北電網(wǎng)絡(luò)安全路由技術(shù)

2019-11-05 00:42:50

字體：大中小

供稿：網(wǎng)友

　　摘要：北電網(wǎng)絡(luò)提供的Ｃｏｎｔｉｖｉｔｙ解決方案不僅可以使用戶建立各種類型的ＶＰＮ，而且還可以把這些ＶＰＮ集成到未來的融合話音和數(shù)據(jù)的網(wǎng)絡(luò)中。該方案已實(shí)現(xiàn)了安全路由選擇；可通過多種技術(shù)支持鑒權(quán)功能，從而實(shí)現(xiàn)安全接入；答應(yīng)用戶使用其各自的安全性配置文件設(shè)置；其設(shè)計(jì)中沒有“后門”。重點(diǎn)介紹了Ｃｏｎｔｉｖｉｔｙ２７００網(wǎng)關(guān)的主要特征及其優(yōu)勢(shì)。
　　
　　主題詞：安全路由技術(shù) Ｃｏｎｔｉｖｉｔｙ２７００北電網(wǎng)絡(luò)
　　
　　目前，通過調(diào)制解調(diào)器或?qū)Ｓ镁€路連接互聯(lián)網(wǎng)用戶的方式正逐漸被虛擬專用網(wǎng)（ＶＰＮ）所代替，ＶＰＮ使用戶可以通過互聯(lián)網(wǎng)安全通信。北電網(wǎng)絡(luò)提供的Ｃｏｎｔｉｖｉｔｙ解決方案不僅可以使客戶建立各種類型的ＶＰＮ，而且還可以把這些ＶＰＮ集成到未來的融合話音和數(shù)據(jù)的網(wǎng)絡(luò)中。在北電網(wǎng)絡(luò)看來，明天的ＶＰＮ將發(fā)展成為高速、安全的網(wǎng)絡(luò)，將在公共互聯(lián)網(wǎng)上安全融合所有業(yè)務(wù)，包括數(shù)據(jù)、話音和視頻。
　　
　　ＩＰＳｅｃＶＰＮ是保證重要信息在公共互聯(lián)網(wǎng)上傳輸時(shí)不會(huì)被泄露的最好選擇。ＩＰＳｅｃ有效地保證了數(shù)據(jù)的私密性、完整性、鑒權(quán)和可查性。ＩＰＳｅｃ分兩種工作模式：隧道模式、傳輸模式。當(dāng)許多主機(jī)通過ＩＰＳｅｃＶＰＮ網(wǎng)關(guān)建立隧道安全通信時(shí)，則采用隧道模式。北電網(wǎng)絡(luò)已解決了在ＩＰＳｅｃ隧道上實(shí)現(xiàn)安全路由的問題，為ＩＰＳｅｃＶＰＮ的普及打下了堅(jiān)實(shí)的基礎(chǔ)。
　　
　　安全路由技術(shù)
　　
　　所謂的安全路由技術(shù)即如何在ＩＰＳｅｃＶＰＮ隧道上實(shí)現(xiàn)動(dòng)態(tài)路由選擇技術(shù)。
　　
　　１．安全路由技術(shù)的實(shí)現(xiàn)
　　
　　要在ＩＰＳｅｃ隧道上實(shí)現(xiàn)動(dòng)態(tài)路由技術(shù)，必需找到兩個(gè)通信端點(diǎn)的ＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ，假如該ＳＡ不存在，則啟動(dòng)ＩＫＥ（ＩｎｔｅｒｎｅｔＫｅｙＥｘｃｈａｎｇｅ來為該通信端點(diǎn)建立ＳＡ。一旦該ＳＡ建立，就只答應(yīng)這兩個(gè)通信端點(diǎn)相互交流，其余數(shù)據(jù)均被禁止（除非通過ＩＫＥ建立新的ＳＡ）。
　　
　　假設(shè)ＩＰＳｅｃＶＰＮ隧道已建立，并且由ＩＫＥ為動(dòng)態(tài)路由協(xié)議（ＯＳＰＦ，ＲＩＰ，Ｅｔｃ．建立了答應(yīng)動(dòng)態(tài)路由協(xié)議包通過的ＳＡ，ＶＰＮ兩端的路由信息通過該ＳＡ互相學(xué)取，建立了動(dòng)態(tài)路由表，那么當(dāng)兩端的用戶根據(jù)該路由信息通信時(shí)，又需要通過ＩＫＥ為各自通信的端點(diǎn)重新建立ＳＡ，而假如網(wǎng)絡(luò)狀態(tài)有變導(dǎo)致某網(wǎng)段消失，則又需要通過ＩＫＥ刪除相關(guān)的ＳＡ，工作過程非常復(fù)雜，開銷太大，不能接受，并且目前ＩＰＳｅｃ規(guī)范中沒有該標(biāo)準(zhǔn)。有的廠家為了解決該問題，只好把數(shù)據(jù)額外封裝到ＧＲＥ（ＧｅｎｅｒａｌＲｏｕｔｉｎｇＥｎｃａｐｓｕｌａｔｉｏｎ隧道上。由于數(shù)據(jù)封裝次數(shù)太多，導(dǎo)致數(shù)據(jù)開銷過大，因此沒有被市場(chǎng)接受。
　　
　　可見要實(shí)現(xiàn)安全路由技術(shù)，要害在于建立一種特定的ＳＡ。北電網(wǎng)絡(luò)的Ｃｏｎｔｉｖｉｔｙ已實(shí)現(xiàn)了安全路由選擇（ＳＲＴ。
　　
　　北電網(wǎng)絡(luò)的Ｃｏｎｔｉｖｉｔｙ操作組件具有以下優(yōu)勢(shì)。
　　
　　（１）安全路由選擇
　　
　　ＳＲＴ支持ＩＰＳｅｃ隧道上的動(dòng)態(tài)路由。Ｃｏｎｔｉｖｉｔｙ符合ＩＰＳｅｃ標(biāo)準(zhǔn)，能夠?qū)⑻摂MＩＰ接口映射到ＩＰＳｅｃ隧道。當(dāng)通過隧道傳輸ＩＰ業(yè)務(wù)時(shí)，Ｃｏｎｔｉｖｉｔｙ的動(dòng)態(tài)路徑避免了額外的狀態(tài)處理和數(shù)據(jù)包開銷（每個(gè)數(shù)據(jù)包多達(dá)２４Ｂ）。
　　
　　（２）安全接入
　　
　　所有與Ｃｏｎｔｉｖｉｔｙ的連接或通過Ｃｏｎｔｉｖｉｔｙ的連接，不管是隧道化或非隧道化連接，都可被安全化。用戶、用戶組和遠(yuǎn)端站點(diǎn)均擁有唯一的一個(gè)過濾配置文件。配置文件被存儲(chǔ)在一個(gè)ＬＤＡＰ數(shù)據(jù)庫中，以便在單一設(shè)備或多個(gè)Ｃｏｎｔｉｖｉｔｙ設(shè)備中實(shí)現(xiàn)公共策略設(shè)置。Ｃｏｎｔｉｖｉｔｙ通過多種技術(shù)支持鑒權(quán)功能，這些技術(shù)包括ＲＡＤＩＵＳ、數(shù)字證書、智能卡和令牌卡等。
　　
　　（３）安全策略
　　
　　ＳＲＴ答應(yīng)每個(gè)用戶、用戶組或分支辦公室分別使用各自的安全性配置文件設(shè)置。該配置文件保存?zhèn)€人信息，不管他是在家中還是在辦公室，而且，不管是運(yùn)行在隧道化還是非隧道化連接上，都以同樣的方式應(yīng)用鑒權(quán)和接入權(quán)限。
　　
　　（４）安全治理
　　
　　Ｃｏｎｔｉｖｉｔｙ的設(shè)計(jì)中沒有“后門”。通過安全加密隧道進(jìn)行配置是Ｃｏｎｔｉｖｉｔｙ因特網(wǎng)（或公共）接口支持的唯一模式，在該接口中內(nèi)置了拒絕服務(wù)（ＤｏＳ）保護(hù)。Ｃｏｎｔｉｖｉｔｙ還記錄所有的安全性／鑒權(quán)事務(wù)處理和事件，它們可存儲(chǔ)在Ｃｏｎｔｉｖｉｔｙ的本地硬盤驅(qū)動(dòng)器中或存儲(chǔ)在設(shè)備以外的介質(zhì)中，依靠于企業(yè)的安全性實(shí)踐。
　　
　　單一硬件設(shè)備以一種高度集成的方式提供ＩＰ路由、ＶＰＮ、狀態(tài)防火墻、加密、鑒權(quán)、策略服務(wù)、ＱｏＳ和帶寬治理業(yè)務(wù)。利用其全面的ＩＰ服務(wù)，單一Ｃｏｎｔｉｖｉｔｙ設(shè)備可以解決處理通常需要多個(gè)專用ＩＰ和安全性設(shè)備來解決的問題。此外，靈活的軟件許可系統(tǒng)答應(yīng)企業(yè)在需要時(shí)增加多種ＩＰ業(yè)務(wù)。
　　
　　Ｃｏｎｔｉｖｉｔｙ構(gòu)建于北電網(wǎng)絡(luò)安全路由技術(shù)（ＳＲＴ）框架之上，ＳＲＴ集成了Ｃｏｎｔｉｖｉｔｙ的主要功能組件（如治理、接入、路由、和策略），在這些設(shè)備上編織了一個(gè)堅(jiān)固的安全架構(gòu)。即使是在同一個(gè)設(shè)備上運(yùn)行多種ＩＰ業(yè)務(wù)，它也可提供擴(kuò)展性和較高的性能。
　　
　　ＳＲＴ同時(shí)還能實(shí)現(xiàn)密鑰功能，如安全ＩＰＳｅｃ隧道上的動(dòng)態(tài)路由（ＲＩＰ／ＯＳＰＦ）、ＶＰＮ、防火墻和路由業(yè)務(wù)的公共用戶安全策略，以及在需要時(shí)增加新的ＩＰ設(shè)備而不影響總體性能。
　　
　　北電網(wǎng)絡(luò)安全路由技術(shù)能將ＶＰＮ集成到現(xiàn)有路由器中，升級(jí)軟件以便通過安全協(xié)議來處理話務(wù)；為每個(gè)設(shè)備添加加密卡支持和實(shí)施上述網(wǎng)絡(luò)升級(jí)。
　　
　　２．安全路由技術(shù)的發(fā)展
　　
　　要實(shí)現(xiàn)ＩＰＳｅｃＶＰＮ及安全路由技術(shù)大面積的推廣，還需確保ＩＰＳｅｃＶＰＮ實(shí)現(xiàn)網(wǎng)絡(luò)地址轉(zhuǎn)換的功能，遠(yuǎn)端節(jié)點(diǎn)極有可能處于保留地址段，該遠(yuǎn)端節(jié)點(diǎn)若要采用ＩＰＳｅｃＶＰＮ連接中心節(jié)點(diǎn)，必須實(shí)現(xiàn)網(wǎng)絡(luò)地址轉(zhuǎn)換（ＮＡＴ）的功能。
　　
　　由于ＩＰＳｅｃＶＰＮ協(xié)議架構(gòu)本身的原因以及缺乏支持ＩＰＳｅｃ的ＮＡＴ設(shè)備，當(dāng)ＩＰＳｅｃ和ＮＡＴ在一起運(yùn)行時(shí)就會(huì)出現(xiàn)很多問題。
　　
　　ＮＡＴ有靜態(tài)ＮＡＴ和動(dòng)態(tài)ＮＡＴ兩種類型。其中靜態(tài)ＮＡＴ答應(yīng)數(shù)據(jù)主動(dòng)進(jìn)出網(wǎng)絡(luò)，而動(dòng)態(tài)ＮＡＴ只答應(yīng)數(shù)據(jù)主動(dòng)流出網(wǎng)絡(luò)，出網(wǎng)時(shí)把源地址轉(zhuǎn)換為合法地址，進(jìn)網(wǎng)時(shí)則把目標(biāo)地址轉(zhuǎn)換為原來的內(nèi)部地址，以達(dá)到與公網(wǎng)互通的目的。
　　
　　ＩＰＳｅｃ的許多特性阻止了ＮＡＴ的運(yùn)行，如ＩＫＥ必需保證源ＵＤＰ端口＝目的ＵＤＰ端口＝５００，此特性阻止了ＰＡＴ多對(duì)一的運(yùn)行，ＩＰＳｅｃＡＨ方式不答應(yīng)改變?nèi)魏危桑?地址，以滿足認(rèn)證功能與完整性功能，因此阻止了任何類型ＮＡＴ的運(yùn)行。在ＥＳＰ傳輸模式下，ＮＡＴ設(shè)備無法修改ＴＣＰＣＨＥＣＫＳＵＭ，因此也無法運(yùn)行ＮＡＴ。這些限制嚴(yán)重阻礙了ＩＰＳｅｃＶＰＮ的普及，無法把ＩＰＳｅｃ推向網(wǎng)絡(luò)邊緣。而北電網(wǎng)絡(luò)Ｃｏｎｔｉｖｉｔｙ解決方案成功解決了該問題，讓ＩＰＳｅｃＶＰＮ走向網(wǎng)絡(luò)邊緣成為可能。保證了建網(wǎng)的靈活性。
　　
　　北電網(wǎng)絡(luò)推出五種Ｃｏｎｔｉｖｉｔｙ安全ＩＰ業(yè)務(wù)網(wǎng)關(guān)，其中Ｃｏｎｔｉｖｉｔｙ１０１０，１０５０和１１００可為要求站點(diǎn)間或遠(yuǎn)程接入ＶＰＮ應(yīng)用及簡(jiǎn)單因特網(wǎng)連接的小型分支機(jī)構(gòu)、家庭辦公室及小型企業(yè)提供經(jīng)濟(jì)高效、安全的一體化解決方案；Ｃｏｎｔｉｖｉｔｙ１７００和２７００則適用于大中型分支機(jī)構(gòu)。
　　
　　Ｃｏｎｔｉｖｉｔｙ２７００簡(jiǎn)介
　　
　　Ｃｏｎｔｉｖｉｔｙ２７００的主要特征及優(yōu)勢(shì)見表１。
　　
　　

　　
　　１．為因特網(wǎng)提供安全保障
　　
　　Ｃｏｎｔｉｖｉｔｙ安全ＩＰ服務(wù)網(wǎng)關(guān)屬于下一代產(chǎn)品系列，旨在通過單一集成的平臺(tái)來提供安全性和ＩＰ服務(wù)。專門為企業(yè)邊緣（企業(yè)專用網(wǎng)絡(luò)和公共ＩＰ網(wǎng)絡(luò)之間的交點(diǎn)）而設(shè)計(jì)，通過一套基于軟件的全面ＩＰ服務(wù)，Ｃｏｎｔｉｖｉｔｙ使企業(yè)能夠在今天方便地部署所需的服務(wù)，并可以在將來靈活地增加新業(yè)務(wù)，所有服務(wù)都無需成本高昂的硬件升級(jí)。服務(wù)供給商同樣可以提供新的增值ＩＰ服務(wù)和安全性服務(wù)，無須中斷現(xiàn)有網(wǎng)絡(luò)基礎(chǔ)設(shè)施。
　　
　　Ｃｏｎｔｉｖｉｔｙ２７００在單一集成平臺(tái)上提供ＩＰ路由、ＶＰＮ、狀態(tài)防火墻、加密、鑒權(quán)、目錄和策略服務(wù)、ＱｏＳ以及帶寬治理服務(wù)，可服務(wù)于企業(yè)安全ＩＰ服務(wù)市場(chǎng)。當(dāng)用作總部解決方案時(shí)，它可以為需要安全因特網(wǎng)（如ＶＰＮ網(wǎng)關(guān)、防火墻）或安全ＩＰ路由設(shè)備的大中型企業(yè)的數(shù)據(jù)中心提供服務(wù)。該產(chǎn)品還可以部署在要求安全性和／或安全ＩＰ路由服務(wù)并需要連接總部數(shù)據(jù)中心的企業(yè)大型分支機(jī)構(gòu)中，通過全面的ＷＡＮ服務(wù)（包括Ｔ１／Ｅ１，Ｖ．３５／Ｘ．２１，Ｖ．９０和ＩＳＤＮ以及幀中繼），Ｃｏｎｔｉｖｉｔｙ２７００可以作為企業(yè)的全能型ＩＰ邊緣解決方案，實(shí)現(xiàn)到因特網(wǎng)或ＩＰ網(wǎng)絡(luò)的安全連接。
　　
　　由于Ｃｏｎｔｉｖｉｔｙ２７００具有１．３３ＧＨｚ處理器、集成ＬＡＮ／ＷＡＮ接口以及多種安全ＩＰ服務(wù)等功能，成為適用于大中型企業(yè)站點(diǎn)的經(jīng)濟(jì)解決方案。
　　
　　２．保證安全性
　　
　　Ｃｏｎｔｉｖｉｔｙ２７００采用了Ｃｏｎｔｉｖｉｔｙ產(chǎn)品系列中相同的ＳＲＴ框架，可以在單一Ｃｏｎｔｉｖｉｔｙ設(shè)備中，實(shí)現(xiàn)一致的安全性結(jié)構(gòu)。即使在同一設(shè)備中運(yùn)行多種ＩＰ服務(wù)，它也可以提供擴(kuò)展性和較高的性能。ＳＲＴ還提供一些要害特性（如ＩＰＳｅｃＶＰＮ隧道上的動(dòng)態(tài)路由、ＶＰＮ中的公共安全性策略、路由和防火墻服務(wù)），靈活的許可證使企業(yè)能夠在需要時(shí)啟動(dòng)新的ＩＰ服務(wù)。
　　
　　Ｃｏｎｔｉｖｉｔｙ２７００的優(yōu)勢(shì)在于降低了設(shè)備總成本、通過安全設(shè)計(jì)保證安全性、具有靈活和安全的ＩＰ服務(wù)以及全面豐富的治理服務(wù)。
　　
　　Ｃｏｎｔｉｖｉｔｙ系列產(chǎn)品多年來一直都在履行其提供安全端到端ＶＰＮ的承諾。ＩＰ－ＶＰＮ功能被嵌入到了所有Ｃｏｎｔｉｖｉｔｙ２７００設(shè)備中，無論是按具有５條ＶＰＮ隧道的安全路由器來訂購，還是按具有最多２０００條ＶＰＮ隧道的ＶＰＮ網(wǎng)關(guān)來購買。
　　
　　３．靈活的ＩＰ服務(wù)
　　
　　Ｃｏｎｔｉｖｉｔｙ２７００可以和現(xiàn)有的路由、鑒權(quán)、目錄和安全性系統(tǒng)互操作，能夠?yàn)樾拢桑蟹?wù)的過渡發(fā)揮橋梁作用。它可以作為因特網(wǎng)接入設(shè)備、安全ＶＰＮ網(wǎng)關(guān)或防火墻解決方案來部署，能很方便地進(jìn)行升級(jí)，增加新的服務(wù)。高級(jí)路由軟件能夠使Ｃｏｎｔｉｖｉｔｙ２７００與現(xiàn)有的路由器基礎(chǔ)設(shè)施進(jìn)行互操作。對(duì)ＬＤＡＰ，ＲＡＤＩＵＳ以及Ｘ．５０９數(shù)字證書的支持使Ｃｏｎｔｉｖｉｔｙ２７００能夠與現(xiàn)有的鑒權(quán)和／或目錄系統(tǒng)互操作。

上一篇：路由器安全設(shè)置詳解

下一篇：防毒別忘了路由器