關于民航通信網中MPLS VPN技術的安全性探討

周秉勝　佟林　劉鶴　蘇倍　劉曄

摘 要：民航通信網現已安裝完成，現有空管業務將逐步由現有傳輸網逐步切割至民航通信網，對其安全性討論尤為重要。MPLS VPN技術優勢明顯，在實際應用過程中可以讓網絡運行更加安全。因此，本文從不同角度入手探討了基于MPLS VPN技術的網絡安全性，靈活、科學運用的同時發揮各方面優勢，最大化提升網絡運行的安全性以及經濟性。

關鍵詞：MPLS VPN技術;網絡安全性;探討

隨著空管業務不斷增加，業務類型呈現日漸多元化、跨地域性的特點，對業務接入的便捷性、安全穩定、實時性要求日益加強[1]。現有空管核心業務，采用民航TDM網進行傳輸，如雷達、甚高頻、轉報、ADS-B等業務，基于MPLS L2VPN技術;視頻會議、民航電子政務等IP數據業務，采用民航IP網進行傳輸，基于MPLS L3VPN技術。如何有效解決網絡安全問題至關重要，要在深化探究、分析MPLS VPN技術過程中科學實施、部署，構建、完善專有網絡的同時控制安全風險發生，在網絡安全運行過程中促使傳輸的信息數據有著較高的準確度、完整性，實現網絡安全穩定運行。

一、MPLS VPN技術分析

MPLS VPN技術就是基于MPLS技術的VPN[2]，將MPLS技術靈活、有效運用到交換設備、路由，構建虛擬專用網，在完善專用網、公眾網的基礎上將各自多樣化功能有機結合，比如，安全性、高效性、擴展性，有效解決傳統VPN技術應用中呈現的地址重疊等問題。在MPLS VPN技術作用下，不同用戶VPN可以在實踐中運用一樣的私有地址空間，也可以通過公共骨干網絡隨時交換一系列信息數據。此外，服務提供商可以在利用MPLS VPN技術過程中完善運營商邊界設備，使其在運行中充分發揮多層面功能，以客戶需求為導向，設置專用虛擬路由轉發表，根據客戶邊界設備發送的路由，通過本地入口運營商邊界設備，將對應的報文打上標簽，在骨干網絡內部交換外層標簽，再通過運營商設備，將VPN報文傳送到遠端運營商邊界設備作用下的虛擬路由轉發表。在內層標簽作用下，報文達到的客戶邊界設備明確化，報文在傳送到運營商邊界設備的時候，報文外層標簽被削掉，遠端運營商邊界設備只需要通過內層標簽便可以知道對應的轉發接口，及時將相關的信息數據傳送到對應客戶站點作用下的客戶邊界設備。

二、基于MPLS VPN技術的網絡安全性

控制平面、數據平面、管理平面是當下MPLS體系結構的構成要素[3]，在網絡安全性部署過程中，MPLS網絡系統高效運行的同時發揮多樣化功能，促使控制平面不同設備作用下的一系列VPN路由信息都能得到可靠傳送，信息有著較高的精準度，數據平面各類設備作用下繁雜化VPN客戶數據都能實現私密傳送，各方面數據有著較高的完整度，管理平面上的網管能夠安全以及穩定運行，在源頭上解決網絡運行中呈現的各類安全問題，提高網絡運行的整體效果，確保日常各項業務活動有序開展。下面從控制平面、數據平面、管理平面入手，進一步探討、分析了在應用MPLS VPN技術過程中網絡各層面安全性部署。

（一）控制平面安全性

運營商邊界設備可以稱之為PE設備，存儲VRF、骨干網邊緣路由器、處理VPN-IPv4路由是其構成部分[3]，直接關系到MPLS三層是否順利實現。運營商設備可以稱之為P設備，MPLS轉發是其主要功能，客戶邊界設備可以稱之為CE設備，客戶網絡路由發布是其主要功能。在控制平面安全性部署中，借助對應的動態路由協議，CE設備可以及時向運行中的PE設備傳送繁雜化的本地路由信息，但在信息傳送過程中MPLS核心外界知道PE路由器具體地址的可能性特別大，MPLS核心網絡運行中極易被黑客攻擊。針對這一安全問題，可以在CE設備、PE設備二者間配置適宜的靜態路由，提高設備運行環境的安全系數，確保CE設備在運行過程中指向的接口地址只有一個，在各方面信息傳送過程中也不需要知道MPLS核心網絡運行地址。就大型網絡而言，在靜態路由管理過程中需要投入較多的資金，需要對路由進行規范化匯總。一旦內部網絡環境變化，需要根據各方面實際情況，合理調整、配置運行中的PE設備、CE設備，否則，極易引發安全風險隱患問題。在應用MPLS VPN技術過程中，必須根據網絡系統具體情況以及在網絡運行方面投入的成本，決定是否將靜態路由配置到PE設備、CE設備二者間。此外，還需要考慮是否利用關于動態路由的協議。在該協議作用下，PE路由器接收到本地以及遠程CB設備路由更新信息的可能性較大，由于網絡運行環境復雜多變，接收的路由更新信息不一定都正常，存在較大的安全風險。一旦作用到PE設備的VRF路由更新特別多，PE設備運行異常，MPLS VPN技術的功能作用也無法順利發揮。在動態路由協議應用過程中，必須全方位高效控制VRF路由更新，利用MPLS VPN技術實現CE設備安全認證，確保傳送、交換的各類路由信息有著較高的安全系數。

（二）數據平面安全性

在數據平面安全性部署過程中，全方位、多層次分析形式多樣化的IP數據包傳送的時候被嗅探、篡改的具體情況，以MPLS VPN技術為切入點，以網絡運行環境變化為基礎，提出合理化的預防對策，在高效預防的基礎上保證IP數據包傳送安全。MPLS是一種用于快速數據包交換和路由的體系，它為網絡數據流量提供了目標、路由地址、轉發和交換等能力。它具有管理各種不同形式通信流的機制。MPLS 獨立于第二和第三層協議，諸如ATM 和IP。它提供了一種方式，將IP地址映射為簡單的具有固定長度的標簽，用于不同的包轉發和包交換技術。在安全性部署過程中，要在綜合分析的基礎上將多種安全技術應用其中，比如，防火墻技術、入侵檢測技術，促使加密技術優勢作用更好地發揮，高效預防網絡風險隱患的同時保證數據傳送安全。

（三）管理平面安全性

在管理平面安全性部署過程中，從不同層面入手了解網管系統運行情況，在優化、完善的基礎上高效管理對應的訪問權限。根據被管理的各類設備網管接口具體情況，設置針對性訪問全新的同時有效控制各類訪問，在得到相關認證之后，才能對網絡系統進行各方面操作。此外，采用帶外形式，確保運行中的網管系統可以實現多樣化的訪問，確保繁雜化的管理信息、業務數據都能及時被安全傳送，避免網管系統運行中安全風險隱患頻繁發生。

三、結語

總而言之，基于空管業務的安全性及穩定性的需求，我們應根據網絡運行以及業務開展情況，結合網絡安全性要求，高效運用MPLS VPN技術的同時優化網絡運行全過程，在科學部署的過程中同步提高網絡系統設備的安全性以及整體性能，促使傳送的信息數據更加私密、精準、完整，在保證業務安全過程中以最小化的運維成本實現最大化的經濟效益。

參考文獻：

[1]鐘文基.無線網絡技術分析及其安全性研究[J].無線互聯科技，2018，15（17）：163-164.

[2]陸旭，劉文龍，吳雪梅.基于MPLS VPN+VLAN模式的數據通信網安全防護優化實施方案的研究與實現[J].數字技術與應用，2018，36（09）：190-193.

[3]杜平.網絡安全技術中VPN技術的應用探究[J].中國新通信，2019，21（18）：107-107.

[4]趙朋.MTU配置對MPLS VPN網絡的影響分析及排故思路[J].現代傳輸，2019（03）：50-51.