网络视频监控内外网互通与安全隔离方案

    近年来，随着网络视频监控在各个行业的广泛部署，如何保证整个系统在网络层面的安全性越来越成为大家关注的重点。尤其是在面临专网视频监控系统（内部）与公网视频监控系统（外部）进行互通时，这个问题显得尤为突出。

    平安城市就是一个很典型的例子。在平安城市的建设中，需要构建一个能够覆盖城市重要单位、重点场所、主要路口、主要出入通道、治安卡口、学校、居民小区等各个层面的社会面治安监控系统，整个系统的控制和管理基本上都归口到当地公安部门。而上面提到的这些监控部位，有些是属于公安专网的，比如治安卡口、重点场所，有些是属于外部网络的，比如学校、居民小区、网吧等。为了实现这些监控资源的统一调用和灵活共享，公安专网的视频监控系统与外部的视频监控系统必须要进行网络化互联，而根据保密要求，公安专网与外部网络又必须要进行物理隔离，这样就存在一个无法回避的矛盾。

    而且，随着中国电信、中国网通分别通过“全球眼”和“宽视界”两大运营级网络视频监控系统对平安城市建设的介入，将会有越来越多的社会面监控资源承载在公网平台上，安全隔离将成为公安部门通过其专网视频监控系统进行社会面监控资源调用时的主要障碍。

    为此，科达将目前在公安、政府、军队等涉密专网中广泛使用的网闸技术应用到了运营级和ViewShot两大网络视频监控产品中，推出了基于网闸的网络视频监控安全隔离解决方案，可以在保证系统物理隔离的情况下，实现内、外网监控资源的灵活调用，从而有效解决上面提到的问题。

    网闸原理与应用

    网闸（或物理隔离网闸）是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。由于网闸所连接的两个独立主机系统之间，不存在通信的物理连接与逻辑连接，不存在依据协议的信息包转发，只有数据文件的无协议“摆渡”，所以，网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接，可以实现真正的安全。

    网闸在网络环境中的位置：

    网闸在处理信息时的流程和交互方式为：切断网络之间的通用协议连接；将数据包进行分解或重组为静态数据；对静态数据进行安全审查，包括网络协议检查和代码扫描等；确认后的安全数据流入内部单元；内部用户通过严格的身份认证机制获取所需数据。

    网闸的内部模块与数据传输模式：

    许多网闸产品除了保有高安全性特点之外，又提供了对不同应用的良好适应性。在安全隔离的基础架构上，首先确保信任网络的高度安全，在此基础上通过对各种应用的代理机制实现对多种应用的支持，例如支持http代理、ftp代理、socks代理等等，同时进行更为严谨的访问控制。

    科达网络视频监控网闸隔离解决方案

    上面是网闸在传统数据通信网中提供安全隔离的应用案例，由于网络视频监控系统在网络层面的信息传输方式与传统数据通信网完全一样，因此，在多个网络视频监控系统需要互联、又要进行安全隔离的情况下，也可以通过部署网闸来满足应用需求。

    鉴于网闸本身工作原理的特殊性，位于网闸两侧的内网视频监控系统和外网视频监控系统必须要与网闸配合，才能实现两侧视频监控码流的正常传输。科达根据网闸的工作特性，推出了网闸穿越解决方案，通过在运营级和ViewShot两大网络视频监控系统中内置网闸穿越功能，可以与各类网闸配合，在保障网络高安全性的同时，实现视频监控码流的透明传输。

    根据内网视频监控与外网视频监控在系统部署以及用户对监控资源访问方式的不同，科达网闸隔离和穿越解决方案具有两种应用模式。

    应用模式1：
    某连锁网吧在公网上架设了科达网络视频监控系统，当地公安专网用户需要利用客户端PC正常观看连锁网吧的监控点图像。利用公安客户端与网吧监控平台之间的网闸隔离与穿越，公安专网用户可实现外部监控点图像的安全调用。

    应用模式2：
    某连锁网吧在公网上架设了科达网络视频监控系统，当地公安专网内也架设了科达网络视频监控系统，公安专网用户除了可以正常浏览专网内的监控点图像外，也可以通过公安专网平台与网吧监控平台之间的网闸隔离与穿越，实现网吧监控点图像的安全调用。

    结束语

    随着中国各级政府构建“平安城市”战略的实施，网络视频监控将得到有效而全面地推动，在不久的将来，全国的主要城市都将以各地公安部门为中心，大规模部署网络视频监控系统。系统建成后，将会纳入包括公安专网和外部网两类监控资源，从而形成一个覆盖城市各个主要公共区域的“天罗地网”。

    在这样一个大规模的监控联网系统中，公安专网与外网间的互联互通和监控资源的统一共享将显得非常重要。因此，网闸穿越在“平安城市”的项目规划初期就应予以重视。科达网络视频监控系统能够适应各种复杂的网络架构，轻松实现网闸的穿越，在“平安城市”建设中将会发挥不可替代的作用。