IPTV业务承载网的安全体系研究.pdfVIP

《2011 信息通信网技术业务发展研讨会》论文集 1.2 IPTV1.2 IPTV业务对网络安全的需求业务对网络安全的需求 1.2 IPTV1.2 IPTV业务对网络安全的需求业务对网络安全的需求 由于 IPTV 业务受众的实现终端不同，和传统的互联网业务终端个人电脑的区 别在于，作为自有业务，IPTV 业务网络中的机顶盒和电视在承载业务上更加单一、 明确和可控，在一定程度上为安全策略的实现提供了有力工具的同时，也对终端 安全控制力度提出了更高的要求。 组播技术相对松散的数据转发特点，使得在视频流进行传输的过程中，对组 播源和组播接收者的控制变得同样重要，和传统的互联网安全相比，由于有组播 域的概念，整个组播转发网络的安全与否直接取决于网络中最薄弱的一环，因而 在各层面设备上分别来进行组播安全技术上的考虑则是十分必要的。 在 IPTV 业务认证中最常被用到的 DHCP 技术经历了这么多年的发展和完善， 已经能够满足运营商级业务的认证需求，网络设备在进行DHCP 报文转发的过程中 能够通过一些技术实现来保证网络本身 以及为认证服务器侧 的安全需求提供一些 准备和铺垫 。即便如此，针对 DHCP 认证的安全体系依旧是我们需要重点考虑的部 分。 二、二、整体安全体系设计整体安全体系设计 二二、、整体安全体系设计整体安全体系设计 首先花一部分时间来致力于整体安全策略和体系的设计 的好 是不言而喻 的，作为一个完整构建的体系，在这样一张开放性比较强的互联网上，所有的安 全策略都要围绕实实在在的设备、IP 以及逻辑 的通路来展开，设计优秀的整体规 划就像给媒体流打包，在这之后再放到公用的网络上传输，这样无论在效率上还 是在安全性上都会事半功倍 。 2.1 IP2.1 IP 地址规划地址规划 2.1 IP2.1 IP 地址规划地址规划 在网络中所有的网络设备都是以 IP 地址来标识 自己的，因而 IP 地址特别是 用户机顶盒 IP 地址的规划，将直接左右用户安全策略制定的难易程度。对于 IPTV 业务规划单独的网段或者采用私有 IP 网段，都会给今后针对 IP 地址为目的进行 安全策略部署时更加的得心应手，以达到配置数量最少、控制粒度最精确的目的。 由于 IPTV 业务特点，其占用网络通路和资源通常更为可观，因而严格控制用 户无法使用这部分资源其从事其他互联网行为将是紧接着要考虑的问题。在实际 169 《2011 信息通信网技术业务发展研讨会》论文集 的控制策略中，针对 IPTV 业务这类对于运营商来说相对封闭 的业务类型，可以采 用与普通公众上网完全不同的 IP 地址段 已经访问控制策略，例如限制用户用获取 的 IPTV 业务 IP 只允许访问视频业务平台、DNS 和少数几个合作内容提供商网站， 从根本上杜绝 IPTV 业务终端与互联网中大部分网络设备的联系，从而建立一张相 对封闭 的 IPTV 逻辑承载网络。 大致的示意图如下所示： 图2-1 IPTV 安全体系示意图 2.22.2 组播地址规划组播地址规划 2.22.2 组播地址规划组播地址规划 作为 IPTV 的关键业务之一，由组播技术承载的直播业务，由于有主动推送的 特点而使其视频源一旦 出现问题，则涉及范围将特别巨大，影响将特别严重。因 而如何对 IPTV 业务中用组播技术实现的部分进行严格的控制和管理，是我们在构 建 IPTV 承载网时第一个考虑到的问题。 无疑，在 IPTV 开展时，常常会 由多个厂家的媒体平台来提供包括直播、轮播 在内的多种组播类服务，通过对不同平台传送 的不同业务定义不同的组播地址段， 170 《2011 信息通信网技术业务发展研讨会》论文集 一方面可以对 IPTV 业务的组