EPON网络安全机制.doc

EPON网络安全机制说明

安全涉及以下内容：
Ø PON网络保护模式；
Ø OLT上联口保护。
Ø ONU设备接入和认证；
Ø 用户认证和绑定；
Ø 业务隔离；
Ø 数据保密；
Ø 网络和业务安全；
Ø 设备安全；
Ø 系统冗余备份：
Ø 系统保护；
下面对上述方面做专题说明。
1.1 PON网络保护模式
PON网络的保护模式主要有以下四种 ：
1、Type A：主干光纤冗余保护
Ø OLT：采用单个PON端口，PON口处内置1×2光开关；
Ø 光分路器：使用2:N光分路器；
Ø ONU：无特殊要求。
Ø 倒换动作：由OLT检测线路状态，倒换由OLT完成。
2、Type B：OLT PON口、主干光纤冗余保护
Ø OLT：备用的OLT PON端口处于冷备用状态；
Ø 光分路器：使用2:N光分路器；
Ø ONU：无特殊要求；
Ø 倒换动作：由OLT检测线路状态、OLT PON端口状态，倒换由OLT完成。
3、Type C：全保护（OLT PON口、主干光纤、光分路器、配线光纤冗余保护）
Ø OLT：主、备用的OLT PON端口均处于工作状态；
Ø 光分路器：使用2个1:N光分路器；
Ø ONU：在PON端口前内置光开关装置；
Ø 倒换动作：由ONU检测线路状态，并决定主用线路，倒换由ONU完成。
4、Type D全保护（OLT PON口、主干光纤、光分路器、配线光纤冗余保护、ONU PON口）
Ø OLT：主、备用的OLT PON端口均处于工作状态；
Ø ONU：主、备用的ONU PON端口均处于工作状态，但只有主用的ONU PON 承载业务，备用ONU PON只完成协议的交互；
Ø 光分路器：使用2个1:N光分路器；
Ø 倒换动作：由ONU检测线路状态，并决定承载业务的主用线路，倒换由ONU完成。

Type A 模式：主干光纤冗余

Type B模式：OLT PON口冗余

Type C模式：全程光纤冗余

Type D模式：ONU PON口冗余
对Type A、B、C、D四种保护模式，当发生下列条件之一时，必须进行光纤保护倒换：
Ø 输入光信号丢失（LOS）；
Ø 输入通道信道劣化（SD）：
Ø 输入光信号功率过高或过低；
Ø 误码率越限；
EPON系统中，当进行光纤保护倒换时，四种光纤保护类型的光通道倒换时间都满足50ms。
PON系统提供被保护业务的自动返回或人工返回功能。对于自动返回方式，在消除造成倒换的故障后，经过一定返回等待时间（WTR），被保护业务应自动返回到原来的工作路由，返回等待时间应可以设置。
考虑到保护范围和保护成本，现在的主流保护模式是Type B，这需要在OLT上预留备用PON口，分光器需配置2:N的，备用光纤最好实现物理路由的冗余。
1.2 OLT上联口保护模式
上联口保护可分为以太网上联口保护和TDM上联口保护。
1、以太网上联口保护方式
· STP/RSTP/MSTP方式的上联口保护
STP/RSTP/MSTP通过有选择性地阻塞网络冗余链路来达到消除网络二层环路的目的，同时具备了链路的备份功能。
MSTP/RSTP/STP方式下的倒换准则是通过设备运行STP/RSTP/MSTP协议，当检测到某一个主端口出现异常，将其备份端口或者替换端口直接设置为Forwarding状态，实现端口和线路切换。
· Trunk/LACP链路聚合方式的上联口保护
Trunk链路聚合技术是将OLT多个上联接口的数条物理链路(物理连接)组合在一起,从逻辑上形成一条链路，多个上联接口在正常工作中可以同时有效传输数据，进行负荷分担。在某条上联链路发生故障时，其他的上联接口可以保持正常工作，保证业务不中断。
Trunk的倒换准则比较简单，通过检测到以太网上联端口出现link down后，通知LACP业务模块，从Trunk组中删除该端口，其触发条件就是检测到Trunk组中的某一个端口link down。
· UAPS方式的上联口双上联/归属保护
UAPS主要实现上联口的自动保护切换功能，使得在工作的上联口出现故障时能自动及时地将业务切换到备用的上联口上，保持业务不中断。
通过配置一对或者多对上联接口，UAPS功能可提供M*(N＋N)备份，即系统上联口可分为多组，每组可包含多对主备的上联口，处于工作状态的上联口进行数据转发，处于备用状态的上联口不进行数据转发。当组中工作状态的端口有LINKDOWN时，该组所有上联口进行自动保护切换。
保护组中工作端口中只要有一个端口被检测到LINKDOWN，系统就发起该组的切换请求，试图对该组进行切换，如果距离该组上次切换时间间隔小于保护时间，则延期到保护时间结束时进行切换，如果在保护时间结束之前，工作端口中 LINKDOWN的端口全部恢复为LINKUP，则也发起自动切换。UAPS组切换时该组中所有端口都进行切换，即所有的工作端口切换为备用端口，所有的备用端口切换为工作端口。
2、TDM上联口保护
PON系统提供TDM业务上联，通过STM-1接口把TDM业务送入SDH传输网，在OLT 和上联SDH设备间采用1+1的链型保护。
倒换方式支持手工倒换和自动倒换：
l 手工倒换：包括强制/手动/锁定等；
l 自动倒换：当检测到TDM接口有以下三种告警时自动进行倒换：
Ø 信号丢失(LOS)；
Ø 帧丢失(LOF)；
Ø 告警指示信号(MS-AIS)；
Ø 单板被拔出。
TDM接口自动进行保护倒换。保护倒换支持恢复式（revertive）和非恢复式（non-revertive）方式。区别是前者在检测到工作接口告警消除后经过一个等待恢复时间（WTR）会自动将业务倒换回工作接口，后者切换后将保持现有接口工作直接至下一次倒换。WTR时间可以设置。
1.3 ONU设备接入和认证
ONU设备一般部署于用户家中或楼道、小区等位置，存在仿冒、伪装、欺诈和侵入网络等安全风险，必须对ONU的接入进行认证。
ONU的认证主要有MAC认证和逻辑标识认证（LOID）两种方式。MAC是ONU的物理地址，LOID是事先配置于ONU中逻辑标识。ONU在接入PON网络并在OLT注册后，必须提供MAC或逻辑标识LOID进行认证，ONU的MAC和LOID信息可通过网管系统配置于OLT进行比对，也可将ONU的MAC或LOID信息发送至后台的认证系统进行集中认证。只有认证通过的ONU才是合法ONU，被允许接入PON网络。
1.4 用户的认证和绑定
用户的接入认证和业务认证主要基于PPPoE或DHCP在BRAS进行。
为避免用户帐号被盗用和同享等安全风险，还必须提供用户帐号和物理线路/设备的绑定。目前主要采用PPPoE+和DCHP Option 82两种技术实现用户的绑定。
相对于DSLAM系统，用户的端口/线路/设备信息只在DSLAM插入一次，在PON系统中，可在ONU将用户的端口/线路/PVC/VLAN信息插入到PPPoE或DHCP报文交换过程中，并在OLT再次将OLT的端口/板卡/VLAN等信息插入到PPPoE或DHCP报文交换过程中，通过后台Radius等认证系统对事先登记的上述物理信息进行比对，认证通过用户才可接入，并可实现上述信息与用户MAC等信息的绑定。
1.5 业务隔离
PON系统层面的用户和业务隔离主要基于VLAN实现，对于PUPV，实现不同用户之间各业务的隔离；对于PUPSPV，实现不同用户之间各业务的隔离，也实现同一用户不同业务之间的隔离。
PON技术本身上行采用突发方式实现不同ONU之间的天然隔离。PON 口和PON MAC之间也可实现物理隔离。
在ONU的用户侧，还可基于PVC、端口隔离等方式实现用户和业务的隔离。
1.6 数据保密
PON的下行采用广播方式，报文会送抵PON口下所有ONU，为确保下行数据通信安全，PON提供了数据加密，普遍采用三层搅动加密技术。由OLT向各ONU请求各自不同的密钥，ONU提供各自的密钥，该密钥在OLT和特定ONU定时更新和同步，OLT对每个ONU的下行数据采用匹配的ONU 密钥进行加密，确保其他ONU无法破解其他ONU的加密数据，从而确保了下行通信安全。
1.7 网络安全
典型的网络安全措施包括：
Ø 广播/多播/DLF抑制：为了防止形成广播风暴，ONU/OLT对协议特定的广播（DHCP，ARP）、多播包（IGMP等）、DLF包和其他二层广播报文进行速率限制。
Ø MAC防盗用：防止用户盗用其他用户的MAC地址，拒绝向存在MAC地址重复的用户提供业务。
Ø MAC地址表保护：防止MAC泛洪攻击，限制从每个用户端口学习到的MAC地址数量。
Ø MAC帧过滤：针对MAC源地址和/或目的地址设置过滤条目。对于特定的MAC帧进行过滤。
Ø 非法组播源控制：为防止组播资源被盗用，PON设备阻止从用户端口发出的组播流。PON设备支持对网络侧合法组播源的配置和对非法组播源进行过滤的配置。
Ø 防DoS攻击：对特定的ICMP/DHCP/IGMP等协议消息进行限速，有效防止针对设备的DoS攻击。
Ø 用户侧环网检测：OLT/ONU的单个或多个以太网端口/DSL端口发生环路时，关闭该环回端口并告警，不影响其它端口和系统的正常工作。
Ø 流量镜像：通过配置或自动识别，把某个端口或子接口的流量镜像到特定端口输出或远程输出，以供特殊系统进行进一步的分析，排除网络安全威胁。提供本地镜像和远程镜像功能图 远程流量镜像功能。
1.8 设备安全
典型的设备安全措施包括：
Ø 设备管理帐号和权限控制：对通过网管、CLI、Telnet等各种方式登录设备进 行帐号和密码认证，对该帐号对设备的管理权限进行控制，基于AAA机制实现认证、授权、审计。
Ø 系统日志：对通过网管、CLI、Telnet等各种方式对设备和系统的各种操作进行日志记录，并可将日志传送到后台的网管系统和其他系统和平台，对系统和设备的操作人员和活动进行查询和追溯。
Ø 系统告警：当设备发生各种故障和安全问题时提供系统告警；ONU提供Dying Gasp。
Ø 系统监控：对系统负荷、电源、风扇等 关键部件的运行状态进行监控和提供告警。
Ø 设备环境监控：设备提供环境监控和告警，环境温度、湿度、烟雾、水渍、门禁等进行监控和提供告警。
1.9 系统冗余和备份
对风扇、电源和供电、主控交换板、上联板等关键部件和板件提供冗余备份保护。可手工切换或在主用部件和板件故障时自动切换到备用部件和板件。
1.10 系统保护
PON系统采用集中控制架构，控制模块位于主控交换板上，主控交换板支持1:1的备份和保护。
主控交换板的主备倒换有以下三种：
Ø 人工干预下被动倒换，当需要更换单板或人工发现异常时可以通过EMS或CLI下命令倒换；
Ø 软件异常自动倒换，当主用主用板软件运行异常后，主用板放弃主用并重启，备用板自动切换成主用；
Ø 控制模块对单板内的主要模块进行实时检测，当检测到硬件异常时，主用板放弃主用并重启，备用板自动切换成主用。