政府移動(dòng)辦公系統(tǒng)解決方案

郭珠琴

摘 要：移動(dòng)互聯(lián)網(wǎng)廣泛應(yīng)用于個(gè)人的生活、學(xué)習(xí)、社交和娛樂(lè)的基礎(chǔ)上，已逐漸成為政府政務(wù)辦公、社會(huì)公共服務(wù)、社會(huì)公共管理和領(lǐng)導(dǎo)指揮決策以及企業(yè)生產(chǎn)經(jīng)營(yíng)和管理決策的緊迫需求，實(shí)現(xiàn)移動(dòng)信息化已經(jīng)成為各行業(yè)信息化的戰(zhàn)略目標(biāo)。該設(shè)計(jì)解決方案在不影響單個(gè)政府機(jī)關(guān)現(xiàn)有內(nèi)部辦公系統(tǒng)運(yùn)行使用的基礎(chǔ)上，基于無(wú)線網(wǎng)絡(luò)建設(shè)移動(dòng)應(yīng)用平臺(tái)，延伸和補(bǔ)充內(nèi)部辦公系統(tǒng)建設(shè)內(nèi)容，實(shí)現(xiàn)了移動(dòng)辦公。

關(guān)鍵詞：政府；移動(dòng)；辦公；安全；平臺(tái)

1 設(shè)計(jì)方案背景

移動(dòng)通信和互聯(lián)網(wǎng)的結(jié)合催生并推動(dòng)移動(dòng)互聯(lián)網(wǎng)的發(fā)展，高速移動(dòng)通信、云計(jì)算、物聯(lián)網(wǎng)及移動(dòng)智能終端等新技術(shù)的持續(xù)創(chuàng)新發(fā)展，促使移動(dòng)互聯(lián)網(wǎng)正在成為信息產(chǎn)業(yè)中發(fā)展最快、競(jìng)爭(zhēng)最激烈、創(chuàng)新最活躍的領(lǐng)域。移動(dòng)互聯(lián)網(wǎng)是一種新能力、新思想和新模式，改善了整個(gè)社會(huì)使用信息技術(shù)的基本方式。據(jù)統(tǒng)計(jì)， 2012年7月，移動(dòng)互聯(lián)網(wǎng)的人均上網(wǎng)時(shí)長(zhǎng)首次超過(guò)PC，信息服務(wù)以PC為中心轉(zhuǎn)向以移動(dòng)智能終端為中心正在成為新的發(fā)展趨勢(shì)。

移動(dòng)互聯(lián)網(wǎng)服務(wù)并廣泛應(yīng)用于個(gè)人的生活、學(xué)習(xí)、社交和娛樂(lè)的基礎(chǔ)上，已逐漸成為政府政務(wù)辦公、社會(huì)公共服務(wù)、社會(huì)公共管理和領(lǐng)導(dǎo)指揮決策以及企業(yè)生產(chǎn)經(jīng)營(yíng)和管理決策的緊迫需求，實(shí)現(xiàn)移動(dòng)信息化已經(jīng)成為各行業(yè)信息化的戰(zhàn)略目標(biāo)。移動(dòng)辦、市府辦等多個(gè)部門已在OA內(nèi)網(wǎng)上建設(shè)了政務(wù)辦公自動(dòng)化系統(tǒng)（簡(jiǎn)稱“政務(wù)OA系統(tǒng)”），為進(jìn)一步推動(dòng)和提升政務(wù)信息化工作水平，迫切需要在現(xiàn)有政府部門內(nèi)部OA系統(tǒng)基礎(chǔ)上構(gòu)建一套安全可信的移動(dòng)應(yīng)用平臺(tái)，用于幫助解決領(lǐng)導(dǎo)外出或出差期間對(duì)辦文、辦會(huì)、辦事等的處理需要。為此提出了建設(shè)“安全可信移動(dòng)應(yīng)用平臺(tái)”。

2 總體設(shè)計(jì)

2.1 設(shè)計(jì)目標(biāo)

在不影響單個(gè)政府機(jī)關(guān)現(xiàn)有內(nèi)部辦公系統(tǒng)的運(yùn)行使用基礎(chǔ)上，基于無(wú)線網(wǎng)絡(luò)建設(shè)移動(dòng)應(yīng)用平臺(tái)，作為內(nèi)部辦公系統(tǒng)建設(shè)內(nèi)容延伸和補(bǔ)充內(nèi)容，實(shí)現(xiàn)移動(dòng)辦公，即解決現(xiàn)有內(nèi)部辦公系統(tǒng)碰到問(wèn)題和存在瓶頸，又能夠有效地保護(hù)原有投資和充分利用現(xiàn)有資源，平臺(tái)建設(shè)要做到便捷、簡(jiǎn)單、易用、安全、可推廣。

2.2 總體架構(gòu)

移動(dòng)應(yīng)用平臺(tái)總體架構(gòu)如圖1：

基礎(chǔ)應(yīng)用層：在內(nèi)網(wǎng)使用辦公門戶實(shí)現(xiàn)平臺(tái)服務(wù)的接入和使用。外網(wǎng)使用移動(dòng)應(yīng)用門戶為用戶提供移動(dòng)政務(wù)辦公接入。

業(yè)務(wù)應(yīng)用層：在內(nèi)網(wǎng)辦公門戶基礎(chǔ)上提供內(nèi)部辦公、電子郵件等系統(tǒng)作為可選應(yīng)用服務(wù)，提供給政府辦使用。

基礎(chǔ)應(yīng)用層和數(shù)據(jù)資源層：支撐業(yè)務(wù)應(yīng)用層的基礎(chǔ)部分，其中包括用戶、公文、流程、郵件等在內(nèi)的基礎(chǔ)數(shù)據(jù)服務(wù)和即時(shí)通訊、電子郵件、工作流、表單、數(shù)據(jù)交換等在內(nèi)的基礎(chǔ)能力。

基礎(chǔ)設(shè)施和基礎(chǔ)網(wǎng)絡(luò)層：電子政務(wù)平臺(tái)現(xiàn)有的基礎(chǔ)設(shè)施層，包括主機(jī)、存儲(chǔ)、網(wǎng)絡(luò)、安全等硬件設(shè)施和基礎(chǔ)軟件，以及可利用的外網(wǎng)、內(nèi)網(wǎng)、無(wú)線網(wǎng)通訊網(wǎng)絡(luò)設(shè)施。

2.3 網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)

移動(dòng)應(yīng)用平臺(tái)由內(nèi)外網(wǎng)兩部分組成，內(nèi)網(wǎng)存儲(chǔ)內(nèi)部辦公系統(tǒng)數(shù)據(jù)，外網(wǎng)搭建移動(dòng)OA辦公平臺(tái)，內(nèi)網(wǎng)與外網(wǎng)中間使用兩套單項(xiàng)傳輸系統(tǒng)進(jìn)行物理隔離，并在內(nèi)外網(wǎng)服務(wù)器區(qū)外各搭建一臺(tái)防火墻及應(yīng)用防火墻（WAF）保障數(shù)據(jù)的安全，移動(dòng)數(shù)據(jù)通過(guò)SSL安全通道訪問(wèn)應(yīng)用區(qū)。

政務(wù)移動(dòng)辦公平臺(tái)網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)如圖2：

圖2

網(wǎng)絡(luò)設(shè)計(jì)說(shuō)明如下：（1）移動(dòng)應(yīng)用平臺(tái)設(shè)計(jì)規(guī)劃為內(nèi)網(wǎng)區(qū)、數(shù)據(jù)交換區(qū)、外網(wǎng)區(qū)和移動(dòng)終端接入?yún)^(qū)。（2）政府辦OA服務(wù)器部署于內(nèi)網(wǎng)區(qū)，在內(nèi)網(wǎng)區(qū)與數(shù)據(jù)交換區(qū)網(wǎng)絡(luò)連接處部署防火墻，首先，通過(guò)防火墻將內(nèi)網(wǎng)與數(shù)據(jù)交換區(qū)進(jìn)行隔離，將內(nèi)網(wǎng)屏蔽起來(lái)，其次，通過(guò)訪問(wèn)策略控制進(jìn)出防火墻的網(wǎng)絡(luò)流量，嚴(yán)格規(guī)定何種數(shù)據(jù)可以從內(nèi)網(wǎng)的何種途徑到數(shù)據(jù)交換區(qū)；何種數(shù)據(jù)可以從數(shù)據(jù)交換區(qū)的何種途徑到達(dá)內(nèi)網(wǎng)等等，防止有害信息的傳播。最后，通過(guò)防火墻可以對(duì)網(wǎng)絡(luò)進(jìn)出流量進(jìn)行審計(jì)詳細(xì)記錄，發(fā)生安全事件時(shí)有據(jù)可查。（3）由于內(nèi)網(wǎng)信息系統(tǒng)的重要性，數(shù)據(jù)交換區(qū)采用單向傳輸系統(tǒng)和前置機(jī)來(lái)實(shí)現(xiàn)，以保證網(wǎng)絡(luò)的安全。單向傳輸系統(tǒng)（單向光閘）采用專用的硬件和模塊化的工作組件設(shè)計(jì)，集成安全隔離、實(shí)時(shí)信息交換、單向傳輸、內(nèi)容檢測(cè)、訪問(wèn)控制、安全決策等多種安全功能為一體，適合部署于不同安全等級(jí)的網(wǎng)絡(luò)間，在實(shí)現(xiàn)多個(gè)網(wǎng)絡(luò)安全隔離的同時(shí)，實(shí)現(xiàn)高速的、安全的數(shù)據(jù)單向傳輸，提供可靠的信息交換服務(wù)。（4）分別在內(nèi)外網(wǎng)核心服務(wù)器區(qū)部署應(yīng)用防火墻（WAF）。網(wǎng)站防護(hù)系統(tǒng)通過(guò)實(shí)時(shí)監(jiān)控、實(shí)時(shí)報(bào)警等功能為OA系統(tǒng)提供實(shí)時(shí)安全保護(hù)，并通過(guò)日志實(shí)現(xiàn)對(duì)網(wǎng)站文件訪問(wèn)的全程監(jiān)控，防止黑客、惡意程序及網(wǎng)絡(luò)病毒等對(duì)網(wǎng)站的網(wǎng)頁(yè)、電子文檔、圖片等所有類型的文件進(jìn)行任何形式的破壞或非法修改，從而為OA系統(tǒng)提供可靠的安全保障。（5）安全防火墻。防火墻是網(wǎng)絡(luò)安全的基礎(chǔ)構(gòu)件，分別部署在內(nèi)外網(wǎng)核心服務(wù)器區(qū)，對(duì)進(jìn)出網(wǎng)絡(luò)的流量進(jìn)行訪問(wèn)控制，為內(nèi)部局域網(wǎng)提供最基本的安全防護(hù)措施。通過(guò)訪問(wèn)策略控制進(jìn)出防火墻的網(wǎng)絡(luò)流量，嚴(yán)格規(guī)定何種數(shù)據(jù)以何種途徑進(jìn)出網(wǎng)絡(luò)，有效防止有害信息的傳播。通過(guò)防火墻可以對(duì)使用網(wǎng)絡(luò)的人員進(jìn)行審計(jì)，詳細(xì)記錄網(wǎng)絡(luò)的使用情況，發(fā)生安全事件時(shí)有據(jù)可查。（6）在外網(wǎng)區(qū)部署一套SSLVPN系統(tǒng)，建立一個(gè)安全的VPN服務(wù)器系統(tǒng)。所有遠(yuǎn)端用戶的訪問(wèn)都是經(jīng)過(guò)標(biāo)準(zhǔn)Web瀏覽器內(nèi)置的加密套件進(jìn)行加密并經(jīng)過(guò)服務(wù)器端認(rèn)證許可的，即經(jīng)過(guò)授權(quán)用戶只要能上網(wǎng)，就可以通過(guò)瀏覽器接入遠(yuǎn)程的應(yīng)用服務(wù)器，建立安全SSL VPN隧道，訪問(wèn)OA資源。（7）專用終端接入：為確保終端數(shù)據(jù)的安全性，本期建設(shè)擬采用專用終端接入的方式，為每個(gè)移動(dòng)終端配備專用的平板電腦，再通過(guò)專用的VPN網(wǎng)絡(luò)通道接入到辦公系統(tǒng)中。

2.4 無(wú)線VPDN專線接入

無(wú)線VPDN（Virtual Private Dialup Network）即虛擬專用撥號(hào)網(wǎng)絡(luò)無(wú)線數(shù)據(jù)，在高速移動(dòng)通信網(wǎng)絡(luò)的基礎(chǔ)上，通過(guò)虛擬撥號(hào)技術(shù)建立虛擬數(shù)據(jù)專網(wǎng)，為移動(dòng)用戶提供數(shù)據(jù)傳輸服務(wù)，是解決無(wú)線數(shù)據(jù)傳輸服務(wù)的一種較完美的方案，以數(shù)據(jù)流量計(jì)費(fèi)，覆蓋范圍廣泛、數(shù)據(jù)傳輸速度快。與有線網(wǎng)絡(luò)相比，具有費(fèi)用低、可無(wú)線傳輸數(shù)據(jù)，不受地域制約等優(yōu)點(diǎn)。endprint

根據(jù)VPDN技術(shù)以及L2TP隧道技術(shù)，接入流程示意圖如圖3：

圖3

如上圖所示移動(dòng)終端向單位建立安全數(shù)據(jù)通道，首先需要向VPDN接入平臺(tái)請(qǐng)求認(rèn)證，認(rèn)證通過(guò)后會(huì)得到建立分組數(shù)據(jù)環(huán)境的授權(quán)，然后終端所在SGSN會(huì)向終端歸屬GGSN建立GTP隧道，GGSN向客戶端的接入路由器建立L2TP隧道，所有的通道建立之后，數(shù)據(jù)會(huì)安全的在終端與企業(yè)網(wǎng)絡(luò)間傳輸。

MS發(fā)起Activate PDP請(qǐng)求，在PDP報(bào)文中攜帶APN，用戶名和密碼等信息；SGSN向HLR鑒權(quán)后，從省DNS獲得GGSN IP，發(fā)起創(chuàng)建GTP隧道請(qǐng)求；GGSN向AAA發(fā)起一次認(rèn)證鑒權(quán)，下發(fā)隧道屬性；GGSN向LNS發(fā)起建立L2TP隧道請(qǐng)求，隧道建立后，用戶信息透?jìng)鞯絃NS設(shè)備；LNS設(shè)備向AAA發(fā)起二次認(rèn)證，認(rèn)證通過(guò)后分配IP給終端用戶；MS和客戶側(cè)服務(wù)器進(jìn)行通信。

整個(gè)流程經(jīng)過(guò)的通信通道有，移動(dòng)網(wǎng)空中接口、無(wú)線接入網(wǎng)絡(luò)（RAN）、SGSN、GGSN、VPDN接入平臺(tái)、客戶內(nèi)網(wǎng)。

（1）第一段安全保障——移動(dòng)網(wǎng)空中接口：是通過(guò)空中接口技術(shù)命名的，是寬帶碼分多址技術(shù)，碼分多址技術(shù)由于其本身的安全性最早使用在軍用通信。其主要安全機(jī)制有如下幾方面：a.提供了雙向認(rèn)證。不但提供基站對(duì)MS的認(rèn)證，也提供了MS對(duì)基站的認(rèn)證，可有效防止偽基站攻擊；b.提供了接入鏈路信令數(shù)據(jù)的完整性保護(hù)；c.密碼長(zhǎng)度增加為128bit，改進(jìn)了算法；d.接入鏈路數(shù)據(jù)加密延伸至RNC；e.具有可拓展性，為將來(lái)引入新業(yè)務(wù)提供安全保護(hù)措施；f.向用戶提供安全可視性操作，用戶可隨時(shí)查看自己所用的安全模式及安全級(jí)別。

（2）第二段安全保障——無(wú)線接入網(wǎng)絡(luò)（RAN）：無(wú)線接入網(wǎng)絡(luò)（RAN）主要負(fù)責(zé)從無(wú)線信號(hào)中提取信息向分組域或電路域轉(zhuǎn)發(fā)，本身就是安全的網(wǎng)絡(luò)，數(shù)據(jù)在其中傳輸也會(huì)有加密，壓縮等步驟。而且RAN都是底層設(shè)備，數(shù)據(jù)在上層的含義對(duì)這些設(shè)備來(lái)說(shuō)是抽象的，RAN設(shè)備本身不會(huì)帶來(lái)安全隱患。

（3）第三段安全保障——SGSN與GGSN：SGSN、GGSN以及客戶端接入路由器都是上層設(shè)備，這些網(wǎng)元之間的通信承載于物理上獨(dú)立于互聯(lián)網(wǎng)、覆蓋全國(guó)的IP專網(wǎng)上，再通過(guò)建立加密隧道來(lái)保證數(shù)據(jù)安全。SGSN與GGSN建立GTP隧道，GGSN與客戶端接入路由器間建立L2TP隧道。隧道的建立保證了數(shù)據(jù)傳輸?shù)陌踩?/p>

（4）第四段安全保障——防火墻：在VPDN系統(tǒng)中在不同網(wǎng)絡(luò)之間設(shè)置了防火墻，核心網(wǎng)（GGSN、SGSN）和VPDN接入平臺(tái)網(wǎng)絡(luò)間設(shè)置了防火墻，核心網(wǎng)和公眾網(wǎng)之間設(shè)置了防火墻，只有合法的設(shè)備和通信消息才能通過(guò)防火墻訪問(wèn)網(wǎng)絡(luò)。這樣就避免了整個(gè)網(wǎng)絡(luò)內(nèi)部的潛在威脅。

（5）第五段安全保障——客戶內(nèi)網(wǎng)的AAA服務(wù)器與防火墻：為了進(jìn)一步加強(qiáng)網(wǎng)絡(luò)的安全性，客戶可以再其內(nèi)網(wǎng)部署第二臺(tái)AAA服務(wù)器，對(duì)于申請(qǐng)接入內(nèi)網(wǎng)的終端進(jìn)行第二次的認(rèn)證；同時(shí)，客戶可以在其內(nèi)網(wǎng)部署防火墻或網(wǎng)閘設(shè)備，對(duì)不同網(wǎng)絡(luò)間的通信進(jìn)行限制或隔離處理，將VPDN網(wǎng)絡(luò)系統(tǒng)受外界影響的風(fēng)險(xiǎn)降到最低。

參考文獻(xiàn)

[1]YD/T 1123-2001綜合交換機(jī)技術(shù)規(guī)范[S].

[2]YD/T 1130-2001基于IP網(wǎng)的信息點(diǎn)播業(yè)務(wù)技術(shù)要求[S].

[3]YD/T 1141-2001千兆以太網(wǎng)交換機(jī)測(cè)試方法[S].

[4]YD/T 761-95詞匯-維護(hù)術(shù)語(yǔ)和定義[S].

[5]YD/T 849-1996開(kāi)放系統(tǒng)互連安全體系結(jié)構(gòu)[S].

[6]YD 5036-97智能網(wǎng)工程設(shè)計(jì)暫行規(guī)定[S].

[7]YD/T 819-1996數(shù)據(jù)傳輸鏈路和系統(tǒng)的性能分配及限值[S].

[8]ISO/IEC11801-95信息技術(shù)互連國(guó)際標(biāo)準(zhǔn)[S].

[9]GB/T 17544-1998信息技術(shù)、軟件包質(zhì)量要求和測(cè)試[S].

[10]GB/T22239-2008信息系統(tǒng)安全等級(jí)保護(hù)基本要求[S].

[11]GB/T22240-2008信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南[S].

[12]信安字[2007]10號(hào)信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南[S].endprint