基于物理隔离技术的可信网络系统的构建

唐 波 江苏省广播电视总台

基于物理隔离技术的可信网络系统的构建

唐 波 江苏省广播电视总台

本文以广播发射中心网络系统的建设为背景，介绍了网络系统的建设内容，阐述了网络系统的架构以及技术网、办公网、无线网络的设计方案，介绍了本系统的VLAN规划和IP规划。最后，本文阐述了物理隔离系统在本系统中的应用，如何实现技术网和办公网在物理隔离条件下数据的安全交换。

物理隔离 数据交换 网络安全VLAN STP协议

一、项目背景

随着南京城市建设的快速推进，广播发射中心的旧址（南京市江东门北街33号）已发展成为高楼林立、人口密布的核心区域，广播的发射环境受到了严重破坏，发射效果大为降低并且有日益恶化的趋势。为了确保广播发射中心的安全、优质发射，江苏省委常委会于2008 年2月14日确定广播发射中心采用异地重建的方式迁往南京市江宁区谷里镇莲花塘村。

新广播发射中心采用先进成熟的技术，按照“有人留守、无人值班”的自动化管理模式，以“全国领先、世界水平”为建设目标，旨在建设一套自动化水平高、安全可靠、满足分层管理需求的全台自动化系统，从而确保广播发射中心的安全播出。因此，广播发射中心需要构建一个科学合理、可管可控、安全可信的网络系统，为全台自动化系统提供一个良好的运行平台。

二、建设内容

通过对网络系统的功能需求、安全性需求、数据交换需求的分析，广播发射中心网络系统的建设内容包括以下四个部分：

（1）建设一个技术网络系统。技术网连接广播发射中心的各技术子系统，为技术子系统的运行提供一个安全可靠的网络环境。

（2）建设一个办公网络系统。办公网承担日常办公、流程审批、公文流转、为办公管理系统提供运行平台等任务。

（3）在办公网络中建设一套无线网络。无线网络用于移动设备接入到办公网，实现广播发射中心的移动办公。

（4）建设一套物理隔离系统。物理隔离系统实现技术网和办公网在物理隔离的条件下，数据在两个网络间的安全传输。

三、网络系统设计

1.网络架构设计

根据广播发射中心网络系统的建设内容，我们设计了网络系统的架构。

（1）网络系统包括技术网和办公网两个网络。为了确保技术网的安全性，技术网和办公网之间物理隔离。

（2）技术网连接发射自动化系统的五个子系统（发射机控制系统、节目传输系统、自台监测系统、天馈监测系统、发射机指标自动测试系统）和运行综合管理系统。

（3）办公网连接办公管理系统。

（4）在技术网和办公网之间构建一套物理隔离系统，实现技术网和办公网之间的数据交换需求。

广播发射中心网络系统的架构如图1所示。

图1 网络系统架构图

2.技术网设计

技术网连接了发射自动化系统的五个子系统和运行综合管理系统，技术网的安全稳定性直接影响着技术系统的运行状况和广播发射中心的安全播出。因此，在设计技术网的架构时，采用了以下关键技术来确保技术网的安全稳定性。

（1）技术网使用了两台互为备份的核心交换机，两台核心交换机分别与每台接入交换机连接。在技术网中启用STP协议，断开接入交换机双连接到两台核心交换机后产生的环路。当一台核心交换机发生故障时，STP协议会重新生成一条核心交换机和接入交换之间的可用路由，从而确保技术网的正常运行。

图2 技术网网络拓扑图

（2）发射自动化系统的五个子系统以及运行综合管理系统分别使用单独的接入交换机，并使用VLAN技术将各技术子系统划分为独立的虚拟子网，从而隔离广播风暴，控制技术网在发生故障时影响的范围。

技术网的网络拓扑图如图2所示。

2.1办公网设计

2.1.1 办公网接入设计

在办公网的接入设计时，我们研究和分析了多种办公网接入方案，通过分析每个方案的优势和劣势，最终确定了办公网的接入方式：利用广播传媒中心到广播发射中心传输节目的光纤中富裕的纤芯，将广播传媒中心的办公网络接入到广播发射中心。该办公网接入方式具有以下两个优势：

（1）办公网由广播传媒中心接入后，广播发射中心的办公网将纳入广播传媒中心的统一管理，广播发射中心可以节省网络接入费用、网络安全管理设备的采购和运维费用。

图3 办公网网络拓扑图

（2）由于广播传媒中心的办公网与总台的办公网是互联互通的，采用该办公网接入方式后，广播发射中心的办公网同时实现了与电台办公网、总台办公网的互联互通。

2.1.2 办公网架构设计

广播发射中心的办公网络使用了一台核心交换机。核心交换机上联广播传媒中心的办公网核心交换机，下联广播发射中心的机房楼接入交换机、办公楼接入交换机、值班楼接入交换机和会议楼接入交换机。办公网的网络拓扑图如图3所示。

2.2 无线网络设计

为了方便移动设备接入到办公网，满足移动办公的需求，广播发射中心实现了办公网的无线覆盖。

广播发射中心占地面积约829亩，其中空地面积约811亩，建筑物占地面积约18亩。根据广播发射中心的场地特点，并综合考虑建设成本和网络利用率等因素后，我们确定了无线网络的覆盖方案：在办公楼、值班楼、会议楼、发射机房、短波机房等室内区域实现无线网络的全覆盖，在以6个调配室为中心的室外区域实现无线网络的局部覆盖。

广播发射中心的无线网络采用了无线控制器+瘦AP的架构。在部署和维护无线网络时，不必对每台AP单独配置，只需在无线控制器上建立AP的配置模板，AP启动后会自动从无线控制器上下载配置信息，这极大的提高了无线网络的部署和维护效率。

2.3 VLAN规划

为了隔离广播风暴，实现网络的分级管理和远程管理，控制网络发生故障时影响的范围，提高网络管理的科学性，我们对广播发射中心的网络系统作了VLAN规划。

技术网以技术子系统为单位规划了6个VLAN。办公网以建筑物为单位规划了3个VLAN，其中无线网络单独规划了一个VLAN。此外，技术网和办公网各规划了一个VLAN用于设备管理。详细的规划VLAN如表1所示。

表1 VLAN规划

2.4 IP规划

IP地址是TCP/IP协议族中的网络层逻辑地址，它被用来唯一标识网络中的一个节点。广播发射中心的IP规划充分考虑了网络系统的当前需求、未来发展、现有的资源、网络的管理和维护。

广播发射中心网络系统的IP地址由设备管理地址和局域网地址两部分组成。设备管理地址主要用于标识网络系统中的设备，实现设备远程管理，局域网地址用来分配给设备开展各项业务。

（1）设备管理地址

设备管理地址以A类IP地址子网空间为基本分配单位。按照自然数排列顺序，依次给每台设备规划地址。技术网的设备管理地址使用10.1.1.0/24网段，办公网的设备管理地址使用10.1.2.0/24网段。

（2）局域网地址

技术网的局域网地址以C类IP地址子网空间为基本分配单位，实行静态分配IP的方式。其中发射机控制系统使用192.168.1.0/24网段，节目传输系统使用192.168.2.0/24网段，天馈监测系统使用192.168.3.0/24网段，自台监测系统使用192.168.4.0/24网段，发射机指标自动测试系统使用192.168.5.0/24网段，运行综合管理系统192.168.6.0/24网段。

由于广播发射中心的办公网络由广播传媒中心接入，根据广播传媒中心的网络管理需要，办公网的局域网地址由广播传媒中心分配。办公网在办公区域使用10.201.1.0/24网段，宿舍区域使用10.201.2.0/24网段，机房区域使用10.201.3.0/24网段。

四、物理隔离系统

在本次网络系统的建设中，为了确保技术网的安全性，技术网和办公网之间是物理隔离的。但是，技术网和办公网之间存在数据的交换需求，例如：办公管理系统需要获取技术设备的基础信息和运行参数，用于展示技术设备的运行状态；办公管理系统需要获取运行综合管理系统中的运行图信息，实现播音时间的统计功能。

为了实现技术网和办公网的数据交换功能，我们在技术网和办公网之间构建了一套物理隔离系统。物理隔离系统使用带有多种控制功能的固态开关读写介质连接两个独立的主机系统，模拟人工在两个隔离网络之间的信息交换。物理隔离系统的本质在于：两个独立主机系统之间，不存在通信的物理连接和逻辑连接，不存在依据TCP/IP协议的信息包转发，只有格式化数据块的无协议“摆渡”，被隔离网络之间的数据传递方式采用完全的私有方式，不具备任何通用性。物理隔离系统的使用，实现了技术网和办公网在物理隔离条件下数据的安全传输。

五、总结

广播发射中心的网络系统于2013年5月开始建设，2014年5月完成建设。网络系统的建成使用，为全台自动化系统提供了一个良好的运行环境，对广播发射中心全面实现“数字化、网络化、智能化”具有重要的积极意义。网络系统使用至今已一年有余，在此期间，系统未发生任何设备故障和网络安全事故，整个网络系统稳定可靠、安全。