縣級氣象業務雙網分離方案設計與應用研究

楊波 韓玥 陳宛彤

大連市旅順口區氣象局 遼寧 大連 116041

1 項目背景

隨著觀測、預報、預警、數據統計、農業氣象、防災減災等工作在基層氣象業務工作中的發展和完善，縣級氣象信息化建設顯得越來越重要。網絡傳輸及其機房通信設備作為信息化建設的基礎，不僅承擔數據文件、語音信息、視頻語音等各類應用提供了傳輸渠道，而且由于網絡通信的及時性也為氣象數據傳輸時效達標奠定了基礎。目前，多地區縣級氣象網絡專線帶寬30～50M，基本能夠滿足氣象實況數據傳輸及時性的要求[1]。同時，聯通、移動等運營商支持的網絡帶寬具有靈活的可擴展能力和維護便捷的特點，能夠滿足業務持續發展的需要。縣級氣象業務工作需要訪問內網和互聯網，其中內網為基礎業務通信網絡，用戶能夠訪問國家級氣象局、省級氣象局和市級氣象局的業務內網，用于氣象業務中各類天氣要素實況數據上傳、內網平臺查詢、預警發布、決策產品發布、氣象政務平臺訪問等。另外，用戶通過互聯網主要完成的任務有預報產品對外服務，包括微信、微博等平臺發布及天氣在線類平臺查詢等。

安全性方面，在各級運維人員技術支持下，氣象內網屬于專用網絡，安全性、可靠性和穩定性相對較高，而互聯網由于其無邊界性造成的潛在風險和安全隱患就大很多。加上近年來網絡安全事件頻出，基層工作者的網絡安全意識需要加強，安全防護措施也需要改進。基于此，對縣級基層氣象部門的內網和外網進行物理隔離改造工作勢在必行。

2 雙網分離建設方案

網管人員通過大量走訪討論，參考其他地區縣級氣象部門內、外網分離方法，整體上看主要分為3種模式：第一種是絕對物理隔離，即內網和外網獨立存在，內網電腦和外網電腦分別通過各自通信線路進行訪問和傳輸。第二種是軟件物理隔離，即通過在電腦上安裝隔離卡和網卡等手段，使得內網和外網分別運行在兩套操作系統下，理論上雙網也不存在交叉。第三種為相對物理隔離，即采用隔離網閘等設備使處于相對獨立的兩個網絡通過限制訪問的方式能夠相互通信[2]。該方案通過“數據擺渡”方式完成數據交換，本質上不存在網絡底層訪問路由和TCP/UDP協議通信。經過技術專家團隊與氣象一線業務人員的反復討論，本單位計劃采用在兩個網絡中間部署隔離網閘的方式實現縣局氣象網絡分離。下面對使用隔離網閘方案進行談論分析。

2.1 物理隔離

物理隔離，其技術架構核心在于隔離。物理隔離技術，并不是要替代防火墻、入侵檢測、漏洞掃描和防病毒系統等安全工具。相反地，物理隔離是網絡管理者進行“深度防御”的另外一塊基石和保障。物理隔離的目標是保護“核心”業務系統。物理隔離技術，是要在本質解決互聯網的安全問題。物理隔離網閘的特點是在外網網閘和內網網閘主機上同時提供具體的應用代理服務。在剝離TCP/IP基礎之上，兩塊網閘才能將應用協議“剝離”，屏蔽應用協議可能的漏洞，保證“擺渡”通信的安全性。

2.2 隔離網閘原理

網閘（安全隔離與信息系統），采用“代理＋安全隔離”機制，實現網絡隔離、協議落地，通過對應用協議解析和數據的還原，具有對應用層數據進行強制檢查、內容過濾和訪問控制。

安全隔離技術的工作原理是使用帶有多種控制功能的固態開關讀寫介質連接兩個獨立的主機系統，模擬人工在兩個隔離網絡之間的信息交換[3]。被隔離的兩個網絡本質在于兩個獨立主機系統之間，不存在通信的物理連接和邏輯連接，不存在依據TCP/IP協議的信息包轉發，只有格式化數據塊的無協議“擺渡”。被隔離的兩個網絡之間的數據傳遞方式完全私有化，不具備任何通用性，并非邏輯上的隔離。

安全隔離與信息交換系統架構主要由內網主機系統、外網主機系統和隔離交換矩陣3部分構成。內網主機系統與內網相連，外網主機系統與外網相連，內/外網主機系統分別負責內外網信息的獲取和協議分析，隔離交換矩陣根據安全策略完成信息的安全檢測，內外網絡之間的安全交換。網閘協議原理拓撲如圖1所示。

圖1 隔離網閘通信原理圖

3 網絡部署

本文縣級氣象部門采用內網和外網兩套獨立的網絡通信線路，路由器、交換機等設備分別部署使得網絡架構清晰。同時，通過分別部署防火墻和殺毒軟件等可充分保障內、外網應用系統的安全性和業務傳輸穩定性，有利于加快部署。

在滿足業務需求的基礎上，從網絡量級看，縣級氣象部門網絡結構比較簡單，需要的硬件設備和軟件平臺較少。但是從安全性和傳輸可靠性方面，縣級氣象網絡需要基本的設備如防火墻、路由器、交換機等。網絡管理類軟件方面，內網和外網系統都需要部署殺毒軟件和安全防御工具等。

縣級氣象網絡分離的改造工作，首先要保障內、外網的安全性。其中內網安全性通過部署市局統一發布的安全軟件，如火絨安全防御軟件，定期對系統進行查殺和漏洞修復。同時網管人員要求業務人員不能隨意卸載查殺軟件、不得隨意更改IP地址等。遇到異常情況關閉計算機進行排查，防止全網系統中毒。外網系統安全性方面，同樣需要在系統中安裝360安全衛士等軟件，并保持良好的上網習慣。

雙網分別連接完畢，實現了內網訪問國、省、市級業務系統和外網機器訪問互聯網的正常需求。接著需要考慮的是由于應用系統的融合以及服務對象的增加造成的不同業務之間的交互需求，即隔離網閘部署方式[4]。由圖1可知，網閘的部署需要放置在兩個網絡之間，并且根據業務需求配置任務和策略，完成跨網數據“擺渡”功能。進行內、外網分離改造后的縣級氣象部門的網絡部署架構如圖2所示。

圖2 內外網分離后的縣級氣象網絡架構

4 應用研究分析

經過方案探討、設備采購、調試上架、應用測試等關鍵步驟之后，縣級氣象部門網管人員對初定的業務應用進行測試和分析。按照測試方案，需要對網絡中3個方面分別進行測試，第一方面是內網網絡訪問是否正常，包括網絡傳輸速率、內網平臺訪問及網絡安全性等；第二方面是外網訪問互聯網是否正常；第三方面是通過網閘能否跨網訪問及安全性。

經過測試，上述3個方面測試效果良好。需要注意的是，在進行跨網訪問時，隔離網閘的配置較為復雜，首先需要添加資源，即源地址和目的地址。要完成訪問，還需要配置客戶端和服務端安全傳輸策略，分為透明代理和普通訪問兩種模式。按照網閘工作原理要求，內外網網閘需要配置相同的任務號進行數據“擺渡”，同時根據需要配置訪問端口和協議等。進行嚴格的配置后，跨網訪問就可以順利實現了。即在縣級氣象內網部分機器可以訪問互聯網微信、微博等平臺。同時，外網機器還可以通過網閘訪問內網某個業務系統網頁，訪問速度及運行狀態良好。

5 結束語

信息技術迅速發展的當下，網絡安全、數據安全發展成為新的威脅。各縣級基層氣象部門按照上級要求逐步完成雙網分離，通過物理隔離的方式完成內網和外網隔離的改造，一定程度上降低了網絡安全風險。結合本地業務實際，本文采用的物理隔離方法是使用網閘完成部分業務“擺渡”功能。從技術角度看，網閘的應用能夠避免防火墻等安全設備產生的路由協議轉換問題。應用效果上看，該方式既能滿足隔離的需要，同時還能達到內網訪問微博等互聯網網頁的需要。