一、需求分析
某省會城市社會保障局是社會保險的業務管理單位，所轄區域九區十二縣范圍內共有近20000多家藥店和醫院。隨著國家積極推進保險社會化，在全國范圍內實行大社保計劃的改革措施，目前該省會城市社會保障局所轄區域內的藥店和醫院都已開展了社?？ㄋ⒖ㄙ徦帢I務，所有參加社保的人員只要使用社保局統一發給的社?？纯稍诟魉幍旰歪t院購藥，極大地方便了參保群眾。
隨著刷卡業務的開展和普及，大量的中小型藥店也納入了社?？ㄋ⒖ㄙ徦帢I務系統，特別是農村社會保障體系的建立，社?？ㄋ⒖ㄙ徦帢I務將向農村地區延伸。在“大社保”的背景和要求下，傳統的有線或微波通訊因為高昂的通訊費用難以被中小型藥店接受，同時廣大農村地區也是有線和微波難以完全覆蓋的。
為解決這些矛盾，社會保障局選擇了費用低廉、傳輸速率高、城鄉地區覆蓋好的CDMA1X無線數據通信方式作為通訊模式的補充。藥店和醫院的刷卡設備通過CDMA無線通訊網絡與社保中心的主機保持實時連接，刷卡設備將獲得的持卡人信息通過CDMA無線通訊網絡傳給社保中心主機，社保中心主機對信息進行處理，并將處理后的信息通過CDMA無線通訊網絡返回，完成實時交易。
二、CDMA VPDN社?？▽崟r交易系統應用方案
2.1 CDMA1X無線通訊的特點
1、CDMA1X用戶可隨意分布和移動自己的網點，無需擔心線路的維護或有線在移機時導致的通訊中斷。建設新點無需進行拉線、埋線等工作，設備安裝方便。
2、CDMA1X資費便宜，計費合理，使用成本低。
3、CDMA1X能最好地支持頻繁的、少量突發型數據業務，通信質量穩定可靠。
4、CDMA1X網絡接入速度快，提供了與現有數據網的無縫連接。
5、覆蓋較好。
2.2 方案描述
CDMA社?？▽崟r交易系統結構如下圖所示：
1、數據中心
社保信息中心通過光纖直接和聯通中心機房的CDMA1X 網絡連接，中心的數據吞吐率大，數據安全保密性強。同時遠程點和中心點均處于同一網段IP 地址，通信雙方處于對等位置，便于多種業務的開展。
2、遠程網點
遠程網點采用RW2000-C CDMA路由器，各藥店電腦通過 RJ45 接口與RW2000-C相連，刷卡信息由RW2000-C CDMA 路由器對數據進行處理、協議封裝后發送到 CDMA VPDN網絡。網絡對用戶的接入地點、時間、數量沒有限制，可以隨時增減?？梢詽M足鄉鎮藥店、醫院和跨地區接入的需求。
3、安全措施
本系統涉及資金交易需要極高的系統安全保障和穩定性。安全保障主要是防止來自系統內外的有意和無意的破環，網絡安全防護措施包括信道加密、信源加密、登錄防護、訪問防護、接入防護、防火墻等。穩定是指系統能夠 7 × 24 小時不間斷運行，即使出現硬件和軟件故障，系統也不能中斷運行。數據中心可通過到中國聯通 CDMA VPDN 接入，采用 VPDN 方式成本比較低，安全性比較高，可充分保障速度和網絡服務質量。我們的解決方案提供 5 級業務安全保障，從而充分保證網絡中數據的安全。
（1）第一級安全保證： CDMA 網絡本身的安全性
CDMA 本來就是起源軍事保密技術，在戰爭期間廣泛應用于軍事領域，具有抗干擾、安全通信、保密性好的特性。進行移動手機信號的竊聽一般使用以下三種方法。首先，需要捕捉到通信信號。在空間中充滿了各種各樣的無線電波，用戶手機信號就混雜在其中。要想竊聽某一個用戶的通話，首先必須捕捉到這個用戶手機發出的特定的電磁波。由于 CDMA 系統采用擴頻技術，經過擴頻以后的有用信號的頻譜被大大地展寬了，用戶信號隱蔽在互不相關的信號中，要想捕捉到這一有用信號非常困難。因此，竊聽器捕捉不到，也無法識別出哪些是 CDMA 手機用戶的通信信號，哪些是噪音。其次，竊聽器必須鎖定手機用戶通信的信號，繼而才能分析和破 解信息。而 CDMA 采用快速切換功率控制技術，即便是竊聽設備捕捉到了用戶手機信號，也不能鎖定快速功率切換下的有用信號，因此，快速功率切換讓 CDMA 信號很難鎖定。第三，需要破 解用戶信息編碼。而 CDMA 采用偽隨機碼技術，用長達 42 位的偽隨機碼來標識區分用戶，每次通話都有 4.4 萬億種可能的排列，竊聽器很難破譯出 CDMA 的編碼。所以 CDMA 技術本身就很安全。
（2）第二級安全保證： CDMA 網絡側的 AAA 認證
AAA 是指認證（ Authentication ）、授權（ Authorization ）、計費（ Accounting ）三個過程，其中：
認證是，用戶在使用網絡系統中的資源時對用戶身份的確認。這一過程，通過與用戶的交互獲得身份信息（像用戶名－口令、生物特征信息等），然后提交給認證服務器；認證服務器對身份信息與存儲在數據庫里的用戶信息進行核對處理，然后根據處理結果確認用戶身份是否正確。
授權是，網絡系統授權用戶以特定的權限使用其資源，這一過程指定了被認證的用戶在接入網絡后能夠使用的業務和擁有的權限，如授予 IP 地址，準許訪問時間等。
計費是，網絡系統收集、記錄用戶對網絡資源的使用信息，以便向用戶收取資源使用費。以互聯網業務提供商 ISP 為例，用戶的網絡接入使用情況可以按流量或者時間準確地記錄下來。
認證、授權和計費一起實現了網絡系統對特定用戶的網絡資源使用情況的準確記錄。這樣既在一定程度上有效地保障了合法用戶的權益，又能有效地保障網絡系統安全可*地運行。
CDMA 網絡側的 AAA 認證過程是對用戶的域名進行鑒權認證，網中數據網的用戶（ VPDN 成員）是以 username@xxx.133vpdn.qd 形式登錄的（用戶在聯通登記入網時，聯通分配其一個域名 xxx.133vpdn.qd ）。 CDMA 網絡側的 AAA 服務器對登錄用戶的域名和該用戶的 IMSI 進行綁定審核驗證。驗證通過后，方可接入聯通 CDMA 網絡。
（3）第三級安全保證： CDMA 網絡和用戶網絡之間的 VPN 鏈接
第二層隧道協議— L2TP ，該協議是國際CDMA 網絡和用戶網絡之間可以采用專線鏈接，也可以使用 Internet 鏈接。使用 Internet 鏈接必須考慮安全性，因此，可以使用 VPN 將二者利用 Internet 鏈接起來。
VPN 技術非常復雜，涉及到通信技術、密碼技術和現代認證技術。主要包含兩種技術：隧道技術與安全技術。
隧道技術的基本過程是在源局域網與公網接口處將數據封裝在一種可以在公網上傳輸的數據格式中，在目的局域網與公網的接口處將數據解封裝，被封裝的數據包在互聯網上傳播時的所經過的路徑被稱為“隧道”。常用的隧道協議有：
點到點隧道協議— PPTP （現已基本淘汰）；
標準隧道協議，具有 PPTP 協議以及第二層轉發協議（ L 2F ）的優點，可以使 PPP 包以隧道方式通過各種網絡，包括 ATM 、 SONET 、幀中繼。但沒有任何加密措施；
IPSec 協議，該協議是一個范圍廣泛、開放的 VPN 安全協議，工作在網絡層。它提供所有在網絡層上的數據保護和透明的安全通信?？梢栽趦煞N模式下運行：一種是隧道模式，一種是傳輸模式。在隧道模式下 IPSec 把 IPv4 數據包封裝在安全的 IP 幀中；傳輸模式是為了保護端到端的安全性，不會隱藏路由信息。 目前一種趨勢是將 L2TP 和 IPSec 結合起來：用 L2TP 作為隧道協議，用 IPSec 協議保護數據。市場上大部分 VPN 采用這類技術。
SOCKS v5 協議， SOCKS v5 工作在 OSI 模型中的第五層——會話層，可作為建立高度安全的 VPN 的基礎。 SOCKS v5 協議的優勢在訪問控制，因此適用于安全性較高的 VPN ， SOCKS v5 現在被 IETF 建議作為 VPN 的標準。
VPN 是在不安全的 Internet 上傳輸的，傳輸內容可能涉及到企業的機密數據，因此安全性非常重要。 VPN 中的安全技術通常由加密、認證及密鑰交換與管理組成。主要有認證技術，加密技術，秘鑰管理與交換技術。
（4）第四級安全保證：用戶網絡側的安全防火墻
防火墻技術是目前用來實現網絡安全措施的一種主要手段，主要是用來拒絕非法用戶的訪問，阻止非法用戶存取敏感數據，同時允許合法用戶順利訪問網絡資源。防火墻實際上是一種訪問控制技術，在某個機構的內部網絡和不安全網絡之間設置障礙，阻止對信息資源的非法訪問，也可以使用防火墻阻止保密信息從受保護網絡上的非法輸出。
實現防火墻的主要技術有：數據包過濾，應用網關和代理服務等。包過濾（ Packet Filter ）技術是在網絡層中對數據包實施有選擇的通過。依據系統內事先設定的過濾邏輯，檢查數據流中每個數據包后，根據數據包的源地址、目的地址、 TCP/UDP 源端口號、 TCP/UDP 目的端口號及數據包頭中的各種標志位等因素來確定是否允許數據包通過，其核心是安全策略即過濾算法的設計。應用網關（ Application Gateway ）技術是建立在網絡應用層上的協議過濾，它針對特別的網絡應用服務協議即數據過濾協議，并且能夠對數據包分析并形成相關的報告。應用網關可以嚴格控制某些易于登錄和控制的所有的輸出輸入通信環境，以防有價值的程序和數據被竊取。它的另一個功能是對通過的信息進行記錄，如什么樣的用戶在什么時間連接了什么站點。在實際工作中，應用網關一般使用專用工作站系統。代理服務器（ Proxy Server ）作用在應用層，用來提供應用層服務的控制，起到內部網絡向外部網絡申請服務時中間轉接作用。內部網絡只接受代理提出的服務請求，拒絕外部網絡其它節點的直接請求。用戶網絡可<
