李伟章 普天东方通信股份有限公司
1 概述
与目前5类线到户的有线局域网(LAN)用户接入方式相类似,无线局域网(WLAN)正在发展成为公网的宽带无线用户接入方式,即运营商的WLAN(OWLAN)。
OWLAN严格说起来并不是一种局域网,而是一种采用WLAN技术的无线接入网络。由于在制定IEEE802.11标准时,WLAN只定位在局域网应用,故在WLAN作为热点地区公共接入网络时,802.11在认证、漫游、加密、计费和网管等方面显现出一定的缺陷。本文主要探讨WLAN在作为公共接入网时的组网方案,以及对认证、加密、计费和漫游方面的解决方案。
2 公共WLAN组网方案
OWLAN可以作为某一个运营商的无线接入网,亦可作为多个运营商共用的无线接入网,故在OWLAN中要求能支持多种认证方式。
(1)接入点(AP)
AP是WLAN的小型无线基站设备,为无线网与DS(分配系统例如有线以太网)之间的网关,且具有802.11f切换功能。
(2)接入控制点(AC)
AC为OWLAN和运营商IP网的网关。作为认证控制点时能鉴别不同的认证方式,并提供动态IP地址分配、输出原始计费信息、提供路由功能等。
(3)远程拨号接入认证(RADIUS)服务器
在使用“用户号十密码”或“手机号十密码”的Web认证方式时,使用RADIUS服务器实现对用户身份的认证。该服务器还接收来自AC的原始计费信息,产生符合移动运营商要求格式的CDR(呼叫数据记录)计费信息,实时送相应运行商的计费中心(Billing)。在RADIUS服务器中存有归属用户的用户名、登录名、固定IP地址、MAC地址、欠费情况等信息。
(4)认证服务器(AS)
移动运营商使用SIM卡认证方式时,需要使用认证服务器(AS)。AS与网关(GW或GPRS中的GGSN)相配合提供WLAN与移动运行商HLR/AUC的连接。
AS在读取MT(移动终端)的国际移动用户识别(IMSI),送HLR/AUC确认该用户为WLAN注册用户后,与HLR/AUC配合完成密钥产生、EAP(可扩展认证协议)_SIM认证等任务。其他功能同RADIUS服务器。
(5)门户网站服务器(Portal Server)
用于向用户端推送WEB认证页面和门户网站主页面。
3 公网WLAN用户接入的相关解决方案
3.1 OWLAN的用户认证
WLAN在作为局域网使用时,沿用了有线LAN的PPPoE(PPP over Ethernet)和Web用户认证方式。在作为OWLAN使用时,由于其在物理上的开放性,使得非法用户入侵的可能性大为增加,原有802.11认证的安全性已不能满足运营商的需要。在采用RADIUS协议并加上802.1x的认证手段以及802.1i的安全协议后,基本可以满足OWLAN的要求。同时,在认证安全前提下,应尽量利用运营商已有的鉴权认证设备,以简化系统、节约投资。
3.1.1 802.1x用户认证方式中的访问实体
802.1x协议克服了传统PPPoE和WEB认证方式的缺点,更适合在OWLAN中使用。该协议亦称为基于端口的接入控制协议。802.1x协议的访问控制流程中端口访问实体(PAE)包括:客户端、认证者和认证服务器三部分。
(1)客户端
用户从客户端发起802.11x的用户认证过程,为了支持基于端口的接入控制,客户端必需支持EAPoL(基于LAN的扩展认证协议)。
(2)认证者
认证者通常为支持802.1x协议的网络设备,这些设备的端口对应于用户端而言有受控与不受控两种逻辑端口。不受控端口始终处于双向连接状态,主要用于传递EAPoL协议帧,用以保证客户端始终可以发出或接受认证。受控端口只有在认证通过时才打开,用于传递运营商的有偿网络资源和业务。当用户未通过认证时,受控端口对该用户关闭,即无法访问该运营商所提供的有偿服务。
(3)认证服务器
认证服务器通常为RADIUS服务器或AS+HLR/AUC,它与认证者之间通过EAP协议进行通信。
3.1.2 802.1x认证方式
802.1x的网络访问控制协议规范了802.1x的用户鉴权认证方式。802.1x推荐使用拨号用户远程认证服务(RADIUS)及与之相关的两个通信协议:可扩展认证协议(EAP)和传输层协议(TLS)。
802.1x主要涵盖以下四种认证方式:
(1)EAP-MD5认证方式
EAP-MD5认证方式通过RADIUS服务器提供简单的集中用户认证。用户注册时该服务器只是检查用户名与密码,若通过认证就就允许客户端访问网络业务。采用该认证方式时,用户密码采用MD5加密算法,以保证认证信息的安全。EAP-MD5属单向认证机制,即只包括网络对客户端的认证。
(2)EAP-SIM认证方式
EAP-SIM认证方式主要用于蜂窝移动运营商WLAN的SIM卡认证方式,支持用户与网络之间的双向认证和动态密钥下发。在该认证方式中,用户端采用装有SIM卡读卡器的WLAN网卡。网络侧的认证服务器(AS)与移动交换系统原有的HLR/AUC协同工作共同完成对用户的认证。
(3)EAP-TLS认证方式
EAP-TLS认证方式属于传输层认证机制,支持用户与网络之间的双向认证。用户可以在每次连接动态生成新密钥,且在用户连接期间按一定间隔更新密钥。TLS认证中,传送的数据由TLS加密封装,保证认证信息的安全。
(4)EAP-TTLS鉴权认证方式
EAP-TTLS认证方式基于隧道安全认证技术,能够支持双向认证和动态密钥分发。在该认证方式中客户端与RADIUS之间,采用EAPoL协议建立安全隧道传送EAP认证包,实现TTLS认证。
3.2 OWLAN的数据安全
3.2.1 802.1x协议对数据的加密
为了克服802.11所定义WEP(有线等效保密协议)存在的安全隐患,IEEE制定了802.1x用以增强WEP的安全性。WEP使用40位静态密钥,而802.1x通过动态配置WEP的128位密钥加强了数据的保密性,制订了动态密钥完整性协议(TKIP)对WEP的RC4算法进行改进,并增加了消息完整性检查(MIC)。
在802.1x的EAP-TLS、EAP-TTLS、EAP-LEAP认证方式中提供了依赖于其初始鉴权认证的主密钥。利用该主密钥对空中数据帧加密,使得未经认证的用户无法对所窃取的数据帧进行解密。
3.2.2 WLAN中的VPN
为了保证企业内部网络的安全接入,在OWLAN接入网中采用虚拟专网(VPN)技术用以保证企业内部网络的安全接入。VPN是指在一个公共IP平台上,通过隧道及加密技术,为网络提供点对点的安全通信,以保证远程用户接入专用网络的数据安全性。
在采用VPN技术的WLAN中,无线接入网络已被企业的VPN服务器和虚拟局域网(VLAN)将企业内部网的接入隔离开来。由企业的VPN服务器提供无线网络的认证与加密,并充当企业内部网络的网关。VPN协议包括第二层的PPTP/L2TP协议及第三层的IPSec协议,上述协议对通过WLAN传送的数据提供强大的加密功能。
根据隧道的建立方式,可划分为2类VPN连接应用:
(1)由用户端发起的VPN连接
在由用户端发起的VPN连接应用中,需要在MT中按装VPN客户端软件。用以在MT与企业的VPN服务器(网关)之间建立隧道连接。在这类VPN连接中,VPN只涉及发起端与终结端,因此对AP、AC而言是透明的,无需AP、AC支持VPN。
(2)由AC端发起的VPN连接
在由AC端发起的VPN连接应用中,用户以PPPoE方式连接AC,AC根据通信目的域名地址判为VPN业务后,由AC发起一条隧道连接用户欲接入的企业网网关。在这种方式下从MT到AC的用户数据加密应在PPP层完成,可以采用PPP协议的加密选项来实现传输数据的加密。
3.2.3 802.11i标准
802.11i是专门针对WLAN安全体系的标准。该标准提供一种新的加密方法和认证方式(即WEP2技术)。与传统的WEP算法相比较,WEP2将密钥的长度由40位增加到128位,故很难破译。同时,该标准将一种增强安全网络(RSN)方案纳入其中,并包括了TKIP和AES-OCB两个协议。
802.11i通过使用动态密钥、良好的密钥管理与分发机制以及更强的加密算法,使得在WLAN中的数据帧传输变得更加安全。
3. 3 OWLAN的计费
在OWLAN中,AC监测用户数据传输的时间或流量,用以产生计费的原始信息送AS或RADUIS。在AS或RADUIS中对计费原始信息进行加工,生成符合计费中心所需格式的计费数据记录(CDR),送运行商计费中心。在多个运营商共用一个OWLAN时,要求AC能鉴别不同运营商的计费信息,分别送对应运营商的计费系统。
3.4 OWLAN的漫游
3.4.1 OWLAN的移动性管理
802.11至今还没有一个对MT设备跟踪与管理的正式标准。而在将WLAN作为OWLAN应用的今天,必须解决在同一计算机子网(域)内MT在不同AP之间漫游的问题;以及不同计算机子网(域)之间的漫游的问题。在没有统一的WLAN域内、域间的漫游标准之前,各制造商和运营商则推出了各自的解决方案。
3.4.2 域内漫游
在802.11中仅说明了MT可以在同一个ESS(扩展业务集)内的AP之间进行漫游,但未对MT漫游时AP之间具体通信过程做出规定,故不同厂家在实现AP间漫游时均采用了私有协议,这对运营商的组网带来了困难。为此IEEE推出了支持域内漫游的802.11f标准(已被IEEE批准为实践性标准)。
802.11f定义了同一ESS中AP的登录,以及MT从一个AP切换到另一个AP时,AP之间交换的信息。
802.11f所定义的IAPP(AP间交互协议)在IP层上规定了AP之间以及AP和RADIUS服务器之间所需交换的信息。AP之间是通过UDP/IP协议在一个共同的DS中交互信息、进行互操作。同时亦通过IAPP来影响第二层网络设备的操作。802.11f要求在RADIUS服务器中存放有域内各AP的基本信息,例如基本服务集标识(BSS-ID)、IP地址以及MT接入的认证密钥。在定义了IAPP后,MT与AP建立连接分为两种情况:
(1)MT在AP间切换(重新连接)
当MT从一个BSS转移到另一个BSS时,MT发出“重新连接”请求,新的AP将从RADIUS中获取旧AP的IP地址和接入密钥,然后与旧AP进行交互并获得该MT的鉴权认证信息、临时IP地址、MAC地址等资料。最后新AP还将通知DS中二层网络设备(例如以太网交换机)修改路由表,从而完成一次漫游。
(2)MT与AP的连接
当MT进入AP发出的不是“重新连接”请求,而是“连接”请求时,AP在与该MT建立连接的同时,还会将该MT的信息在子网中进行广播。子网中各AP对该MT的信息与自身所存贮的连接信息进行对照,若其中有一个对该MT的连接,则删除该连接。同时将会由AP通知二层网络设备修改路由表。
3.4.3 OWLAN的域间漫游
为解决域间漫游问题,对移动运营商而言理论上可重用GSM/GPRS或CDMA-1X/PDSN蜂窝移动数据网的鉴权、漫游、计费等功能。但实际上因WLAN的数据吞吐量远大于蜂窝移动数据网,故只能利用原蜂窝网的AAA(认证、鉴权、计费)功能。需另行设计支持漫游功能的WLAN网络,这类支持漫游的WLAN可分为两大类:一类是不支持MT域间无缝漫游的WLAN网络;另一类是采用移动IP技术,支持MT域间无缝漫游的WLAN网络。
不支持MT域间无缝漫游的OWLAN网络
因为在WLAN中MT无固定IP地址,当MT进入某个新的AC覆盖区域时需重新分配IP地址(私有地址),某MT对外界进行通信时,以该MT所在地AC的IP公有地址作为源IP地址对外发送IP包。对方通信主机则以所接收IP包的源IP地址作为目的地址,给AC返送IP包。AC在收包后改写目的地址为该MT所分配的IP私有地址,并将接收包经AP送该MT。采用这种方法可实现域间漫游,但无法作到ESS(AC)间的无缝漫游。
支持MT域间无缝漫游的OWLAN网络
(1)基于IPv4的移动IP方案
在我们目前使用的IP版本IPv4中的IP地址,包括了两部分:网络号和主机号,而路由器的路由表中只有网络号一项,即路由器仅根据目的地址的网络号选择路由,从而大大降低了路由器的负担,这样路由器先根据网络号将IP包送到目的主机所在的计算机子网,再根据主机号将IP包送目的主机。由上述可见,IP网的设计思路使IP天生就没有移动的能力。
1996年,IETF提出了移动IP协议,该协议是标准化的网络层移动解决方案。移动IP通过分配给每个移动主机两个IP地址:固定的“归属IP地址”和可变的“转发IP地址”实现了MT永远在线的无缝漫游。
为了支持主机的移动每个计算机子网需增加一个无线接入服务器(WAS),用以支持MT的网间漫游,WAS起到移动IP中归属代理(HA)与外地代理(FA)的功能。另外需在MT、AP和WAS的网络(IP)层与MAC层之间增加IP关口层,该层与MAC层配合完成对移动IP的支持。
在WAS的IP关口层实现HA和FA功能的基夲过程如下:
① 归属地址
MT在归属的HA中被分配一个归属IP地址;
② 代理搜索
通过该过程,MT可确定自己的位置。若为漫游用户,MT可从FA获得一转交IP地址,转交地址一般为FA的IP地址,也可以是FA动态分配给漫游MT的IP地址(一般为私有地址);
③ 注册
通过该过程,MT向FA请求服务,并将其转交地址通知其HA;
收包
通信对方按漫游MT归属地址为目的地址发来的IP包,先由其HA接收再按其转交地址通过隧道送漫游MT。
发包
漫游用户以FA的IP公有地址为源地址,通信对方IP地址为目的地址,不经其HA直接发包。
(2)基于IPv6的移动IP方案
移动IPv6定义了状态依赖自动配置,这种自动配置通常是由一台服务器负责子网内所有主机的地址分配,一旦一台移动主机进了该子网,服务器即自动分配一个地址给那台主机,并即时通知该MT的归属代理。可见一旦移动主机进了外地网,在取得转发地址过程中完全不需要外地代理存在。
在移动IPv6方案中,若通信主机要与漫游主机通信,需先在其归属代理中查询其转交地址,然后用转交地址替代归属地址作为发往漫游主机IP包的目的地址,从而将IP包直接发往转交地址。当与通信主机处于会话状态下的漫游主机进入一个新的子网时,将所获得新的转交地址不仅向其归属代理登记,还要告之通信对方主机,以使通信对方主机及时更改所发IP包的目的地址,以达到无缝漫游的目的。
4 公网WLAN用户接入的其他问题
(1)地址规划
大量用户通过OWLAN接入公网时,不可能对每个用户动态分配一个公有IP地址,在OWLAN中往往由AC采用动态主机配置协议(DHCP)对入网用户分配一个IP私有地址,并采用地址转换协议(PAT)完成私有地址与公有地址的转换。采用私有地址会对OWLAN的计费、安全和网管带来一些问题。
(2)无线网络规划
为了使用户在AP间移动时不中断通信,AP间的覆盖范围应有所重叠。故在作无线网络频率规划时,应考虑邻道干扰等问题。
(3)广播风暴
OWLAN中的DS多数采用以太网交换机组网,作为公共接入网其DS网络规模肯定很大,数据帧在寻址时易引起广播风暴。一般可采用虚拟局域网(VLAN)技术来抑制广播风暴的发生。
(4)网管
OWLAN比WLAN的网管要复杂得多,需管理AP、AC、AS、RADIUS和Portal Server等各类网元。其中AP一般釆用私有地址,网管系统无法通过公网直接访问AP,这将影响到对AP软件进行升级等网管操作。
----《中国数据通信》
|