IP城域网网络安全研究

　　作者: 佚名, 　出处:全球IP通信联盟,　责任编辑: 张宾,　 2008-08-04 03:10

　　对IP城域网的需求已经从简单的高带宽，转向可提供高质量、多业务、高可靠性不间断通信的方向发展。因此，作为网络质量的基础之一，网络安全问题已越来越受到运营商的重视。

　　经过了数年市场变迁，当前我国IP城域网又面临着一个新的发展阶段。对IP城域网的需求已经从简单的高带宽，转向可提供高质量、多业务、高可靠性不间断通信的方向发展。因此，作为网络质量的基础之一，网络安全问题已越来越受到运营商的重视。同时，在一些特殊的行业应用中，例如银行、公安、支付、企业互联互通等，IP网络的安全性、保密性又被作为一种对实际业务的要求而提出，也促进了IP城域网网络安全技术的发展。

　　城域网网络架构与安全现状

　　IP城域网的网络架构一般分为三个层次：网络核心层、网络汇聚层、宽带接入层，网络的各个层次承担了不同的功能。根据城域网不同网络层次的不同功能，每个层次都有不同的特点，面临不同的安全问题。核心层网络主要面临的安全问题是路由的安全及核心层设备自身受攻击的问题;汇聚层网络主要面临的安全问题是路由的安全、各种异常流量的抑制、用户业务的安全，以及用户访问的控制;接入层网络主要由一些二层接入设备构成，其主要面临的安全问题是一些基于二层协议的用户攻击行为和广播风暴的抑制等。

　　从业务方面来看，城域网所承载的公众业务主要有三类：首先是LAN用户的接入业务，包括一些企业的LAN接入;其次是通过PPPoE方式接入的宽带上网业务;最后是一些基于DHCP Option82方式的新兴业务，例如IPTV业务。这些业务对安全方面的要求各不相同，LAN业务主要的安全问题是用户隔离和用户接入控制;PPPoE宽带上网主要是用户账号盗用的问题;IPTV业务的主要问题是DHCP用户认证方式的安全性。

　　城域网网络安全架构

　　IP城域网网络安全模型

　　对于宽带IP网络运营商而言，宽带城域网包括基础承载网络和运营支撑平台两个部分。城域承载网是城域网业务接入、汇聚和交换的物理核心网，它由核心交换层、边缘汇聚层、综合接入层构成。运营支撑平台由业务支撑平台、网管平台、认证计费平台等组成。

　　针对IP城域网承载网络部分面临的安全问题的特点，对于不同的网络层次我们采用不同的安全策略，来控制网络中的安全风险。

　　对于城域网运营支撑平台，我们将采用分区域的安全模型，将支撑平台划分成三个区域：信任域、非信任域和隔离区域。信任域是宽带运营商的基础网络，通常采用防火墙等设备与电信业务承载网隔离，包括网管平台、智能业务平台、认证平台等设备;隔离区域是信任域和非信任域之间进行数据交互的平台，包括电信运营商提供的各种业务平台，如Web服务平台、FTP服务器、用户查询平台、Mail服务器等;非信任域是运营商面对客户的基础网络，它直接提供用户的接入和业务，同时也是Internet网络的一部分，包括基础用户接入、数据交换、媒体网关等设备，是运营商不能完全控制的网络。非信任域的基础网络是信息传输的基础，在城域网中起着至关重要的作用，作为安全模型中的非信任域，需要重点考虑。

　　IP城域网核心层安全

　　从核心层网络的安全架构来说，由于其担负网络核心承载的功能，因此，必须采用全互联的网络结构，充分保证网络的连通性，提供必须的网络冗余功能。

　　同时，核心层设备还需要采用以下一些安全策略，保障网络的安全、可靠，包括：

　　◆采用无阻塞交换的路由器和交换机设备;

　　◆采用逐包转发、分步处理、Wred等QoS技术，避免流Cache模型造成系统崩溃;

　　节点关键设备冗余备份，系统出现软硬件故障时，可迅速切换到备用模块;

　　◆在重要的核心节点，采用一些双IOS系统的网络设备，在设备主用软件系统产生故障时，可以自动倒换到备用的软件系统上，保证设备转发不中断

　　◆网络设备采用多极安全密码体系，限制非法设备和用户登录;

　　◆实现路由认证，保证路由协议安全，支持SNMPV3，安全网管;茺采用ACL策略，过滤流向引擎板卡的异常流量，保证设备核心的安全;

　　◆采用如Netflow等流量监控手段，监测异常流量。