下载文档原格式
铁路站场局域网移动智能终端安全接入平台技术条件研究摘要：移动通信技术的发展，为铁路运输生产组织带来了新的更加高效快捷的解决方案，铁路站场局域网移动智能终端的试点和推广，将更加迅速的推动铁路物流企业朝着信息化智能化的方向发展，然而如何保障无线局域网终端的接入安全和传输安全，成为了这一应用快速推广的瓶颈。
移动终端作为移动互联网时代最主要的载体，面临着严峻的安全挑战。
关键词：无线局域网、移动智能终端、接入安全。
引言：本文结合铁路站场无线局域网移动智能终端接入安全基本情况，探讨铁路局域网移动智能终端安全接入平台建设基本技术要求。
1.术语和定义1.1铁路专网Wi-Fi铁路专网Wi-Fi是指为了满足铁路站场生产业务无线接入铁路综合信息网站场局域网的需要，在铁路站场区域内采用Wi-Fi技术构建的无线网络。
1.2铁路专网 LTE铁路专网LTE是指为了满足铁路站场生产业务无线接入铁路综合信息网站场局域网的需要，在铁路站场区域内釆用LTE技术构建的无线网络。
1.3铁路统一用户认证管理系统铁路统一用户认证管理系统为应用系统提供安全服务机制，实现用户管理、用户数据同步、用户认证、用户授权、单点登录、数字签名/验签和数据加密/解密功能。
2.平台结构2.1概述铁路站场局域网移动智能终端安全接入平台（以下简称安全接入平台），实现铁路移动智能终端通过铁路专网Wi-Fi或铁路专网LTE接入铁路综合信息网站场局域网的安全防护相关功能。
2.2安全接入平台组成一套完整的安全接入平台应由Wi-Fi接入认证服务器、Wi-Fi接入策略服务器、移动设备管理服务器、安全管理服务器、网络管理服务器、运维审计服务器、防火墙、IPS、WIPS等组成。
根据业务系统性能需求、组网需求的不同，服务器可选择物理服务器、虚拟服务器、服务器集群等不同实现方式。
各组成部分的部署与实现功能如下述：在铁路局内部服务网的运维管理区部署Wi-Fi接入认证服务器、Wi-Fi接入策略服务器、移动设备管理服务器和安全管理服务器。
移动终端无线接入（典型的五种移动通信系统）无线寻呼系统•无限寻呼系统是无线移动通信中的一种，是单向通信系统寻呼。
•一个简单的寻呼系统由3部分构成：寻呼中心，基站和寻呼接收机。
•它是通过公用电话网和寻呼的无线系统向被叫用户单向传送主叫用户的简单信息或简单的公众信息。
集群移动通信系统•一般由基站，终端设备，调度台和控制中心等组成。
•该系统可定义为系统所具有的可用信道可为系统的全体用户公用，具有自动选择信道功能，是一种共享资源，共同分担费用，公用信道设备及服务的多用途，高效能的无线调度通信系统。
•其主要面向各专业部门如公安，铁道，水利，军队等，以各专业部门为服务对象，目前该系统只在个别特殊行业使用。
无绳电话通信系统•无绳通信系统是指用无线信道代替普通电话线，在有限的业务区内向移动用户提供电话业务的系统。
无绳电话系统分为模拟和数字两种系统。
第一代无绳电话通信系统(CT1)：●采用模拟技术，容量小，密度低，适用于室内自由走动通话。
第二代无绳通信系统（CT2）●采用编码，时分双工等数字技术，容量大，密度高，适用于室内外，小区服务半径能达到100~150米。
●缺点：只能呼出，不能呼入，而且无越区切换和漫游功能。
座机用户普通电话市话局第一代无绳电话系统示意图CT2增强型系统a)DECT（数字增强无线通信）系统：它主要是针对办公楼设计的，其系统主要功能是为一幢大楼内的用户交换机的电话使用者提供局部的移动性。
b）PHS（个人便携电话系统）系统PHS是更为先进的无绳电话系统，该系统拥有广泛分布的基站，能支持基站间的切换和呼叫路由。
它较DECT系统更多的考虑了与ISDN 的兼容问题。
该系统在中国被称为“小灵通”系统，曾得到飞速发展。
卫星移动通信系统•任何人，任何时间，与任何人进行任何方式的通话一直是人们的梦想，卫星通信系统似乎让人们离这种梦想更近。
利用卫星通信系统可以实现海上，空中以及地形复杂而人口稀少的地区的通信，具有独特的优越性，因此很早就引起了人们的重视。
集团客户专线接入方案指导手册（第一版）客户响应中心二零一零年十月目录2GPRS-VPN业务解决方案2.1GPRS-VPN业务建设流程2.2GPRS-VPN业务建设的注意事项2.3GPRS-VPN图解及路由器配置3IP-VPN业务解决方案3.1IP-VPN业务建设流程3.2IP-VPN业务建设的注意事项3.3IP-VPN业务图解4宽带上网业务解决方案4.1宽带上网业务建设流程4.2宽带上网业务建设的注意事项4.3宽带上网业务图解5附录：5.1接入设备介绍5.2专线接入方案补充5.3传输技术对比及推荐应用场景概述中国移动网络按功能划分可以分为：接入网、传输网和业务网。
如下图所示：业务网：业务网均为高性能服务器，均属网管中心管理范围。
武汉分公司只负责接入侧交换机的维护、数据制作、IP地址申请。
传输网：武汉移动使用了PTN、SDH、PON作为传输网设备，其中OTN作为传输网的核心调度层，调度大颗粒业务。
接入不同业务根据一定的原则使用不同的传输设备，该原则将在下文进行描述。
接入网：主要用于实现各种业务的接入，并实现用户/流量的隔离，保证各类业务的安全和服务质量。
接入层通过采用：光纤收发器+PTN、ONU+OLT、MSAP+SDH/MSTP、WLAN等多种技术实现业务的接入。
根据湖北移动公司武汉分公司对全业务运营下对固定宽带业务的发展要求，结合武汉市核心网、传输网的建设，为促进和指导业务及相关部门更好的开展集团客户专线业务，特制订本指导手册。
GPRS-VPN业务解决方案GPRS网络做为一种承载网络，基于GPRS可以方便地实现多种丰富多彩的业务。
根据GPRS网络所具有的优点，可以方便的实现移动性、安全性、实时性等需求。
因此对于一些对流量、时延和带宽要求不是很高的企业应用，如银行、电力、交通、福彩、法院等行业可以通过GPRS实现接入，而且组网结构比较简单，实现起来也比较容易。
因此我们说基于GPRS的行业性应用有着比较广阔的发展前景。
结合指纹的移动终端安全接入认证方法摘要：根据2016年11月颁布的《中华人民共和国网络安全法》第三十一条有关规定：电力监控系统等国家关键信息基础设施，一旦遭到破坏、丧失功能或数据泄露，可能严重危害国家安全、国计民生、公共利益，必须在网络安全等级保护制度的基础上，实行重点保护。
关键词：移动；终端；安全；识别；接入；认证1随着信息化与工业化的融合，“物理隔离”防线可被跨网入侵，智能电网一次、二次设备智能化程度提升，无线通信等新技术迅猛发展，信息通信网面临的安全风险增加，信息安全形势日益严峻，必须就安全防护关键技术提出契合电力公司生产、运营现状的创新思路，提升电力信息安全隐患的预先排查能力，对安全技术持续赋能。
2现阶段终端安全主要采用的身份识别手段是通过密码、USBKEY、数字证书等认证手段，仅仅验证了使用者是否知道确定的信息，而这些标识身份的媒介和被标识的人本身并不相关，不仅容易丢失和泄漏，而且在现有的技术条件下，伪造也并不困难。
所以，传统的身份识别方式已不能适应快速发展电力信息通信需求，尤其是安全和管理方面，客观上需要一种新的、更加准确可靠的身份识别技术。
3采用客户端/服务器模式，移动终端安装客户端软件，软件首先使用USBKEY 和数字证书与安全接入网关协商完成基于证书的身份认证和基于国密算法的加密通道建立，然后收集终端特性信息，包括USBKEY序列号、数字证书序列号、移动终端序列号和用户指纹特性信息，通过加密通道上传到安全接入网关。
安全接入网关验证终端信息的完整性和有效性，根据验证结果决定终端是否能访问受保护的服务器。
4通过建立加密通道、用户注册、用户信息审核和用户业务访问四个步骤，在客户端收集终端特性信息，包括USBKEY序列号、数字证书序列号、移动终端序列号和用户指纹特性信息，通过加密通道上传到安全接入网关；安全接入网关验证终端信息的完整性和有效性，依据验证结果决定终端是否能访问受保护的服务器；主站端进行用户特性信息的比较，提高了非法用户绕过验证的难度。
