通讯隔离司SIIM业务系统邮件实施方案.docVIP

国家经贸委通讯隔离司 SIIM业务系统 内外网物理隔离下的 邮件系统实施方案 北京春笛信息技术有限公司 二○○二年六月九日  概述 在内外网隔离的环境下实现内外部邮件服务器的互通互发方案有多种，如两台服务器之间通过UUCP点对点通讯、通过服务器串口PPP通讯、通过双网卡堡垒主机软开关方式等。其最根本的要求在于系统运行安全、可靠、实用性强，另外还要自动化程度高，减少人工干预。 考察SIIM业务系统现有的网络环境，通过堡垒主机+内外部邮件缓存服务器构成邮件系统隔离区，不失为一种好办法。堡垒主机通过两块网卡分别与内网、外网相连，关闭堡垒主机操作系统内核（Linux Kernel）的IP转发功能（IP Forwarding），使内外网通讯从网络层彻底断开。内外网邮件数据由应用程序通过堡垒主机的文件系统实现交换。同时，通过定时器，定时开关内部网卡（eth1）和外部网卡（eth0）构成网络软开关，从应用层保障内网的绝对安全。另外，通过内外部邮件缓存服务器构成邮件缓冲区，保证数据的万无一失。 堡垒主机模式不需要改动现有的网络配置，只需要在现有的一台IBM PCServer主机上装上双网卡即可实现硬件配置，邮件数据交换速度快（依赖于网络数据传输速度），基本上可以满足目前和未来3-5年内的使用要求。 网络架构 基本架构如下图：（基本系统环境为：Redhat7.3+qmail） 隔离区 B C G F 无线链路 H A’ D E 详细配置说明 网络配置 由三台PCServer构成隔离区，包括一台堡垒主机和2台邮件缓存服务器，假定ip地址配置如下上图所示。 各服务器功能 堡垒主机：通过两块网卡分别联结两个网络，通过文件系统实现数据交换。 外网 内网 邮件缓存服务器：内外部邮件暂存后再定时转发 外部邮件服务器：接收外部邮件，转发内部邮件 内部邮件服务器：接收内部邮件，转发外部邮件 邮件路由路径 内部邮件服务器发送邮件流程 Yes No 外部邮件服务器转发外部邮件流程 No Yes No Yes 实现方式 邮件存储转发模式(接收邮件) 将所有属于 域的邮件转发到特定目录，定时调用转发程序转发到下一服务器。 转发程序：Send-local-mail（由春笛公司提供，基于C,支持smtp、qmtp协议） 邮件路由模式（外发邮件） 将所有不属于 域的邮件转发到下一服务器（指定路由路径）。 转发程序：Send-remote-mail（由春笛公司提供，基于C,支持smtp、qmtp协议） 各服务器系统配置文件 00: # cat /var/qmail/control/virtualdomains :intramail # cat /etc/crontab 1-59 * * * * root /root/send-local-mail 0 * * * * root /root/connect-internet 30 * * * * root /root/connect-intranet 堡垒机软开关： connect-internet: ifconfig eth0 down; ifconfig eth1 up connect-intranet: ifconfig eth0 up; ifconfig eth1 down # /etc/tcp.smtp :allow,RELAYCLIENT=”” 192.168.0.:allow,RELAYCLIENT=”” 2: #cat /var/qmail/control/virtualdomains :extramail :: # cat /etc/crontab 0-59 * * * * root /ro