1、通信网络规划设计对安全的考虑苏 辉 王志荣(北京市电信规划设计院规划研究发展中心，北京 100044) 中图分类号(CLC number)：TN915.02文献标识码（Document code):B文章编号（Article ID):1009-9336(2003)02-0062-051 引言对于通信网络，从不同的角度就会有不同的概念。从电信规划的角度看，通信网络可以划分为：交换网、传输网、数据网和支撑网；从功能和处理的角度通信网络可以划分为基本业务网、传输网、支撑网和补充业务网；按照覆盖区域的大小可以分为驻地网、局域网、城域网和广域网；按照 ISO 分层的方法可以把通信网络分为 7 层。为了科
2、学、统一和完整地探讨通信网络安全，本文拟从广义上的通信网络安全切入，根据通信网络对安全的需要，结合具有重要理论意义的 ISO 开放系统互连参考模型来讨论通信网络规划设计中如何对安全进行考虑。所谓广义上的通信网络安全包括环境安全（即安防工程）、链路安全、网络安全和信息安全四个方面的内容。这些内容对于通信网络安全是相辅相成的，应该统一考虑，否则，支离破碎地进行规划设计，则达不到预期效果。2 通信网络安全分析2.1 相关因素分析不管何种意义上的通信网络，都可以抽象为通信节点以及通信节点之间的联系两种要素。和通信节点相关的有局房和设备，通信节点之间的联系包括有线和无线两种方式。因此，影响通信网络的既包
3、括环境因素，也包括技术因素。相应地，通信网络安全既有环境意义上的安全要保障，即安防工程，也包含技术意义上的安全，即链路安全、网络安全和信息安全。按照该思路，影响通信网络安全的因素如表1 所示。表 1 与通信网络安全相关的因素1.建筑结构和材质(地板、房顶、墙壁）2.空调、电源、接地保护、抗震和加固3.相对湿度4.电磁干扰5.地理位置安防工程 通信局房6.防护装置(防雷、防雨、防光、防水和防盗等）1.温度、湿度2.电磁干扰3.物理路由通信线路4.敷设方式(管道、杆路和直埋等)链路安全物理层 E1A-232-D、RS232C、V.24、RS449、V.35、X.21、V5.X、RJ11、RJ45、
4、WDM、FDDI、HDLC、DDN、CSMA/CD、Token-ring、xDSL 等数据链路层 FR、ATM、X.25、SDH、PDH、PPP 等网络层IP、IPX、NLCP、ICMP、ARP、RARP、IGP、EGP、BGP、NHRP、MARS、IFMP、GSMP、NO.7、Q.2931、B-ISUP、PNN1、BICI、IS-IS、OSPF、RIP、IGRP、OSPF、DVMRP、PIM、RSVP、MPLS、IPOA、MPOA、LANE、IP Switching、ARIS、Tag Switching、IPSec 等网络安全传输层 TCP、UDP、NVP、RTP、RTCP 等信息安全 5-
5、7 层SNMP、DNS、NSP、FTP、Telnet、HTTP、SMTP、WINS、DHCP、NFS、RADIUS、Diameter、SIP/SDP、DSA、RSA、Kerberos、PKI、SSL、SET、PKCS、X.509、H.2482.2 通信网络安防工程安防工程是通信网络安全最根本、最重要的保证，旨在从物理环境方面对通信网络提供安全保障。在进行通信网络规划设计中如果不在这方面作充分的考虑，即使其他意义上的网络安全做得再完美无缺，也仍然与空中楼阁无异。因此，做好通信网络的安防工程是非常必要的。通信网络的安防工程指标，国际上和国内都有过一些规定或标准但它们多散布在不同的规程和文件中，多被
6、安排在别的主题之下，因而它们不系统、不鲜明、不符合时代的要求。因为通信网络安全是现在和未来通信行业的主题之一。安防工程是一项动态工程，应该随着通信节点和通信线路物理环境而变化。随着业务和技术的发展和演变，现在的通信网络物理环境呈现出如下的新特点：* 多种通信设备共处一室。业务的多样化使得在一个局房中既要放置传输设备、交换设备和电源设备，同时也要放置各种数据设备等，造成了多种通信设备共处一室的复杂局面。* 通信设备的模块化和综合化以及综合目标局的出现。通信设备模块化，接口丰富，智能化增强，综合化水平提高，容量增大，但体积却在不断减小。* 局所的容量巨增。为了简化网络结构，推行“少局所，大容量”的
7、建局原则，因此，局所容量较之以前巨增，这对安防工程提出了更高的要求。* 通信线路光纤化、管道化和无线化，杆路在逐步向管道推进。通信网络物理环境的新变化肯定会造成已有的设计规范滞后于现实的境况。经查阅自 19882001年编制的通信工程建设与技术标准规范可知，其中有关物理环境的规定不系统、不完备，没有从通信网络安全的高度来关注和统领物理环境中的各种因素。因此应该从通信网络安全的高度来综合认识并建立符合新一代通信网络特点的安防工程体系，且设置相应的指标。2.3 链路安全链路安全连同网络安全和信息安全都牵涉到设备本身所采用的技术（包括硬件和软件），在进行以上意义的通信网络安全设计时应考虑以下几个方面
8、：* 大幅度地提高系统的安全性和保密性；* 保持网络原有的性能特点，即对网络的协议和传输具有很好的透明性；* 易于操作、维护，并便于自动化管理，而不增加或少增加附加操作；* 尽量不影响原网络的拓扑结构，便于系统及系统功能的扩展；* 安全与密码产品具有合法性，并便于安全管理单位、密码管理单位的检查和监督。根据表 1 可知，数据链路层的安全具有两方面的含义：数据链路层控制下的物理安全保护，数据链路加密。数据链路层控制下的物理安全保护现已存在多种解决方案，SDH 的自愈保护倒换，ATM 的自动保护倒换，以及最新发展的 DPTRPR 等。数据链路加密通常使用对称密钥算法，提供点对点式的加密通信。链路安
9、全保护措施主要是链路加密设备，如各种链路加密机。它对所有用户数据一起加密，用户数据通过通信线路送到另一节点后立即解密。加密后的数据不能进行路由交换。因此，在加密后的数据不需要进行路由交换的情况下，如 DDN直通专线用户就可以选择路由加密设备。 一般情况，线路加密产品主要用于电话网、DDN、专线、卫星点对点通信环境，它包括异步线路密码机和同步线路密码机。异步线路密码机主要用于电话网，同步线路密码机则可用于许多专线环境。2.4 网络安全网络安全问题主要是由网络的开放性、无边界性、自由性造成的，所以考虑网络安全首先应该考虑把被保护的网络由开放的、无边界的网络环境中独立出来，成为可管理、可控制的安全的
10、内部网络。也只有做到这一点，实现信息网络的安全才有可能，而最基本的分隔手段就是防火墙。利用防火墙，可以实现内部网（信任网络）与外部不可信任网络（如因特网）之间,或是内部网不同网络安全域的隔离与访问控制，保证网络系统及网络服务的可用性。 目前市场上成熟的防火墙主要有如下几类，一类是包过滤型防火墙，一类是应用代理型防火墙，还有一类是复合型防火墙，即包过滤与应用代理型防火墙的结合。包过滤防火墙通常基于 IP 数据包的源或目标 IP 地址、协议类型、协议端口号等对数据流进行过滤，包过滤防火墙比其它模式的防火墙有着更高的网络性能和更好的应用程序透明性。代理型防火墙作用在应用层，一般可以对多种应用协议进行
11、代理，对用户身份进行鉴别，并提供比较详细的日志和审计信息；其缺点是对每种应用协议都需提供相应的代理程序，并且基于代理的防火墙常常会使网络性能明显下降。应指出的是，在网络安全问题日益突出的今天，防火墙技术发展迅速，目前一些领先防火墙厂商已将很多网络边缘功能及网管功能集成到防火墙当中，这些功能有：VPN 功能、计费功能、流量统计与控制功能、监控功能、NAT 功能等等。 网络安全是动态发展变化的，确定安全策略与选择合适的防火墙产品只是一个良好的开端，但它只能解决 40%60%的安全问题，其余的安全问题仍有待解决。这些问题包括高智能主动性威胁，后续安全策略与响应的弱化，系统的配置错误，对安全风险的感知
12、程度低，动态变化的应用环境充满弱点等，这些都是对网络安全的挑战。网络安全应该是一个动态的发展过程，应该是一种检测监视安全响应的循环过程。动态发展是网络安全的规律。网络安全风险评估和入侵监测产品正是实现这一目标的必不可少的环节。网络安全检测是对网络进行风险评估的重要措施，通过使用网络安全性分析系统，可以及时发现网络系统中最薄弱的环节，检查报告系统存在的弱点、漏洞与不安全配置，建议补救措施和安全策略，达到增强网络安全性的目的。入侵检测是实时网络违规自动识别和响应的手段。它作用于有敏感数据需要保护的网络上或网络上任何有风险存在的地方，通过实时截获网络数据流，能够识别、记录入侵和破坏性代码流，寻找网络
13、违规模式和未授权的网络访问尝试。当发现网络违规模式和未授权的网络访问时，入侵检测系统能够根据系统安全策略做出反应，包括实时报警，事件登录，自动阻断通信连接或执行用户自定义的安全策略等。另外，使用 IP 信道加密技术（IPSec）也可以在两个网络节点之间建立透明的安全加密信道。其中利用 IP 认证头（IP AH）可以提供认证与数据完整性机制。利用 IP 封装净载（IP ESP）可以实现通信内容的保密。IP 信道加密技术的优点是对应用透明，可以提供主机到主机的安全服务，并通过建立安全的 IP 隧道实现虚拟专网(VPN)。目前基于 IPSec 的安全产品主要有网络加密机，另外，有些防火墙也提供相同的
14、功能。2.5 信息安全这里，信息安全指的是按照 ISO 的开放系统互连参考模型所定义的 57 层的安全。实际上，根据事实上的网络模型，信息安全则指的是应用层与数据安全。它主要是应用密码技术解决用户身份鉴别，用户权限控制，数据的机密性、完整性等网络上信息的安全问题。由于网络的开放性和资源的共享，使得网络上信息（无论是动态的还是静态的）的使用和修改都是自由的，如非法修改、越权使用、改变信息的流向等。这也必然威胁到信息的可控性、可用性、保密性、完整性等安全属性。为了保证信息的安全，必须采取有效的技术措施。这些措施主要从以下几个方面解决信息的安全问题，即用户身份鉴别，用户权限控制，信息的传输安全，信息
15、的存储安全以及对信息内容的审计。通常采取如下措施来保障信息安全：* CA:建立证书中心（CA），即公钥密码证书管理中心，是公钥密码技术得以大规模应用的前提条件。公钥密码算法在密钥自动管理、数字签名、身份识别等方面是传统对称密码算法所不可代替的一项关键技术。尤其在当前迅猛发展的电子商务中，数字签名是电子商务安全的核心部分。公钥密码算法用于数字签名时需借助可信的第三方对签名者的公开密钥提供担保，这个可信的第三方就是 CA。因此，建立 CA 是开展电子商务的先决条件。另外，CA 还可为各种基于公钥密码算法建立的网络安全系统提供认证服务。* 端到端加密：这类加密方法只对用户数据中的数据字段部分加密，控
16、制字段部分则不加密，用户数据加密后通过网络路由交换到达目的地后才进行解密。用户数据在网络的各个交换节点中传输时始终处于加密状态，有效地防止了用户信息在网络各个环节上的泄漏和篡改问题。该方法的具体应用为端到端加密机，目前主要用于 X.25 分组交换网等端到端通信环境，为 X.25 网用户提供全程加密服务，它支持专线及电话拨号两种入网方式。* 信息稽查：是针对信息内容进行审计的安全管理手段。它采用状态检查技术，以透明方式实时地对进出内部网络的电子邮件和传输文件等进行数据备份，并可根据用户需求对通信内容进行审计，对压缩的文件进行解压还原；从而为防止内部网络敏感信息的泄漏，外部不良信息的侵入以及外部的
17、非法攻击提供有效的技术手段。 * 办公自动化文电加密：办公自动化文电安全保密方法是用于文件和电子函件传送、存储以及访问控制的手段，是针对应用层的加密方法。它采用对称与非对称算法相结合的体系，算法可根据用户的安全强度需求的不同进行设计和定制。该方法可广泛应用于企业内部网、局域网、广域网以及利用Internet 开展的诸多应用中。 * 安全数据库系统：安全数据库系统的主要安全机制包括管理员、审计员、安全员三权分立的管理机制；对用户和数据的分级管理机制；同时提供可靠的故障恢复机制。该系统应具有如下的特点，即客户/服务器体系结构的分布式多媒体数据库管理系统，支持多台服务器并行协同工作，提供良好的分布式
18、数据库环境，确保分布数据的完整性；支持存储过程和远程数据访问；能与流行数据库互联互访。 3 通信网络安全规划设计方案通信网络安全是规划设计中应该考虑的一项重要内容。规划设计方案必须满足特定的网络安全的需求，应根据实际情况给出相应的安全措施。总地来讲，通信网络安全规划设计方案包含的内容如表 2 所示。表 2 通信网络和信息安全规划设计方案应用层方案 用户鉴别、授 权 信息内容审计 数据库安全 数据加密网络层方案 访问控制 网络安全检测 入侵检测 IPSec 审计分析数据链路层方案 链路加密、数据链路控制下的物理保护安防工程方案 物理环境指标量化、测量、调整和控制安全管理方案针对特定的网络安全需求
19、，在规划设计方案中应该综合考虑表 2 中的内容，制定出合适的方案，除了各层的解决方案外，安全管理方案也应该是通信网络安全规划设计方案的一项重要内容，它是贯穿各层解决方案的联系纽带。安全管理方案的一个重要特点就是具有动态发展的特性，应该随着时间的推进和其他方案的更新而变化，以适应网络安全的需要。它对于网络安全的可持续发展非常重要。4 结语本文从通信网络规划设计出发，从广义上探讨了通信网络安全的有关内容，希望这种论述方式和视角能对通信网络安全的规划设计工作提供系统性和整体性的认识和借鉴。作者简介： 苏 辉， 博士，毕业于中国矿业大学（北京校区），现供职于北京市电信规划设计院，从事通信网络规划和设计等工作。王志荣， 1999 年毕业于哈尔滨工程大学，硕士，现供职于北京市电信规划设计院规划研发中心，一直从事电信网络建设的规划设计工作。
