通讯隔离司siim业务系统邮件实施方案

1国家经贸委通讯隔离司SIIM业务系统内外网物理隔离下的邮件系统实施方案北京春笛信息技术有限公司二二年六月九日2内部邮件缓存服务器192168212EXTRAMAILSIIMNETCNINTRAMAIL投资司内部邮件服务器SIIMGOVCN1921681100SIIMNETCNINTRAMAIL数据平台邮件系统DBSIIMGOVCN192168214SIIMNETCNINTRAMAIL维护平台邮件系统PUBSIIMGOVCN2111471138EXTRAMAIL堡垒服务器双网卡211147113100192168213EXTRAMAILSIIMNETCNINTRAMAIL外部邮件缓存服务器21114711399EXTRAMAILSIIMNETCNINTRAMAILLOCAL21114711399REMOTE2111471138LOCAL192168213REMO21114711399LOCAL192168212REMOTE192168213LOCAL1921681100REMOTE192168212LOCAL192168214REMOTE192168212LOCAL1921680145REMOTE19216809123451概述在内外网隔离的环境下实现内外部邮件服务器的互通互发方案有多种，如两台服务器之间通过UUCP点对点通讯、通过服务器串口PPP通讯、通过双网卡堡垒主机软开关方式等。其最根本的要求在于系统运行安全、可靠、实用性强，另外还要自动化程度高，减少人工干预。考察SIIM业务系统现有的网络环境，通过堡垒主机内外部邮件缓存服务器构成邮件系统隔离区，不失为一种好办法。堡垒主机通过两块网卡分别与内网、外网相连，关闭堡垒主机操作系统内核（LINUXKERNEL）的IP转发功能（IPFORWARDING），使内外网通讯从网络层彻底断开。内外网邮件数据由应用程序通过堡垒主机的文件系统实现交换。同时，通过定时器，定时开关内部网卡（ETH1）和外部网卡（ETH0）构成网络软开关，从应用层保障内网的绝对安全。另外，通过内外部邮件缓存服务器构成邮件缓冲区，保证数据的万无一失。堡垒主机模式不需要改动现有的网络配置，只需要在现有的一台IBMPCSERVER主机上装上双网卡即可实现硬件配置，邮件数据交换速度快（依赖于网络数据传输速度），基本上可以满足目前和未来35年内的使用要求。2网络架构基本架构如下图（基本系统环境为REDHAT73QMAIL）隔离区BCGF无线链路HADE3详细配置说明31网络配置345由三台PCSERVER构成隔离区，包括一台堡垒主机和2台邮件缓存服务器，假定IP地址配置如下上图所示。32各服务器功能堡垒主机通过两块网卡分别联结两个网络，通过文件系统实现数据交换。外网内网邮件缓存服务器内外部邮件暂存后再定时转发外部邮件服务器接收外部邮件，转发内部邮件内部邮件服务器接收内部邮件，转发外部邮件33邮件路由路径331内部邮件服务器发送邮件流程YESNO1FILESYSTEMMAILDIR23QMAILLOCAL本地投递接收来自内部网的邮件发送请求是内部邮件吗存放到EXTRAMAIL目录,等待外发转发到本地邮件缓存服务器转发到堡垒机交换空间转发到外部邮件缓存服务器转发到外部邮件服务器4332外部邮件服务器转发外部邮件流程NOYESNOYES4实现方式41邮件存储转发模式接收邮件将所有属于SIIMGOVCN域的邮件转发到特定目录，定时调用转发程序转发到下一服务器。转发程序SENDLOCALMAIL（由春笛公司提供，基于C,支持SMTP、QMTP协议）42邮件路由模式（外发邮件）将所有不属于SIIMGOVCN域的邮件转发到下一服务器（指定路由路径）。转发程序SENDREMOTEMAIL（由春笛公司提供，基于C,支持SMTP、QMTP协议）43各服务器系统配置文件接收来自外部网的邮件调用QMAILREMOTE转发是内部邮件吗SENDLOCALMAIL程序定时启动转发到本地邮件缓存服务器转发到堡垒机交换空间转发到内部邮件缓存服务器转发到内部邮件服务器是SIIMNETCN域吗存放到INTRAMAIL目录,等待调用QMAILLOCAL本地投递51921681100CAT/VAR/QMAIL/CONTROL/VIRTUALDOMAINSCHUNDICOMCNINTRAMAILCAT/ETC/CRONTAB159ROOT/ROOT/SENDLOCALMAIL0ROOT/ROOT/CONNECTINTERNET30ROOT/ROOT/CONNECTINTRANET堡垒机软开关CONNECTINTERNETIFCONFIGETH0DOWNIFCONFIGETH1UPCONNECTINTRANETIFCONFIGETH0UPIFCONFIGETH1DOWN/ETC/TCPSMTP127001ALLOW,RELAYCLIENT”1921680ALLOW,RELAYCLIENT”192168112CAT/VAR/QMAIL/CONTROL/VIRTUALDOMAINSEXTRAMAILCHUNDICOMCNCHUNDICOMCNCAT/ETC/CRONTAB059ROOT/ROOT/SENDREMOTEMAIL/HOME/EXTRAMAILQMAILDEFAULT/MAILDIR/MAILDIR/192168113CAT/VAR/QMAIL/CONTROL/VIRTUALDOMAINSEXTRAMAILCHUNDICOMCNINTRAMAIL/ETC/CRONTAB059ROOT/ROOT/SENDREMOTEMAIL059ROOT/ROOT/SENDLOCALMAIL44邮件路由路径接收邮件AABCD外发邮件EFGH5方案特点51安全、可靠网卡软开关硬件隔离；网络层隔离；应用层安全验证52邮件交换效率高基于ETHERNET的通讯，10M100M/S653分布式架构，扩展性强邮件路由表可以随时修改，可以随时增删隔离区缓冲服务器。54完全自动运行，无需人工干预，减少人为失误。系统定时器定时触发邮件路由转发程序，无需人工干预。55数据同步周期、频率可根据需要和邮件数据量大小随时更改。提供了更为方便、灵活的选择。56与邮件系统监控程序配合使用，可以在线监控邮件数据流量，随时掌握系统运行状况。57预留邮件过滤程序、病毒扫描程序调用接口，可以实现系统级的垃圾邮件过滤和病毒扫描。6注意事项以上IP地址为假定IP,具体实施时需要根据SIIM的实际网络环境指定IP。最小邮件数据交换时间间隔1个交换周期内邮件数据量传输所需时间。7系统运行监控隔离区的3台主机都安装有图形监控程序，按照如下方式进入STARTX进入XWINDOW之后，点击桌面上的快捷方式，SIIMMAILSYSTEMMONITOR即可显示当前系统运行总体状况8结论基于堡垒主机的邮