不同安全等級的話音通信網(wǎng)絡(luò)互聯(lián)互通技術(shù)方案*

莫李思，王 宏,，徐世中

（1.中國電子科技集團(tuán)公司第三十研究所，四川 成都 610041；2.電子科技大學(xué) 信息與通信工程學(xué)院，四川 成都 611731）

0 引 言

運(yùn)營商固話網(wǎng)絡(luò)與移動通信網(wǎng)絡(luò)仍然是當(dāng)前規(guī)模最大、用戶最多的話音通信網(wǎng)絡(luò)。此外，鐵路、電力、公安、黨政等重要行業(yè)也建設(shè)了專用話音通信網(wǎng)絡(luò)。這些話音通信網(wǎng)絡(luò)的技術(shù)和管理體制不盡相同，往往具有不同的安全等級。隨著移動辦公、“互聯(lián)網(wǎng)+”等新的業(yè)務(wù)模式的發(fā)展，行業(yè)用戶對于專用話音通信網(wǎng)絡(luò)與運(yùn)營商話音通信網(wǎng)絡(luò)的互聯(lián)互通需求逐漸旺盛，受到了業(yè)內(nèi)相關(guān)技術(shù)與解決方案提供商的關(guān)注[1-2]。

現(xiàn)有技術(shù)方案如軟交換（Soft Switching）、IP多媒體子系統(tǒng)（IP Multimedia Subsystem，IMS）等，解決了不同話音通信網(wǎng)絡(luò)之間的信令協(xié)議、媒體流與用戶號碼的異構(gòu)性帶來的互聯(lián)互通問題[3-4]，但對不同安全等級的互聯(lián)互通問題卻并未涉及。本文在對分析不同安全等級的話音通信網(wǎng)絡(luò)互聯(lián)互通問題的基礎(chǔ)上，提出了一種基于安全話音通信網(wǎng)關(guān)的互聯(lián)互通技術(shù)方案，并對安全話音通信網(wǎng)關(guān)的軟硬件設(shè)計進(jìn)行了說明，以供業(yè)內(nèi)同行參考。

本文的組織結(jié)構(gòu)如下：第1節(jié)分析了不同安全等級的話音通信網(wǎng)絡(luò)互聯(lián)互通問題，對基于安全話音通信網(wǎng)關(guān)的互聯(lián)互通技術(shù)方案進(jìn)行說明；第2節(jié)闡述了安全話音通信網(wǎng)關(guān)的硬件設(shè)計；第3節(jié)闡述了安全話音通信網(wǎng)關(guān)的軟件設(shè)計；第4節(jié)對互聯(lián)互通技術(shù)方案的安全性進(jìn)行了分析；最后對全文進(jìn)行總結(jié)。

1 基于安全話音通信網(wǎng)關(guān)的互聯(lián)互通技術(shù)方案

1.1 不同安全等級的話音通信網(wǎng)絡(luò)互聯(lián)互通問題分析

專用話音通信網(wǎng)絡(luò)往往是為鐵路、公安、黨政等重要行業(yè)的業(yè)務(wù)提供支撐，其安全性要求通常比運(yùn)營商話音通信網(wǎng)絡(luò)更高。因此，在分析不同話音通信網(wǎng)絡(luò)的互聯(lián)互通問題時，可以將專用話音通信網(wǎng)絡(luò)視為高安全等級話音通信網(wǎng)絡(luò)，將運(yùn)營商話音通信網(wǎng)絡(luò)視為低安全等級話音通信網(wǎng)絡(luò)。不同安全等級的話音通信網(wǎng)絡(luò)的互聯(lián)互通需要解決以下幾個方面的問題。

（1）不同信令協(xié)議之間的轉(zhuǎn)換。運(yùn)營商話音通信網(wǎng)絡(luò)普遍采用SIP、H.323等承載在IP分組交換網(wǎng)絡(luò)之上的呼叫控制協(xié)議，而專用話音通信網(wǎng)絡(luò)可能采用No.7信令、中國一號信令等窄帶信令。因此，需要完成不同信令協(xié)議之間的轉(zhuǎn)換，才能實(shí)現(xiàn)跨網(wǎng)呼叫的信令正確轉(zhuǎn)接。

（2）不同媒體流之間的轉(zhuǎn)換。運(yùn)營商話音通信網(wǎng)絡(luò)普遍采用IP分組交換體制，通過RTP等流媒體傳輸協(xié)議封裝和傳輸話音，而專用話音通信網(wǎng)絡(luò)可能采用基于窄帶電路交換體制，此外不同的話音通信網(wǎng)絡(luò)可能采用不同的話音編碼方式。因此，需要完成不同媒體流之間的轉(zhuǎn)換與編碼轉(zhuǎn)換，才能實(shí)現(xiàn)跨網(wǎng)呼叫的話音傳輸與正確解碼。

（3）不同用戶號碼集之間的映射。不同的話音通信網(wǎng)絡(luò)可能具有不同的用戶號碼長度與編制方式，因此需要進(jìn)行用戶號碼映射，才能正確發(fā)起跨網(wǎng)呼叫。

（4）跨網(wǎng)呼叫過程的控制。跨網(wǎng)呼叫具有人工轉(zhuǎn)接、二次撥號和特殊號段撥號等多種呼叫控制方式，還需要支持遇忙回叫、呼叫轉(zhuǎn)移、強(qiáng)插、特服號碼和電話會議等特服功能，因此需要專門的呼叫控制功能模塊進(jìn)行處理。

（5）高安全等級域與低安全等級域之間的隔離。由于專用話音通信網(wǎng)絡(luò)與運(yùn)營商話音通信網(wǎng)絡(luò)往往分屬不同等級的安全域，需要進(jìn)行不同安全域之間的安全隔離，防止惡意信令或媒體流中攜帶的惡意數(shù)據(jù)從低安全域進(jìn)入高安全域[5]。

（6）滿足高安全等級要求的安全防護(hù)措施。高安全域的話音通信網(wǎng)絡(luò)往往具有較強(qiáng)的身份鑒別、數(shù)據(jù)傳輸保護(hù)、防竊聽/泄漏等安全防護(hù)要求，互聯(lián)互通方案應(yīng)滿足這些要求。

1.2 基于安全話音通信網(wǎng)關(guān)的互聯(lián)互通技術(shù)方案

針對上述問題，設(shè)計了基于安全話音通信網(wǎng)關(guān)的互聯(lián)互通技術(shù)方案。安全話音通信網(wǎng)關(guān)同時連接高安全等級話音通信網(wǎng)絡(luò)和低安全等級話音通信網(wǎng)絡(luò)，如圖1所示。其中，高安全等級話音通信網(wǎng)絡(luò)及其與安全話音通信網(wǎng)關(guān)的連接、相應(yīng)接口構(gòu)成高安全等級域（以下簡稱H域）；低安全等級話音通信網(wǎng)絡(luò)及其與安全話音通信網(wǎng)關(guān)的連接、相應(yīng)接口構(gòu)成低安全等級域（以下簡稱L域）。安全話音通信網(wǎng)關(guān)在完成信令協(xié)議轉(zhuǎn)換、媒體流轉(zhuǎn)換、用戶號碼映射與跨網(wǎng)呼叫控制的同時，實(shí)現(xiàn)H域與L域的安全隔離，并對于其與H域的連接及信令流、媒體流，提供滿足H域要求的安全防護(hù)措施[6]。

圖1 安全話音通信網(wǎng)關(guān)與不同安全等級話音通信網(wǎng)絡(luò)的連接關(guān)系

安全話音通信網(wǎng)關(guān)的架構(gòu)如圖2所示。安全話音通信網(wǎng)關(guān)可以分為控制面與數(shù)據(jù)面兩大部分?？刂泼娴闹饕δ苁峭瓿蓪域和L域的信令協(xié)議的處理、轉(zhuǎn)換，并完成對跨網(wǎng)呼叫過程的控制；在安全性方面，控制面實(shí)現(xiàn)H域和L域的信令流安全隔離，并提供對H域安全防護(hù)機(jī)制的管控策略。數(shù)據(jù)面的主要功能是按照控制面的指令，完成對H域和L域的媒體流的處理、轉(zhuǎn)換與安全傳輸；在安全性方面，數(shù)據(jù)面實(shí)現(xiàn)對H域媒體流的加解密/加解擾等安全防護(hù)機(jī)制。

圖2 安全話音通信網(wǎng)關(guān)的架構(gòu)

安全話音通信網(wǎng)關(guān)控制面的主要功能模塊包括呼叫控制、號碼映射、H域信令協(xié)議處理、L域信令協(xié)議處理、信令網(wǎng)關(guān)、信令安全防護(hù)、身份認(rèn)證和加密/加擾控制等。其中，信令網(wǎng)關(guān)與信令安全防護(hù)模塊對信令協(xié)議進(jìn)行轉(zhuǎn)換和安全性檢查。只有經(jīng)過合法性識別的信令消息，才允許進(jìn)入呼叫控制模塊進(jìn)行處理，實(shí)現(xiàn)H域和L域信令的轉(zhuǎn)換與安全隔離[7]。身份認(rèn)證模塊在與H域相連接時，通過安全接入?yún)f(xié)議進(jìn)行身份認(rèn)證，當(dāng)認(rèn)證通過后，才開啟與H域的連接通道。呼叫過程中，控制面通過呼叫控制協(xié)議與H域建立連接并進(jìn)行安全性協(xié)商，進(jìn)而確定對H域媒體流的加解密/加解擾的策略。

安全話音通信網(wǎng)關(guān)數(shù)據(jù)面的主要功能模塊包括媒體處理、媒體流加解密和媒體網(wǎng)關(guān)等。由于當(dāng)前運(yùn)營商話音通信網(wǎng)絡(luò)普遍采用IP分組交換網(wǎng)絡(luò)作為業(yè)務(wù)承載平臺，如果專用話音通信網(wǎng)絡(luò)采用窄帶電路交換體制，需要通過媒體網(wǎng)關(guān)進(jìn)行媒體流轉(zhuǎn)換：在分組域采用RTP等流媒體傳輸協(xié)議進(jìn)行封裝，再封裝成IP數(shù)據(jù)報包進(jìn)行發(fā)送；在電路域則通過交換芯片采用窄帶信令協(xié)商的時隙進(jìn)行發(fā)送。如果H域和L域采用了不同的編解碼方式，數(shù)據(jù)面還需要完成對媒體流的編解碼轉(zhuǎn)換處理。安全性方面，數(shù)據(jù)面根據(jù)控制面指示的媒體網(wǎng)關(guān)表項(xiàng)操作進(jìn)行相應(yīng)的加解密/加解擾等安全處理，為H域的媒體流提供傳輸安全保護(hù)。

2 安全話音通信網(wǎng)關(guān)的硬件設(shè)計

基于上述安全話音通信網(wǎng)關(guān)架構(gòu)，具體設(shè)計安全話音通信網(wǎng)關(guān)的硬件、軟件方案。為了確保H域與L域的安全隔離，提供一定的抗線路擁塞、用戶數(shù)量靈活配置、可多臺堆疊使用等能力。安全話音通信網(wǎng)關(guān)采用多板卡的硬件方案，主要包括控制交換、上行接口、下行接口、編碼轉(zhuǎn)換和加密/加擾等板卡，如圖3所示。

控制交換板采用CPU+FPGA+交換模塊的主體架構(gòu)。各部分實(shí)現(xiàn)不同的系統(tǒng)功能并相互配合，共同完成協(xié)議處理、呼叫控制、多用戶接入、信令與媒體流交換和安全防護(hù)等核心的控制與安全處理功能。

上行接口板是聯(lián)接H域網(wǎng)絡(luò)交換機(jī)的通道，提供SDH、以太網(wǎng)和多路E1等多種類型的接口，并完成安全呼叫協(xié)議處理。上行接口板主要由線路接口模塊、FPGA和處理器模塊組成。線路接口模塊負(fù)責(zé)外部數(shù)據(jù)的物理接口轉(zhuǎn)換工作，完成不同類型的外部物理接口數(shù)據(jù)收發(fā)，并統(tǒng)一轉(zhuǎn)換為以太網(wǎng)接口引入交換機(jī)內(nèi)部。線路接口模塊有2路155M SDH、1路1 000M以太網(wǎng)、2路4E1復(fù)用等接口類型，可以根據(jù)實(shí)際使用需求進(jìn)行選配。

圖3 安全話音通信網(wǎng)關(guān)的硬件設(shè)計

下行接口板針對連接的不同L域網(wǎng)絡(luò)提供No.7信令、中國一號信令或SIP信令數(shù)據(jù)轉(zhuǎn)換功能。下行接口板提供8個物理端口，并捆綁映射為兩個邏輯端口：物理端口1-4捆綁為邏輯端口1，物理端口5-8捆綁為邏輯端口2。對于同一邏輯端口，每增加一個物理端口自動增加2M帶寬，一個邏輯端口最多提供8M帶寬。下行接口板還可以外接安全設(shè)備，用于保護(hù)通信和業(yè)務(wù)數(shù)據(jù)的安全。

編碼轉(zhuǎn)換板主要完成話音編碼方式的轉(zhuǎn)換。支持的編碼方式包括常用的64 kb/s PCM和占用帶寬低、話音質(zhì)量好的32 kb/s ADPCM等。

加密/加擾板主要完成安全話音通信網(wǎng)關(guān)與H域網(wǎng)絡(luò)交換設(shè)備的相互認(rèn)證，并對H域媒體流提供加密、加擾等安全保護(hù)，滿足H域?qū)τ谠O(shè)備安全與話音傳輸安全的要求。

為了同時支持多路用戶，需要對每路話音進(jìn)行語音同步信息處理，并根據(jù)實(shí)際編碼方式檢測話音是否失步，進(jìn)行加密/加擾控制、編碼轉(zhuǎn)換控制與回聲抵消等處理。這需要CPU、FPGA與交換模塊協(xié)同工作，確保正確的數(shù)據(jù)流，并完成各個轉(zhuǎn)接過程的實(shí)時高效調(diào)度處理。各硬件模塊之間的業(yè)務(wù)數(shù)據(jù)流如圖4所示。

圖4 硬件模塊之間的業(yè)務(wù)數(shù)據(jù)流

3 安全話音通信網(wǎng)關(guān)的軟件設(shè)計

安全話音通信網(wǎng)關(guān)的軟件系統(tǒng)主要由控制交換板軟件和接口板軟件兩大部分組成，如圖5所示?？刂平粨Q板軟件完成整機(jī)的呼叫控制、協(xié)議處理、信令網(wǎng)關(guān)、安全控制、設(shè)備管理和接口處理等功能。接口板 軟件主要完成信令提取與處理、業(yè)務(wù)數(shù)據(jù)適配等功能。

圖5 安全話音通信網(wǎng)關(guān)的軟件系統(tǒng)組成

呼叫控制模塊是整個控制交換板軟件的核心模塊。它在整個軟件系統(tǒng)中的控制數(shù)據(jù)流關(guān)系，如圖6所示。它實(shí)現(xiàn)呼叫的發(fā)起、修改、接受、拒絕、取消以及終止等功能，并進(jìn)行媒體網(wǎng)關(guān)配置；實(shí)現(xiàn)對整個流程的控制調(diào)度處理，寬窄帶終端、交換機(jī)交互處理。呼叫控制模塊需要支持寬度用戶接入設(shè)備注冊接入，支持窄帶電話機(jī)終端通過信令網(wǎng)關(guān)接入，支持寬帶電話機(jī)終端通過IP體制認(rèn)證接入。呼叫控制模塊還需要支持遇忙回叫、呼叫轉(zhuǎn)移、接留守處、首長/秘書機(jī)、優(yōu)先、強(qiáng)插、值班員、人工代撥、人工強(qiáng)插、特服號碼和電話會議等特服功能。

圖6 軟件系統(tǒng)的控制數(shù)據(jù)流

協(xié)議處理模塊完成設(shè)備內(nèi)部處理用戶安全認(rèn)證、呼叫等消息傳輸功能。它協(xié)同呼叫控制模塊完成安全接入?yún)f(xié)議、內(nèi)部通信協(xié)議和安全相關(guān)協(xié)議的處理。根據(jù)處理信令的不同，信令轉(zhuǎn)換又可分為中繼信令轉(zhuǎn)換和用戶信令轉(zhuǎn)換。中繼信令轉(zhuǎn)換實(shí)現(xiàn)多級網(wǎng)增強(qiáng)型中繼信令信息的中繼、轉(zhuǎn)接和終結(jié)處理。中繼信令轉(zhuǎn)換對多級網(wǎng)增強(qiáng)型中繼信令消息重新打包，形成聯(lián)接的網(wǎng)絡(luò)能夠識別的信令格式。用戶信令轉(zhuǎn)換實(shí)現(xiàn)多級網(wǎng)用戶信令信息的中繼、轉(zhuǎn)接和終結(jié)處理。用戶信令轉(zhuǎn)換對多級網(wǎng)用戶信令消息重新打包，形成聯(lián)接的網(wǎng)絡(luò)能夠識別的信令格式。

信令網(wǎng)關(guān)模塊用于完成窄帶信令（如No.7信令）與分組域信令協(xié)議（如SIP協(xié)議）的轉(zhuǎn)換，主要支持MTP2、MTP3、TUP和ISUP等中繼信令轉(zhuǎn)換與用戶信令轉(zhuǎn)換，從而實(shí)現(xiàn)不同安全等級的話音通信網(wǎng)絡(luò)之間的信令互通。

管理模塊主要完成整板初始化、故障管理、文件管理、系統(tǒng)資源管理和熱備管理等功能，完成各硬件模塊的工作狀態(tài)監(jiān)測與軟件模塊的運(yùn)行狀態(tài)監(jiān)測。當(dāng)設(shè)備異?；蚴艿焦魰r，及時報告至網(wǎng)管系統(tǒng)進(jìn)行干預(yù)。

4 安全性分析

基于安全話音通信網(wǎng)關(guān)的互聯(lián)互通技術(shù)方案主要提供了以下安全防護(hù)能力：

（1）通過信令網(wǎng)關(guān)、信令安全防護(hù)模塊，實(shí)現(xiàn)了H域與L域信令流的安全隔離，防止惡意信令攻擊通過L域進(jìn)入H域網(wǎng)絡(luò)。

（2）采用安全接入?yún)f(xié)議與身份認(rèn)證措施，實(shí)現(xiàn)了安全話音通信網(wǎng)關(guān)與H域網(wǎng)絡(luò)的身份合法性鑒別，防止非法設(shè)備與非法用戶接入網(wǎng)絡(luò)。

（3）通過媒體網(wǎng)關(guān)實(shí)現(xiàn)了H域與L域媒體流的安全隔離，防止媒體流中攜帶的惡意數(shù)據(jù)通過L域進(jìn)入H域網(wǎng)絡(luò)。

（4）根據(jù)控制面與H域之間的信令協(xié)商，控制數(shù)據(jù)面對媒體流進(jìn)行加密/加擾，實(shí)現(xiàn)H域的話音媒體流的安全傳輸。

5 結(jié) 語

鐵路、公安、黨政等重要行業(yè)的專用話音通信網(wǎng)絡(luò)往往與運(yùn)營商話音通信網(wǎng)絡(luò)具有不同的技術(shù)體制與安全等級，但又需與運(yùn)營商話音通信網(wǎng)絡(luò)實(shí)現(xiàn)業(yè)務(wù)互聯(lián)互通?；诎踩捯敉ㄐ啪W(wǎng)關(guān)的互聯(lián)互通技術(shù)方案，在實(shí)現(xiàn)不同話音通信網(wǎng)絡(luò)之間的信令互通、媒體互通、號碼映射與呼叫控制的同時，重點(diǎn)解決了高安全等級域與低安全等級域之間的安全隔離、高安全等級域的話音安全傳輸、安全話音通信網(wǎng)關(guān)與高安全等級網(wǎng)絡(luò)之間的身份認(rèn)證等與互聯(lián)互通相關(guān)的安全性問題，從而為不同安全等級的話音通信網(wǎng)絡(luò)互聯(lián)互通提供了完整的解決方案。其中，安全話音通信網(wǎng)關(guān)的具體硬件設(shè)計和軟件設(shè)計方案可供有類似需求的業(yè)內(nèi)同行參考。