安全隔離網閘在電視節目制作中的應用

姜 周，周海榮

淮安市廣播電視臺，江蘇淮安 223001

0 引言

目前，由于非線性編輯技術的普及，大多數電視臺的電視節目制作系統主要由非編網絡、媒體資源庫以及新聞文稿系統構成[1]。出于節目制作安全性的考慮，這部分通常作為內網使用，并不與外網（包括辦公網及Internet）直接連通。實際上，這部分網絡不可避免地要求具有一定的交互性，例如編輯記者外采的視音頻文件需要導入非編系統、對媒體資源庫以及新聞文稿系統的訪問也不應局限于剪輯機房。那么，有沒有一種辦法，使記者們可以方便地在自己的辦公電腦，甚至家中，向非編系統上傳視音頻文件、瀏覽媒資庫、編輯新聞文稿，同時還能在較大程度上保證內網數據的安全呢？

一種直觀且有效的辦法是設置防火墻（firewall）。防火墻的構成包括兩臺分組過濾路由器（packet filter）和一個應用網關（application gateway）[2]，它通過有效的數據過濾，可以使內網免受非法用戶的侵入以及避免內網保密的數據被轉運出去。但是其基于連通網絡的工作原理，以及對應用透明的隔離方式，對DoS攻擊和DDoS攻擊則顯得無能為力。

安全隔離網閘（GAP，又稱物理隔離網閘）的出現則很好地彌補了這一不足，它最早使用在軍方，用以解決涉密網絡與公共網絡的連接問題[3]。它采用SU-Gap安全隔離技術，創建一個內、外網物理斷開的環境，它由內網控制單元、外網控制單元以及隔離與交換控制單元三個部分構成，采用專用的操作系統（一般為精簡的嵌入式Linux系統[4]）和私有協議實現數據的交換，可以最大限度的防止未知攻擊。

以下將介紹安全隔離網閘在電視節目制作系統中的實際應用。

1 應用實例

根據以上描述，我們容易畫出應用安全隔離網閘連接的內外網示意圖，見圖1。虛線框中部分即為電視節目制作內網，它的每一部分與網閘的內網端口單獨連接，可以分別管理外網對每一部分的訪問，網閘的外網端口連接單位辦公網，這部分網絡接入Internet。

圖1 內外網示意圖

其中，非編網通過網閘與外網連接的目的是為了與外界交換視音頻文件，需要網閘實現雙向文件擺渡的功能；媒資庫與外網連接則為了使外網可以方便地訪問媒資庫，檢索和管理庫內素材，而對媒資庫的訪問通常由Web服務實現，需要網閘實現Web瀏覽功能；而新聞文稿系統則是一個簡單的數據庫系統，需要網閘打開外網對內網的數據庫訪問。

下面詳細介紹這三部分功能。

1.1 外網與非編網的文件交互

文件交互模塊是任何主流網閘的必備功能，網閘內部有專用的通道實現文件擺渡。網閘的供應商一般會提供一個客戶端，分別安裝在內網和外網的各一臺服務器上，在網閘上只需要進行相應的配置就可以構建一條文件傳輸的鏈路。

實際應用中，我們需要不止一條文件交互鏈路。例如，編輯記者外采的視音頻文件或者一些圖片及文字素材需要導入非編系統，而由非編系統制作好的節目內容也常常需要拷貝出來，這就至少需要一條由外到內的文件傳輸通道和一條由內到外的通道。

在內網，我們可以設置一臺用于文件交互的服務器，該服務器可以訪問到需要進行文件交互的存儲區域。在其上安裝所有通道的內網客戶端，通過這些客戶端從網閘接收來自外網的文件，以及把要導出的文件發送到網閘。而在網閘外側的辦公網中，有一臺或數臺工作站上安裝相應的外網客戶端，就可以實現文件的內外網交互。為了使用方便，這些客戶端可安裝為后臺服務，以實現開機后自動運行。而辦公網內的其它計算機則可以通過文件共享或網絡盤映射的方式訪問這幾臺工作站。

可以實現交互的文件類型應受到嚴格的限制，一般來說，只允許少數幾種格式的視音頻文件、圖片文件以及文本文件通過網閘，文件類型應通過特征碼的方式識別，而不應僅僅通過擴展名識別。

1.2 外網對媒資庫的Web瀏覽

Web瀏覽功能也是安全隔離網閘的一項基本功能，在網閘的訪問控制配置中，打開相應的Web瀏覽端口（建議不要使用默認端口，如80、21等），設置Web服務器的內網IP，就可以在外網通過訪問網閘的外網地址，訪問到內部的Web服務器。

舉例說明，假如媒資庫Web服務器的實際地址為http∶//10.10.10.1∶8080，則在內網需要鍵入以上地址就能訪問媒資庫。而網閘外網IP地址為192.168.88.6，在網閘訪問控制中配置好到10.10.10.1服務器的Web訪問端口8080后，在外網鍵入http∶//192.168.88.6∶8080就可以打開媒資庫網頁。如果使用域名地址來訪問，則需要在外網DNS中將該域名解析為網閘的外網IP，或在本機的hosts文件中指定。

1.3 外網對新聞文稿數據庫的訪問

數據庫訪問是安全隔離網閘的一項重要功能，與Web訪問配置相似，在網閘中打開到數據庫服務器的端口，例如SQL Server默認的1433端口或任意指定的可用端口[5]，在外網客戶端中指定數據庫服務器的IP為網閘的外網IP，就可以實現對內網數據庫的訪問。

需要在外網客戶端修改及管理數據庫時，如本實例中對新聞文稿系統的訪問，當編輯記者需要在辦公室甚至家中編寫新聞稿件時，可以采用以上的方法。但在一些電子政務場合，內部的數據庫僅開放查詢功能給外網，而不允許外網用戶進行修改，例如某市的住房公積金系統，它要求最大程度的安全，并允許客戶在外網查詢自己的公積金信息，則可以采用以下要介紹的數據庫同步方案。

我們將真正的數據庫系統部署在內網，只能在內網進行修改及維護，而在外網同樣建立一個數據庫服務器，這兩臺服務器之間通過網閘相連，利用網閘自身的數據庫同步功能，定時將內網數據庫單向同步到外網服務器上。這樣，外網客戶查詢自己的信息時，訪問的是外網數據庫服務器，即使外網服務器被攻擊，數據庫受損，對內部數據也毫無影響。例如住房公積金查詢系統，使用這種方案后，只需每天同步一次，可以在相當大的程度上保證數據的安全。

2 總結與討論

以上通過對安全隔離網閘在電視節目制作系統中的應用實例的介紹，讀者可以了解到網閘這一網絡安全設備的大致特點，事實上，以上實例介紹的正是筆者所就職的電視臺正在使用的方案。在該方案的使用過程中，也遇到一些問題，不妨與讀者交流討論。

筆者發現，內外網文件交互方案對網絡質量要求嚴格。眾所周知，電視節目素材文件體積龐大（動輒數十GB），且數量眾多，僅通過一臺網閘來進行單線程的傳輸，非常耗時，還易導致網絡擁塞。對此，筆者只能通過拉專線到每臺負責文件交互的工作站，以避免以太網交換機的負荷過重。另外，由于筆者水平所限，對于此方案有不嚴密之處，歡迎讀者一并來電來函交流討論。

[1]孟群編著.電視節目制作技術.北京：高等教育出版社，2006，5.

[2]A.S.Tanenbaum著.潘愛民譯.計算機網絡.4版.北京:清華大學出版社，2004，8.

[3]王群編著.計算機網絡安全管理.北京：人民郵電出版社，2010，3.

[4]任哲等編著.嵌入式操作系統基礎μC/OS-Ⅱ和Linux.北京: 北京航空航天大學出版社，2006，8.

[5]施伯樂，等編著.數據庫教程.北京：電子工業出版社，2004，9.