锐捷3G无线VPDN解决方案.docx
- 文档编号:3955301
- 上传时间:2022-11-26
- 格式:DOCX
- 页数:8
- 大小:180.66KB
锐捷3G无线VPDN解决方案.docx
《锐捷3G无线VPDN解决方案.docx》由会员分享,可在线阅读,更多相关《锐捷3G无线VPDN解决方案.docx(8页珍藏版)》请在冰豆网上搜索。
锐捷3G无线VPDN解决方案
3G无线VPDN解决方案
锐捷网络
目 录
1、项目背景概述3
2、3G数据业务介绍3
3、3G应用设计方案6
3.1.VPDN解决方案6
3.2.无线安全措施9
3.3.IPSECVPN安全措施13
4、测试方案14
1、项目背景概述
2009年1月份国家工业与信息化部正式向移动、联通、电信三家运营商分别颁发了CDMA2000、TD-SCDMA、WCDMA三张牌照。
随着运营商对3G的投入不断增加,其业务成熟度及信号服务质量也将会不断增强。
在传统的有线模式下,满足移动式服务车、大客户上门服务、临时ATM点等环境存在通讯的困难,主要是无长期固定地点且业务量也小,租赁专线的成本过高,存在着高速无线的需求,而3G是目前最有可能满足这种应用的技术。
本项目主要研究适用于的3G解决方案。
2、3G数据业务介绍
3G最大的变化,只是在最后一公里无线连接速率上的提升,以及在无线信号部分安全性的增强。
后端的有线网,除进行必要的提速之外,其它均无实质性的变化。
3G用于企业数据通讯业务可以归结为两种:
一种是普通互联网业务;一种是无线VPDN业务(或无线DDN)。
相对应就有两种解决方案:
(1.自建VPN)
(2.运营商VPDN)
第一种,通过互联网自建VPN的方案。
网点路由器通过3G拨到普通互联网,总部出口需要准备一根到互联网线路,且分配公有地址。
网点和总部的路由器之间直接建立IPSECVPN加密隧道。
由于有些运营商为3G分配私有地址,运营商内部要经过NAT,所有需要采用IPSECVPN穿越NAT的机制。
第二种,利用运营商提供的VPDN方案。
网点路由器通过3G拨号至运营商的LAC设备,然后LAC设备通过专线和总部出口的路由器(即LNS)建立L2TPVPN隧道。
然后网点路由器再与总部路由器,在L2TP基础之上建立IPSECVPN加密隧道。
运营商可以通过策略使网点3GSIM卡,只能拨到总部内网,而不能到互联网,这样即保证安全又可以防止员工非法使用。
运营商和总部之间可以采用专线、城域网VPN等线路,针对银行一般采用SDH/MSTP等专线更加安全。
两种方案优劣势的分析对比如下:
第一种方案网点3G和总部出口链路都连接普通互联网,安全性较差,成本较低,网点的3G和总部的链路不一定是同一家运营商组网灵活性好。
第二种方案网点的3G只能拨到总部,总部采用专线,两端都和互联网隔离,安全性高,成本较高,网点的3G必须和总部的专线隶属同一家运营商灵活性较差。
我们主要考虑3G在生产环境,如临时网点、离行ATM、大客户上门服务、柜面网点备份等,对安全性要求高,所以本文主要介绍3GVPDN设计方案及测试方案。
3、3G应用设计方案
3.1.VPDN解决方案
如上图所示,网点采用路由器+3GMODEM,运营商需要有LAC及配套的AAA服务器。
总部需要准备一台路由器(LNS),一条专线,一台AAA服务器。
LAC主要负责对3G用户的认证(并在认证的过程中区分是普通互联网用户还是企业用户),及与该用户所属企业的LNS建立隧道的作用。
网点路由器的IP地址,可由运营商动态分配,也可由LNS分配(注:
中国移动的3G,用户不能随意分配IP地址,有可能存在和其它移动用户冲突的可能,因此用户内部自行规划分配的地址段必须获得移动的确认),建议采用静态IP地址。
总部路由器的IP地址,必须是静态配置。
运营商AAA服务器中配置用户IMSI信息(IMSI是在运营商网络中唯一识别一个移动用户的号码,由15位数字组成,存于SIM卡中)、终端用户的账号和密码、对应LNS地址、VPDN隧道属性。
总部AAA服务器主要存放网点路由器建立连接时所需要的用户名和密码。
用户名的格式为XX@XX.COM.CN,其中@前面的字符串可以由用户端自行定义,@后面的字符串即域名,必须由运营商分配。
运营商AAA服务器通过域名,确认该用户的权限。
运营商AAA服务器与总部AAA服务器的用户名和密码必须一致。
工作过程如下:
1)网点路由器3G modem通过无线信号找到运营商基站并注册连接(对SIM卡认证、并协商双方加密密钥)。
2)路由器启动PPP拨号向LAC发出认证请求。
3)LAC把认证请求转至运营商LACAAA服务器。
4)AAA服务器将会回复认证结果并返回该用户所属的LNS地址、VPDN隧道属性等信息。
5)LAC向返回的LNS地址发出L2TP隧道建立请求,隧道建立成功(请求建立隧道的认证可选)。
6)LNS对网点路由器的用户名和密码进行重新认证(LNS对网点路由器的重认证可选)。
7)L2TP隧道建立完成。
网点路由器对应的拨号接口UP。
8)如果网点发起了能够触发IPSECVPN的流量,则IPSECVPN隧道建立过程启动。
网点路由器与LNS发起IPSECVPN连接请求。
安全措施,主要有以下几个方面:
1)无线信号:
网点路由器3GMODEM通过信号找到基站后,有一个注册的过程,在这个过程中运营商侧需要对接入的3GSIM卡身份通过密钥机制进行确认(这个过程也称为鉴权)。
在身份确认的过程中,双方还会协商用于通讯加密的密钥,并在通信过程中采用该密钥对数据和话音进行加密,以避免被监听。
同时在对数据加密完成之后,还会附加上校验码,对方在收到之后会重新计算和核对校验码是否正确,以此判断信息是否在无线传输过程中被篡改。
2)访问控制:
运营商LAC设备绑定账号和SIM卡中的IMSI标识号,保证账号不会被其它3G用户盗用(即用户拿其它的3G卡,用账号进行拨号,运营商侧可以把账号和SIM卡的唯一标识码进行绑定,避免被盗用)。
LAC设备可以对不同的用户加载网络访问权限,当发现是的账号时,就只允许该用户访问VPDN,而不能访问互联网;
3)数据加密:
3G的加密,只针对无线的部分,从LAC到LNS之间虽然有L2TP隧道,但是该隧道并不加密,还是明文传送,而从LAC到专线网中间还有可能经过不可信任的网络,所以在网点和总部路由器之间,采用IPSECVPN实现端到端的加密。
IPSECVPN同样采用密钥的机制,提供身份认证、数据保密和完整性的服务;
安全措施的详细说明,请看后续章节。
3.2.无线安全措施
2G的CDMA和GSM时,就有针对终端入网时身份合法性确认的鉴权功能,和利用内置在SIM卡中的密钥对无线信号进行加密的功能。
3G在2G的基础上进行延续并做了安全性增强。
鉴权简介
鉴权就是指身份认证,是对请求进入3G网络的终端进行身份合法性的确认,3G终端也会对运营商网络的身份进行确认。
用户和运营商网络之间进行双向认证&在互相确认对方身份的基础上生成数据加密密钥CK,和数据完整性密钥IK,为下一步的数据传输做准备。
原理如下:
MS即指用户,SN/VLR、HE/HLR可以简单理解为运营商中的两种不同的设备,下面还会提到USIM也可以简单理解为是用户侧。
用户SIM卡和运营商侧保存着一个相同的密钥K。
在运营商内部会为每个用户生成多组的认证向量AV(RAND‖XRES‖CK‖IK‖AUTN):
序列号1.RAND‖XRES‖CK‖IK‖AUTN
序列号2.RAND‖XRES‖CK‖IK‖AUTN
序列号3.RAND‖XRES‖CK‖IK‖AUTN
.....
AUTN表示认证令牌(即一组字符串,有三种字符串组成,SQN+AK、AMF、消息认证码,其中的SQN是指AV组序列号,AK是密钥);RES和XRES分别表示用户的应答信息和运营商的应答信息;RAND表示生成的随机数;CK和IK分别表示数据保密密钥和数据完整性密钥。
大致过程如下:
运营商收到用户的接入请求时从一组认证向量中选择一组AV(i),将AV(i)中的RAND(i)和AUTN(i)发送给用户的USIM进行认证。
用户收到RAND和AUTN后计算出消息认证码XMAC(见下图),并与AUTN中包含的MAC相比较,如果二者不同,USIM将向VLR/SGSN发送拒绝认证消息。
――――这个过程其实是用户在认证运营商网络的合法性。
f1、f2、f3、f4、f5是一种加解密算法,该算法由运营商掌握不对外公开,在用户办理入网时,由运营商把算法及密钥K存入SIM卡中。
如果二者相同,USIM计算应答信息XRES(i),发送给SN(运营商侧的设备)。
SN在收到应答信息后,比较XRES(i)和RES(i)的值。
如果相等则通过认证,否则不建立连接。
这样就完成了双向的鉴权。
加密简介
在鉴权通过的基础上,MS/USIM根据RAND(i)和它在入网时的共享密钥Ki来计算数据保密密钥CKi和数据完整性密钥IK(i)。
SN根据发送的AV选择对应的CK和IK。
在3G系统中,网络接入部分的数据保密性主要提供4个安全特性:
加密算法协商、加密密钥协商、用户数据加密和信令数据加密。
其中加密密钥协商在鉴权过程中完成。
加密算法协商由用户与运营商网间的安全模式协商机制完成。
在无线接入链路上仍然采用分组密码流对原始数据加密,采用了f8算法,如下图所示。
它有5个输入:
①COUNT是密钥序列号;②BEARER是链路身份指示;③DIRECTION是上下行链路指示;④LENGTH是密码流长度指示;⑤CK是长度位128bit的加密密钥。
2G加密密钥为64位,3G为128位;2G加密采用预先共享的密钥,3G通过协商算出密钥,所以3G的安全性更强。
完整性简介
鉴权过程中,双方不仅协商了用于加密密钥CK,还协商了数据完整性密钥IK。
完整性保证,工作原理如下:
发送方把要传送的数据用完整性密钥IK经过f9算法产生消息认证码MAC,将其附加在发出的消息后面。
在接收方把收到的消息用同样的方法计算得到XMAC。
接收方把收到的MAC与XMAC相比较,如二者相同就说明收到的消息是完整的,中间未被篡改。
3.3.IPSECVPN安全措施
IPSEC主要提供针对数据层面的加密功能,网点路由器和LNS建立连接时,需要协商双方的加密密钥,提供身份的认证、加密、完整性保护。
目前锐捷RSR20路由器支持的加密和hash算法主要有:
加密算法――des,3des,aes128,aes192,aes256hash;算法――md5和sha。
具体的工作过程不再赘述。
4、测试方案
见附件。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 锐捷 3G 无线 VPDN 解决方案
![提示](https://static.bdocx.com/images/bang_tan.gif)