构建安全城域网.pdf

维普资讯 2O06年第8期 《贵州电力技术) (总第86期) 构建安全城域网 贵州电力调度通信局 申 芳 [550002] 城域网非信任域的安全保障措施应该从城域网 1 城域网安全特点 分层模型出发，实现核心、汇聚和接人层层防御，增 一 直以来，城域网的安全问题始终都是困扰网 强网络抗攻击性的能力。 管的心头症结之一。其实，任何系统的安全问题均 2 非信任区核心层的安全保障 源 自对系统产生的 “威胁”，作用于系统本身 “脆弱 性”，而最终体现在对系统的不 良“影响程度”上。 核心交换层由核心交换节点构成，它将多个边 根据安全模型，宽带城域网可以分成三个区域： 缘汇聚层连接起来，提供穿透服务，进行数据的高速 信任域、非信任域和隔离区域(非军事区)。信任域 转发，同时实现与全国骨干网络的互联，提供城市高 是宽带运营商的基础网络，通常采用防火墙等设备 速 II)数据出口。用户数据流可通过汇聚层上行到 与电信业务网隔离，包括网管平台、智能业务平台、 核心网络，通过核心网获取所需业务。 认证平台等设备；隔离区域是信任域和非信任域之 威胁城域核心网安全的风险，主要表现为核心 间进行数据交互的平台，包括各种业务平台，如Web 设备遭受攻击或病毒引发网络流量激增，进而对设 服务平台、FTP服务器、用户查询平台、Mail服务器 备性能产生冲击。从技术上，建议对核心交换设备 等；非信任域是运营商面对客户的基础网络，它直接 应采取的安全措施包括： 提供用户的接人和业务，同时也是 Intemet网络的一 2．1 针对核心设备性能。要求 部分，包括基础用户接人、数据交换、媒体网关等设 (1)无阻塞交换，QoS保障：核心设备应采用高 备，是不能完全控制的网络。非信任域的基础网络 背板的交换设备，要有足够的带宽来保证大量业务 是信息传输的基础，在城域网中起着至关重要的作 流进行快速数据交换，采用队列、整形等QoS技术来 用，作为安全模型中的非信任域，需要重点考虑。 达到重要数据流的无拥塞转发，要避免流 Cache模 ■蕾l I IIIIlllt 型造成系统崩溃。 (2)设备及链路的冗余备份：系统出现软硬件 故障时，可迅速切换到备用模块；采用STP技术进行 链路备份，来增强可靠性；核心交换设备是整个城域 网的心脏，所以要具有高可靠性，一般都采用多台交 换设备互备，并采用双引擎、双电源、双链路的备份 方式。原则上要求核心节点间采用网状或半网状连 接。 2．2 针对核心设备配置。要求 (1)多级安全密码体系，配置强密码与启用密 图 1 宽带城域网的安全模型 码加密