IPTV存在認證“隱患”接入認證改造組播安全體系
作者：中國網(wǎng)通集團研究院 胡皓 加入時(shí)間：2005-5-30 19:07:45
評論在組播業(yè)務(wù)中，運營(yíng)商需要保證業(yè)務(wù)的可運營(yíng)可管理，因此就要通過(guò)一些必要的策略來(lái)達到業(yè)務(wù)可控的目的。組播的控制策略有很多種，主要分為對RP的控制、對組播源的控制、對組播組的控制、對組播用戶(hù)的控制及對組播范圍的控制。而對組播用戶(hù)的控制，其重要的一個(gè)技術(shù)手段就是對用戶(hù)的認證、授權。原有的寬帶網(wǎng)絡(luò )中用戶(hù)的認證多用于IP單播業(yè)務(wù)，并不能夠完全滿(mǎn)足組播認證的要求。這就需要運營(yíng)商對原有的認證體系進(jìn)行改造，以適應IPTV業(yè)務(wù)的開(kāi)展要求。按用戶(hù)與網(wǎng)絡(luò )設備之間的通信方式，目前使用較多的網(wǎng)絡(luò )層接入認證方式分為PPPoE和DHCP+Web兩種。
PPPoE技術(shù)
PPPoE類(lèi)似于傳統的撥號接入方式，用戶(hù)端采用一個(gè)撥號軟件，發(fā)起PPP連接請求，穿過(guò)以太網(wǎng)交換機或者xDSL設備，終結在接入網(wǎng)關(guān)設備上。接入網(wǎng)關(guān)設備負責終結PPP連接，并與RADIUS服務(wù)器配合實(shí)現用戶(hù)管理和策略控制。
目前PPPoE認證技術(shù)在以太網(wǎng)接入和ADSL接入方式中應用的最為廣泛，其組網(wǎng)原理基本相同，都是利用交換機或DSLAM將用戶(hù)接入網(wǎng)內，在交換機和DSLAM后面設置BRAS設備來(lái)終結PPP。終結PPP連接的寬帶接入服務(wù)器可以對這些PPP連接分別進(jìn)行管理，可對用戶(hù)上網(wǎng)業(yè)務(wù)分別進(jìn)行時(shí)長(cháng)和流量信息的統計，為各種計費方式提供必要的用戶(hù)上網(wǎng)信息。
PPPoE的實(shí)質(zhì)是在以太網(wǎng)上跑PPP協(xié)議，在用戶(hù)端和寬帶接入服務(wù)器之間建立了PPP的點(diǎn)對點(diǎn)通道。也就是說(shuō)，如果在用戶(hù)主機和BRAS之間啟用組播業(yè)務(wù)，則組播數據必須以BRAS作為接收端復制點(diǎn)，這樣會(huì )使大量的組播數據穿越網(wǎng)絡(luò )和DSLAM設備，違背了組播的初衷。因此，PPPoE接入方式限制了組播協(xié)議的存在，影響組播視頻業(yè)務(wù)的開(kāi)展。
DHCP+WEB技術(shù)
DHCP+Web認證需要與DHCP服務(wù)器和Web認證服務(wù)器配合使用，Host首先通過(guò)DHCP得到一個(gè)IP地址，與Web認證服務(wù)器通信，也可以使用戶(hù)只訪(fǎng)問(wèn)一些內部服務(wù)器，然后，接入服務(wù)器將用戶(hù)強制連接到Web認證服務(wù)器上，并在瀏覽器中彈出認證頁(yè)面。在該頁(yè)面中輸入賬號和密碼，Web Server作為Radius的Client端把認證信息傳送到Radius Server，對用戶(hù)進(jìn)行認證。認證通過(guò)后，用戶(hù)獲得新的合法的IP地址，可以訪(fǎng)問(wèn)因特網(wǎng)或特定的網(wǎng)絡(luò )。
在DHCP+Web認證方式中，用戶(hù)主機和接入服務(wù)器之間并沒(méi)用任何類(lèi)似PPP的第3層通道，也不存在對組播協(xié)議的限制。如果用戶(hù)主機到接入服務(wù)器之間的交換機或DSLAM能支持IGMP Snooping，組播業(yè)務(wù)很容易開(kāi)展。但是DHCP本身存在很多缺點(diǎn)，特別是安全性問(wèn)題，如何能夠保證用戶(hù)信息的合法性、真實(shí)性是DHCP需要解決的關(guān)鍵問(wèn)題。
改進(jìn)方案
由此可以看到，網(wǎng)絡(luò )層認證根據STB終端支持的程度可采用PPPOE認證或DHCP方式。但是這兩種認證方式，都不能夠滿(mǎn)足IPTV業(yè)務(wù)開(kāi)展的需要。因此，我們就需要針對現有的認證方式提供相應的解決方案，在保證IPTV業(yè)務(wù)開(kāi)展的前提下，盡可能的減少對現網(wǎng)的大規范改動(dòng)，以保證原有業(yè)務(wù)的支撐。
對于STB終端采用PPPOE進(jìn)行認證的方式，主要需要解決的問(wèn)題是組播數據的下發(fā)。因此可以針對用戶(hù)的不同業(yè)務(wù)采用不同的業(yè)務(wù)分發(fā)通道。也就是說(shuō)，一方面要求BRAS設備支持IPTV業(yè)務(wù)的PPPOE認證，其相關(guān)的單播數據通過(guò)PPPoE的通道下發(fā)，另一方面組播數據通過(guò)IPOE的通道進(jìn)行下發(fā)；這就要求BRAS通過(guò)認證信息能夠區分用戶(hù)業(yè)務(wù)種類(lèi)，而DLSAM設備需要支持組播分發(fā)及組播組的控制，同時(shí)要求STB設備支持雙協(xié)議棧。這樣既可以保證原有認證系統的功能，同時(shí)也能夠保證組播業(yè)務(wù)的順利開(kāi)展。
而對于DHCP認證方式，其主要問(wèn)題是保證DHCP接入的安全性和真實(shí)性，這就需要在DHCP包文中引入OP-TION82選項；對于存在多個(gè)終端同時(shí)使用DHCP的場(chǎng)合，為了區分這些終端，還需引入OPTION60選項。DHCP Option82選項通常由DSLAM設備將用戶(hù)的端口信息和設備信息插入到用戶(hù)的DHCP報文，DHCP服務(wù)器通過(guò)識別OPTION82來(lái)執行IP地址分配策略或其它策略。OPTION60選項通常由終端自帶，不同類(lèi)型的終端可以通過(guò)設置不同的OPTION60來(lái)識別。通過(guò)OPTION60選項，可以實(shí)現對不同的終端分配不同的地址空間。但是，OPTION82的引入需要DSLAM的支持，目前運營(yíng)商使用的設備大部分并不具備該功能，因此需要進(jìn)行網(wǎng)絡(luò )設備的改造。
本站僅提供存儲服務(wù)，所有內容均由用戶(hù)發(fā)布，如發(fā)現有害或侵權內容，請
點(diǎn)擊舉報。
