yè)務(wù)需求的基礎(chǔ)上，從網(wǎng)絡(luò)量級看，縣級氣象部門網(wǎng)絡(luò)結(jié)構(gòu)比較簡單，需要的硬件設(shè)備和軟件平臺較少。但是從安全性和傳輸可靠性方面，縣級氣象網(wǎng)絡(luò)需要基本的設(shè)備如防火墻、路由器、交換機(jī)等。網(wǎng)絡(luò)管理類軟件方面，內(nèi)網(wǎng)和外網(wǎng)系統(tǒng)都需要部署殺毒軟件和安全防御工具等。

縣級氣象網(wǎng)絡(luò)分離的改造工作，首先要保障內(nèi)、外網(wǎng)的安全性。其中內(nèi)網(wǎng)安全性通過部署市局統(tǒng)一發(fā)布的安全軟件，如火絨安全防御軟件，定期對系統(tǒng)進(jìn)行查殺和漏洞修復(fù)。同時網(wǎng)管人員要求業(yè)務(wù)人員不能隨意卸載查殺軟件、不得隨意更改IP地址等。遇到異常情況關(guān)閉計算機(jī)進(jìn)行排查，防止全網(wǎng)系統(tǒng)中毒。外網(wǎng)系統(tǒng)安全性方面，同樣需要在系統(tǒng)中安裝360安全衛(wèi)士等軟件，并保持良好的上網(wǎng)習(xí)慣。

雙網(wǎng)分別連接完畢，實(shí)現(xiàn)了內(nèi)網(wǎng)訪問國、省、市級業(yè)務(wù)系統(tǒng)和外網(wǎng)機(jī)器訪問互聯(lián)網(wǎng)的正常需求。接著需要考慮的是由于應(yīng)用系統(tǒng)的融合以及服務(wù)對象的增加造成的不同業(yè)務(wù)之間的交互需求，即隔離網(wǎng)閘部署方式[4]。由圖1可知，網(wǎng)閘的部署需要放置在兩個網(wǎng)絡(luò)之間，并且根據(jù)業(yè)務(wù)需求配置任務(wù)和策略，完成跨網(wǎng)數(shù)據(jù)“擺渡”功能。進(jìn)行內(nèi)、外網(wǎng)分離改造后的縣級氣象部門的網(wǎng)絡(luò)部署架構(gòu)如圖2所示。

圖2 內(nèi)外網(wǎng)分離后的縣級氣象網(wǎng)絡(luò)架構(gòu)

4 應(yīng)用研究分析

經(jīng)過方案探討、設(shè)備采購、調(diào)試上架、應(yīng)用測試等關(guān)鍵步驟之后，縣級氣象部門網(wǎng)管人員對初定的業(yè)務(wù)應(yīng)用進(jìn)行測試和分析。按照測試方案，需要對網(wǎng)絡(luò)中3個方面分別進(jìn)行測試，第一方面是內(nèi)網(wǎng)網(wǎng)絡(luò)訪問是否正常，包括網(wǎng)絡(luò)傳輸速率、內(nèi)網(wǎng)平臺訪問及網(wǎng)絡(luò)安全性等；第二方面是外網(wǎng)訪問互聯(lián)網(wǎng)是否正常；第三方面是通過網(wǎng)閘能否跨網(wǎng)訪問及安全性。

經(jīng)過測試，上述3個方面測試效果良好。需要注意的是，在進(jìn)行跨網(wǎng)訪問時，隔離網(wǎng)閘的配置較為復(fù)雜，首先需要添加資源，即源地址和目的地址。要完成訪問，還需要配置客戶端和服務(wù)端安全傳輸策略，分為透明代理和普通訪問兩種模式。按照網(wǎng)閘工作原理要求，內(nèi)外網(wǎng)網(wǎng)閘需要配置相同的任務(wù)號進(jìn)行數(shù)據(jù)“擺渡”，同時根據(jù)需要配置訪問端口和協(xié)議等。進(jìn)行嚴(yán)格的配置后，跨網(wǎng)訪問就可以順利實(shí)現(xiàn)了。即在縣級氣象內(nèi)網(wǎng)部分機(jī)器可以訪問互聯(lián)網(wǎng)微信、微博等平臺。同時，外網(wǎng)機(jī)器還可以通過網(wǎng)閘訪問內(nèi)網(wǎng)某個業(yè)務(wù)系統(tǒng)網(wǎng)頁，訪問速度及運(yùn)行狀態(tài)良好。

5 結(jié)束語

信息技術(shù)迅速發(fā)展的當(dāng)下，網(wǎng)絡(luò)安全、數(shù)據(jù)安全發(fā)展成為新的威脅。各縣級基層氣象部門按照上級要求逐步完成雙網(wǎng)分離，通過物理隔離的方式完成內(nèi)網(wǎng)和外網(wǎng)隔離的改造，一定程度上降低了網(wǎng)絡(luò)安全風(fēng)險。結(jié)合本地業(yè)務(wù)實(shí)際，本文采用的物理隔離方法是使用網(wǎng)閘完成部分業(yè)務(wù)“擺渡”功能。從技術(shù)角度看，網(wǎng)閘的應(yīng)用能夠避免防火墻等安全設(shè)備產(chǎn)生的路由協(xié)議轉(zhuǎn)換問題。應(yīng)用效果上看，該方式既能滿足隔離的需要，同時還能達(dá)到內(nèi)網(wǎng)訪問微博等互聯(lián)網(wǎng)網(wǎng)頁的需要。