营业厅联网及安全

吕子虎

摘 要：河南有线电视网络集团数字化整转大局中，各地市出现的业务办理和管理先进性的需求，现将各地市营业厅以MPLS-VPN的方式引入到数据网中，和省中心BOSS系统互连；利用VPN技术在数据公网上建立营业厅业务内部虚拟专网， 提高终端接入和组网的可靠性和安全性。保证营业厅业务办理的便捷和用户信息的安全管理，实现营业厅全省互连，全省互通，统一管理，安全有效的战略布局。

关键词：VPN；营业厅数据隔离

针对目前河南有线电视网络集团数字化整转大局中，各地市出现的业务办理和管理先进性的需求，现将各地市营业厅以MPLS-VPN的方式引入到数据网中，和省中心BOSS系统互连；利用VPN技术在数据公网上建立营业厅业务内部虚拟专网，提高终端接入和组网的可靠性和安全性。保证营业厅业务办理的便捷和用户信息的安全管理，实现营业厅全省互连，全省互通，统一管理，安全有效的战略布局；提升对营业厅系统运维操作的监管能力，提高公司网络信息安全管理和运维水平。

⑴實现营业厅VPN通道的安全性。充分利用VPN的三个技术特点：隧道协议、身份验证和数据加密；在身份验证过程中产生的客户机和服务器公有密钥将用来对数据进行加密，保证各项业务在专线通信中的安全性。

⑵更安全的路由保护策略。初期的营业厅和BOSS互联是核心交换机思科6509E和BOSS防火墙路由互指，来实现营业厅普通数据的互通；重新建设的营业厅联网将访问外网和访问BOSS系统的数据划分开，并将访问BOSS的流量放进VPN里；同时在防火墙和6509之前起trunk保证业务流量的高速带宽。

⑶实现多项数据的隔离性。各个网点在和省中心数据的同步和交互时，通过使用准确的身份验证和加密手段对于敏感的数据进行分隔；只有企业内部拥有适当权限的用户才能通过远程访问建立与服务器的VPN连接，才可以访问网络中受到保护的敏感资源。

⑷实现营业厅管理的及时性和高效性。将营业厅服务器和省中心BOSS系统互连；实时同步数据和用户信息更新，实现营业网点、Radius服务器和数据中心之间的专属隧道连接。

⑸实现业务管理的统一性。对营业厅工作人员账号的权限分配和操作进行统一管理和监控，针对不同的业务进行精细划分和集中管理；发挥业务支撑系统和管理系统的协调性优势。

1 主要技术创新点

⑴安全通信的可靠性：充分利用VPN特点从三个方面：隧道协议、身份验证和数据加密着手提高互联网络的安全系数。营业厅终端向省中心服务器发出请求，服务器响应请求并向终端发出身份质询，终端将加密的响应信息发送到服务器，服务器根据用户数据库检查该响应，并根据账户相应的权限给出对应的响应；VPN安全功能模块可有效地避免安全隐患，保障数据安全。

⑵精确路由控制和准入原则：改变原有的营业厅和BOSS互联方式，将营业厅访问公网和访问BOSS的数据分别对待；后者划给新的vlan并加入vpn中，在BOSS系统侧的防火墙上采用“准入原则”和“华三inode”接入认证；保证访问BOSS系统时的可控性和高安全性。

⑶信息共享协调性：营业厅数据通过和省中心的BOSS系统对接后，能提供完善的用户管理、账号管理、行为审计等多种服务手段的同时，确保系统本身的信息收集和资源共享；针对新增客户需求和业务类型及时反馈给后台业务支撑，根据用户的需求做出及时调整和迅速响应。

⑷业务办理的可操作性：营业厅作为面对客户群体的重要接触单元，应保证处理用户需求的方便快捷，针对省内资源共享下的账号应能提供全方位、多层次、立体化的服务；保障用户办理一号通。

⑸后台管理的统一性：营业厅互联系统除了具有良好的人机操作界面、更好的提示信息，方便系统管理人员使用外；还着重将前台数据转化为后台分析和业务统计的第一手资料，并对营业厅具体操作进行科学化管理和模块化分析。

⑹系统整体扩展性：营业厅互联架构在合理需求的扩容时，应不改变组网结构，保证系统性能，能满足河南有线业务发展的需求；能够提供开放和完整的API接口供二次开发使用。

2 项目详细内容

河南有线营业厅安全和联网项目是在河南有线电视数字化整转的浪潮下，为满足新形势的需求采取的新型互联网方案；主要由路由器、交换机、服务器、编解码设备等多种硬件及软件系统组成，业务包括数据、传输、业务支撑、业务管理四个系统；每个地市的总前端和分前端都具备完整的互联架构和可实施环境，面对逐步推开的全省数字化整转，旧的营业厅联网模式只具备基本职能，已无法满足新型业务市场的需求。

新的互联网方案把直面客户群的营业厅，当做信息采集的最前沿终端；将客户的需求第一时间准确、安全、有效的反馈给省中心BOSS系统；后台系统通过第一手资料的统计和分析做出准确的响应，给出完善的服务需求对操作者给出详细的提示和注解；并在数据交互的过程中保证用户信息的隐私和安全，保证整体系统的高速运转和平稳过渡。

结合目前河南有线整体数据网络的特点，首先采用MPLS-VPN技术将整套系统引入到各个地市的数据城域网中。其次将营业厅联网和市中心BOSS系统（业务管理支撑系统）通过VPN引入对接，将营业厅的数据交由BOSS进行全省范围的汇总统计和分析；及时将用户需求变成对用户的响应。再次将营业厅向上访问的数据分门别类，访问外网的走普通路由访问省中心BOSS系统的走VPN业务，同时在BOSS防火墙上准入原则和H3Cinode接入认证技术。

[参考文献]

[1]陈良宽.《计算机网络与建筑智能化系统集成》.中国建筑工业出版社，2003.3.

[2]胡远萍，张治元.《计算机组网技术》.高等教育出版社，2003.6.

[3]周建军.一种新型存储体系结构——SAN[J].电子计算机，2001.10.