摘 要：北电网络提供的 Ｃｏｎｔｉｖｉｔｙ 解决方案不仅可以使用户建立各种类型的ＶＰＮ，而且还可以把这些ＶＰＮ集成到未来的融合话音和数据的网络中 。该方案已实现了安全路由选择；可通过多种技术支持鉴权功能，从而实现安全接入；答应用户使用其各自的安全性配置文件设置；其设计中没有“后门” 。重点介绍了Ｃｏｎｔｉｖｉｔｙ２７００网关的主要特征及其优势 。
主题词：安全路由技术 Ｃｏｎｔｉｖｉｔｙ２７００ 北电网络
目前，通过调制解调器或专用线路连接互联网用户的方式正逐渐被虚拟专用网（ＶＰＮ）所代替，ＶＰＮ使用户可以通过互联网安全通信 。北电网络提供的 Ｃｏｎｔｉｖｉｔｙ 解决方案不仅可以使客户建立各种类型的ＶＰＮ，而且还可以把这些ＶＰＮ集成到未来的融合话音和数据的网络中 。在北电网络看来，明天的ＶＰＮ将发展成为高速、安全的网络，将在公共互联网上安全融合所有业务，包括数据、话音和视频 。
ＩＰＳｅｃ ＶＰＮ是保证重要信息在公共互联网上传输时不会被泄露的最好选择 。ＩＰＳｅｃ 有效地保证了数据的私密性、完整性、鉴权和可查性 。ＩＰＳｅｃ 分两种工作模式：隧道模式、传输模式 。当许多主机通过ＩＰＳｅｃ ＶＰＮ网关建立隧道安全通信时，则采用隧道模式 。北电网络已解决了在ＩＰＳｅｃ隧道上实现安全路由的问题，为ＩＰＳｅｃ ＶＰＮ 的普及打下了坚实的基础 。
安全路由技术
所谓的安全路由技术即如何在ＩＰＳｅｃ ＶＰＮ隧道上实现动态路由选择技术 。
１．安全路由技术的实现
要在ＩＰＳｅｃ隧道上实现动态路由技术，必需找到两个通信端点的ＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ，假如该ＳＡ不存在，则启动ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ来为该通信端点建立ＳＡ 。一旦该ＳＡ建立，就只答应这两个通信端点相互交流，其余数据均被禁止（除非通过ＩＫＥ建立新的ＳＡ） 。
假设ＩＰＳｅｃ ＶＰＮ隧道已建立，并且由ＩＫＥ为动态路由协议（ＯＳＰＦ，ＲＩＰ，Ｅｔｃ．建立了答应动态路由协议包通过的ＳＡ，ＶＰＮ两端的路由信息通过该ＳＡ互相学取，建立了动态路由表，那么当两端的用户根据该路由信息通信时，又需要通过ＩＫＥ为各自通信的端点重新建立ＳＡ，而假如网络状态有变导致某网段消失，则又需要通过ＩＫＥ删除相关的ＳＡ，工作过程非常复杂，开销太大，不能接受，并且目前ＩＰＳｅｃ规范中没有该标准 。有的厂家为了解决该问题，只好把数据额外封装到ＧＲＥ（Ｇｅｎｅｒａｌ Ｒｏｕｔｉｎｇ Ｅｎｃａｐｓｕｌａｔｉｏｎ隧道上 。由于数据封装次数太多，导致数据开销过大，因此没有被市场接受 。
可见要实现安全路由技术，要害在于建立一种特定的ＳＡ 。北电网络的Ｃｏｎｔｉｖｉｔｙ已实现了安全路由选择（ＳＲＴ 。
北电网络的Ｃｏｎｔｉｖｉｔｙ操作组件具有以下优势 。
（１）安全路由选择
ＳＲＴ支持ＩＰＳｅｃ隧道上的动态路由 。Ｃｏｎｔｉｖｉｔｙ符合ＩＰＳｅｃ标准，能够将虚拟ＩＰ接口映射到ＩＰＳｅｃ隧道 。当通过隧道传输ＩＰ业务时，Ｃｏｎｔｉｖｉｔｙ的动态路径避免了额外的状态处理和数据包开销（每个数据包多达２４ Ｂ） 。
（２）安全接入
所有与Ｃｏｎｔｉｖｉｔｙ的连接或通过Ｃｏｎｔｉｖｉｔｙ的连接，不管是隧道化或非隧道化连接，都可被安全化 。用户、用户组和远端站点均拥有唯一的一个过滤配置文件 。配置文件被存储在一个ＬＤＡＰ数据库中，以便在单一设备或多个Ｃｏｎｔｉｖｉｔｙ设备中实现公共策略设置 。Ｃｏｎｔｉｖｉｔｙ通过多种技术支持鉴权功能，这些技术包括ＲＡＤＩＵＳ、数字证书、智能卡和令牌卡等 。
推荐阅读
- Cisco路由器安全配置
- 路由器的类型
- CIDR 细述无类别域间路由技术
- 选择安全路由器的标准
- 连接一个终端到Cisco路由器
- 路由器能否取代防火墙？
- 路由器的安全设计
- 基本的CISCO路由器安全配置
- 路由器的安全与可靠的问题
- 2505路由器HUB端口的安全性配置