电子政务之门户建设

方欣公司为那些面临着有很多的分布在不同地方的复杂业务数据的企业提供一整套的解决方案，我们的解决方案是基于ESB（Enterprise Service Bus）架构的，通过定义一个虚拟的服务总线，将各种异构数据整合进来，并且按照业界标准定义这些数据的对外接口，降低外部系统访问信息数据的复杂性，并可重用或者组合基础服务来快速响应业务流程变化，节省运营成本，提高ROI（Return On Investment，投资回报）。

方欣公司的解决方案已消除或减少了因异构数据分布在不同地方的所带来的问题，主要是以下几个方面：

在信息集成中，超过70%的人力是消耗在如何正确地访问到系统中的数据；
业务数据是存储在各种各样的系统之中的，包括文件系统、数据库等等；
像客户资料这样的业务数据通常是存储在多个系统或分公司当中的；
分散的数据资源导致要构建一个单一的业务对象数据必须访问多个业务系统；
能不能有效地访问到需要的数据是提高企业运营的效率的瓶颈；

在企业中，“黑盒”的存在使得业务流程改变很难。（“黑盒”是指数据转换和应用是用代码写死在系统中，或者指数据处理流程隐藏在业务系统中）。

作为一个基于ESB的解决方案，方欣的产品套件给用户提供了一个快速实时访问企业中各种数据资源的能力，这些数据资源也可以称为业务信息资源，一个业务信息资源代表一个着一个企业内的业务数据实体，比如文件，数据库，或者是一些数据的集合，如客户，订单，发票等等。

下图展现了方欣产品的总体架构：

技术架构图

从图中所示，我们产品是基于ESB的理念，在内部，它提供一个容器（或者成为服务总线）处理接入的各种数据，这些数据由交换平台自身提供的组件接入，然后将这些数据转换成内部统一的消息对象，经过内部逻辑处理后，再转换成适合业务系统使用的数据。产品核心引擎在与不同的后台系统或数据源做处理，减少前端用户的接口复杂程度。

6.2 统一数据展现平台

基于Portal 平台的政府信息集成框架，试图以最小的代价在企业应用系统的构架层次上，为政府提供了一个跨越多种分散的、内部和外部的信息处理过程的集成纽带，把这些信息整合到一起。

Foresee iPSF(Intelligence Portal Service Framework)门户平台是方欣科技自主研发的基于SOA的信息门户平台，提供一套基于浏览器的门户管理工具，采用图形化工具来指定Portlet在页面内的缺省布局以及门户内的页面次序等，通过门户功能模块设定的信息采用XML格式并部署到门户服务器。门户一旦部署以后，就能够利用基于浏览器的管理工具对它进行管理和定制。

通过门户管理工具的功能菜单，用户可以进行新增站点、复制模板、粘贴模板、站点风格修改、站点框架修改、内容框架修改、收展外框、预览站点、保存、取消等动作。

Foresee Portal基于标准、利用控件体系结构进行应用开发。这种开发集J2EE、门户等开发为一体化。即在一个IDE中完成所有的开发。

Foresee Portal Server简单易用、功能强大，为web应用开发者提高web应用系统的开发效率，并降低采购和使用管理成本。具有方便应用系统集成，允许客户以最小代价将开发完成的web应用系统转变为portlet组件以便插入门户服务器。

主要功能特性：

方欣Portal平台主要是为网站后台提供管理和维护的工具，实现网站页面、栏目的布局、外观显示和样式可根据需要灵活的模板定制。

页面版式设计提供“所见即所得”的图形化方式实现，支持拖放、粘贴复制等操作。页面管理、栏目管理和模板管理要清晰，页面管理实现自定义页面布局和栏目配置，包括首页、次页、三级、四级页面都可以在后台定制和管理；栏目管理实现灵活方便的定义栏目模板，使页面风格多元化，轻松方便的定义页面栏目的名称，位置顺序，无需代码开发即可编辑、插入、修改和删除一般页面元素；模板管理主要实现上传下载的功能，并可以在线进行鼠标拖放、增加、删除、修改，为不同页面选择相同或不同模板。网站的变更或升级，当网站需要改版时，原有的网站结构仍可以保留，按照新的网站策划，在根目录下创建新的栏目结构。

维护工具提供个性化的、结构化的信息访问和应用程序的无缝集成功能，提供基于web的可视化桌面工作环境。Portal平台通过后台构建维护工具可对一些保障系统正常运行的基本信息和一些个性化的要求进行灵活配置。采用后台数据维护方式即可实现网页信息的更新发布，也就是网页可从后台数据库中提取所需的信息内容，动态生成页面，并且可定制从后台数据库提取的字段、处理逻辑、显示方式及可查询字段等。

方欣Portal平台具有以下功能特性：

Ø 支持业内标准的门户平台框架（JSR168/JSR268）；

Ø 个性化服务针对不同的用户提供不同的服务内容与接口；

Ø 支持智能建站，提供站点复制、粘贴等功能，能创建自定义的门户布局，并能对框架、版式、布局、素材进行灵活调整；支持多级站点的管理，各级子站资助管理本级站点的用户、权限、模板和信息，上级站点可控制下级站点的权限和功能；

Ø 支持跨平台运行，如Windows, Linux, Unix等；

Ø 页面管理支持站点首页、次页、三级、四级的页面都是通过Portal进行定制和管理；

Ø 栏目管理支持栏目的复制、粘贴、剪切等功能，栏目复制时，栏目下的子栏目能一起被复制；

Ø 模板管理支持在线进行鼠标拖放、增加、删除、修改Portlet的能力，版式也可以个性化修改和自定义模版；Portlet具有样式、外观等个性化定制能力，所见即所得的模板编辑功能；

Ø 多站点与虚拟门户支持。支持在同一平台上创建和管理多个虚拟门户，每个虚拟门户站点有自己的URL、外观、页面、用户和用户组、以及搜索索引等，每个虚拟门户网站都由各自的管理员进行管理。对于现有的门户系统，提供简便快捷的方式来进行扩充创建更多个虚拟门户；

Ø 预置Portlets。通过产品包及网站提供大量预置的实现各种功能的Portlets组件，实现快速配置及高效益时间比；

Ø 能按照组织机构进行分级权限管理，系统中的权限基于角色定义、分配与管理，支持与 CA的衔接。包括用户管理、组织管理、角色管理和权限数据的管理；

Ø 方便易用的Portlets构建工具。提供方便快速的Portlets构建工具，能够给予向导式的开发方式，快速开发服务组件，并能通过重用现有组件的方式，基于后端系统快速建立起符合SOA架构的聚合应用；

Ø 支持异构的门户群集（门户群集中的各个节点，可以分别安装到不同的操作系统平台上）门户管理；

Ø 提供统一的基于WEB的管理工具。可以进行页面、页面风格、页面布局管理。支持远程portlet安装、卸载、部署。支持应用联机部署。管理过程提供详细的日志记录；

Ø 提供审计日志，监控使用人员，管理人员对门户的各种操作。同时提供在线性能分析工具；

Ø 支持快速建站工具。通过向导即可以创建站点。提供丰富的内外网站点模板；

Ø 支持SSL协议；

Ø 支持不同粒度的访问控制，如门户级、页面级、portlet级等。

Ø 支持动态概要表。这种机制帮助开发人员快速、容易地从一份基础代码中创建多样的高度定制的应用而不需要额外的代码更改、重新部署文件或者发布HTML和JSP。开发人员只需要为构建器申请不同的概要表来产生多变的应用以适应变化的外观、业务逻辑、数据源和工作流。

Ø 提供Porlet性能分析功能。

支持短信、邮件等多种渠道提醒功能接口。

6.3 门户应用服务器群集

就像冗余部件可以使你免于硬件故障一样，群集技术则可以使你免于整个系统的瘫痪以及操作系统和应用层次的故障。一台服务器集群包含多台拥有共享数据存储空间的服务器，各服务器之间通过内部局域网进行互相连接；当其中一台服务器发生故障时，它所运行的应用程序将与之相连的服务器自动接管；

也正因为多台服务器互相连接，通过负载均衡技术，也可大大提高了系统的性能。

6.4 数据库

政府门户的数据库一般采用Oracle产品。一方面是政府采购方面的限制，另一方面Oralce产品在功能、平台兼容性、性能、安全等方面均有出色的表现。

目前Oralce 10g在政府单位中广泛应用。

6.5 防火墙

所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Interne 防火墙与Intranet之间建立起一个安全网关（Security Gateway），从而保护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成，

防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。该计算机流入流出的所有网络通信和数据包均要经过此防火墙。

在网络中，所谓“防火墙”，是指一种将内部网和公众访问网(如Internet)分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。换句话说，如果不通过防火墙，公司内部的人就无法访问Internet，Internet上的人也无法和公司内部的人进行通信。

防火墙的作用可概括如下：

（1）. 防火墙能强化安全策略。

（2）. 防火墙能有效地记录Internet上的活动。

（3）. 防火墙限制暴露用户点。防火墙能够用来隔开网络中一个网段与另一个网段。这样，能够防止影响一个网段的问题通过整个网络传播。

（4）. 防火墙是一个安全策略的检查站。所有进出的信息都必须通过防火墙，防火墙便成为安全问题的检查点，使可疑的访问被拒绝于门外。

注：防火墙产品很多，客户可根据实际需要进行购买。如：天融信防火墙。

6.6 防篡改

目前，网站安全建设主要是由防火墙、入侵检测/漏洞扫描构成的两层防护体系。该体系对于网站攻击防范具有局限性，以下从技术方面进行阐述：

（1）从设计思想的角度分析，防火墙、入侵检测/漏洞扫描等安全类产品都需要依赖于特定的规则库来识别威胁，由于规则的形成或升级必然落后于攻击手段的变更，这在一定程度上为网站攻击提供了时间的空隙，从目前发生的大多数网站/网页被篡改的案例分析，主要是借助这个时间差进行的。因此，基于特征库的进行安全防范的产品或系统是无法确保网站内容安全的。

（2）从技术实现的角度分析，防火墙、入侵检测/漏洞扫描等安全类产品主要是针对链路层、网络层信息进行威胁识别，然而，从近几年网站篡改的大量案例来看，攻击过程所包含的信息内容在链路层、网络层都是合法的，问题其实主要出现在应用层面，因此传统的安全防护体系对此类攻击的防范效果不甚理想。

网站安全形势严峻，如何应对网站安全威胁，构建一个完善的网站安全体系成为了近些年内容安全领域的重要课题之一。在这样的背景下，网页防篡改系统应运而生，此类系统解决了传统的两层防护体系中存在的安全漏洞，采用“容灾为主、预防为辅”的设计思想，从应用层面解决网站内容安全的问题。

此类系统主要的防护功能不依赖于特征库，采用“强认证”机制确保内容正确性。因此，该系统不受网站攻击手段变化带来的负面影响，是一款充分体现“以不变应万变”设计思想的安全类软件。

此类系统在技术实现方面也完全不同于防火墙、入侵检测等产品，其主要关注应用层信息的合法性。该系统以嵌入式过滤技术为核心，辅以其他预防性保护技术，从而形成针对网站文件的多层次纵深防御体系。

6.6.1 InfoGuard防纂改解决方案

InforGuard网页防篡改系统（以下简称InforGuard）是目前国内唯一采用四重防护技术、既完全保护网站不发送被篡改的页面内容又保证网站内无被篡改页面滞留的Web页面保护软件。InforGuard的四重防护技术使其在防篡改理念、安全性及性能等诸多方面远远领先于同类产品。

InforGuard的主要功能是实时监控用户的Web站点，洞察黑客、病毒等对网站的网页、电子文档、图片等文件进行破坏或非法修改。一旦文件遭到破坏，系统会立即恢复被破坏的文件，并向管理人员报警。它支持Windows、Linux和Solaris、HP-UX、AIX等多种Unix操作系统，支持IIS、Apache、Weblogic、WebSphere等主流的Web服务器软件。

6.6.2 InfoGuard防纂改功能

类别	功能点	描述
监控与恢复功能	支持Web核心内嵌机制	产品使用核心内嵌技术，处理网络异常、断线恢复等情况，确保每个对外发送网页的正确性
支持事件触发机制	产品使用事件触发，实时恢复被非法篡改的文件
支持数字水印检测机制	产品对网页的合法性采用数字水印检测机制
网页发送时比较网页和数字水印，确保网页文件合法性	产品采用了核心内嵌技术，支持网页发送时的水印比较，确保用户在客户端看到网页的真实性和合法性
支持多Web/应用服务器的并发验证	产品支持多Web/应用服务器的并发验证，支持多虚拟主机及虚拟目录。
支持所有类型文件的监控与恢复	能够有效保护任何类型的文件，支持所有类型文件的自动恢复
支持所有操作事件的监控与恢复，包括增加/删除/修改/重命名	产品监控所有对保护目录的操作事件，包括增加/删除/修改/重命名等操作并能够实时恢复。
检测与恢复可以不依赖于网站请求	产品确保一旦文件被篡改能够在第一时间迅速恢复，且可以不依赖于网页请求
监控恢复具备实时特性，不存在非法文件存活期	文件的监控及实时恢复操作均在毫秒内完成，实时恢复被篡改的页面，不存在非法文件存活期
支持断线/连线状态下的自动监控	支持断线状态下的自动监控与保护，确保网站内没有非法文件存留
支持文件驱动保护	产品的实时阻断技术可以预先禁止非法程序对备份目录的添加/删除/修改/更名/属性变更等操作
支持程序自我保护	产品的自我保护功能可以预先禁止非法程序对备份目录及产品安装目录的添加/删除/修改/更名/属性变更等操作
支持断线状态下部分非法行为的恢复操作	产品在断线状态下的自动监控与保护，确保网站内没有非法文件存留，同时可以恢复部分非法行为网页的操作，包括新建/重命名等非法操作
支持连线状态下所有非法行为的恢复操作	支持断线状态下的自动监控与保护，确保网站内没有非法文件存留，实时恢复被非法篡改的网页
可以按不同容器选择待检测的网页	产品可以按不同容器选择待检测的网页，灵活制定相应的监控策略
支持完善的监控策略、恢复策略定制，包括文件过滤、目录过滤、类型过滤、模糊过滤等	产品的监控策略、恢复策略可以灵活定制，包括文件过滤、目录过滤、类型过滤、模糊过滤等
支持非法篡改事件的证据留存	一旦网页文件被篡改，则系统在自动恢复之前先将被篡改的文件备份起来，以供日后对攻击事件调查取证。
发发布与同步功能	支持自动/手动精确同步	产品支持自动/手动两种方式的精确同步。
支持自动/手动增量同步	产品支持自动/手动增量同步
产品支持事件触发方式的自动同步与更新	产品支持事件触发方式的自动同步与更新，可以实时更新网站文件
产品支持自动周期性扫描对比进行非法篡改文件的同步和更新	产品支持自动周期性扫描对比进行非法篡改文件的同步和更新，可以按照预先设定的扫描周期更新网站文件
产品支持手动扫描对比进行非法篡改文件的同步和更新	产品支持手动扫描对比进行非法篡改文件的同步和更新，可以按照预先设定的扫描周期扫描对比网站文件，恢复和更新网站文件
产品支持同步过滤规则可配置，包括文件过滤、目录过滤、类型过滤、模糊过滤等	产品支持同步过滤规则可配置，包括文件过滤、目录过滤、类型过滤、模糊过滤等
自动执行发布端向多台网站服务器的文件同步	产品支持集群、多机热备，自动执行多个Web/应用服务器的同步
支持多虚拟主机/目录的并发同步	InforGuard网页防篡改系统对并发监控网站数量没有限制。InforGuard支持多虚拟主机，可自动实时监控多个网站或文件系统；支持多虚拟目录，可自动实时监控多个文件目录。通过这两项功能，从而达到并发实时监控与效率的完美结合。
支持内容管理系统CMS	产品支持CMS等内容管理系统
支持文件/目录的增加/删除/修改/重命名	产品支持文件/目录的增加/删除/修改/重命名
支持网络异常的自动恢复	产品支持网络异常的自动恢复
支持发布失败的自动重试	产品支持发布失败的自动重试
支持跨防火墙、网闸等安全或隔离设备的通信	产品支持跨防火墙、网闸等安全或隔离设备的通信，可以通过相关策略的配置实现
报报警功能	支持报警级别设置，并根据不同设置并进行声光告警，支持故障恢复后告警状态自动消除或者人工手动消除告警	产品支持各种报警方式，报警级别可以根据需要灵活设置，支持故障恢复后告警状态自动消除或者人工手动消除告警
支持常规报警模式（声音、电子邮件）	提供监控日志、页面恢复日志、访问控制日志等多样化的日志记录，提供日志的导入，导出，下载，查询，审计等功能。
支持两种高级报警模式（手机短信、电话铃声）	产品支持手机短信、电话铃声等报警模式
支持网站集中拓扑监控，并支持多种展示方式（全部、分级、分组等）	支持网站集中拓扑监控，并支持多种展示方式包括全部、分级、分组等
支持服务（WEB和自身保护进程）停止告警	产品支持服务停止告警，包括web和自身保护进程
审审计功能	支持网站更新维护的日志查询、统计、保存等功能	产品支持日志查询（按网站查询、日期查询、复合查询等）；支持日志统计（图形显示、列表显示等）；产品支持日志保存（excel格式）。
支持系统自身管理维护和告警日志的查询、统计、保存等功能	产品系统自身管理维护和告警日志查询（按网站查询、日期查询、复合查询等）；支持系统自身管理维护和告警日志统计（图形显示、列表显示等）；支持系统自身管理维护和告警日志保存（excel格式）。。
具备图形、列表等多种展示方式	产品日志分析具备图形、列表等多种展示方式。
支持多种条件的复合查询、统计	产品支持多种组合方式的日志查询，包括按网站查询、日期查询、复合查询等
备备份功能	产品支持在远程手动对监控网站进行全部或增量备份	产品支持在远程手动对监控网站进行全部或增量备份
产品支持运行过程中的自动化增量备份，即在发布的同时进行备份	产品支持运行过程中的自动化增量备份，即在发布的同时进行备份
产品支持多级增量备份，包括所有网站备份、单一网站备份、特定目录备份、特定文件备份等	产品支持多级增量备份，包括所有网站备份、单一网站备份、特定目录备份、特定文件备份等
产品支持手动备份的规则设置，包括文件过滤、目录过滤、类型过滤、模糊过滤、时间范围过滤、文件长度范围过滤等	产品支持手动备份的规则设置，包括文件过滤、目录过滤、类型过滤、模糊过滤、时间范围过滤、文件长度范围过滤等
产品支持自动备份的规则设置，包括文件过滤、目录过滤、类型过滤、模糊过滤等	产品支持自动备份的规则设置，包括文件过滤、目录过滤、类型过滤、模糊过滤等

6.6.3 显著特点

6.6.3.1 四重保护，纵深防御

实时阻断：阻断所有非法进程对受保护文件的写操作，将篡改直接拒之于门外。

事件触发：实时发现受保护文件的任何变更，并依据判断结果触发相应的后续保护性处理。

核心内嵌：依据数字指纹技术，验证所有对外发布文件的合法性，确保无法浏览到被篡改网页。

防SQL注入：屏蔽网站恶意扫描，有效地抵御针对网站数据库资源的注入式攻击。

图20 四重防护示意图

6.6.3.2 环境普适，全面支持

随着网站应用的深入，基于安全性、稳定性等方面的考虑，越来越多的高端网站在保留原有windows环境的基础上，新系统逐步向linux/unix平台迁移。因此，很多网站目前往往同时具备了windows、linux、unix等多种平台环境，除此之外，采用的Web/应用服务器软件、发布软件更是种类繁多。在这种情况下，防篡改产品的环境兼容性就显得格外重要，InforGuard网页防篡改系统是目前国内同类产品中支持环境最全面、兼容性最完善的一款产品。

支持所有主流操作系统，包括windows、linux、unix等；

图21 产品支持操作系统环境

支持所有主流的Web/应用服务器软件，包括IIS、Apache、IBM Http Server、iPlanet、WebSphere、WebLogic、SunOne、Oracle IAS 、Resin、Tomcat、JBoss、InforSuite AS、TongWeb、Apusic等。

图22 产品支持Web/应用服务器软件

支持诸多厂商的CMS发布系统，如TRS、方正翔宇、TurboCMS、PowerEasy CMS、大汉、南华中天、网达、颖源、ActiveContent、新锐开元KYCMS、风讯、FesendCMS、GPowerCMS、天创等。

6.6.3.3 分布部署，集中监管

随着网站应用的不断深入，网站建设及运维有了新的特点：

（1）. 越来越多的网站呈现了分布部署的局面，即网站由多个子网站构成，且各子网站部署在跨互联网的多个网络节点上。为了保证网站维护效率，各子网站的发布更新服务也呈现分布部署的状况，但是管理上却希望能够集中进行，以降低管理成本。

（2）. 某些超大规模网站运营管理行业，如电信、网通等，维护着大量的网站设备，且有可能分布在多个IDC机房。考虑到运维效率，用户往往需要进行统一的管理。

在充分研究网站运维发展趋势的基础上，InforGuard前瞻性地提出了分布部署、远程集中监管的概念。首先，在分布于互联网上的区域单位内部署防篡改系统，支持本地化的网站监控及管理维护能力。其次，还支持在上级中心部署监管平台SP，通过该平台以B/S方式对部署于互联网上各个区域单位的防篡改系统进行统一的监控管理。

图23 集中管理示意图

6.6.3.4 产品遵循规范及标准

InforGuard遵循的相关工业标准、规范如下：

网络相关协议及标准

l TCP/IP protocol family

l HTTP 1.0/1.1

l SSL 3.0

l CORBA

JEE™相关规范

InforGuard全面遵循了JEE5.0的规范，实现的规范包括：

l Enterprise Java Beans3.0

l Java Servlet 2.5

l JavaServer Pages 2.1

l JSP Debugging1.0

l JavaServer Pages Standard Tag Library1.2

l Java Naming and Directory Interface 1.2 Specification

l Java Transaction API (JTA)1.1

l Java Transaction Service(JTS) 1.0

l Java Authorization Contract for Containers (JACC)1.1

l Java Authentication and Authorization Service (JAAS) 1.0

l JavaMail 1.4

l JDBC 3.0 API (JDBC specification)

l J2EE Connector Architecture 1.5

l J2EE Application Deployment

l J2EE Management

l Java Management Extensions1.2

l Java Business Integration(JBI) 1.0 Specification

Web Services相关规范

InforGuard实现和支持以下Web Services相关规范：

l Implementing Enterprise Web Services

l Java API for XML-Based Web Services (JAX-WS) 2.0

l Java API for XML-Based RPC (JAX-RPC) 1.1

l Java Architecture for XML Binding (JAXB) 2.0

l Simple Object Access Protocol (SOAP) 1.1

l Simple Object Access Protocol (SOAP) 1.2

l SOAP with Attachments API for Java (SAAJ)

l WSDL1.1

l Streaming API for XML

l Web Services Metadata for the Java Platform

XML相关规范

l XML1.0

l XML Namespaces 1.0

l SAX 2.0 API

l DOM Level 2 Core Recommendation

l XSL 1.0

l XML Schema Part 1: Structures Second Edition

XML Schema Part 2: Datatypes Second Edition

6.7 VPN建设

虚拟专用网络（Virtual Private Network ，简称VPN)指的是在公用网络上建立专用网络的技术。其之所以称为虚拟网，主要是因为整个VPN网络的任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是架构在公用网络服务商所提供的网络平台，如Internet、ATM(异步传输模式〉、Frame Relay （帧中继）等之上的逻辑网络，用户数据在逻辑链路中传输。它涵盖了跨共享网络或公共网络的封装、加密和身份验证链接的专用网络的扩展。VPN主要采用了彩隧道技术、加解密技术、密钥管理技术和使用者与设备身份认证技术。

VPN属于远程访问技术，简单地说就是利用公网链路架设私有网络。例如公司员工出差到外地，他想访问企业内网的服务器资源，这种访问就属于远程访问。怎么才能让外地员工访问到内网资源呢?VPN的解决方法是在内网中架设一台VPN服务器，VPN服务器有两块网卡，一块连接内网，一块连接公网。外地员工在当地连上互联网后，通过互联网找到VPN服务器，然后利用VPN服务器作为跳板进入企业内网。为了保证数据安全，VPN服务器和客户机之间的通讯数据都进行了加密处理。有了数据加密，就可以认为数据是在一条专用的数据链路上进行安全传输，就如同专门架设了一个专用网络一样。但实际上VPN使用的是互联网上的公用链路，因此只能称为虚拟专用网。即：VPN实质上就是利用加密技术在公网上封装出一个数据通讯隧道。有了VPN技术，用户无论是在外地出差还是在家中办公，只要能上互联网就能利用VPN非常方便地访问内网资源，这就是为什么VPN在企业中应用得如此广泛。

也就是说，虚拟专用网的应用可解决这些问题：

(1)使用VPN可降低成本——通过公用网来建立VPN，就可以节省大量的通信费用，而不必投入大量的人力和物力去安装和维护WAN(广域网)设备和远程访问设备。

(2)传输数据安全可靠——虚拟专用网产品均采用加密及身份验证等安全技术，保证连接用户的可靠性及传输数据的安全和保密性。

(3)连接方便灵活——用户如果想与合作伙伴联网，如果没有虚拟专用网，双方的信息技术部门就必须协商如何在双方之间建立租用线路或帧中继线路，有了虚拟专用网之后，只需双方配置安全连接信息即可。

(4)完全控制——虚拟专用网使用户可以利用ISP的设施和服务，同时又完全掌握着自己网络的控制权。用户只利用ISP提供的网络资源，对于其它的安全设置、网络管理变化可由自己管理。在企业内部也可以自己建立虚拟专用网。

6.8 硬件建设

外门户建设的硬件一般根据性能需求、安全需求、数据量需求、业务需求而定。下面罗列的是外门户建设中的通用性硬件：

硬件设备	说明
防火墙	一个机房只需要配置一台防火墙即可
负载均衡器	负载均衡器一般非单一系统使用
应用服务器群	根据需要部署多台应用服务器
后台管理服务器	性能一般即可
数据库服务器	一般需要高性能
防篡改服务器	非单一系统使用，性能要求一般

7 内门户建设方案

内门户建设一般会考虑以下需求：

（1）. 单点登陆。通过内门户可以直接使用其它系统，避免使用不同系统时的复杂过程。

（2）. 数据综合查询。通过内门户直接查询综合数据，避免登陆不同系统或使用不同系统功能进行数据查询。

（3）. 统一业务办事。把其它系统的待办事项集中在内门户显示，然后可以点击链接到其它系统进行具体办理。避免登陆不同系统查看待办事项。

（4）. 页面集成。又称为“功能集成”，把其它系统的功能页面直接集成到内门户中，登陆内门户后就好像直接登陆了其它系统一样，可以直接使用其它系统的功能。

下图是内门户建设的应用视图：

7.1 单点登陆

单点登录(SSO，SingleSign-on)是一种方便用户访问多个系统的技术，用户只需在登录时进行一次注册，就可以在多个系统间自由穿梭，不必重复输入用户名和密码来确定身份。单点登录的实质就是安全上下文(SecurityContext)或凭证(Credential)在多个应用系统之间的传递或共享。当用户登录系统时，客户端软件根据用户的凭证(例如用户名和密码)为用户建立一个安全上下文，安全上下文包含用于验证用户的安全信息，系统用这个安全上下文和安全策略来判断用户是否具有访问系统资源的权限。

这样做有以下主要的优点：

（1）. 更方便——用户只需记住一个口令；

（2）. 增强了安全性——用户名和口令的组合越少，它们被盗用（获取对用户受限信息的访问权）的可能性就越小。

（3）. 易于管理——管理员只需要管理较少的口令。

我们选用开源的CAS产品来实现SS0，CAS的原理如下图：

图 CAS原理图

上图是一个最基础的 CAS 协议，下面说明单点登陆的过程：

（1）. 请求过程。CAS Client 以 Filter 方式保护 Web 应用的受保护资源，过滤从客户端过来的每一个 Web 请求，同时， CAS Client 会分析 HTTP 请求中是否包请求 Service Ticket( 上图中的 Ticket) ，如果没有，则说明该用户是没有经过认证的，于是， CAS Client 会重定向用户请求到 CAS Server

（2）. 用户认证过程。如果用户提供了正确的 Credentials ， CAS Server 会产生一个随机的 Service Ticket ，然后，缓存该 Ticket ，并且重定向用户到 CAS Client （附带刚才产生的 Service Ticket ）， Service Ticket 是不可以伪造的，CAS Client 和 CAS Server 之间完成了一个对用户的身份核实，用 Ticket 查到 Username ，因为 Ticket 是 CAS Server 产生的，因此，所以 CAS Server 的判断是毋庸置疑的。

（3）. 登陆过程。如果认证通过，则可以登陆相关的应用系统。

此功能已经集成到我公司portal平台，登陆内门户即可实现所有集成应用系统的登陆，从而实现单点登陆，下图是内门户登陆界面。

7.2 数据交换与集成

数据交换与集成是内门户应用的基础。需要与其它系统、数据中心进行数据交换，甚至把数据集成进行梳理，才能进行应用。

具体介绍可参考：6.1数据交换与集成

7.3 统一数据展现平台

具体参见：6.2统一数据展现平台

7.4 统一查询

内门户为方便用户办公、查询所需要数据，会提供统一的查询界面。这样，用户不需要使用其它系统，直接在内门户中即可查询数据。

统一查询基于数据交换与集成，应用如下图所示：

7.5 统一业务办理

这样，用户不需要进入不同的系统查看待办事项，也不需要记住办事哪些业务需要进入哪个系统。

7.6 页面集成

又称为“功能集成”，把其它系统的功能页面直接集成到内门户中，登陆内门户后就好像直接登陆了其它系统一样，可以直接使用其它系统的功能。

8 实施案例

8.1 广州市XXX局外门户建设项目

随着信息化的发展，局机关信息化办公系统越来越多，越来越复杂。也导致了信息量越来越多，越来越分散，导致对外发布信息时更困难。

公众对局机关业务办理要求越来越高。局机关需要利用信息网络技术，整合政府资源，形成跨部门的“一站式”服务，使公众可以在任何地点、任何时间均可获得政府的公共服务，形成了所谓“无时不在、无处不在”的“全天候”政府。同时，利用信息网络技术，与公众越来越广泛和深入地实现互动，使工作透明度和公众参与度空前提高。

外门户的建设视图如下：

8.2 广州市XXX内门户建设项目

项目的建设目标如下所述：

1. 交换平台开发。基于SOA架构交换体系构建一个强大的数据交换基础平台，使各部门应用系统在统一的授权管理下，实现互联互通、资源共享；实现对分散异构信息资源的无缝整合，实现信息资源的最大增值。

2. 数据及业务整合。制定统一的数据交换标准和业务数据交换规范，并在此基础上构建高效的数据交换平台。通过数据交换平台实现与网站、OA办公自动化系统、行政审批系统、数字化城市管理系统、邮件系统等信息系统的数据交换和共享。建立广州市城市管理委员会内部门户，基于数据交换平台集成业务系统待办、已办任务，为各类用户提供统一的信息访问入口和一站式的服务，实现OA系统、网站系统、行政审批系统、数字化城市管理系统、邮件系统和其他业务系统的全面集成，以统一的内门户展现各系统数据。

3. 单点登陆。基于数据交换平台建立统一用户管理认证库，实现各系统统一用户管理；实现从内部门户可以单点登录其他业务系统。

4. 接口开发。基于交换平台及数据与业务的整合，设计开发行政审批系统、OA系统、短信平台、邮件系统、数字化城市管理系统接口。如将网站上受理的主任/局长信箱、咨询建议等政民互动栏目信息通过数据交换平台转至数字化城市管理系统处理，处理完成后的结果能在网站上进行显示；通过交换系统将网站上受理的在线申请转至行政审批系统进行处理，处理完成后的结果能在网站上进行显示。

5. 内门户综合展现。搭建统一的内部门户工作平台，实现各信息系统的用户、组织和权限的统一管理；实现单点登录功能；实现各信息系统待办事项的整合；实现对在线消息、邮件、短信等沟通手段的有效整合。

下图反映的是内门户的整体结构：

posted on 2011-12-13 17:38 彭兆军阅读(2719) 评论(0) 编辑收藏举报