IP網QoS與安全性分析

2019-11-03 08:58:44

字體：大中小

來源：轉載

供稿：網友

何寶宏

QoS問題分析

　　目前，業界普遍認為：公用交換電話網（PSTN）和ATM網可以保證業務的服務質量，而ip網絡無法保證服務質量。因此，本節在進行IP網絡的服務質量問題分析時，主要以PSTN和ATM技術、網絡作比較。首先我們看一看PSTN網絡的服務質量。

　　在PSTN中，網絡與業務不分離，都是由運營商提供和控制的。用戶不能自行創建新業務，只能在運營商提供的業務類型中選擇，并且運營商目前提供的都是以話音業務模型為核心的基本業務和補充業務，最大特點是具有固定的傳輸速率（如64kb/s）。

　　對于單個用戶，當PSTN網絡收到用戶的呼叫請求時，在接續的過程中能夠判斷針對此次呼叫的端到端的網絡資源是否可用。如果可用，則允許用戶接入，否則拒絕。能夠做到這一點的前提是：PSTN網絡知道用戶的每次請求所要求的網絡資源都是64kb/s，因此可以很容易地確定用戶所請求的端到端的網絡資源是否可用。

　　對于全網而言，可以以每用戶每呼叫需要64kb/s資源為基礎，統計流量和流向，結合一百多年來的運營經驗，進行合理的規劃和設計，在保證每用戶每呼叫服務質量的前提下，提高整個網絡的資源利用率。

　　其次我們看一看ATM網絡的服務質量。

　　ATM雖然具有支持流量工程、支持實時業務的可變比特率（rt－VBR）等功能，但目前最典型的用法是提供點到點（如PVC專線）和多點到多點（ATM網絡）的業務。另外，ATM目前所支持的高層業務幾乎全是IP （IP over ATM）。高層的IP會很明確地告訴低層的ATM，它需要多少網絡資源（比如155Mb/s、622Mb/s等），但IP卻不知道它的高層應用（如WWW、E－mail）究竟需要多少資源。可以這樣說，是IP替ATM背上了無法保證QoS的黑鍋。ATM的流量工程和rt－VBR功能使用得非常少，原因是很清楚的。

　　換一個角度來看ATM和IP。現在幾乎所有的高層業務都是基于IP的，IP無法保證它的服務質量，但使用ATM究竟行不行？如果把突發性的數據業務移植到ATM上，如WWW/E－mail/FTP/VoIP over ATM等，去掉中間的IP層，會出現什么情況？不難想象，ATM提供的服務質量不會比IP更好，而ATM在其它方面的問題（如編址、可擴展性）可能會更嚴重。

　　下面我們探討一下IP網絡的服務質量。

　　IP最初的設計就是為了承載多業務，網絡與業務分離，用戶接入和IP包的傳輸服務由ISP提供，內容服務（如WWW、FTP、E－mail）由內容提供商（ICP）提供。

　　對于單個用戶而言，如果要在IP網絡上保證用戶的QoS，存在很多困難，包括可能不清楚用戶使用的業務類型、不清楚該業務的業務特征和流量模型、不同用法下的同一種業務的特征和流量模型很可能不同、用戶在一條接入鏈路上可能混合使用多種業務、不規則網狀結構使得端到端的可用資源情況很難判斷、同一個業務流中的不同數據包可能經過不同的網絡路徑、與電話網的運營時間相比IP網絡的運營時間還非常短而且運維經驗少，等等。

　　因為全網QoS的保證是以單個用戶的資源需求為基礎計算、規劃和設計的，因此如果單個用戶的QoS難以處理，網絡資源的優化使用就無從談起，保證統計聚合后的全網QoS就更困難。

安全問題分析

　　業界目前普遍認為，PSTN和ATM網是相對安全的，因此與上節相似，本節在進行IP網絡的安全問題分析時，主要以PSTN和ATM技術、網絡作比較。

　　首先我們看一看PSTN網絡的安全性。

　　與IP網絡相比，PSTN網絡的安全性來自幾個方面：

　　PSTN的終端是傻瓜型的，智能位于運營商網絡中，用戶——網絡接口（UNI）和網絡——網絡接口（NNI）分離。業務的提供和控制權都在運營商手里，運營商網絡只為自己能夠識別的業務提供服務。沒有運營商網絡的參與，用戶很難只在客戶端實施改造就產生一種新業務。運營商具有業務控制權，意味著運營商可以只提供那些他認為是安全的業務。傻瓜型終端使得用戶很難進行一些要智能終端支持的安全攻擊，使得在IP網絡上常見的病毒、黑客等攻擊在PSTN上無從下手，安全性容易得到保證。

　　當使用PSTN提供IP網絡的接入服務時，這時的PSTN是IP網絡的鏈路層（接入）技術，IP數據只是在PSTN上進行透傳，因此不可能利用PSTN接入IP的機會，從IP網絡攻擊PSTN網。

　　安全攻擊的成本較高。PSTN的收費模式和終端傻瓜型的特點等，使得客戶很難有效地發起大規模的攻擊（如分布式拒絕服務攻擊，DDOS），因為這樣做的成本很高。

　　客戶的可追查難度較低。PSTN網絡對所有的終端都有全球唯一的、公開的編號（E.164號碼），出現問題時容易追查攻擊者的位置。

　　其次我們看看ATM網絡的安全性。

　　與IP網絡相比，ATM網絡的安全性主要來自幾個方面：

　　沒有直接使用ATM的終端業務，ATM網絡不直接面向用戶，使得客戶不可能發出ATM網絡能夠識別或要識別的ATM信令或數據。

　　ATM的UNI與NNI是分開的。網絡與用戶（IP用戶或話音用戶）之間的關系是為用戶提供信息的透傳功能，ATM的信令、數據和設備對用戶不可見，用戶產生的數據不可能攻擊ATM網絡；而網絡與網絡之間的安全性是靠運營商之間的信任關系來保證的。

　　ATM提供給用戶的是一個邏輯專網，是一個內部專網。用戶始終只能在自己的網絡中通信，只可能攻擊自己的網絡或自己網絡中的用戶，攻擊目標有限，而且即使發生攻擊，也很容易追查。

　　最后我們再看一看IP的安全性。

　　與SDH、ATM、X.25等安全網絡相比，IP網絡不安全的主要原因在于：

　　IP網絡沒有用戶——網絡接口（UNI）和網絡——網絡接口（NNI）的區別，在IP層面是相互可見的。運營商網絡設備、協議甚至拓撲對用戶是可見的，用戶側產生的IP信息既可能在用戶側終結，也可能在網絡中終結，這就使得用戶側有機會與運營商網絡交換非法路由信息，也可能攻擊運營商網絡的路由器和接入服務器等三層或三層以上的設備。另外，位于網絡邊緣的用戶側網絡、業務和應用一般都使用TCP/UDP/IP技術，用戶之間在IP層和應用層都相互可見。這為互聯互通、降低成本等帶來了很大的方便，但同時也為用戶之間的相互攻擊對方的網絡、應用和業務提供了方便。

　　終端的智能性和業務的多樣性，增加了識別和防范安全攻擊的難度。多種業務綜合承載在同一個網絡上，沒有建立用戶間的信任關系，導致惡意用戶很容易對別的用戶發起攻擊；被攻擊的用戶難以區分哪些是合法的用戶訪問請求，哪些是惡意攻擊。

　　IP技術發展很快，協議設計和軟件實現中的很多缺陷或BUG在大規模部署使用前來不及測試和排除。如TCP/IP協議族實現方面，尤其是微軟操作系統存在的安全漏洞。

　　此外，IP技術的寬帶化等方便了大規模攻擊的實施，如分布式拒絕服務攻擊；IP的計費模式導致攻擊成本很低；IP用戶的身份難以確定，以致很難跟蹤攻擊者。

摘自　泰爾網

上一篇：芻議IPv6的安全問題

下一篇：移動IPv6及其在3G網絡中的應用