移動城域數據網二期工程技術建議書

河北移動 城域數據網二期 工程 技術 建議書 2010 年 10 月 中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 1 頁 目 錄 前言 XX 公司寬帶 2.0 的 IP 網絡設計理念介紹 . 2 1 河北移動城域數據網總體方案建議 . 5 1.1 建設需求分析和目標拓撲 . 5 1.2 總體方案建議 . 6 2 業務控制層建設方案建議 . 8 2.1 業務控制層建設方案建議 . 8 2.2 MSCG 的用戶唯一性識別機制（ BRAS 特性） . 9 2.3 MSCG 的認證方式分析（ BRAS 特性） . 10 2.4 業務控制層可靠性方案建議 . 14 3 寬帶接入網建設方案建議 . 16 3.1 組網方案 . 16 3.2 綜合網管方案 . 24 3.3 ODN 工程建設方案建議 . 25 3.4 帶寬規劃 . 29 3.5 IP 地址規劃原 則 . 30 3.6 VLAN 規劃原則 . 31 3.7 GPON 網絡建設的實施策略 . 32 3.8 GPON 網絡運行維護流程 . 38 4 端到端 QoS 方案 . 47 4.1 QoS 的標準選擇 . 47 4.2 設備 QoS 的實現機制 . 48 4.3 QoS 的實施方案建議 . 52 4.4 層次化 QoS. 58 4.5 城域數據網端到端 QoS 保證的建議 . 62 4.6 IP 業務質量的儀表盤 XXU2520 產品簡介 . 63 中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 2 頁 前言 XX 公司寬帶 2.0 的 IP 網絡設計理念介紹 面對來勢洶涌的產業變革浪潮，電信運營商不約而同地提出向綜合性的信息服務供應商轉型。在這個關鍵的轉型過程中，寬帶網絡將扮演越來越重要的角色，被寄予厚望。一方面，越來越多的業務承載在寬帶網絡上；另一方面，寬帶接入本身也是一項極具價值的業務。近年來，寬帶通信發展迅猛 ，用戶增長迅速，近期的統計顯示，中國網民總人數達到 1.62 億，寬帶用戶數接近 6000 萬。 隨著內容應用日趨豐富、新技術不斷涌現、寬帶用戶結構發生變化，運營商在市場拓展、技術演進和業務創新等方面均面臨著新的挑戰。運營商面對的典型問題包括：如何維持日趨飽和的城區的業務繼續增長？如何激活中低收入城鎮家庭及農村寬帶市場，提高市場滲透率？如何應對 P2P 等新應用對現有網絡的沖擊？如何基于已有的近 6000 萬寬帶用戶建立更高 ARPU 的商業模式 ？ 欲突破以上的困境，運營商必須超越寬帶發展初期的“跑馬圈地”式的粗放式運營， 邁入 “寬帶 2.0 時代”，高度重視最終用戶客戶體驗，并提供差異化的寬帶業務。為了實現運營商與寬帶用戶的雙贏， XX 公司 認為下一代的寬帶網絡應具備以下幾點特征：更高帶寬及服務質量保障、寬帶精細化運營、多種接入手段（有線 /無線）融合、可信任的安全網絡、以及 Multi-play 多業務承載能力。 寬帶 2.0 時代的關鍵特征分為兩類：第一，寬帶業務特征：寬帶業務差異化和多樣化、中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 3 頁 客戶更加關注業務體驗，它們是寬帶發展根本驅動力和牽引力，代表了寬帶發展的方向；第二，支撐寬帶發展的網絡特征：帶寬提速、精細化運營、多業務承 載、 FMC 接入和可信任網絡。 高度重視客戶體驗 我們已經步入了“體驗經濟”的時代，消費者越來越關注業務體驗，只會為有吸引力的、體驗 良好的業務付費。良好的 QoE（ Quality of Experience，體驗質量）會吸引更多消費者參與到網絡。從理論上講，只要有足夠的性能和帶寬，是可以保證用戶的業務體驗。但是現實情況“大帶寬”卻不一定獲得好的服務體驗，這主要因為 P2P 技術解放了內容服務器的能力瓶頸，使得互聯網商所有計算機都可能成為服務器，這種情況導致一個結果“信息是無限的”，相對來說網絡帶寬資源卻是有限的， 建設多大帶寬都會被網絡上的信息充滿，不可避免地在網絡中會產生擁塞，如果不采取一定控制手段，擁塞必然會影響用戶的業務體驗。 所以必須考慮對網絡架構進行優化。當前的網絡， IP 承載層與業務控制層之間相對脫節，承載層不了解自身承載的業務，業務控制層不了解承載層的資源情況，導致關鍵業務的體驗得不到保證。應對這種情況，寬帶 2.0 時代建議在承載層與業務控制層兩層之間增加資源控制層，通過 RAC（資源接納控制）機制，對每個用戶、每項業務對網絡資源的使用進行動態管理和調整，保證業務體驗質量。 業務差異化和多樣化 寬帶 2.0 時 代，由于 OSS/BSS 及寬帶接入控制技術自身的限制，采用固定包月的粗放式運營模式較多。隨著以 P2P 為代表的新技術的普及，每用戶的平均使用率大幅增加，導致“增量難增收”的困境。隨著網絡向 ALL IP 轉型，新業務形式的不斷涌現，業務的差異化和多樣化是寬帶 2.0 新階段的另外一個重要特征。 運營商可以從帶寬、時長、業務類型、流量等多維度對業務進行細分，包裝豐富的業務運營套餐；根據細化的用戶群，支持后付費、預付費等多種付費方式；同時運營商立足于自身平臺優勢，與有實力的 ICP/ISP 展開合作，不斷推出更加吸引消費者的業 務形態，達到運營商、消費者、 ICP/ISP 的多贏。 帶寬提速 從寬帶發展趨勢看，網絡視頻和高清圖象正在成為網絡的主要內容之一，它使網絡從“黑白文本”變得“圖文并茂、豐富多彩”，也正是這種趨勢吸引了越來越多的用戶上網。但是，另一方面這些內容卻大量的消耗了網絡帶寬資源。越來越多的用戶感覺“寬帶不寬”，嚴重中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 4 頁 制約業務的發展。所以寬帶提速是一個必然趨勢，是寬帶 .0 時代的最重要特征之一。 展望全球，寬帶提速已經成為普遍趨勢，這方面日本、韓國、美國和歐洲已經走在前列，用戶帶寬可以高達 50 100Mbps；在國內，中國 電信和中國網通也各自制定了自己的寬帶提速計劃并積極實踐。 寬帶提速涉及在核心層、匯聚層、接入層各個層面都進行網絡擴容，進行流量疏導。其中，接入層的技術最為多樣，眾多選擇“亂花漸欲迷人眼”。運營商需要根據用戶需求、業務規劃、線路資源、成本等因素采用最為合適的技術，因地制宜，進行接入網建設，并最終按照“光進銅退”的發展路徑演進到全光時代。 精細化運營 寬帶發展到新的階段，為什么要精細化運營？ 這個問題可以從業務和用戶兩方面說明： 首先，寬帶業務模型正在從單一向多樣化轉型，即 Multi-Play。多樣的業務類型 驅動寬帶網絡必須具備差異化服務能力，要求寬帶精細化運營，針對不同業務做精細的規劃和管理。 其次，寬帶消費者需求存在差異化和個性化。為了更好地服務于消費者，并不斷提升滿意度，提高競爭力，必然要細分用戶群，根據他們的具體需求，提供差異化的寬帶服務和內容服務。 可信任網絡 不可諱言，寬帶 1.0 時代的網絡充滿了種種不安全因素，病毒、黑客的泛濫令廣大用戶疲于應付，稍有不慎就可能導致嚴重后果。根據 CNNIC 的報告，只有 35.1%的網民表示對互聯網信任。網民對互聯網的過度不信任，會制約很多互聯網應用的普及，從而導致潛在 收入的流失。 因此寬帶 2.0 時代的重要特征之一就是能夠提供可信任的網絡環境，消除用戶的后顧之憂。這可以通過用戶精綁定、業務控制層的 DPI（深度報文檢測）、流量清洗等安全技術手段的綜合實施實現。從而為更多寬帶業務的開展、更多用戶的加入奠定良好的基礎。 Multi-play 業務承載 伴隨寬帶業務從非實時的數據業務向 Multi-Play 發展，業務對寬帶 IP 網絡提出了新的要求。從寬帶網絡本身看，實時的視頻和語音業務與傳統互聯網數據業務對網絡帶寬資源、QoS 指標、可靠性指標、安全性的要求有著本質的區別。所以 IP 寬帶 網絡需要不斷優化和改造，適應多種業務承載要求。 中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 5 頁 近年來國內的幾大運營商相繼建設第二張骨干網絡，例如中國電信的 CN2，主要用于承載對 QoS、可靠性和安全性要求更高的 IP 業務。 伴隨 IP 骨干網大規模改造， IP 城域網也正在經歷翻天覆地的變化，這些網絡改造和優化目標都是要實現 Mulit-Play 業務的承載。寬帶 2.0 時代，通過在 IP 城域網部署快速路由收斂、 BFD、重路由（ FRR）、 MPLS OAM、層次化 QoS、資源接納控制（ RAC）等新技術，并通過運營級接入網的建設、 BRAS 的冗余備份、關鍵鏈路的冗余、故障發生時 合理的流量迂回與疏導等手段，使寬帶網絡 MultiPlay 多業務承載能力得到根本解決。 1 河北移動城域數據網總體方案建議 1.1 建設需求分析和 目標拓撲 河北移動城域數據網 劃分為城域骨干網和寬帶接入網兩個部分 ： 城域骨干網 城域骨干網分為核心層和業務接入控制層兩層。核心層由核心路由器組成，負責對業務接入控制點設備進行匯接并 兼做 城域數據 網的出口 和 CMNET 省網接入，每個地市兩臺核心路由器口字型上行至石家莊和滄州兩個 CMNET 省網核心 。 業務接入控制層由 多業務控制網關 MSCG 組成。主要實現 個人用戶 撥號 接入 IPTV 組播網關 功能， 同時 作為專線用戶的接入網關，并 實現 MPLS PE 功能。 寬帶接入網 寬帶接入網 最要以 GPON 光接入網為主，通過 GPON 網絡的 ONU 接入個人撥號用戶、專線用戶和 WLAN 熱點接入用戶等等 。 中國移動 CMNET 城域網 整網 典型的網絡結構拓撲如下： 中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 6 頁 HUAWEI TECH NOLOG IES C O., L TD. Page 2Huawei Conf ident ial 英文標題 : 3 2 - 3 5 p t 顏色 : R 1 5 3 G 0 B 0內部使用字體 :Fr u t i g e r N e x t L T M e d i u m外部使用字體 : A r i a l中文標題 : 30 - 3 2 p t 顏色 : R 1 5 3 G 0 B 0字體 : 黑體英文正文 : 2 0 - 2 2 p t子目錄 (2 - 5 級 ) : 1 8 p t 顏色 : 黑色內部使用字體 :Fr u t i g e r N e x t L T Re g u l a r外部使用字體 : A r i a l中文正文 : 1 8 - 2 0 p t子目錄 (2 - 5 級 ) : 1 8 p t顏色 : 黑色字體 : 細黑體配色參考方案：建議同一頁面內不超過四種顏色，以下是13 組配色方案，同一頁面內只選擇一組使用。（僅供參考）客戶或者合作伙伴的標志放在右上角 .（ 1 ） 網絡層次清晰化，實現二、三層網絡分離；（ 2 ） 網絡結構扁平化，減少網絡層次，適時考慮核心集群路由器建設；（ 3 ） 服務質量差異化，部署 QoS 策略，實現端到端的 QoS 保證 ；（ 4 ） 加強網絡的集中控制和管理，提高網絡的運維能力；中國移動 C M N ET 城域網目標拓撲圖IP 專網CM NE T核心集群路由器 CR多業務控制網關 M S CGOL TO N U普通集團專線資源管理平臺城域核心網城域接入網CMNET城域網PE - A SB R集團專網M S T P以太環網1.2 總體方案建議 據以上城域 數據 網需求分析的結果和目標網絡的建設原則和建設模型，下面給出本期工程的總體方案建議： 組網建議： 核心層保持目前的扁平化組網結構， MSCG 直掛核心路由器 。 接入層 盡量采用 GPON 網絡建設， GPON 的 OLT 直掛 MSCG 以減少網絡層次，減少故障點，整個接入網全部為二層網絡，采用靈活 QINQ 實現多業務的邏輯隔離承載， 對于如高校 WLAN熱點覆蓋的 接入點較多的 區域，建議將 ONU 盡量往用戶處延伸，最好的方式是 ONU 直接下掛POE 交換機的方式 帶 AP 甚至是 ONU 直接提供 AP 功能 ，以確保 提供 足夠的帶寬和更加完善的用戶管理 。 中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 7 頁 2010 - 11 - 3河北移動城域數據網組網建議石家莊 NE 5 0 0 0 E（ CM NE T 核心）滄州 NE 5 0 0 0 E（ CM NE T 核心）青園街 NE 5 0 0 0 E（ CM NE T 接入）東風路 NE 5 0 0 0 E（ CM NE T 接入）市縣區OL T市縣區高端交換機市區M E 6 0市區M E 6 0M P L S V P N三 層 網 絡二 層 網 絡瘦 APONU分光器接入交換機高端路由器MSC G高端交換機 / O L T分光器ONU接入交換機瘦 AP接入交換機網絡可靠性 建議 ： 三層網絡通過動態路由協議和 FRR 保證可靠性， 由于業務控制層網絡層次較高，建議啟用 MSCG 雙機熱備方式保證 網絡 高可靠性，對于某些地市的 MSCG 無法支持雙機熱備的 情況 ，建議至少啟用端口和單板的熱備。 端到端 QoS 建議： 在綜合業務承載的城域網中，把城域網的業務分為實時業務和非實時業務，實時業務必須在流量、帶寬規劃的基礎上保證 QoS，實時業務和非實時業務之間通過 DiffServ 機制進行調度避免擁塞；接入層和核心層都需要不斷地擴容帶寬以保證對于實時業務輕載，并需要引入 DiffServ 機制避免非實時業務擁塞實時業務；而在業務控制層，則需要針對每用戶、每業務進行精細化的流隊列調度，業務控制層設備需要具 備大容量的流隊列調度能力和層次化 QoS 能力； 中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 8 頁 2010 - 11 - 3河北移動城域數據網 QoS 部署方案 城域網部署 I P / MP LS D i f f S er v 可以滿足用戶靜態 QoS 的基本要求； 未來可以增加通過資源策略控制平面（ R A C & S P C ）實現動態 QoS ； 業務網管： Qo S M a n a g e r 統一 Qo S 部署，降低運維成本及壓力G l o b a l I n te r n e tG l o b a l I n te r n e tIP 承載網In t e r e n tM S CGUS RO LTC P EI A DL2W i M a x / W i FiD if f S e rv 模型，信任承載網，對互聯網進入的業務進行重標記，隊列調度（ PQ WR R ）上行業務區分流量標識不同 8 0 2 . 1 p ，優先級轉發，端口限速接口基于用戶 SLA 做重新標記或 8 0 2 . 1 p 和 D SC P 映射，C AR 限速，整形 和優先級調度下行流量端口限速，通過H - Q O S 方式保證下行 Q o S，最多 5 級調度大帶寬 D if f S e rv ，優先級調度， I P D SC P MP LS E X P 轉換I P R AC城域網精細化運營建議 ： 精細化運營的目的是建立一個平臺，可以為運營商基于業務的管理和收費提供條件，精細化運營立足點是城域網的資源統一管理調度；為了實現這個目標，需要在城域網中引入檢測系統（如，用戶行為分析統計系統）和資源管理系統，并要求基礎網絡的設備（如 MSCG）能夠通過開放接口接受資源管理系統的控制策略。 2 業務控制層 建設 方案建議 2.1 業務控制層 建設方案 建議 業務控制層建設方案仍然沿用 以前的建設 思路 ， 采用大容量 MSCG 部署城域網業務控制層節點，滿足業務控制層節點不同用戶和業務備份的需求 。 在投資允許的情況下，逐步采用MSCG 實現市區和縣局各匯聚機房的覆蓋，將 MSCG 逐步下移到縣， 在投資增加不多的情況下，盡量 減小二層網絡的規模，提高整網的可靠性和安全性。 中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 9 頁 2010 - 11 - 3石家莊移動城域數據網優化拓撲圖石家莊 NE 5 0 0 0 E（ CM NE T 核心）滄州 NE 5 0 0 0 E（ CM NE T 核心）青園街 NE 5 0 0 0 E（ CM NE T 接入）東風路 NE 5 0 0 0 E（ CM NE T 接入）市區高端交換機 /O L TC M NE T數據城域網市區高端交換機 /O L T東風路M E 6 0高端路由器MSC G高端交換機 / O L T新增設備青園街M E 6 0趙縣高端交換機 /O L T趙縣高端交換機 /O L T趙縣M E 6 0趙縣M E 6 0無極縣高端交換機 /O L T無極縣高端交換機 /O L T無極縣M E 6 0無極縣M E 6 02.2 MSCG 的用戶唯一性識別機制 （ BRAS 特性） 用戶唯一性識別是寬帶網絡精細化運營的前提，在 MultiPlay 網絡中，不僅要求每個用戶一個唯一的標識，而且進一步要求每個用戶業務終端都有一個唯一的 標識。在目前 城域數據 網中，比較通用的用戶標識是 VLAN，用戶唯一性識別機制主要有 SVLAN和 DHCP Option82兩種 。 SVLAN： SVLAN 是指以太網數據包封裝兩層 VLAN 標簽，每層 VLAN 標簽可以表示 4K VLAN范圍，那么總的 VLAN 范圍可以達到 4K 4K 個，完全可以滿足用 VLAN 標識用戶甚至標識用戶業務終端的需求。采用 SVLAN 還有一個用處就是可以在由 GPON 網絡 組成的二層接入網中利用選擇性 QinQ 技術實施業務分流。采用 SVLAN 方式，用戶接入的處理過程無需改變，但需要網絡中所有的設備需要在硬 件上支持 SVLAN， GPON 網絡 需要支持 SVLAN 封裝、透傳和選擇性 SVLAN，而 MSCG 則需要支持 SVLAN 的終結。 DHCP Option82： RFC3046 規定的 DHCP option 82 也叫中繼代理信息選項，是 DHCP 眾多選項中的一個。在 DHCP認證的流程中，接入層設備（如 GPON 網絡 ）會在 DHCP 客戶端和 DHCP 服務器的交互過程中將用戶接入的位置信息（如物理槽位號和端口號）封裝到 DHCP Option82 選項中， DHCP Server 以此作為用戶標識。 DHCP Option82 只適用于采用集中 式的DHCP Server 完成 DHCP認證的接入方式； 中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 10 頁 針對個人撥號用戶，建議采用目前主流的 SVLAN 來實現 用戶 唯一性識別 。 2.3 MSCG 的認證方式分析（ BRAS 特性） 在城域 數據 網中，目前常見的認證方式有 PPPoE、 Web 和 DHCP三種。 PPPoE 認證 PPPoE是利用以太網發送 PPP包的傳輸方法和支持在同一以太網上建立多個 PPP連接的接入技術。其結合了以太網和 PPP 連接的綜合屬性。 PPP 協議是一種點到點的鏈路層協議，它提供了點到點的一種封裝、傳遞數據的一種方法。 PPP 協議一般包括三個協商階段： LCP（鏈路控制協議）階段，認證階段（比如 CHAP/PAP），NCP（網絡層控制協議，比如 IPCP)階段。撥號后，用戶計算機和局方的接入服務器在 LCP階段協商底層鏈路參數，然后在認證階段進行用戶計算機將用戶名和密碼發送給接入服務器認證，接入服務器可以進行本地認證，可以通過 RADIUS 協議將用戶名和密碼發送給 AAA 服務器進行認證。認證通過后，在 NCP（ IPCP）協商階段，接入服務器給用戶計算機分配網絡層參數如 IP 地址等。經過 PPP 的三個協商階段后，用戶就可以發送和接受網絡報文，用戶收發的所有網絡層報文都封裝在 PPP 報文中。 PPP 協議的一個重要的功能是提供了身份驗證功能。 以太網是一種廣播網絡，其缺點是通訊雙方無法相互驗證對方身份，通訊是不安全的。PPP 協議提供了通訊雙方身份驗證的功能，但是 PPP 協議是一種點對點的協議，協議中沒有提供地址信息。如果 PPP 應用在以太網上，必須使用 PPPoE 再進行一次封裝， PPPoE 協議提供了在以太網廣播鏈路上進行點對點通訊的能力。 以 PPP-CHAP 為例， PPPoE 用戶的接入流程如下： 中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 11 頁 圖 1 PPPoE 認證流程 1) PPPOE 客戶端向 PPPOE 服務器設備發送一個 PADI 廣播報文，開始 PPPoE 接入。 2) PPPOE 服務器向客戶端發送 PADO 報文。 3) 客戶端根據回應，發起 PADR 請求給 PPPOE 服務器。 4) PPPOE 服務器產生一個 session id，通過 PADS 發給客戶端。 5) 客戶端和 PPPOE 服務器之間進行 PPP 的 LCP 協商，建立鏈路層通信。同時，協商使用 CHAP 認證方式。 6) PPPOE 服務器通過 Challenge 報文發送給認證客戶端 ,提供一個 128bit 的Challenge。 7) 客戶端收到 Challenge報文后，將密碼和 Challenge做 MD5算法后的，在 Response回應報文中把它發送給 PPPOE 服務器。 8) PPPOE 服務器將 Challenge、 Challenge-Password 和用戶名一起送到 RADIUS 用戶認證服務器，由 RADIUS 用戶 認證服務器進行認證。 9) RADIUS 用戶認證服務器根據用戶信息判斷用戶是否合法，然后回應認證成功 /失中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 12 頁 敗報文到 PPPOE 服務器。如果成功，攜帶協商參數，以及用戶的相關業務屬性給用戶授權。如果認證失敗，則流程到此結束。 10) PPPOE 服務器將認證結果返回給客戶端。 11) 用戶進行 NCP（如 IPCP）協商，通過 PPPOE 服務器獲取到規劃的 IP 地址等參數。 12) 認證如果成功， PPPOE 服務器發起計費開始請求給 RADIUS 用戶認證服務器。 13) RADIUS 用戶認證服務器回應計費開始請求報文 。 14) 用戶此時通過認證，并且獲得了合法的權限，可以正常開展網絡業務。 15) 當用戶希望終止網絡業務的時候，同樣也可以通過 PPPoE 斷開網絡連接，此時會按照 12）、 13）中的格式發送計費終止報文。 PPPoE 認證的缺點是對終端的要求較高，需要專用客戶端 PPPoE 撥號軟件，同時 PPP 封裝的開銷較大； PPPoE 認證的優點是比較成熟， PPP 協議定義了 Session 上的握手報文，可以檢測用戶非正常斷線，全網采用 PPPoE 認證，無須啟用 ARP，可以避免 ARP 攻擊的發生，安全性較高。 PPPoE 認證是目前 PC 終端認證的首選模式 。 WEB 認證 基于 Web 的認證方式，適用于各類用戶接入方式。其特點是：用戶在計算機上不必安裝任何撥號軟件，只需要上網時打開瀏覽器，訪問 WEB 認證頁面并輸入用戶名和口令，即可完成認證過程。 以 XX 公司 MSCG 設備 為例， 啟用 BRAS 認證特性 時 的 WEB認證 處理流程如下： 中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 13 頁 1、用戶終端開機后通過 DHCP 申請 IP 地址， BRAS（ 即 MSCG） 啟用 DHCP Server 功能并根據用戶的 VLAN 區段從 IP 地址池中分配 IP 地址給用戶終端； 2、 BRAS 為用戶分配 IP 地址后，在用戶未通過 Web 認證以前 ，通過 ACL 來限制該用戶主機的訪問權限，如可以限制用戶只能訪問一些包括門戶網站在內的一些免費網點（允許訪問的目的地在網絡設備上可以配置）； 3、用戶啟動 IE 瀏覽器后輸入任何網址， BRAS 將用戶發起 HTTP 請求重定向到 Portal Server， Portal Server 根據用戶的位置彈出個性化 Portal 認證頁面。用戶在 Portal 頁面上中輸入用戶名和密碼并提交，該用戶名和密碼經 Portal Server 通過 Portal 協議轉交給BRAS； 4、 BRAS 收到用戶的用戶名和密碼后，通過 Radius 協議將用戶 名和密碼送到 Radius 服務器進行認證； 5、如果認證通過， BRAS 會根據 Radius 服務器下發的認證通過報文來修改用戶的 ACL，允許該合法用戶正常上網。同時也會通過 Portal 協議通知 Portal Server 用戶認證通過，由 Portal Server 通過 HTTP 方式在網頁上通知用戶已經認證通過；如果認證不通過， BRAS也會通知 Portal Server 用戶認證不通過，由 Portal Server 通過 HTTP 方式在網頁上通知用戶認證失敗； 此外， XXMSCG 還支持基于端口的 WEB 認證方式。即用戶在 Portal 頁面上不需要輸入任何用戶名和密碼，此時 MSCG 設備根據用戶的 VLAN 進行認證。 對于 WEB 認證用戶非正常下線， XXMSCG 支持以下三種檢測機制： a、 ARP 檢測法： MSCG 定期通過 ARP 報文探測用戶。如果在一定時間內收不到響應，則認為該用戶斷線，上報用戶計費結束信息并斷開連接。 b、心跳檢測： Portal Server 定期向用戶發出探測報文，如果在規定的時間和次數內收不到用戶的響應報文，則 Portal Server 會告知 BRAS 用戶已下線。由 MSCG 上報用戶計費結束信息并斷開連接。 c、用戶 最低流量檢測法： MSCG 定時檢查在線用戶的當前流量速率是否低于設定的最低流量速率閾值，如果低于最低流量速率則認為用戶已經斷線，將該連接斷開。 Web 認證由于無須終端安裝客戶端軟件，且可以提供個性化的 Portal 頁面，在酒店、WLAN 熱點地區接入認證的應用較多。 DHCP認證 中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 14 頁 DHCP認證是一種基于端口的認證方式，用戶終端無須安裝撥號軟件，無須輸入用戶名和密碼，由網絡側接入設備為用戶終端的 DHCP 請求附加 Option82 屬性，在 Option82 屬性中告知 DHCP Server 用戶的位置信息（端口、槽位） ，而 DHCP Server 也不是普通的 DHCP Server，可以根據用戶的位置信息決定用戶是否有權限獲得 IP 地址。 DHCP認證要求 MSCG 支持 DHCP Snooping 功能，該功能是 MSCG 監控用戶 DHCP 過程，根據 DHCP Server 是否給用戶分配 IP 地址打開或者關閉用戶的上網權限。 分布式 DHCP認證 XX 的 MSCG 支持分布式 DHCP認證，可以做到在 MSCG 啟用本地的 DHCP Server，為 DHCP認證終端在本地分配 IP地址，并且可以把 DHCP請求轉換為 Radius認證請求發送到 Radius Server 進行認證，把 DHCP Option82 屬性轉換為 Radius 認證報文中的用戶名。 分布式 DHCP認證和 DHCP認證相比最大的好處是無須在城域網中部署集中的 DHCP服務器，只需要在 Radius Server 上統一認證。 綜上所述，建議 河北移動公司 在選擇用戶認證方式時遵循以下原則： 1、 PC 上網用戶采用 PPPoE 認證，針對這些用戶 VLAN，在交換機上可以關閉 ARP，保證MSCG 不會受到用戶側 ARP 攻擊； 2、 酒店、 WLAN 熱點地區用戶，采用 Web 認證， Portal Server 提供不同 區域接入的個性化門戶頁面； 3、 未來開展 IPTV 時， IPTV 機頂盒、 家庭綜合業務 網關，建議采用分布式 DHCP認證。 4、由于 DHCP 服務器安全性的考慮，建議 MSCG 兼做 DHCP SERVER。 2.4 業務控制層可靠性方案建議 業務控制層的可靠性是實現用戶級可靠性的關鍵；而實現業務控制層可靠性的根本做法是采用每個節點配置兩臺以上的綜合業務處理設備（ MSCG） ，但是，這種模式建網成本較高，所以，在 MSCG 條件允許的情況下，我們建議不同的局點之間的 MSCG 啟用雙機熱備的方式來大幅提升可靠性。 為了實現 MSCG 之間快速 的倒換，可以采用以下 BFD VRRP 技術。 BFD+VRRP BFD 是一個在數據轉發層面進行實時連接性檢測的協議。一對系統在它們之間的所建中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 15 頁 立會話的通道上周期性的發送檢測報文，如果某個系統在足夠長的時間內沒有收到對端的檢測報文，則認為在這條到相鄰系統的雙向通道的某個部分發生了故障。 BFD 在雙向鏈路兩端同時發送檢測報文，檢測兩個方向上的鏈路狀態，實現毫秒級別的鏈路缺陷檢測 BFD 能夠在系統之間的任何類型通道上進行故障檢測，這些通道包括直接的物理鏈路，虛電路，隧道， MPLS LSP，多跳路由通道，以及非直接的通道。 VRRP 是一種容錯協議，它保證當主機的下一跳路由器壞掉時，可以及時的由另一臺路由器來代替，從而保持通訊的連續性和可靠性。為了使 VRRP 工作，要在路由器上配置虛擬路由器號和虛擬 IP 地址，同時產生一個虛擬 MAC 地址，這樣在這個網絡中就加入了一個虛擬路由器。而網絡上的主機與虛擬路由器通信，無需了解這個網絡上物理路由器的任何信息。一個虛擬路由器由一個主路由器和若干個備份路由器組成，主路由器實現真正的轉發功能。當主路由器出現故障時，一個備份路由器將成為新的主路由器，接替它的工作。 VRRP 協議雖然實現了路由器的冗余 備份功能，但由于其通過握手報文周期檢測機制來檢測主路由器，倒換過程周期過程，往往長達數秒鐘之久，不能滿足業務快速收斂的需要。 通過 BFD 與 VRRP 協議的結合，即由 BFD 協議來檢測主備路由器的可用性，而由 VRRP協議來觸發業務的倒換。當 BFD 檢測到對端 Down 后立即觸發 VRRP， VRRP 協議將備份路由器升級為主用。由于 BFD 的檢測是毫秒級別的，因此整個業務的倒換時間也會得到數量級的提升，由普通 VRRP 的秒級切換提升到 BFD for VRRP 的毫秒級切換。 XXNE 路由器 和 MSCG 均 支持 VRRP+BFD 功能。 BFD 檢測是直接在 NE 路由器 （或MSCG） 的轉發引擎中實現的，這樣不但保證了快速檢測的周期能在 10ms 內完成，而且降低了快速檢測時控制平面 CPU 的負荷，不影響其他業務的運行，整個倒換過程在數十毫秒內完成。在城域網組網中， VRRP+BFD 適用于大客戶 專線或大局點 BRAS 下寬帶用戶 的保護。 中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 16 頁 2010 - 11 - 3石家莊移動城域數據網優化拓撲圖石家莊 NE 5 0 0 0 E（ CM NE T 核心）滄州 NE 5 0 0 0 E（ CM NE T 核心）青園街 NE 5 0 0 0 E（ CM NE T 接入）東風路 NE 5 0 0 0 E（ CM NE T 接入）市區高端交換機 /O L TC M NE T數據城域網市區高端交換機 /O L T東風路M E 6 0高端路由器MSC G高端交換機 / O L T新增設備青園街M E 6 0趙縣高端交換機 /O L T趙縣高端交換機 /O L T趙縣M E 6 0趙縣M E 6 0無極縣高端交換機 /O L T無極縣高端交換機 /O L T無極縣M E 6 0無極縣M E 6 0BF D + VR R PBF D + VR R P BF D + VR R P3 寬帶 接入網 建設 方案 建議 3.1 組網 方案 3.1.1 FTTH 組網方案 （針對高端客戶） OLT 設備選擇 XX 大容量光接入設備 MA5680T， ONU 根據實際應用場景選擇 HG850a、 HG813等家庭網關類終端，分光器采用可采用 1： 2 至 1:64 分光。 組網示意圖如下： 中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 17 頁 MA5680T 作為二層光接入設備應用，為 GPON 的 OLT 設備，上聯到 BRAS、 LSW 或 Router等寬帶 IP 城域網設備上，將終端送上來的不同類型業務解調成以太業務，送入不同網絡，為用戶提供高速上網、 IPTV 和 VOIP 業務接入。 業務流程如下圖所示： 中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 18 頁 對于 PC 用戶而言，采用 PPPoE 的方式獲取 IP 地址，對于 VoIP 和 STB 用戶利用 DHCP獲取 IP 地址。 ONT 上按照不同的業務類型采用不同的映射規則，將業務映射到不同的 GEM port 中進行上傳，到 OLT 側后再根據不同的業務進行流分類，并進行報文的 Remark 和 VLAN等切換處理，由上行口接入上級網絡。 ONT 支持多種業務映射規則，支持 VLAN 映射、 VLAN + 802.1p 映射、 802.1p 映射、 Eth PHY 端口映射、 Eth PHY+VLAN 映射、 Eth PHY+802.1p 映射、 Eth PHY+VLAN+802.1p 映射。 OLT通過 OMCI 協議下發用戶業務流到 GEM port 的映射規則。 GPON 終端采用 EchoLife HG850a 設備，提供 4 FE 口（ RJ45 接頭 ）和 2 個 POTS 口（ RJ11接頭），連接家庭住戶的 PC 機、機頂盒和話機。（ HG813 4 個 FE 接口； ） 入戶室內設備連接圖如下所示： . 高層住宅 高層住宅的特點是 10 層以上，每樓層用戶數較多，用戶總數大；樓內擁有完善的豎井和管道設施。入戶方案建議配線光纜從地下管道進樓，分光器集中放置在豎井內的交接箱或ODF 中，光分路器輸出采用骨架式光纜，沿豎井垂直布放，實施對整棟建筑的用戶接入。分纖盒按照一定的樓層間隔分布放置，光纜引入分纖盒后進行分歧，然后從分纖盒向每個用戶引入皮線光纜，實現光纖入戶。一個分纖盒可覆蓋 1 4 層，實際可根據每樓層的用戶數確定。高層住宅的光纖入戶實現如下圖所示： 中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 19 頁 . 多層住宅 多層住宅的特點是 10 層以下，用戶數量相對較少。通常多棟樓集中在一個小區內。 多層住宅的光纖入戶方案建議如下： 光分路器集中放置到光纜交接箱內，光分路器輸出采用骨架式光纜，覆蓋整個小區的用戶接入。光纜敷設采用直埋或管道方式。在每棟樓宇附近，使用光纜接頭盒完成光纜分歧并引入到樓內分纖盒中，然后從分纖盒出皮線光纜到用戶家中。 多層住宅的光纖入戶實現如下圖所示： 中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 20 頁 . 別墅區 別墅區的特點是 建筑物分布散落，每棟別墅一般只有一到兩個 用戶，用戶接入分散。 別墅區的光纖入戶方案是： 光分路器集中放置在光纜交接箱內，光分路器 輸出采用骨架式光纜，覆蓋整個別墅區的用戶接入。光纜敷設采用直埋或管道 方式。分纖盒放置在別墅附近的人孔，地下管道或架桿，一個分纖盒可提供 4 8 個用戶接入。光纜在分纖盒內分歧后，采用室內室外兩用微纜入戶。 別墅區的光纖入戶實現如下圖所示： 在任何情況下，入戶后的光纖都必須及時引入到光纖終端盒內進行成端，完成對光纖的中國移動 河北 公司 城域數據網二期工程 技術建議書 （ XX） 第 21 頁 保護。實際工程中，可采用尾纖連接方式實現光纖成端。 3.1.2 FTTB 組網方案（普通住宅用戶）