量子通信城域网设备部署及应用的研究

2020-02-20张鹏飞

通信电源技术 2020年1期

关键词：城域网交换机密钥

高峰，张鹏飞，刘念

（中通服咨询设计研究院有限公司，江苏南京 210000）

1 量子城域网的架构

1.1 总体架构

量子通信城域网总体架构可分为量子城域网核心汇聚层和量子城域网接入层两层，如图1所示。

核心汇聚层主要由集控站和汇聚站组成。集控站主要负责连接骨干网，负责对城域网内部控制层业务的汇接；汇聚站主要负责用户业务的汇聚及转发。核心汇聚层宜采用环形结构，提供路由安全性保障。

城域网接入层由用户侧设备构成，为用户提供加/解密密钥业务。用户端采用光纤用于量子信道、经典信道和业务信道。对于特别重要用户，可采用双上联方式接入，避免单点设备故障引起的业务中断。

1.2 系统逻辑架构

量子通信城域网系统逻辑架构可分为三层两面，即量子密钥分发层、量子网络调度层、量子密钥应用层和管理运维面、安全防护面[1]，如图2所示。其中：量子密钥分发层负责产生、发送和接收量子密钥；量子网络调度层负责密钥的分发管理；量子密钥应用层负责连接用户应用，并通过控制层分发的密钥对数据进行加密，完成应用数据的安全加密传输；安全防护面从广度和深度方面进行全方位、多层次考虑，通过量子密钥分发层、量子网络调度层以及量子密钥应用层等确保系统的安全；管理运维面包含网络监控、运维支持以及服务技术支撑等方面，支持硬件更换、系统升级服务和线上配置规范等。

图1 量子通信城域网整体架构

图2 量子通信城域网逻辑架构

2 量子城域网的设备部署方案

量子城域网的设备部署分为量子系统部分和经典系统部分。

2.1 量子系统部分

量子系统主要包括量子密钥分发系统和量子密钥管理系统。

2.1.1 量子密钥分发系统

量子密钥分发系统由量子密钥分发设备、光量子交换机和量子一体机构成，如图3所示。其中：集控站与汇聚站、汇聚站与汇聚站之间，量子密钥分发设备接收端和量子密钥分发设备发送端成对使用；汇聚站的量子密钥分发设备接收端与用户侧量子一体机，通过光量子交换机配对使用。量子密钥分发设备和量子一体机按照带诱骗态的BB84量子密钥分发协议实现两点间的密钥分发。量子密钥分发系统进行量子密钥分发过程所需的数据传输信道，由系统的数据通信子系统提供。

图3 量子密钥分发系统架构

2.1.2 量子密钥管理系统

量子密钥管理系统由量子密钥管理机、密钥管理服务系统和密钥协同管理服务系统构成，实现量子密钥分发控制、量子密钥管理、密钥中继、密钥输出以及光交换控制等功能[2]。密钥管理系统架构如图4所示。

2.2 经典系统部分

经典系统主要包括数据通信系统和安全系统，如图5所示。

2.2.1 数据通信系统

数据通信系统实现量子密钥分发、量子密钥管理以及量子网元管理等各类业务的信息交互，具体情况如表1所示。

依据业务通信需求，量子通信城域网部署用户接入交换机实现户站点QKD、KM业务的接入；部署用户汇聚交换机实现用户站点的业务汇聚；部署业务交换机承载本站点内量子网管业务和量子密钥管理业务，并接入量子网元管理系统和量子密钥管理系统；部署核心业务交换机用于接入核心业务以及其他QKD、KM等业务；部署外网交换机用于路由互联；部署内网交换机用于站点内部QKD和KM设备互联。

2.2.2 安全系统

量子通信城域网依据业务的不同划分3个安全区域，即量子业务域、量子网管域和安全控制域。站内部署了安全边界防火墙，配置相关的安全防护策略，实现各个安全域之间的安全隔离与访问控制。

基于国家《GB/T22239-2019信息安全技术网络安全等级保护基本要求》等保2.0[3]，在城域网网络和安全域边界部署防火墙进行安全防护，部署入侵检测系统（模块）对进入城域网（安全域）的流量进行检测，部署防病毒网关（模块）对进入城域网（安全域）的流量进行病毒查杀。

在城域网内部部署企业版杀毒软件，对服务器和终端设备进行病毒查杀；部署日志审计系统，日志的存储时间满足等保三级要求；部署数据库审计系统，监控数据库的访问，防止对数据库进行非法访问和操作；部署安全管理中心，实现系统管理、审计管理、安全管理和集中管控。