AAA遠(yuǎn)程認(rèn)證在中興通訊承載網(wǎng)光傳送網(wǎng)絡(luò)中的應(yīng)用

  隨著5G新業(yè)務(wù)的發(fā)展，接入業(yè)務(wù)的帶寬需求飛速增長，中興通訊可以提供端到端的傳輸解決方案，構(gòu)建一個涵蓋城域接入層、城域匯聚層、城域核心層以及長途干線層的“端到端”網(wǎng)絡(luò)，實現(xiàn)承載業(yè)務(wù)“光速直達(dá)”，是未來網(wǎng)絡(luò)發(fā)展的必然趨勢。

  通信網(wǎng)絡(luò)分為三層，由下至上分別是接入層、匯聚層、核心層。承載網(wǎng)就是處于接入網(wǎng)和核心網(wǎng)之間的網(wǎng)絡(luò)部分。

圖1 承載網(wǎng)在通信網(wǎng)絡(luò)中的位置

  為了滿足接入業(yè)務(wù)的帶寬需求飛速增長，承載網(wǎng)光傳送網(wǎng)產(chǎn)品應(yīng)運而生，光傳送網(wǎng)(optical transport network)簡稱OTN。中興通訊的承載網(wǎng)OTN產(chǎn)品分為：

  (1)ZXONE 9700分組OTN產(chǎn)品

  ZXONE 9700系列產(chǎn)品，支持10G/40G/100G/400G傳輸速率，可實現(xiàn)28.8T/14.4T/9.2T/4.4T ODUk的大容量電層交叉和10G/40G/100G/400G波長的光層交叉及分組交換功能。其適用于骨干核心層以及本地/城域網(wǎng)絡(luò)，可充分滿足運營商對大顆粒數(shù)據(jù)業(yè)務(wù)的透明傳輸、靈活調(diào)度、匯聚處理以及對業(yè)務(wù)管理監(jiān)控的需求。

  (2)ZXONE 19700產(chǎn)品

  面向100G和超100G的超大交叉容量OTN設(shè)備ZXONE 19700系列產(chǎn)品，支持10G/40G/100G/200G/400G/1T傳輸速率，具備業(yè)界最大的電層交叉容量和10G/40G/100G/400G/1T波長的光層交叉及分組交換功能，適用于國干、省干和城市核心調(diào)度節(jié)點，可充分滿足運營商對大顆粒數(shù)據(jù)業(yè)務(wù)的透明傳輸、靈活調(diào)度、匯聚處理以及對業(yè)務(wù)管理監(jiān)控的需求。

  (3)ZXWM M920骨干OTN產(chǎn)品

  ZXWM M920設(shè)備是中興通訊推出的新一代大容量、超長距的智能骨干網(wǎng)OTN產(chǎn)品，該設(shè)備應(yīng)用了先進(jìn)的傳輸技術(shù)與高度的集成技術(shù)，面向全I(xiàn)P化傳輸，全面支持OTN標(biāo)準(zhǔn)，支持GMPLS/WASON控制平面的加載，應(yīng)用于國際、國家、省際、省內(nèi)干線，本地交換網(wǎng)以及各種專網(wǎng)的建設(shè)。

  (4)ZXMP M721城域邊緣OTN產(chǎn)品

  ZXMP M721是定位于城域匯聚接入層的新一代OTN光網(wǎng)絡(luò)產(chǎn)品，具有小身材、大能耐、低功耗、高可靠特性。支持80×10G/100G/200G DWDM系統(tǒng)，并支持模塊化平滑升級。DWDM系統(tǒng)支持多跨段無電中繼傳輸(18×22 dB、7×30 dB 、1×45dB等)。可支持2Mbit/s~100Gbit/s的全業(yè)務(wù)接入：STM-1/4/16/64;FE, GE, 10GE WAN,10GE LAN,100GE;1G/2G/4G/8G/10G/16G FC，ESCON，F(xiàn)ICON，DVB-ASI，SD-SDI/HD-SDI/3G-SDI;OTU1/2/2e/1f/1IB/4;E1等。ZXMP M721是一款高集成度的緊湊型OTN產(chǎn)品，其單子架為DX61(1U)、DX62(2U)、DX63(3U)、CX62A(2U)、CX63A(3U)、CX66(6U)和CX66A(6U)，可以節(jié)約機房面積，有效降低電源功耗，顯著降低運行和維護(hù)費用，適應(yīng)網(wǎng)絡(luò)的綠色環(huán)保需求。

  (5)ZXUCP A200智能光網(wǎng)絡(luò)控制平面產(chǎn)品

  ZXUCP A200是中興通訊推出的基于WDM/OTN的WASON控制平面軟件產(chǎn)品，基于波長交叉和ODUk電交叉技術(shù)，能夠?qū)崿F(xiàn)網(wǎng)絡(luò)的自動化、智能化，以及更加高效可靠的業(yè)務(wù)承載。

  承載網(wǎng)OTN產(chǎn)品在實際使用中以網(wǎng)元(Network Element，簡稱NE)的屬性存在，每個網(wǎng)元就是由一個獨立的設(shè)備或者多個設(shè)備按照主從子架進(jìn)行級聯(lián)共同組成，業(yè)務(wù)就通過在不同網(wǎng)元之間進(jìn)行傳遞。每個網(wǎng)元都存在北向接口，用戶可以通過設(shè)備的北向接口使用如下服務(wù)與設(shè)備進(jìn)行通信與管理，比如sftp，ssh，netconf，snmp，網(wǎng)絡(luò)管理接口(EMS口)服務(wù)等。

圖2 承載網(wǎng)OTN網(wǎng)絡(luò)中網(wǎng)元組網(wǎng)和北向接口服務(wù)

  網(wǎng)元的這些北向接口服務(wù)都需要進(jìn)行登錄，認(rèn)證授權(quán)。因此在每個網(wǎng)元設(shè)備上都存在AAA模塊來實現(xiàn)對北向接口服務(wù)的登錄認(rèn)證，授權(quán)。AAA是Authentication(認(rèn)證)、Authorization(授權(quán))和Accounting(計費)的簡稱。它提供對用戶進(jìn)行認(rèn)證、授權(quán)和計費三種安全功能。

  (1)Authentication(認(rèn)證):驗證用戶的身份與可使用的網(wǎng)絡(luò)服務(wù)。

  (2)Authorization(授權(quán))：依據(jù)認(rèn)證結(jié)果開放預(yù)先配置的操作權(quán)限級別的網(wǎng)絡(luò)服務(wù)給用戶。

  (3)Accounting(計費)：記錄用戶對各種網(wǎng)絡(luò)服務(wù)的用量，并提供給計費系統(tǒng)。

  AAA又分為AAA本地認(rèn)證和AAA遠(yuǎn)程認(rèn)證兩種模式。

  (1)AAA本地認(rèn)證：將用戶信息配置在接入服務(wù)器上。

  (2)AAA遠(yuǎn)程認(rèn)證：與RADIUS，TACACS+等協(xié)議配合使用，接入服務(wù)器作為客戶端，與RADIUS，TACACS+服務(wù)器通信，用戶的配置信息存放在RADIUS，TACACS+服務(wù)器上。

  RADIUS：RADIUS(Remote Authentication Dial-In User Server，遠(yuǎn)程認(rèn)證撥號用戶服務(wù))是一種分布式的、C/S架構(gòu)的信息交互協(xié)議，能包含網(wǎng)絡(luò)不受未授權(quán)訪問的干擾，常應(yīng)用在既要求較高安全性、又允許遠(yuǎn)程用戶訪問的各種網(wǎng)絡(luò)環(huán)境中。協(xié)議定義了基于UDP(User Datagram Protocol)的RADIUS報文格式及其傳輸機制，并規(guī)定UDP端口1812、1813分別作為認(rèn)證、計費端口。RADIUS最初僅是針對撥號用戶的AAA協(xié)議，后來隨著用戶接入方式的多樣化發(fā)展，RADIUS也適應(yīng)多種用戶接入方式，如以太網(wǎng)接入等。它通過認(rèn)證授權(quán)來提供接入服務(wù)，通過計費來收集、記錄用戶對網(wǎng)絡(luò)資源的使用。

  TACACS+：TACACS+(Terminal Access Controller Access Control System，終端訪問控制器控制系統(tǒng)協(xié)議)是在TACACS協(xié)議的基礎(chǔ)上進(jìn)行了功能增強的安全協(xié)議。該協(xié)議與RADIUS協(xié)議的功能類似，采用客戶端/服務(wù)器模式實現(xiàn)NAS與TACACS+服務(wù)器之間的通信。

  RADIUS與TACACS+的比較：

圖3 對比RADIUS與TACACS+

  AAA遠(yuǎn)程認(rèn)證原理：

  AAA一般采用客戶機/服務(wù)器結(jié)構(gòu)，客戶端運行于NAS(Network Access Server，網(wǎng)絡(luò)接入服務(wù)器)上，服務(wù)器上則集中管理用戶信息。NAS對于用戶來講是服務(wù)器端，對于服務(wù)器來說是客戶端。AAA的基本組網(wǎng)結(jié)構(gòu)如下圖4。

  當(dāng)用戶想要通過某網(wǎng)絡(luò)與NAS建立連接，從而獲得訪問其它網(wǎng)絡(luò)的權(quán)利或取得某些網(wǎng)絡(luò)資源的權(quán)利時，NAS起到了驗證用戶的作用。NAS負(fù)責(zé)把用戶的認(rèn)證、授權(quán)、計費信息透傳給服務(wù)器(RADIUS服務(wù)器或TACACS+服務(wù)器)，RADIUS協(xié)議或TACACS+協(xié)議規(guī)定了NAS與服務(wù)器之間如何傳遞用戶信息。

  TACACS+的典型應(yīng)用是對需要登錄到設(shè)備上進(jìn)行操作的終端用戶進(jìn)行認(rèn)證、授權(quán)、計費。設(shè)備作為TACACS+的客戶端，將用戶名和密碼發(fā)給TACACS+服務(wù)器進(jìn)行驗證。用戶驗證通過并得到授權(quán)之后可以登錄到設(shè)備上進(jìn)行操作。

圖4 AAA遠(yuǎn)程認(rèn)證原理圖

  中興通訊的承載網(wǎng)光傳送網(wǎng)絡(luò)產(chǎn)品支持以上三種認(rèn)證方式，詳見如下：

  (1)支持AAA本地認(rèn)證。

  (2)支持基于RADIUS的AAA 遠(yuǎn)程認(rèn)證。

  (3)支持基于TACACS+的AAA遠(yuǎn)程認(rèn)證。

  如圖2所示，在過去很長一段時間，通信網(wǎng)絡(luò)中廣泛應(yīng)用的是本地AAA認(rèn)證。圖中每個網(wǎng)元(NE)上都存在一個AAA模塊，用戶的認(rèn)證授權(quán)利用每個網(wǎng)元自身的用戶數(shù)據(jù)庫來實現(xiàn)對北向接口提供的服務(wù)用戶進(jìn)行登錄認(rèn)證，授權(quán)。這個認(rèn)證授權(quán)過程都是在每個網(wǎng)元上單獨完成的。這種本地AAA認(rèn)證方式存在以下幾個問題：

  (1)賬號維護(hù)工作量大。用戶需要新增或者修改，刪除賬號信息，需要逐個登錄每個網(wǎng)元進(jìn)行配置，工作量很大，操作起來非常耗時。

  (2)存在后門賬號引起安全風(fēng)險。由于通信網(wǎng)絡(luò)中網(wǎng)元數(shù)量很多，維護(hù)管理人員可能不會及時發(fā)現(xiàn)某個網(wǎng)元上殘留的賬號，導(dǎo)致存在客戶未知賬號導(dǎo)致入侵風(fēng)險。

  為了解決以上2個AAA本地認(rèn)證存在的多網(wǎng)元用戶信息維護(hù)問題，中興通訊現(xiàn)在已經(jīng)在承載網(wǎng)光傳送網(wǎng)絡(luò)中使用AAA遠(yuǎn)程認(rèn)證。并且推薦使用更為安全的基于TCP協(xié)議的TACACS+協(xié)議。中興通訊承載網(wǎng)光傳送網(wǎng)絡(luò)中的每個網(wǎng)元啟用AAA遠(yuǎn)程TACACS+認(rèn)證功能后，每個網(wǎng)元的功能相當(dāng)于AAA遠(yuǎn)程認(rèn)證中的NAS角色。網(wǎng)元設(shè)備作為TACACS+的客戶端，將遠(yuǎn)程用戶登錄輸入的用戶名和密碼發(fā)給TACACS+服務(wù)器進(jìn)行驗證。在TACACS+服務(wù)器上對收到的用戶賬號數(shù)據(jù)與TACACS+服務(wù)器里存儲的用戶賬號數(shù)據(jù)進(jìn)行比對，用戶驗證通過并得到授權(quán)之后可以登錄到設(shè)備上進(jìn)行操作。

圖5 承載網(wǎng)OTN網(wǎng)絡(luò)中啟用AAA 遠(yuǎn)程TACACS+認(rèn)證后的網(wǎng)元組網(wǎng)和北向接口服務(wù)

  中興通訊在承載網(wǎng)光傳送網(wǎng)絡(luò)中，通過啟用AAA遠(yuǎn)程TACACS+認(rèn)證功能，維護(hù)多個網(wǎng)元的賬號信息只需要在一臺TACACS+服務(wù)器上進(jìn)行維護(hù)，從而減輕了運維人員的工作量，同時減少了某個網(wǎng)元上殘余后門賬號的風(fēng)險。

  作者：中興通訊 波分產(chǎn)品研發(fā)中心 袁琨