安全接入系统范文

安全接入系统范文（精选11篇）

安全接入系统 第1篇

为解决公司信息系统接入管理中存在的问题, 结合公司现有的应用系统接入现状、用户接入需求, 提出信息系统安全接入监测管理平台的建设目标:建立电子化工作流程, 规范公司信息系统上下线及系统检修过程。通过技术手段, 实时监测信息内网中应用系统的运行情况, 结合系统的上下线审批信息、检修工作信息及时识别信息内网中业务系统的违规接入行为并进行告警, 最终达到对信息系统接入的统一管理, 保证公司业务应用、数据的一致性和准确性。

一、业务系统的设计思想

1.1系统设计原理

业务系统的非法安装和部署是公司业务系统管理面临的重要问题, 在制定信息系统上下线、检修审批等规范流程的基础上, 更需要通过技术手段对制度、规范进行支撑, 业务系统安全接入监测管理平台通过对违规部署系统、违规部署应用工程、违规新增数据库表等常见违规类型的监测来实现业务系统接入监测的落地。

(1) 违规部署系统。违规部署系统是指未经许可在信息网内接入新的主机进行应用系统的部署, 或在合法接入信息网络的主机上部署一套应用系统, 形成新的业务系统。 (2) 违规部署应用工程。违规部署应用工程是指未经许可在某个合法的系统应用工程中再单独部署一套应用工程, 从而实现单独的系统功能或模块。 (3) 违规新增数据库表。违规新增数据库表是指在某个合法的数据库系统中新增未经许可的数据库实例、数据用户和数据库表, 为新的业务应用或功能提供数据存储。

公司已经部署了信息系统综合网管系统, 实现了业务系统各组成要素如主机状态、进程、数据表空间、应用服务器运行情况的监测。因此, 本次系统监测方式设计, 只需要在此基础上, 梳理业务系统与主机、数据库、应用服务器之间的关系, 通过业务系统依赖的主机、应用服务器、数据库进行违规部署、违规应用部署、违规新增数据库表的监测从而完成对业务系统非法接入的监测。

1.2系统工作机制

业务系统 (见图1) 主要监测信息网内网络内核心IP地址、业务系统所依赖的主机、应用服务器 (Weblogic、Websphere、Tomcat等) 、数据库来进行业务系统接入的判断。主要工作机制如下: (1) 建立主机网段合法接入IP地址清单, 定期监测主机网段内IP地址的变化情况, 对于新增IP且不包含在合法接入IP地址清单中的IP地址, 说明信息网内有新的主机接入, 存在新建业务系统的可能而进行告警。 (2) 建立信息网内应用系统工程、中间件主机进程清单, 定期监测信息网内主机的进程信息, 对于主机中出现的新增进程, 且包含在进程清单中, 说明在主机上存在业务系统的安装。判断该进程信息是否经过许可, 如果未经许可则进行告警, 反之不告警。 (3) 建立信息网内数据实例、用户名、表空间信息清单, 定期监测数据库的运行状态, 对于数据库中出现的新增实例、或新增用户、新增数据库表, 且这些信息不包含在数据库实例、用户名、表空间清单中, 说明该数据库存在新业务应用或业务功能的增加, 判断该新增实例、用户、数据库表是否经过许可, 如果未经许可则进行告警, 反之不告警。 (4) 建立信息网内应用服务器 (Weblogic、Websphere、Tomcat) 工程名称、数量清单, 定期监测信息网内应用服务器运行状态, 对于应用服务器中出现的新增工程名, 且不包含在工程名清单中, 说明该应用服务器中存在业务系统的安装。判断该进程信息是否经过许可, 如果未经许可则进行告警, 反之不告警。

二、系统总体架构设计

平台主要用户为地市公司运维人员、信通公司运维人员、电科院督查人员、科信部管理人员。地市公司运维管理人员、信通公司运维人员是系统的主要用户, 使用系统对本单位的业务系统接入情况进行检查和管理。电科院督查人员负责业务系统违规接入信息的督查和违规处理审核工作。科信部管理人员通过系统对业务系统安全接入业务进行管理和指导。

平台分为9个业务模块来实现业务系统的实时监测, 主要有违规IP监测、主机进程监测、应用服务监测、数据库表监测、违规接入告警、违规分析、系统台账管理、业务系统注册审批管理、数据采集管理功能。平台通过SNMP、SSH、JMX、JDBC等协议实现对业务系统所依赖的网络IP地址、主机进程、应用服务、数据表的监测。平台从公司信息系统综合监管系统 (IMS) 获取业务系统的检修信息, 通过检修信息中主机IP信息、主机进程信息、数据库信息、应用服务器工程名称作为违规接入的判断依据。

三、系统模块功能

3.1数据采集管理

数据采集管理是系统的基础功能, 采集部分主要负责从Windows、Linux、HP Unix主机采集进程信息, 从Weblogic、Websphere、Tomcat等采集应用服务列表, 从Oracle等数据库采集数据库实例、用户、数据库表信息, 为业务系统安全接入平台进行违规分析提供支撑。数据采集管理功能主要包括:数据采集模板管理、数据采集执行管理、采集数据管理。

3.2业务系统注册审批管理

平台建立业务系统注册审批机制, 通过业务系统接入审批流程规范公司业务系统上下线管理, 对未进行审批备案的系统通过监测机制进行自动告警, 从而保证系统建设、运行维护各阶段的平稳过渡和有序衔接, 确保系统安全稳定可靠运行。业务系统注册审批管理主要功能包括:业务系统上下线申请、系统上下线审批、上下线审批查询。

3.3违规IP监测

违规IP监测功能采用IP白名单的方式进行监测, 用户根据需要在系统内建立主机段内信任IP地址形成IP白名单, 当监测到主机网段内存在不属于IP白名单外的IP地址时, 且该IP地址没有与之对应的主机接入审批单, 则向运维人员发出违规接入告警。违规IP监测主要功能包括:主机扫描网段配置、主机网段扫描、违规主机告警。

3.4主机进程监测

平台通过数据采集管理实时从Windows、Linux、HPUnix主机采集进程信息、作为进程监测的依据。系统采用黑名单监测的方式进行进程的监测, 即用户根据需要, 在系统中事先设定需要监测的进程名称列表作为系统进程监测的黑名单, 当监测到主机上实际运行中的进程信息包含黑名单进程信息时, 且此进程没有与之对应的检修审批单, 则向运维人员发出违规接入告警。主机进程监测主要功能包括:主机进程白名单设置、主机进程核对、违规主机及进程告警。

3.5应用服务监测

平台通过数据采集管理实时从Weblogic、Websphere、Tomcat等采集应用服务列表、作为进程监测的依据。平台提供一致性检查的方式进行应用服务工程名和数量的监测。事先获取要监测的每个应用服务器应用工程数量和名称作为监测的基准, 当监测到应用服务器上应用工程数量或工程名称与监测基准不一致, 且此应用服务器没有与之对应的检修审批单, 则向运维人员发出违规接入告警。应用服务监测主要功能包括:应用服务器监测基准设置、应用服务器监测信息核对、应用工程违规告警。

3.6数据库表监测

平台提供与应用服务相同的一致性检查方式对数据库实例数量、数据库用户数量、数据库用户表数量和名称进行监测。系统事先获取要监测的每个数据库实例数量和名称、数据库实例下的用户数量和名称、每个用户下的数据表数量和名称作为监测的基准。当监测到数据库上数据库实例、数据用户数量、数据库表数量三者有其一与监测基准不一致, 且新增的数据库实例、用户、数据库表没有与之对应的检修审批单, 则向运维人员发出违规接入告警。数据库表监测主要功能包括:数据库监测基准设置、数据库监测信息核对、数据库违规告警。

3.7违规接入告警

业务系统违规接入告警提供对网段IP、主机进程、应用服务、数据库表违规告警的集中展示与处理功能。地市单位、信通公司运维人员通过告警展示功能实时监测本单位的业务系统违规接入告警, 对出现的违规告警信息进行处理。公司电科院对各单位处理后的告警信息进行审批, 审批通过后系统自动消除违规告警。系统提供丰富的查询条件可以对历史的违规告警信息进行查询。业务系统违规接入告警主要功能包括:违规告警展示、违规告警处理、违规告警查询。

3.8违规分析

违规分析是基于历史数据对业务系统的违规情况进行集中分析和展示, 通过数据的分析可以协助地市、信通公司运维人员发现本单位违规接入的分布和趋势, 及时制定对应的解决措施。电科院督查人员、科信部管理人员可以通过系统查看各单位业务系统违规情况, 针对不同单位的具体情况, 制定业务系统安全接入策略和管理方法, 从而提高业务管理能力。违规分析主要功能有:违规趋势分析、违规数量分析、违规类型分析。

3.9系统台账管理

系统台账管理功能分为系统台账信息和系统配置关系管理两部分。系统台账信息按照业务应用、公共服务平台、配套保障三类对业务系统进行划分。按照基本信息、采购信息、服务信息、维护信息、应用与配置信息、审批单信息、所属主机列表信息进行业务系统台账的管理。系统配置关系直观、形象、全面地反映业务系统所依赖的主机、数据库、中间件之间的关系, 同时可以在相互依赖关系图上进一步查看详细的设备配置情况。

四、业务系统安全接入策略管控

对于业务系统安全接入策略管控来说, 完成各软件的功能任务是十分重要的。通过对企业业务系统行为的刻画, 了解系统与环境的关系, 通过各功能的完成, 满足业务基本需要。业务系统安全接入策略实现了系统与综合网管系统完美集成, 同时还具备综合网管系统优点和特色。应用数据采集节点没有数据限制、新增类型的数据采集易扩充、采集探测频率的周期可调等灵活性措施。系统采用了OSGI架构, 加强服务器的进行采集的配置监控策略。业务流程监测系统采用OSGI架构的数据采集框架, 凭借其可分布式部署, 系统的可用性有了显著的提升, 有效完善了业务应用监控的功能。采用OSGI架构, 通过监控组件的支持进行部署。在系统正常运行的过程当中, 加强监控组件的部署, 提升系统的监控功能。作为全新的java框架技术, 加强运维管理平台的功能扩展, 以实现组件化开发。组件化开发通过独立运行功能组件的细分, 对外提供访问接口。利用java支持工具整理, 编译jar包, 以满足OSGI组件的要求。独立运行的组件有效的联系。一切工作就绪后, 采取远程管理方式, 对监控插件的安装、运行、停止、升级进行有效的监管, 以实现对OSGI端的监控。另外, 基于Esper规则引擎实现指标计算和预警规则, Ext JS页面开发框架以及基于Quartz的任务调度组件, 都可以作为业务策略安全接入的有效途径和方法。

五、结束语

综上所述, 业务系统安全接入监测管理平台, 有效防范了未经许可的系统接入和主机入网。为信息系统运行管理和监督提供了有力的技术手段, 提高了运维人员管理水平。它能够实现信息网内业务系统及其组件的监测, 能及时发现信息系统的主机违规接入、服务器进程、数据库实例、用户及数据表的变动情况, 让运维人员及时发现关联的信息系统接入异常, 并能尽快处理问题, 提高人员工作效率。同时, 通过系统的应用, 规范了业务系统的上下线及检修流程, 为业务系统管理提供支撑。目前该系统已在国网福建电力公司建成投运, 运行效果非常好。

摘要：随着我国信息技术的快速发展, 企业业务系统也在逐渐的发展和完善。而业务系统集中了企业大量的运营信息和生产数据, 是企业业务发展的基础。本文就结合国网福建省电力公司主要业务系统的构成特点, 设计出了一种适合于该公司业务系统的安全接入监测解决方案。为实现对信息内网中业务系统的违规接入行为进行告警。有效的加强安全接入管控, 确保了企业业务平稳有序的进行下去。

关键词：安全接入,违规告警,管控

参考文献

[1]邵一波.业务平台安全运维方案研究[J].电信技术, 2015, 08:90-96.

[2]蒋诚智, 刘婷婷, 余勇.一种国际业务信息安全防护模型[J].计算机技术与发展, 2014, 01:158-162.

蓝牙无线接入系统简介 第2篇

1 无线频段的选择和抗干扰

蓝牙技术采用2400～2483.5MHz的ISM(工业、科学和医学)频段，这是因为：(1)该频段内没有其它系统的信号干扰，同时频段向公众开放，无须特许;(2)频段在全球范围内有效。世界各国、各地区的相关法规不同，一般只规定信号的传输范围和最大传输功率。对于一个在全球范围内运营的系统，其选用的频段必须同时满足所有规定，使任何用户都可接入，因此必须将所需要素最小化。在满足规则的情况下，可自由接入无线频段，此时，抗干扰问题便变得非常重要。因为2.45GHZ ISM频段为开放频段，使用其中的任何频段都会遇到不可预测的干扰源(如某些家用电器、无绳电话和汽车开门器等)，此外，对外部和其它蓝牙用户的干扰源也应作充分估计。

抗干扰方法分为避免干扰和抑制干扰。避免干扰可通过降低各通信单元的信号发射电平达到;抑制干扰则通过编码或直接序列扩频来实现。然而，在不同的无线环境下，专用系统的干扰和有用信号的动态范围变化极大。在超过50dB的远近比和不同环境功率差异的情况下，要达到1Mb/s以上速率，仅靠编码和处理增益是不够的。相反，由于信号可在频率(或时间)没有干扰时(或干扰低时)发送，故避免干扰更容易一些。若采用时间避免干扰法，当遇到时域脉冲干扰时，发送的信号将会中止。大部分无线系统是带限的，而在2.45GHZ频段上，系统带宽为80MHz，可找到一段无明显干扰的频谱，同时利用频域滤波器对无线频带其余频谱进行抑制，以达到理想效果。因此，以频域避免干扰法更为可行。

2 多址接入体系和调制方式

选择专用系统多址接入体系，是因为在ISM频段内尚无统一的规定。频分多址(FDMA)的优势在于信道的正交性仅依赖发射端晶振的准确性，结合自适应或动态信道分配结构，可免除干扰，但单一的FDMA无法满足ISM频段内的扩频需求。时分多址(TDMA)的信道正交化需要严格的时钟同步，在多用户专用系统连接中，保持共同的定时参考十分困难。码分多址(CDMA)可实现扩频，应用于非对称系统，可使专用系统达到最佳性能。直接序列(DS)CDMA因远近效应，需要一致的功率控制或额外的增益，与TDMA相同，其信道正交化也需共同的定时参考，随着使用数目的增加，将需要更高的芯片速度、更宽的带宽(抗干扰)和更多的电路消耗。跳频(FH)CDMA结合了专用无线系统中的各种优点，信号可扩频至很宽的范围，因而使窄带干扰的影响变得很小。跳频载波为正交，通过滤波，邻近跳频干扰可得到有效抑制，而对窄带和用户间干扰造成的通信中断，可依赖高层协议来解决。在ISM频段上，FH系统的信号带宽限制在1MHZ以内。为了提高系统的鲁棒性，选择二进制调制结构。由于受带宽限制，其数据速率低于1Mb/s。为了支持突发数据传输，最佳的方式是采用非相干解调检测。蓝牙技术采用高斯型频移键控(GFSK)调制，调制系数为0.3。逻辑“1”发送正频偏，逻辑“0”发送负频偏。解调可通过带限FM鉴频器完成。

3 媒体接入控制(MAC)

蓝牙系统可实现同一区域内大量的非对称通信。与其它专用系统实行一定范围内的单元共享同一信道不同，蓝牙系统设计为允许大量独立信道存在，每一信道仅为有限的用户服务。从调制方式可看出，在ISM频段上，一条FH信道所支持的比特率为1Wb/S。理论上，79条载波频谱支持79Mb/S，由于跳频序列非正交化，理论容量79Mb/s不可能达到，但可远远超过1Mb/S。

一个FH蓝牙信道与一微微网相连。微微网信道由一主单元标识(提供跳频序列)和系统时钟(提供跳频相位)定义，其它为从单元。每一蓝牙无线系统有一本地时钟，没有通常的定时参考。当一微微网建立后，从单元进行时钟补偿，使之与主单元同步，微微网释放后，补偿亦取消，但可存储起来以便再用。不同信道有不同的主单元，因而存在不同的跳频序列和相位。一条普通信道的单元数量为8(1主7从)，可保证单元间有效寻址和大容量通信。蓝牙系统建立在对等通信基础上，主从任务仅在微微网生存期内有效，当微微网取消后，主从任务随即取消。每一单元皆可为主/从单元，可定义建立微微网的单元为主单元。除定义微微网外，主单元还控制微微网的信息流量，并管理接入。接入为非自由竞争，625ps的驻留时间仅允许发送一个数据包。基于竞争的接入方式需较多开销，效率较低。在蓝牙系统中，实行主单元集中控制，通信仅存在于主单元与一个或多个从单元之间。主从单元间通信时，时隙交替使用。在进行主单元传输时，主单元确定一个欲通信的从单元地址，为了防止信道中从单元发送冲突，采用轮流检测技术，即对每个从到主时隙，由主单元决定允许哪个从单元进行发送。这一判定是以前一时隙发送的信息为基础实施的，且仅有恰为前一主到从被选中的从地址可进行发送。若主单元向一具体从单元发送了信息，则此从单元被检测，可发送信息。若主单元末发送信息，它将发送一检测包来标明从单元的检测情况。主单元的信息流体系包含上行和下行链路，目前已有考虑从单元特征的智能体系算法。主单元控制可有效阻止微微网中的单元冲突。当互相独立的微微网单元使用同一跳频时，可能发生干扰。系统利用ALOHA技术，当信息传送时，不检测载波是否空载(无侦听)，若信息接收不正确，将进行 重发(仅有数据)。由于驻留期短，FH系统不宜采用避免冲突结构，对每一跳频，会遇到不同的竞争单元，后退(backoff)机制效率不高。

4 基于包的通信

蓝牙系统采用基于包的传输：将信息流分片(组)打包，在每一时隙内只发送一个数据包。所有数据包格式均相同：开始为一接入码，接下来是包头，最后是负载。

接入码具有伪随机性质，在某些接人操作中，可使用直接序列编码。接人码包括微微网主单元标志，在该信道上，所有包交换都使用该主单元标志进行标识，只有接入码与接入微微网主单元的接入码相匹配时，才能被接收，从而防止一个微微网的数据包被恰好加载到相同跳频载波的另一微微网单元所接收。在接入端，接入码与一滑动相关器内要求的编码匹配，相关器提供直接序列处理增益。包头包含：从地址连接控制信息3bit，以区分微微网中的从单元;用于标明是否需要自动查询方式(ARQ)的响应/非响应1bit;包编码类型4bit，定义16种不同负载类型;头差错检测编码(HEC)8bit，采用循环冗余检测编码(CRC)检查头错误。为了限制开销，数据包头只用18bit，包头采用1/3率前向纠错编码(FEC)进一步保护。

蓝牙系统定义了4种控制包：(1)ID控制包，仅包含接入码，用于信令;(2)空(NULL)包，仅有接入码和包头，必须在包头传送连接信息时使用;(3)检测(POLL)包，与空包相似，用于主单元迫使从单元返回一响应;(4)FHS包，即FH同步包，用于在单元间交换实时时钟和标志信息(包括两单元跳频同步所需的所有信息地其余12种编码类型用于定义包的同步或异步业务。

在时隙信道中，定义了同步和异步连接。目前，异步连接对有无2/3率 FEC编码方式的负载都支持，还可进行单时隙、3时隙、5时隙的数据包。异步连接最大用户速率为723.2kb/s，这时，反向连接速率可达到57.6kb/s。通过交换包长度和依赖于连接条件的FEC编码，自适应连接可用于异步链，依赖有效的用户数据，负载长度可变。然而，最大长度受限于RX和TX之间最少交换时间(为200Ps)。对于同步连接，仅定义了单时隙数据包传输，负载长度固定，可以有1/3率、2/3率或无FEC。同步连接支持全双工，用户速率双向均为64kb/s。

5 以物理连接类型建立连接

蓝牙技术支持同步业务(如话音信息)和异步业务(如突发数据流)，定义了两种物理连接类型：同步面向连接的连接(SCO)和异步无连接的连接(ACL)，

SCO为主单元与从单元的点对点连接，通过在常规时间间隔内预留双工时隙建立起来。ACL是微微网中主单元到所有从单元的点到多点连接，可使用SCO连接末用的所有空余时隙，由主单元安排ACL连接的流量。微微网的时隙结构允许有效地混合利用异步和同步连接。

专用系统设计中的关键问题是，如何在单元间找到对方，并建立连接。在蓝牙系统中，建立连接分为扫描、呼叫和查询3步。在空闲模式下，一单元保持休眠状态，以节省能量，但为了允许建立连接，该单元必须经常侦听是否有其它单元欲建立连接。在实际的专用系统中，没有通用的控制信道(一个单元为侦听呼叫信息而锁定)，这在常规蜂窝无线系统中是很普遍的。而在蓝牙系统中，一单元为侦听其标志而周期性被唤醒，当一蓝牙单元被唤醒时，便开始扫描，打开与从自身标志得到的接人码相匹配的滑动相关器。扫描窗稍微超过10ms，每次单元被唤醒，扫描不同的跳频(规则要求不允许设固定的唤醒频率，可免除干扰)。蓝牙的唤醒跳频序列的数量仅为32跳，循环使用，覆盖整个80MHz带宽中的64MHz。序列是伪随机的，在每一蓝牙设备中都是唯一的。序列从单元标志中得到，序列的相位由单元中的自行时钟决定。在空载模式下，要注意功率消耗和响应时间的折中选择：增加休眠时间可降低功耗，但会延长接入时间，由于不知道空闲单元在哪一频率上何时被唤醒，想要连接的单元必须解决时频不定问题。无线单元大部分时间处于空闲模式，这种不确定的任务应由呼叫单元来完成。假定呼叫单元知道欲连接单元的标志，也知道唤醒序列产生用于呼叫信息的接入码，在不同频率上，每1.25ms呼叫单元重复发送接入码，对于一次响应，需发送和监听两次接入码。

将连续接入码发送到不同唤醒序列所选择的跳频上。在10ms周期内，访问16个不同跳频载波，为唤醒序列的一半。在空闲单元的休眠期内，呼叫单元在16个频率上循环发送接入码，空闲单元被唤醒后，将收到接入码，并开始建立连接。然而，因为呼叫单元不知道空闲单元的相位，32个跳频唤醒序列中的其余16个频率也可能被唤醒。若呼叫单元在相应的休眠期内收不到空闲单元的响应，它将会在其余的一半跳频序列载波上重复发送接入码。因此，最大的接入码延迟为休眠时间的两倍。当空闲单元收到呼叫信息后，会返回一个提示呼叫单元的信息，即从空闲单元标志中得到的接入码。然后，呼叫单元发送一个FHS数据包给空闲单元，包含呼叫单元 的全部信息(标志和时钟)。呼叫单元和空闲单元用该信息建立微微网，此时呼叫单元用其标志和时钟定义FH信道为主单元，而空闲单元成为从单元。

上述呼叫过程建立在呼叫单元完全不知道空闲单元时钟信息的假设上。如果两单元间建立过联系，呼叫单元会对空闲单元时钟有一估计。当单元连接时，将交换时钟信息，存储各自自由运行本地时钟间的补偿时间。这种补偿仅在建立连接时准确，当连接释放后，由于时钟漂移，补偿信息变得不可靠。补偿的可靠性与最后一次连接后的时间长度成反比。

建立连接时，接收标志用于决定呼叫信息和唤醒序列。若不知道该信息，欲进行连接的单元可发布一查询消息，让接收方返回其地址和时钟信息。在查询过程中，查询者可决定哪个单元在需要的范围内，特性如何。查询信息也为一接入码，但从预留标志(查询地址)得到。空闲单元根据32跳的查询序列侦听查询信息，收到查询信息的单元返回FHS包。对于返回的FHS包，采用一随机阻止机制，防止多个接收端同时发送。

在呼叫和查询过程中，使用了32跳载波。对于纯跳频系统，最少要使用75跳载波。然而，在呼叫和查询过程中，仅有一个接入码用于信令。接入码用作直接序列编码，得到由直接序列编码处理增益结合32跳频序列的处理增益，可满足混合DS/FH系统规定所要求的处理增益。因此，在呼叫和查询过程中，蓝牙系统是混合DS/FH系统;而在连接时，为纯FH系统。

6 纠错

蓝牙系统的纠错机制分为FEC和包重发。FEC支持1/3率和2/3率FEC码。1/3率仅用3bit重复编码，大部分在接收端判决，既可用于数据包头，也可用于 SCO连接的包负载。2/3率码使用一种缩短的汉明码，误码捕捉用于解码，它既可用于SCO连接的同步包负载，也可用于ACL连接的异步包负载。使用FEC码，编/解码过程变得简单迅速，这对RX和TX间的有限处理时间非常重要。

在ACL连接中，可用ARQ结构。在这种结构中，若接收方没有响应，则发端将包重发。每一负载包含有一CRC，用来检测误码。ARQ结构分为：停止等待ARQ、向后N个ARQ、重复选择 ARQ和混合结构。为了减少复杂性，使开销和无效重发为最小，蓝牙执行快ARQ结构：发送端在TX时隙重发包，在RX时隙提示包接收情况。若加入2/3率FEC码，将得到Ⅰ类混合ARQ结构的结果。ACK/NACK信息加载在返回包的包头里，在RX/TX的结构交换时间里，判定接收包是否正确。在返回包的包头里，生成ACK/NACK域，同时，接收包包头的ACK/NACK域可表明前面的负载是否正确接收，决定是否需要重发或发送下一个包。由于处理时间短，当包接收时，解码选择在空闲时间进行，并要简化FEC编码结构，以加快处理速度。快速ARQ结构与停止等待ARQ结构相似，但时延最小，实际上没有由 ARQ结构引起的附加时延。该结构比向后N个ARQ更有效，并与重复选择 ARQ效率相同，但由于只有失效的包被重发，可减少开销。在快速ARQ结构中，仅有lbit序列号就够了(为了滤除在ACK/NACK域中的错误而正确接收两次数据包)。

7 功率管理

在蓝牙系统的设计中，需要特别注意减少电流消耗。在空闲模式下，在T从1.28～3.84s区间内，单元仅扫描10ms，有效循环低于1%。在一个PAXIL下，有效循环可减少更多，但PARK模式仅在微微网建立之后使用，从单元可停下工作，即以非常低的有效循环来侦听信道。从单元仅需侦听接入码和包头来重新使时钟同步，决定是否可重新进入休眠状态。因为在时间和频率上都已确定(不工作的从单元被锁定到主单元，与无线和蜂窝电话被锁定到基站类似)，所以可达到非常低的有效循环。在连接中，另一非功耗模式是SNIFF模式，在这种模式下，从单元不是每一主一从时隙内部扫描，因此扫描之间有较大的间隔。

在连接状态下，数据仅在有效时发送，使电流消耗最小，且可防止干扰。若仅有连接控制信息要传送(ACK/NACK)，则将发送一没有负载的空包。因为NACK为省缺设置，NACK的空包不一定要发送。在长静育期内，主单元隔一定时间在信道上重发一个数据包，使所有从单元对其时钟重新同步，对时间漂移进行补偿。在连续的TX/RX操作中，一单元开始扫描始于RX时隙的接入码，若未找到该接入码的某窗口，则该单元返回休眠状态，直到下一个TX时隙(对主单元)或RX时隙(对从单元);若接入码被接收(即接收信号与要求的接入码匹配)，包头被解码。若3bit从单元地址与接收到的不匹配，进一步的接收将停止，包头用于表示包的类型和包的持 续时间，由此，非接收方可决定休眠时间。

8 微微网间通信

Citrix＝安全接入平台 第3篇

如何确保信息能够在任何时间、任何地点、任何应用中，进行快速、安全且低成本的往来交互，是人们迫切的要求，这些需求的实现，其实很简单，只需拥有安全接入平台！安全接入平台是什么？它又能做些什么呢？

引用思杰（Citrix）公司大中华区总经理孙志伟的话，“无论你在任何地点、任何时间操作任何应用（包括Client/Server应用、Web应用、桌面应用和文件/多媒体访问应用等）的过程中，客户端与服务器之间的对话、信息交互传递的过程，就是安全接入平台工作的时间，安全接入平台会在这期间为您实现安全、快速、低成本的全程管理。”如此可以参考图1。

图1 安全接入平台架构

众所周知，在信息爆炸的今天，人与人之间的交流变得快捷和方便，信息交互传递的种类也变得较为复杂，但涉及的具体应用无外乎Client/Server、Web、桌面以及文件/多媒体应用等方式。下面，我们来分别讲述安全接入平台在各种应用中发挥着怎样的功效？

Client/Server应用

客户端/服务器应用的模式，相对而言，在信息化普及的初期，就已经被大众所接受了，也是目前应用较多的方式之一。为了避免上述潜在的风险，部署C/S应用的最好方式就是虚拟化，应用都被安装在安全的数据中心“Presentation Server”上，然后以虚拟化方式发送给各地用户。

Citrix Presentation Server是C/S应用中用于集中部署和管理的服务器设备，在异构环境中尤为受到青睐，同时借助Citrix接入安全管理和控制策略，确保终端用户能够安全接入和访问企业内部的各种信息资源。

简单来讲，在C/S应用中，应用系统都安装在Presentation Server上，企业无需考虑原有接入设备、软件语言、计算体系结构和网络的多样性，只要终端用户可以访问Presentation Server，就能够实现快速部署新的应用的目标。此外，Citrix采用专有技术提高C/S应用中信息交互的速度，即在服务器接收到客户端的请求时，只传送差异化的画面格式文件，由于画面格式文件非常小，从而降低了对系统带宽的要求，实现了企业要求信息快速传递的目标；在成本控制方面，非常显著的是，由于新的应用系统都安全在Presentation Server上，终端用户只需使用浏览器就可以访问，减少了相应客户端软件的安装和维护，从而大大节省了成本。

Web应用

在Web应用中，Citrix提供了Citrix NetScaler应用交付解决方案，它采用Citrix Netscaler AppCompress Extreme差异压缩技术，通过清除冗余应用数据的传输，同时只将近期变化的数据传送给用户，将标准页面下载速度提高到原有的23倍，并将企业网络应用数据的部署提高到原有的45倍。此外，Citrix Netscaler应用部署系统提供了经验证过的安全防御措施，可阻止普通的和破坏性的应用层攻击，包括自动蠕虫攻击和有目的的拒绝服务攻击，而不会影响合法应用流量。

简单来讲，在网络页面访问中，据统计也存在一个“二八原则”，也就是说，20%的页面被80％甚至更多的用户访问。此时，在服务器前端放置Citrix Netscaler后，设备会自动将这20%的页面放入缓存，当有新的面向此页面的访问时，就把这个页面直接推送给用户，无需经过后台的服务器处理，这样既加快了用户的访问速度，同时减少了后台服务器的处理压力。有数据显示，安装Citrix Netscaler之后，服务器的使用数量可以减少3/4以上，大大节约了成本支出。在安全方面，以拒绝服务攻击为例，当前端的Citrix Netscaler收到大量的访问请求时，将判断是否为拒绝服务攻击，如果是，将直接阻断，避免殃及后台服务器。

桌面应用

“瘦客户端”主要面向制造业等工作比较简单的行业使用，使用者主要是知识工人和蓝领阶层；简单来说，在这些行业，客户端的性能要求不需要太高，只要能够完成简单的流程操作即可。因此，Citrix安全接入平台构建了Project Tarpon模块，即当瘦客户端访问应用服务器时，Project Tarpon模块的Application Streaming功能将相关应用数据信息推送给瘦客户端完成操作。如此一来，节省了硬件购置成本、维护成本等，同时由于操作单一，确保了安全性。

“胖客户端”主要面向有复杂应用需求的用户群体，比如企业分支机构的白领阶层，他们有复杂的应用需求——需要安装Office、Outlook、Oracle、SAP等。举例来说，作为IT管理人员，如果借助Application Streaming功能，能够自动在胖客户端上的私有区域安装Outlook的客户端程序，既不会造成与其他应用程序的冲突，也节省了维护成本，同时实现了统一控制；另一方面，一旦胖客户端的某个应用程序发生错误，胖客户端直接通过网络发出维护申请，Project Tarpon模块即可自动将修复程序或者更新的程序推送到胖客户端上完成修复或更新，这样既节省了使用者的时间，也减轻了IT管理人员的工作压力。

文件/多媒体应用

安全接入平台构建了WanScaler模块，当客户端有数据访问需求时，借助该模块的File/Video Streaming功能，将集中管理在中心服务器的、有被访问需求的文件或者视频推送给客户端，完成信息的交互。如此，节省了数据信息维护的成本，而集中管理和控制确保了信息的安全。为了实现数据快速交互，Citrix采用独有的技术，该技术改进了TCP/IP三次握手的机制，当收到合法用户的数据请求信息之后，即把数据直接发送给你，无论客户端是否收到这一帧，服务器都将继续发送后续信息，直到客户端确认收到全部信息，完成数据的交互，从而减少了握手确认环节，有效地提高了传输速度。

新应用 需安全护航

在“Citrix安全接入平台”这个大的概念之中，有一部分不可或缺——接入安全管理和控制策略，总体来讲，它是由Citrix Access Gateway、Citrix Password Manageer和Citrix Application Firewall三部分组成的，如图2中“安全接入部分图标”所示。他们共同组建了一道屏障，确保用户能够安全地访问系统的各种应用、安全地获取信息。

图2 接入平台产品

Citrix Access Gateway是一款通用的SSL VPN设备，为信息资源提供了安全、且始终在线的单点接入支持。它具备IPSec和常见SSL VPN的所有优势，同时是市场上惟一一个采用Advanced Access Control（AAC）的产品，其中AAC是Citrix的独有组件，使得IT管理员能够对应用、文件、Web内容、电子邮件附件和打印实现全面的控制。该组件能够根据用户的角色、位置、设备类型、设备设置和连接，确定可以访问何种信息资源以及在授予访问权限后允许采取哪些措施。

Citrix Password Manager是企业单点登录解决方案（Single-Sign On），它从根本上改变了传统的多口令管理方式。Password Manager的部署使用户只需一次身份验证，就能以一个口令登录所有受口令保护的应用程序，而其余的工作将由Password Manager完成。它将自动接入受口令保护的信息资源，执行严密的口令策略，监控口令相关事项，自动化最终用户工作，例如口令变更。

Citrix Application Firewall，简单理解是一款应用防火墙，可以帮助实现Web应用的安全。孙志伟透露，思杰正在研究一个新的项目，在明年年初发布之后，企业使用了这款产品，公司内部的所有终端上的操作都会被记录下来。当有违规事件发生时，就可以在第一时间进行定位。

采访手记

截止记者发稿时，以“思杰系统”作为关键字，用Google搜索，可以查到的相关的中英文网页条目为36.2万条；而以“Citrix”作为关键字，则可查到4420万条。以同样的规则，在百度中搜索得到的结果分别为1.05条、9.87万条。

可以看出“Citrix”品牌的知名度要高于思杰，这也是我为什么将标题定为“Citrix＝安全接入平台”的原因之一，尽管这个原因非常片面。而真正的原因在于：Citrix，全球惟一一家100％专注于开发接入解决方案的公司，它对于应用安全、业务连续性的贡献值得我们期待！

事实上，思杰的用户遍布全球。据悉，财富500强的企业中，有97%都是思杰的用户，但相对来说，他们的品牌推广做得并不是特别出色，因为“思杰（Citrix）这个品牌还没有为多数人知晓，而更多人还不知道思杰（Citrix）一直在为安全接入平台努力着。”

口说无凭，举例为证！思杰公司大中华区总经理孙志伟先生在来Citrix之前，就职于IBM公司某要职，当他提出辞职要求时，并说明自己将要去Citrix时，当时孙志伟的中国区领导困惑地问：Citrix是什么公司？而亚太区的领导知道孙志伟的动向后，恭喜孙说，Citrix是家不错的公司，祝贺你。

再有一个例子，可以帮助你了解思杰：在采访结束之后，我曾经问孙志伟，思杰在中国的拓展日益扩大，安全接入市场的前景也很明朗，你们的效益也会越来越好，员工的考核制度是怎样的？孙总笑着说，考核制度比较复杂，我只告诉你一个重要指标，我们的员工在用户那里装了多少套安全接入平台的系统，就能得到相应的考核分数，装得越多，分数越高。原因就是：只要是装了我们的安全接入系统的用户，一般都会选择我们的产品。

安全接入系统 第4篇

VPN技术是利用现有的公用网络建立一条虚拟的网络隧道。为了保证数据安全, VPN加密处理了服务器和客户机之间的通讯数据。数据是在一条专用的数据链路上进行安全传输, 使用的是互联网上的公用链路, 因此VPN称为虚拟专用网络, 是对企业内部网的扩展, 帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立安全连接, 并保证数据的安全传输。有了VPN技术, 用户无论何时何地, 只要能上互联网就能利用VPN访问内网资源, 这就是VPN在企业中广泛应用的原因。

1 企业网络安全接入形式

全球互联网的相对开放性, 使VPN最大的优势在于企业用户对网络接入拥有高度控制权, 特别是在安全性上。建立VPN网络能使企业对网络的访问、安全认证以及访问情况进行控制, 最终建立端到端的安全系统, 使内部安全技术得到很好的集成和协调。

根据VPN的应用, 可以将VPN分为硬件VPN和软件VPN两大类。

1.1 硬件VPN

硬件VPN一般采用专用操作系统来实现。系统存储在Flash中, 运行时系统资源占有较少, 但是升级相对困难, 主要表现以下方面:

(1) 硬件VPN是核心很小的系统, 完全由硬件厂商开发。专用系统很少有病毒可以感染, 但系统的漏洞和后门不容易修复, 并且很难发现厂商隐藏的集成电路代码或在产品里实施的相应后门程序。

(2) 硬件VPN采用专用的硬件和专门的系统, 购买费用相对较高。维护一般需要与硬件厂商签订长期的合约。硬件设备使用会逐步老化, 性能也将逐渐下降, 如果淘汰, 则需要重新部署新的VPN网络。

1.2 软件VPN

软件VPN一般都采用通用操作系统, 小型的VPN网络不需要专用的服务器来运行, 采用专用的服务器搭建集群可以实现大型的VPN网络, 主要表现以下方面:

(1) 软件VPN是基于常用的网络操作系统, 比如Linux, Ubuntu等, 操作系统一般都会有漏洞。目前的病毒和攻击工具, 大多数是针对Windows操作系统。

(2) 软件VPN可靠性取决于安装软件的主机。如果服务器系统出现故障, VPN可迅速迁移至备用服务器, 对整个网络影响较小。

(3) 采用纯软件的VPN, 企业没有额外的硬件投入, 市场价格一般都比硬件VPN低很多。购买后可以终身使用, 并可随时根据网络环境进行升级, 产品成本和维护成本成为VPN的主要成本。

2 开源软件VPN是企业安全接入的理想选择

在VPN领域里面, 硬件和软件都是一个系列产品提供给客户的。市场占有率较高的产品如CISCO、NORTEL都是有硬件方式和软件方式。软件主要是提供给移动用户使用的。VPN技术引入国内之后, 发展成为了软件VPN产品, 功能上主要作为VPN网关使用。

现在国内的软件VPN一般都采用Linux和Windows操作系统。Linux操作系统开发的VPN系列产品, 是针对Linux核心开发运行于自己系统的操作系统VPNOS。在硬件配置相同的情况下, Windows的性能与稳定性要比Linux差很多, 且基于windows软件VPN, 受到病毒、黑客攻击的可能性较大。相比较下, 开源系统的VPN由于性能的稳定性和系统的开源免费性, 得到越来越多企业的青睐。

3 开源系统VPN的实现

开源操作系统, 有很好的系统稳定性, 得到社区及专业机构的支持, 用户可自主改进, 没有功能限制, 系统永远免费, 且对于"企业版本"没有任何额外的费用。系统的开发目的是为了使个人电脑变得简单易用, 同时也提供服务器版本来针对企业应用。

3.1 linux VPN的接入

Linux是基于UNIX操作系统的, 主要应用于基于Intel x86系列CPU的计算机上, 由全球各地的程序员设计和实现, 目的是建立不受任何商品化软件版权制约的全球都能自由使用的UNIX兼容产品。

Linux VPN所需的软件包:

(1) dkms-2.0.10-1.noarch.rpm:DKMS是Dell公司的动态模组支持包。

(2) kernel_ppp_mppe-1.0.2-3dkms.noarch.rpm:使Linux下的PPTP支持MPPE加密。

(3) ppp-2.4.3-5.rhel4.i386.rpm:升级PPP到2.4.3版本, 使其支持MPPE加密。

(4) pptpd-1.3.3-1.rhel4.i386.rpm:PPTP的RPM安装包。

VPN服务的主要配置文件:

配置基于linux的VPN服务器, 需要修改/etc/pptpd.conf、/etc/ppp/chap-secrets和/etc/ppp/options.pptpd三个文件。

VPN服务器的运行需要设置localip和remoteip两个参数的值, /etc/ppp/chap-secrets帐号文件保存了客户端拨入时的用户名、密码和分配给该用户的IP地址。

3.2 Ubuntu VPN的完美接入

在Ubuntu上搭建VPN服务器有很多方法, 主要有PPTP, L2TP/IPsec和Open VPN。三种选择中, 后两种的安全性相对较高。其中Open VPN在Windows/Mac平台上需要客户端, 由于Open VPN的通用性和安全性, 得到了企业广泛应用。

Open VPN相对于其它三个系统中, 是最稳定的, 实现步骤如下:

(1) .Open VPN安装

sudo apt-get install openvpn

(2) .Open VPN配置

通过终端实现

sudo cp-a/usr/share/doc/openvpn/examples/easy-rsa/2.0//etc/openvpn/easy-rsa

cd/etc/openvpn/easy-rsa/

sudo ln-s easy-rsa/keys/etc/openvpn/keys

sudo mkdir/var/lib/openvpn/

(3) .在终端中实现服务器文件的配置:

Sudo cp/usr/share/doc/openvpn/examples/sample-confi g-fi les/server.conf.gz/etc/openvpn/

Sudo gunzip server.conf.gz

(4) .客户端配置

在Ubuntu服务器端etc/openvpn/keys目录里, 找到ca.crt、clinent.crt、clinet.key三个文件, 移动到Windows或其他操作系统中安装客户端, 并从网络上下载windows client文件客户端。

4 未来企业VPN的发展

各方面的数据看, 基于开源系统的企业级应用占据了大部分比例。在VPN的接入技术上, 主要表现有以下的几个方向:

4.1 IPSec VPN势头强劲

IPSec VPN是基于IPSec协议的VPN产品, 由IPSec协议提供隧道安全保障。目前防火墙产品中集成的VPN多为使用IPSec协议, 在国内还将持续增长。

4.2 MPLS VPN蓬勃发展

MPLS VPN是一种基于MPLS技术的IP-VPN。中国网通和中国电信等各大ISP在各自的宽带互联网上都推出了基于MPLS技术的IP-VPN业务, 使得MPLS VPN的发展势头很好。

4.3 SSL VPN风起云涌

SSL是在网络上保证发送信息安全的通用协议, 采用B/S结构。现在许多企业对于SSL VPN的需求非常强烈, 而且未来这种企业网络安全需求发展会更加强劲。

4.4 Open VPN方兴未艾

Open VPN允许参与建立VPN的单点使用预设的私钥、第三方证书、用户名/密码来进行身份验证。Open VPN使用通用网络协议的特点使它成为其他VPN协议的理想替代。

5 结论

VPN上传输的是经过加密处理的数据流, 它综合了传统数据网络的安全和QOS, 以及共享数据网络结构的简单和低成本, 建立安全的数据通信通道, 且保证数据的真实性、完整性和通道的机密性, 提供动态密钥交换、安全防护和访问控制, 抵抗黑客通过VPN通道攻击企业网络。基于开源系统的企业级应用占据了大量市场。使用最广的Linux版本是Red hat和Ubuntu, 而且比例有上升的趋势。在降低成本的同时满足了用户对网络带宽、接入和服务不断增加的需求。因此, VPN必将成为未来网络发展的主要方向。

摘要：随着互联网访问的增加, 普通的互联网接入服务已不能满足用户安全网络访问的需求。VPN利用公用网络来连接到企业私有网络, 从逻辑上建立一个虚拟的私有网络, 通过安全机制来保障机密型, 实现可靠真实性和严格的访问控制。开源操作系统的自由开放性和技术先进性, 顺应了用户及广大软件开发商对信息系统知情权的要求, 赢得了普遍的认同和支持。开源操作系统开发的VPN系列产品, 是针对自己核心开发运行于自己系统的操作系统VPNOS。在硬件配置相同的情况下, 性能与稳定性开源系统表现更优秀, 得以迅速传播。

关键词：VPN,网络安全,操作系统

参考文献

[1]佩佩恩雅克, 吉查德, 爱普卡, 孙余强译.MPLS和VPN体系结构[M].人民邮电出版社, 2012.

[2]Vijay Bollapragada Mohamed Khalid Scott Wainner著, IPsec VPN设计[M].人民邮电出版社, 2012.

[3]龙淑萍, VPN技术在数字图书馆中的实现[J], 中国科技信息, 2006.

移动尽在安全接入中 第5篇

与NSAS类似的其他厂商提供的SSL VPN方案在中国市场能见到的至少有4个，但惟有NSAS可以做到对接入前客户端的可靠性扫描和分级访问控制，因为它能够预先检测客户端是否安装了防毒软件、个人防火墙等安全产品，决定是否只允许他收发Mail，或允许他访问Web网站及登录内部机密资源区。还有一个不同的是NSAS即插即用，用户API 等无须作任何修改，一经安装，即可使用。如果说NSAS适用于有如笔记本电脑等大屏幕显示的接入用户，那么NAM更适用于手机等小屏幕显示的接入用户，它安装于企业网DMZ区，允许支持WAP和xHTML的移动设备安全访问企业Mail、日历及支持HTML的应用等，无论访问的文件是何种格式，NAM都可将它们化为文本形式显示在有如手机等移动设备的显示屏上。

适用范围：企业级用户

安全接入系统 第6篇

关键词：网络接入点,网桥,ebtables,iptables,BROUTING

伴随着网络技术的飞速发展,网络接入点的安全性日益成为一个受人关注的问题。本文针对这一领域,探讨如何在实现隐蔽式透明网桥的桥接功能的同时,又能够保证在该主机系统上实施一定的安全策略,对经过该点的数据链路层的以太帧和网络层的数据包进行双重的安全过滤,从而构成一个外部黑客无法发现的、透明网桥式的、具有防火墙功能的安全接入点(AP,Access Point),在有效隐蔽该节点的同时,还能够保证全网的安全性。

1 基于Linux系统构建透明网桥式接入点

传统意义上的网桥,主要是指工作在数据链路层次的、用于在异构MAC帧(Media Access Control,媒体访问控制帧)协议环境中互联两个或多个网段的设备。除了两端口或多端口桥接异构网段的功能之外,还能起到过滤广播信息、帧的转发、避免循环回路、学习网络拓扑的功能。而透明网桥则是根据其收到的数据帧的源地址信息,自动学习之并添加为CAM表(content addressable memory,内容可寻址存储器)中的表项。这些表项建立了源地址与分组经由的网络地址之间的联系。因而透明式网桥能够自动获悉网络环境的拓扑结构。

由于网桥接口本身无需分配IP地址,因此无论对内对外都具有隐蔽性,很多常见的入侵攻击及拒绝服务攻击都不会对它产生威胁。因此,构建透明网桥式的接入点,具有隐蔽性好、对网络拓扑的适应性强、并且支持异构帧协议环境的诸多优点。

基于上述分析,笔者所在的课题组决定以开源L i n u x为平台,首先构建一个具有隐蔽性的、透明桥式接入点系统,并在此基础上,进一步利用内核的b r i d g enetfilter机制,将该Linux桥式接入点打造为一个具有自定义安全过滤机制的防火墙系统,为进一步实现具有自主知识产权的各种接入点软硬件安全产品奠定基础。

以默认支持网桥工作方式的L i n u x内核2.6.X版本为例,构建透明网桥使用系统默认包含的bridge-utils用户空间配置工具包中的命令b r c t l。常用的操作有:创建网桥设备,将网卡设备添加到网桥中,从网桥中删除网卡,删除网桥设备。具体的命令及过程不再赘述。注意:各种发行版或老版本内核需要通过执行make menuconfig或make xconfig重编译内核,进入Networking options选项并选中Network packet filtering以支持bridge-netfilter;选中802.1d Ethernet Bridging以支持该Linux主机作为网桥服务器,并选中802.1d Ethernet Bridging下以ebt开头的各项,只有选中上述和网桥模式相关的选项之后重编译内核才行[1]。

2 混合利用ebtables/IPtables实现接入点的安全策略

2.1 IPtables的包过滤机制分析

在上节的基础之上,如果能够在用户空间引入二层(数据链路层)或三层的安全过滤处理机制,也即让该接入点同时成为一个流量出入的检查点,通过在该点实施一定的用户自定义的安全策略,使其兼具一个防火墙系统的功能,则可在使接入点对外隐蔽的同时,对过往的流量实施安全性控制,从而达到构建一个安全接入点的目的。

IPtables是Linux内核版本2.4.X之后提供的支持包过滤、NAT(Network Address Translation,网络地址转换)、包处理等功能的Netfilter在用户空间的工具。目前在Linux中常用IPtables来构建一个工作基础[5]。在三层的包过滤防火墙。IPtables对数据包的过滤处理流程如图1所示[2]。

2.2 ebtables的帧过滤机制分析

Linux在内核版本2.6.10之后默认包含了一个ebtables开源项目,用以支持在网桥中增加帧过滤机制,从而可在二层引入防火墙的功能。其原理与IPtables类似,区别仅在于前者主要是操作数据链路层的帧,而后者则是第三层的数据包。e b t a b l e s对数据帧的处理过程如图2所示[3]。

从图中可看出:原先在网络层利用IPtables实现的安全策略,可利用ebtables在数据链路层加入的BROUTING链实现,甚而可同时综合使用ebtables/Iptables对帧和包分别处理,这不仅可提高处理效率,而且更大程度上提高了安全性。Linux 2.6.10及其以后的内核版本中包含的br-nf模块支持ebtables和IPtables结合使用,这使用户不仅可在三层用IPtables进行NAT、包过滤等操作,而且能够同时在二层利用ebtables的帧过滤、MAC NAT、简单的IP包头过滤和ARP包头过滤[4]。

2.3 结合ebtables/IPtables实施用户自定义安全策略

通过对Linux内核代码及ebtables项目开源代码的深入理解和研究,该综合利用ebtables/Iptables相结合的思路如下。

如图3所示:(其中斜体为IPtables链,非斜体为ebtables链,图4同理。)

从图中可看出:当系统对入站数据帧需做桥接处理时,则先经ebtables的BROUTING链和PREROUTING链,然后才经IPtables的PREROUTING链;而当系统对入站帧需做路由处理时,则先后依次经过的e b t a b l e s/IPtables链如图4所示。

不难看出,无论桥接还是路由,灵活综合地利用ebtables/IPtables来设计和实施用户自定义的安全策略是可行的。通常一般是先禁止所有的转发帧或包通过,然后再根据需要,设置数据帧或包的过滤规则。

3 结语

针对构建一个安全的网络接入点的需要,本文提出了一种基于L i n u x透明网桥服务器构建带有安全过滤规则的接入点主机系统解决方案,该方案通过结合利用ebtables对于二层数据帧的处理能力和IPtables对于三层数据包的处理控制,通过双重过滤机制构建一个具备防火墙功能的安全接入点,使用户在该点可实施自定义的安全策略。由于透明网桥式接入点无需地址配置或做NAT,且无IP地址,因而具有隐蔽性,可避免多种攻击,并避免一般三层防火墙的NAT带给上层应用程序的局限性,因而更具有相对的优越性。而且基于开源Linux系统,还能为进一步实现具有自主知识产权的接入点软硬件安全产品奠定

参考文献

[1]王旭东.Linux kernel2.6配置指南[EB/OL].[2006-6-19].http://linux.stu.edu.cn/forum/archiver/tid-93.html.

[2]杨伟,李培峰,朱巧明,等.基于Linux的网桥防火墙的应用研究[J].苏州大学学报(自然科学版),2006,22(2):56～60.

[3]SCHUYMER Bart De.Ebtables/iptables interaction on a Linux-based bridge[EB/OL].[2003-11-9].http://ebtables.sourceforge.net/br-fw-ia/br-fw-ia.html.

[4]SCHUYMER Bart De.Ebtables Hack-ing HOWTO[EB/OL].[2003-11-11].http://ebtables.sourceforge.net/ebtables-hacking/ebtables-hacking-HOWTO.html.

安全接入系统 第7篇

一、网络的不安全因素

导致信息安全事件的主要有两个方面, 其一是滥用内部网络, 这是造成系统不稳定、不安全的一个最主要的方面, 换句话说, 就是对所管辖的内部网络缺乏可控性。这方面主要有用户工作站随意变更/盗用IP地址、外来设备未经信息部门允许随意接入内部网等;其二是接入网络的应用系统或者服务器设备本身存在一定的安全隐患, 由于信息部门无法对网络的接入进行有效控制, 使得业务部门在信息系统的建设过程中没有意识到需要和信息系统管理部门进行沟通, 往往一个应用系统割接上线时, 信息部门并不知道有这个应用系统, 并且在建设中由于缺乏信息部门的参与, 在运维中就会发现更多的安全隐患, 增加了系统维护的难度, 并导致整个网络结构体系的混乱。

二、面临的困难

信息安全保障需要技术和管理手段同步落实才能达到预期的目的, 有关信息安全管理方面的国家法律、地方法规及单位内部的规章制度近几年已出台了很多, 对加强信息安全管理起到了积极的推进作用。但是如果没有必要的技术手段, 行政管理手段就需要去自觉或自发地执行, 自觉或自发地执行的情况并不理想, 因此必须采用必要的技术手段配合管理制度的落实。为保证管理制度的落实, 国内引进了一系列相关的技术手段和解决方案, 经调研这些技术手段和解决方案实施的效果并未达到预期目标, 其中的原因主要是引进的技术手段和解决方案的管理策略不适合工作实际, 这些技术基本上需要在被管理的对象如工作站、服务器上安装代理软件、监控软件、管理引擎等手段, 通过引擎收集用户的行为信息实现相应的管理手段, 同时需要系统管理员和一般管理者具备一定的技能。由于用户的抵触行为等因素, 最终未能达到预期结果, 在带来经济损失的同时延误了管理推进的进程。

三、解决方案

面对当前网络与信息安全的现状和压力, 总结分析管理和技术方面存在的不足, 可从两个方面来解决。一方面加强制度建设和落实, 制订和完善相应的管理制度;另一方面采用一种“与终端设备无关”的技术手段来解决当前信息系统运行的失控局面, 即该技术手段的落实不需要一般的用户进入网络系统时增加任何操作 (输入用户名、密码等、AAA认证等) 、不需要在被管理的应用系统、设备和个人计算机上安装任何实施该管理所需要的软件, 那么这种技术手段的落实相对来说就方便得多, 用户的接受程度也较高, 这样成功的可能性就大得多了, 合理地规避引进软件不成功的风险。

从这个目标出发, 利用终端管理系统通过对局域网中的中心交换机进行管理, 在网络层上实现IP地址和MAC地址的绑定, 使得IP地址的管理可以责任到人, 实现设备入网的流程化管理。

通过对IP地址的有效管理 (申请、使用、变更、撤销等) , 从源头上对入网的应用系统、设备、个人计算机入网、使用及退网做全过程的管理、控制, 从源头上控制和杜绝了不安全系统和设备的接入, 最大限度地保障信息网络安全运行。任何接入网络的应用、设备和个人计算机必须到信息部门申请, 信息部门对其申请接入的应用、设备和个人计算机的规范性、合理性和安全性 (指系统补丁、防病毒、木马、应用系统的架构、数据流向等) 等方面进行检查, 对符合要求的申请, 落实相应的责任人并签订相应的安全协议后分配其合理的IP, 其网络接入完成并能够正常运行。对任何越过该管理流程的强行接入的用户不但不能接入, 而且可以通过网管软件的配合实现IP/MAC实时监控告警功能, 对该行为作为非法擅自接入处理。图1是一个典型的工作站接入流程。

同时, 通过这个系统实现的接入控制从源头上规避了系统不安全因素的引入, 规范了信息系统建设和运行规范。如对于信息部门无法全过程参与和控制, 通过接入控制对存在不合理因素在系统割接上线前落实整改, 通过这种反馈的作用能够让部分业务部门加深对信息部门工作的了解和支持配合, 使得他们理解应用系统的各个生命周期需要信息部门的参与和支持配合, 防止走不必要的弯路并造成一定的损失。图2是对一个应用系统接入的审批流程。

四、结语

将IP地址管理好, 并通过技术手段实现和用户设备的唯一对应, 实现企业内部信息网的管理、严格控制设备和应用的接入, 是一种实际可行的、低成本的解决方案。

安全接入系统 第8篇

随着煤矿对自动化的要求越来越高以及综合自动化系统在煤矿中减员增效的现实意义, 国内所有大型现代化矿井基本都使用了全矿井综合自动化系统。现阶段煤矿综合自动化系统主要采用现场总线、地面以太网汇接、GEPON (Gigabit Ethernet Passive Optical Network, 千兆无源光纤以太网) 、井下工业以太环网等传输方式。安全监测系统是煤矿安全生产的必备系统, 但现阶段国内厂家研制的煤矿监测系统大多采用RS485总线技术。本文结合靖远煤业集团有限责任公司大水头矿的实际使用情况, 介绍KJ95N型安全监测系统接入GEPON全矿井综合自动化系统的方法。

1 GEPON全矿井综合自动化系统介绍

综合自动化系统将先进的自动控制、通信、计算机技术、信息技术和现代管理技术相结合, 将企业的生产过程控制、运行与管理作为一个整体进行控制与管理, 以实现企业的优化运行、优化控制与优化管理, 从而提高煤矿企业的核心竞争力。综合自动化是煤矿实现高产高效的有效手段, 对于提高煤矿的生产运行状况、安全水平、事故灾害预测预报以及生产业务管理水平具有重要的作用。

目前, 煤矿综合自动化系统的网络结构主要有工业以太网和GEPON。

我国煤矿全矿井综合自动化系统采用冗余工业以太网作为主干传输平台, 已得到广泛认同, 部分矿井已装备使用。矿用GEPON综合传输系统以其光无源分支、多种冗余方式、动态带宽分配、高速数据传输、低成本等特点, 已在煤矿全矿井综合自动化系统中得到广泛应用。

GEPON是PON 技术中最新实用的一种, 由IEEE802.3EFM (Ethernet for the First Mile) 提出。它采用点到多点网络结构、无源光纤传输方式、基于高速以太网平台和 TDM (Time Division Multi-plexing) 时分 MAC (Media Access Control) 媒体访问控制方式, 并能提供多种综合业务的宽带接入技术。

GEPON可以是环形、星形, 也可以是井下巷道的树形结构, 树的结构更适于煤矿现场特殊环境。它不但集成了无源光网络的低成本优势, 而且与数据网络中占据绝对主导地位的以太网技术无缝融合, 兼备SDH的部分优势。

2 KJ95N型煤矿安全监测系统的传统传输方式

KJ95N型煤矿安全监测系统作为整个矿井综合自动化系统的一部分, 主要用来监测井上、下的各类环境参数和胶带、水泵开停等主要生产参数。在一些重要的地点安装传感器后, 一些环境和生产参数可以直接在地面中心站及管理网络工作站上反映出来, 减少了井下有关的检查和值班人员的工作量, 帮助领导和调度员及时掌握矿井的安全生产情况;发现故障时可及时通知有关人员处理, 减少设备的停机时间, 使值班人员能够及时了解工作面的有关环境和生产参数的变化情况, 对于存在的隐患迅速作出处理决策, 避免可能发生的事故。因此, 整个系统在保障安全、提高生产效率等方面发挥了重要作用。

KJ95N型安全监测系统采用集散式多级体系结构, 配置灵活, 可满足煤矿不同情况的需要。矿井监测监控一般采用两级结构:第一级为地面监控主机;第二级为分站及传感器。监测主机采用RS485总线方式与各分站通信、分站与传感器采用点对点的方式通信。系统具有DDE等标准接口, 可与采用其它标准接口 (如RS232、RS422、RS485等标准协议) 的设备无缝连接。

3 大水头矿GEPON环网的组成

靖远煤业集团有限责任公司大水头矿综合自动化系统GEPON环网采用单环网形式, 矿井上下组成一个冗余环网, 从副井和主井经过工作面各敷设1条光纤, 在需控制设备集中地点及监测系统分站集中地点设置交换机。交换机布置在中央变电所、采区中央变电所、胶带中部、井底变电所等位置。

因为KJ95N型安全监测系统接入GEPON主要是在井下, 因此主要介绍井下光网络终端的相关性能:

(1) 千兆单模光口 (SC) :用于环网连接;

(2) 10/100Base-T端口:与子系统设备等互联;

(3) RS485端口:用于总线式子系统连接。

主干环网采用6芯的单模光缆, 1芯用于数据传输, 1芯备用。

4 KJ95N型安全监测系统接入GEPON环网方法

(1) 硬件连接

以井下布置的光网络终端作为枢纽点, 将井下各监测分站就近接入各环网交换机的端口。具体方法:采用矿用两芯传输电缆将井下就近区域的分站串接起来, 然后接入到就近光网络终端的一个RS485接口上, 最终通过环网传输到地面的监测主机上。该方法实现了安全监测系统在环网中的传输集成。接入方法如图1所示。

(2) 软件处理

KJ95N型安全监测系统的地面主机接在环网上, 每个分站接入的端口在主机上都虚拟为一个相应的串口, 这样KJ95N型安全监测系统的主机就可采用并发的方式, 通过多个虚拟串口将各光网络终端所接的分站数据汇总到主机上处理, 并且可通过DDE、FTP文件等方式将安全监测的数据传送给全矿井综合自动化平台。

5 KJ95N型安全监测系统接入GEPON环网优点

目前, 靖远煤业集团有限责任公司大水头矿的综合自动化系统为控制层、设备层两层结构。控制层由GEPON环网构成, 包括光线路终端、冗余控制器和井下本安型矿用光网络终端、地面一般型光网络终端及管理监测软件;设备层采用KJ95N型安全监测系统, 其主传输采用RS485总线方式。KJ95型安全监测系统接入全矿井综合自动化系统GEPON环网的优点可总结为以下几点。

5.1 传输集成

全矿井综合自动化平台利用GEPON作为传输干道的主要目的是实现传输集成与数据集成, 如果子系统再单独敷设电缆, 则采用高速通道的意义就不能全部发挥出来。

5.2 主干道冗余

早期对安全监测系统进入环网传输曾经有风险集中的安全性忧虑, 但实际上一般下井的环网均采用冗余环网方式, 安全监测系统进入环网传输后, 安全性不是降低而是大大增加。因为采用这种传输方式, 安全监测系统等于有了2条主干道, 即使某处主干道光缆发生断裂, 也不会影响安全监测系统的传输, 因为它可以利用以太网的冗余功能从另一条线路传输上来。

5.3 缩短巡检周期

由于井下分站的接入采用就近接入光网络终端的方式, 对地面主机来说, 光网络终端不同的端口可映射为本机的多个串口, 因此, 巡检时可采用并发方式, 大大降低了巡检周期。例如, 井下有36台分站, 分别挂接在不同交换机的6个端口上, 每个端口为6台分站串接后接入, 假如每个分站的巡检周期为300 ms, 原36个分站需要36×300=10 800 ms, 也就是10.8 s, 而采用环网方式则只需要300×6=1 800 ms, 也就是1.8 s。

5.4 故障隔离

目前任何总线式传输系统, 只要接在总线上的设备发生断路或误码等故障, 均会影响整个线路的传输, 而采用就近接入光网络终端的方式后, 整个系统就相当于相互隔离, 当某个设备或某段线路发生故障时不会影响其它设备。

6 结语

与GEPON环网的无缝连接使安全监测系统成为煤矿综合自动化系统设备层的一部分。安全监控系统和其它各个子系统一起形成了一个完整完备的全矿井综合自动化系统。安全监测系统的各种传感器数据通过服务器和综合自动化软件平台的处理成为煤矿综合信息的有机组成部分, 实现了信息的共享。通过GEPON将安全监测系统融入到综合自动化控制系统中, 节省了投资, 方便了管理。

摘要：介绍了GEPON全矿井综合自动化系统和KJ95N型安全监测系统的传统传输方式;结合靖远煤业集团有限责任公司大水头矿的实际使用情况, 重点介绍了将KJ95N型安全监测系统接入到GEPON环网中的方法。通过GEPON将煤矿安全监测系统融入到全矿井综合自动化系统中, 可以节省投资、便于管理, 实现了信息共享, 同时使全矿井综合自动化更具体完整。

关键词：矿井,安全监测,综合自动化,信息集成,GEPON,RS485总线

参考文献

[1]韩晓东, 范佩磊, 邓荣.矿用GEPON在祁南煤矿综合信息监控系统中的应用[J].工矿自动化, 2008 (5) .

[2]陈雪.无源光网络技术[M].北京:北京邮电大学出版社, 2006.

安全接入系统 第9篇

2011年2月19日, 江苏省经济和信息化委员会组织召开科技成果鉴定会, 对国网电科院承担的“US-AP-3000信息安全接入系统”项目进行科技鉴定。

鉴定会上, 专家组认真听取了项目鉴定材料的汇报, 经过质询和讨论, 一致认为:该成果设计合理, 技术先进, 功能齐全, 稳定可靠, 实用性强, 具有自主知识产权, 已在电力系统领域得到大量实际应用, 并具备广阔的应用前景。成果中基于可信计算的信息安全接入体系、面向海量终端的高性能并行加密技术、基于电力业务数据流的高速数据过滤技术和智能终端主动安全防御技术属首创, 总体上达到国际先进水平。

USAP-3000信息安全接入系统可实现对PDA/智能手机、PC/笔记本、监测采集终端等各类智能终端的身份认证、可信接入、访问控制与集中监控管理等功能, 已申请专利5项, 获得软件著作权1项。USAP-3000系统已在国家电网公司总部和部分网省公司得到试点应用, 2011年将在各网省公司推广。随着智能电网建设、物联网和移动通信技术的飞速发展, 该系统可逐步拓展应用到民航、铁路、水利、轨道交通等行业领域, 具备广阔的应用前景。

安全接入系统 第10篇

[关键词]综合自动化 综采工作面 子系统 监测监控

[中图分类号]TD163 [文献标识码]B [文章编号]1672-5158（2013）06-0268-02

0 引言

随着现代科学技术的不断发展，煤矿开采经历了由最原始的人力开采逐渐过渡到机械化开采、由机械化发展到当今的自动化、打造数字矿山的过程。作为煤矿企业管理生产活动的指挥中枢——生产调度，也必将随着自动化、信息化程度的不断提高，由传统的调度方式转变为现代化的生产调度指挥中心。利用计算机网络技术建立现代化的全矿井综合自动化系统，将大量的生产信息汇集到调度中，实现了煤炭生产的综合调度和生产过程。使调度中心直观、迅速、有效地判断生产过程中存在的问题，准确地下达调度指令，保证矿井生产秩序的正常进行，提高工作效率，增加企业活力，为企业取得更大的竞争力。

1 全矿井综合自动化系统概况

全矿井综合自动化系统能够使煤矿井上下各生产环节的生产工况信息在异构条件下联通与共享，使不同功能的应用系统联系起来，协调有序地运行，使各自独立的监控系统信息整合在一起实现资源共享。全矿井综合自动化系统平台能够实现对全矿井安全、生产的主要环节进行实时监测、监视和必要的控制，实现全矿井的数据采集、生产调度、决策指挥的信息化、科学化为矿井安全生产、有效预防和及时处理各种突发事故和自然灾害提供有效手段，为企业信息化的应用和发展奠定基础。

全矿井的综合自动化网络系统，全矿井综合自动化系统以TCP/IP和Web技术为基础，以开放性、网络化为特征，立足于Web和Intranet（实时数据库和人机操作界面）+Intemet（远程人机交互）一体化，实现企业管控数据流之间的无缝连接，从而使管控一体化解决方案变得简捷和现实可行。全矿井综合自动化系统网络结构图如图1所示：

2 矿井综采工作面接上传入方案研究

2.1 矿井综采工作面子系统概况

综采工作面是现代化矿井实现“高效生产”综合机械化和自动化的作业面。综采工作面环境和设备综合监测是保障煤矿安全、高效生产的重要技术基础。综采工作面的自动化集成监测系统通过现场工业总线将综采工作面的各设备节点有机结合起来，实现了地面调度指挥中心对综采工作面运行情况的远程监控，为井下工作现场和地面生产、管理人员提供实时的井下工作面生产及安全信息，是实现工作面高产、高效、安全生产的有效手段。

2.1.1 矿井综采工作面TK200子系统

TK200系统可实现井下通讯，工作面、顺槽皮带、大皮带的保护、控制、沿线通话、拉线闭锁、故障检测、显示及报警功能。系统采用集中、分布同时控制，达到智能、安全、实用的现场生产要求。TK200集控设备通过RS485接口接人工业以太环网交换机，设在通讯机房的TK200主控机与各胶带集控设备进行数据交互。实现了在网络终端（调度室和办公室）通过浏览器、采用多种方式（图形、表格）监测胶带的开停、电流、电压、闭锁开关状况、跑偏等的功能，并在调度中心通过权限可远程控制胶带的启停。

2.1.2 矿井综采工作面采煤机子系统

采煤机是工作于煤矿综采工作面的重要设备，它的正常运转直接决定着煤矿生产的效率。因此，对采煤机的运行状态进行监测与诊断，及时发现故障及隐患并采取相应措施，是提高采煤机可靠性和安全性的重要手段。通过工业以太网络采集综采工作面的采煤机、及综采面瓦斯浓度、温度、湿度等监测信息，传输至地面上的监测计算机，由计算机进行分析数据，对设备状况及综采面安全做出评估，提高对采煤机的监测效率，对实现综采自动化具有重要意义。

2.2 原有矿井综采工作面子系统上传接入方案

原有矿井综采工作面子系统上传接入方案是：硬件采用485传输模块+以太网络，软件采用Modbus+IFIX+OPC接入方式。现有矿井综采工作面子系统接人流程图如图2所示；系统接入步骤如图3、图4、图5所示：

第一步设置串口485传输模块参数如图3所示：

第二步设置虚拟串口转换协议参数如图4所示：

第三步IFIX软件中接人综采工作面子如图5所示：

在矿井综采工作面系统运行过程中，采煤机及TK200系统数据上传中断问题严重，经系统维护工程师对综采工作面现场实际调研，并就相关问题咨询相关厂家技术人员。分析问题在于综采工作面系统中采煤机及TK200系统，实际运行采用间歇式工作模式，综采工作面生产班，设备运行正常，检修班综采工作面设备断电检修，设备数据中断上传。每次系统检修完成后，工作面设备运行正常，但工作面系统数据上传中断。系统维护人员将Modbus数据采集软件手动重启后，数据上传正常。

2.3 改进后矿井综采工作面子系统上传接入方案

通过对综采工作面系统上传分析，并同综采工作面厂商、全矿井综合自动化厂商等相关技术人员探讨，得出现有的数据采集软件无法实现数据自动续传。最后对现有综采工作面接入方案进行了改造，采用TK200皮带集控OPC数据采集软件替换Modbus软件和IFIX软件，实现了工作面数据自动续传。改进后矿井综采工作面子系统接入方案如图6所示：

皮带集控OPC数据采集软件采集综采工作面数据配置如图7所示：

3 结束语

通过对矿井综采工作面系统上传接入方案的改进设计，不仅实现了煤矿综采工作面主要生产设备的工况及环境实时、高效远程监测；并将综采工作面信息及时传输到地面全矿井综合自动化服务器，通过Intenret网络实现共享，提高了煤矿生产管理的信息自动化程度。

参考文献

[1]OPC Foundation，OPC Data Access Custom Interface Standard（Version2.0）[Z]，1998

[2]孙敏、张成钢、李成铁，OPC技术在组态软件中的应用，制造业自动化2004.2第26卷第2期

4G网络安全接入分析 第11篇

关键词：4G通信网络,通信安全

一、移动通信技术的发展概述

1G通信作为最早的移动通信系统, 其由模拟蜂窝通信和频分多址技术组成。主要缺点在于由于技术的局限性, 无法进行移动数据的连接, 且通话质量较低, 通话范围受到局限性, 不能实现漫游通话。

2G通信系统由时分多址和码分多址组成其关键技术, 在1G的基础之上具有了移动数据连接的功能, 通话质量有所提高, 对外界干扰也具有一定的屏蔽能力。但是2G在安全方面仍然存在一些问题, 主要是在验证基站的安全性时, 不能够对基站的安全性进行鉴别, 无法保障用户数据安全。

3G系统提供了更为快速高效的移动数据连接, 并且这种技术已经被广泛的覆盖了全球, 能够对多种数据格式进行有效地处理。但是其对视频的处理仍然存在一切缺陷, 全球范围对通信标准也没有规范恶统一规定, 很难在多种通信标准之间进行通信。

最新的4G通信系统无论对数据的处理还是视频的处理, 有更加明显的提升。在数据传输方面, 高峰值能够达到10Mbps甚至是20Mbps, 从移动用户的角度而言, 其传输速率完全能够满足需求。除此之外, 4G技术具有更好的兼容能力, 能够与其他通信系统实现协作, 从而获得更好的用户使用体验。但是由于4G移动通信肩负了用户更多的隐私, 需要根据其特性建立更高的安全机制。

二、4G安全接入概述

4G安全接入可以通过多种措施进行保障, 其主要包含:

保障用户信息安全。移动终端由于大多数情况下是放置在用户附近, 因此极易产生根据定位移动终端而发现用户位置的情况。因此4G通信中, 需要对用户位置进行加密, 让非法跟踪者不能根据用户的信息发生地点而实现追踪, 从而保障用户的安全。

双方认证。双方认证中主要包括对用户身份的认证和网络的安全性认证, 主要是服务网络对用户的认证。在双方认证机制中, 密钥机制和本地认证机制是最为有效的认证方式, 使用者能够对AN发送认证消息, AN也能够通过历时密钥中建立密钥实现认证。

数据完整性。数据完整性中, 数据所指是加密算法和使用者的数据信息和操作信息, 以便在服务器端接收数据后完整的实现操作, 并且对其中的数据验证是否被非法篡改。

移动终端安全认证。移动终端编号需要在SN认证后才可以传送数据, 但是在紧急情况下除外。

三、4G安全接入技术

3.1 4G网络安全接入需求

4G网络面临着方方面面的安全威胁, 在所有的安全威胁中, 一下三个方面对4G用户或者服务器的安全威胁所产生的影响最大:

用户权限范围。需要对移动终端的用户进行身份确认, 从而分配合理的权限范围, 同理, 对移动终端的访问权限和操作权限也进行规范的划分, 避免访问或者篡改机密数据。与此同时, 也需要对移动终端的合法性和其属性进行确认, 避免有非法的配置信息。移动终端直接及移动终端与服务器之间进行数据交换时, 应该对数据内容进行可信鉴定。由于不单单移动终端或者用户会伪装为合法用户, 在用户或者移动终端使用公共设备时, 公共设备也会伪装为合法服务器, 从而盗取用户数据。

网络和接口。接入网、移动通信设备等, 为了对本身的安全性和对方的安全性进行核实, 因此需要实现验证的双向性。用户通过无线网络向服务器进行数据传输室, 也需要对用户信息和传送的密钥的完整性进行验证。在服务器端, 对移动终端处的用户身份进行加密, 避免通过接口实现非法盗取用户身份, 进而对用户位置进行实时跟踪, 与此同时, 还需要对接口的建立合理的监控机制, 以便执法机构能够对嫌疑人进行定位和涉嫌违法活动的通话内容的监管。

3.2 4G网络安全接入的技术现状

与3G通信系统相比, 4G网络能够提供更高的服务质量的同时, 也需要对其能量损耗进行估量, 在避免非法者对用户进行跟踪时, 也要为执法机关建立便捷使用的监听接口。4G无线网络带来巨大便利, 却也对非法盗取用户信息和诈骗等, 提供了一定的条件。为了提高4G网络接入的安全性, 主要可以通过两个方面来实现。第一个是对4G等同于2G和3G来处理, 对现有的安全框架进行修改, 使之能够应用于4G网络中。第二个是, 将4G视为全IP的网络, 不着重考虑其通信技术和接口, 甚至是结构, 而是重点放在建立动态配置和自适应的安全体制。

在近几年的研究成果中, 主要针对IEEE 802.16m进行修改和重新定义, 对物理层和其他层次之间的通信进行完善, 从而能够实现更佳的安全性能, 也对已有的移动通信技术提供了更好的兼容性。

除此之外, PKMv3认证状态机、LTE RAN、3GPP SAE等的变更也能够4G的完善提供一定的帮助。

四、总结

无线网络经历国翻天覆地的变化, 移动通信作为支持移动终端通信的主流技术, 更是在经历了1G、2G和3G后, 迎来了具有更高通信质量、数据传输速度的4G时代。然而4G网络也面临着巨大的安全问题, 需要得到更高的重视与更加全面的安全技术, 同时为了提供更好的服务质量, 也需要对通信方式和其安全机制进行变革, 才能够建立更加完善的移动网络。

参考文献

[1]吴新民, 熊晖.4G网络安全问题防范与对策的研究[J].通信技术, 2009, 42:148-150.

[2]杨光.4G时代安全风险数据窃取需谨慎防范[J].计算机与网络, 2014:46-47.

[3]朱朝旭, 果实, 薛磊.4G网络特性及安全性研究[J].数据通信, 2011:25-27.