An ninh trong mạng thông tin di động thế hệ 3 V

Chương 5: Triển vọng tương lai và xu thế sự phát triển
=====================================================================
CHƯƠNG 5: TRIỂN VỌNG TƯƠNG LAI VÀ XU THẾ PHÁT TRIỂN
5.1 Các vấn đề triển khai
Các chương trước chúng ta đã xem xét một số giải pháp lập cấu hình một mạng dữ
liệu di động. Các trường hợp triển khai khác nhau đã được giới thiệu – một số trường hợp
với nhà khai thác di động cũng như cung cấp dịch vụ dữ liệu ; một số trường hợp khác có
sự phân cách giữa các dịch vụ dữ liệu và các nhà khai thác mạng di động. Trong phần này
chúng ta sẽ đi sâu hơn vào các vấn đề nảy sinh trong một trường hợp triển khai cụ thể khi
một tổ chức cố gắng mở rộng mạng thông tin nội bộ của nó. Tất nhiên,có một sự khác biệt
lớn tại thời điểm này: chúng ta biết rằng IP di động đang là một giải pháp.
Để bắt đầu, hãy xem xét chi tiết hơn hai phương thức truy nhập GPRS: trong suốt và
không trong suốt. Sự khác biệt cơ bản giữa chúng là ở cách thức mà chúng đảm bảo liên kết
tới máy chủ tương ứng. Phương thức trong suốt kết thúc đường hầm GTP tại GGSN và sau
đó chuyển tiếp các gói IP. Với chương trình không trong suốt, sau khi đường hầm GTP
được kết thúc, dữ liệu người sử dụng được tự động chuyển vào đường hầm mới do GGSN
tạo ra. Đường hầm mới này vượt qua Internet tới một điểm kết cuối ( nghĩa là một mạng
công ty hoặc một nhà cung cấp dịch vụ khác ). Trước khi đường hầm thứ hai này được tạo
ra,tên người sử dụng và mật khẩu được cấp cho thuê bao thường được xác thực và sau đó
một địa chỉ IP được gán cho một thiết bị di động. Sự khác biệt này có tác động lớn tới toàn
bộ mạng và dich vụ mà nó cung cấp. Bây giờ chúng ta hãy xem xét các vấn đè trong cả hai
trường hợp trong suốt và không trong suốt.
===============================================================
Nguyễn Anh Tuấn ĐTVT K27 82
Chương 5: Triển vọng tương lai và xu thế sự phát triển
=====================================================================
5.1.1 Phương thức trong suốt
Hình 5.1 cho thấy các phần tử chính của một mạng GPRS theo phương thức trong
suốt cùng với một số khu vực cần có các quyết định triển khai trọng yếu ( các mũi tên) . Để
bắt đầu kiểm tra thiết lập này chúng ta xem xét một số điểm chung có thể áp dụng cho tất
cả các hệ thống GPRS phương thức trong suốt và sau đó khởi động các mô hình kinh doanh

cụ thể.
Nhu cầu đánh địa chỉ
Bất kỳ thiệt bị di đông nào muốn truy cập dịch vụ đều cần một địa chỉ IP có thể
định tuyến được. Nghĩa là nó cần một địa chỉ để bất kỳ máy chủ nào tren Internet ( như
www.artechhouse.com) có thể đáp ứng lại nó. Nhà khai thác di động sẽ cần một địa chỉ cho
mỗi thuê bao kết nối đồng thời. Một nhà khai thác có thể có không gian địa chỉ định tuyến
được hoạt động của nó theo một trong hai cách.
Có lẽ cách dễ nhất là có một thỏa thuận mượn các địa chỉ IP của một nhà cung cấp
dịch vụ Internet bán buôn hoặc đường trục (ISP). Bên cạnh việc thuê không gian địa chỉ
nhà khai thác di động trong phạm vi khối địa chỉ đã được phân bổ,thỏa thuận này đảm bảo
rằng có thể truy nhập tới các phần khác của internet. Có thể lựa chọn một hoặc hai nhà
cung cấp kết nối internet hoặc địa chỉ IP.
Thứ hai, một nhà khai thác có thể xin không gian địa chỉ riêng cho mình từ Tổ chức
quản lý địa chỉ và tên miền Internet ( ICANN - Internet Corporation for Name and
Numbers) hoặc từ Reseaux IP European (RIPE). Trong trường hợp này, nhà khai thác sẽ
phải cân đối nhu cầu địa chỉ họ cần bởi vì việc phân bổ bị chịu tác động lớn của nhu cầu
bảo quản các địa chỉ IP phiên bản 4 (do đó đơn xin phải chứng minh được tính hiệu quả).
Nhà khai thác cũng sẽ phải xin một số hệ thống tự chủ và sau đó đàm phán kết nối internet
với một hoặc nhiều ISP bán buôn hoặc nhà cung cấp dịch vụ kết nối Internet (chẳng hạn
như LINX hoặc CIX).
===============================================================
Nguyễn Anh Tuấn ĐTVT K27 83
Chương 5: Triển vọng tương lai và xu thế sự phát triển
=====================================================================
Nếu các dải địa chỉ được yêu cầu là có sẵn thì chúng có thể được ấn định cho người
sử dụng một số cách. Cách hiệu quả nhất là phân bổ chúng từ một máy chủ qua giao thức
cấu hình máy chủ động ( Dynamic Host Configuration Protocol ) như đã trình bày . Kỹ
năng thực là xác định xem cần thực sự bao nhiêu địa chỉ cho một số thuê bao đã định.
Tên miền
Ngoài dải địa chỉ để phân bổ tới các thiết bị di động và kết nối cấp cao lên mạng

Internet toàn cầu ra,nhà khai thác trong một mạng GPRS truy nhập trong suốt cần cung cấp
các dịch vụ giải quyết tên miền. Đây là dịch vụ biến đổi các tên dễ đọc (như
www.artechhouse.com) thành địa chỉ IP thực của máy chủ Web . Điều này đòi hỏi chạy
một máy chủ tên miền và lập cấu hình nó để chuyển tiếp chính xác các yêu cầu giải quyết
tên miền và lưu giử các trả lời. Một ISP cấp cao có thể có khả năng cung cấp dịch vụ này
cho nhà khai thác di động.
Bảo vệ
Các tin tặc đã cho thấy rằng các nhà khai thác Internet di động đang phát triển gặp
một thách thức rất thú vị. Mục tiêu có thể phù hợp nhất của họ là giao diện công cộng (Gi)
tới Internet. Trong trường hợp này,các địa chỉ đích từ các gói tin đến từ giao diện công
cộng được định tuyến qua một bảng đường hầm mở để các đường hầm GTP đi trực tiếp
đến các máy di động được kết nối. Không có đường khác cho các gói tin từ giao diện công
cộng (ví dụ: đi vào cơ sở hạ tầng của nhà khai thác đẻ tấn công hệ thống tính cước và khai
thác các tài nguyên khác nằm phía trong riêng biệt của GGSN). Về phía của giao diện công
cộng , các gói tin trông giống như bất cứ gói nào khác trên Internet.
===============================================================
Nguyễn Anh Tuấn ĐTVT K27 84
Chương 5: Triển vọng tương lai và xu thế sự phát triển
=====================================================================
Hình 5.1 Triển khai một GPRS trong suốt
Tính cước
Thông tin thu nhập được từ GGSN và SGSN bao gồm số byte và thời gian liên lạc –
cũng giống như các ứng dụng Internet và truyền số liệu khác. Thông tin cơ bản này sau đó
được chuyển thành số nhận dạng di động của người sử dụng ( IMSI ) chứ không phải các
mô hình tên người sử dụng/mật khẩu quen thuộc đã được sử dụng cho các ứng dụng
Internet. Do đó, các nhà khai thác đã có dịch vụ Internet với các tài khoản dựa trên người
sử dụng sẽ phải xem xét tổ chức thế nào cho tốt nhất các bản ghi về mức độ sử dụng mạng
để lập hóa đơn tính cước cho các dịch vụ Internet vô tuyến.
Xác định số lượng mạch Internet
Nhà khai thác di động sẽ chịu trách nhiệm xác định số lượng mạch Internet kết nối

tới ISP cung cấp đường lên. Để linh hoạt và cân bằng tải,một tập dự phòng các GGSN có
===============================================================
Nguyễn Anh Tuấn ĐTVT K27 85
Chương 5: Triển vọng tương lai và xu thế sự phát triển
=====================================================================
thể được triển khai ở trạm kết nối Internet. Việc xác định số lượng mạch phụ thuộc vào kết
quả phân tích và theo dõi. Việc phân tích yêu cầu dự tính tốc độ của máy di động cũng như
đặc tính lưu lượng của khách hàng. Việc này thường được bổ trợ bằng việc phân tích xu
hướng thường nhật về mức độ sử dụng mạch Gi. Sau khi nhà khai thác di động đã quan tâm
tới tất cả các vấn đề trên với 1001 các nhiệm vụ triển khai không thể tránh khỏi khác, sẽ có
một mạng tin cậy hoàn toàn để cung cấp một loạt các dịch vụ IP. Các chương trước cung
cấp hầu hết các thong tin kỹ thuật ( đánh địa chỉ,bảo mật thông tin…) mà nhà khai thác cần
và triển vọng của IP di động cho phép khách hàng tự do chuyển vùng. Giải pháp triển khai
này có thể, như ý nghĩa của nó,không phù hợp với một người sử dụng doanh nghiệp. Họ
muốn sự bảo vệ cao hơn khi đi qua giao diện Gi và do đó chúng ta cần tiếp tục xét truy
nhập theo phương thức không trong suốt.
5.1.2 Phương thức không trong suốt
Sự khác biệt cơ bản trong phương thức này là đường liên kết từ GGSN tới nút mạng
tương ứng được bảo vệ bằng công nghệ đường hầm. Điều đó có nghĩa là các chức năng
như xác thực và ấn định đặc tính có thể triển khai hợp lý trên cơ sở hạ tầng của nhà khai
thác di động như minh họa trên hình 5.2.
Trong hình 5.2, một kết nối IPsec đơn giản được thấy giữa GGSN và điểm truy nhập
tới mạng công ty. Máy chủ xác thực người sử dụng cũng có thể cung cấp dịch vụ người sử
dụng quay số vào truy nhập từ xa ( RADIUS – Remote-access dial-in user service) với khả
năng cho nhiều người sử dụng. Điều này cho phép nhà khai thác chạy máy chủ tại dịa điểm
của mình nhưng cho phép mỗi người sử dụng duy trì và quản lý cơ sở người sử dụng thuê
bao của anh ta theo cách mà một nhà cung cấp dịch vụ ứng dụng thực hiện. GGSN có thể
cũng hỗ trợ các nhóm địa chỉ trên cơ sở nhiều khách hàng và là hỗ trợ các không gian nhiều
địa chỉ thông qua DHCP.
===============================================================

Nguyễn Anh Tuấn ĐTVT K27 86
Chương 5: Triển vọng tương lai và xu thế sự phát triển
=====================================================================
Hình 5.2: GPRS không trong suốt
Trong cấu hình này, việc xác thực và ấn định đặc tính ngày càng có thể xảy ra ở địa
điểm xảy ra của nhà cung cấp dịch vụ khách hàng hoặc công ty. Trong trường hợp này,
GGSN trong mạng nhà khai thác đóng vai trò như bộ phận tập trung truy nhập L2TP ( LAC
) và tạo ra một đường hầm L2TP được bảo vệ theo IPsec tới máy chủ VPN đích ( hình 5.3).
Để dành được truy nhập qua mạng này, người sủ dụng cần nhập tên và mật khẩu của
anh ta vào thiết bị di động. Các thông tin này sau đó được gửi tới máy chủ xác thực phù
hợp như được cấu hình trong định nghĩa APN không trong suốt cho VPN công ty.
===============================================================
Nguyễn Anh Tuấn ĐTVT K27 87