高级工程师

7.5.1 IP城域网的关键技术

IP城域网的关键技术涉及的因素很多，但网络技术、接入技术等在相关章节已作过介绍，这里不作赘述。本小节主要介绍用户认证与接入、用户管理、接入带宽控制、IP地址分配与网络地址转换、用户信息安全、网络管理等城域网的关键技术。

1.用户认证与接入

运营商建设M络的根本目的在于能够通过网络运营为用户提供服务而获取利润。因此，必须对使用网络的用户按照一定的原则进行计费。简单的计费方式是采用包月制，但由于用户的需求不一(如高速上网可能范要1Mbit/s带宽，看MPEG-1节目可能需要2Mbit/s带宽，看MPEG-2节目可能需要6Mbit/s带宽)，随着竞争的加剧，这种包月制计费方式将难以适应市场需求，因此网络必须能够支持按照用户使用W络资源的情况进行计费。要做到这一点，必须首先能够对使用网络的用户进行身份认证，以防止非法用户的盗用。

窄带接入方式下利用PPP技术通过AAA服务器实现用户的身份认证并分配1P地址，使得用户能够通过接入服务器接入网络，进行信息的交互。而宽带接入方式下，通过以太网交换机或路由器实现的网络，并不提供相应的功能对用户进行身份认证。因此，要做到这一点，必须引入有关技术与相应的设备，如客户管理系统。冃前与此有关的技术可以归为两类，即+需要严格认证的方法和需要严格认证的方法。

(1)不需要严格认证的方法

不需要严格认证的方法是将用户静态配置的IP地址或者采用DHCP自动获取的端U地址与用户终端设备的MAC地址和基于端口的VLANID捆绑在一起，用户一开机就自动接入。到网络中，不需耍对用户的身份进行认证。上述IP地址、MAC地址与VLANID的捆绑能够有效地保证合法的终端才能接入M络中。能够确保用户信息的安全性。不过，这种方法存在着一个严重的缺陷，只是保证合法终端接入M络，而不是保证合法用户接入网络，不管是集团用户还是家庭用户，对此都几乎难以容忍，这直接导致了DHCP+的出现。而且，这种方式目前还不能做到按用户进行计费。因此，这种方式只能在网络建设初期包月制情况下使用。

(2)需要严格认证的方法

需要严格认证的方法能够保证每一个使用者都是合法的用户，一个终端可以有多个不同的用户，如果与客户管理系统一起使用，不同用户还可以拥有访问网络资源的不同权限。目前，需要严格认证的方法又分为两种，即PPPoE/A技术和DHCP+技术。

①PPPoE/A技术。PPPoE/A技术既能够实现一个客户端与多个远程主机连接的功能，又能够提供类似于PPP的访问控制和计费功能=使用PPPoE/A技术，类似使用点对点协议的拨号服务方式，每个主机使用只己的点对点协议栈，用户使用他们所熟悉的拨号网络用户接口进行拨号。通过PPPoE/A技术，每个用户可以有他自己的接入管理、计费和业务类型。

PPPoE/A技术有IETF的RFC,技术与设备比较成熟，可以防止地址冲突与地址盗用，既可以按时长计费也可以按流量计费，能够对特定用户设置访问列表过滤或防火墙功能，能够对具体用户访问网络的速率进行控制，能够利用现有的用户认证、管理和计费系统实现宽窄带用户的统一管理认证和计费，能够方便地提供动态业务选择特性，而这些都是DHCP+所不具备的。因此，目前应该使用这种万法建设宽带IP城域网。

②DHCP+技术。DHCP+技术是为了适应网络发展的需要而对传统的DHCP进行了改进，主要增加了认证功能，即DHCP服务器在将配置参数发给客户端之前必须将客户端提供的用户名和密码送往RADIUS服务器进行认证，通过后才将配置信息发给客户端。与PPPoE/A技术一样，DHCP+技术也需要在客户端上安装客户端软件。但不同的是，DHCP+客户端与服务器可以通过在每个子网内增加中继代理而跨越三层，不一定要在同一个二层内。而且，服务器只是在获得丨P配置信息阶段起作用，以后的通信完全不经过它，而PPPoE/A技术由于服务器与客户端之间存在PPP连接。因此服务器是所有通信的必经之路。

DHCP+技术的主要优点是使用DHCP+服务器只在用户接入网络前为用户提供配置与管理信息，一般不会成为瓶颈，并能够很容易地实现组播的应用。但是，DHCP+技术还没有正式的标准，产品和应用很少;不能防止地址冲突和地址盗用;不能按流量进行计费：不能对用户的数据流量进行控制;并且，应用DHCP+需要改变现有的后台管理系统。因此，这种方式目前还不具备实际应用的能力，需要等待进一步成熟后才能考虑使用。

2.用户管理

宽带IP城域网的用户主要有两类，即集团用户和家庭用户，集团用户一般采用包月制方式，不需要认证，而家庭用户一般希望网络能够根据其实际需要提供业务和计费。因此，用户管理主要是对需要进行严格认证的用户的管理。

相对于分散认证分散管理方式(即将用户信息放置在靠近用户的汇集层上，用户接入网络时客户管理系统不需要到远端去就能获取有关用户的信息而完成对用户的认证)，采用集中认证集中管理方式(城域网中的用户集中在一起进行管理，用户接入网络时，客户管理系统利用RADIUS技术到用户管理中心获取有关用户的信息，完成对用户的认证)，管理起来非常方便，特别是在这种情况下，能够将宽带RADIUS服务器与窄带的RADIUS服务器集中放在一起，甚至将两者合二为一，实现宽窄带用户统一管理。因此，将成为必然的选择。但需要注意的是，在这种方式下客户管理系统可以根据网络业务量的大小放置在不同的位置上。

(1)分布式放置

分布式放置就是在靠近用户的汇接层(如接入汇接层)上设置客户管理系统，为该汇接层之下的用户提供认证、流量控制等功能。这样做，可以不需要大容量的客户管理系统，并使网络的可扩展性非常好。由于可以根据网络规模的大小和业务需要选择不同等级的、具有极好性能价格比的客户管理系统，因此不会出现因为分布式设置而像使用其他宽带接入服务器那样使造价过高的情况，同时为业务的进一步快速增长留下足够的空间。

(2)集中式放置

集中式放置就是在核心层上集中设置客户管理系统，对一个片区的大量小区和集团用户进行集中认证。这种方式的优势在于可以对用户进行集中管理，但对设备的要求比较高，很有可能成为网络进一步发展的瓶颈。因此建议在网络建设初期每个片区内用户比较少时，可以考虑采用这种方法。随着网络建设的不断发展和用户的不断增多，还是应该过渡到分布式设置：但集中式设置的系统并不是不用了，事实上它可以用来为分布式设置的系统提供业务汇集功能，如对于VPN业务，利用集中式设置的系统可以简化全网配置。

3.接入带宽控制

用户如果以以太网方式接入，则城域网提供给用户的一般是10/100Mbit/S以太网接口。用户对这样的速率并不满意，主要原因有两个：一是城域网目前能够提供的、需要较高带宽的、能够吸引用户的宽带业务并不多，大部分用户目前还不需要如此高的速率，他们希望运营商能够将带宽根据他们的实际需要分成多个等级，每个等级采用不同的收费标准;二是目前用户上网大部分是为了访问城域网之外的业务，而由于汇集层/骨干层/业务层设备的限制，在城域网之外速率并不高，因此用户希望运营商能够提供与汇集层/骨干层/业务层相适应的接入速率，以降低资费。从竞争角度和业务发展趋势来看，用户的这种合理要求应该予以满足。目前，这种要求可以采用两种不同方法实现。一种是在分散放置的客户管理系统上对每个用户的接入带宽进行控制，另一种是在用户接入点上对用户接入带宽进行控制。

在分散放置的客户管理系统上进行控制的优点在于网络中对客户管理系统以下的设备没有任何要求，普通的二层交换机(L2)以太网交换机就可以了，缺点在于所有设备处于一个共享LAN中，在客户管理系统以下的设备没有严格的带宽高低思想，使得资源不能充分利用。

在用户接入节点上进行控制的优点是能够充分利用接入层的网络资源，保证每个用户都能够得到其所需要的服务质量，缺点是需要接入层的设备支持。

4.IP地址分配与网络地址转换

IP地址资源问题?直是因特网建设中的难题之一。随着宽带城域网的建设，这个问题可能会变得更加严重。因为宽带网络的用户可能是永远全线的，特别是在包月制情况下，所以在宽带IP城域网中，除了建设初期用户IP地址可以采用公有IP地址之外，一般都采用私有IP地址。但即使如此也应该考虑到IP地址资源是非常有限的，随着网络规模的不断扩大与用户数的急剧增长，很快会耗尽。因此建议用户IP地址通过动态分配方式进行分配(IP地址既可以私有，也可以公有)。用户访问网络资源时，从IP地址池中临时申请到一个IP地址，使用完后再归还到IP地址池中。而IP地址池，可以位于客户管理系统上，也可以集中放置在RADIUS服务器上。

由于高速接入因特网是宽带城域网的主要业务，而进行因特网访问时，用户必须使用全球唯一的IP地址。因此，在宽带1P城域网建设中如果采用了私有IP地址，运营商应该保证用户在使用私有IP地址时同样可以接入因特网，解决办法就是采用专门的IP地址转换设备或采用带网络地址转换(NAT)插卡的客户管理系统，将私有IP地址转换成运营商自己的公有IP地址，从而可以进行统一的因特网寻址。在网络转换设备中，私有IP地址转换为公有IP地址可以有3种实现方式，即静态方式、动态方式和复用动态方式。其中，静态方式是通过配置将一个私有用户地址与一个公有IP地址对应，用于接入外部网络的用户数比较少时;动态方式是用户接入外部网络时，网络设备从公有IP地址池中选择一个空闲的IP地址与其私有IP地址对应;复用动态方式利用公有IP地址和TCP端口号来标识私有IP地址和TCP端口号，协议规定使用16位的端口号，除去一些保留的端口外，一个公有IP地址可以区分多达6万个采用私有IP地址的用户端口号。由于一般运营商申请到的公有IP地址比较少，而用户数却可能很多，因此一般都采用复用动态方式。

宽带ip城域网是一个整体，在这个整体中网络建设与ip地址分配应该统一规划。因此，除了在网络建设初期，由于覆盖范围比较小，用户数量比较少可以采用分布式设置NAT之外，最好采用集中式放置NAT,以进一步减少公有IP地址的使用，节省投资，便于管理。特别是，集中放置的高端NAT设备保证了全网的网络性能几乎不受其影响。

5.用户信息安全

用户信息安全问题一直是IP网络中的讨论热点，在宽带IP城域网建设中，也肯定会成为人们关注的焦点之一。事实上，在网络建设初期，用户对安全性可能要求不高。但是，随着用户数的不断上升和用户使用的业务种类不断增多，特别是电子商务的逐渐普及，用户将会越来越多地考虑到信息的安全性。

用户信息的不安全性主要是由用户处于以太网环境中引起的，因此要保证用户信息的安全性，就必须实现以太网环境下的用户隔离。目前主要采用的技术为VLAN技术。VLAN技术是由IEEES023q和IEEE802.1q定义的，基本思想是在传统的以太网的帧结构中加入VLAN标识，划分在一个VLAN中的用户才能互相通信，不同VLAN中的用户互相隔离，一个设备支持的最大VLAN数量为4095.在宽带IP城域网中，在接入设备上可以将用户划分成一个VLAN,划分策略可以是基于设备的端口、用户MAC地址、用户IP地址或其他策略。客户管理系统终结所有VLAN,实现三层交换功能，并实现IP地址与用户MAC地址和VLANID的绑定，防止IP地址的盗用。如果不采用动态分配IP地址，则每个用户至少需要占用4个IP地址，对IP地址的消耗很大。为此，客户管理系统支持称为overlap功能的VLAN,基本思想是：对每一层上的设备，下行端口分别处于一个VLAN中，上行端口分别与每个端口处于一个VLAN中，传输的以太网帧为传统的以太网帧，不含VLANID,-方面可以使网络支持的用户数不受VLAN个数的限制，另一方面静态分配IP地址时只需要给用户分配一个IP地址。

采用VLAN实现用户之间的隔离，严格论证的方法对需要进行认证的用户进行认证和计费，应该是城域网建设的发展趋势。

6.网络管理

宽带IP城域网络管理的要求与因特网络管理的要求是一样的，如支持基于Web、Telnet、GUI和命令行程序接口(CommandLineInterface,CLI)的网络管理方式，支持SNMP、RMON等网络管理协议，支持带内和带外网络管理信息通道等。但其特殊性，主要体现在宽带IP城域网中集中了多个厂商的设备，并直接面向各种不同类型的用户，因此其网络管理系统也应该支持这种特殊性，即支持与其他网络管理系统的集成，以方便地实现多个厂商设备的统一管理;支持按时长、按流量、包月制等多种计费方式或者针对不同的策略进行计费的功能，以满足城域两不同用户的需求。

对于如何管理宽带IP城域网，目前有4种方式，即采用带内网络管理、带外网络管理、两种方式同时使用或者两种方式混合使用(即城域汇接层及其以上层次的设备采用带外网络管理;城域汇接层以下设备采用带内网络管理)。从网络层次划分来看，城域网城域部分应该采用统一的管理方式，而城域网城域接入部分，应该根据具体情况来实现。具体地说就是如果运营商为自己建设网络，则由于投资少、实现快，能够满足全部管理要求，因此宜采用混合方式。如果运营商为其他投资者建设网络，则应该采用带内网络管理比较符合实际情况。7.5.4几种典型IP塽域网的应用

典型的IP城域网应用包括信息化智能小区、商业楼(区)、校园网、企业网等。按照其提供的业务，可划分为两种类型：接入型园区网络和互连型园区网络。

接入型园区网的典型是信息化小区系统，其业务以因特网接入和小区内宽带业务的接入为主，用户间交互的业务为辅。接入型业务要求系统能提供较完善的AAA(认证、鉴权和计费)功能，用户能实现动态业务选择，通过PPPoE+RADlUS服务器方式满足用户对网络安全性的要求。宽带接入服务器(BAS)可以实现上述功能，帮助运营商针对不同的用户和不同的业务，施予不同的带宽和流量控制策略。

互连型园区网的典型是企业网和校园网，业务以用户间的互通为主，互连型业务需要系统提供VPN功能。引入综合接入服务器能实现VPN的集中处理，有效降低系统造价。此外，从运营的角度考虑，支持多视域管理的功能也是非常必要的。视域包括全局视域和客户视域两种。全局视域是指网络运营商的视域，网络运营商可以查看系统的全貌，对系统的全局参数进行配置：客户视域是ISP/VPN等客户的视域，视域之间相互隔离，各个租用带宽的ISP/VPN用户只能查看和配置自己购买的服务的相关参数。

编辑推荐：

2015年通信工程师考试报考指南

更多通信工程师考试辅导资料 点击查看

（责任编辑：黑天鹅）

共2页,当前第1页  第一页  前一页  下一页