【正文】 絡(luò)安全的考慮上我們可通過網(wǎng)絡(luò)設(shè)備所能提供的安全控制功能來保證網(wǎng)絡(luò)的安全，同時(shí)，我們也可采用一次性口令認(rèn)證機(jī)制保障網(wǎng)絡(luò)的安全。 防 火 墻 技 術(shù) 通 常 包 括 ： 分 組 過 濾 、 電 路 網(wǎng) 關(guān) 、 應(yīng) 用 代 理 、 多 端 口 、 N AT、 V P N、 用 18 戶 認(rèn) 證 和 授 權(quán) 、 審 計(jì) 和 告 警 。在防火墻系統(tǒng)的建設(shè)中，我們?cè)趦?nèi)、外網(wǎng)結(jié)合處，亦即在防火墻上將內(nèi)部和外部的安全層次加以定義，完成對(duì) IP 地址，以及 T E LN E T 端口號(hào)、網(wǎng)絡(luò)號(hào)等的授權(quán)和控制。 (4) 易 用 性： 防 火 墻 的 管 理 和 配 置 要 比 較 簡(jiǎn) 潔 和 易 于 理 解 。 傳統(tǒng)的身份認(rèn)證方法通常用 口令機(jī)制 驗(yàn)證主體身份，即 用戶先輸入某種標(biāo)志信息，比如用戶名和 ID號(hào)，然后系統(tǒng)詢問用戶口令，若口令與用戶文件中的相匹配，證明了用戶的身份，即可進(jìn)入。高級(jí)遠(yuǎn)程訪問和網(wǎng)絡(luò)解決方案使移動(dòng)用戶也能與企業(yè)網(wǎng)絡(luò)連接，以獲取電腦文件，電子郵件、數(shù)據(jù)庫和其他信息豐富的應(yīng)用程序。與 S e c ur i t y D yna mi c s 訪問控制模式( A C Ms )的硬件及軟件，包括 ACE / S e r v e r 同時(shí)使用時(shí)， S e c ur l D 令牌每 60 秒鐘給出一個(gè)新的、不可推測(cè)的訪問密碼。另一個(gè)因素是只有該用戶擁有的東西：一個(gè) S e c u r l D令牌。最重要的是，訪問控制權(quán)掌握在管理者的手中。 (2) 文件系統(tǒng)、設(shè)備管理。 (4) 審計(jì)和跟蹤。 24 接 入 網(wǎng) 的 信 息 業(yè) 務(wù) 通 過 IP 骨 干 網(wǎng) 的 傳 輸 信 息 業(yè) 務(wù) 通 過 IP骨 干 網(wǎng) 的 傳 輸 ， 主 要 由 通 過 IP骨 干 網(wǎng) 上 提 供 ATM 的 端 口 如 155Mbps ATM 端 口 連 接 ATM 接 入 網(wǎng) ，并在 ATM 接入 網(wǎng) 與 IP 骨 干 網(wǎng) 接 口 實(shí) 現(xiàn) 了 信 息 的 重 新 封 裝 。 對(duì) 于 VOD 服 務(wù) 主 要 采 用 Client/Server 數(shù) 據(jù) 庫 的 方 式 ， VOD 采 用 MPEGII 格 式 ， 仍 需 封 裝 為 IP數(shù) 據(jù) 通 過 ATM網(wǎng) 進(jìn) 行 傳 輸 。 對(duì) 于 為 企 業(yè) 用 戶 提 供 的 相 應(yīng) 等 級(jí) 的 帶 寬 服 務(wù) ， 在 通 過 IP 骨 干 網(wǎng) 時(shí) 對(duì) 于 ATM 接 入 網(wǎng) 兩 端 設(shè) 置 CAR 的 值 ， 保 證 企 業(yè) 用 戶 的 帶 寬 。 IP 接 入 網(wǎng) V P N 數(shù) 據(jù) A T M 信 元 M PO A ， PVC ， V P T un nelA T M 接 入 網(wǎng) V P N 數(shù) 據(jù) V P N 數(shù) 據(jù) S D H / O p t i c a lA T M 信 元 V P N 數(shù) 據(jù) A T M 信 元 T SP T 。 在 這 里 我 們 假 設(shè) ， 通 過 南 昌 IP 骨 干 網(wǎng) ， 位 于 南 昌 市 與 各 縣 市 級(jí) 的 企 業(yè) 要 實(shí) 現(xiàn) VPN 連 接 ， 在 南 昌 采 用 為 IP 的方 式， 那 么 采 用 GRE Tunnel 的 方 式 傳 輸 如 圖 所 示 ： 27 IP 接 入 網(wǎng) V PN 數(shù) 據(jù) A TM 信 元 MP O A ， P V C ， V P T u n n e lAT M 接 入 網(wǎng) V PN 數(shù) 據(jù) VPN 數(shù) 據(jù) S D H / O p t i c alAT M 信 元 G RE T un n e T un n e lV PN 數(shù) 據(jù) V PN 數(shù) 據(jù) V PN 數(shù) 據(jù) V PN 數(shù) 據(jù) A TM 信 元 在 ATM 接 入 網(wǎng) ， 企 業(yè) 用 戶 數(shù) 據(jù) 通 過封 裝成 信 元 在 ATM 中傳 輸 ， 在 進(jìn) 入 IP 骨 干 網(wǎng) 時(shí) ， ATM 接 入 網(wǎng) 與 IP 骨 干 網(wǎng) 接 口 位 置 將 其 拆 為 純 企 業(yè) 用 戶 數(shù) 據(jù) ， 通 過 IP骨 干 網(wǎng) 間 在 傳 輸 前 建 立 一 條 IP 的 遂 道 ， 在 這 條 遂道 上 實(shí) 現(xiàn) ATM 接 入 網(wǎng) 和 IP 接 入 網(wǎng) 企 業(yè) 用 戶 VPN 的 傳 輸 。 . 3 接 入 網(wǎng) 視 頻 業(yè) 務(wù) 在 IP骨 干 網(wǎng) 的 傳 輸 對(duì) 于 ATM 接 入 網(wǎng) 提 供 的 視 頻 服 務(wù) ， 主 要 包 括 為 VOD 服 務(wù) ， 視 頻 會(huì) 議 服 務(wù) 。 因 此 這 些 業(yè) 務(wù) 在 ATM 網(wǎng) 內(nèi) 的 傳 輸都 是 采 用 IP over ATM 的方 式 ,盡 管 IP over ATM 有 多 種 方 式 (RFC 1577， LANE1 .0， LANE ， MPLS)。 (2) 用戶身份認(rèn)證。 四、操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)的安全配置 操作系統(tǒng) /數(shù)據(jù)庫系統(tǒng)是應(yīng)用系統(tǒng)運(yùn)行的基本支撐平臺(tái)，其安全指根據(jù)具體的操作系統(tǒng) /數(shù)據(jù)庫管理系統(tǒng)的選型，利用其本身提供的安全機(jī)制，通過系統(tǒng)配置實(shí)現(xiàn)規(guī)劃的安全業(yè)務(wù)，避免攻擊者繞過應(yīng)用系統(tǒng)直接操作敏 感 數(shù) 據(jù)。這種令牌無需卡閱讀器或耗時(shí)的條件 /回復(fù)過程。 為識(shí)別、認(rèn)證一個(gè)授權(quán)系統(tǒng)用戶，雙因素是完全有必要的。 A C E / S e r v e r 保障所有訪問點(diǎn)的安全，聯(lián)接入網(wǎng)的授權(quán)可以通過在現(xiàn)場(chǎng)的任意網(wǎng)絡(luò)終端、撥號(hào)入網(wǎng)、國際互聯(lián)網(wǎng)或企業(yè)內(nèi)部網(wǎng) /企業(yè)外部網(wǎng)等完成。 Security Dynamics 的 ACE Server 和 SecureID 加 起 來 形 成 了 世 界 領(lǐng) 先 的 一 次 性 口 令 安 全 技 術(shù) ， 在 CATV 網(wǎng) 絡(luò) 中 可 以 用 于 遠(yuǎn) 程 訪 問 服 務(wù)、 主 機(jī) 系 統(tǒng) 訪 問 、 網(wǎng) 絡(luò) 設(shè) 備 管 理 訪 問 和 計(jì) 費(fèi) 應(yīng) 用 系 統(tǒng) 訪 問 的 身 份 認(rèn) 證 和 訪 問 控 制 。 20 一 次 性 口 令 系 統(tǒng) 的 建 設(shè) 一 次 性 口 令 系 統(tǒng) 是身 份 認(rèn) 證 技 術(shù) 的 一 種 。 (2) 安 全 性： 保 證 被 保 護(hù) 網(wǎng) 絡(luò) 的 安 全 級(jí) 別 以 及 其 本 身 的 安 全 性。 我們認(rèn)為 C AT V 網(wǎng)是廣電部門自己管理并維護(hù)的網(wǎng)絡(luò)，是安全的內(nèi)部網(wǎng)。 下 面 針 對(duì) 安 全 建 設(shè) 的 內(nèi) 容 進(jìn) 行 詳 細(xì) 說 明 。據(jù)統(tǒng)計(jì)，網(wǎng)絡(luò)的侵入及破壞百分之八十來自于運(yùn)營網(wǎng)絡(luò)內(nèi)部人員。 在南昌市集團(tuán)用戶的接入上，廣電 C A T V 寬帶 IP 網(wǎng)可提供以下豐富的接入方式： 傳統(tǒng)撥號(hào)用戶的接入。 電話交換局接 入 現(xiàn)在在網(wǎng)絡(luò)技術(shù)中， IP 電話技術(shù)成為一個(gè)焦點(diǎn)，利用現(xiàn)有的網(wǎng)絡(luò)資源，以及廣域帶寬的日益擴(kuò)大，用計(jì)算機(jī)網(wǎng)絡(luò)方式來傳輸話音信號(hào)已經(jīng)成為可能。 64QAM 方法將數(shù)據(jù)信號(hào)調(diào)制在 6MHz 帶寬的有線電 視載波信號(hào)上傳輸， CableModem 的上行信道不固定，一般在 5M40MHz 之間。 在本期設(shè)計(jì)中的 Ub r 7 2 4 6 是供 C a b l e Mo d e m 用戶接入的訪 問服務(wù)設(shè)備。這種交換網(wǎng)與傳統(tǒng)的共享式LA N 相比，減小了網(wǎng)絡(luò)沖突的可能性，提高了用戶的工作效率。如： CM 的 HFC 網(wǎng)接入、內(nèi)部交換機(jī)（ PBX）的語音網(wǎng)關(guān)接入等。 可 擴(kuò) 展 的 網(wǎng) 絡(luò) 采 用 標(biāo) 準(zhǔn) 的 IP 動(dòng) 態(tài) 路 由 協(xié) 議 BGP、 OSPF， 使 得 網(wǎng) 絡(luò) 的 發(fā) 展 可 按 層 次 進(jìn) 行， 具 有 高 的 延 展 性。 GSR 120 Cisco 7200、 Catalyst5505 均 可 提 供 電 源 分 流 與 備 份，模 板 的 熱 拔 插 維 護(hù)。 Cisco7206 配有端口 10/100 Mbps 以 太 模 塊 ， 同 時(shí) 選 用 Catalyst 5505 為 縣 級(jí) 核 心 交 換 機(jī) 為 用 戶 提 供 接 入 可 為 節(jié) 點(diǎn) 周 圍 的 用 戶 網(wǎng) 提 供 10/100Mbps 接 入 。 Catalyst2924 還 連 接 本 地 Web 服 務(wù) 器。 GSR 12020 /Cisco 7500/7200 的 內(nèi) 置 IP Qos 的 技 術(shù) 與 其 線 速 IP 轉(zhuǎn) 發(fā) 結(jié) 合 可 傳 送實(shí) 時(shí) MPEG2 視 頻、 的 語 音 數(shù) 據(jù)。以 南 昌 市 廣 電 局 為 中 心 點(diǎn) 、 五 個(gè) 節(jié) 點(diǎn) 通 過 南 昌 廣 電 綜 合 信 息 網(wǎng) 提 供 的 DPT 環(huán) 提 供 STM－ 4 的 通 道。 因 此， 初 期 信 息 網(wǎng) 絡(luò) 的 建 設(shè)， 不 能 僅 滿 足 現(xiàn) 在 的 需 求， 而 且 要 具 有 隨 著 技 術(shù) 的 發(fā) 展 而 發(fā) 展 的 能 力。 我們基本的出發(fā)點(diǎn)是必須保證廣電 CATV 網(wǎng)擁有足夠的寬帶能力，從網(wǎng)絡(luò)層保證遠(yuǎn)期各系統(tǒng)、部門接入時(shí)寬帶網(wǎng)絡(luò)的承載能力。 另 一 方 面 是 IP 層 的 QOS 實(shí) 現(xiàn)。 IP 骨干網(wǎng)的建設(shè) IP 骨 干 層， 可 以 提 供 以 下 兩 大 服 務(wù)。從傳輸?shù)慕嵌壬希瑹o論是頻分，還是空分技術(shù)，首先，傳輸是雙向的。 1 第 四章 、 漯 河 市 廣 電 綜 合 信 息 網(wǎng) 絡(luò) 總 體 技 術(shù) 方 案 漯 河 市 廣 電 寬 帶 IP 網(wǎng) 絡(luò) 建 設(shè) 的 總 體 規(guī) 劃 寬帶 IP 網(wǎng)絡(luò)的建設(shè)工作也要本著循序建設(shè)、逐步擴(kuò)大的原則進(jìn)行。即用戶一端有發(fā)出請(qǐng)求并得到響應(yīng)的能力。在 物 理 傳 輸 層， 可 以 采 用 的 方 式 有： 單 獨(dú) 光 纖 信 道、 SDH 及 SDH/WDM（ 波 分 復(fù) 用 的 技 術(shù)）。 目 前， 在 IP 服 務(wù) 層（ Inter） 上 最 有 效 的 多 媒 體 傳 輸 技 術(shù) 是 IP Multicast， 也 就 是 說 在 IP 服 務(wù) 層 必 須 非 常 有 效 的 支 持 與 IP Multicast 相 關(guān) 的 全 部 標(biāo) 準(zhǔn) 化 協(xié) 議。 在南昌 CATV 寬帶網(wǎng)的建設(shè)中， IP 骨干網(wǎng)的技術(shù)實(shí)現(xiàn)方式可以是不同的，但 IP 骨干網(wǎng)設(shè)計(jì)的原則是一致的：高帶寬、可擴(kuò)展、有冗余連接、有服務(wù)質(zhì)量保證及運(yùn)行的穩(wěn)定可靠性。 可 擴(kuò) 展 網(wǎng) 絡(luò)－ 做 為 目 前 的 網(wǎng) 絡(luò) 建 設(shè)，不 僅 要 著 眼 于 現(xiàn) 在 ， 而 且 要 放 眼 未 來。 5 DPT 622M x 2 GSR12020 GSR12020 孺 子 路 GSR12020 GSR12020 市 廣 電 局 省 廣 電 廳 南 昌 市 廣 電 綜 合 信 息 網(wǎng) DPT IP 骨 干 網(wǎng) 青 云 普 區(qū) 政 府 GSR12020 昌北 區(qū) UBR 7200 Ca