企业档案
- 会员类型：免费会员
- 工商认证： 【未认证】
- 最后认证时间：
- 法人：
- 注册号：
- 企业类型：生产商
- 注册资金：人民币500万
联系我们
联系人：谢先生
热门标签
技术文章
银行ATM机CDMA无线联网应用方案
点击次数：449 发布时间：2012/4/1 14:37:39
一、概述
随着科技的高速发展，CDMA1X无线网络技术得到了广泛的应用，其已从原来的只为用户终端提供服务发展到现在能够为企业提供安全、稳定的数字交换平台。企业在此平台上不仅可以实现以前传统电信专线上使用的所有应用，而且在地域上突破了专线点对点的限制，使企业的应用做到有手机信号覆盖的地方就能进行数字网络接入。随着CDMA1X无线网络的应用使整个系统实现了灵活性、稳定性、可靠性、技术性、经济性等。
二、系统特点
ATM机CDMA无线联网系统具备如下特点：
1、良好的实时响应与处理能力。与短消息服务比较，由于CDMA具有实时在线特性，系统无时延，系统能够同时实时收取、处理多个/所有监测点的各种数据，无需轮巡就可以同步监测点的时钟可很好的满足系统对数据采集和传输实时性的要求。
2、远程仪器设备控制：由于采用CDMA双向传输系统，监控中心可以反向实现对仪器设备的时间校正、状态报告、开关以及其他监测、控制等功能；
3、建设成本低：可充分利用现有CDMA网络，设备安装即接通，而采用超短波通信时需要充分考虑现场环境，还需要配备天线铁架等附属设备。
4、安装调试简单，建设周期短：利用现有成熟CDMA网络，系统投入运行时基本不需要调试，安装简捷。采用超短波通信时安装调试工作量大，要行现场信号测试，天线铁架架设，天线方向角度调试等工作。
4、覆盖范围广。构建供水调度监控系统要求数据通信覆盖范围广，扩容无限制，接入地点无限制，能满足山区、乡镇和跨地区的接入需求。 由于管网监控点数量众多，分布在全市范围内，部分管网监控点位于偏僻地区，而且地理位置分散。采用超短波通讯方式，覆盖范围只有30多公里；而采用GPRS、CDMA方式，理论上在无线CDMA网络的覆盖范围之内，都可以实现监控。
5、数据传输速率高。CDMA网络传送速率理论上可达171.2/372kbit/s，实际应用时数据传输速率在40-80Kbps左右，而目前一般的超短波数传电台传送速率多为2.4kbit/s或更低。
6、系统的传输容量大。监控中心站要和每一个管网监控点实现实时连接。由于管网监控点数量众多，系统要求能满足突发性数据传输的需要，而CDMA技术能很好地满足传输突发性数据的需要。
7、通信费用低，可按时间和流量进行收费。
8、系统易于扩展和维护，在CDMA网络的覆盖区中，ATM机可以架设在任何地点。
三、系统组成
在整个系统中包括，CDMA无线路由器、ATM机和银行数据监控中心三部分组成；
构建在CDMA1X无线网络平台上的数字交换系统充分解决了这个问题，银行总行、各支行及结算中心之间可以沿用以前高带宽的专线网络，针对于数量众多、分散布局的营业网点、银行POS机、ATM机则可以从以前的远程拨号的网络上过渡到CDMA1X网络上来，CDMA1X网络通过发卡控制号段使一个企业的所有无线终端接入网络以后处在同一个封闭VPN专网中，进入VPN专网以后终端还需通过银行的AAA认证才能进入结算数据库。通过一系列的安全措施可以充分保证交易网络的安全性。无线终端可以在银行网络系统结构不作任何修改的基础上完成平滑过渡。
CDMA无线路由器特点
◆CDMA 无线路由器依赖CDMA 网络通信
◆NAT 功能和静态路由可选
◆连接多台电脑和其他终端设备共享上网收发数据
◆现有的网络软件都可以使用。如：FTP 软件（用来传输图像文件）可以直接使用。
◆就可以使用成熟的网络软件，而不必投资花工夫自己来设计类似的软件
◆高级编程控制功能，电脑或其他网络终端可以控制该设备打开数据连接来传输数据
◆据传输完成关闭数据连接。此项功能可以用来省电和减少数据流量
◆DMZ 主机、端口映射等功能
◆掉线后自动重新拨号功能
◆内置硬件看门狗，不死机
◆内置CDMA 模块
◆一个RJ45 10M 以太网口
◆Web 网页配置参数
◆供电：+5V，可根据客户需要定制宽电压输入
◆耗电：待机状态230~330mA；上网状态450~460mA；传输状态460~470mA
◆储存温度：-40℃ ～ +80℃。
◆工作温度：-30℃ +70℃
四、安全可靠性
1、 CDMA1X无线接入的工作流程：
在联通完成网络侧配置后，银行网点通过无线设备接入CDMA1X网络后，CDMA1X分组接入设备PDSN上通过L2TP隧道路由连到银行系统中心内的LNS路由器上，中间经过联通骨干网和专线。整个隧道的开启和通过均在联通网络内部，作为大型的电信运营商，有严格的安全管理和保护措施，确保网内的数据安全可靠，具有很高的安全性保障，而且不存在互连互通瓶颈，可以有效保证用户使用性能。
2、安全性保障
CDMA1X采用脱胎于军用技术的无线扩频技术，用户端到无线网络接入设备间的无线空中通道目前不可能被破解；无线分组设备到用户终端设备间，采用隧道穿过专线接入，可以有效保证整个系统的安全。要保护整体系统的安全，首先要保证网络本身的安全。必须尽可能地屏蔽外部非法访问及非法数据，对从外部网络连入的终端进行严格的用户认证及控制。针对CDMA1X的各环节，我们分别分析其安全性，并提供5级业务安全保障，从而充分保证网络中数据的安全。
1）级安全保障：CDMA网络本身的安全性
目前世界上使用的移动通信网络主要有两种：GSM和CDMA。与GSM相比，CDMA网络系统在安全保密方面具有很大优势。CDMA本来就是起源军事保密技术，在战争期间广泛应用于军事领域，具有抗干扰、安全通信、保密性好的特性。进行移动手机信号的窃听一般使用以下三种方法。首先，需要捕捉到通信信号。在空间中充满了各种各样的无线电波，用户手机信号就混杂在其中。要想窃听某一个用户的通话，首先必须捕捉到这个用户手机发出的特定的电磁波。由于CDMA系统采用扩频技术，经过扩频以后的有用信号的频谱被大大地展宽了，用户信号隐蔽在互不相关的信号中，要想捕捉到这一有用信号非常困难。因此，捕捉不到，也无法识别出哪些是CDMA手机用户的通信信号，哪些是噪音。其次，必须锁定手机用户通信的信号，继而才能分析和破解信息。而CDMA采用快速切换功率控制技术，即便是窃听设备捕捉到了用户手机信号，也不能锁定快速功率切换下的有用信号，因此，快速功率切换让CDMA信号很难锁定。第三，需要破解用户信息编码。而CDMA采用伪随机码技术，用长达42位的伪随机码来标识区分用户，每次通话都有4.4万亿种可能的排列，很难破译出CDMA的编码。所以CDMA技术本身就很安全。
2）第二级安全保障：CDMA网络侧的AAA认证
AAA是指认证（Authentication）、授权（Authorization）、计费（Accounting）三个过程，其中：
认证是，用户在使用网络系统中的资源时对用户身份的确认。这一过程，通过与用户的交互获得身份信息（像用户名－口令、生物特征信息等），然后提交给认证服务器；认证服务器对身份信息与存储在数据库里的用户信息进行核对处理，然后根据处理结果确认用户身份是否正确。
授权是，网络系统授权用户以特定的权限使用其资源，这一过程指定了被认证的用户在接入网络后能够使用的业务和拥有的权限，如授予IP地址，准许访问时间等。
计费是，网络系统收集、记录用户对网络资源的使用信息，以便向用户收取资源使用费。以互联网业务提供商ISP为例，用户的网络接入使用情况可以按流量或者时间准确地记录下来。
认证、授权和计费一起实现了网络系统对特定用户的网络资源使用情况的准确记录。这样既在一定程度上有效地保障了合法用户的权益，又能有效地保障网络系统安全可靠地运行。
CDMA网络侧的AAA认证过程是对用户的域名进行鉴权认证，网中数据网的用户（VPDN成员）是以username@xxx.133vpdn.bj形式登录的（用户在联通登记入网时，北京联通分配其一个域名xxx.133vpdn.bj）。CDMA网络侧的AAA服务器对登录用户的域名和该用户的IMSI进行绑定审核验证。验证通过后，方可接入联通CDMA网络。
移动通信从电路交换，发展到CDMA 1X分组网络，再到第三代移动通信网络，用于认证、授权和计费的协议也在随之演进，从基于7号信令的协议，到部分采用RADIUS，再发展到Diameter，这主要是由越来越丰富的业务决定的。Diameter协议由IETF的AAA工作组在2002年3月提出的认证计费协议草案。Diameter协议支持移动IP、NAS请求和移动代理的认证、授权和计费工作。协议的实现和RADIUS类似，也是采用Attribute-Length-Value三元组来实现，但是其中详细规定了错误处理等内容。它在设计过程中，不仅保持了与广为使用的RADIUS协议的兼容，更克服了RADIUS协议的许多不足，而且它不仅仅被互联网采用，更被下一代移动通信网（3G）采用。在第三代移动网络和业务开展初期，为了和已有的设备和传统业务互通，需要采用Diameter与RADIUS之间的协议转换器，但是*终还是统一使用AAA Diameter协议。
3）第三级安全保障：CDMA网络和用户网络之间的VPN链接
CDMA网络和用户网络之间可以采用专线链接，也可以使用Internet链接。使用Internet链接必须考虑安全性，因此，可以使用VPN将二者利用Internet链接起来。
VPN技术非常复杂，涉及到通信技术、密码技术和现代认证技术。主要包含两种技术：隧道技术与安全技术。
隧道技术的基本过程是在源局域网与公网接口处将数据封装在一种可以在公网上传输的数据格式中，在目的局域网与公网的接口处将数据解封装，被封装的数据包在互联网上传播时的所经过的路径被称为“隧道”。常用的隧道协议有：1．点到点隧道协议—PPTP（现已基本淘汰）； 2．第二层隧道协议—L2TP，该协议是标准隧道协议，具有PPTP协议以及第二层转发协议（L2F）的优点，可以使PPP包以隧道方式通过各种网络，包括ATM、SONET、帧中继。但没有任何加密措施；3．IPSec协议，该协议是一个范围广泛、开放的VPN安全协议，工作在网络层。它提供所有在网络层上的数据保护和透明的安全通信。可以在两种模式下运行：一种是隧道模式，一种是传输模式。在隧道模式下IPSec把IPv4数据包封装在安全的IP帧中；传输模式是为了保护端到端的安全性，不会隐藏路由信息。目前一种趋势是将L2TP和IPSec结合起来：用L2TP作为隧道协议，用IPSec协议保护数据。市场上大部分VPN采用这类技术。 4．SOCKS v5协议，SOCKS v5工作在OSI模型中的第五层——会话层，可作为建立高度安全的VPN的基础。SOCKS v5协议的优势在访问控制，因此适用于安全性较高的VPN，SOCKS v5现在被IETF建议作为VPN的标准。
VPN是在不安全的Internet上传输的，传输内容可能涉及到企业的机密数据，因此安全性非常重要。VPN中的安全技术通常由加密、认证及密钥交换与管理组成。主要有认证技术，加密技术，秘钥管理与交换技术。
4）第四级安全保障：用户网络侧的安全防火墙（FW）
防火墙技术是目前用来实现网络安全措施的一种主要手段，主要是用来拒绝非法用户的访问，阻止非法用户存取敏感数据，同时允许合法用户顺利访问网络资源。防火墙实际上是一种访问控制技术，在某个机构的内部网络和不安全网络之间设置障碍，阻止对信息资源的非法访问，也可以使用防火墙阻止保密信息从受保护网络上的非法输出。
实现防火墙的主要技术有：数据包过滤，应用网关和代理服务等。包过滤（Packet Filter）技术是在网络层中对数据包实施有选择的通过。依据系统内事先设定的过滤逻辑，检查数据流中每个数据包后，根据数据包的源地址、目的地址、TCP/UDP源端口号、TCP/UDP目的端口号及数据包头中的各种标志位等因素来确定是否允许数据包通过，其核心是安全策略即过滤算法的设计。应用网关（Application Gateway）技术是建立在网络应用层上的协议过滤，它针对特别的网络应用服务协议即数据过滤协议，并且能够对数据包分析并形成相关的报告。应用网关可以严格控制某些易于登录和控制的所有的输出输入通信环境，以防有价值的程序和数据被窃取。它的另一个功能是对通过的信息进行记录，如什么样的用户在什么时间连接了什么站点。在实际工作中，应用网关一般使用专用工作站系统。代理服务器（Proxy Server）作用在应用层，用来提供应用层服务的控制，起到内部网络向外部网络申请服务时中间转接作用。内部网络只接受代理提出的服务请求，拒绝外部网络其它节点的直接请求。
用户网络可以选用适合于本单位的防火墙产品来保证自己网络数据的安全。
5）第五级安全保障：用户网络侧的AAA鉴权认证
用户网络侧的AAA鉴权认证可以实现对VPDN成员的身份认证。与第二级的安全保障不同，本级的AAA服务器将鉴别VPDN成员的用户名和密码的正确性。
username@xxx.133vpdn.bj中的域名将是中国联通公司提供给专网接入用户的专有统一域名，用户名（username）可以是VPDN中每个成员的手机号码或者其它标识。VPDN中成员的用户名和密码等资料将保存在用户专网侧的AAA服务器，具有很好的安全性和管理的灵活性。
目前有两种方案可以解决银行上述需求：
方案一：联通和银行联合分别验证在银行接入路由器部分连接专用AAA服务器，通过与联通专线上建立基于L2TP over IPSec 的VPDN，灵活配置帐号/口令策略。由联通NAS验证域名、用户名、UIM卡号；联通公司为银行提供客户端帐号界面，由银行AAA服务器验证用户名、密码，配合路由器绑定IP地址,完全保护合法用户登陆。该种运营模式已经成功在北京、山东两地银行运营实施，目前运行正常。
方案二：使用具有VPN功能CDMA1X无线接入设备
在用户侧接入路由器与中心内网间,安装支持IPSec功能的防火墙,银行网点连接IPSec功能的加密机+CDMA无线路由器，或者将IPSec功能集成在CDMA路由器中；通过VPN专用帐号登陆防火墙，建立安全隧道。该种方案安全级别高，但是对无线CDMA路由器技术要求高，开发难度大，成本相对较高。
原创作者：北京东方讯科技发展有限公司
