软交换的网络安全解决方案_李娟

软交换的网络安全解决方案李娟黄本雄(华中科技大学电信系武汉430074)摘要:软交换技术是下一代网络的核心技术,采用分层、开放的体系结构,打破了传统电信网封闭的格局,实现了多种异构网络间的融合。

IP技术本身存在的许多问题以及软交换作为一个新的技术而存在的问题,都是软交换技术在发展过程中需要面对和解决的问题,特别是软交换的安全问题。

本文提出了软交换的网络安全构架及其有效的解决方案。

关键词:软交换IPSec MPLS VPN IAD1背景随着IP网的迅速发展,软交换将以IP网为骨干,在各种网络相互融合的基础上,以一种统一的方式灵活地提供业务。

软交换控制器(Softsw itch)是软交换体系中的控制核心,它独立于底层承载协议,主要完成呼叫控制、媒体网关接入控制、资源分配、协议处理、路由、认证、计费等主要功能,向用户提供现有网络的业务,并向业务支撑环境提供底层网络能力的访问接口。

应用服务器则是软交换体系中业务支撑环境的主体,也是业务提供、开发和管理的核心。

软交换采用分层、开放的体系结构,将传统交换机的功能模块分离成独立的网络实体,各实体间采用开放的协议或API接口,从而打破了传统电信网封闭的格局,实现了多种异构网络间的融合。

下一代网络的体系通过将业务与呼叫控制分离、呼叫控制与承载分离,实现相对独立的业务体系,上层业务与底层的异构网络无关,灵活、有效地实现业务的提供,满足人们多样的、不断发展的业务需求。

可以说,软交换完全体现了业务驱动的思想和理念,很好地实现了多网的融合,提供了开放灵活的业务提供体系。

目前,软交换无论是标准还是设备上都处在一个逐渐成熟的过程之中,国内的运营公司所组建的软交换网络还在试验和试运行阶段,在软交换网络中涉及的许多问题还有待深入地探讨和研究,毕竟软交换采用的是以IP网络作为承载网络的技术。

IP技术本身存在的许多问题以及软交换技术作为一个新的技术而存在的问题,都是软交换技术在发展过程中需要面对和解决的问题。

软交换网络的承载网络采用的是分组网络,主要以IP网和ATM网作为承载网络,通信协议和媒体信息主要采用IP数据包的形式进行传送,软交换网络中接入节点比较多,用户的接入方式和接入地点都非常灵活,因此软交换网络也就面临着比较突出的安全问题,必须在IP网上采用合适的安全策略,以保证软交换网的网络安全。

2软交换的网络安全构架图1软交换的网络安全构架根据软交换网络构架的层次,建立三条安全防收稿日期:2004-07-26线以保证软交换网络的安全策略的实施。

网络设备防线:在接入口设置防火墙,保证软交换网络中的重要网络设备不受外界入侵;网络安全防线:运用一系列网络安全协议,保证分组数据的安全传输;接入安全防线:加密用户数据,加强认证机制,保证接入用户信息和业务的安全。

根据三条防线,制定一些安全方面的解决方案。

2.1网络设备防线网络节点设备是软交换网络中最为关键的设备,主要包括软交换设备、中继网关设备、接入网关设备、信令网关设备、应用服务器和各类服务器等。

为了充分保证软交换网络的安全,首先要保证网络中核心设备的安全,如果将核心的网络设备置于开放的IP网络中,网络的安全性将很难保证,所以可以将网络的核心设备放在专用网络中,采用私有IP 地址的方案。

而完全采用私有IP地址的方案是不可行的,由于终端用户的接入方式和接入地点比较灵活,因此软交换设备要能够接入和控制终端用户,又要同时分配有对应的公有IP地址,这样才能保证各种方式用户的接入。

为此,可以在核心网外侧设置防火墙,并将软交换网络中少数需要与外界用户进行通信的核心设备的私有地址映射到相应的公有地址,同时利用防火墙对进入核心网的数据包进行过滤,只允许特定端口号的数据包通过防火墙,这种方法可以对Ping of Death等一系列的DOS(分布式拒绝服务攻击)攻击进行过滤。

也可以应用入侵检测、流量控制、安全日志与审计等技术实现对软交换网络核心设备的安全防护。

2.2网络安全防线网络安全是指软交换网络本身的安全。

由于软交换技术选择了分组网络作为承载网络,各种信息主要采用IP分组的方式进行传输,IP协议的简单和通用性为网络黑客提供了便利的条件。

2.2.1利用IPSec技术提供安全保护在Meg aco协议规范(RFC3015)中,指定M eg a-co协议的实现要采用IPSec协议保证媒体网关和软交换设备(即媒体网关控制器)之间的通信安全。

在不支持IPSec的环境下,使用H.248P Megaco提供的鉴权头(AH)鉴权机制对IP分组实施鉴权。

在M eg aco协议中强调了如果支持IPSec就必须采用IPSec机制,并且指出IPSec的使用不会影响M eg a-co协议进行交户接续的性能。

IPSec是IPv4协议上的一个应用协议,IPv6直接支持IPSec选项。

IPSec协议结构包括三个方面:(1)身份认证报头(AH),提供非面向连接的数据完整性,数据的初始认证和可选的Ant-i replay服务;(2)封装安全负荷(ESP),能够提供机密性(加密),提供非面向连接的数据完整性,数据的初始认证和可选的Ant-i re-play服务;(3)密钥交换IKE,允许通信双方协商加密密钥和加密方法。

IPSec提供了访问控制、无连接完整性、数据源鉴别、载荷机密性和有限流量机密等安全服务,弥补了由于TCP P IP协议体系自身带来的安全漏洞。

在IPSec协议中,AH和ESP可以单独使用,也可以同时使用。

由于一些国家的法律对加密进行严格的限制,因此ESP只作为一个可选方案。

下面主要介绍采用IPSec AH鉴权机制保护软交换安全的方式。

IPSec协议通过AH头对分组进行鉴权,它可以防止对服务器的非法访问和拒绝服务攻击。

鉴权所用的密钥可以通过密钥分发协议(IKE)自动管理和分配(防止重发攻击必须采用自动密钥配置)。

IP-Sec有两种模式:传输模式和隧道模式。

相比而言,隧道模式的安全性能更好,它实际上是一种利用IPSec的VPN技术。

在隧道模式下,IP分组头包含三个部分:外部IP头,指向IPSec网关的地址;内部IP头,指向通信的最终目的;在两个IP头之间是安全协议,提供鉴权和加密。

图2M ecago协议采用IP Sec隧道保护软交换设备图3隧道模式对于拒绝服务攻击,IPSec通过两个步骤进行防范:AH的鉴权:只有通过AH分组头鉴权的分组才被认为是合法的分组,否则将做丢弃处理;防重播(ant-i replay)检测:IPSec通过一个窗口算法实现对重复发送的检测。

分组通过鉴权后,根据它的序列号判断它是否在窗口内,超过窗口的分组将被丢掉。

避免了合法用户有意或无意的拒绝服务攻击。

2.2.2MPLS VPN技术在骨干网层面,可以采用目前相对比较成熟的技术)))M PLS VPN技术,构建相对独立的VPN 网络。

这样可以对不同用户间、用户与公网间、业务子网之间的路由信息进行隔离,并且非M PLS VPN 内的用户无法访问到软交换域VPN内的网络设备,从而保证网络的安全。

M PLS为每个IP包加上一个固定长度的标签,并根据标签值转发数据包。

M PLS实际上是一种隧道技术,所以使用它来建立VPN隧道十分容易且高效。

从以下的分析中可以得出结论:M PLS VPN 采用路由隔离、地址隔离和信息隐藏等多种方法提供了抗攻击和标记欺骗的手段,完全能够提供与传统的ATM或帧中继VPN相类似的安全保证。

特点是:路由隔离:MPLS VPN实现了VPN之间的路由隔离。

每个PE路由器为每个所连接的VPN维护一个独立的虚拟路由转发实例(VFI),每个VFI 驻留来自同一VPN的路由(静态配置或在PE和CE之间运行路由协议)。

每个VPN都产生一个独立的VFI,因此不会受到该PE路由器上其它VPN 的影响。

隐藏M PLS核心结构:使用/路由隔离0, M PLS不会将不必要的信息泄露给外界,甚至是向客户VPN。

抗攻击性:进行了路由隔离,因此不可能从一个VPN攻击另外一个VPN或核心网络。

但从理论上讲有可能利用路由协议对PE路由器进行DoS攻击,或者攻击MPLS的信令信息。

标记欺骗:在M PLS网络中,包的转发是基于由PE路由器预先添加的标记。

与IP欺骗攻击时攻击者替代包的IP源地址和目的地址相似,理论上有可能出现M PLS包的标记欺骗。

3接入安全防线各种终端设备是软交换网络中最大的安全隐患,可以在软交换网络的接入边缘设置宽带接入服务器(Broadband Access Server),作为用户接入网和骨干网之间的网关,终结来自用户接入网的连接,并提供接入到宽带核心业务网(主要是IP网和AT M 网)的服务。

宽带接入服务器一般具有网络安全模块和业务管理模块,网络安全模块包括IP VPN模块和防火墙模块;业务管理模块包括网络接入认证与授权模块、计费模块和统计模块,另外有些宽带接入服务器还可以提供流量管理和控制。

利用宽带接入服务器可以对终端用户的接入进行控制和管理。

在软交换网络中存在大量的终端设备,其接入地点和接入方式都非常灵活,无法避免有些用户利用非法终端或设备访问网络、占用网络资源、非法享受业务和服务,并且某些用户可能利用非法终端或设备向网络发动攻击,对网络的安全造成威胁(如发送大量的IP数据包等)。

因此,要保证软交换网络的安全,需要对软交换网络中的终端设备进行鉴权和认证,主要是IAD设备和SIP P H.323等终端设备。

目前,对IAD设备的鉴权和认证主要有以下几种方式:(1)IAD在向软交换进行注册时,软交换设备可以从IAD向软交换设备发送的注册信息中提取出IP地址或域名,或IP地址与其它参数的组合,与自身数据库中的数据进行比较,如果提取出来的信息在数据库中不存在,那么判定该IAD设备为非法终端,注册将失败。

这种方案对于采用静态IP地址配置方式是可行的,但是为了IAD设备配置的灵活,有些IAD的IP地址采用动态分配的方式,IP地址和IAD设备之间没有一一对应的关系,这样通过IP地址来对IAD设备进行鉴权和认证就不可行了。

(2)在IAD设备向软交换发送的注册信息中携带MAC地址信息。

M AC地址信息对于IAD设备来说是唯一的,且唯一地标识IAD设备,该方案也是目前应用比较广泛的一种方案。

软交换在收到IAD设备发送的注册消息后,从中提取出M AC地址信息,并与自身数据库中所保存的信息进行比较。

为了实施该方案,需要在正常标准的H.248P MGCP 协议的注册命令中增加一些扩展参数来携带MAC 地址信息。

考虑到M AC地址信息在网络传输时可能会被窃取,需要对IAD的MAC地址进行加密。

(3)是IAD设备在工作之前必须完成管理注册和业务注册。

管理注册是IAD设备在启动后向网管站进行注册,业务注册是IAD设备向软交换进行注册。