NGN承载网网络安全.doc

NGN承载网网络安全 摘要：ngn承载网的安全性与可靠性，ngn部件设备自身安全规格以及ngn承载网的网络 安全等内容。 关键词：ngn、网络、安全 中图分类号：f626.5 文献标识码：a文章编号：2095-2104（2012） 0引言： ngn(next generation network)称为下一代网络，具有综合、开放的网络架构，主要由业务管理和应用平面、 业务控制平面、核心交换平面、边缘接入平面四个不同的功能平面组成，在统一的分组 网络上提供话音、数据和多媒体等业务。其中核心交换平面由高速分组交换网络（ip/a tm）组成，正如internet一样，ngn网络所依托的数据网的开放性和公用性，不可避免地 会受到黑客或病毒程序的攻击或干扰，因此ngn也面临着安全问题，如用户仿冒、盗打、 破坏服务、抢占资源等。为此ngn承载网必须从接入层保证用户的隔离、可管理等基本措 施，防范常见的各种攻击手段。 1 ngn部件设备自身安全规格 软交换、媒体网关、业务服务器、iad设备等ngn部件在ip网中的地位类似于网络主机设 备，因此要求这些设备应具备数据网中主机设备所具有的安全规格，如用户登录管理、 安全登录方式（ssh）、网管安全、安全日志等。其承载网必须与互联网进行物理或逻辑 隔离，与互联网的互通必须通过安全设备（如防火墙）实现，不能直接接入。ngn用户或 设备的接入需要经过身份认证才可以接入，避免非法用户和非法报文进入ngn网络。只有 当用户的身份得到确认，才可以进行事后审计与追踪，有效地防止了用户侧的网络攻击 行为。通过以上措施可以基本消除来自其他网络和ngn用户方面的安全隐患，但还要采取 安全手段来保证ngn内部网络的安全。软交换、网关，服务器等ngn核心网络设备在ip网 中的地位类似于网络主机设备，因此要求这些设备应具备数据网中主机设备所具备的安 全规格，可以应用防火墙、入侵检测、流量控制、安全日志与审计等技术实现对ngn核心 网络设备的安全防护。对于一些安全级别要求特别高的用户还可以采用加密技术对信令 和数据进行加密保护。网管系统对各网元设备设置不同级别的治理员权限，使用户不能 越级对设备进行操作。 考虑到ngn承载网承载的都是电信级别的业务，必须对网络的可靠性进行充分的考虑。单 台数据设备支持要害部件及单板的备份以及多个设备之间负载分担及冗余备份。 单板的备份的目的是当主用单板出现故障的时候，备用单板能迅速接管业务，继续处理 过程，从而使用户没有感觉或无明显感觉，从而减少系统故障对服务的影响程度。因此 单板备份的主要环节之一是倒换，即业务从主处理单板切换到备用处理单板处理的过程 。 物理端口和网络端口备份，在ngn设备中，随着设备集成度的提高和atm/ip技术的大量运 用，物理端口和网络端口的容量和密度得到很大成大的提高，因此除了通常设备所使用 的处理机单板备份以外，目前又提出了对物理端口和网络端口的备份问题。 物理端口和网络端口的备份的方案可以有以下几种： 第一种方案是：内部双总线备份。 内部双总线备份 如图内部双总线备份所示，线路接口模块进行一个交叉处理，一般情况下使用主接口板 处理电路来进行处理；在故障状态时候使用备用接口板电路来进行处理。此种备份方式 的好处是可以节省成本和空间；缺点是如果线路接口模块出现故障，则安全性得不到保 证。 第二种方案是：三块板备份方案。 接口物理备份 如图接口物理备份所示，最左边一块单板为e1/stm- 1/ip/atm接口板，上面只有接口电路，并且可以有双路连接到主备两块单板上，主要的 处理器件如stm- 1的光模块等在主备两块单板里面，有一块坏掉了，可以倒换过来，传输不会中断。如果 系统的接口在母板上，还可以省掉一块接口单板，只需要前面两块单板就可以处理；但 是如果系统是前插线或者接口在单板上，则必须使用三块板才能够完成了。 前两种方案主要针对物理端口备份，第三种方案是：ip接口板的端口备份，主要针对网 络端口的备份。 ip接口板的端口备份 如图ip接口板的端口备份所示，下方的ip接口板1和ip接口板2为主备用的接口板，两块 单板上有对应的主备用网口（每块单板上的网口数量可以为1个，也可以为多个），这两 个网口有相同的ip地址和不同的mac地址。向上分别连接到两个lan switch上，再连接到两个路由器上。由于在以太网承载ip报文时，ip协议通过ip地址来 标志ip报文的源和目的地址，以太网帧通过mac地址来标志以太网帧的源和目的地址。当 主机通过以太网发送ip报文时，需要根据下一跳ip地址获得对端设备的mac地址，即所谓 的arp解析过程。如果本机存在目的ip地址和mac地址的对应表项，直接使用该arp表项实 现，否则需要发送arp请求报文，在接收到arp响应报文后更新本端