从安全角度看，安全问题的技术本质和根源来自软件或者协议的漏洞。软件或协议越复杂，安全漏洞越多；系统越复杂、越开放，安全性越低。简单、封闭的系统安全性较高。对于分层的网络协议，对数据报文的解析层次越深，处理越复杂，安全隐患也越大。
联通无线VPN网络目前面临的安全问题包括：联通怎样正确把握无线VPN网络安全发展规律；系统能不能保证高度的安全可靠性；服务对象能不能适应无线VPN网络；无线VPN网络的方案能否满足不断提升的服务对象的需要；无线VPN网络是否具有较高的可用性与稳定性，是否易于维护。
对于联通无线VPN网络而言，由于服务的对象不同，因此具有资源分类别、分级别、密级区别等特点，各个服务对象也因而能够自主储存、使用和传递共享的资源。因此，联通无线VPN网络也必须对各种信息的储存、传递和使用进行严格的权限管理。我们认为在指导思想上，首先应在对联通无线VPN网络安全风险分析的基础上，做到统一规划，全面考虑；其次，应积极采用各种先进技术，实现集中统一的配置、监控、管理；最后，应加强有关网络安全保密的各项制度和规范的制定，并予以严格实行。为了便于分析网络安全风险和设计网络安全解决方案，我们采取对网络分层的方法，并且在每个层面上进行细致的分析，根据风险分析的结果设计出符合具体实际的、可行的网络安全整体解决方案。
1、网络安全方案设计原则
信息系统的根本目标是，通过保障信息系统资源不受未授权的泄露、修改和任何形式的损害，从而实现对有价值信息和系统的保护。信息系统的安全目标集中体现为两大目标：信息保护和系统保护。
信息系统最低安全目标的确定，基于信息系统运行的可靠性、完整性、可用性，以及信息数据的机密性、完整性、可用性和可控性，着眼于各种安全威胁实施后的社会、政治和经济风险的大小。对信息系统最低安全目标的确定，应遵循以下四个原则：组织级别原则、保护国家秘密信息和敏感性信息原则、控制社会影响原则、保护资源和效率原则。
信息系统的设计应按照系统完整的信息系统安全体系框架进行；信息系统安全体系由技术体系、组织机构体系和管理体系共同构建。
按照信息系统安全体系框架，安全的保障不仅需要解决与通信和互联有关的安全问题，还需要解决涉及与信息系统构成组件及其运行环境安全有关的物理安全、系统安全等其它问题，需要从技术措施和管理措施两方面结合来考虑解决方案。由于管理的多样性，本方案主要目的是为用户提供网络安全接入。本文重点探讨信息系统安全中的网络安全、数据安全、信息内容安全等技术问题，这些安全需求可以通过开放系统互连安全体系提供的安全服务、安全机制及其管理获得。
在进行网络系统安全方案设计规划时，应遵循以下原则：需求、风险、代价平衡的原则，综合性、整体性原则，一致性原则，易操作性原则，适应性、灵活性原则，多重保护原则，可评价性原则。
2、联通无线VPN网络安全解决方案
安全是一个非常广泛的概念，涉及到众多领域，除了庞杂的技术体系外，还涉及到管理、法律、文化等因素。安全是一个相对的概念，不存在绝对的安全。在这里，我们重点关注的网络信息安全是指通过保护网络程序、数据或者设备，使其免受非授权使用或访问，来达到保护信息和资源、保护客户和用户、保证私有性等目的。为了确保在各种攻击下，网络程序和数据在服务器、物理信道和主机上的安全性，网络安全必须有效地实现以下各种功能；从宏观要求考虑如下：
.安全属性得到满足：机密性、完整性、可用性、可控性(或可审核性)、不可否认性
.安全能力得到保证：预警能力、保护能力、检测能力、反应能力、恢复能力、反击能力
联通无线VPN网络建立在联通CDMAIX及Internet商用业务平台上。联通无线VPN网络分为网络子系统和终端子系统；我们主要讨论网络子系统部分。
从系统和应用出发，网络的安全因素可以划分到如下的五个安全层中，即物理层安全、网络层安全、系统层安全、应用层安全、管理层安全。它需要解决以下相关信息安全问题。
2. 1、物理层安全解决方案
保证计算机信息系统各种设备的物理安全是保障整个网络系统安全的前提。物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。它主要包括三个方面：环境安全、设备安全、线路安全。
为了将不同密级的网络隔离开，我们还要采用隔离技术将普通联通无线网络和联通无线VPN网络两个网络在逻辑上隔离，同时保证联通无线VPN网络中各个服务对象在逻辑上隔离。我们充分运用了CDMA的码分多址技术及软切换技术、核心网络设备的双重备份为客户提供物理层安全。
为用户提供的安全服务包括：数据源鉴别、访问控制服务、连接机密性。为提供上述安全服务采用了如下安全机制：加密、访问控制。
2.2、网络层安全解决方案
数据传输安全建议：为保证数据传输的机密性和完整性，在对客户接入采用强身份认证的同时，采用双重安全VPN系统。系统部署如下：在本方案中采用了基于MPLS VPN隧道上的IPsec的ESP封装的加密隧道构成。
VPN是一种利用公共网络基础设施，在链路层或网络层上基于配置或隧道技术的网络虚拟连接技术，是为应用提供传输平台的。网内点到点之间从物理/逻辑连接至管理上存在很多机制性安全漏洞和隐患，如TCP/IP协议的最初设计缺乏安全方面的考虑，主要存在以下几个方面的安全问题：TCP SYN attacks、IP Spoofing、Routing Attacks等。基于 TCP/IP协议及无线VPN网络物理暴露性所具有的安全脆弱性和来自网上的网上攻击，可能通过VPN的建立和连接对网络信息资源和用户资源造成危害。
经过分析，对被保护的子网内部信息资源而言，来自外部的威胁，可粗略分为直接威胁和间接威胁两种。直接威胁是通过传输介质和集散点进行信息截取，如无线VPN网络物理暴露性及Internet的开放性：间接威胁是干扰传输中的信息和数据，或者通过从传输薄弱点插入网络，或者通过收集如会话信息、系统准入口令和系统网络拓扑轮廓等信息组织攻击策略，如ICMP协议、finger等。究其根源，这些威胁利用了在公共网络基础设施上传输数据的公开性和传输通道的暴露性。因此就VPN本身的一般概念而言，VPN并不等于安全。
若能找到一种VPN方法，既能保证传输数据的不可理解性，又能保证传输通道的隐秘性，同时对传输的数据具有完整性校验机制，这样的VPN才是安全的VPN。
安全的VPN必须解决上述问题，可以证明，基于IPsec的ESP封装的加密隧道构成的VPN就是安全的VPN。在本方案中采用了基于MPLS VPN隧道上的IPsec的ESP封装的加密隧道构成。
为用户提供的安全服务包括：对等实体鉴别、数据源鉴别、访问控制服务、连接机密性。为提供上述安全服务采用了如下安全机制：加密、访问控制、路由控制。
2. 3、系统层安全解决方案
系统层安全主要包括两个部分：操作系统安全以及数据库安全。对于关键的服务器和工作站应该采用服务器版本的操作系统。
为用户提供的安全服务包括：对等实体鉴别、数据源鉴别、访问控制服务、连接机密性；为提供上述安全服务采用了如下安全机制：加密、访问控制。
联通无线VPN网络中关键的服务器和工作站采用C2级以上的UNIX操作系统。
2. 4、应用层安全技术方案
根据联通无线VPN网络的业务和服务，相应采用身份认证技术、防病毒技术、以及对各种应用服务的安全性增强配置服务来保障网络系统在应用层的安全。
为用户提供的安全服务包括：对等实体鉴别、数据源鉴别、访问控制服务、连接机密性；为提供上述安全服务采用了如下安全机制：加密、访问控制。
