專網(wǎng)通信系統(tǒng)傳輸鏈路端到端高可靠性應(yīng)用

龔?fù)剑?成，張 達

（海能達通信股份有限公司，深圳 518057）

專網(wǎng)通信系統(tǒng)傳輸鏈路端到端高可靠性應(yīng)用

龔?fù)剑?成，張 達

（海能達通信股份有限公司，深圳 518057）

集群通信系統(tǒng)已經(jīng)全面轉(zhuǎn)向數(shù)字化，系統(tǒng)業(yè)務(wù)功能不斷豐富，從而導(dǎo)致集群系統(tǒng)承載網(wǎng)中的業(yè)務(wù)數(shù)據(jù)類型（信令、語音、數(shù)據(jù)、視頻等等）也越來越多，且承載網(wǎng)絡(luò)的類型和結(jié)構(gòu)也日益變得復(fù)雜，作為集群通信系統(tǒng)各項業(yè)務(wù)功能運行基礎(chǔ)的IP承載網(wǎng)面臨著巨大的挑戰(zhàn)。為了保證集群各項業(yè)務(wù)的安全可靠運行，關(guān)于鏈路質(zhì)量管理和數(shù)據(jù)安全傳輸設(shè)計應(yīng)用顯得尤為重要。本文介紹了QoS及加密技術(shù)，分析了在集群系統(tǒng)中各節(jié)點如何實現(xiàn)QoS及數(shù)據(jù)加密來保證集群業(yè)務(wù)的可靠和安全性。

QoS；隊列優(yōu)先級；加密；集群專網(wǎng)

1 引言

隨著模擬系統(tǒng)不斷向數(shù)字集群系統(tǒng)轉(zhuǎn)變，作為數(shù)據(jù)傳輸網(wǎng)絡(luò)的IP承載網(wǎng)的作用顯得越來越重要，無論是DMR系統(tǒng)、PDT系統(tǒng)還是TETRA系統(tǒng)，都已經(jīng)離不開IP承載網(wǎng)絡(luò)對其業(yè)務(wù)的支撐。伴隨數(shù)字集群系統(tǒng)的功能和業(yè)務(wù)網(wǎng)元的增加，在IP承載網(wǎng)上傳遞的數(shù)據(jù)流也變的豐富多變，IP網(wǎng)絡(luò)已經(jīng)從單一數(shù)據(jù)網(wǎng)絡(luò)向集成數(shù)據(jù)、語音、視頻、圖像的多業(yè)務(wù)網(wǎng)絡(luò)轉(zhuǎn)變；另外，集群主要應(yīng)用于軍隊、公安等行業(yè)，集群系統(tǒng)業(yè)務(wù)數(shù)據(jù)的安全性備受關(guān)注。集群系統(tǒng)要求語音調(diào)度等業(yè)務(wù)的實時性、穩(wěn)定性、安全性，對于QoS及數(shù)據(jù)加密在集群系統(tǒng)IP承載網(wǎng)中的實施應(yīng)用變的尤為迫切。本文主要探討如何使用QoS技術(shù)及加密技術(shù)在集群專網(wǎng)系統(tǒng)中實現(xiàn)集群通訊數(shù)據(jù)安全可靠傳輸。

2 集群通信系統(tǒng)承載網(wǎng)鏈路

集群通信系統(tǒng)鏈路主要分為兩大類，即有線與無線鏈路。有線鏈路主要指SDH、以太網(wǎng)、PTN等鏈路；無線鏈路主要指4G、微波、3G、網(wǎng)橋、Wi-Fi等。

集群通信系統(tǒng)項目建網(wǎng)時，使用的IP承載網(wǎng)一般會采用新建專網(wǎng)、利用用戶現(xiàn)有網(wǎng)絡(luò)，或者兩者結(jié)合的方式進行組網(wǎng)。從目前集群系統(tǒng)項目建設(shè)情況來分析，新建專網(wǎng)鏈路主要是MSTP專線鏈路（E1專線），微波鏈路、無線網(wǎng)橋鏈路等；用戶現(xiàn)有網(wǎng)絡(luò)主要是以太網(wǎng)（局域網(wǎng)或城域網(wǎng)），另外可能借助于運營商網(wǎng)絡(luò)（3G/4G網(wǎng)絡(luò)）。

MSTP（Multi-Service Transfer Platform，基于SDH的多業(yè)務(wù)傳送平臺）是指基于SDH平臺同時實現(xiàn)TDM、以太網(wǎng)、ATM等業(yè)務(wù)的接入、處理和傳送，提供統(tǒng)一網(wǎng)管的多業(yè)務(wù)節(jié)點。MSTP組網(wǎng)結(jié)構(gòu)示意圖見圖1。

圖1 MSTP組網(wǎng)結(jié)構(gòu)示意圖

微波技術(shù)已有幾十年的發(fā)展歷史，現(xiàn)已成為一門比較成熟的學(xué)科。在雷達、通信、導(dǎo)航、遙感、電子對抗以及工農(nóng)業(yè)和科學(xué)研究等方面，微波技術(shù)都得到了廣泛的應(yīng)用。微波是一種電磁波，從廣義上講，頻率范圍為300MHz-300GHz，微波通信使用的頻率范圍通常是3GHz-30GHz。實際微波設(shè)計中的設(shè)備是從7GHz-38GHz，頻率越高，傳輸距離越短。微波組網(wǎng)結(jié)構(gòu)示意圖見圖2。

圖2 微波組網(wǎng)結(jié)構(gòu)示意圖

3 鏈路質(zhì)量管理及數(shù)據(jù)安全技術(shù)

QoS（Quality of Service，服務(wù)質(zhì)量）指一個網(wǎng)絡(luò)能夠利用各種基礎(chǔ)技術(shù)，為指定的網(wǎng)絡(luò)通信提供更好的服務(wù)能力，是網(wǎng)絡(luò)的一種安全可靠機制，是用來解決網(wǎng)絡(luò)延遲和阻塞等問題的技術(shù)。在正常情況下，如果網(wǎng)絡(luò)只用于特定的無時間限制的應(yīng)用系統(tǒng)，并不需要QoS，比如Web應(yīng)用，或E-mail設(shè)置等，但是對關(guān)鍵應(yīng)用和多媒體應(yīng)用就十分必要。當(dāng)網(wǎng)絡(luò)過載或擁塞時，QoS能確保重要業(yè)務(wù)量不受延遲或丟棄，同時保證網(wǎng)絡(luò)的高效運行。而當(dāng)網(wǎng)絡(luò)發(fā)生擁塞的時候，所有的數(shù)據(jù)流都有可能被丟棄；為滿足用戶對不同應(yīng)用不同服務(wù)質(zhì)量的要求，就需要網(wǎng)絡(luò)能根據(jù)用戶的要求分配和調(diào)度資源，對不同的數(shù)據(jù)流提供不同的服務(wù)質(zhì)量：對實時性強且重要的數(shù)據(jù)報文優(yōu)先處理；對于實時性不強的普通數(shù)據(jù)報文，提供較低的處理優(yōu)先級，網(wǎng)絡(luò)擁塞時甚至丟棄。

支持QoS功能的設(shè)備，能夠提供傳輸品質(zhì)服務(wù)；針對某種類別的數(shù)據(jù)流，可以為它賦予某個級別的傳輸優(yōu)先級，來標(biāo)識它的相對重要性，并使用設(shè)備所提供的各種優(yōu)先級轉(zhuǎn)發(fā)策略、擁塞避免等機制，為這些數(shù)據(jù)流提供特殊的傳輸服務(wù)。網(wǎng)絡(luò)的缺省服務(wù)模型為Best-Effort，通過FIFO（first in first out，先入先出）隊列來實現(xiàn)，它適用于絕大多數(shù)網(wǎng)絡(luò)應(yīng)用，但對延時、可靠性等性能不提供任何保證。在集群通信系統(tǒng)IP承載網(wǎng)采用了DiffServ服務(wù)模型，能夠有效地保證集群系統(tǒng)業(yè)務(wù)的實時性、穩(wěn)定性。

DiffServ是一個多服務(wù)模型，它可以滿足不同的QoS需求。對于DiffServ服務(wù)模型，網(wǎng)絡(luò)不需要為每個流維護狀態(tài)，它根據(jù)每個報文指定的QoS來提供特定的服務(wù)，可以用不同的方法來指定報文的QoS，如IP報文的優(yōu)先級位（IP Precedence），報文的源地址和目的地址等，網(wǎng)絡(luò)通過這些信息來進行報文的分類、流量整形、流量監(jiān)管和隊列調(diào)度。

數(shù)據(jù)加密的基本過程就是對原來為明文的文件或數(shù)據(jù)按某種算法進行處理，使其成為不可讀的一段代碼，通常稱為“密文”，使其只能在輸入相應(yīng)的密鑰之后才能顯示出本來內(nèi)容，通過這樣的途徑來達到保護數(shù)據(jù)不被非法人竊取、閱讀的目的。該過程的逆過程為解密，即將該編碼信息轉(zhuǎn)化為其原來數(shù)據(jù)的過程。常見加密算法有如下幾種：

⊙ DES（Data Encryption Standard）：對稱算法，數(shù)據(jù)加密標(biāo)準，速度較快，適用于加密大量數(shù)據(jù)的場合。

⊙ 3DES（Triple DES）：是基于DES的對稱算法，對一塊數(shù)據(jù)用三個不同的密鑰進行三次加密，強度更高。

⊙ RC2和RC4：對稱算法，用變長密鑰對大量數(shù)據(jù)進行加密，比DES快。

⊙ IDEA（International Data Encryption Algorithm）國際數(shù)據(jù)加密算法，使用128位密鑰提供非常強的安全性。

⊙ RSA：由RSA公司發(fā)明，是一個支持變長密鑰的公共密鑰算法，需要加密的文件塊的長度也是可變的，非對稱算法。

4 集群通信系統(tǒng)鏈路質(zhì)量及數(shù)據(jù)安全性應(yīng)用

圖3 典型E1鏈路接入拓撲圖

4.1 基站E1鏈路接入的QoS及數(shù)據(jù)安全設(shè)計

4.1.1 E1鏈路接入模型

集群系統(tǒng)中E1接入是一種比較常見的基站接入核心網(wǎng)的方式，E1鏈路本身所能提供的最大帶寬為1.984b/s，鏈路延時、抖動較固定。但因帶寬較低容易出現(xiàn)各網(wǎng)元流量突發(fā)大于E1鏈路最大帶寬，從而出現(xiàn)鏈路的擁塞而影響基站與核心網(wǎng)各網(wǎng)元的交互。典型E1鏈路接入拓撲圖見圖3。

4.1.2 E1接入QoS及數(shù)據(jù)安全設(shè)計

（1）在基站交換機上為不同的接入網(wǎng)元劃分VLAN，并為不同業(yè)務(wù)分配優(yōu)先級：

⊙ 集群基站業(yè)務(wù)劃分VLAN 10，802.1p優(yōu)先級配置為6。

⊙ 視頻業(yè)務(wù)劃分vlan20，802.1p優(yōu)先級配置為5。

⊙ 其他監(jiān)控設(shè)備劃分vlan30，802.1p優(yōu)先級配置為4。

⊙ 所有未明確的數(shù)據(jù)802.1p優(yōu)先級使用默認優(yōu)先級0。

（2）E1設(shè)備通過E1時隙劃分為特定業(yè)務(wù)保證鏈路帶寬，另外通過加密技術(shù)實現(xiàn)數(shù)據(jù)安全。

⊙ E1設(shè)備上通過時隙劃分功能，為特定的業(yè)務(wù)指定所用時隙，基站控制器與核心網(wǎng)的交互使用1～10時隙，視頻業(yè)務(wù)使用11～20時隙，其他監(jiān)控設(shè)備使用21～25時隙，其他數(shù)據(jù)使用剩余時隙。

⊙ E1兩端設(shè)備啟用本身自帶加密，對鏈路中傳輸?shù)臄?shù)據(jù)進行加密。

4.2 基站IP鏈路接入的QoS及數(shù)據(jù)安全設(shè)計

4.2.1 IP接入模型

基站IP鏈路接入方式是指基于用戶IP網(wǎng)絡(luò)并通過VPN的方式實現(xiàn)基站與核心網(wǎng)互通，同時達到集群系統(tǒng)業(yè)務(wù)數(shù)據(jù)與用戶網(wǎng)絡(luò)隔離的效果，并且通過數(shù)據(jù)加密技術(shù)達到數(shù)據(jù)的安全傳輸。IP鏈路接入的方式，鏈路帶寬、時延、抖動、丟包率主要受用戶網(wǎng)絡(luò)的Q o S限制。典型IP鏈路接入拓撲圖見圖4。

圖4 典型IP鏈路接入拓撲圖

4.2.2 IP接入QoS及數(shù)據(jù)安全設(shè)計

通過基站路由器與核心路由器之間建立IPSEC VPN隧道實現(xiàn)基站與集群系統(tǒng)核心網(wǎng)互聯(lián)，IPSEC VPN采用IKE的方式來動態(tài)的協(xié)商與核心網(wǎng)建立安全連接的密鑰，同時采用AES或者3DES對原始數(shù)據(jù)和IP包頭進行加密以保證在傳輸網(wǎng)上數(shù)據(jù)的安全性。

（1）在基站交換機上為不同的接入網(wǎng)元劃分VLAN，并為不同業(yè)務(wù)分配優(yōu)先級。

⊙ 基站控制器劃分VLAN 10，802.1p優(yōu)先級配置為6。

⊙ 視頻設(shè)備劃分vlan20，802.1p優(yōu)先級配置為5。

⊙ 其他監(jiān)控設(shè)備劃分vlan30，802.1p優(yōu)先級配置為4。

⊙ 所有未明確的數(shù)據(jù)802.1p優(yōu)先級使用默認優(yōu)先級0。

（2）基站路由器上面配置限速與流量整形并啟用Cos信任，在路由器上配置以IP數(shù)據(jù)流的五元組定義的ACL來區(qū)分數(shù)據(jù)流，對不同的業(yè)務(wù)數(shù)據(jù)流分配不同的帶寬。

⊙ 啟用CAR和GTS技術(shù)保證基站業(yè)務(wù)數(shù)據(jù)流的最小帶寬，在路由器出口處進行流量整形保證不丟包。

⊙ 啟用CAR和GTS技術(shù)保證視頻數(shù)據(jù)流所需最小帶寬，在路由器出口對流量進行整治對超出的流量進行整治。

⊙ 啟用CAR技術(shù)保證監(jiān)控數(shù)據(jù)流所需最小帶寬，在路由器出口出進行流量限制，對超出流量的數(shù)據(jù)做丟棄處理。

⊙ 對于其他未做歸類的流量不做帶寬保證，限制其所使用的帶寬，對超出的流量做丟棄處理。

⊙ 在與交換機互聯(lián)的接口上打開Cos信任，并配置802.1p的優(yōu)先級到本地優(yōu)先級的映射，路由器內(nèi)部自動獲取接入交換機上配置的數(shù)據(jù)流的優(yōu)先級轉(zhuǎn)變?yōu)槿龑觟p數(shù)據(jù)包的DSCP的優(yōu)先級并攜帶此優(yōu)先級向下轉(zhuǎn)發(fā)與前端交換機保持一致的優(yōu)先級。

（3）在用戶網(wǎng)絡(luò)層面，需要用戶為集群業(yè)務(wù)在用戶網(wǎng)里提供端到端的鏈路質(zhì)量保證。其實現(xiàn)方試，主要是針對基站路由器與核心路由器兩點之間的數(shù)據(jù)流，為其設(shè)定對應(yīng)的QoS策略，保證鏈路的帶寬、時延、抖動、丟包率。

4.3 基站無線鏈路接入QoS及數(shù)據(jù)安全設(shè)計

4.3.1 無線鏈路接入模型

在不便于鋪設(shè)有線網(wǎng)絡(luò)的環(huán)境中，通過微波設(shè)備或者無線網(wǎng)橋?qū)⒒窘尤爰合到y(tǒng)核心網(wǎng)是比較常用的方案，對于某些用戶也會考慮使用衛(wèi)星鏈路作為接入鏈路。典型的無線接入拓撲圖見圖5。

圖5 典型的無線接入拓撲圖

4.3.2 無線鏈路接入QoS及數(shù)據(jù)安全設(shè)計

通過微波、無線網(wǎng)橋或者衛(wèi)星鏈路作為接入核心網(wǎng)的方式，由于無線鏈路本身的特性決定了鏈路質(zhì)量會受到更多的外界因素干擾。無線設(shè)備傳輸質(zhì)量比較容易受到天氣因素的影響，例如在陰雨天、狂風(fēng)、或者沙塵天氣的影響下，無線鏈路的可用性和鏈路質(zhì)量將大大下降。在以無線鏈路作為接入方式的網(wǎng)絡(luò)中對于QoS和安全的設(shè)計可從一下兩個方面考慮：

（1）在接入層交換機上的QoS設(shè)置與E1和IP接入保持一致，為不同的數(shù)據(jù)流在二層數(shù)據(jù)里面設(shè)置優(yōu)先級，同時微波設(shè)備，無線網(wǎng)橋等無線鏈路設(shè)備本身也具備vlan劃分和QoS優(yōu)先級設(shè)置的功能。在無線設(shè)備上對不同數(shù)據(jù)流配置QoS優(yōu)先級時需要和交換機上的配置保持一致。

（2）數(shù)據(jù)安全方面，無線設(shè)備可通過自身攜帶的不同加密算法對通過無線鏈路傳輸?shù)臄?shù)據(jù)進行安全加密，通常使用的加密算法包括DES或者AES算法，依據(jù)設(shè)備性能以及鏈路的需求使用合適的算法來對無線鏈路傳輸數(shù)據(jù)進行加密，確?？罩袀鬟f數(shù)據(jù)的安全性。

4.4 基站3G/4G鏈路接入QoS及數(shù)據(jù)安全設(shè)計

4.4.1 3G/4G鏈路接入模型

在不便于鋪設(shè)有線網(wǎng)絡(luò)的環(huán)境中，如果有公網(wǎng)運營商的無線鏈路（3G/4G），可以借助于3G/4G鏈路將基站接入集群系統(tǒng)核心網(wǎng)是比較快捷的方案。典型的3G/4G鏈路接入拓撲圖見圖6。

4.4.2 3G/4G鏈路接入QoS及數(shù)據(jù)安全設(shè)計

3G/4G鏈路是由公網(wǎng)運營商運營維護，鏈路的全安性和鏈路質(zhì)量不可控，在3G/4G鏈路作為接入方式的網(wǎng)絡(luò)中，對于QoS和數(shù)據(jù)安全性的設(shè)計需要非常慎重。

在接入層交換機上的QoS設(shè)置與E1和IP接入保持一致，為不同的數(shù)據(jù)流在二層數(shù)據(jù)里面設(shè)置優(yōu)先級，同時在基站的3G/4G路由器上進行QoS優(yōu)先級設(shè)置，基站3G/4G路由器和交換機上的策略配置保持一致。

圖6 典型的3G/4G鏈路接入拓撲圖

圖7 典型基站安全接入的拓撲圖

數(shù)據(jù)安全方面，3G/4G路由器通過與核心路由器之間做IPSEC VPN來保證數(shù)據(jù)傳輸?shù)陌踩约巴暾?；通常IPSEC V P N使用的加密算法包括DES，3DES，AES等算法，依據(jù)設(shè)備性能以及鏈路的需求選用合適的算法來對傳輸?shù)臄?shù)據(jù)進行加密，確保數(shù)據(jù)在公網(wǎng)上傳輸?shù)陌踩约巴暾浴?/p>

4.5 基站接入的安全性設(shè)計

為了確保基站側(cè)接入的設(shè)備（基站等其它數(shù)據(jù)采集設(shè)備）是經(jīng)過許可接入的，需要對接入的設(shè)備進行安全認證，以保證整個集群系統(tǒng)網(wǎng)絡(luò)的安全可靠性。采用MAC地址綁定及802.1X技術(shù)來對基站側(cè)接入的設(shè)備進行安全認證，Radius認證服務(wù)器部署在集群系統(tǒng)交換中心。典型基站安全接入的拓撲圖見圖7。

5 結(jié)束語

同一個集群系統(tǒng)網(wǎng)絡(luò)內(nèi)可能包含一種或者多種鏈路接入方式，基站可以采取E1鏈路方式、無線鏈路方式、3G/4G鏈路方式、或者使用IP鏈路接入集群系統(tǒng)核心網(wǎng)。不論基站是采用哪種接入方式，QoS設(shè)計應(yīng)保證全局的統(tǒng)一性，不同網(wǎng)元上的數(shù)據(jù)流優(yōu)先級、承諾速率、以及違規(guī)流量的處理動作要保持一致性。數(shù)據(jù)安全可以根集群系統(tǒng)用戶實際需要及網(wǎng)元設(shè)備功能性能采用不同的加密技術(shù)來實現(xiàn)數(shù)據(jù)傳輸?shù)陌踩?，從而實現(xiàn)集群系統(tǒng)鏈路質(zhì)量及數(shù)據(jù)安全性的保障。通過802.1X技術(shù)來認證基站側(cè)的接入設(shè)備，提高整個集群系統(tǒng)網(wǎng)絡(luò)的安全性?！?/p>

Ensure The Security of Data Transmission in Trunking Communication System

Gong Tongping, Pan Cheng, Zhang Da
(Hytera Communications Corporation Limited, Shenzhen, 518057)

Trunking communication system has been fully turned to digital, more and more business functions (e.g.signaling, voice, data, video and so on) are carried by bearer network trunking communication system, and the type and structure of bearer network are also becoming more complex. IP bearer network face enormous challenges as the basis for trunking communication system which is running many kinds of business. Link quality management and data security transmission design to ensure safe of trunking communication system data is very import. First introduce QoS and encryption technology, second analysis of how each node implement QoS and encryption technology to ensue reliability and security of trunking communication system.

QoS; queue priority; encryption; trunking communication system

10.3969/J.ISSN.1672-7274.2015.11.003

TN929.52 文獻標(biāo)示碼：B

1672-7274（2015）11-0011-06