探讨门禁系统组网方式及网络安全技术问题

　　一、门禁系统的发展及现状

　　随着数字网络化发展的加快，网络化产品范围不断扩大，门禁系统也从传统的RS485总线传输方式，稳步向TCP/IP网络方向深入。RS485通讯方式在节点数量、传输距离、通讯速率等方面的局限制约了它的应用，尤其是大型门禁系统的应用。而基于TCP/IP网络通讯方式的门禁系统，具有无节点限制、覆盖范围广、通讯速度快、干扰小等优势，全面领先于RS485总线方式，理所当然会获得众多用户的青睐。

　　目前市场上有些采用外置式或内置式网络转换器的门禁系统，其实是使用了RS485转TCP/IP的中间设备，并非真正意义上的网络门禁。真正意义上的网络门禁所采用的门禁控制器一般采用32位ARM7/9的微处理器来实现。

　　采用全TCP/IP方式的门禁系统，可充分利用已建的网络资源，新布线工程量少，可跨区域使用而不受距离限制，信息传输和存储量能大幅度提升。但如果项目本来无网络，专门架设网络反而增加了前期投入成本，目前还主要应用于100门以上的大型系统。

　　门禁系统技术发展的另一方面，是门禁系统和其他建筑智能化系统的整合，主要是整合视频监控系统、入侵报警系统、周界探测系统、消防报警系统、楼宇自动化系统筹，这种组合提供了有效的结构以增强各系统的互相补充。例如，一旦有了触发警报的事件，就会发信号给视频监控系统以便提供事件现场的实时录像，同时联动门禁系统封锁相应的门禁通道。

　　二、门禁系统的组网方式及网络安全技术问题

　　1.组网方式及安全

　　目前网络门禁系统有两种组网方式。一种是基于RS485总线组网的门禁系统。另一种是网络门禁系统的“IP网络门禁”，“IP网络门禁”是指门禁控制器与门禁服务器的通讯采用TCP/IP协议的门禁系统。

　　以前我们大都关注门禁系统的可靠性，目前门禁系统的安全性则受到越来越多的关注，尤其是一些国家机要部门、保密部门对门禁系统数据的安全性要求就更高。

　　对比传统的基于485总线组网的门禁系统，IP网络门禁的优点主要体现在：(1)大大提高系统响应速度，对于超过100个门禁点以上的门禁系统，尤其对视频联动有要求的场合，应该是首选;(2)提高系统可靠性，RS485双绞总线技术成熟、简单易用，但抗干扰性能差;(3)提高系统可扩展性，IP架构更适合系统的标准化扩充，对与异地联网使用的集团用户来讲是最佳选择;(4)提高系统的可维护性，IP网络门禁便于实现远程诊断，维护。对比传统的基于485总线组网的门禁系统不足的地方应该是IP网络门禁控制器价格应该高于RS485门禁控制器。

　　对于两种组网方式系统的网络安全性来讲，任何一种网络通讯都存在被第三方窃听或修改的风险，RS485总线通讯技术比较简单，较以TCP/IP协议组网的“IP网络门禁”更容易被攻击。

　　TCP/IP协议是应用最广泛的网络通信协议，通信能力强大，但TCP/IP协议包在传输过程中非常容易通过专用软件监听和截获，网络中TCP/IP协议的对话很容易被第三者窃听或修改。

　　这种威胁的主要危险是门禁系统中的出人权限和管理员的用户信息及密码非常容易被截获。最可怕的危险是合法通信被修改的可能性，被修改的信息用于非法的出入，甚至拦截阻断实时报警事件等将会给客户的安全造成难以估量的损失。

　　TCP/IP通信包被拦截执行于许多方面。如更改信息的方向，引起网络上的主机在网络对话期间改变它们发送报文包的地址。

　　对截断对话感兴趣的破坏者可能会利用某一个方法设置中继。一个中继破坏可能发生在网络中任何地方，甚至是距离客户系统很远的位置。中继机器能够实时调节通信量或记录用于日后分析的报文包。中继机器也能够改变被传输的通信内容。

　　获取通信内容的方法只需要使用一种被动包监控器(常常称为“包取样器”)。包取样器能够以中继破坏的方式向蓄意破坏系统安全者提供被记录的网络信息。

　　目前在大型项目如地铁、银行、无人值守机房、电信电力、军队、国家政府机关等高安全要求场所，其使用的TCP/IP门禁系统的99%的产品没有网络层的防侵入安全机制，由于客户并不了解随时存在被非法侵入的潜在风险，一旦遭到攻击将直接威胁到客户的正常运营;甚至会造成重大的人员和财产损失，因此解决TCP/IP门禁系统的安全性问题成为急待解决的问题。

　　2.网络安全技术在门禁系统中的应用

　　目前为了保证门禁系统的数据和通信安全，主要采用的网络安全技术主要有：安全密码学技术、伪卡防范技术、设备认证技术、入侵检测、数据传输加密技术、数据存储、备份和容灾技术等。下面列举常见几种网络安全技术在保证门禁系统方面的应用。

　　借用VPN网络通道方法

　　采用图1这种方法解决了VPN通道外的非法电脑攻击的威胁。缺点是还存在来自VPN通道内部的非法电脑攻击的可能性。

　　采用图2这种方法给每一个控制器配一个独立的VPN设备，优点是系统中每个设备具有独立的安全通道，有效的解决了内部和外部电脑攻击的威胁。缺点是投资成本非常高及维护成本高。