中国联通5G随行组网、无线座机、宽带P基站技术白皮书
一、中国联通5G随行组网、无线座机、宽带P基站技术白皮书
中国联通在 5G 网络技术演进中，针对不同应用场景构建了完整的技术规范和安全架构体系。本部分将系统梳理三大核心业务的技术框架和安全设计理念。
📡 5G随行组网技术架构
中国联通《5G 随行网络增强架构白皮书》提出了创新的 "业务随行" 网络架构，彻底改变了传统以省为单位的 "归属 - 拜访" 网络模型。该架构采用分层分区设计，包含数据存储层、管理控制层和业务路由层三个纵向层次，同时全网按业务需求横向划分为多个逻辑子网。
核心技术特性：
智能分流（ULCL）技术：实现用户不换卡不换号，无感、安全地同时接入内网和互联网
个性化数据管理：支持地区特色业务的一键开通和签约管理
广域业务路由：提供第三方业务注册托管、跨子网会话协同和边缘业务路由能力
分层分区容灾：采用基于区块链的数据存储和惯性运行机制提升可靠性
典型应用场景：
政务随行专网：为 "粤政易" 等移动政务平台提供安全便捷的移动接入
校园随行专网：助力华南理工大学等高校实现公网与校园内网的无缝访问
企业跨域办公：支持大型企业员工在全国任何地点安全接入公司内网
📞 无线座机安全技术框架
无线座机的技术规范和安全标准由国家标准、行业标准及运营商实施要求共同构成，形成多层次安全防护体系。
安全维度分析：
🌐 宽带P基站安全架构设计
宽带 P 基站的安全架构建立在三层安全体系基础上，形成纵深防御机制：
1. 核心安全防护策略
制度与策略安全层：制定网络安全管理规定、措施和技术手段
接入与链路安全层：基于 MAC 地址的接入控制、端口 VLAN 隔离技术
网络与数据安全层：静态 ARP 表 + 访问控制列表（ACL）精细化管理
2. 网络可靠性设计
设备与路径冗余：关键设备采用冗余备份设计，支持动态迂回路由
业务承载保护：伪线（PW）保护机制，主备 PW 配置双向转发检测（BFD）
隧道保护：部署 TE-FRR/HSB 保护，防止链路或节点故障影响业务
3. 物理与环境安全
防雷与接地：基站设施在接闪器保护范围内，共用联合接地系统
抗震加固：设备安装架使用 M8 锚栓加固，符合 GB/T 51369 抗震标准
🔒 统一安全架构理念
中国联通在三大业务领域的安全架构设计体现了统一的纵深防御思想：
可靠性架构共性：
采用从微观到宏观的多级容灾设计
强调业务快速恢复和故障隔离能力
构建弹性网络体系应对单点失效风险
安全技术趋势：
智能化安全演进：引入 NWDAF 网络数据分析功能，增强安全态势感知
内生安全发展：使网络安全能力与网络设备深度融合，具备 "自主免疫力"
零信任架构应用：基于 "磐镝" 系统实现动态访问控制
运维管理统一要求：
部署基于主机和网络的入侵检测系统
实施安全基线检查与加固
建立多级密码体系和应急响应机制
通过这一综合性的安全架构体系，中国联通为 5G 随行组网、无线座机和宽带 P 基站业务提供了从技术到管理、从物理到逻辑的全面安全保障，为各类应用场景的稳定运行奠定了坚实基础。
二、核心网安全配置与代码实现
🏗️ 核心网基础安全架构
中国联通 5G 核心网采用分层分区架构设计，针对不同业务场景构建差异化的安全防护体系。核心网安全配置围绕网络功能虚拟化安全、数据平面保护、控制面信令安全三大维度展开。
区块链容灾架构：在 5G 随行组网场景中，核心网采用区块链技术实现用户签约数据的分布式存储，防止单点数据篡改风险。当控制面失联时，UPF 可基于缓存策略进行惯性运行，确保用户会话不中断。
多级容灾机制：无线座机业务沿用 5G SA 核心网架构，支持 VoNR/VoLTE 语音业务，核心网侧配置网元内、网元间、网络级三级容灾方案，保障 Centrex 集团业务的高可用性。
边缘下沉保护：宽带 P 基站场景下，核心网 UPF 下沉至边缘 MEC 节点，与中心 UPF 通过主备 PW（伪线）连接，配合 BFD 100ms 快速检测机制，实现 TE-FRR/HSB 隧道保护，链路故障可在 50ms 内完成倒换。
🔐 AMF/SMF/UPF安全配置要点
AMF 安全配置重点：
接入认证：集成 NSSF 获取网络切片信息，与 AUSF/UDM 协同完成 5G-AKA 鉴权
容灾备份：实施 AMF 热备方案，实时备份用户上下文数据，避免主用 AMF 故障时产生信令风暴
漫游安全：支持异网漫游场景下的互联互通安全配置
SMF 安全配置重点：
策略控制：集成 PCF 实现本地策略管理，提升业务处理效率
接口加密：与 RADIUS 服务器对接时采用 IPSec 加密，保护 IMSI 等敏感信息
协议支持：支持 IPv6 单栈改造，确保未来网络演进安全
UPF 安全配置重点：
流量安全：启用上行 / 下行流量防地址欺骗检查，验证源地址合法性和目的地址范围
攻击防护：实现 DDoS 攻击检测与过滤，防止终端被利用作为攻击源
访问控制：支持终端互访控制与流量重定向功能
🌐 MEC边缘计算安全配置
网络平面隔离：
严格划分管理、控制、数据平面，确保运维指令、网络信令和业务数据分离传输
数据平面内部根据业务敏感度划分安全域（工业控制域、视频监控域等）
部署防火墙及 ACL 实施 "最小权限" 访问策略
平台安全加固：
使用英特尔 SGX 等技术创建可信执行环境，保护关键数据计算过程
加强容器与宿主机之间、容器与容器之间的隔离防护
对 MEC 平台组件（MEP）的开放接口实施严格权限管控
运维安全体系：
建立集中化安全运维中心，实现全国边缘节点统一监控
制定标准安全配置基线、漏洞扫描与修补流程
实施详尽的安全事件应急响应预案和审计跟踪
📊 核心网安全配置对照表
⚠️ 安全配置实施注意事项
证书管理规范：
网元间（如 SEPP 之间的 TLS 加密）或网管接口的数字证书需要严格的生命周期管理
定期更新证书，防止证书过期导致的服务中断
日志审计要求：
开启所有安全事件的详细日志记录功能
定期进行安全审计分析，便于事件追溯和策略优化
UPF 和 SMF 等网元通过 OAM 模块进行告警、跟踪和日志管理
合规性检查：
所有配置操作以设备厂商提供的官方配置指南和安全加固指南为基准
定期进行安全基线符合性检查，确保配置符合 GB/T 18336 等国家标准要求
现网优化建议：
优先对照 "关键安全要求" 进行差距评估
按官方指南逐项加固，避免配置冲突
新部署环境应直接采用最新安全配置模板
三、接入网基站安全配置与代码实现
5G基站安全基线配置框架
接入网基站作为 5G 网络的第一道防线，其安全配置需遵循 "纵深防御 + 最小权限" 原则。基于中国联通技术规范，各场景基站需实现以下核心安全能力：
🔒 物理安全基础配置
防雷接地：所有基站设备必须接入联合地网，接地电阻≤5Ω，符合 GB 50689 标准
抗震加固：在 6-9 度设防区，设备底部采用≥4 个 M8 锚栓固定，符合 GB/T 51369 要求
机柜防护：采用 IP55 防护等级机柜，具备防撬报警和视频监控功能
🌐 网络层安全隔离配置
示例配置（宽带 P 基站 ACL 白名单）：
# 创建安全策略组
security-policy-group p-base-station
rule 1 permit ip source 192.168.1.0 0.0.0.255 destination 210.73.64.0 0.0.0.255
rule 2 permit udp source any destination 210.73.64.1 0.0.0.0 port 53
rule 3 deny ip source any destination any
#
interface cellular0/0
security-policy p-base-station无线空口安全增强配置
5G 空口加密完整性保护
算法套件：强制启用 NEA2/128-EEA3 加密 + NIA2/128-EIA3 完整性保护
密钥更新：基于 5G-AKA 派生 Kgnb 密钥，每 24 小时或切换时更新
伪基站防护：gNB 侧实时扫描异常小区 RSRP/RSRQ，上报 AMF 处置
无线座机专用安全策略：
# 配置语音业务QoS保障
qos-profile voice-guaranteed
priority-level 1
scheduling-policy priority
arp-priority 10
#
bearer-resource-priority urllc-bearer
qos-profile voice-guaranteed
max-bitrate-ul 100M
max-bitrate-dl 200MMEC边界安全控制
宽带 P 基站 MEC 三平面隔离
管理平面：10.10.10.0/24，仅允许 4A 堡垒机访问
控制平面：10.10.20.0/24，AMF-SMF 信令专用 VLAN
用户平面：10.10.30.0/24，UPF 流量转发域
N6 接口防火墙规则示例：
# MEC边界防火墙配置
security-zone trust
add interface gigabitethernet0/0/1.300 # 用户平面
#
security-zone untrust
add interface gigabitethernet0/0/2 # N6接口
#
policy interzone trust untrust
action permit
policy 1
source-zone trust
destination-zone untrust
source-address 10.10.30.0 mask 255.255.255.0
service pre-defined dns,http,https安全运维与监控配置
基站安全基线检查脚本
#!/bin/bash
# 基站安全合规检查脚本
CHECK_ITEMS=(
"防雷接地电阻≤5Ω:ipmitool sdr | grep 'Ground Resistance'"
"锚栓固定数量≥4:ls -l /sys/class/anchor/ | wc -l"
"ACL策略启用:show security-policy | grep -c 'permit'"
"加密算法激活:show cell-security | grep 'NEA2\|NIA2'"
)
for item in "${CHECK_ITEMS[@]}"; do
name=$(echo $item | cut -d: -f1)
cmd=$(echo $item | cut -d: -f2)
result=$(eval $cmd 2>/dev/null)
echo "[$(date)] $name: $result" >> /var/log/security-baseline.log
done日志审计对接 OAM
安全事件格式：遵循 RFC5424 Syslog 标准，包含 gNB-ID、时间戳、事件等级
传输加密：采用 TLS 1.3 加密通道传输至核心网 OAM 平台
保留周期：操作日志保留 180 天，安全事件日志保留 365 天
容灾与可靠性配置
基站级 BFD 快速检测
# 配置50ms级链路故障检测
bfd session-name to-upf
discriminator local 1001
discriminator remote 1002
min-tx-interval 50
min-rx-interval 50
multiplier 3
#
interface cellular0/0
bfd session-name to-upf与核心网容灾机制对接
AMF 热备同步：基站同时注册主备 AMF，上下文实时同步
UPF 惯性运行：控制面失联时按缓存策略继续转发用户面流量
TE-FRR 保护：链路故障 50ms 内自动倒换至备用路径
所有配置变更必须通过 4A 平台审批，并纳入基线管理库定期核查，确保与核心网安全策略严格一致。
四、终端设备安全配置与代码实现
🔒 eSIM安全配置与双向机卡锁定机制
中国联通在 5G 终端 eSIM 技术中实施了一套以双向机卡锁定机制为核心的安全策略体系，确保用户安全与合规监管。
核心安全配置参数：
无线座机终端 eSIM 配置模板：
// eSIM配置文件管理示例代码
EuiccManager mgr = (EuiccManager) context.getSystemService(Context.EUICC_SERVICE);
// 检查设备eSIM支持状态
if (mgr.isEnabled()) {
// 获取eUICC硬件标识
String eid = mgr.getEid();
// 与运营商SM-DP+平台安全交互下载Profile
EuiccCardManager cardMgr = (EuiccCardManager) context.getSystemService(Context.EUICC_CARD_SERVICE);
// 请求获取eSIM芯片上所有配置文件的列表
cardMgr.requestAllProfiles(eid, AsyncTask.THREAD_POOL_EXECUTOR, new ResultCallback<EuiccProfileInfo[]>() {
@Override
public void onComplete(int resultCode, EuiccProfileInfo[] result) {
if (resultCode == EuiccCardManagerReflector.RESULT_OK) {
for (EuiccProfileInfo profile : result) {
Log.d("eSIM", "运营商: " + profile.getOperatorName() + ", 状态: " + profile.getState());
}
}
}
});
}📡 WLAN安全接入配置
无线座机 WLAN 服务模板配置命令：
强化安全配置策略：
加密协议：强制使用WPA2及以上安全协议和AES加密算法
密码复杂度：预共享密钥（PSK）至少包含大写字母、小写字母、数字、特殊字符中的两种以上
可选安全措施：配置
beacon ssid-hide隐藏 SSID 广播，限制客户端连接数量client max-count
🔐 5G终端安全SDK集成方案
中国联通 5G 终端安全 SDK 为行业应用提供运营商级别的安全能力，采用模块化架构设计。
SDK 初始化配置：
// AndroidManifest.xml权限配置
<uses-permission android:name="android.permission.INTERNET" />
<uses-permission android:name="android.permission.ACCESS_NETWORK_STATE" />
// SDK初始化
UniSecuritySDK.getInstance().init(this, new UniSecuritySDK.InitCallback() {
@Override
public void onSuccess() {
Log.i("UniSecuritySDK", "初始化成功");
}
@Override
public void onFailure(int errorCode, String errorMsg) {
Log.e("UniSecuritySDK", "初始化失败: " + errorCode + ", " + errorMsg);
}
});量子加密通信模块实现：
// 设备注册信息量子加密
public String encryptRegistrationInfoWithQuantum(String registrationInfo) {
try {
QuantumCryptoModule cryptoModule = UniSecuritySDK.getInstance().getQuantumCryptoModule();
QuantumKey key = cryptoModule.generateSessionKey("AES-256");
byte[] encryptedData = cryptoModule.symmetricEncrypt(
registrationInfo.getBytes(StandardCharsets.UTF_8), key);
return Base64.encodeToString(encryptedData, Base64.DEFAULT);
} catch (QuantumCryptoException e) {
Log.e("QuantumCrypto", "加密失败: " + e.getErrorCode());
return null; // 降级处理
}
}🌐 网络切片安全接入
低时延切片接入配置：
SliceManager sliceManager = UniSecuritySDK.getInstance().getSliceManager();
SliceConfig config = new SliceConfig.Builder()
.setServiceType(SliceConfig.SERVICE_TYPE_LOW_LATENCY)
.setMaxLatency(20) // 最大时延20ms
.setMinBandwidth(100) // 最小带宽100Mbps
.setIsolationLevel(SliceConfig.ISOLATION_LEVEL_DEDICATED)
.build();
sliceManager.requestSliceAccess(config, new SliceAccessCallback() {
@Override
public void onSliceAvailable(SliceInfo sliceInfo) {
Log.i("SliceAccess", "切片接入成功: " + sliceInfo.getSliceId());
}
});📋 终端设备安全基线要求
接口合规配置：
认证接口：支持 5G-AKA 鉴权、SUCI 加密、USIM 安全算法 NEA2/NIA2
数据接口：支持 IPv4/IPv6 双栈、源地址合法性校验、DDoS 过滤
管理接口：支持 TR-069/SSH-TLS1.3、4A 堡垒机源地址限制（10.10.10.0/24）
日志接口：按 RFC5424 格式上报 gNB-ID、时间戳、事件等级
部署与运维要点：
业务开通：通过中国联通业务系统开通 eSIM 服务，LPA 连接 SM-DP+ 平台下载 Profile
设备标识记录：必须记录设备EID（eSIM 唯一标识）和 IMEI（设备标识）
功能测试：部署后需进行语音通话、数据传输等全面测试
故障排查：检查 IP 地址获取、信号强度、eSIM Profile 激活状态
🛡️ 行业安全模板应用
针对不同行业场景，SDK 提供预设的安全模板：
// 智慧医疗安全模板应用
SecurityTemplate medicalTemplate = SecurityTemplateManager
.getTemplate(SecurityTemplateManager.ST_HOSPITAL);
medicalTemplate.apply(this, new TemplateApplyListener() {
@Override
public void onApplySuccess() {
Log.i("SecurityTemplate", "医疗安全模板应用成功");
}
});终端设备安全配置通过 eSIM 双向锁定、量子加密、网络切片等技术创新，实现了从硬件到应用的全链路安全防护，为 5G 随行组网、无线座机等业务场景提供了可靠的终端安全基石。
五、现网系统安全优化加固与迁移方案
🔧 现网安全基线加固与自动化巡检
基于现网已部署的安全能力，需重点强化自动化巡检与基线加固机制：
1. 基站安全基线批量巡检
直接复用第三章脚本：防雷接地、锚栓数量、ACL 启用、加密算法激活四项自动检查
巡检周期：生产环境建议每周自动执行，结果推送至 4A 平台
异常处理：检测到未启用 NEA2/NIA2 加密的基站自动触发告警并生成工单
2. MEC 边界防火墙策略优化
现成模板应用：直接使用第三章定义的 trust/untrust 安全区及 DNS/HTTP/HTTPS 白名单
N6 接口部署：策略批量下发至全国边缘节点，确保 MEC 与 5GC 边界安全
动态调整机制：基于业务流量特征自动调整 ACL 规则（如视频业务高峰期放宽 CDN 节点访问策略）
3. 终端安全策略批量推送
eSIM 配置模板：第四章模板（双向机卡锁定 + 跨境写卡禁用 + 地理位置校验）可覆盖存量终端
推送策略：分批次执行，优先处理医疗、政务等高风险行业终端
兼容性处理：对仍使用 WPA/WEP 的老旧终端标记为高危，安排替换计划
🚨 高危缺口迁移与证书生命周期管理
针对现网识别的三大高危缺口，制定具体迁移方案：
1. 证书自动化更新流程建设
2. IPv6 单栈演进迁移
接入网改造：VLAN 配置逐步从 IPv4 双栈过渡到 IPv6 单栈
ACL 策略迁移：基于第三章示例，制定 IPv6-only 安全策略模板
回退机制：保留 IPv4 兼容性 3 个月，业务稳定后彻底关闭
3. 终端加密算法强制升级
老旧终端识别：通过第四章 WLAN 配置扫描识别使用 WPA/WEP 设备
替换激励政策：对个人用户提供换机补贴，企业用户纳入安全合规考核
过渡期防护：对无法立即替换的终端加强网络侧安全检测
🔄 业务迁移与容灾切换保障
1. 流量基线驱动的平滑迁移
5G 随行组网：基于 ULCL 分流特征，分时段迁移政务、校园、企业子网
无线座机：利用固化 VoNR/VoLTE 信令模板，确保语音业务零中断
宽带 P 基站：依托 DHCP Snooping 绑定表，实现家庭用户无感迁移
2. 容灾指标验证与优化
AMF 热备：迁移前必须验证上下文同步延迟 <10ms 指标
UPF 缓存：确保 30 分钟惯性运行策略在迁移期间有效
BFD 检测：50ms 间隔×3 次超时机制作为迁移失败回滚触发器
🛡️ 安全补丁现网部署标准化流程
1. eSIM 安全补丁部署规范
测试强制要求：所有补丁必须经实验室模拟测试，严禁直接生产部署
分级推送：高危补丁 72 小时内完成，中危补丁按周批次部署
回滚机制：支持单终端或批量回滚，回滚后自动触发二次扫描验证
2. gNodeB 加固升级包管理
官方源验证：华为设备严格通过 isecurity.huawei.com 下载，校验 MD5 指纹
维护窗口：升级安排在业务低峰期，提前备份配置并制定回退预案
批量部署：分布式基站采用自动化脚本批量升级，减少人工干预
📊 统一运维与持续监控
1. 安全态势集中管控
日志通道复用：直接使用基站→核心网 OAM 平台的 TLS 1.3 加密传输通道
4A 平台扩展：将终端安全策略批量下发纳入现有审批流程
可视化监控：建立安全指标 Dashboard，实时展示证书状态、加密算法覆盖率等关键指标
2. 应急响应机制
分级响应：参照网络安全事件分级标准，制定特别重大、重大、较大、一般四级响应流程
常态化演练：每季度组织千万用户量级容灾倒换演练，验证迁移方案有效性
智能预警：利用 N1/N2 接口信令分析，实现网络异常提前感知和预警
我的博客即将同步至腾讯云开发者社区，邀请大家一同入驻：https://cloud.tencent.com/developer/support-plan?invite_code=263dqcg2b940k