张敏 韩波 许翔 郭黎明

关键词：网络安全；优化方案；应对策略；物理隔离

衡阳市气象局信息网络机房于2000年建成并投入使用，是衡阳市、县气象部门气象数据信息计算、交互和储存的重要枢纽，是我市气象部门开展所有业务的重要基石。市县两级气象网络虽然已运行多年，但网络安全方面一直存在很多问题，原有网络结构已不能满足现今信息网络安全需求，因此顺应时代发展要求开展网络安全现状分析及改造升级显得十分必要。以分析衡阳市气象局信息网络优化升级为例，作出一个网络优化方案的设计，为市县级气象部门提供一些借鉴经验，以便更好地服务气象业务的发展。

1 市级气象网络业务分析

市级气象业务网承担着市县级地面气象观测站及气象雷达数据的接收和传输、气象预报预警信息的发布，支持气象业务系统正常运行，接收并存储市县两级上百个自动气象观测站的观测数据，并完成向省级上级气象部门转发的工作。随着气象事业高质量发展，对精细化天气预报要求日益增强，全国自动气象观测站的观测频次也随之提高，过去是每一个小时传送一次数据，现已提升为国家站传送频次为每一分钟次，其他站传送频次为每五分钟次，国家气象雷达每六分钟一次扫描频次，实时向省市气象部门提供扫描图像[1]。气象基础数据量大幅增加，对市级气象网络的承载能力、防护能力也是前所未有的考验，气象采集的各种数据为气象业务开展提供数据支撑，数据的传输离不开信息网络，所以保证气象信息网络的稳定安全是必不可少的。

2 网络现状及改造升级需求

市县级信息网络由两部分组成，分别是气象广域网（简称“内网”） 和互联网（简称“外网”） 。内网是由省级气象局统一规划建设，作用已在前面进行描述。外网主要用来跟其他单位进行资源共享及信息交换，辅助预警服务发布，提供精准专业预报服务等。在最开始网络规划设计上，为了方便，外网光纤直接入机房，通过网线接入防火墙，再连接至核心交换机，最后借助路由功能将内外网融合在一起，这种方式存在巨大隐患，是气象数据泄密的最主要原因之一，加之市县级气象部门网络安全防护设备匮乏，无法抵挡来自互联网的恶意攻击，网络安全问题岌岌可危。

近年来国家还相继出台许多法律法规，要求加强网络安全防护，各级部门必须紧跟时代的发展，对网络安全防护能力予以重视[2]。特别是内外网数据安全隔离问题，要竭力保障气象内网免受黑客的攻击，原先的内外网融合方案已不能满足网络安全的需求，且存在严重的安全隐患，网络优化已迫在眉睫。

3 网络优化升级方案设计分析

下面以衡阳市气象局为例，对网络优化升级方案的设计进行简单阐述。网络优化目标分为两个区域（新、老办公楼），根据两者各自的特点，分别规划不同的方案，详细设计见以下描述。

3.1 内外网物理隔离的方案设计

网络升级最重要的部分应该要考虑如何提升网络安全性，针对原有的网络架构改变内外网融合在一起的设计，实现内外网物理隔离架构应该首先需要改造。从物理隔离技术的发展过程来看，大致可以分为三种方案：第一个方案是采用双机技术，其原理主要是使用同一个机箱和显示器，在机箱里安装2套计算机硬件，包括硬盘、内存、主板、CPU等。用户在客户端上自主选择使用哪套系统。该方案不足在于客户端成本非常高，网络布线必须是双网线结构，优点在于操作简便，技术水平也比较简单。第二个方案是通过双网线PCI卡来进行隔离，让外设硬件先跟PCI卡进行连接，通过PCI卡将数据传输到主板。用户通过PCI卡来选择对应的硬盘和网络接口，从而达到对外设硬件的控制。第三个方案是采用单网线布线，加入硬件网络选择器，与第二个方案相比，不同之处在于不是双网线布线而是采用单网线布线，借助网线将客户端的选择信号转换成高低电平信号传输给网络选择端，再根据电平信号来让用户选择相应网络，执行成本可控，且提高系统的安全性。

通过对上述几种内外网隔离方案的分析可见，内外网隔离最根本方法，是通过物理手段对涉密和非涉密信息进行隔离处理。针对新老办公楼不同的环境场景，设计不同的物理隔离方案来保证信息的安全，如下所述：方案一：在老办公区，原有网络线路改造困难，可采用单网线方法来实现内外网隔离改造。新增一台内外网远程端切换Hub，每台PC加装安全隔离卡，安全隔离卡可通过网线控制远端内外网远程切换Hub 实现通信，Hub上接口分别连接内网Hub和外网Hub。

在使用内外网的PC上加装一块硬盘，实现物理数据存储隔离，PC在内网工作的时候，内网硬盘加电工作，外网硬盘不加电，PC在外网工作的时候是反过来的。通过内外网远程端切换Hub可以灵活配置网络设备和接口，这样既可以节省成本，又可以构建安全适用的网络，达到安全隔离的效果。物理隔离网络拓扑图（老区）见图1所示。

方案二：在新办公楼的网络规划建设中，不存在线路复杂、改造困难等历史遗留问题，考虑网络安全的可扩展性，采取两套网线布点的办法实现内外网隔离改造。通过配置双硬盘和安全隔离卡，将内外网网线分别接到隔离卡的不同网卡口，用户使用客户端软件控制隔离卡上的开关，选择需要使用的网络，也实现对应网络硬盘的选择，从而体现内外网的隔离效果。物理隔离网络拓扑图（新区）见图2所示。

此方案设计非常适用于费用预算充足，新建办公楼网络建设，当然在涉密岗位也可以不使用安全隔离卡，配置两台独立的计算机，专机专用，防止涉密资料外泄。其他非涉密岗可通过双硬盘和加装安全隔离卡来实现内外网隔离。

3.2 网络安全设备保驾护航

在上述网络安全优化方案中采取的办法主要是通过物理隔离内外网来保障气象数据的安全，但只靠内外网物理隔离来保障网络安全是远远不够的。因为物理隔离是一种被动式的隔离方法，没有办法实现安全状态的检测，很容易被黑客利用，所以增加一些必要的网络安全及行为管理设备能够大大提高网络的安全性。目前市场上主流网络安全设备有硬件防火墙、入侵檢测、审计系统、上网行为管理等设备。

在互联网出口端可以配置防火墙，作为网络安全的主要防线抵挡黑客的入侵[3]。但由于黑客攻击技术在不停更新，攻击手段也时刻在变化，单纯地靠配置防火墙策略来防范黑客入侵，很明显已经力不从心，还需要其他一些防御技术加入进来。入侵检测技术与防火墙技术的结合，两者形成互补，能够更好地保障网络正常运行，它可以通过对整个网络系统中的某些关键点进行数据采样，并且对采集到的信息进行数据建模，最后经过大数据分析，辨别是否存在违反安全策略以及现有系统网络中是否存在遭到攻击的征兆[4]，这种结合方式更加科学和智能。

3.3 网络管理系统实时监管

安装上网行为管控系统等类似的网络管理系统，便于网络管理员管控和规范对互联网的访问使用，所有上网记录都会保存，用于事后审计、另外设置过滤规则对一些网站或App进行屏蔽，可以通过实时监控来管理单位网络资源使用，外发文件和上网内容，有问题时可以及时预警，也便于管理员根据预案对发现问题及时处理。

4 网络优化后可能存在问题及应对措施

4.1 外网对外服务问题

内外网实现物理隔离之后，对外服务业务将因为内外网分离带来数据不能互通的问题，原本某些气象资料可通过外网接口提供给用户使用，也被封堵。针对此问题，可以在内外网之间设置DMZ区，配备公共服务器设备，用来存放对公服务的非机密数据或是WEB、FTP服务器。设置访问控制策略，内网允许访问外网、DMZ区，外网不允许访问内网，只允许访问DMZ区，而DMZ区只在符合某种条件下才能访问内网。由此可见DMZ区是内外网通信的缓冲区，它是通过地址转换（NAT） 来实现通信，对内映射成内网地址，对外映射成外网地址，该方式可以很好地保护内网的数据，外网使用者可以访问DMZ区中的服务，却不能接触到存放在内网中的信息，大大降低网络安全的风险，同时也达到了对外服务的目的。

4.2 内外网数据交互问题

内外网隔离之后给数据交互带来不便，解决跨网数据文件传输的问题，使数据安全可靠地实现跨网数据传输，传统的方式有：一是移动介质拷贝，指定专人负责使用专用移动硬盘或优盘在内外网间，按照操作规范流程，開展拷贝数据。这种方式全过程需要人工操作，效率低下，且整个过程无法管控，移动介质容易中毒，会成为病毒传播的纽带；二是FTP传输文件，设置FTP服务器用来实现内外网数据转移，这种方式可解决数据传输问题，但FTP不稳定，在传输时容易中断且传输大文件时比较慢，而且没有审批流程，不可溯源，安全性很低。随后又出现了一些安全性能高的跨网数据交互的产物，有通过网闸进行网间文件传输、企业网盘进行网间文件传输、中转站跨网文件交换等实现跨网数据摆渡[5]，它们都有各自的优缺点。

要解决这个问题，我们可引进新兴技术产品，搭建适合气象行业数据交换的中转站跨网文件交换系统，数据交换过程有审批流程环节，能完整地记录数据交互过程，可随时中断数据传输，出现问题时可以追溯审计，并且对交换的内容进行病毒检测、敏感内容检测以及传输加密等，确保整个交换过程的数据安全性，以此来解决跨网数据传输问题。

5 结束语

衡阳市气象局网络升级优化后，很好地满足气象信息现代化的发展需求，符合预期要求，实现了内外网物理隔离，且部署必要的网络安全设备，如硬件防火墙、入侵检测系统、上网行为管理系统等[6]，为气象业务的高速发展保驾护航，提供更加安全可靠的网络环境。