冯向辉
摘 要：北电网络提供的 Ｃｏｎｔｉｖｉｔｙ 解决方案不仅可以使用户建立各种类型的ＶＰＮ，而且还可以把这些ＶＰＮ集成到未来的融合话音和数据的网络中。该方案已实现了安全路由选择；可通过多种技术支持鉴权功能，从而实现安全接入；允许用户使用其各自的安全性配置文件设置；其设计中没有“后门”。重点介绍了Ｃｏｎｔｉｖｉｔｙ２７００网关的主要特征及其优势。
主题词：安全路由技术 Ｃｏｎｔｉｖｉｔｙ２７００ 北电网络
目前，通过调制解调器或专用线路连接互联网用户的方式正逐渐被虚拟专用网（ＶＰＮ）所代替，ＶＰＮ使用户可以通过互联网安全通信。北电网络提供的 Ｃｏｎｔｉｖｉｔｙ 解决方案不仅可以使客户建立各种类型的ＶＰＮ，而且还可以把这些ＶＰＮ集成到未来的融合话音和数据的网络中。在北电网络看来，明天的ＶＰＮ将发展成为高速、安全的网络，将在公共互联网上安全融合所有业务，包括数据、话音和视频。
ＩＰＳｅｃ ＶＰＮ是保证重要信息在公共互联网上传输时不会被泄露的最好选择。ＩＰＳｅｃ 有效地保证了数据的私密性、完整性、鉴权和可查性。ＩＰＳｅｃ 分两种工作模式：隧道模式、传输模式。当许多主机通过ＩＰＳｅｃ ＶＰＮ网关建立隧道安全通信时，则采用隧道模式。北电网络已解决了在ＩＰＳｅｃ隧道上实现安全路由的问题，为ＩＰＳｅｃ ＶＰＮ 的普及打下了坚实的基础。
安全路由技术
所谓的安全路由技术即如何在ＩＰＳｅｃ ＶＰＮ隧道上实现动态路由选择技术。
１．安全路由技术的实现
要在ＩＰＳｅｃ隧道上实现动态路由技术，必需找到两个通信端点的ＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ，如果该ＳＡ不存在，则启动ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ来为该通信端点建立ＳＡ。一旦该ＳＡ建立，就只允许这两个通信端点相互交流，其余数据均被禁止（除非通过ＩＫＥ建立新的ＳＡ）。
假设ＩＰＳｅｃ ＶＰＮ隧道已建立，并且由ＩＫＥ为动态路由协议（ＯＳＰＦ， ＲＩＰ， Ｅｔｃ．建立了允许动态路由协议包通过的ＳＡ，ＶＰＮ两端的路由信息通过该ＳＡ互相学取，建立了动态路由表，那么当两端的用户根据该路由信息通信时，又需要通过ＩＫＥ为各自通信的端点重新建立ＳＡ，而如果网络状态有变导致某网段消失，则又需要通过ＩＫＥ删除相关的ＳＡ，工作过程非常复杂，开销太大，不能接受，并且目前ＩＰＳｅｃ规范中没有该标准。有的厂家为了解决该问题，只好把数据额外封装到ＧＲＥ（Ｇｅｎｅｒａｌ Ｒｏｕｔｉｎｇ Ｅｎｃａｐｓｕｌａｔｉｏｎ隧道上。由于数据封装次数太多，导致数据开销过大，因此没有被市场接受。
可见要实现安全路由技术，关键在于建立一种特定的ＳＡ。北电网络的Ｃｏｎｔｉｖｉｔｙ已实现了安全路由选择（ＳＲＴ。
北电网络的Ｃｏｎｔｉｖｉｔｙ操作组件具有以下优势。
（１）安全路由选择
ＳＲＴ支持ＩＰＳｅｃ隧道上的动态路由。Ｃｏｎｔｉｖｉｔｙ符合ＩＰＳｅｃ标准，能够将虚拟ＩＰ接口映射到ＩＰＳｅｃ隧道。当通过隧道传输ＩＰ业务时，Ｃｏｎｔｉｖｉｔｙ的动态路径避免了额外的状态处理和数据包开销（每个数据包多达２４ Ｂ）。
（２）安全接入
所有与Ｃｏｎｔｉｖｉｔｙ的连接或通过Ｃｏｎｔｉｖｉｔｙ的连接，不管是隧道化或非隧道化连接，都可被安全化。用户、用户组和远端站点均拥有唯一的一个过滤配置文件。配置文件被存储在一个ＬＤＡＰ数据库中，以便在单一设备或多个Ｃｏｎｔｉｖｉｔｙ设备中实现公共策略设置。Ｃｏｎｔｉｖｉｔｙ通过多种技术支持鉴权功能，这些技术包括ＲＡＤＩＵＳ、数字证书、智能卡和令牌卡等。
（３）安全策略
ＳＲＴ允许每个用户、用户组或分支办公室分别使用各自的安全性配置文件设置。该配置文件保存个人信息，不管他是在家中还是在办公室，而且，不管是运行在隧道化还是非隧道化连接上，都以同样的方式应用鉴权和接入权限。
（４）安全管理
Ｃｏｎｔｉｖｉｔｙ的设计中没有“后门”。通过安全加密隧道进行配置是Ｃｏｎｔｉｖｉｔｙ因特网（或公共）接口支持的唯一模式，在该接口中内置了拒绝服务（ＤｏＳ）保护。Ｃｏｎｔｉｖｉｔｙ还记录所有的安全性／鉴权事务处理和事件，它们可存储在Ｃｏｎｔｉｖｉｔｙ的本地硬盘驱动器中或存储在设备以外的介质中，依赖于企业的安全性实践。
单一硬件设备以一种高度集成的方式提供ＩＰ路由、ＶＰＮ、状态防火墙、加密、鉴权、策略服务、ＱｏＳ和带宽管理业务。利用其全面的ＩＰ服务，单一Ｃｏｎｔｉｖｉｔｙ设备可以解决处理通常需要多个专用ＩＰ和安全性设备来解决的问题。此外，灵活的软件许可系统允许企业在需要时增加多种ＩＰ业务。
Ｃｏｎｔｉｖｉｔｙ构建于北电网络安全路由技术（ＳＲＴ）框架之上，ＳＲＴ集成了Ｃｏｎｔｉｖｉｔｙ的主要功能组件（如管理、接入、路由、和策略），在这些设备上编织了一个坚固的安全架构。即使是在同一个设备上运行多种ＩＰ业务，它也可提供扩展性和较高的性能。
ＳＲＴ同时还能实现密钥功能，如安全ＩＰＳｅｃ隧道上的动态路由（ＲＩＰ／ＯＳＰＦ）、ＶＰＮ、防火墙和路由业务的公共用户安全策略，以及在需要时增加新的ＩＰ设备而不影响总体性能。
北电网络安全路由技术能将ＶＰＮ集成到现有路由器中，升级软件以便通过安全协议来处理话务；为每个设备添加加密卡支持和实施上述网络升级。
２．安全路由技术的发展
要实现ＩＰＳｅｃ ＶＰＮ及安全路由技术大面积的推广，还需确保ＩＰＳｅｃ ＶＰＮ实现网络地址转换的功能，远端节点极有可能处于保留地址段，该远端节点若要采用ＩＰＳｅｃ ＶＰＮ连接中心节点，必须实现网络地址转换（ＮＡＴ）的功能。
由于 ＩＰＳｅｃ ＶＰＮ协议架构本身的原因以及缺乏支持ＩＰＳｅｃ 的ＮＡＴ设备，当ＩＰＳｅｃ和ＮＡＴ在一起运行时就会出现很多问题。
ＮＡＴ 有静态ＮＡＴ和动态ＮＡＴ两种类型。其中静态ＮＡＴ允许数据主动进出网络，而动态ＮＡＴ只允许数据主动流出网络，出网时把源地址转换为合法地址，进网时则把目标地址转换为原来的内部地址，以达到与公网互通的目的。
ＩＰＳｅｃ 的许多特性阻止了ＮＡＴ的运行，如ＩＫＥ 必需保证源ＵＤＰ端口＝目的ＵＤＰ端口＝５００，此特性阻止了ＰＡＴ多对一的运行，ＩＰＳｅｃ ＡＨ 方式不允许改变任何ＩＰ 地址，以满足认证功能与完整性功能，因此阻止了任何类型ＮＡＴ的运行。在ＥＳＰ 传输模式下，ＮＡＴ设备无法修改ＴＣＰ ＣＨＥＣＫＳＵＭ，因此也无法运行ＮＡＴ。这些限制严重阻碍了ＩＰＳｅｃ ＶＰＮ的普及，无法把ＩＰＳｅｃ推向网络边缘。而北电网络Ｃｏｎｔｉｖｉｔｙ解决方案成功解决了该问题，让ＩＰＳｅｃ ＶＰＮ 走向网络边缘成为可能。保证了建网的灵活性。
北电网络推出五种Ｃｏｎｔｉｖｉｔｙ安全ＩＰ业务网关，其中Ｃｏｎｔｉｖｉｔｙ １０１０，１０５０和１１００可为要求站点间或远程接入ＶＰＮ应用及简单因特网连接的小型分支机构、家庭办公室及小型企业提供经济高效、安全的一体化解决方案；Ｃｏｎｔｉｖｉｔｙ １７００和２７００则适用于大中型分支机构。
Ｃｏｎｔｉｖｉｔｙ ２７００简介
Ｃｏｎｔｉｖｉｔｙ ２７００的主要特征及优势见表１。
１．为因特网提供安全保障
Ｃｏｎｔｉｖｉｔｙ安全ＩＰ服务网关属于下一代产品系列，旨在通过单一集成的平台来提供安全性和ＩＰ服务。专门为企业边缘（企业专用网络和公共ＩＰ网络之间的交点）而设计，通过一套基于软件的全面ＩＰ服务，Ｃｏｎｔｉｖｉｔｙ使企业能够在今天方便地部署所需的服务，并可以在将来灵活地增加新业务，所有服务都无需成本高昂的硬件升级。服务供应商同样可以提供新的增值ＩＰ服务和安全性服务，无须中断现有网络基础设施。
Ｃｏｎｔｉｖｉｔｙ ２７００在单一集成平台上提供ＩＰ路由、ＶＰＮ、状态防火墙、加密、鉴权、目录和策略服务、ＱｏＳ以及带宽管理服务，可服务于企业安全ＩＰ服务市场。当用作总部解决方案时，它可以为需要安全因特网（如ＶＰＮ网关、防火墙）或安全ＩＰ路由设备的大中型企业的数据中心提供服务。该产品还可以部署在要求安全性和／或安全ＩＰ路由服务并需要连接总部数据中心的企业大型分支机构中，通过全面的ＷＡＮ服务（包括Ｔ１／Ｅ１，Ｖ．３５／Ｘ．２１，Ｖ．９０ 和ＩＳＤＮ以及帧中继）， Ｃｏｎｔｉｖｉｔｙ ２７００可以作为企业的全能型ＩＰ边缘解决方案，实现到因特网或ＩＰ网络的安全连接。
由于Ｃｏｎｔｉｖｉｔｙ ２７００具有１．３３ ＧＨｚ处理器、集成ＬＡＮ／ＷＡＮ接口以及多种安全ＩＰ服务等功能，成为适用于大中型企业站点的经济解决方案。
２．保证安全性
Ｃｏｎｔｉｖｉｔｙ ２７００采用了Ｃｏｎｔｉｖｉｔｙ产品系列中相同的ＳＲＴ框架，可以在单一Ｃｏｎｔｉｖｉｔｙ设备中，实现一致的安全性结构。即使在同一设备中运行多种ＩＰ服务，它也可以提供扩展性和较高的性能。ＳＲＴ还提供一些关键特性（如ＩＰＳｅｃ ＶＰＮ隧道上的动态路由、ＶＰＮ中的公共安全性策略、路由和防火墙服务），灵活的许可证使企业能够在需要时启动新的ＩＰ服务。
Ｃｏｎｔｉｖｉｔｙ ２７００ 的优势在于降低了设备总成本、通过安全设计保证安全性、具有灵活和安全的ＩＰ服务以及全面丰富的管理服务。
Ｃｏｎｔｉｖｉｔｙ系列产品多年来一直都在履行其提供安全端到端ＶＰＮ的承诺。ＩＰ－ＶＰＮ功能被嵌入到了所有Ｃｏｎｔｉｖｉｔｙ ２７００设备中，无论是按具有５条ＶＰＮ隧道的安全路由器来订购，还是按具有最多２ ０００条ＶＰＮ隧道的ＶＰＮ网关来购买。
３．灵活的ＩＰ服务
Ｃｏｎｔｉｖｉｔｙ ２７００可以和现有的路由、鉴权、目录和安全性系统互操作，能够为新ＩＰ服务的过渡发挥桥梁作用。它可以作为因特网接入设备、安全ＶＰＮ网关或防火墙解决方案来部署，能很方便地进行升级，增加新的服务。高级路由软件能够使Ｃｏｎｔｉｖｉｔｙ ２７００与现有的路由器基础设施进行互操作。对ＬＤＡＰ，ＲＡＤＩＵＳ以及Ｘ．５０９数字证书的支持使Ｃｏｎｔｉｖｉｔｙ ２７００能够与现有的鉴权和／或目录系统互操作。
摘自北极星网站
