主題詞：安全路由技術 Ｃｏｎｔｉｖｉｔｙ２７００ 北電網絡
目前，通過調制解調器或專用線路連接互聯網用戶的方式正逐漸被虛擬專用網（ＶＰＮ）所代替，ＶＰＮ使用戶可以通過互聯網安全通信。北電網絡提供的 Ｃｏｎｔｉｖｉｔｙ 解決方案不僅可以使客戶建立各種類型的ＶＰＮ，而且還可以把這些ＶＰＮ集成到未來的融合話音和數據的網絡中。在北電網絡看來，明天的ＶＰＮ將發(fā)展成為高速、安全的網絡，將在公共互聯網上安全融合所有業(yè)務，包括數據、話音和視頻。
ＩＰＳｅｃ ＶＰＮ是保證重要信息在公共互聯網上傳輸時不會被泄露的最好選擇。ＩＰＳｅｃ 有效地保證了數據的私密性、完整性、鑒權和可查性。ＩＰＳｅｃ 分兩種工作模式：隧道模式、傳輸模式。當許多主機通過ＩＰＳｅｃ ＶＰＮ網關建立隧道安全通信時，則采用隧道模式。北電網絡已解決了在ＩＰＳｅｃ隧道上實現安全路由的問題，為ＩＰＳｅｃ ＶＰＮ 的普及打下了堅實的基礎。
安全路由技術
所謂的安全路由技術即如何在ＩＰＳｅｃ ＶＰＮ隧道上實現動態(tài)路由選擇技術。
１．安全路由技術的實現
要在ＩＰＳｅｃ隧道上實現動態(tài)路由技術，必需找到兩個通信端點的ＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ ，如果該ＳＡ不存在，則啟動ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ 來為該通信端點建立ＳＡ。一旦該ＳＡ建立，就只允許這兩個通信端點相互交流，其余數據均被禁止（除非通過ＩＫＥ建立新的ＳＡ）。
假設ＩＰＳｅｃ ＶＰＮ隧道已建立，并且由ＩＫＥ為動態(tài)路由協議（ＯＳＰＦ， ＲＩＰ， Ｅｔｃ． 建立了允許動態(tài)路由協議包通過的ＳＡ，ＶＰＮ兩端的路由信息通過該ＳＡ互相學取，建立了動態(tài)路由表，那么當兩端的用戶根據該路由信息通信時，又需要通過ＩＫＥ為各自通信的端點重新建立ＳＡ，而如果網絡狀態(tài)有變導致某網段消失，則又需要通過ＩＫＥ刪除相關的ＳＡ，工作過程非常復雜，開銷太大，不能接受，并且目前ＩＰＳｅｃ規(guī)范中沒有該標準。有的廠家為了解決該問題，只好把數據額外封裝到ＧＲＥ（Ｇｅｎｅｒａｌ Ｒｏｕｔｉｎｇ Ｅｎｃａｐｓｕｌａｔｉｏｎ 隧道上。由于數據封裝次數太多，導致數據開銷過大，因此沒有被市場接受。
可見要實現安全路由技術，關鍵在于建立一種特定的ＳＡ。北電網絡的Ｃｏｎｔｉｖｉｔｙ已實現了安全路由選擇（ＳＲＴ 。
北電網絡的Ｃｏｎｔｉｖｉｔｙ操作組件具有以下優(yōu)勢。
（１）安全路由選擇
ＳＲＴ支持ＩＰＳｅｃ隧道上的動態(tài)路由。Ｃｏｎｔｉｖｉｔｙ符合ＩＰＳｅｃ標準，能夠將虛擬ＩＰ接口映射到ＩＰＳｅｃ隧道。當通過隧道傳輸ＩＰ業(yè)務時，Ｃｏｎｔｉｖｉｔｙ的動態(tài)路徑避免了額外的狀態(tài)處理和數據包開銷（每個數據包多達２４ Ｂ）。
（２）安全接入
所有與Ｃｏｎｔｉｖｉｔｙ的連接或通過Ｃｏｎｔｉｖｉｔｙ的連接，不管是隧道化或非隧道化連接，都可被安全化。用戶、用戶組和遠端站點均擁有唯一的一個過濾配置文件。配置文件被存儲在一個ＬＤＡＰ數據庫中，以便在單一設備或多個Ｃｏｎｔｉｖｉｔｙ設備中實現公共策略設置。Ｃｏｎｔｉｖｉｔｙ通過多種技術支持鑒權功能，這些技術包括ＲＡＤＩＵＳ、數字證書、智能卡和令牌卡等。
（３）安全策略
ＳＲＴ允許每個用戶、用戶組或分支辦公室分別使用各自的安全性配置文件設置。該配置文件保存?zhèn)€人信息，不管他是在家中還是在辦公室，而且，不管是運行在隧道化還是非隧道化連接上，都以同樣的方式應用鑒權和接入權限。
（４）安全管理
Ｃｏｎｔｉｖｉｔｙ的設計中沒有“后門”。通過安全加密隧道進行配置是Ｃｏｎｔｉｖｉｔｙ因特網（或公共）接口支持的唯一模式，在該接口中內置了拒絕服務（ＤｏＳ）保護。Ｃｏｎｔｉｖｉｔｙ還記錄所有的安全性／鑒權事務處理和事件，它們可存儲在Ｃｏｎｔｉｖｉｔｙ的本地硬盤驅動器中或存儲在設備以外的介質中，依賴于企業(yè)的安全性實踐。
單一硬件設備以一種高度集成的方式提供ＩＰ路由、ＶＰＮ、狀態(tài)防火墻、加密、鑒權、策略服務、ＱｏＳ和帶寬管理業(yè)務。利用其全面的ＩＰ服務，單一Ｃｏｎｔｉｖｉｔｙ設備可以解決處理通常需要多個專用ＩＰ和安全性設備來解決的問題。此外，靈活的軟件許可系統允許企業(yè)在需要時增加多種ＩＰ業(yè)務。
Ｃｏｎｔｉｖｉｔｙ構建于北電網絡安全路由技術（ＳＲＴ）框架之上，ＳＲＴ集成了Ｃｏｎｔｉｖｉｔｙ的主要功能組件（如管理、接入、路由、和策略），在這些設備上編織了一個堅固的安全架構。即使是在同一個設備上運行多種ＩＰ業(yè)務，它也可提供擴展性和較高的性能。
ＳＲＴ同時還能實現密鑰功能，如安全ＩＰＳｅｃ隧道上的動態(tài)路由（ＲＩＰ／ＯＳＰＦ）、ＶＰＮ、防火墻和路由業(yè)務的公共用戶安全策略，以及在需要時增加新的ＩＰ設備而不影響總體性能。
北電網絡安全路由技術能將ＶＰＮ集成到現有路由器中，升級軟件以便通過安全協議來處理話務；為每個設備添加加密卡?支持和實施上述網絡升級。
２．安全路由技術的發(fā)展
要實現ＩＰＳｅｃ ＶＰＮ及安全路由技術大面積的推廣，還需確保ＩＰＳｅｃ ＶＰＮ實現網絡地址轉換的功能，遠端節(jié)點極有可能處于保留地址段，該遠端節(jié)點若要采用ＩＰＳｅｃ ＶＰＮ連接中心節(jié)點，必須實現網絡地址轉換（ＮＡＴ）的功能。
由于 ＩＰＳｅｃ ＶＰＮ協議架構本身的原因以及缺乏支持ＩＰＳｅｃ 的ＮＡＴ設備，當ＩＰＳｅｃ和ＮＡＴ在一起運行時就會出現很多問題。 #p#分頁標題#e#
ＮＡＴ 有靜態(tài)ＮＡＴ和動態(tài)ＮＡＴ兩種類型。其中靜態(tài)ＮＡＴ允許數據主動進出網絡，而動態(tài)ＮＡＴ只允許數據主動流出網絡，出網時把源地址轉換為合法地址，進網時則把目標地址轉換為原來的內部地址，以達到與公網互通的目的。
ＩＰＳｅｃ 的許多特性阻止了ＮＡＴ的運行，如ＩＫＥ 必需保證源ＵＤＰ端口＝目的ＵＤＰ端口＝５００，此特性阻止了ＰＡＴ?多對一 的運行，ＩＰＳｅｃ ＡＨ 方式不允許改變任何ＩＰ 地址，以滿足認證功能與完整性功能，因此阻止了任何類型ＮＡＴ的運行。在ＥＳＰ 傳輸模式下，ＮＡＴ設備無法修改ＴＣＰ ＣＨＥＣＫＳＵＭ，因此也無法運行ＮＡＴ。這些限制嚴重阻礙了ＩＰＳｅｃ ＶＰＮ的普及，無法把ＩＰＳｅｃ推向網絡邊緣。而北電網絡Ｃｏｎｔｉｖｉｔｙ解決方案成功解決了該問題，讓ＩＰＳｅｃ ＶＰＮ 走向網絡邊緣成為可能。保證了建網的靈活性。
北電網絡推出五種Ｃｏｎｔｉｖｉｔｙ安全ＩＰ業(yè)務網關，其中Ｃｏｎｔｉｖｉｔｙ １０１０，１０５０和１１００可為要求站點間或遠程接入ＶＰＮ應用及簡單因特網連接的小型分支機構、家庭辦公室及小型企業(yè)提供經濟高效、安全的一體化解決方案；Ｃｏｎｔｉｖｉｔｙ １７００和２７００則適用于大中型分支機構。
Ｃｏｎｔｉｖｉｔｙ ２７００簡介
Ｃｏｎｔｉｖｉｔｙ ２７００的主要特征及優(yōu)勢見表１。
１．為因特網提供安全保障
Ｃｏｎｔｉｖｉｔｙ安全ＩＰ服務網關屬于下一代產品系列，旨在通過單一集成的平臺來提供安全性和ＩＰ服務。專門為企業(yè)邊緣（企業(yè)專用網絡和公共ＩＰ網絡之間的交點）而設計，通過一套基于軟件的全面ＩＰ服務，Ｃｏｎｔｉｖｉｔｙ使企業(yè)能夠在今天方便地部署所需的服務，并可以在將來靈活地增加新業(yè)務，所有服務都無需成本高昂的硬件升級。服務供應商同樣可以提供新的增值ＩＰ服務和安全性服務，無須中斷現有網絡基礎設施。
Ｃｏｎｔｉｖｉｔｙ ２７００在單一集成平臺上提供ＩＰ路由、ＶＰＮ、狀態(tài)防火墻、加密、鑒權、目錄和策略服務、ＱｏＳ以及帶寬管理服務，可服務于企業(yè)安全ＩＰ服務市場。當用作總部解決方案時，它可以為需要安全因特網（如ＶＰＮ網關、防火墻）或安全ＩＰ路由設備的大中型企業(yè)的數據中心提供服務。該產品還可以部署在要求安全性和／或安全ＩＰ路由服務并需要連接總部數據中心的企業(yè)大型分支機構中，通過全面的ＷＡＮ服務（包括Ｔ１／Ｅ１，Ｖ．３５／Ｘ．２１，Ｖ．９０ 和ＩＳＤＮ以及幀中繼）， Ｃｏｎｔｉｖｉｔｙ ２７００可以作為企業(yè)的全能型ＩＰ邊緣解決方案，實現到因特網或ＩＰ網絡的安全連接。
由于Ｃｏｎｔｉｖｉｔｙ ２７００具有１．３３ ＧＨｚ處理器、集成ＬＡＮ／ＷＡＮ接口以及多種安全ＩＰ服務等功能，成為適用于大中型企業(yè)站點的經濟解決方案。
２．保證安全性
Ｃｏｎｔｉｖｉｔｙ ２７００采用了Ｃｏｎｔｉｖｉｔｙ產品系列中相同的ＳＲＴ框架，可以在單一Ｃｏｎｔｉｖｉｔｙ設備中，實現一致的安全性結構。即使在同一設備中運行多種ＩＰ服務，它也可以提供擴展性和較高的性能。ＳＲＴ還提供一些關鍵特性（如ＩＰＳｅｃ ＶＰＮ隧道上的動態(tài)路由、ＶＰＮ中的公共安全性策略、路由和防火墻服務），靈活的許可證使企業(yè)能夠在需要時啟動新的ＩＰ服務。
