3G無線安全接入解決方案

 解決方案背景

金融服務經營理念逐漸以“賬務為中心”向以“客戶為中心”轉變，表現(xiàn)在各銀行新一代核心銀行系統(tǒng)相繼投產，大力發(fā)展零售業(yè)務，大力拓展服務渠道以贏得更多的客戶。面對客戶多樣化、個性化的服務需求，銀行對服務渠道拓展的重視程度越來越高。各商業(yè)銀行紛紛進行傳統(tǒng)網點轉型、擴張便利店、離行ATM、自助終端、柜面業(yè)務延伸、網點加固等一系列服務渠道改善和拓展措施，以滿足廣大客戶的便利性需求，提升客戶體驗，從網絡支撐角度來看，傳統(tǒng)專線覆蓋范圍有限、開通周期長、備份利用率低及投資巨大等局限大大制約了企業(yè)的渠道拓展計劃。 

3G技術的高速率、高安全性、覆蓋廣、機動性強的特性為銀行服務渠道的快速拓展提供了極大的便利，為銀行的網點服務轉型提供了極大的助力，銳捷網絡憑借多年的金融行業(yè)服務經驗，為各銀行提供滿足高安全、穩(wěn)定、易維護等各方面要求的3G安全接入解決方案。

解決方案構成

1、接入端：3G無線接入路由器，RG-RSR10-02由于ATM機場景，RG-RSR10-01G內置自助查詢機內使用、RG-RSR10/20-14E/F滿足柜面業(yè)務延伸（單機/多機）、RG-RSR20-14E/F滿足柜面網點需求。    

2、運營商側：LAC、AAA服務器。  

3、匯聚端：RSR77系列路由器配置DNME-SEC和DFNM-8GE模塊，單板500M SM1加密能力，整機2G的SM1加密能力。采用3G鏈路同時匯聚1000路網點。  

4、管理端：CA/AAA服務器、RG-SNC-PRO、RG-SMP服務器。    

為了保證3G的安全性，接入端3G路由器需要和匯聚端的VPN網關建立IPSEC VPN加密隧道，采用SM1國密辦加密算法保證數(shù)據傳輸?shù)陌踩浴?nbsp; 

安全保證機制   

1、無線信號加密：SIM卡有運算功能，運營商算法不公開，會以加密的形式內置一個密鑰，用戶和基站雙向鑒權。 

 2、屏蔽非法用戶：IMSI號＋域名綁定，非授權卡無法撥入企業(yè)專網。    

3、關閉internet服務：限制授權3G卡的訪問，關閉internet服務，做到 “專卡專用”。

4、防內部盜用：在分行AAA服務器上設置，通過IMSI和用戶的IP、用戶名綁定，有效防止內部盜用。進一步做到“專卡、專人、專用”，便于控制安全風險，加強管理。  

5、端到端數(shù)據加密（SM1）：針對銀行高度敏感的業(yè)務數(shù)據流，采用國家密碼管理局專門開發(fā)的商用加密算法SM1，該算法保密性高，算法不公開，安全性優(yōu)于其他同類型算法。 

6、離行終端操作監(jiān)控：針對外派業(yè)務終端場景，終端脫離了營業(yè)網點固定的監(jiān)控范圍，操作的規(guī)范性無法掌握，銳捷網絡提供離行終端操作屏幕監(jiān)控方案，記錄操作員業(yè)務操作過程。   

3G穩(wěn)定性保證機制  

1、不同制式運營商支持：當某個運營商的無線基站出現(xiàn)故障時，可以撥到另外運營商的基站，建立通訊連接。BFD關聯(lián)撥號口機制，進一步實現(xiàn)當上端LNS或者專線故障時，業(yè)務能快速切換，確保業(yè)務不中斷。 

2、雙LNS、IPSEC網關冗余機制，通過VRRP、雙PEER等機制，靈活實現(xiàn)LNS、IPSEC冗余備份技術。 

3、自動重撥：當無線信號意外消失又恢復之后，路由器可以自動發(fā)起重撥，無需人工干預即可恢復業(yè)務。 

4、延長天線：銳捷網絡接入路由器3G模塊的天線接口可拆卸通過線纜延長到信號相對較好的位置，保證良好的3G信號。用戶可根據需要，靈活選擇不同類型的天線。 

5、針對離行ATM場景，采用IPSEC隧道自動建立技術，加快業(yè)務辦理時間，給用戶完美的體驗。 

6、2G/3G切換功能：當3G信號弱的情況下，可切換到運營商的2G網絡。 

全方位的監(jiān)控管理

1、設備、用戶管理：通過網絡分域，清晰規(guī)劃設備所屬的范圍，用戶分級分權，清晰管理界面。 

2、拓撲管理：全面對3G及IPSEC隧道進行管理，拓撲圖及列表兩種方式，全面顯示設備ID、IP、在線狀態(tài)、登錄時間、在線時長、實時流量（5分鐘均值）、總流量、3G信號強度，還能對在線用戶進行強制下線操作。 

3、設備資產管理：站在IT運維管理部門的視角，進行資產管理，可提供：IP、設備名稱、MAC、購買時間、版本號、所屬機構、集成商等各種字段進行分類，便于故障版本升級及續(xù)保統(tǒng)計操作。 

4、報表：流量、資費統(tǒng)計報表。查看某一時間段內隧道上下線動作、上下線時間、對應的接入設備名稱（IP）、3G用戶名。可靈活定制。
 

客戶收益

1、在普通網點使用3G接入技術作為備份線路，以300個網點為例，每年節(jié)約成本450萬左右。離行自助設備采用3G作為接入鏈路，資費成本為有線專線的1/3左右。 

2、在業(yè)務開通周期方面，業(yè)務開通周期由原來的20天左右，縮短到1周。為離行自助設備提供快速的接入平臺，業(yè)務部門的積極性很高，對信息科技部門的滿意度很高。 

3、在整體安全方面，運營商、廠商的安全控制技術，很好地保證了金融數(shù)據在無線端傳輸?shù)陌踩葷M足合規(guī)相關監(jiān)管部門的安全審計要求，同時保證銀行、客戶利益不受損。