软交换中网络安全的研究.doc

软交换中网络安全的研究摘 要随着下一代网络的发展，各大运营商积极实行软交换商化的同时，如何提供一个安全可靠的网络是网络建设过程中所必须要考虑到的问题，尤其对于软交换这样一个运营系统而言，安全问题显得尤为重要。由于软交换网络的研究是刚刚发展起来的领域，所以目前这方面的研究还不够成熟。以软交换为核心的下一代网络一直是研究的热点，不仅设备制造商投人大量的金钱和人力研发设备，而且电信运营商也开展大量的测试和实验。用来验证设备的稳定性、协议的标准化程度以及规模组网的可行性。本文的研究目标就是针对软交换中的安全隐患提供一个解决方案，对软交换的网络安全起到了一定的保护作用，并且实现 IPSec 和 NAT 的兼容以及 NAT 在软交换网络中的穿越。并且以浙江移动网络为例，提出具体的解决方案，并且通过预留模块说明，保证了设计方案具有良好的可扩展性。本文以软交换中网络安全技术为研究方向，第一章对课题的背景、研究的动向和研究的内容进行分析；第二章为软交换技术的概念、功能结构、网络结构、协议及安全隐患进行论文；第三章是对软交换安全组网进行研究；第四章以浙江移动网络为例论述安全组网在实际中的效果；第五章对全文作出总结和研究展望。关键字：软交换；网络安全；NGN；通讯网IN SOFT EXCHANGE NETWORK SECURITY RESEARCHABSTRACTAlong with the next generation network development, each big operationbusiness positively implements soft exchange business at the sametime, how provides a security reliable network is in the networkconstruction process must have to consider the question, especiallyregarding softly exchanges this kind of operation system to say, thesecurity problem appears especially importantly. Because softlyexchanges the domain which the network the research was just develops,therefore the present this aspect research insufficiently is alsomature. Take the soft exchange as the core next generation networkalways is the research hot spot, not only the equipment manufacturerthrows the person massive moneys and the manpower research anddevelopment equipment, moreover telecommunication operation businessalso carries out the massive tests and the experiment. Uses for toconfirm the equipment the stability, the agreement standardized degreeas well as the scale network feasibility 。This article research aim is aims at in the soft exchange the securityhidden danger to provide a solution, got up the certain protectivefunction to the soft exchange network security, and realized IPSec andNAT is compatible as well as NAT in soft exchange network passingthrough. And take the Zhejiang migration network as the example,proposes the concrete solution, and through reserves the module toexplain, had guaranteed the design proposal has good may theextension.This article take the soft exchange in the network security technologyas the research direction, the first chapter to the topic background,the research trend and the research content carries on the analysis;Second chapter for the soft exchange technology concept, the functionstructure, the network architecture, the agreement and the securityhidden danger carries on the paper; Third chapter is conducts theresearch to the soft exchange security network; Fourth chapter takeZhejiang migration network as example elaboration security network inactual center effect; Fifth chapter makes the summary and the researchforecast to the full text.KEY WORDS: Soft exchange; Network security; NGN; Communications net目 录1 绪论81.1 课题背景81.2研究软交换中网络安全的意义101.3国内外对软交换网络安全方面研究的现状及发展趋势111.3.1 国外的主要发展动态111.3.2 国内的发展动态111.4研究的主要内容121.4.1主要研究内容121.4.2 研究方案及技术路线132 软交换的安全问题剖析142.1软交换的概念142.2软交换的功能结构152.3 软交换网络的安全隐患162.3.1 终端设备安全威胁162.3.2 网络安全威胁162.3.3 关键设备安全威胁162.3.4 信息安全威胁172.4 本章小节173软交换网络安全的研究与实现183.1 组网的业务理论和实现原则183.2软交换的网络安全架构183.2.1 网络设备防线193.2.2 网络安全防线203.2.3 接入安全防线213.3安全方案223.4.1 IPSEC( ESP 遂道模式) +SSL/TLS+认证服务器/策略服务器+FW/NAT方案223.4.2 MPLS VPN组网方案233.4.3基于IPSec嵌人式网络安全机制243.4.4软交换技术在大本地网中的组网和实施263.4.5 SIP呼叫鉴权263.4.6 信令网组网方案273.5本章小节284 软交换中安全组网在实际中的应用294.1应用实例294.1.1浙江电信软交换网络情况294.1.2大客户VoIP汇接方案314.1.3通过软交换实现对接的具体方案314.1.4 J2EE技术实现Web的软交换配置管理344.2 备份机制354.2.1实时备份系统的结构模型354.2.2提取/恢复函数364.2.3 性能分析374.2.4 测试与分析384.3 本章小节385结论与展望391 绪论1.1 课题背景近年来，以软交换为核心的下一代网络一直是研究的热点，不仅设备制造商投入大量的金钱和人力研发设备，而且电信运营商也开展大量的测试和实验。用来验证设备的稳定性、协议的标准化程度以及规模组网的可行性。未来几年里，我国将发放3G牌照，届时会存在中国网通、中国电信和中国联通等多家全业务运营商，电信领域的竞争会日趋激烈。如何有效利用网络资源，充分发挥综合运营商的独特优势，开展特色业务，提高企业差异化竞争能力是全业务运营商必须面对的问题，而业务融合是解决这一问题的重要手段之一。业务融合是以下一代网的核心 软交换为基础的。“下一代” 网的提法最早是由美国克林顿政府于1997年10月10 El提出的(下一代互联网行动计划NGI)。其目的是研究下一代先进的组网技术，建立试验床，开发革命性应用。从2O世纪末开始，下一代网络就成为电信界人士谈论最多的话题之一。下一代网络特指以软交换设备为控制核心，能够实现业务与控制、接入与承载彼此分离的分层体系结构的通信网络。其核心设备软交换(soRswitch)的基本含义就是把呼叫控制功能从媒体网关中分离出来，通过服务器上的软件实现基本呼叫控制功能，包含呼叫选路、管理控制(建立会话、拆除会话)、信令互通等。简单地说，软交换的核心思想是硬件的软件化，以软件的方式来实现原来交换机所提供的功能。所以，软交换网络可以提供丰富的用户接入手段，支持标准的业务开发接口，采用统一的分组网络进行传送，以此实现语音、数据和多媒体业务。到了2002年，世界范围内发生了两个变化。一是全球移动用户数超过固定用户数(见图1-1)，二是全世界网上传送的数据业务量超过话音业务量(见图1-2)。实际上，这两个“超过”反映了随着时代与技术的进步，人类对移动性和信息需求急剧上升的趋势，隐含着大量更高价值的下一代服务与应用。当前的网络，不管是电话网，还是互联网或移动网，均不能适应这个发展趋势，必须向下一代发展。因此，NGN成为网络界描述未来电信网共同使用的一个新概念。实际上，它好像一把大伞，涵盖了固定网、互联网、移动网、核心网、城域网、接入网、用户驻地网等许多内容。对于NGN，只有欧洲ETSI曾将其作为定义和部署网络的一个概念。由于它们形式上分为不同的层和面，并使用开放的接1：3，所以NGN给服务提供商与运营商提供了一个能逐步演进的平台，在此平台上可不断创造、开放和管理新的服务。从这一定义可以看出，NGN最后的落脚点是服务，是可以不断创造、开放和管理的新的服务。1-1 移动超过固定的交叉点1-2 数据超过话音的交叉点随着软交换网络大规模商用步伐的逐步推进，在看到软交换网络与传统电信技术相比具有很多优点的同时，也发现基于IP的软交换网络实现电信级的运营还存在一些问题，包括：网络的QOS保证、网络的安全性、控制层面的组网问题等，如果不能很好地解决这些问题，将大大影响软交换的商用速度。对于运营商来说，软交换网络是一个融合的网络架构，有利于网络结构的优化和网络资源的整合，避免重复建网，降低建设投资和运行维护成本，并且可以在统一平台上提供综合业务，为其带来诸多益处。因此，可以考虑NGN的本地网组建，也就是在软交换的基础上，完成下一代网的平滑过度，逐步取代当前的本地网。以软交换为核心的下一代网络采用IP分组网络承载，传统的IP网络是一个尽力传送和开放自由的网络，有些IP网络用户可以不经任何认证和鉴权就接入IP网络IP网络用户也不需要进行任何业务认证与鉴权。IP网络的开放性是推动互联网发展的重要因素，但同时也带来了网络的安全隐患。NGN采用IP承载网络，如果在建设初期没有合理规划，将会存在更大的安全威胁。1.2研究软交换中网络安全的意义随着IP网的迅速发展，软交换将以IP网为骨干，在各种网络相互融合的基础上，以一种统一的方式灵活地提供业务。软交换控制器(Softswitch)是软交换体系中的控制核心，它独立于底层承载协议，主要完成呼叫控制、媒体网关接入控制、资源分配、协议处理、路由、认证、计费等主要功能，向用户提供现有网络的业务，并向业务支撑环境提供底层网络能力的访问接口。应用服务器则是软交换体系中业务支撑环境的主体，也是业务提供、开发和管理的核心。软交换将是下一代话音网络交换的核心。如果说传统的电信网是基于程控交换机的网络，那么下一代分组话音网则是基于软交换的网络。软交换是新、旧网络融合的枢纽。这主要表现在以下几个方面：从经济角度考虑，与电路交换机相比，软交换成本低。软交换由于采用了开放式平台，易于接收革新应用，且软交换利用的是普遍计算机器件，其性价比每年提高80，远高于电路交换(每年提高20)，可见软交换在经济方面有很大优势。从用户角度考虑，在传统的交换网络中，一个设备厂商往往提供软件、硬件和应用等所有的东西，用户被锁定在供应商那里，没有选择的空间，运行和维护的费用也很高。基于软交换的新型网络彻底打破了这种局面，因为厂商的产品都是基于开放标准的，所以用户可以向多个厂商购买各种层次的产品，可以在每一类产品中选择性价比最好的来构建自己的网络。软交换可以提高网络的可靠性。软交换将以前的电路交换的核心功能进行了分类，将功能以功能软件的形式分配到分组网络的骨干网中。这种分布式结构是可编程的，并对服务供应商和其他专业开发商是开放的。由于所有的功能都以标准的计算机平台为基础，可以很容易地实现网络的可伸缩性和可靠性。软交换采用分层、开放的体系结构，将传统交换机的功能模块分离成独立的网络实体，各实体间采用开放的协议或API接口，从而打破了传统电信网封闭的格局，实现了多种异构网络间的融合。下一代网络的体系通过将业务与呼叫控制分离、呼叫控制与承载分离，实现相对独立的业务体系，上层业务与底层的异构网络无关，灵活、有效地实现业务的提供，满足人们多样的、不断发展的业务需求。可以说，软交换完全体现了业务驱动的思想和理念，很好地实现了多网的融合，提供了开放灵活的业务提供体系。目前，软交换无论是标准还是设备上都处在一个逐渐成熟的过程之中，国内的运营公司所组建的软交换网络还在试验和试运行阶段，在软交换网络中涉及的许多问题还有待深入地探讨和研究，毕竟软交换采用的是以IP网络作为承载网络的技术。IP技术本身存在的许多问题以及软交换技术作为一个新的技术而存在的问题，都是软交换技术在发展过程中需要面对和解决的问题。为了提高业务的扩展性以及IP网络端到端各设备之间的互操作性，软交换网络的承载网络采用的是分组网络，这种非常开放的网络架构，允许不同的网络不同的设备（主要以IP网和ATM 网作为承载网络）接入电信网络，这种开放性使得软交换网络不可避免地受到黑客和病毒的攻击或干扰，通信协议和媒体信息主要采用IP数据包的形式进行传送，软交换网络中接入节点比较多，用户的接入方式和接入地点都非常灵活，从而面临着如用户仿冒、盗打、破坏服务、抢占资源等安全问题。因此软交换网络也就面临着比较突出的安全问题，必须在IP网上采用合适的安全策略，以保证软交换网的网络安全。安全问题是影响软交换成功与否的关键因素之一，在网络设计之初就必须给予关注。由于软交换业务已经完全IP化，因此软交换的安全问题和传统IP网络的安全问题非常类似，传统IP网络和业务所遇到的问题在软交换网络和业务中一样存在。但是由于软交换业务本身的特点。其安全问题的关注点有别于传统IP应用。1.3 国内外对软交换网络安全方面研究的现状及发展趋势1.3.1 国外的主要发展动态在软交换网络的试验和商用部署方面，国外的运营商起步较早，1999年5月，英国的BT在西班牙建立了世界上第一个大规模的、基于分布式下一代网络结构的电信级第二长途网，并投入商业运营，正式揭开了电信界向下一代网络演进的序幕。2000年7月和10月，澳大利亚的Telstra和英国的Cable&Wireless分别宣布，将他们现有的TDM网络开始向下一代网络过渡。2001年2月，德国最大的有线电视网络商Kable NRW宣布将现有的有线电视网络升级为下一代网络，为有线电视网络用户提供基于IP的话音、视频和数据业务。2001年10月，美国的Qwest国际通迅公司宣布，将下一代网络扩展到其服务的所有14个州，以取代传统的电路交换网络，成为美国第一个向下一代网络过渡的传统本地网络运营商(ILEC)。2001年11月5日，美国的Sprint公司本地电信业务部(LTD)宣布，将其整个电话网络改造为基于分组的下一代网络，成为美国第一个将整个现有电话网络(包括本地和汇接)分组化的运营商。2002年6月22日，美国最大的全球性固定和无线运营商Verizon宣布，提供集成的话音和数据业务。2002年11月，加拿大最大的电信运营商之一Telus也开始实现其全国TDM电路交换网络向分组中继的演进。1.3.2 国内的发展动态国内软交换的发展获得了信息产业部相关部门的大力支持，其中，电信传输研究所牵头的网络与交换标准研究组和IP与多媒体研究组早于2000年开始，制定并颁布了中国软交换体系框架，组网设备，组网协议等方面的技术规范以及测试规范。在入网检测方面，信息产业部电信设备入网检测中心也于2002年中陆续完成了部分厂家软交换设备的入网测试。国内运营商在软交换的试验和试商用上的积极投入为软交换商用化铺平了道路。2000年起，中国电信、中国网通等就开始了对软交换网络技术和业务能力的调研和测试工作。2002年开始的软交换试验网工程，中国电信、中国网通分别建设了二十多个商用网络，中国联通在四川、江苏等地建设软交换试验网络，中国卫通建设了覆盖100多个城市的软交换网络，中国移动也采取软交换技术组建了覆盖全国三十一个省区市的一级汇接网络，规模近百万端口。纵观全球运营商在软交换方面的试验和应用情况，充分验证了软交换网络的发展趋势是不可逆转的，它不仅为竞争环境下的电信运营商提供良好的网络发展建设框架，而且满足了运营商在业务发展创新方面的需求。在考虑保护软交换网络的安全策略时，一般从软交换设备级安全和网络级安全两大方面入手。设备级安全即在软交换设备上进行一些特定的配置或安装特定的软件，从而提高软交换设备自身的抗攻击能力；网络级安全是指对软交换承载同设备实施一定的策略，利用承载网提供的保护机制避免或减少外部网络对软交换核心部件的入侵。在实际的软交换网络建设中，这两方面的安全措施相辅相成。缺一不可同时，网络运营商应当认识到安全不是一种稳定的状态，付出资源、管理代价可以增加安全性，但是无论付出多少代价也不能达到永远、绝对的安全。对待安全应当采取技术与管理并重，只重技术不重管理不仅不能有效地解决安全问题，还会使安全问题陷入技术僵局。1.4 研究的主要内容1.4.1主要研究内容研究在软交换网络环境下，如何保证在软交换平台中提供网络安全的关键技术和要点，并结合具体实践，研究实现软交换中的网络安全方案。围绕上述研究目标，拟定主要研究内容如下：（1）在软交换中如何提供认证；（2）如何利用一些安全协议提供对网络的安全保证以及如何对端点提供防护；（3）实现方案相关部分的设计。1.4.2 研究方案及技术路线本课题的研究在充分利用已有知识的基础上，吸收当前最新的思想和技术，发挥我们在下一代网络技术、信息安全理论，特别是软交换网络安全等方面的优势和经验，针对课题研究内容采用如下研究方法和技术路线：（1）理论研究与文献分析首先查阅文献、收集资料，分析整理相关工作，对下一代网络技术、信息安全理论、软交换网络安全理论进行研究分析，对应每一理论，分别找出23个典型相关工作，仔细分析，理解相关文献的研究工作。在此基础上，分别进行如下的研究：（2）对软交换中的认证计费系统进行研究，给出设计方案软交换中的网络管理系统应该为整个软交换网络提供管理维护功能，实时的监视网络的运行状态，记录设备的性能故障等信息。计费认证系统对于整个网络而言非常重要，因此我们将利用Radius协议采用双机互备的机制，在物理上对系统起到安全保护作用。（3）对软交换中的安全隐患进行分析，给出相应的解决措施针对软交换中的安全隐患涉及到的三个方面：来自网络方面的安全问题，来自设备方面的安全问题以及来自终端的安全问题，分别提出了三种解决方式：接入认证服务器和策略服务器，使用 IPSec，SSL/TLS，MPLS 等安全协议，添加防火墙和 NAT 等中间设备。（4）分析和比较多种安全协议在一个网络中选取何种安全协议，必须综合考虑各方面的因素。对安全协议 IPSec、SSL/TLS 以及 MPLS 等进行多方面的比较，并且对于在具体的网络建设中应该如何选取进行详细分析。（5）对软交换中 FW/NAT 的穿越方案进行研究对软交换中的中间设备 FW/NAT 的使用进行分析，给出当前 FW/NAT 在软交换中的主要穿越方案。2 软交换的安全问题剖析目前，软交换无论是标准还是设备都还处于一个逐渐成熟的过程中，国内的运营公司所组建的软交换网络还主要是在试验和试运行阶段，在软交换网络中涉及的许多问题还有待深入的探讨和研究。这章根据软交换网络结构和功能特点，分析了软交换网络存在的安全隐患。2.1软交换的概念软交换的概念最早起源于美国。当时在企业网络环境下，用户采用基于以太网的电话，通过一套基于PC服务器的呼叫控制软件（Call Manager、Call Server），实现PBX功能（IP PBX）。对于这样一套设备，系统不需单独铺设网络，而只通过与局域网共享就可实现管理与维护的统一，综合成本远低于传统的PBX。由于企业网环境对设备的可靠性、计费和管理要求不高，主要用于满足通信需求，设备门槛低，许多设备商都可提供此类解决方案，因此IP PBX 应用获得了巨大成功。受到IP PBX成功的启发，为了提高网络综合运营效益，网络的发展更加趋于合理、开放，更好的服务于用户。业界提出了这样一种思想：将传统的交换设备部件化，分为呼叫控制与媒体处理，二者之间采用标准协议（MGCP、H248）且主要使用纯软件进行处理，于是，SoftSwitch（软交换）技术应运而生。软交换概念一经提出，很快便得到了业界的广泛认同和重视，ISC（Inernational softSwitch Consortium）的成立更加快了软交换技术的发展步伐，软交换相关标准和协议得到了IETF、ITU-T等国际标准化组织的重视。根据国际SoftSwitch论坛 ISC 的定义，SoftSwitch是基于分组网利用程控软件提供呼叫控制功能和媒体处理相分离的设备和系统。因此，软交换的基本含义就是将呼叫控制功能从媒体网关（传输层）中分离出来，通过软件实现基本呼叫控制功能，从而实现呼叫传输与呼叫控制的分离，为控制、交换和软件可编程功能建立分离的平面。软交换主要提供连接控制、翻译和选路、网关管理、呼叫控制、带宽管理、信令、安全性和呼叫详细记录等功能。与此同时，软交换还将网络资源、网络能力封装起来，通过标准开放的业务接口和业务应用层相连，可方便地在网络上快速提供新的业务。软交换又称为呼叫AGENT、呼叫服务器或媒体网关控制。其最基本的特点和最重要的贡献就是把呼叫控制功能从媒体网关中分离出来，通过服务器或网元上的软件实现基本呼叫控制功能，包括呼叫选路、管理控制、连接控制、信令互通(如从NO7号信令到TP信令)等。这种分离为控制、交换和软件可编程功能建立分离的平面，使业务提供者可以自由地将传输业务与控制协议结合起来，实现业务转移。这一分离同时意味着呼叫控制和媒体网关之间的开放和标准化，为网络走向开放和可编程创造了条件和基础。2.2软交换的功能结构较交换是多种逻辑功能实体韵集合提供综台业务呼叫控制，连接以及部分业务功能是下一代电信网中音数据，视频业务呼叫控制平亡业务提供的核心设备是日前电路交换网向分组网演进的主要设备之一。软交换的主要设计思想是业务，控制分离各实体之间通过标准协议进行连接和通信其功能层次如图2-1所示。2-1 软交换的功能层次图软交换网络从功能上可以分为业务平面、控制平面、传输平面和接入平面。接入平面提供各种网络和设备接入到核心骨干网的方式和手段，主要包括信令网关、媒体网关、接入网关等多种接入设备。传输平面负责提供各种信令和媒体流传输的通道，网络的核心传输网将是IP分组网络。控制平面主要提供呼叫控制、连接控制、协议处理等能力，并为业务平面提供访问底层各种网络资源的开放接口。该平面的主要组成部分是软交换设备。应用平面利用底层的各种网络资源为用户提供丰富多样的网络业务。主要包括应用服务器（Application Server）、策略/管理服务器（Policy Server）、AAA服务器(Authority Authentication and Accounting Server)等。其中最主要的功能实体是应用服务器，它是软交换网络体系中业务的执行环境。2.3 软交换网络的安全隐患2.3.1 终端设备安全威胁软交换网络中存在大量的终端设备包括IAD设备、SIPH323终端和PC软终端等。软交换网络接入灵活，任何可以接入IP网络的地点均可以接入终端，但是这种特性在为用户带来方便的同时，也导致可能存在用户利用非法终端或设备访问网络，占用网络资源，非法使用业务和服务；同时，某些用户可能使用非法终端或设备向网络发起攻击，对网络的安全造成威胁。另外，由于接入与地点的无关性，使得安全威胁发生后，很难定位发起安全攻击的确切地点，无法追查责任人。2.3.2 网络安全威胁由于缺乏合理有效的安全措施，以IP为基础的因特网网络安全事件十分频繁，主要包括蠕虫病毒的泛滥和黑客的攻击。当前互联网病毒十分猖獗，每天都有新病毒出现，这些病毒轻则大量占用网络资源和网络带宽，导致正常业务访问缓慢，甚至无法访问网络资源，重则导致整个网络瘫痪。造成无法弥补的损失。另外，黑客凭借网络工具和高超的技术，攻击网络上的关键网络设备，篡改上面的路由数据、用户数据等，导致路由异常，网络无法访问等。软交换网络采用IP分组网作为传输承载，而且软交换网络提供的业务大部分属于实时业务，对网络的安全可靠性要求更高，当网络由于病毒导致带宽大量占用、访问速度很慢甚至无法访问时，软交换网络就无法为用户提供任何服务。2.3.3 关键设备安全威胁软交换网络中的关键设备包括：软交换设备、媒体网关、信令网关、应用服务器、媒体服务器等，由于下一代网络选择分组网络作为承载网路并且各种信息主要采用IP分组的方式进行传输。IP协议的简单性和通用性为网络上对关键设备的各种攻击提供了便利的条件。目前对网络设备常见的攻击有以下两种。(1)DoSDDoS攻击DoS攻击即“拒绝服务”，指通过过量的服务从而使软交换网络中的关键设备陷入崩溃的边缘或崩溃。包括UDP flood、SYN flood、ICMP flo0d、Smurf攻击、IP碎片攻击、畸形消息攻击等。DDoS攻击即“分布式拒绝服务”，它是一种基于DoS的特殊形式的拒绝服务攻击。是一种分布、协作的大规模攻击方式，它通过入侵一些具有漏洞的主机。并操控这些受害主机。以其为攻击平台向软交换网络中的关键设备发起大量的DoS攻击，从而致使软交换网络中的关键设备因无法处理过多的服务请求而陷入瘫痪。(2)利用型攻击此种攻击方式以通过窃取用户密码等方式获取关键设备的控制权为目的，主要包括口令猜测、特洛伊木马和缓冲区溢出等手段。由于目前软交换网络中的关键设备(如软交换、网关和各种服务器等)的硬件实现普遍基于通用平台(Compact PCI)，各种应用服务器同样基于业界流行的主机、服务器等，这样就导致黑客可以利用一些已知的后门和漏洞来攻击主机。非法获取主机的口令和密码，达到控制关键设备的目的。2.3.4 信息安全威胁信息安全主要包括软交换与终端之间信令消息的安全、用户之间媒体信息的安全以及用户私有信息(包括用户名、密码等)的安全。由于软交换网络采用开放的IP网络传输信息，在网络上传输的数据就很容易被监听，如果软交换与终端之间的信令消息被监听，有可能导致终端用户私有信息的泄漏，导致监听者可以利用监听到的信息伪造成合法用户接入网络；如果用户之间媒体信息被恶意监听，将导致用户私密信息的泄漏。2.4 本章小节本章首先综述软交换的体系结构以及功能描述。针对软交换特有的网络构造，软交换主要的安全隐患是：终端设备安全威胁、网络安全威胁、关键设备安全威胁和信息安全威胁。下一章将具体介绍软交换网络安全是原理及网络体系设计。3软交换网络安全的研究与实现第2章分析了软交换网络中存在一些安全问题，那么如何构建安全的软交换网络成为运营商所关心的问题之一。这章详细分析了构建软交换安全网络的几个关键技术以及论证了实现的可行性。3.1 组网的业务理论和实现原则软交换网络是业务驱动的网络，业务和呼叫控制完全分离，呼叫与承载完全分离。分离的目标是使业务真正独立于网络，灵活有效地实现业务的提供。软交换体系的业务主要可以划分成以下两大部分：对传统业务的继承和新业务的扩展，即由于软交换网络本身具有强大的业务能力，将各种业务灵活多样地组合并加以扩展而产生地各种业务应用。现有电话网中的一些基本业务和补充业务在软交换中直接提供，增值业务由应用服务器提供。应用服务器主要有两种业务提供方式：通过开放的应用编程接口(API)或接口协议，完成应用服务器和软交换间的通信，同时应用服务器提供各种应用编程接口，为第3方应用提供开发和接入平台。将业务交换点(SSP)功能置于应用服务器上，由应用服务器来负责适当的呼叫模式，并通过智能网应用协议(INAP)和智能网中己有的业务控制点(SCP)通信，在应用目前已经存在的智能业务的同时，又可开发新的智能业务。同时，组建的网络应该遵循以下原则： 组建的网络必须是可管理、可运营和可升级的，网络的计费和安全机制要达到电信级的要求，网络的设计和规划能够适应网络的发展。同时，对运营商现有的和将会有的计费要求、计费数据采集能够全方位地适应。 组建的网络应该能够平滑过渡这就要求在组建本地网时，首先能够提供现有网络所提供的服务，同时能够融合新的业务，使得不管是老用户还是新用户都不会觉得有丢失业务的感觉，而是对业务的使用更加方便和灵活。 应该遵循循序渐进的原则。组建本地网时，应该使宽带语音接入为着眼点，事先实现对宽带用户的语音接入，并利用软交换设备开放业务平台和开放接口，引入新的增值业务应用 必须针对市场进行细分。因为本次组网是基于本地的，所以主要用于本地业务，包括统一城市内本网用户之间的呼叫和本网用户与其它本地运营网用户间的呼叫。3.2软交换的网络安全架构根据软交换网络构架的层次，建立三条安全防线以保证软交换网络的安全策略的实施。网络设备防线：在接入口设置防火墙，保证软交换网络中的重要网络设备不受外界入侵；网络安全防线：运用一系列网络安全协议，保证分组数据的安全传输；接入安全防线：加密用户数据，加强认证机制，保证接入用户信息和业务的安全。根据三条防线，制定一些安全方面的解决方案。3-1 软交换的安全架构3.2.1 网络设备防线网络节点设备是软交换网络中最为关键的设备，主要包括软交换设备、中继网关设备、接入网关设备、信令网关设备、应用服务器和各类服务器等。为了充分保证软交换网络的安全，首先要保证网络中核心设备的安全，如果将核心的网络设备置于开放的IP网络中，网络的安全性将很难保证，所以可以将网络的核心设备放在专用网络中，采用私有IP地址的方案。而完全采用私有IP地址的方案是不可行的，由于终端用户的接入方式和接入地点比较灵活，因此软交换设备要能够接入和控制终端用户，又要同时分配有对应的公有IP地址，这样才能保证各种方式用户的接入。为此，可以在核心网外侧设置防火墙，并将软交换网络中少数需要与外界用户进行通信的核心设备的私有地址映射到相应的公有地址，同时利用防火墙对进入核心网的数据包进行过滤，只允许特定端口号的数据包通过防火墙，这种方法可以对Ping of Death等一系列的DoS(分布式拒绝服务攻击)攻击进行过滤。也可以应用入侵检测、流量控制、安全日志与审计等技术实现对软交换网络核心设备的安全防护。3.2.2 网络安全防线网络安全是指软交换网络本身的安全。由于软交换技术选择了分组网络作为承载网络，各种信息主要采用IP分组的方式进行传输，IP协议的简单和通用性为网络黑客提供了便利的条件。一、 利用IPSec技术提供安全保护在Megaco协议规范(RFC3015)中，指定Megaco协议的实现要采用IPSec协议保证媒体网关和软交换设备(即媒体网关控制器)之间的通信安全。在不支持IPSec的环境下，使用H248Megaco提供的鉴权头(AH)鉴权机制对IP分组实施鉴权。在Megaco协议中强调了如果支持IPSec就必须采用IPSec机制，并且指出IPSec的使用不会影响Megaco协议进行交户接续的性能。IPSec是IPv4协议上的一个应用协议，IPv6直接支持IPSec选项。3-2 隧道模式IPSec协议结构包括三个方面：(1)身份认证报头(AH)，提供非面向连接的数据完整性，数据的初始认证和可选的Antireplay服务；(2)封装安全负荷(ESP)，能够提供机密性(加密)，提供非面向连接的数据完整性，数据的初始认证和可选的Antireplay服务；(3)密钥交换IKE，允许通信双方协商加密密钥和加密方法。IPSec提供了访问控制、无连接完整性、数据源鉴别、载荷机密性和有限流量机密等安全服务，弥补了由于TCPIP协议体系自身带来的安全漏洞。在IPSec协议中，AH和ESP可以单独使用，也可以同时使用。由于一些国家的法律对加密进行严格的限制，因此ESP只作为一个可选方案。下面主要介绍采用IPsec AH鉴权机制保护软交换安全的方式。IPSec协议通过AH头对分组进行鉴权，它可以防止对服务器的非法访问和拒绝服务攻击。鉴权所用的密钥可以通过密钥分发协议(IKE)自动管理和分配(防止重发攻击必须采用自动密钥配置)。IPSec有两种模式：传输模式和隧道模式。相比而言，隧道模式的安全性能更好，它实际上是一种利用IPSec的VPN技术。在隧道模式下，IP分组头包含三个部分：外部IP头，指向IPSec网关的地址；内部IP头，指向通信的最终目的；在两个IP头之间是安全协议，提供鉴权和加密。对于拒绝服务攻击，IPSee通过两个步骤进行防范：AH 的鉴权：只有通过AH分组头鉴权的分组才被认为是合法的分组，否则将做丢弃处理；防重播(antireplay)检测：IPSec通过一个窗口算法实现对重复发送的检测。分组通过鉴权后，根据它的序列号判断它是否在窗口内，超过窗口的分组将被丢掉。避免了合法用户有意或无意的拒绝服务攻击。二、MPLS VPN技术在骨干