114双提升广州基于MPLSVPN的皮基站承载网络安全解决方案.docx
- 文档编号:5598937
- 上传时间:2022-12-28
- 格式:DOCX
- 页数:8
- 大小:1.14MB
114双提升广州基于MPLSVPN的皮基站承载网络安全解决方案.docx
《114双提升广州基于MPLSVPN的皮基站承载网络安全解决方案.docx》由会员分享,可在线阅读,更多相关《114双提升广州基于MPLSVPN的皮基站承载网络安全解决方案.docx(8页珍藏版)》请在冰豆网上搜索。
114双提升广州基于MPLSVPN的皮基站承载网络安全解决方案
基于MPLS-VPN的LTE皮基站承载
网络安全解决方案
2019年8月
【摘要】针对移动网皮基站使用IP公网路由在IP城域网上承载传输,存在基站被攻击、信息被窃取等网络安全隐患,通过使用基于MPLS-VPN的承载网络安全解决方案,解决皮基站存在的网络安全问题,确保移动网信息安全。
【关键字】皮基站、网络安全、MPLS-VPN
【业务类别】网络优化、网络安全
一、问题描述
1.1皮基站网络安全隐患
移动网皮基站通过IP城域网承载传输,与传统基站直接接入高安全性的IPRAN专网不同,IP城域网为公用IP数据网,承载着宽带、IPTV、互联网专线、IDC数据中心等许多公网业务,皮基站在IP城域网上传输,需要具备公网IP地址来路由转发数据,公网IP地址和路由,使皮基站存在信息被窃取、设备被攻击等网络安全隐患。
1.2皮基站受攻击实例
攻击者通过扫描发现皮基站使用的公网IP地址(183.3.158.141)能ping通,通过端口扫描,发现23端口、443端口为打开状态。
图1、皮基站可ping通
图2、端口扫描
23端口为telnet协议,远程登录协议,攻击者可通过猜解简单口令、字典攻击、暴力穷举等手段,获取小站访问控制权限,进一步窃取网络信息和用户信息;
443端口为https协议,提供web服务,攻击者可发起DDOS攻击,耗尽皮基站资源,使皮基站无法正常提供服务。
分布式拒绝服务攻击(DDoS)是指处于不同位置的多个攻击者同时向一个或数个目标发动攻击,使目标不断响应攻击者的请求,耗尽服务资源,而无法提供正常服务的一种攻击方式。
图3、DDOS攻击
二、分析过程
2.1组网架构分析
图4、皮基站组网拓扑
图5、IP城域网承载业务
通过皮基站的组网拓扑图可发现,皮基站通过ONU-OLT-MSE二层透传通道接入,MSE接入侧配置静态公网IP,通过城域网公网路由,找到皮基站安全网关进行鉴权,鉴权通过以后,通过网关进一步与核心网进行通信来实现业务开通。
2.2安全隐患分析
传统宏站通过直接接入IPRAN的方式开通业务,IPRAN是满足移动业务高品质大带宽承载需求,具备标准化IP系统的接入、带宽扩展、差异化承载及端到端质量保障的能力,满足基站灵活互联、基站多归属及组播通信需求的专用承载网络。
目前主要承载业务包括:
1X/3G基站及BSC/RNC、eNodeBLTE基站、EPC、二层点到点通道类业务、动环监控。
为保证网络以及承载业务的安全性,IPRAN网络不直接承载互联网业务。
而IP城域网为公用的数据网络,承载许多互联网业务,如宽带业务、专线业务等,通过IP城域网上承载数据,一般需要配置公网IP地址,以便通过公网路由转发数据,这些特点导致皮基站存在网络安全隐患,黑客可通过互联网,在世界任何角落,对皮基站发起攻击。
为保证皮基站的网络信息安全,通过端口控制、漏洞修补等方式,无法从根本上杜绝网络安全隐患,需从网络层连通性上进行隔离。
三、解决措施
3.1传统解决方案-采用专用IP地址解决
采用分配一段专用公网IP地址段,不对外发布路由,同时在城域网关键节点配置严格的安全控制策略,使黑客无法通过互联网连通皮基站IP地址,来实现网络层连通性的隔离,确保皮基站的网络安全。
目前全省采用此方案,但这种方案存在两大缺点:
1、每个皮基站需配置一个公网IP地址,随着皮基站的规模应用部署,皮基站数量将日益庞大,存在IP地址资源不足的问题;2、依赖复杂严密的安全策略提供安全性。
3.2创新解决方案-基于MPLS-VPN的承载网络安全解决方案
随着皮基站规模的日益增大,第一种解决方案的不足将逐步显现,基于MPLS-VPN的承载网络安全解决方案,可有效解决第一种方式的缺点,为皮基站提供更高安全性、更高转发效率、更节省IP地址资源。
一、技术原理
多协议标签交换(Multi-ProtocolLabelSwitching,缩写为MPLS)是一种在公用的通信网上利用标签引导数据高速、高效传输的技术,利用标记(label)进行数据转发,当分组进入网络时,要为其分配固定长度的短的标记,并将标记与分组封装在一起,在整个转发过程中,交换节点仅根据标记进行转发。
图6、MPLS包头结构
MPLS-VPN是采用MPLS(多协议标记转换)技术在骨干的宽带IP网络上构建企业IP虚拟专网,实现跨地域、安全、高速、可靠的多业务通信,并结合差别服务、流量工程等相关技术,将公众网可靠的性能、良好的扩展性、丰富的功能与专用网的安全、灵活、高效结合在一起。
二、实现过程
图7、MPLS包头结构
上图是皮基站发送报文给皮基站网关的过程。
其中,O-L表示MPLS标签。
1、皮基站发送一个IP数据报文。
2、IngressPE从绑定了VPN实例的接口上接收VPN数据包后,先根据绑定的VPN实例的RD查找对应VPN的转发表,匹配目的IPv4前缀,查找对应的TunnelID。
将报文打上对应的标签(O-L),根据Tunnel-ID找到隧道,将报文从隧道发送出去。
3、骨干网的每台P设备都对该报文进行标签交换。
4、EgressPE收到该携带标签的报文,交给MPLS协议处理,MPLS协议将去掉标签,将报文从对应出接口发送给皮基站网关。
此时报文是个纯IP数据报文,成功的从皮基站传到网关了。
网关按照正常的IP路由将报文发送到IPRAN上的核心网来实现4G业务的开通。
图8、MPLS-VPN示意图
部署MPLS-VPN方案以后,IP城域网上皮基站的业务被打上不同颜色的标签(如上图红色),不同标签之前互不连通,无法互相交换数据,形成了一张虚拟专用的网络,外部网络无法对专用网络进行访问,实现了高安全性的要求。
三、方案优点
1、安全性:
利用MPLS-VPN虚拟专网技术,隔离外部网络对专用网络的连通和访问,提供了较高的安全性。
2、快速转发:
IP转发原理是利用路由协议(静态\RIP\OSPF等)生成路由表,根据目的IP地址进行转发,在IP报文转发的过程中,目的IP地址保持不变。
路由器收到数据包,查看数据包的目的IP地址(IP头部),查找IP路由表,根据IP路由表转发数据。
MPLS转发原理是在二层报头与三层报头之间插入MPLS报头。
路由器收到数据包,查看数据包的标签(MPLS头部),查找标签转发表,根据标签转发表转发数据。
IP包头长度20字节,MPLS包头长度是4字节,基于MPLS转发的效率高于基于IP转发。
IP的逐跳转发,在经过的每一跳处,必须进行路由表的最长匹配查找(可能多次),速度缓慢。
MPLS的标签转发,通过事先分配好的标签,为报文建立了一条标签转发通道(LSP),在通道经过的每一台设备处,只需要进行快速的标签交换即可(一次查找),提供了较高的转发效率。
3、节省IP资源:
使用标签转发,在骨干网上看不见IP,所以可以使用私网地址(如192.168.X.X)在公网上进行数据传输,节省公网IP地址资源。
3.3效果验证
实施专用IP地址段或MPLS-VPN后,皮基站获取专用IP地址(100.96.111.172),能ping通皮基站网关59.36.106.6,可实现皮基站业务开通,从外部无法ping通皮基站专用IP,攻击无从发起。
图9、皮基站获取专用IP地址
图10、皮基站ping通网关
图11、公网无法连通皮基站
四、经验总结
4.1分期部署建议
本文针对皮基站的特点进行分析,并提出两种网络安全解决方案,皮基站部署初期,基站规模较小,可使用专用IP地址段的方案进行过渡;随着基站设备的小型化趋势进一步加深,部署规模将逐步增大,以广东省为例,近年规划新建皮基站20000台,使用专用IP地址方案,存在IP地址不足和浪费等问题,可逐步改造使用虚拟专网技术来实现皮基站的信息网络安全。
4.2应用推广
随着4G网络深度覆盖需求日益增长,和5G牌照的发放,基站设备小型化趋势进一步加强,皮基站不管在4G还是5G上,都将得到进一步的规模部署应用,皮基站网络安全问题将日益凸显,本文提供了一套完善的、可复制应用的皮基站承载网络安全解决方案,保障移动网信息安全。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 114 提升 广州 基于 MPLSVPN 基站 承载 网络安全 解决方案
![提示](https://static.bdocx.com/images/bang_tan.gif)