一、概述 隨著國民經(jīng)濟的飛速發(fā)展，城市集中供熱規(guī)模不斷擴大。集中供熱是國家大力推廣的節(jié)能和環(huán)保措施，供熱站是連接供熱子站和用戶極為重要的環(huán)節(jié)。
在供熱系統(tǒng)中，常常需要對眾多的供熱子站點進行實時監(jiān)測，大部分監(jiān)測數(shù)據(jù)需要實時發(fā)送到管理中心的后端服務(wù)器進行處理。由于監(jiān)測點分散，分布范圍廣，通過電話線傳送數(shù)據(jù)往往事倍功半。通過CDMA無線網(wǎng)絡(luò)進行數(shù)據(jù)傳輸，成為供熱部門選擇的通信手段之一。工業(yè)控制監(jiān)測設(shè)備可將采集到的數(shù)據(jù)和告警信息通過CDMA網(wǎng)絡(luò)及時發(fā)送到供熱站數(shù)據(jù)中心，實現(xiàn)對供熱子站的及時管理，可以大大提高工作效率。
二、項目需求分析 按照傳統(tǒng)方式，供熱站數(shù)據(jù)中心與子站之間的數(shù)據(jù)通信主要采用現(xiàn)場采集或PSTN電話線傳輸。采用電話線傳輸數(shù)據(jù)時，每次采集都需要等待建立撥號連接，速度慢，受外界環(huán)境影響大，而且費用也較高。同時，由于各子站分布范圍廣、數(shù)量多、距離遠，個別點還地處偏僻，因此需申請很多電話線，而且有些子站有線線路難以到達。
CDMA具有實時在線、速度快、使用費用低的特點，其傳輸速度可達153kb/s。與有線通訊方式相比，采用CDMA無線通信方式則顯得非常靈活，它具有組網(wǎng)靈活、擴展容易、運行費用低投，維護簡單、性價比高等優(yōu)點。綜上所述，采用CDMA無線傳輸方式解決數(shù)據(jù)同步傳輸問題是實現(xiàn)熱網(wǎng)現(xiàn)代化管理的必然途徑。
三、CDMA 1X 傳輸方式的優(yōu)勢供熱站CDMA無線數(shù)據(jù)同步系統(tǒng)具備如下特點：
1、實時性強：
與PSTN，短消息服務(wù)比較，由于CDMA具有實時在線特性，系統(tǒng)無時延，無需輪巡就可以同步接收、處理多個/所有子站的各種數(shù)據(jù)�？珊芎玫臐M足系統(tǒng)對數(shù)據(jù)采集和傳輸實時性的要求。
2、可對各子站設(shè)備進行遠程控制：
通過CDMA雙向系統(tǒng)還可實現(xiàn)對儀器設(shè)備進行反向控制，如：時間校正、狀態(tài)報告、開關(guān)閥門等控制功能。
3、建設(shè)成本少低：
由于采用CDMA公網(wǎng)平臺，無需建設(shè)無線網(wǎng)絡(luò)，只需安裝好設(shè)備就可以，建設(shè)成本低；
4、監(jiān)控范圍廣：
構(gòu)建無線數(shù)據(jù)傳輸系統(tǒng)要求數(shù)據(jù)通信覆蓋范圍廣，擴容無限制，接入地點無限制，能滿足海洋、山區(qū)、鄉(xiāng)鎮(zhèn)和跨地區(qū)的接入需求。由于供熱子站數(shù)量眾多，分布在全市范圍內(nèi)，部分子站位于偏僻地區(qū)，而且地理位置分散。
5、具有良好的可擴展性：
由于目前CDMA網(wǎng)絡(luò)已覆蓋室內(nèi)絕大部分地區(qū)及距海岸線120Km內(nèi)的海域，對各子站基本不存在盲區(qū)，可實現(xiàn)大范圍的在線監(jiān)控，滿足供熱站數(shù)據(jù)傳輸系統(tǒng)對覆蓋范圍的要求。
6、系統(tǒng)的傳輸容量大：
供熱數(shù)據(jù)中心站要和每一個子站實現(xiàn)實時連接。由于子站數(shù)量眾多，系統(tǒng)要求能滿足突發(fā)性數(shù)據(jù)傳輸?shù)男枰�，而CDMA技術(shù)能很好地滿足傳輸突發(fā)性數(shù)據(jù)的需要。
7、數(shù)據(jù)傳送速率高：
每個供熱站子站每次數(shù)據(jù)傳輸對帶寬要求在10Kb/s之內(nèi)。目前CDMA實際數(shù)據(jù)傳輸速率在80-120Kbps左右，完全能滿足本系統(tǒng)數(shù)據(jù)傳輸速率（≥10Kbps）的需求。
8、通信費用低：
采用流量計費或包月計費方式，運營成本低。
四、北京飛旗VPDN（網(wǎng)中數(shù)據(jù)網(wǎng)）應(yīng)用安全方案 無論您在什么地方，只要您打開筆記本電腦或PDA就直接登錄到您的辦公網(wǎng)中去，就像您在辦公室一樣。查信息、看數(shù)據(jù)，網(wǎng)上辦公安全又便捷。您的計算機或PDA只需要一張CDMA號卡，單位只要提供一個路由器端口即可。
您也不用為傳送分散在不同地點的數(shù)據(jù)而煩惱了，VPDN為您建立了空中專線，您的設(shè)備只需要插上一張CDMA號卡，無需挖溝拉線，無論在全國繁華的市區(qū)，還是在偏遠的山區(qū)，都能進行快速穩(wěn)定的數(shù)據(jù)傳送，您以前想都不敢想的事聯(lián)通幫您完成了，而且省錢、省力、快速實現(xiàn)。
4.1、VPDN技術(shù)簡介
簡單地說，VPDN是基于SIP方式（也支持MIP）接入專網(wǎng)，并輔以VPN技術(shù)，有時候也稱Simple IP技術(shù)+ L2TP技術(shù)。下圖中企業(yè)用戶通過無線網(wǎng)絡(luò)接入分組域PDSN，由分組域中AAA進行接入認(rèn)證，業(yè)務(wù)授權(quán)，在PDSN和企業(yè)網(wǎng)之間利用L2TP協(xié)議建立起專用隧道，并在隧道中利用工作在傳輸模式下的IPSec協(xié)議把IP數(shù)據(jù)包加密，從而保護隧道中的數(shù)據(jù)安全。接入用戶通過企業(yè)網(wǎng)AAA的認(rèn)證后，終端經(jīng)過分組網(wǎng)的PDSN與企業(yè)的LNS間建立起PPP連接，用戶傳輸?shù)臄?shù)據(jù)流通過隧道到達企業(yè)網(wǎng)。
4.2、無線接入及VPDN的安全性
北京飛旗自行設(shè)計的VPDN方案是基于聯(lián)通CDMA 1X網(wǎng)絡(luò)和和北京飛旗研發(fā)生產(chǎn)的TCR系列無線路由器，集合時下流行的L2TP+IPSec技術(shù)組網(wǎng)而成（簡稱北京飛旗VPDN方案），在安全性和經(jīng)濟經(jīng)方面有著突出的優(yōu)勢。
1. VPDN的安全保障
按照上述VPDN的示意圖，北京飛旗VPDN可以提供5級業(yè)務(wù)安全保障，從而充分保證網(wǎng)絡(luò)中數(shù)據(jù)的安全。
（1）第一級安全保證：CDMA網(wǎng)絡(luò)本身的安全性
目前世界上使用的移動通信網(wǎng)絡(luò)主要有兩種：GSM和CDMA。與GSM相比，CDMA網(wǎng)絡(luò)系統(tǒng)在安全保密方面具有很大優(yōu)勢。CDMA本來就是起源軍事保密技術(shù)，在戰(zhàn)爭期間廣泛應(yīng)用于軍事領(lǐng)域，具有抗干擾、安全通信、保密性好的特性。進行移動手機信號的竊聽一般使用以下三種方法。首先，需要捕捉到通信信號。在空間中充滿了各種各樣的無線電波，用戶手機信號就混雜在其中。要想竊聽某一個用戶的通話，首先必須捕捉到這個用戶手機發(fā)出的特定的電磁波。由于CDMA系統(tǒng)采用擴頻技術(shù)，經(jīng)過擴頻以后的有用信號的頻譜被大大地展寬了，用戶信號隱蔽在互不相關(guān)的信號中，要想捕捉到這一有用信號非常困難。因此，竊聽器捕捉不到，也無法識別出哪些是CDMA手機用戶的通信信號，哪些是噪音。其次，竊聽器必須鎖定手機用戶通信的信號，繼而才能分析和破解信息。而CDMA采用快速切換功率控制技術(shù)，即便是竊聽設(shè)備捕捉到了用戶手機信號，也不能鎖定快速功率切換下的有用信號，因此，快速功率切換讓CDMA信號很難鎖定。第三，需要破解用戶信息編碼。而CDMA采用偽隨機碼技術(shù)，用長達42位的偽隨機碼來標(biāo)識區(qū)分用戶，每次通話都有4.4萬億種可能的排列，竊聽器很難破譯出CDMA的編碼。所以CDMA技術(shù)本身就很安全。
（2）第二級安全保證：CDMA網(wǎng)絡(luò)側(cè)的AAA認(rèn)證
AAA是指認(rèn)證（Authentication）、授權(quán)（Authorization）、計費（Accounting）三個過程，其中：
認(rèn)證是，用戶在使用網(wǎng)絡(luò)系統(tǒng)中的資源時對用戶身份的確認(rèn)。這一過程，通過與用戶的交互獲得身份信息（像用戶名－口令、生物特征信息等），然后提交給認(rèn)證服務(wù)器；認(rèn)證服務(wù)器對身份信息與存儲在數(shù)據(jù)庫里的用戶信息進行核對處理，然后根據(jù)處理結(jié)果確認(rèn)用戶身份是否正確。
授權(quán)是，網(wǎng)絡(luò)系統(tǒng)授權(quán)用戶以特定的權(quán)限使用其資源，這一過程指定了被認(rèn)證的用戶在接入網(wǎng)絡(luò)后能夠使用的業(yè)務(wù)和擁有的權(quán)限，如授予IP地址，準(zhǔn)許訪問時間等。
計費是，網(wǎng)絡(luò)系統(tǒng)收集、記錄用戶對網(wǎng)絡(luò)資源的使用信息，以便向用戶收取資源使用費。以互聯(lián)網(wǎng)業(yè)務(wù)提供商ISP為例，用戶的網(wǎng)絡(luò)接入使用情況可以按流量或者時間準(zhǔn)確地記錄下來。
認(rèn) 證、授權(quán)和計費一起實現(xiàn)了網(wǎng)絡(luò)系統(tǒng)對特定用戶的網(wǎng)絡(luò)資源使用情況的準(zhǔn)確記錄。這樣既在一定程度上有效地保障了合法用戶的權(quán)益，又能有效地保障網(wǎng)絡(luò)系統(tǒng)安全可靠地運行。
CDMA網(wǎng)絡(luò)側(cè)的AAA認(rèn)證過程是對用戶的域名進行鑒權(quán)認(rèn)證，網(wǎng)中數(shù)據(jù)網(wǎng)的用戶（VPDN成員）是以
username@xxx.133vpdn.bj形式登錄的（用戶在聯(lián)通登記入網(wǎng)時，北京聯(lián)通分配其一個域名xxx.133vpdn.ln）。CDMA網(wǎng)絡(luò)側(cè)的AAA服務(wù)器對登錄用戶的域名和該用戶的IMSI進行綁定審核驗證。驗證通過后，方可接入聯(lián)通CDMA網(wǎng)絡(luò)。
移動通信從電路交換，發(fā)展到CDMA 1X分組網(wǎng)絡(luò)，再到第三代移動通信網(wǎng)絡(luò)，用于認(rèn)證、授權(quán)和計費的協(xié)議也在隨之演進，從基于7號信令的協(xié)議，到部分采用RADIUS，再發(fā)展到Diameter，這主要是由越來越豐富的業(yè)務(wù)決定的。Diameter協(xié)議由IETF的AAA工作組在2002年3月提出的認(rèn)證計費協(xié)議草案。Diameter協(xié)議支持移動IP、NAS請求和移動代理的認(rèn)證、授權(quán)和計費工作。協(xié)議的實現(xiàn)和RADIUS類似，也是采用Attribute-Length-Value三元組來實現(xiàn)，但是其中詳細(xì)規(guī)定了錯誤處理等內(nèi)容。它在設(shè)計過程中，不僅保持了與廣為使用的RADIUS協(xié)議的兼容，更克服了RADIUS協(xié)議的許多不足，而且它不僅僅被互聯(lián)網(wǎng)采用，更被下一代移動通信網(wǎng)（3G）采用。在第三代移動網(wǎng)絡(luò)和業(yè)務(wù)開展初期，為了和已有的設(shè)備和傳統(tǒng)業(yè)務(wù)互通，需要采用Diameter與RADIUS之間的協(xié)議轉(zhuǎn)換器，但是最終還是統(tǒng)一使用AAA Diameter協(xié)議。
（3）第三級安全保證：CDMA網(wǎng)絡(luò)和用戶網(wǎng)絡(luò)之間的VPN鏈接
CDMA網(wǎng)絡(luò)和用戶網(wǎng)絡(luò)之間可以采用專線鏈接，也可以使用Internet鏈接。使用Internet鏈接必須考慮安全性，因此，可以使用VPN將二者利用Internet鏈接起來。
VPN技術(shù)非常復(fù)雜，涉及到通信技術(shù)、密碼技術(shù)和現(xiàn)代認(rèn)證技術(shù)。主要包含兩種技術(shù)：隧道技術(shù)與安全技術(shù)。
隧道技術(shù)的基本過程是在源局域網(wǎng)與公網(wǎng)接口處將數(shù)據(jù)封裝在一種可以在公網(wǎng)上傳輸?shù)臄?shù)據(jù)格式中，在目的局域網(wǎng)與公網(wǎng)的接口處將數(shù)據(jù)解封裝，被封裝的數(shù)據(jù)包在互聯(lián)網(wǎng)上傳播時的所經(jīng)過的路徑被稱為“隧道”。常用的隧道協(xié)議有：1．點到點隧道協(xié)議—PPTP（現(xiàn)已基本淘汰）； 2．第二層隧道協(xié)議—L2TP，該協(xié)議是國際標(biāo)準(zhǔn)隧道協(xié)議，具有PPTP協(xié)議以及第二層轉(zhuǎn)發(fā)協(xié)議（L2F）的優(yōu)點，可以使PPP包以隧道方式通過各種網(wǎng)絡(luò)，包括ATM、SONET、幀中繼。但沒有任何加密措施；3．IPSec協(xié)議，該協(xié)議是一個范圍廣泛、開放的VPN安全協(xié)議，工作在網(wǎng)絡(luò)層。它提供所有在網(wǎng)絡(luò)層上的數(shù)據(jù)保護和透明的安全通信�？梢栽趦煞N模式下運行：一種是隧道模式，一種是傳輸模式。在隧道模式下IPSec把IPv4數(shù)據(jù)包封裝在安全的IP幀中；傳輸模式是為了保護端到端的安全性，不會隱藏路由信息。目前一種趨勢是將L2TP和IPSec結(jié)合起來：用L2TP作為隧道協(xié)議，用IPSec協(xié)議保護數(shù)據(jù)。市場上大部分VPN采用這類技術(shù)。 4．SOCKS v5協(xié)議，SOCKS v5工作在OSI模型中的第五層——會話層，可作為建立高度安全的VPN的基礎(chǔ)。SOCKS v5協(xié)議的優(yōu)勢在訪問控制，因此適用于安全性較高的VPN，SOCKS v5現(xiàn)在被IETF建議作為VPN的標(biāo)準(zhǔn)。
VPN是在不安全的Internet上傳輸?shù)�，傳輸�?nèi)容可能涉及到企業(yè)的機密數(shù)據(jù)，因此安全性非常重要。VPN中的安全技術(shù)通常由加密、認(rèn)證及密鑰交換與管理組成。主要有認(rèn)證技術(shù)，加密技術(shù)，秘鑰管理與交換技術(shù)。
（4）第四級安全保證：用戶網(wǎng)絡(luò)側(cè)的安全防火墻（FW）
防火墻技術(shù)是目前用來實現(xiàn)網(wǎng)絡(luò)安全措施的一種主要手段，主要是用來拒絕非法用戶的訪問，阻止非法用戶存取敏感數(shù)據(jù)，同時允許合法用戶順利訪問網(wǎng)絡(luò)資源。防火墻實際上是一種訪問控制技術(shù)，在某個機構(gòu)的內(nèi)部網(wǎng)絡(luò)和不安全網(wǎng)絡(luò)之間設(shè)置障礙，阻止對信息資源的非法訪問，也可以使用防火墻阻止保密信息從受保護網(wǎng)絡(luò)上的非法輸出。
實現(xiàn)防火墻的主要技術(shù)有：數(shù)據(jù)包過濾，應(yīng)用網(wǎng)關(guān)和代理服務(wù)等。包過濾（Packet Filter）技術(shù)是在網(wǎng)絡(luò)層中對數(shù)據(jù)包實施有選擇的通過。依據(jù)系統(tǒng)內(nèi)事先設(shè)定的過濾邏輯，檢查數(shù)據(jù)流中每個數(shù)據(jù)包后，根據(jù)數(shù)據(jù)包的源地址、目的地址、TCP/UDP源端口號、TCP/UDP目的端口號及數(shù)據(jù)包頭中的各種標(biāo)志位等因素來確定是否允許數(shù)據(jù)包通過，其核心是安全策略即過濾算法的設(shè)計。應(yīng)用網(wǎng)關(guān)（Application Gateway）技術(shù)是建立在網(wǎng)絡(luò)應(yīng)用層上的協(xié)議過濾，它針對特別的網(wǎng)絡(luò)應(yīng)用服務(wù)協(xié)議即數(shù)據(jù)過濾協(xié)議，并且能夠?qū)?shù)據(jù)包分析并形成相關(guān)的報告。應(yīng)用網(wǎng)關(guān)可以嚴(yán)格控制某些易于登錄和控制的所有的輸出輸入通信環(huán)境，以防有價值的程序和數(shù)據(jù)被竊取。它的另一個功能是對通過的信息進行記錄，如什么樣的用戶在什么時間連接了什么站點。在實際工作中，應(yīng)用網(wǎng)關(guān)一般使用專用工作站系統(tǒng)。代理服務(wù)器（Proxy Server）作用在應(yīng)用層，用來提供應(yīng)用層服務(wù)的控制，起到內(nèi)部網(wǎng)絡(luò)向外部網(wǎng)絡(luò)申請服務(wù)時中間轉(zhuǎn)接作用。內(nèi)部網(wǎng)絡(luò)只接受代理提出的服務(wù)請求，拒絕外部網(wǎng)絡(luò)其它節(jié)點的直接請求。
用戶網(wǎng)絡(luò)可以選用適合于本單位的防火墻產(chǎn)品來保證自己網(wǎng)絡(luò)數(shù)據(jù)的安全。
（5）第五級安全保證：用戶網(wǎng)絡(luò)側(cè)的AAA鑒權(quán)認(rèn)證
用戶網(wǎng)絡(luò)側(cè)的AAA鑒權(quán)認(rèn)證可以實現(xiàn)對VPDN成員的身份認(rèn)證。與第二級的安全保證不同，本級的AAA服務(wù)器將鑒別VPDN成員的用戶名和密碼的正確性。
username@xxx.133vpdn.bj中的域名將是中國聯(lián)通公司提供給專網(wǎng)接入用戶的專有統(tǒng)一域名，用戶名（username）可以是VPDN中每個成員的手機號碼或者其它標(biāo)識。VPDN中成員的用戶名和密碼等資料將保存在用戶專網(wǎng)側(cè)的AAA服務(wù)器，具有很好的安全性和管理的靈活性。
2. VPDN系統(tǒng)鏈路及用戶所需接入資源
VPDN系統(tǒng)鏈路示意圖
