1.3.2 智能物联网“网”的特征

1.从网络安全的角度去认识智能物联网“网”的特征

有经验的网络安全研究人员的共识：如果一个网络应用系统的规模和影响较小，或者是经济价值与社会价值较低，黑客一般是不会关注的。但是，网络应用系统的经济价值与社会价值越高，系统中传输与存储的数据越重要（其中有很多涉及个人隐私或企业商业秘密），也就越会成为黑客“关注”的重点。互联网中网络入侵防御系统（Intrusion Detection System，IDS）经常检测到有人在用各种方法扫描网络设备与用户口令，窥探或企图渗透到网络内部，网络攻击随时可能发生。严峻的网络安全现实告诉我们，网络安全是智能物联网发展的前提。因此，我们必须站在安全的角度去研究智能物联网中“网”的特征。

实际上在互联网时代，电子政务、网络银行、智能电网等对系统安全性要求很高的应用系统的安全、可靠运行，已经为智能物联网提供了成功的范例。图1-14给出了电子政务与智能电网的网络结构。IP专网或虚拟专网（Virtual Private Network，VPN）与互联网之间实现的“物理隔离、逻辑连接”，成功地运行了各种互联网应用。

智能物联网应用正在从单一设备、单一场景的局部小系统，不断向大系统、复杂大系统方向演变。无论研究人员将复杂系统划分成多层结构，或者是划分为多个功能模块或功能域，多个层次或多个功能模块或功能域之间都必然要通过网络技术互联，并通过数据与指令交互实现智能物联网的服务功能。网络作为支撑智能物联网应用系统的信息基础设施，担负着在不同功能域之间实现数据通信，以及与外部其他系统实现资源共享和信息交互的作用。互联网成熟的网络系统架构设计方法，为智能物联网系统设计提供可借鉴的成功经验。

2.从网络结构的角度去认识智能物联网“网”的特征

无论是智能工业、智能交通、智能医疗、智能物流、智能电网应用系统，也无论网络覆盖范围是一个行业、一个地区，甚至是一个国家或全球，都可以通过分析、对比与总结找出它们存在的共性特征。我们以一个大型连锁零售企业的网络系统结构为例，分析支撑智能物联网应用系统网络结构的共性特征（如图1-15所示）。

由于智能物联网具有行业性服务的特点，因此从企业运营模式与网络安全的需要出发，一个大型连锁零售企业的网络系统必然要分成两大部分：企业内网与企业外网。

企业内网由三级网络组成：（1）连锁店或超市网络系统。（2）分公司、仓库与配送中心网络系统。（3）总公司网络系统。连锁店或超市将每天的销售、库存数据传送到区域分公司；分公司汇总传送到总公司。总公司管理整体的销售信息统计与分析、监督计划执行，并决定采购、配送、销售策略的制定与运行。作为大型连锁零售企业，必然要在总公司主干网中设置一个数据中心。数据中心用来存储与企业经营相关的数据。根据企业计算与存储需求，数据中心网络服务器可以是一台或几台企业级服务器、服务器集群，也可能是私有云。由于企业内网上传送着大量涉及商业机密与用户隐私的信息（这些数据需要绝对保密），因此企业内网不能与互联网或其他网络直接连接，也不允许任何企业之外的用户直接访问内网资源。

企业外网承担与客户、供货商以及银行的信息交互功能，并同时承担着宣传本公司商品与销售信息，接受与处理顾客的查询、定购、售后和投诉信息的功能，因此外网需要连接在互联网上，通过Web服务器、E-mail服务器与用户、相关企业网互联。出于网络安全的考虑，企业外网与企业内网之间需要设置安全管理区“DMZ”（也称为“非军事化区”），采用具有防火墙功能的代理服务器（proxy server）连接，以保护企业内网。任何外部客户或合作企业的用户不能以任何形式直接访问企业内网，所有外部用户的信息交互必须由专人或网关软件选择、处理与转换之后，才能够通过代理服务器发送给企业内网。代理服务器要起到严格的将外部网络与内部网络安全隔离的作用。

智能物流网络系统的结构具有一定的代表性。例如在智能工业中，工厂的企业网络也都是按内网与外网的结构来组建的。企业内网存储、传送与运行着两类信息：一类是企业管理信息，一类是产品制造的数据与过程控制信息。企业管理信息包含企业产品设计、产品制造、企业运行数据等涉及产品知识产权与商业机密的信息；产品制造过程控制系统涉及生产过程中的指令与反馈信息。

显然，企业内网必须是专用网络，或者是采用VPN技术构建的专用网络，不能与互联网或其他外部网络直接连接。VPN概念的核心是“虚拟”和“专用”。“虚拟”是指在公共传输网中，通过建立“隧道”或“虚电路”方式构建的一种“逻辑网络”；“专用”是指VPN可以为接入的网络与主机，提供安全与保证服务质量的传输服务。外部人员不允许通过任何途径直接访问企业内网。工业企业必须通过外网与合作企业、供货商、销售商、银行和客户交换信息。因此，支持智能工业应用的网络系统与大型连锁零售企业的网络系统具有共性的特征。同样，我们也可以分析出智能交通、智能医疗、智能农业、智能安防、智能家居等应用的共性特征。

图1-16描述了智能物联网“网”的特征。

理解智能物联网“网”的特征，需要考虑以下两个基本问题：

第一，IP网络与5G网络。智能物联网的网络系统由互联、互通的IP网络与5G网络组成。由于IP协议技术的成熟与广泛应用，IP协议成了组建网络公认的行业标准，这类网络也称作IP网络。另一类是5G移动通信网。5G的移动用户终端与感知/执行设备通过5G基站进入接入网，通过承载网、核心网、网关接入智能物联网中。网关起到IP网络与5G移动通信网互联、互通的作用。

第二，内网与外网。在现实应用中，无论是电子政务网、银行业务网、智能电网、智能工业、智能医疗、智能物流网、智能安防网，没有任何一个行业性物联网应用系统不是将自己的网络分为内网与外网两个部分的。例如，智能工厂的高层管理网络、制造车间生产管理网络到底层的过程控制网络，银行业务网与各分支机构的资金流通网络，电力控制中心网络与连接各输变电站的控制网络，以及医院医疗诊断、远程手术支持网络都属于内网。这里有几个基本原则必须遵守：

●凡是涉及需要保密的业务数据和控制指令只能在内网上传输。

●内部网络用户不能以任何方式私自将内网的设备连接到互联网，或在内网计算机上接入没有被授权的外设（包括U盘等存储设备）。

●互联网上的外部用户不允许用任何方法渗透到内网，非法访问内网数据与服务。智能物联网应用系统的内网必须与互联网实现物理隔离。

●外部用户如果需要访问内网，可以通过互联网发送服务请求，然后通过外网与内网连接的安全网关、代理服务器等网络安全设备，将用户请求转发到内网。

●内网将外部用户访问请求的处理结果发送到外网代理服务器，再由代理服务器通过互联网转发给外部用户，实现外网与内网的逻辑连接。

从上述的讨论中可以看出，任何一位有电子政务网、电子商务网、智能交通网络、企业网设计经验的智能物联网系统架构师，都不会将对数据安全性要求高的内网直接连接到互联网，因为任何一次来自互联网的网络攻击都有可能给智能物联网造成灾难性的后果；将企业内网与互联网直接连接也不符合国家对信息系统安全等级评测的基本要求。