3G核心网安全隐患及其容灾技术探讨

3G核心网安全隐患及其容灾技术探讨

本文详细分析了WCDMA R99至R5各阶段核心网的组网结构，根据各阶段组网结构的不同提出相应的容灾技术，并深入分析各容灾技术的优缺点，最后对各容灾技术适用条件提出建议，进而指导我们在3G不同阶段如何根据自身的客观条件采取最佳的容灾技术。

关键词　移动交换中心　媒体网关　池域

1　2G GSM/GPRS网络的安全隐患

在GSM（全球移动通信系统）/GPRS（通用分组无线服务）网中，BSC（基站控制器）与MSC（移动交换中心）的网络结构是一种树形结构，每个BSC只能被一个MSC控制，如果MSC发生故障，则其管理的BSC就不能正常工作，造成该服务区内业务的中断。

在2G系统中，主要考虑的是HLR（归属位置寄存器）的容灾。对于MSC，2G系统中没有针对MSC失效的安全性措施，只是通过MSC设备本身的可靠性措施，即设备的单板备份和端口备份来保证MSC网元的安全。为了减少出现问题时移动业务受影响的范围，通常的解决方法是尽量采取小容量MSC的策略来规避风险，但这不能从根本上解决问题。因此2G网中存在着MSC的安全隐患。

由于移动公司只有GSM网络，这就决定了未来3G制式不可能采用cdma 2000制式，而WCDMA和TD-SCDMA两种制式的主要区别在于无线接入网，核心网部分基本一致，因此本文只讨论WCDMA各版本的核心网。另外，WCDMA R5以后的版本离实际组网还有颇长的路，故本文只讨论R99、R4和R5版本的容灾技术。由于篇幅限制，本文主要讨论核心网中MSC的容灾技术，但有些MSC容灾技术也适用于HLR、SGSN（GPRS服务支持节点）等网元。

2　R99阶段容灾技术

在WCDMA R99阶段，核心网组网与GSM/GPRS

网络基本一致，只是把原来的MSC进行软硬件升级，以支持WCDMA的接入，因而仍存在着与GSM系统一样的安全隐患，解决办法仍是设备级保证和小容量MSC技术，设备级保证技术详情见3.1节。

3　R4阶段容灾技术

在WCDMA R4阶段，核心网引入了控制和承载分离的软交换架构，将传统2G网络中的MSC分离成MSC Server（移动交换中心服务器）和MGW（媒体网关），其中MSC Server负责信令处理、路由和业务；MGW负责媒体流处理。接入网和核心网之间的Iu接口的网络结构仍为树形结构，下级节点只能被一个上级节点控制。如果MSC Server发生故障，则其管理的MGW和RNC（无线网络控制器）都不能正常工作，将造成服务区内业务的中断。

MSC Server是业务处理的中心，其容量一般都较大，且集中设置，是网络、设备安全性的重点关注部分。为了防止单点故障引起大片区域业务中断的情况，MSC Server除了要提供设备级的可靠性措施外，一般还需要提供网络级的可靠性措施。而MGW一般按最佳的话务吸收点分散设置，其安全性方面的要求相对要低一些，一般通过板级和设备级的冗余备份来实现。

3.1　设备级保证

MSC Server硬件系统可采用单板的备份、负荷分担、冗余配置等可靠性设计方法，并通过优化单板和系统的故障检测/隔离技术来提高系统可维护性。软件系统可采用模块化设计，通过专业的容错能力、对故障的监视系统及对故障的合理处理来保证设备的可靠性。

在MGW中，可采用模块化设计，使部分模块变化不会对其他功能模块造成影响。设备的业务单板应支持多种备份和负荷分担方式，避免单点故障。风扇和电源也应采用冗余设计，并提供多种告警处理机制。此外，还可通过多级用户权限管理、防火墙功能、密钥、鉴权等方式，提供业务安全性，从而提高系统性能和业务质量。

3.2　双归属技术

MSC Server与MGW间有控制和被控制的关系，其网络级可靠性措施比较复杂，一般采用MGW与MSC Server间的双归属机制来实现。目前的双归属方案有以下几种。

（1）双归属1+1主备模式：主MSC Server与备MSC Server同时运行相同的软件和数据，备用MSC Server是主用MSC Server的镜像，备用MSC Server与外部网元如HLR等的信令链路处于非激活态。一旦主用MSC Server出现故障，备用MSC Server将激活为主用MSC Server，MGW注册接入新的MSC Server（如图1所示）。

（2）双归属1+1互助模式：两个MSC Server都预留部分资源给对方作为非激活态的资源，一旦对方MSC Server出现故障，就激活预留的资源，接管对方管理的MGW等资源，原来独立运行的端局将合二为一（如图2所示）。

（3）双归属N+1备份模式：双归属N+1备份模式是指在由N个MSC Server组成的网络中，设置一个备份用的MSC Server，平时N个MSC Server正常工作，备份用的MSC Server空转。当N个正常工作的MSC Server中一个出现故障时，备用的MSC Server自动接管故障的MSC Server下管理的MGW和RNC（如图3所示）。

（4）双归属N+1互助模式：双归属N+1互助模式中，采用N个主用MSC Server和1个容灾MSC Server，而且容灾MSC Server也处理本局业务。容灾MSC Server实时备份N个主用的MSC Server的数据，一旦主用的MSC发生故障，容灾MSC Server将接管故障的主用MSC Server中的所有用户（如图4所示）。

对于1+1主备模式，在资源上比较浪费，且如果主MSC Server和备MSC Server放置在同一机房，虽然在网络配置上比较节约，但是容灾的效果将大为降低。

对于1+1实时互备模式，目前移动通信网中应用的比较广泛，属互助方式，要求网元必须成对配置，每个MSC Server都要预留资源，这造成了平时MSC Server处理能力的闲置。该容灾方式的网元配置数据比较复杂，也不够经济，将来可能向N+1备份方式转变。

对于N+1主备模式和N+1互助模式，其缺陷是无法处理两个MSC Server同时退网，虽然两台MSC Server由于自身原因同时出现故障的概率非常低，但在移动运营商的实际网络中，由于局所的限制，大量网元可能设置在同一局所，甚至在同一机房。自然灾害和社会灾害可能会导致一个局所的设备都不可用。因此在现实中，出现2个以上MSC Server同时瘫痪的情况不可排除。在此情况下，N+1备份模式将不起作用。

3.3　VMGW

双归属技术只是针对MSC Server宕机时的容灾技术，而MGW宕机时，其服务的RNC将不可避免的受到影响。在R4阶段，因为MGW设备的容量较大，为了避免宕机影响的用户过多，类似于硬盘分区，可以将一个物理MGW区分为多个逻辑上独立的VMGW（虚拟MGW）。每一个VMGW可以连接多个RNC，并且可以独立注册到MSC Server上，但是一个VMGW不能被多个MSC Server同时管理。这就大大减少了MGW宕机时造成的影响范围，但它不能从根本上解决MGW宕机的安全隐患。

3.4　MGW负荷分担

MGW负荷分担技术主要是通过MGW互备方式来解决MGW的单点故障问题。

举例说明，负荷分担的MGW1、MGW2、MGW3组成一个MGW池（MGW Pool），由同一个MSC Server控制（MGW资源池的MGW的数目理论上不受限制）。RNC通过MGW1接入到核心网。MGW负荷分担技术是指在RNC-MGW1连接线之外，增加了RNC-MGW2、RNC-MGW3两条备份连接线。在正常工作时，RNC-MGW1是激活工作状态，RNC-MGW2、RNC-MGW3处于非工作状态。

MSC Server通过H.248的SCTP（基于IP的信令传输）连接和Iu接口的SCCP（信令连接控制部分）连接判断Iu连接状态，当所有H.248的SCTP连接和SCCP连接都断了，并在一定的时间内不能恢复，即判断出现故障，切换到备份MGW。而RNC则是通过Iu接口的MTP3B（基于ATM的信令传输），判断对端MGW是否故障。当检测到故障后，启动切换流程，切换到备份MGW。

但是，当某一个MGW发生故障时，非故障的MGW将承担两个MGW的话务，这对于其业务提供能力来说，有可能难以满足需求。因此，必须通过流控机制来保障设备免遭阻塞，但这会带来用户呼损率的增大。

4　R5阶段容灾技术

4.1　Iu-flex技术原理

在WCDMA R5阶段，它继承了R4的软交换架构思想，而且提出了Iu-flex技术，引入了“池域”（Pool-Area）的概念（如图5所示），一个池域就是由多个同类网元组成的共同控制一个或多个位置区的网元集合。核心网节点作为资源池，RNC可以连接多个MSC/SGSN网元、池域。RNC被池中的多个网元同时管理，RNC的终端用户可以按照负载均衡的原则注册到池中的任意一个节点。

在物理连接上，一个RNC可以与多个MGW有路由连接，以保证当其中一个MGW不可用时切换到别的MGW上。MGW可以和MSC Server分开放置，它们不必为一一对应关系，MGW和MSC Server可以是多对多的关系，一个MGW可受控于多个MSC Server。多个MSC Server形成一个池，一旦其中的一个MSC Server出现故障，此MSC Server所负责的用户可以马上被池域中的其他MSC Server接管，当用户重新接入网络时（位置更新、呼叫尝试等），BSC／RNC将实时用户分配至池中其他MSC Server，用户感受不到网络服务的中断，实现了“零”宕机时间，从而保证其服务的连续性。

Iu-flex技术的提出，改变了R5之前版本中Iu接口的树形结构，代之以分层网状结构，这种分层网状结构提供了树形结构所不具备的容灾技术，虽然这种分层组网结构会增加网元的数目和技术实现的复杂度。

Iu-flex和传统组网方式的不同之处在于：

（1）Iu-flex不仅能解决网络备份问题，也可以实现MSC之间的资源共享与互助。在池域中的多个MSC是并行服务于RNC的，而且相互之间分担池域中的业务。

（2）池域技术不只适用于MSC，也适用于SGSN，且MSC和SGSN可以独立组建池域，如图6中的CS（威廉希尔官方网站 交换）pool area 1和pool area 2以及PS（分组交换）pool area 1和pool area 2。

（3）MSC/SGSN池域之间的划分可以重叠，如图6中的CS（威廉希尔官方网站 交换） pool area1和 pool area 2、PS （分组交换）pool area1和pool area 2。

4.2　Iu-flex技术优点

（1）实现MSC间的资源共享与互助，增大核心网络的顽健性。

Iu-flex的多节点技术使得增加池域容量变得简单容易，新增网元对现网少影响甚至不影响。而当池域中某一节点出现故障或拥塞，BSC/RNC可相应选择池域内的其他可用节点出现接替，此时各个节点共同分担故障节点的业务，避免了双归属方式中容易出现的备份局点难以满足两个局点业务负荷的要求的情况。

（2）可以克服大城市用户群的“潮汐效应”，节省MSC的设计容量。

在大城市，用户群一般是在市中心的工作区工作而在市郊的居住区居住。这会导致市中心和市郊的MSC的负荷呈现“潮汐效应”。而传统设计MSC容量时，为了使MSC满足业务要求，都是按可能的最大容量来进行设计，这就导致了MSC资源的浪费。而Iu-flex能实现MSC之间资源共享与互助，在市中心和市郊部分的位置区组成一个池域，多个池域之间可以在市中心重叠，这就可以克服“潮汐效应”，大大节省了MSC的资源，提高MSC资源利用效率，也能提高市中心MSC的容量。

（3）减少MSC局间切换和到HLR的业务负担。

与单节点服务区相比，Iu-flex大大减少位置登记信令交互以及局间切换过程，减少了MSC到HLR的信令负荷，还大大减少了跨局切换的次数。

（4）Iu-flex技术能与VMGW和IP承载技术配合使用。

Iu-flex技术能与VMGW配合组网，从而减少由于Iu接口物理连接的增加带来Iu接口传输成本的增加。另外，Iu接口引入IP承载网将能更大的发挥Iu-flex技术的优势。

4.3　Iu-flex技术的缺陷

（1）要支持Iu-flex技术，UTRAN和核心网除了需要进行软件升级、支持相应的功能外，还需要增加一些支持池域的数据配置，在网络规模比较大将非常复杂，需要全网升级，风险和难度均很大。因此，Iu-flex技术适合用于热点地区或者小规模组网。

（2）在MSC故障之后至用户重新发起位置登记之前用户被叫无法接通，必须由用户主动发起位置更新或者主呼后,更新HLR中用户的MSC/VLR数据才能够做被叫。

（3）跨地域MSC互助困难，网络复杂度增高，扩容复杂，核心网局部的调整会导致接入网全网范围的调整。

5　结论

VMGW和MGW负荷分担技术主要是针对MGW的容灾技术，而Iu-flex和双归属技术还可以用于MSC Server中。

Iu-flex技术适合在热点地区或小规模组网中应用，Iu-flex技术如果能和VMGW技术或者Iu口应用IP承载相结合，将能更大的发挥Iu-flex技术的优势，同时减少引入Iu-flex带来的问题。

在“大容量，少局所”的跨地域大本地网组网模式下，由于Iu-flex方案需要RNC将Iu接口同时连接到多个MGW，会引起Iu接口不必要的路由迂回，因此，这种情况下建议采用双归属容灾方案。