3.2网络安全及认证机制
3.3可靠性
图3-13 方案一的示意图
3.2.1大型网元之间
软交换呼叫中心网络中的大型网元主要包括软交换呼叫中心、中继网关、媒体服务器、信令网关和大型用户接入网关等设备，这类设备一般放置于局端，具有固定的IP地址。
在传统电话网中，局端设备之间使用固定的传输链路连接，相互之间可信任，不需要使用任何认证机制。在软交换呼叫中心网络中，由于使用了开放的IP网络作为承载，依靠物理链路来鉴别网元的机制被打破，即使是两个放置在局端的设备之间也必须考虑相互间的识别和信任问题。当物理链路不再可靠时，大型软交换呼叫中心网元之间将通过对更高层消息的识别来进行合法性的判断，其中最常用的是依据IP地址判断对端和对应用层消息进行鉴权验证。
1.依据IP地址判断对端合法性
由于大型网元具有固定的IP地址，而且通信对端数量有限，因此可以将通信对端的IP地址预先在设备中设置，核对IP地址就可以识别出对端网元。图3-7是软交换呼叫中心依据IP地址判断网关合法性的示意。
图3-7 依据IP地址判断网关合法性
依据IP地址判断对端合法性简单易实现，惟一的风险是IP地址仿冒攻击。IP地址仿冒攻击是攻击方仿冒设备的IP地址，向对端设备下达非法的命令或者发送消息。这种仿冒IP地址的消息通常不能形成一个完整的通信过程，根据数据网络的路由策略，对进行IP地址仿冒消息的应答不会发送到仿冒的攻击方，除非攻击方和被攻击设备在同一子网，即攻击方也在局方机房内。
2,应用层消息鉴权验证
在H.248和MGCP规范中提供了网关（MG）向网关控制设备（MGC）进行安全注册的一种手段，其中定义的网关可以是MGCP或H.248话机（这种设备通常称作硬终端）、综合接入设备（IAD）、用户接入网关（AG）、中继网关（TG）等。
这种方式更适合于采用动态IP地址的设备，如硬终端、IAD＞放置在用户侧的小容量AG设备等，对于大型网关，如果没有对所有消息进行安全鉴权，通过固定的IP地址进行终端合法性确定和采用安全注册流程效果没有区别，仅对注册消息进行鉴权并没有起到比依据固定IP地址判断合法性更好的作用。而对大型网元间所有消息都进行鉴权验证，对网元的性能有较高的要求，由于网关控制设备软交换呼叫中心面向多个网关，这种性能的影响对软交换呼叫中心更为严重。
3.2.2与IAD/终端的鉴权
综合接入设备IAD携带用户数在几个到几十个之间，通常放置在用户端，既可能采用固定的IP地址，也可能使用动态分配的IP地址。对于使用固定IP地址的IAD，同样可以采用根据IP地址判断终端合法性的方法，而对于采用动态IP地址的IAD，对应用层消息进行鉴权认证是必需的。
目前，可操作性较强的安全措施是对IAD注册进行鉴权并在注册通过后在IAD与软交换呼叫中心之间周期性进行鉴权验证。当前主要有两种注册鉴权方式：
1）由IAD主动发起注册鉴权，鉴权通过后，双方进行密钥交换，同时对软交换的身份进行鉴权，此后软交换通过新的密钥定期对IAD进行鉴权。
2）由软交换来发起鉴权要求，由IAD来响应该要求，发送认证参数供软交换对IAD身份进行验证。
两种注册鉴权方式的详细介绍请参见第3.7节中相关描述。
注册鉴权需要每个IAD终端有惟一的识别码和密钥，软交换呼叫中心和IAD通过识别码进行鉴权，通过密钥进行识别码加密，保证识别码传递的安全性。
识别码可分为设备识别码和终端识别码。设备识别码是指设备在出厂之前由厂家写入的识别码，一般类似于网卡的MAC地址。除了设备识别码，为方便运营，还可以引入终端识别码，终端识别码可以包含运营商定制的用户特性、开户地、校验信息等等内容，使得终端运营更方便、更易管理、安全性更强。终端识别码由运营商写入，IAD支持终端识别码的方式可以有多种，如开户时写入、SIM卡和连接读卡器等等。图3-8是IAD识别码内容的示意,图。
图3-8IAD识别码小意图
为了防止用户对识别码的的恶意盗取、破坏和篡改，IAD需要禁止用户对识别码的读取和修改。识别码和密钥只能由运营商进行读取和修改，用户没有识别码和密钥的写入权限。
3.3可靠性
3.3.1网络可靠性及容灾的概念
电信运营商向用户提供实时性语音业务，网络可靠性是运营商非常关心的一个话题。
目前设备生产厂家一般能够通过板卡级冗余备份保证单一设备的可靠性，在此基础上，各个运营商还会从网络层面保证网络可靠性，从而最大可能地避免单点故障。这部分内容就是我们本章中将要提及的网络容灾方案。
容灾的核心思想是通过某种技术手段避免网络中的控制设备出现单点故障。对用户而言，网络永远处于可用状态，网络核心控制设备的单点故障对用户不可见。
在分析具体技术前，我们首先看一下现有PSTN和软交换呼叫中心网络保证网络可靠性的方法及特点。
3.3.1.1 PSTN的可H性
现有PSTN通过以下方式保证网络可靠性：
√ 现有PSTN中，为了谜免汇接局或长途局出现单点故障，端局跟两个汇接局分别相连，端局话务在这两个汇接或长途局之间动态地分担负荷。
√ 实际上，由于承载和控制没有分离，现有PSTN中并不能够做到端局设备的容灾。当自然灾害发生或其他情况导致端局设备宕机时，此时该端局下的用户将不能够正常呼叫。所以，严格意义来讲，PSTN中仍然存在单点故障。
图3-9和图3-10为PSTN容灾能力示意图。
图3-9 汇接局发生故障 图3-10端局发生故障
3.3.1.2软交换呼叫中心网络的特点
在软交换呼叫中心网络中，为了保证出局或入局呼叫的正常接续，任何一个节点的软交换呼叫中心设备也都会设置主备用路由：
√ 当软交换呼叫中心网络采用分级结构时，网络结构与PSTN的网络架构相同：端扃软交换呼叫中心分别与两个汇接局相连；
√ 软交换呼叫中心网络也可能采用无级网络（此时，路由信息将从软交换设备中剥离出来，统一放置在一个单独物理设备中，我们称为路由服务器）。在无级网络中，网络中任何一个软交换呼叫中心都能够得到其他软交换呼叫中心的地址信息，因此主叫侧软交换将直接向目的地软交换呼叫中心发起呼叫请求。这时候，针对某一号码段主备软交换呼叫中心的信息设置将保留在路由服务器中。
同PSTN一样，在路由级冗余备份的前提下，即使中间某个软交换呼叫中心设备突然故障，软交换呼叫中心网络也能够保证网络中任何一个软交换呼叫中心完成出局或入局呼叫。
另外，软交换呼叫中心网络的最大优点在于：软交换呼叫中心网络采用分层架构，将原来统一内置在一个物理实体中的媒体处理模块和信令处理模块独立开来。媒体处理模块在软交换呼叫中心网络中称为媒体网关设备（MG）,而信令处理模块则称为软交换呼叫中心设备（软交换呼叫中心）。因此，在分层基础上，软交换呼叫中心网络可以具备以下能力：当某一软交换呼叫中心设备宕机时，其下控制的媒体网关设备（SIP设备、IAD设备、AG设备、TG设备）.可以通过某种策略向另外一个软交换呼叫中心设备注册，从而最大程度地减少由于网络问题而对用户的影响。
相比PSTN,软交换呼叫中心网络的最大优势在于能够解决某一端局（带有媒体设备的软交换呼叫中心设备）软交换呼叫中心设备发生宕机的情况下，其下用户的呼叫不受影响，如图3-11所示。
图3-11端局和汇接局都出现故障
总结一下软交换呼叫中心网络中的容灾需求，实际上可包含以下内容：
1）软交换呼叫中心设备间的信令路由备份。
2）网关设备（SIP用户、IAD、AG用户、TG用户）在不同软交换呼叫中心设备间的容灾。
第1)点需求属于网络路由层面冗余备份的考虑，只需在软交换呼叫中心设备上作主备用路由数据（或在路由服务器设备中设置）。即对网络中任何一个软交换设备，至某一号码段的呼叫，都存在两条不同的路由，指向不同的软交换设备（两个路由关系为主备关系）。
我们需要解决的仅仅是第2）点需求：当某一软交换呼叫中心设备出现故障时，该软交换呼叫中心设备下的网关设备（SIP用户、IAD、AG用户、TG用户）如何容灾的问题。形式上主要包括：
1）带TG用户的软交换呼叫中心设备；
2）带AG用户的软交换呼叫中心设备；
3）带SIP用户的软交换呼叫中心设备；
4）带IAD用户的软交换呼叫中心设备。
注：由于SIP和IAD用户属于不可信任实体，为了保证核心软交换设备的安全，一般情况下,会在软交换设备与SIP用户及IAD设备之间设备BAC（BonierAccessController）设备,软交换设备的地址对终端设备不可见。
3.3.2 容灾实现的方法
容灾需求并不是软交换呼叫中心网络所特有的现象，目前业界主要有三种方式实现网络容灾：
1、1+1备份方案
可分为主备双机备份和双归属方案。
在主备双机备份方案中，主、备双机中的内容或数据完全一致，正常情况下，主用交换机的资源将会100%被占用，而备用交换机则一直处于standby状态，只有当主用交换机出现故障的情况下，备用交换机才启用。主、备双机的实现方法比较简单，这里不做过多介绍。
双归属方案将在第3.3.3节进行介绍。
2、循环备份方案
假定网络中有三个软交换呼叫中心设备（分别为设备A、B、C）,当采用循环备份方案时：B备份A,C备份B,A备份C。这种通过互相嵌套方式达到容灾效果的容灾方案实现起来比较复杂，另一方面每个设备的利用率也只有50%,与双归属方案中交换机的利用率相同，目前一般不采用该方式。
3、N+1方案（建立统一容灾中心）
N+1方案是在网络中建立统一容灾中心，是双归属方案的一种特例。
3.3.3双归属方案
图3-12 双归属实现思路
双归属是从网络角度解决软交换网络的安全性，其核心思想是：当网络中某一台软交换发生故障时，保证该软交换呼叫中心对应的业务能在短时间内由其双归属软交换呼叫中心接管，使得业务能在短期内得到恢复。
在进行具有双归属功能的软交换呼叫中心设备组网时，系统中配置有两个软交换呼叫中心设备，分别为软交换设备1、软交换呼叫中心设备2。正常情况下，每个软交换呼叫中心只控制自己的用户（包括AG、IAD、TG、SIP用户等），当其中一个软交换产生故障时，另外一个软交换呼叫中心将接管发生故障软交换所控制的用户。
因此当实现双归属时，每个软交换中都可提供50%的主用数据和50%的备用数据。其中主用数据为本软交换呼叫中心的用户，备用数据为归属软交换呼叫中心的用户数据。正常情况下，每个软交换只有50%的资源在运作，当异常发生时，由于需要接管对端软交换（归属软交换）的用户，另外备用的50%资源也将启用。
双归属方案可以包括两种动作：
√ 当故障发生时，发生故障的软交换呼叫中心下的用户注册到归属软交换呼叫中心，该过程称为切换过程；
√ 当发生故障的软交换恢复正常时，其所属用户需要切回到本软交换呼叫中心，该过程称为切回过程。
以上讲到的仅仅是双归属的实现理念，具体到实际时，可细化成不同的方案。
3.3.3.1 方案一：网关启动切换行为，但软交换具备一定的判断机制
图3-13 方案一的示意图
方案一中存在三类心跳信息：
1）双归属心跳：通过该心跳判断是否需要启动双归属行为，存在于双归属软交换之间，可采用SIP的OPTIONS消息。
2）软交换呼叫中心间的路由心跳：该心跳作为软交换间的路由选路判断依据，存在于非双归属软交换之间。当心跳出现异常时，网络中任何一个软交换设备将针对该软交换呼叫中心用户的选路启动第二路由。该信息存在于网络中任何有直达路由的软交换之间（假定没有路由服务器存在的情况下），采用SIP的OPTIONS消息。软交换呼叫中心间的路由心跳行为可参照本书3.1.1.6部分。
3）网关与软交换之间的心跳：网关设备通过该信息确认软交换设备是否处于存活状态：
√ 对基于H.248或MGCP的网关或终端设备，采用Notify消息。
√ 对基于H.248或MGCP的网关或终端设备，采用Notify消息。
在H.248或MGCP中，对心跳行为有如下描述：网关周期性地向软交换设备发送心跳消息（Notify消息），心跳周期由运营商根据实际情况进行决定。同SIP-样，网关将利用事务请求的重传机制依靠预定时间超时来判定软交换呼叫中心设备是否发生故障。
√ 对BAC设备。通过SIP的OPTIONS消息确认当前软交换呼叫中心设备的存活状态。
当软交换呼叫中心设备1下的用户（TGI、AG1、SIP1、IAD1）发现到软交换呼叫中心设备1的心跳行为出现异常时，网关设备将会向软交换呼叫中心设备2发起注册行为。
在当前IP网络承载的前提下，如果网关设备（TG、AG、SIP、IAD等）与软交换呼叫中心间的心跳行为出现异常，那么软交换呼叫中心设备本身可能有两种状态：一是软交换呼叫中心宕机，另外一种是软交换呼叫中心设备本身是正常的，仅仅是承载网络出现故障。
方案一认为容灾仅应当解决第一种情况，对承载网络瞬断造成的影响，需要底层承载层去解决，不应当归到应用层面的考虑范畴。
在方案一中，软交换呼叫中心间的双归属心跳很重要，如果软交换呼叫中心间的双归属心跳正常，即使有对端软交换呼叫中心下的网关设备向自己发起注册请求（例如，软交换呼叫中心2接收到软交换呼叫中心1下网关的注册），该软交换呼叫中心设备也会拒绝注册请求。
该方案不会出现部分网关切换的现象，简而言之，软交换呼叫中心1下的用户或者全部切换到归属软交换呼叫中心（软交换呼叫中心2）,或者不能够切换到归属软交换呼叫中心（软交换呼叫中心2）。
1,正常情况
以软交换呼叫中心1下用户的呼叫接续为例，正常情况的呼叫流程如图3-14所示。
图3-14正常情况的呼叫流程
（1）对中继网关1下PSTN用户的出局呼叫当软交换下的用户为PSTN用户时，由于牵扯到SS7信令，因此信令网关也需要有特殊行为。在信令网关的数据设置中，针对DPC1（软交换呼叫中心1的信令点编码），信令网关将建立两条链路分别指向软交换1、软交换2。只不过到软交换1的M3UA链路状态为主用（激活），到软交换2的M3UA链路状态为备用（inactive）。
对中继网关1下用户的出局呼叫（指的是需要软交换参与处理的呼叫），信令网关都将通过送往软交换1进行处理。
（2）对AG1用户的出局呼叫无论出局还是入局呼叫，都将通过软交换1完成。
（3）对BAC设备下的SIP、IAD用户无论出局还是入局呼叫，都将通过软交换1完成。
（4）对其他软交换呼叫中心涉及到的入局呼叫当其他软交换（例如SS3）呼叫软交换1下的用户时，通过软交换间的路由心跳或路由服务器的查询信息确认软交换1当前状态正常，呼叫将送往软交换1进行处理。
2.切换过程（夏生双归属，软交换呼叫中心1发生故障）
当切换发生时，必然出现以下情况：软交换之间的（双归属）心跳异常、软交换与网关之间的心跳异常。
当软交换呼叫中心2发现与软交换呼叫中心1的心跳行为出现异常时，软交换呼叫中心2将认为软交换呼叫中心1出现故障,软交换呼叫中心2将有以下几个行为：
√ 软交换2把软交换1下网关（TG1、AG1、SIPKIAD1）数据激活，准备随时接收网关的注册行为。
√ 软交换2把与信令网关的M3UA链路激活（到DPC1的链路）。这样从PSTN侧发起的到DPC1的呼叫，信令网关将会路由到软交换2,由软交换2进行处理。
切换完成后，呼叫接续过程如下：
1）对中继网关1下PSTN用户的出局呼叫，信令网关将呼叫送往软交换2,由软交换2进行呼叫处理。
2）软交换2负责处理AG1、SIP1、IAD1等用户的出局呼叫。
3）对亍其他软交换呼叫中心的入局呼叫，例如软交换3的呼叫。软交换3通过SIP消息的OPTIONS消息检测到软交换1不可达后，启动第二路由，把到软交换1下用户的呼叫路由到软交换2（无级网络情况下，第二路由的启动工作由路由服务器决定）。
3.切回过程
当软交换1与软交换呼叫中心2间的双归属心跳恢复正常时，表明软交换1已经从故障状态恢复。各网元设备将进行以下动作：
√ 软交换2把到DPC1的链路置成备用（inactive）态。
√ 软交换2把TGI、SIP1、IAD1、BAC的数据置成inactive,表明不再为软交换1下的用户服务。
√ 对软交换1,将重新建立并激活到信令网关的链路（到DPC1）,随时准备接受TG1的注册。
√ 由于软交换2不再为TGI、SIP1、IAD1等用户服务，经过多次交互后，这些用户将向软交换1进行注册。
这时候对TG1、SIP1、IAD1下的用户选路将重新由软交换呼叫中心1进行控制。
3.3.3.2方案一的特点
方案一主要有以下特点：
1）由于不允许网关部分切换现象的发生，无论是对信令网关的要求还是信令路由的处理都十分简单。但如果仅仅是网关与软交换呼叫中心间的承载出现问题时（软交换呼叫中心之间的承载正常），该网关下的用户将不能正常呼叫，产生呼损。
2）当软交换呼叫中心间的双归属心跳恢复正常时，将启动切回过程。切回过程发生前，备份软交换呼叫中心已经承担了话务，运营上需要一种手段来控制切回过程的发生。从纯技术的角度，一旦备份软交换呼叫中心判断主用软交换呼叫中心恢复正常，将启动切回过程。为了迎合运营上的需求，我们应当控制恢复正常的软交换呼叫中心投入正常工作的时间（例如，一般情况下我们可能要求在话务量较少的凌晨时候实现切回。那么，即使发生故障的软交换呼叫中心恢复正常，我们也需要控制只有在凌晨的时候才要求该软交换呼叫中心投入工作，向其他软交换呼叫中心设备发送路由心跳信息）。在控制点的选择上，一般通过控制软交换呼叫中心2来实现手动切回；但在方案一中只能控制软交换呼叫中心1来实现手动切回。
3.3.3.3方案二：网关设备启动切换过程，软交换呼叫中心不进行判断
在方案二中，软交换呼叫中心设备并没有判断机制，即软交换呼叫中心设备间并没有双归属心跳，一旦发现有对端软交换呼叫中心设备下的网关注册请求，该软交换呼叫中心都将接收。
因此，在方案二中可能出现部分网关分布的现象，如图3-15所示。
图3-15网关部分切换现象
网关1-1和网关1-2原本属于软交换呼叫中心1控制的网关设备，当网关1-1发现与软交换呼叫中心1之间的心跳出现异常时，网关1-1将注册到软交换呼叫中心2,而网关1-2仍然由软交换呼叫中心1控制。
3.3.3.4方案二的特点
同方案一相比，方案二主要有以下特点：
1）软交换之间没有双归属心跳。一旦有（对端软交换呼叫中心下的）网关发起注册，软交换将接收。
2）会出现部分网关切换现象。
3）为了解决部分网关切换可能导致的选路混乱情况（正如图3-15所示，原本属于软交换1下的用户，在软交换1本身状态正常的情况下，可能分布在不同软交换设备下。由于软交换1与其他软交换的路由心跳正常，因此软交换3仍然会将呼叫送往软交换1）,双归属软交换之间需要存在数据同步行为。当本属于软交换1下的用户（例如SIP1、AG1、IAD1）注册到软交换2时，软交换2需要将该信息报告给软交换1。这样当软交换3对SIP1、AG1、IAD1的呼叫接续到软交换1时，软交换1会把当前注册在软交换2下的用户涉及到的呼叫转发到软交换2,由软交换2进行处理。
4）理论上，在方案二情况下，不会造成任何呼损（方案一中，如果仅仅是网关与软交换间的承载出现问题，则该部分网关的用户将出现呼损）。但为了达到这个目的，每个中继网关（与软交换呼叫中心结合）都需要单独分配一个信令点编码。
5）切回过程完全可以由人工进行控制。
3.3.3.5评价
从实现的角度，方案一比较简单，但可能出现呼损情况。方案二虽然不会出现呼损情况，但实现比较复杂。
方案一与方案二的区别在于：在软交换间的双归属心跳正常的情况下，当网关1到软交换1的承载出现故障时，方案一中的软交换2将不接受网关1的注册，而方案二则允许。实际上，运营商在布放网络时，如果软交换1与软交换2都布放在同一级别的核心网，当网关1到软交换1的通信异常时，一方面可能是软交换1设备本身故障，另一方面则是网关1到核心网络的路由出现了问题。对第一种情况，无论方案一还是方案二都能够解决；对第二种情况，方案一和方案二都不能解决。
因此，在一些管理手段干预或不同布放原则的影响下，方案二的优势未必能够表现出来,反而会增加整个方案的复杂度。
3.3.4N+1方案
N+1方案的主要思想是在网络中建立统一容灾中心，N+1方案的主要实现方法将在本书4.5节进行介绍。
