通过CDMA VPDN构建安全移动内网

CDMAVPDN构建安全移动内网系统集成部刘志伟2011年01月第2页目录客户的困扰CDMAVPDN技术原理介绍CDMAVPDN概述CDMAVPDN组网方式CDMAVPDN协议栈LNS部署方式VPDN配置CDMAVPDN实现流程CDMAVPDN构建企业安全内网业务提供方式业务应用场景业务控制终端用户拨入中国电信CDMAVPDN优势第3页客户的困扰※客户的困扰*在外采访，实时性高的新闻回传怎么办？*身边没有笔记本电脑，紧急公事怎么办？*出差在外，需要公文审批怎么办？*互联网VPN，办公系统安全怎么办？企业移动终端利用internet作为承载网络，通过IPSEC协议与企业内部网络建立VPN通道，这种组网方式用户数据透明性差，不支持手机、PDA等移动终端，而且由于与互联网没有完全隔离，存在安全隐患。【用户的需求】【中国电信CDMAVPDN为您一站解决】*中国电信3G网络的分组数据网作为承载网络；*利用二层L2TP隧道技术，为客户构建与internet完全隔离的专用网络；*支持手机、PDA、上网本、以及其他一些定制终端；*获得国家信息安全中心的认证；第4页目录客户的困扰CDMAVPDN技术原理介绍CDMAVPDN概述CDMAVPDN组网方式CDMAVPDN协议栈LNS部署方式VPDN配置CDMAVPDN实现流程CDMAVPDN构建企业安全内网业务提供方式业务应用场景业务控制终端用户拨入中国电信CDMAVPDN优势第5页CDMAVPDN概述※CDMAVPDN定义基于CDMA1X/3Gevdo高速无线数据网络，利用L2TP隧道技术为客户构建的与公众互联网隔离的虚拟专用网络。用户可使用移动终端或PC通过无线宽带VPDN网络安全地访问客户网络或应用系统，从而满足移动办公、移动数据采集、无线数据传输等需求。-客户：通过专线等方式接入中国电信无线宽带VPDN业务平台的政企客户；-终端用户：通过无线宽带VPDN接入到客户网络或应用系统的中国电信移动网用户。※CDMAVPDN功能-远程办公：工作人员不管人在何处，都可以利用PDA智能手机进行远程办公，处理公文，收发电子邮件；-远程信息查询：通过PDA智能手机，基于该系统远程登录单位内部核心网，实现信息查询；-信息采集：所采集的信息包括新建文件，现场图片，现场视频片断，销售定单等等信息通过无线终端传输到中心网络。无线宽带VPDN业务属全国性业务，面向中国电信政企客户及133、153、189用户开放，全国CDMA网络覆盖范围内均可通达，用户在全国范围内漫游仍能使用本业务。第6页CDMAVPDN概述※CDMAVPDN使用行业-银行业：如无线ATM机、移动POS机等，为关键交易提供数据传输的保证；-移动办公：企业分散点通过VPDN通讯模块与笔记本计算机连接，实现无线连接企业内部网络的应用，实施简单，办公可移动；-工业控制等分散数据采集：跨区的大型企业工业数据采集及控制系统，如石油天然汽、石油管道阀门、罐等参数的采集；环保、气象等相关分散点数据采集监控应用；供电及电力系统远程抄表及数据采集控制等；-分散地点的电子认证：关键地点、位置的集中门禁控制系统；以及其它分散地点集中认证有关的认证服务等；-其它基于分散点数据采集的系统：其它涉及商务，连锁的应用数据采集，比如连锁商店销售，配货信息的采集和调度；物流公司相关业务的数据采集；地铁、公交站点票务支付等。第7页CDMAVPDN概述※CDMAVPDN目标客户CDMA网络能够为移动用户提供比较安全的数据业务，目前用CDMA1X最高速率达到153.6kbit/s，如用户有需求可以比较方便过度到EVDO方式达到以Mbit/s而计的高速数据，可传送图片和视频。CDMAVPDN目标客户公安政府金融物流流动性强、分支机构多、安全性要求高第8页应用案例银行类（ATM机等）政府类（生产系统）第9页目录客户的困扰CDMAVPDN技术原理介绍CDMAVPDN概述CDMAVPDN组网方式CDMAVPDN协议栈LNS部署方式VPDN配置CDMAVPDN实现流程CDMAVPDN构建企业安全内网业务提供方式业务应用场景业务控制终端用户拨入中国电信CDMAVPDN优势第10页CDMAVPDN组网方式MobileStation移动基站BTSBSC/PCF无线接入网络HAAAPDSN/FAFAAAR-P接口A10/A11分组业务数据节点IPNetworkCN2/163LNSAAA视频/流媒体OA其它服务器LNS电信全国IP网络企业内部网络FR/DDN、SDH/MSTP、MPLSVPN、IPMAN专线*标准的CDMAVPDN网络由移动终端（CDMA手机、CDMA上网卡等），PCF，PDSN，HA，AAA（从功能上分成拜访地FAAA、归属地HAAA、代理AAA）组成；*移动终端和PDSN之间是PPP连接，PCF和PDSN之间是RP接口（A10/A11，A10是数据通道，A11是信令通道）；（LAC）第11页各组件功能介绍*MS：支持CDMA的移动终端，目前主流的移动终端有-支持各种数据增值业务的CDMA手机；-支持CDMA数据功能的上网卡；*PCF：分组控制功能-PCF是无线设备中和分组域接口的设备；-PCF和PDSN之间的接口成为RP接口，也成为A10/A11接口，A10为数据接口，A11为信令接口；*PDSN：分组业务数据节点，负责L2TP隧道的发起和建立-完成和无线网络PCF和IP网络的接口，类似于BRAS；-PDSN和移动终端建立PPP连接，把终端来的PPP数据转换成标准的IP数据，路由到IP网络，同时将网络来的IP数据封装在PPP里传送给终端；*接入AAA：认证、授权、计费-接入AAA主要完成业务终端的VPDN业务接入认证、授权、计费，并实现各种业务控制及用户终端的漫游等功能。-从功能上分为：FAAA（拜访地AAA）、HAAA（归属地AAA）、BAAA（代理AAA）；*VPDNAAA：主要完成业务终端访问客户网络的认证、授权*LNS：负责无线宽带VPDN客户接入的网络设备（如路由器），和PDSN一起完成L2TP隧道的建立。LNS设备可部署在中国电信机房中，也可部署在客户网络中。-LNS接入VPN/专线/公网163指LNS接入的三种方式。-客户网络接入VPN/专线指客户网络与共享LNS或者电信托管LNS的连接方式。*RP网络：连接RAN和PDSN的网络第12页目录客户的困扰CDMAVPDN技术原理介绍CDMAVPDN概述CDMAVPDN组网方式CDMAVPDN协议栈LNS部署方式VPDN配置CDMAVPDN实现流程CDMAVPDN构建企业安全内网业务提供方式业务应用场景业务控制终端用户拨入中国电信CDMAVPDN优势第13页CDMAVPDN协议栈End-to-EndIPCommunicationMobileStation移动基站BTSBSC/PCFRANHAAAPDSN/FAFAAAR-P接口A10/A11IPNetworkCN2/163LNSEndHostLNS电信全国IP网络企业内部网络FR/DDN、SDH/MSTP、MPLSVPN、IPMAN专线APPsIPPPPLACMACAirlinkMSPLEndHostLinkLayerIPAPPsPLPLLinkLayerPPPIPR-PPLPLLinkLayerPPPIPRNPDSN/LAC数据帧LNSVPDNIP/IPSECGRE第14页目录客户的困扰CDMAVPDN技术原理介绍CDMAVPDN概述CDMAVPDN组网方式CDMAVPDN协议栈LNS部署方式VPDN配置CDMAVPDN实现流程CDMAVPDN构建企业安全内网业务提供方式业务应用场景业务控制终端用户拨入中国电信CDMAVPDN优势第15页LNS两种接入方式FR/DDNIP/MANIPNetworkCN2CTVPNSDH/MSTPCN2PECN2PEASBR(MPLSVPN接入平台）用户LNS用户LNS用户LNSPDSNPDSN全程L2TP本地全国各省※用户LNS接入方式*用户选择DDN网提供的FR业务，通过桥接转换汇聚为一条ATM-155接入MPLSVPN平台后接入CTVPN，可通达全国各地的CDMA核心网。用户端接入带宽为N*64K，最高2M，用户侧使用一条FRPVC，DLCI=16；*用户也可以选择IP城域网提供的VLL二层VPN接入后接入CTVPN，在MPLSVPN平台的PE设备上实现三层终结，带宽为2M或2M以上，最高GE（可提供以64K为单位的流控限速）；*用户也可以选择2MSDH/MSTP直连CN2CTVPN，实现总头接入；*用户和电信路由器之间每条二层链路分配一对IP地址对，子网掩码为30位，一般用户选择静态路由接入方式，将缺省路由指向电信VC路由器；※用户专线接入方式：第16页LNS两种接入方式FR/DDNIP/MANIPNetworkCN2CTVPNSDH/MSTPCN2PECN2PEASBR(MPLSVPN接入平台）电信共享LNS用户侧路由器PDSNPDSN全程L2TP本地全国各省※电信LNS接入方式*用户选择电信DDN网提供的FR业务或MPLS业务接入MPLSVPN平台；*MPLSVPN平台与共享LNS连接；*共享LNS划分VR，不同的企业进入不同的VR中，以实现相互的隔离；*共享LNS与CTVPN直连，终结L2TP隧道，分配用户IP地址※用户专线接入方式：第17页LNS的部署方式LNS设备是无线宽带VPDN客户侧接入设备，可以采用以下两种部署方式：-LNS设备部署在中国电信机房，既可以是客户托管的设备，也可以是中国电信提供的设备，由多个客户共享。-LNS设备部署在客户网络，放置在客户机房。对于部署在电信机房的LNS，需要考虑LNS的接入方案以及客户网络的接入LNS方案。对于部署在客户网络的LNS，只需要考虑LNS的接入方案。LNS接入方案分为CN2VPN189和公网163两种方式，为了用户业务组网安全，主要推荐采用CN2VPN189组网模式。LNS设备通过宽带线路接入到CN2VPN，在CN2VPN上与PDSN建立L2TP隧道连接，VPN号统一为CTVPN189（RD4134:189）。为了实现与自营业务分离，不允许LNS设备直接与PDSN侧的CE设备直接相连。已采用ATM/DDN/SDH等专线接入方式的原联通VPDN客户仍可维持原有接入方式；对于新发展客户，主要采用CN2VPN189接入方式。※LNS设备部署方式说明第18页目录客户的困扰CDMAVPDN技术原理介绍CDMAVPDN概述CDMAVPDN组网方式CDMAVPDN协议栈LNS部署方式VPDN配置CDMAVPDN实现流程CDMAVPDN构建企业安全内网业务提供方式业务应用场景业务控制终端用户拨入中国电信CDMAVPDN优势第19页认证方式-用户自带AAA（LNS兼做或者单设专门的AAA服务器）时，移动终端客户的二次认证由用户AAA完成，一次认证（VPDN接入业务认证）由局端的接入AAA完成。-用户网络不具备AAA时，由电信提供共享的VPDNAAA完成二次认证，一次认证（VPDN接入业务认证）由省AAA完成。※AAA服务器部署※AAA服务器配置认证通过AAA服务器完成，AAA服务器通常分为接入AAA和VPDNAAA。接入AAA负责移动终端的VPDN接入认证（也称为一次认证），属于无线宽带VPDN业务平台的一部分。VPDNAAA负责VPDN应用认证（也称为二次认证），一般部署在客户网络中。VPDNAAA既可使用专用的服务器，也可由LNS设备兼任。VPDN业务进行的是二次认证，第一次认证通过接入AAA来完成，目的是给PDSN返回相应的L2TP的属性(隧道密码、LNS地址等)；第二次认证由VPDNAAA（或者用户自带AAA）来完成，使用帐号和密码进行认证，目的是判定用户是否有权限接入客户。对于VPDN业务的第二次认证，优先