3G网络可以个人用户随时随地的接Internet入互联网,而对于企业用户的3G网络应用,更多的是要利用3G线路进行企业内网资源的应用访问,为保证邮储银行3G网络接入的是公司的“专网”,而并非Internet互联网,避免业务数据因暴漏在internet网络中而出现相关安全问题(攻击、黑客、窃取等),需要运营商通过VPN隧道技术,建立一条虚拟专线,实现3G企业专网通信。
考虑到3G企业专网对安全认证、路由透明传输等要求,目前国内的3家运营商,除移动外,联通、电信均可提供使用L2TP VPN隧道技术组网的3G企业专网应用,L2TP VPN作为VPDN(Virtual Private Dial-up Network,虚拟私有拨号网)隧道协议的一种,可保证3G网络接入的私有性、安全性,两家运营商网络架构及技术实现方式大致相同,采用L2TP VPN隧道组网的主要特点如下:
1.多协议透明传输:L2TP是链路层VPN隧道技术,传输PPP数据包,在PPP数据包内可以封装多种协议,可保证3G网点路由器与LNS设备间的三层协议报文透明传输(如:动态路由协议、认证协议等)。
2.身份认证机制保证用户接入安全:L2TP协议可依赖于PPP提供的认证(比如CHAP、PAP等),因此具有PPP所具有的所有安全特性。L2TP VPN隧道建立时可做隧道认证,保证隧道建立的安全性。
3.支持内部地址分配:LNS可放置于企业网内部,它可以对远端用户的地址进行动态的分配和管理,可支持私有地址应用。为远端用户所分配的地址不是Internet地址而是企业内部的私有地址,这样方便了地址的管理并可以增加安全性。
注:目前运营商3G企业专网存在GRE、L2TP两种隧道技术组网,但GRE组网无法对VPN隧道进行安全认证,并且由于GRE是三层隧道技术,企业的私网路由需要运营商来承载,不适合金融行业3G组网应用,所以要求使用L2TP隧道技术组网。
3G企业L2TP专网可分为3个组成部分:
1. 网点侧:包括支持联通、电信3G接入的3G路由器,网点终端设备,3G路由器内安装运营商SIM卡或UIM卡,SIM卡或UIM卡注册开通3G企业专网服务。
2.运营商侧:包括3G无线基站、LAC设备、AAA认证服务器和VPDN的数据承载网。负责完成对企业专用SIM卡或UIM卡(IMSI码)的认证,并与企业中心侧LNS设备建立L2TP隧道。
3.企业中心侧:包括LNS路由器和认证服务器,与运营商通过MSTP专线连接,LNS路由器负责与运营商LNS完成L2TP隧道建立,AAA认证服务器负责对网点3G路由器用户名、密码、SIM\UIM卡(IMSI码)认证及IP地址下发,并建立端对端的PPP连接。
3G企业专网建立过程:
1.在网点3G路由器上安装SIM、UIM卡,配置用户名、密码(联通还需要设置APN名称),启动3G拨号连接;
2.通过3G基站传输,运营商LAC设备收到3G拨号数据后,会根据APN名称、用户名中的域名(@*****)判断此用户为VPDN专网用户,并通过运营商侧AAA认证服务器进行SIM\UIM卡的IMSI认证,通过认证后由LAC设备发起与用户LNS设备的L2TP VPN连接;
3. L2TP VPN建立过程中,企业中心用户侧LNS设备的AAA服务器需要对网点3G路由器的用户名、密码、SIM\UIM卡的IMSI信息进行认证,认证通过后,会通过AAA认证服务器为网点3G路由器分配企业内部IP地址,建立PPP连接进行IP通信。
3G企业专网随着第三代移动通信技术的发展,使得企业用户的3G网络应用利用3G线路进行企业内网资源的应用访问,有效地保护企业网络安全。