人民銀行業務網5G無線網絡方案設計與災備思考

史曉宇

隨著云計算、移動互聯網、國密SM算法等技術日臻完善，以5G移動網絡為基礎平臺的各類業務應用得以蓬勃發展。政府部門的移動執法終端、政務云平臺、移動辦公等，有效推動了政務公開、便民服務。商業銀行的離行式ATM、PAD金融終端、手機銀行、微信銀行等產品，豐富了金融服務內容，有效提升了普惠金融的覆蓋率、有效性和滿意度。

目前，人民銀行業務網通信網絡是租用通信運營商地面專線，作為唯一數據傳輸渠道，有礙于無線業務的發展。為進一步滿足人民銀行移動辦公、政務公開、現場執法檢查、無線備份網絡的業務發展需要，助推人民銀行業務轉型升級，結合政府及商業銀行成熟的5G無線網絡部署模式，研究部署人民銀行省級5G無線網絡平臺。具體可行性方案研究如下：

一、必要性

（一）移動辦公和執法檢查的必要性

當前，人民銀行沒有建設無線網絡，綜合辦公、賬戶、征信、外匯等系統只能依托有線網絡開展工作，導致領導在非辦公區內不能處理緊急公務，也不能及時掌握決策輔助信息;執法人員在現場執法過程中不能實時查閱數據、錄入證據、當場簽寫法律文書等。由此看來，無無線網絡阻礙了人民銀行業務的架構轉型升級。

構建一套基于5G無線通訊平臺，實現人民銀行業務向移動終端延伸和拓展，可以為決策者隨時隨地提供提供準確、可靠和快捷的移動信息服務和技術支撐;也可以為現場執法人員提供信息上傳、信息檢索、監督現場執法、監督檢查文書出具與接收等。

（二）備份網絡的必要性

據悉，城市地下管道、強電、弱電有統一的規范，由此決定了不同運營商的通信線路均鋪設在道路的同側，且水平距離較近，一般情況下不超過2米，一旦城市開展地下軌道、管道改造建設，就會存在2條線路同時被挖斷的情況，屆時將嚴重影響業務系統的連續性，因此有必要建設部署無線網絡備份，保障業務系統的連續性。

在發生區域重大自然災害后，移動運營商會基于5G無線網絡的簡便、快捷、高適應性等優勢，迅速架設5G網絡，保障電話暢通和數據傳輸，人民銀行可利用此時的無線網絡，建立應急保障網絡通道，及時有效辦理資金往來業務，進而保障災后恢復工作。

二、5G網絡優勢研究

隨著5G 移動網絡的迅速普及，各大移動運營商在提供更多基于5G 多媒體業務的同時，也給個人用戶及企業客戶帶來更好的無線接入體驗，5G 作為靈活、快速、安全、高效的廣域網接入方式，已逐步成為用戶廣域網接入的新興主流選擇。其無線網絡具有不可比擬的三大優勢：

（一）能夠滿足多類業務應用

5G無線網絡是集5G與WLAN于一體，并能夠快速傳輸數據、高質量音頻、視頻和圖像等。

（二）運營成本低廉

無線網絡鑒于無需鋪設線路，通過無線傳輸，因此可較快、低成本建設5G通信網絡。

（三）具備快速恢復能力

在發生區域性地震、火災等自然災害后，移動運營商原則上優先恢復無線網絡，其次再逐步恢復地面有線網絡。

三、5G網絡的風險及解決方案分析

（一）安全風險

安全風險 應對方案

1、如何避免非法燒制5G卡？ 雙向鑒權，A-KEY不可讀。

2、如何防范5G環境下的數據竊聽？ 運營商密鑰、算法不公開，用戶兩端基于IPSEC對數據加密，密鑰是用戶頒發。

3、如何避免其它5G用戶非法接入到自己的專網？ IMSI+域名綁定

4、如何隔離5G與internet？ 關閉internet。

5、如何防范內部用戶盜用帳號？ IMSI+用戶名+密碼綁定

6、如何防范數據篡改風險？ 高強度國密算法+IPSEC+CA

7、如何防范終端隨意接入？ IP+MAC綁定、基于時間ACL

（二）可靠性風險

可靠性風險 應對方案

1、如何應對運營商信5G信號覆蓋不穩定的現象？ 雙制式5G卡，輕松切換

2、如何應對5G鏈路中斷？ 斷線自動重連

3、5G信號消失，業務無法辦理？ 切換到4G，嘗試應急連接

4、機房、機柜屏蔽信號？ 延長全向天線

5、單LNS，可靠性低？ 雙peer、雙5G卡實現

四、人民銀行省級5G網絡建設方案研究

以移動運營商已建成的5G無線網絡為基礎，結合當前較成熟的安全保障措施和SSL、IPSEC和SM國密算法等技術，在省級部署一套VPDN 撥號網絡和IPSEC技術的虛擬無線專網，滿足移動辦公、現場執法、無線備份網絡等需要。

（一）組網概述

在省級二級節點部署1臺SSL VPN路由器，能夠滿足全省的移動終端和5G無線路由器的接入;部署1套用戶認證服務器和證書服務器，用于身份鑒別和認證，對用戶帳號進行整體的安全控制。

移動終端的IP地址由運營商的LAC設備統一進行分配，但IP地址由省級二級節點統一規劃，使用私有專用的IP地址段。

5G 路由器與LNS（L2TP Network Server）之間建立采用SM1 算法加密的IPSecVPN，實現安全接入人民銀行省級網絡。

LNS 側安全路由器：L2TP Network Server，接受5G 終端的拔號連接，并與遠端建立IPSecVPN，實現遠端的安全接入。

（二）安全策略設計

1.無線信號加密。SIM卡有運算功能，運營商算法保密，會以加密的形式內置一個密鑰，用戶與基站雙向鑒權，防止數據被非法竊聽、篡改。

2.屏蔽非法用戶。IMSI號是每張SIM卡的唯一標識，IMSI號+域名綁定，實現非授權卡無法撥入專網。

3.關閉internet服務。限制授權5G卡的訪問，關閉Internet服務，做到“專卡專用”，與互聯網邏輯隔離。

4.防止內部用戶盜用。在AAA服務器上設置，通過IMSI和用戶的IP、用戶名綁定，有效防止內部盜用，進一步做到“專卡、專人、專用”，便于控制安全風險，加強安全管理。

5.端到端數據加密。為保護業務數據流，采用L2TP+IPSEC+SM1對數據流進行端到端加密，進而防止數據被竊聽、盜取、篡改，保證數據的一致性、可用性。

6.嚴格訪問控制。在防火墻中配置嚴格的訪問控制，包括限定訪問時間、IP地址、服務端口等，以確保合法終端合規使用各業務系統。

五、后續工作展望

鑒于現有辦公、業務系統均不兼容Android、蘋果IOS等移動終端操作系統，先期可通過部署移動“云”終端，將現有的辦公類系統快速部署并延伸到移動PAD、智能手機等移動終端，開展移動辦公業務，然后再統籌規劃，分步實施對各類系統進行升級、改造，逐步將更多的應用系統兼容移動終端操作系統，為人民銀行更廣泛地推進移動辦公業務夯實基礎。

作者單位：中國人民銀行銀川中心支行網絡科