PTN承載政企專線的安全性考慮*

徐云斌　中國信息通信研究院技術與標準研究所高級工程師楊會峰　國家電網公司河北省電力公司高級工程師張海懿　中國信息通信研究院技術與標準研究所高級工程師

PTN承載政企專線的安全性考慮*

徐云斌中國信息通信研究院技術與標準研究所高級工程師
楊會峰國家電網公司河北省電力公司高級工程師
張海懿中國信息通信研究院技術與標準研究所高級工程師

政企專線網絡對其業務的安全性要求越來越高，目前業界對PTN網絡承載政企專線用戶的業務安全性和隔離特性存在疑慮。本文主要對PTN網絡和MSTP網絡的業務隔離特性進行比對分析，分析其網絡安全性機制，給出承載政企專線網絡的安全性考慮。

PTN；政企專線；網絡安全

1　引言

傳統的基于SDH的多業務傳送網對數據業務突發性和靈活性的適應性越來越低，而傳統的面向無連接的IP網絡，則難以嚴格保證重要業務的運行質量和安全性要求。PTN技術對于IP大顆粒業務的傳輸彌補了原有SDH網絡的不足，是SDH網絡的良好補充；另一方面，隨著政企專線IP業務的增長，其網絡開放程度越來越高，網絡受到的安全威脅加劇，也使得數據通信網絡的安全可信越來越受到重視。

目前一些政企專線網絡，需要網絡業務接入靈活性、多樣性和經濟性的需求，對網絡安全性要求也越來越高，一般要求其核心網絡業務和普通接入業務之間實現物理隔離。對于不同的網絡承載技術，業界認為SDH時隙隔離能夠達到物理隔離的效果，但是對PTN網絡承載后，不同的隧道和偽線之間的業務隔離效果和網絡安全性存在疑慮。本文主要對PTN網絡中的物理隔離特性和承載政企專線的網絡安全性問題進行分析，對其業務隔離特性和SDH/MSTP網絡的隔離特性進行比對分析。

2　PTN網絡的安全性機制

目前，國內標準化組織CCSA正在研究制定PTN設備和網絡安全行業標準，完善PTN網絡的安全體系架構。從設備及網絡層面安全機制來看，在業務層主要關注業務的接入安全控制以及業務隔離等機制；網絡層關注隧道和偽線的隔離、OAM、網絡保護機制等，同時DCN網絡安全也是重點內容之一；設備層的安全主要是設備的訪問控制和安全抗攻擊能力。系統和軟件層面主要對網管軟件系統以及設備軟件系統的安全機制進行考察。圖1為電路PTN網絡安全架構示意圖。

（1）業務承載隔離特性

PTN和SDH技術的業務承載特性從以下幾個層面進行比對分析：

●物理鏈路層：二者均為光纖信息進行傳輸。

●媒質傳送層：MSTP采用STM-N幀格式進行傳送，PTN采用以太網報文通過物理介質傳送。

●通道層：MSTP網絡分為高級通道H-VC和低階通道L-VC，低階通道（如VC-12）可以復用進入高階通道（如VC4）；PTN網絡分別對應隧道層和偽線層，多個偽線（PW）可以封裝進入一個隧道（LSP）。

●業務層：MSTP網絡將各類業務封裝進入SDH的VC時隙，而PTN網絡采用統一的PWE3承載技術。

MSTP設備和PTN設備的業務隔離特性比對分析參見表1。

（2）業務時延承載特性

圖1　電路PTN網絡安全架構

表1　MSTP和PTN網絡業務隔離特性比對分析

集團客戶業務的承載一般對業務的端到端時延存在較高要求。MSTP承載以太網業務時延與GFP封裝、VC級聯、QoS配置策略和板卡擁塞狀況密切相關。PTN承載以太網業務的時延和業務QoS配置策略、網絡流量擁塞狀況密切相關。總之，二者承載以太網業務的時延相差不大，單節點轉發時延在50μs左右。

對于TDM業務的承載，PTN網絡時延和封裝幀數以及緩存時間相關，可以采用如下計算公式：

TDM業務端到端時延=封裝的TDM幀數（典型8幀）×125μs+抖動緩存大小/2（典型值2～4ms）+中間網絡時延（含光纖/設備時延，設備單跳轉發時延一般小于50μs）

由此可以看出，對于TDM業務的承載，PTN網絡的承載情況下的TDM業務端到端時延要大于MSTP網絡。

（3）網絡和DCN組網安全性

在集客業務的承載過程中，網絡中存在一部分設備可能直接放置于客戶機房，或者處于運營商監控范圍之外，外部網絡可通過DCN直接攻擊運營商的整個網絡，存在安全接入風險。需要PTN網絡設備特別是DCN網絡具備防網絡攻擊性能。可以通過以下幾種手段提高網絡抗攻擊能力。

●可對PTNDCN網絡分配秘鑰，進行數據加密。

●PTN設備的客戶側接納控制策略，進行廣播組播等報文的抑制，防止廣播風暴對網絡設備造成沖擊。

●PTN設備具備防止DDoS攻擊、ARP泛洪攻擊等手段。

●具備對網絡管理通信端口的開啟和關閉等手段，防止客戶通過SNMP等協議直接登錄攻擊運營商網絡。

（4）PTN網絡互通技術

目前，運營商現網已經大量部署城域PTN設備，業務需求較為緊迫的情況下，需要邊緣接入PTN設備實現集團客戶設備接入，端到端政企專線的承載不能采用單一廠家設備，存在端到端設備互通問題。

PTN網絡互通手段一般存在UNI模式、NNI模式、Overlay模式3種，具體參見圖2。

3種模式的技術成熟度比較參見表2。

表2　PTN網絡互通技術比較

總的來說，PTN網絡互通技術已經基本成熟，在邊緣接入PTN設備采用同一廠家設備情況下，和城域PTN網絡為不同廠家情況下，一般可采用Overlay模式承載，便于實現端到端業務維護。邊緣接入PTN設備采用不同廠家設備，而且和城域PTN網絡為不同廠家情況下，可采用UNI模式實現端到端業務的互通，需要注意端到端業務的維護和快速故障定位等問題。NNI模式互通主要功能不存在問題，現階段主要受限于業務配置及維護復雜性，隨著SDN技術的成熟，NNI模式將會成為較好的解決方案。

圖2　PTN網絡互通模式

3　PTN承載政企專線的安全性考慮

（1）業務隔離特性

PTN網絡采用偽線放置機制承載不同的業務，在網絡無擁塞的情況下，不同隧道和偽線之間相互隔離無影響，當網絡產生擁塞的情況下，不同隧道和偽線之間的時延會存在一定的相互影響。因此，PTN在承載政企專線的過程中，盡量采用網絡輕載的方式。

此外，在業務承載過程中，核心業務和一般性的非核心業務盡量采用不同的端口接入網絡，在接入側實現不同物理端口的隔離。

（2）網絡組網安全性

政企專線用戶承載過程中，PTN網絡設備有可能放置于運營商非受控的機房，而且PTN網絡設備存在大量的以太網二層接口，非受控的用戶更加容易接入網絡，其網絡安全風險比以往的SDH網絡風險性更高，需要PTN網絡設備具備安全接入控制機制和防止網絡攻擊手段。

（3）DCN網絡安全

PTN網絡設備應能夠對DCN網絡信息進行數據加密，同時具備對網絡管理通信端口的開啟和關閉等手段，防止客戶通過SNMP等協議直接登錄攻擊運營商網絡。

4　結束語

隨著PTN技術的成熟以及客戶對SDH技術逐步退網等方面因素的考慮，PTN技術在政企專線網絡中逐步得到應用。對于政企專線用戶核心業務和非核心業務的隔離特性以及網絡安全性等要求，在網絡輕載模式下，PTN網絡可以通過業務VLAN隔離、隧道/偽線隔離、端口隔離等不同層面的隔離技術，滿足業務隔離特性的需求。此外，PTN網絡設備、業務端口、DCN網絡可以通過業務接入控制和提供防止網絡攻擊手段，增加網絡的安全可靠性。

愛立信宣布對FYI電視的收購意向

愛立信日前宣布對位于德克薩斯州Grand Prairie的著名娛樂元數據及富媒體內容提供商FYI電視的收購意向。本次收購將遵循慣例成交條件，收購完成后可幫助愛立信提升已有的在廣播與媒體服務領域的行業領先地位。FYI電視每天都通過9000多個電視網絡收集并分發電視娛樂內容及線性調度數據，將信息以定制格式進行匯聚并傳輸至種類繁多的數字、媒體、內容、分析及打印客戶端，以便用戶通過平板電腦、臺式機、互聯網門戶及游戲機等聯網設備使用這些數據。

愛立信執行副總裁兼全球服務業務部主管Magnus Mandersson表示：“隨著電視行業的不斷發展演進、觀看電視的習慣不斷發生變化，我們認為高質量的豐富的元數據將成為交付個性化電視體驗的關鍵要素。通過將FYI電視的專長與我們在電視平臺與內容搜索領域的出色表現結合在一起，我們將能幫助客戶提升視頻體驗并且發現新的收入機遇。FYI電視的專長及在美國的龐大客戶群與愛立信正好形成完美互補，將成為愛立信戰略發展不可或缺的組成部分，幫助我們進一步鞏固作為媒體服務領域全球領先的地位。”

Thoughts on the Security of PTN Carrying Government and Enterprise Private Line

Xu Yunbin，Yang Huifeng，Zhang Haiyi

The security requirements of the government and enterprise private line are increasing，but the current industry have doubts with the problem of security and isolation about PTN carrying the customer private line.In this paper，the isolation characteristics about PTN network and MSTP network are compared and analyzed，and the network security mechanism in PTN network is analyzed.

PTN；government and enterprise private line；Network security

國家電網公司科學技術項目SGRIXTKJ〔2015〕406號資助

2015-12-20）