軟交換設(shè)備還是比較常用的，于是我研究了一下軟交換設(shè)備中的安全機(jī)制，在這里拿出來(lái)和大家分享一下，希望對(duì)大家有用。IPSec體系提供標(biāo)準(zhǔn)的、安全的、普遍的機(jī)制。可以保護(hù)主機(jī)之間、網(wǎng)關(guān)之間和主機(jī)與網(wǎng)關(guān)之間的數(shù)據(jù)包安全。由于涉及的算法為標(biāo)準(zhǔn)算法，故可以保證互通性，并且可以提供嵌套安全服務(wù)。

IPSec協(xié)議主要由AH（認(rèn)證頭）協(xié)議，ESP（封裝安全載荷）協(xié)議和負(fù)責(zé)密鑰管理的IKE（因特網(wǎng)密鑰交換）協(xié)議三個(gè)協(xié)議組成。認(rèn)證頭（AH）協(xié)議對(duì)在媒體網(wǎng)關(guān)/終端設(shè)備和軟交換設(shè)備之間傳送的消息提供數(shù)據(jù)源認(rèn)證，無(wú)連接完整性保護(hù)和防重放攻擊保護(hù)。數(shù)據(jù)完整性可以通過(guò)校驗(yàn)碼（MD5）來(lái)保證；數(shù)據(jù)身份認(rèn)證通過(guò)在待認(rèn)證數(shù)據(jù)中加入一個(gè)共享密鑰來(lái)實(shí)現(xiàn)；報(bào)頭中的序列號(hào)可以防止重放攻擊。解釋域（DOI）將所有的IPSec協(xié)議捆綁在一起，是IPSec安全參數(shù)的主要數(shù)據(jù)庫(kù)。

IPSec支持兩種運(yùn)行模式：傳輸模式和隧道模式。傳輸模式為上層協(xié)議提供安全保護(hù)，保護(hù)的是IP包的有效載荷，通常該模式用于端對(duì)端的安全通信。隧道模式由于是對(duì)整個(gè)IP包提供保護(hù)，故在IP包上再加報(bào)頭，從而可以加強(qiáng)保護(hù)，通常該模式使用在至少一端是安全網(wǎng)關(guān)的時(shí)候。AH協(xié)議不對(duì)IP數(shù)據(jù)報(bào)進(jìn)行加密，因此不提供機(jī)密性保護(hù)。但由于AH提供數(shù)據(jù)完整性校驗(yàn)、身份認(rèn)證和防重放保護(hù)，因此提供IP認(rèn)證，也可以為上層提供保護(hù)。

ESP協(xié)議除了提供數(shù)據(jù)完整性校驗(yàn)、身份認(rèn)證和防重放保護(hù)外，同時(shí)提供加密。ESP的加密和認(rèn)證是可選的，要求支持這兩種算法中的至少一種算法，但不能同時(shí)置為空。根據(jù)要求，ESP協(xié)議必須支持下列算法：

（1）使用CBC模式的DES算法
（2）使用MD5的HMAC算法
（3）使用SHA-1的HMAC算法
（4）空認(rèn)證算法
（5）空加密算法

AH協(xié)議和ESP協(xié)議在使用中都涉及到密鑰管理。IKE協(xié)議主要在通信雙方建立連接時(shí)規(guī)定使用的IPSec協(xié)議類(lèi)型、加密算法、加密和認(rèn)證密鑰等屬性，并負(fù)責(zé)維護(hù)。IKE采用自動(dòng)模式進(jìn)行管理，IKE的實(shí)現(xiàn)可支持協(xié)商虛擬專(zhuān)業(yè)網(wǎng)（VPN），也可從用于在事先并不知道的遠(yuǎn)程訪問(wèn)接入方式。

如果低層協(xié)議不支持IPSec，則應(yīng)建議采用過(guò)渡性AH方案，過(guò)渡性AH方案是在H.248協(xié)議頭中定義可選的AH頭來(lái)實(shí)現(xiàn)對(duì)協(xié)議連接的保護(hù)，過(guò)渡性AH方案只能提供一定程度的保護(hù)，例如該方案不能提供防竊聽(tīng)保護(hù)。

總結(jié)

基于軟交換的NGN網(wǎng)絡(luò)所存在的安全問(wèn)題一直以來(lái)受到大家的關(guān)注。而作為數(shù)據(jù)網(wǎng)絡(luò)上的一種新興的應(yīng)用，以IP作為承載媒體的軟交換設(shè)備所面臨的一些安全隱患，實(shí)際是目前IP網(wǎng)絡(luò)上存在的若干問(wèn)題的延續(xù)。只有很好地解決了網(wǎng)絡(luò)的安全問(wèn)題，同時(shí)配合產(chǎn)品本身的一些安全認(rèn)證機(jī)制，軟交換設(shè)備才能夠在新的電信網(wǎng)中持久穩(wěn)定的發(fā)揮作用，并成為解決話音、數(shù)據(jù)、視頻多媒體通信需求的有效解決方法，并最終完成“三網(wǎng)合一”。