网络隔离的状况下实现技术网数据在OA网发布的研究

杨伟斌

（国家广电总局七二四台)

摘要 本文就发射台站网络从规划到实施中，遇到的难点、疑点问题进行探讨，并根据作者近年来维护台站网络经验和探索的基础上，以台站对网络的需求出发，进行了技术网和OA网隔离的状况下实现技术网数据在OA网发布的研究。

近年来，广播发射台站信息化建设全面展开，各系统自动化、网络化建设相继落成。特别是网络化条件下的广播发射台站的网络安全也需要得到重视，尤其作为有安全业务播出的台站，既要保障安全播出业务的正常运行，又要保障自身网络建设的安全性不会成为整个网络的安全漏洞；最重要的就是保障其自身的网络安全，有效的为整个网络的安全建设提供支持。

根据台站业务的特点，在台站局域网上，所有应用都是部署在同一个网络平台上，业务之间需要互访，同时需要对可以访问业务的人员进行限制。所以要求应用在IP层进行互访限制。具体实施规定如下：

通过虚拟局域网（VLAN）对台站应用和用户进行细分；

通过访问控制列表（ACL，Access control list）方式进行业务隔离和互访限制。

可以通过对连接应用的交换机端口添加ACL策略来限制可以访问的用户，也可以采用单向访问列表的方式允许一个网段或一段地址访问其他地址，但其他地址不能访问这个网段。

基本原理：ACL使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。

功能：网络中的节点有资源节点和用户节点两大类，其中资源节点提供服务或数据，用户节点访问资源节点所提供的服务与数据。ACL的主要功能就是一方面保护资源节点，阻止非法用户对资源节点的访问，另一方面限制特定的用户节点所能具备的访问权限。

①标准ACL的测试条件只是基于源地址；

②扩展ACL的测试条件包括协议类型、原地址、目的地址、应用端口和会话层信息；

③按照由上到下的顺序执行，找到第一个匹配后即执行相应的操作，跳出ACL而不会继续匹配下面的语句。所以ACL中语句的顺序很关键；

④末尾隐含为deny全部。这样做是出于安全考虑；

⑤引用ACL之前，要首先创建好ACL，否则可能出错；

⑥ACL在被应用到对应端口以前，将不具任何意义，对数据流不产生控制；

①防止外部IP地址欺骗和非法探测；

②保护网络层设备不受攻击；

③阻止病毒的传播和攻击；

④针对服务器的实际应用设计ACL。

根据台站网络安全设计需要，只允许台站办公网通讯服务器从台站技术网通讯服务器处获得技术网数据，禁止办公网对技术网的其他访问。因此在台站办公网中心交换机S6503与台站技术网汇聚交换机S3552F之间添加一台防火墙，在防火墙上进行访问控制和地址转换，对台站办公网和技术网进行隔离。技术网与OA典型关系统拓扑图如下图1所示：

OA网从技术网获得数据需要考虑的问题有：

1) OA网用户行为不能预计，直接访问技术网数据库对技术网本身是不安全的，技术网稳定性会造成严重干扰。

2) 数据流向为单向，OA网不发送、广播任何数据给技术网。

3) OA用户想获取实时数据，认为实时数据更有价值。

4) 网络负荷可知，数据流量在可控制的范围内。

5) 需要的软硬件设施造价不能过高，要在成本控制的范围内。

下面以一个具体的例子来分析技术网和OA网防火墙隔离的状况下实现技术网数据在OA网发布的可行性研究。

某变电站各业务网段划分为：

技术网某技术系统业务网段172.2.57.0/24，

系统预定义了4 个安全区域：Local、Trust、Untrust 和DMZ。不同安全区域之间没有访问限制，且安全区域不支持策略配置，若需要访问控制，在安全区域中的相应接口进行配置。缺省情况下，Local 区域的优先级为100，Trust 区域的优先级为85，Untrust 区域的优先级为5，DMZ 区域的优先级为50。

把与技术网连接的接口Ethernet0/0/1定义为Trust区域，与OA网连接的接口Ethernet0/0/0定义为Untrust区域

在配置静态路由时，可指定发送接口，也可指定下一跳地址，具体采用哪种方法，可需要根据实际情况而定。

5 小结

参考文献