物理隔离 Linux如何贯通安全通道(一)

　　随着互联网在全球的推广与应用，以及我国信息化建设的深入，局域网用户对互联网信息的需求越来越多，随之而来的网络安全问题也日益突出。某些局域网，特别是对于某些安全性要求极高的部门局域网，是严格限制与互联网直接相连的。

　　国家保密局已于2000年发布了《计算机信息系统国际联网保密管理规定》，文件规定“涉及国家秘密的电脑信息系统，不得直接或间接地与国际互联网或其它公共信息网络相联接，必须实行物理隔离”。

　　这些局域网从互联网上获得信息的传统方式是利用Teleport等离线浏览软件，先从互联网上采集数据，再手工拷贝到内部局域网。

　　这样虽然保证了网络安全，却给实际工作带来了很多不便。首先，这类离线软件不能处理采集数据中的无效链接；其次，每次采集都必须由人工启动完成，不能根据应用需要自动采集；再者，所有的操作都由手工完成，导致工作效率很低；而且随着信息需求量的增大，劳动强度也越来越大。

　　为了解决这种日益突出的信息需求和信息安全之间的矛盾，我们在Red Hat Linux平台上研制开发了基于物理隔离的“互联网信息安全采集系统”。

　　该互联网信息安全采集系统是一个保证在任一时刻，在局域网和互联网物理隔离的前提下，安全浏览互联网网络资源的系统软件。它为用户提供了一个以物理隔离为基础的安全的网络环境，并提供了信息采集、负载均衡、自动转发、信息控制等功能。

　　系统逻辑结构

　　该互联网信息安全采集系统由采集服务器、中间服务器（含物理隔离器）和内部服务器三部分构成。其主要设计思想是通过中间服务器建立互联网和局域网的间接连接，对局域网用户来说，上网过程实际仅是浏览局域网内部服务器提供的内容，而由采集服务器从互联网上自动下载指定网站的内容，模拟局域网用户的上网过程。

　　中间服务器能够保证不同时连接局域网和互联网，即连接内部局域网时，中间服务器与互联网的连接不论是物理上，还是软件设置上都完全断开，反之亦然。这样，来自互联网的影响或攻击不可能进入局域网内部，局域网内部也无法真正地连接到互联网上，整个系统的安全性主要由中间服务器加以控制。

　　该系统的逻辑结构如图1所示。

图1 互联网信息安全采集系统逻辑结构图

　　从图1中可以看出，采集服务器机群通过RAS或其它方式连接到互联网上，与内部局域网之间被物理隔离器物理隔离。经由隔离器，中间管理服务器可以与采集服务器或内部服务器建立连接，但一个时刻只能与其中一方连接，而不能同时与两方连接。专门设计的物理隔离器保证了无论何时采集服务器和内部服务器之间为断路。

　　1.采集服务器（群）

　　采集服务器（群）用来从互联网上采集信息，所以它的网络接口配置应可通过防火墙对互联网上的Web服务进行浏览。在一个采集服务器（群）里，逻辑上必须且最多应存在一台采集管理器，采集管理器提供可被采集服务器（群）访问的网络数据库（MySQL Server）和网络共享目录（NFS Server），以及可被中间服务器访问的FTP目录（FTP Server）。

　　因为采集管理器的管理操作是通过Web操作完成，所以采集管理器上应具备可被访问的Web服务（HTTP Server）。同样，在逻辑上也至少应存在一台采集服务器，该采集服务器应可访问互联网采集信息，并且可以访问采集管理器的数据库（MySQL Client）和网络共享目录（NFS Client）。

　　2.中间服务器

　　中间服务器的功能是从采集管理器上取得采集好的信息，然后转发到局域网服务器上进行发布，所以中间服务器上的网络接口配置应既能访问采集管理器，也能访问局域网服务器。中间服务器应可访问采集管理器和局域网服务器的FTP目录（FTP Client）。

　　3.局域网服务器

　　局域网服务器的功能就是用来在内部局域网发布信息，所以它的网络接口应可被内部局域网的计算机访问。因为局域网服务器是用来发布被采集信息的，应提供Web服务（HTTP Server），以及可被中间服务器访问的FTP目录（FTP Server）。

　　这里，采集服务器和局域网内部服务器都可以采用一台或多台计算机，并可以根据系统的规模和需求随时扩充新的服务器，系统的采集能力是动态可调的。

　　系统的功能模块

　　系统从功能上可以分为网路配置与系统安全管理模块、任务队列管理模块、采集器队列管理模块、调度协调管理模块、内部服务器管理模块五部分。功能模块框架如图2所示。

图2 互联网信息安全采集系统功能模块图

　　◆ 网路配置与系统安全管理模块是整个系统的防护控制中心，包括物理隔离器、防火墙、用户管理，负责保证整个系统信息流正常流转。

　　◆ 任务队列管理模块负责接收、整理用户上网需求，然后定义、生成下载任务，并提交调度协调管理模块。

　　◆ 采集器队列管理模块负责管理采集服务器机群，向调度协调管理模块提供完成互联网下载任务的采集器。

　　◆ 调度协调管理模块负责将具体任务合理分配到各个采集器，并将任务结果从采集器取回，送交内部服务器机群。

　　◆ 内部服务器管理模块负责接收并加工下载信息，最后向内部局域网用户提供虚拟上网环境。该互联网信息安全采集系统的网络操作系统选择Red Hat 7.2，Web服务器选用Apache，数据库平台选用MySQL，开发工具选用PHP和标准C。