華為——NGN承載網(wǎng)網(wǎng)絡(luò)規(guī)劃與優(yōu)化解決方案

1、華為技術(shù)有限公司華為技術(shù)有限公司 服務(wù)營銷中心服務(wù)營銷中心 ngn對承載網(wǎng)的要求 pngn對承載網(wǎng)對承載網(wǎng)qos的要求的要求 l端到端帶寬保證，滿足業(yè)務(wù)的要求端到端帶寬保證，滿足業(yè)務(wù)的要求 l承載網(wǎng)時延承載網(wǎng)時延40ms； l承載網(wǎng)時延抖動承載網(wǎng)時延抖動10ms； l丟包率丟包率0.1 ； pngn對承載網(wǎng)安全性的要求對承載網(wǎng)安全性的要求 l不受蠕蟲病毒、黑客等外界攻擊不受蠕蟲病毒、黑客等外界攻擊 lngn業(yè)務(wù)持續(xù)可用、確保隱私業(yè)務(wù)持續(xù)可用、確保隱私 l對常見病毒的免疫功能對常見病毒的免疫功能 lngn業(yè)務(wù)、承載網(wǎng)不被盜用業(yè)務(wù)、承載網(wǎng)不被盜用 pngn對承載網(wǎng)的可用性要求對承載網(wǎng)的可用性要求

2、l網(wǎng)絡(luò)的可用性達(dá)到網(wǎng)絡(luò)的可用性達(dá)到99.99% llsp備份，故障切換時間備份，故障切換時間50ms l可部署獨立的信令網(wǎng)可部署獨立的信令網(wǎng) l網(wǎng)絡(luò)支持主備雙平面結(jié)構(gòu)網(wǎng)絡(luò)支持主備雙平面結(jié)構(gòu) ngn承載網(wǎng)的qos問題 2003年12月4日18：22：345日3：10：5 某城域網(wǎng)承載網(wǎng)質(zhì)量實測 平均丟包 率0.14% 瞬態(tài)丟包 率50 平均時 延9ms 最大時 延 1058ms pip網(wǎng)絡(luò)的平均性能較好，瞬態(tài)特性很差網(wǎng)絡(luò)的平均性能較好，瞬態(tài)特性很差 l時延：時延：平均時延只有平均時延只有9ms，但是瞬態(tài)時延可能達(dá)到，但是瞬態(tài)時延可能達(dá)到1s l丟包率：丟包率：平均丟包率只有平均丟包率只有0.14

3、%，瞬態(tài)丟包率可達(dá)，瞬態(tài)丟包率可達(dá)50 pip網(wǎng)絡(luò)特性具有突發(fā)和不可預(yù)知的特點網(wǎng)絡(luò)特性具有突發(fā)和不可預(yù)知的特點 p即使是輕載網(wǎng)，即使是輕載網(wǎng)， ip網(wǎng)絡(luò)也不能保證網(wǎng)絡(luò)也不能保證qos ngn承載網(wǎng)引起的安全問題 p運(yùn)營商業(yè)務(wù)的安全問題：運(yùn)營商業(yè)務(wù)的安全問題： l業(yè)務(wù)盜用業(yè)務(wù)盜用：未經(jīng)授權(quán)使用未經(jīng)授權(quán)使用ngn業(yè)務(wù)，導(dǎo)致運(yùn)營商收入流失；業(yè)務(wù)，導(dǎo)致運(yùn)營商收入流失； l帶寬盜用帶寬盜用：利用：利用ngn設(shè)備端口連接用戶私有的數(shù)據(jù)網(wǎng)絡(luò)；設(shè)備端口連接用戶私有的數(shù)據(jù)網(wǎng)絡(luò)； ldos攻擊攻擊：通過網(wǎng)絡(luò)層或應(yīng)用層的大流量攻擊，使：通過網(wǎng)絡(luò)層或應(yīng)用層的大流量攻擊，使ngn設(shè)備無法響設(shè)備無法響 應(yīng)正常用戶的業(yè)務(wù)請

4、求或降低業(yè)務(wù)的品質(zhì)。應(yīng)正常用戶的業(yè)務(wù)請求或降低業(yè)務(wù)的品質(zhì)。 p運(yùn)營商設(shè)備的安全問題運(yùn)營商設(shè)備的安全問題 l破壞設(shè)備程序及數(shù)據(jù)破壞設(shè)備程序及數(shù)據(jù)：通過：通過ngn設(shè)備遠(yuǎn)程加載或數(shù)據(jù)配置流程的漏設(shè)備遠(yuǎn)程加載或數(shù)據(jù)配置流程的漏 洞破壞設(shè)備，通常的洞破壞設(shè)備，通常的tftp、ftp、snmp等協(xié)議均存在安全漏洞。等協(xié)議均存在安全漏洞。 l病毒攻擊病毒攻擊：通過病毒入侵的方式破壞：通過病毒入侵的方式破壞ngn設(shè)備，或者用戶被病毒感設(shè)備，或者用戶被病毒感 染的計算機(jī)自動攻擊染的計算機(jī)自動攻擊ngn設(shè)備，造成業(yè)務(wù)的中斷或者劣化；設(shè)備，造成業(yè)務(wù)的中斷或者劣化； l黑客攻擊黑客攻擊：通過非常規(guī)的技術(shù)手段獲得：通

5、過非常規(guī)的技術(shù)手段獲得ngn設(shè)備的控制權(quán)。設(shè)備的控制權(quán)。 p用戶業(yè)務(wù)的安全問題用戶業(yè)務(wù)的安全問題 l用戶仿冒用戶仿冒：盜用其他用戶的帳號及權(quán)限使用業(yè)務(wù)；：盜用其他用戶的帳號及權(quán)限使用業(yè)務(wù)； l非法監(jiān)聽非法監(jiān)聽：非法監(jiān)聽其他用戶呼叫的主被叫信息或媒體流內(nèi)容。：非法監(jiān)聽其他用戶呼叫的主被叫信息或媒體流內(nèi)容。 ngn承載網(wǎng)的可用性問題 p承載網(wǎng)瞬態(tài)承載網(wǎng)瞬態(tài)qos特性較差引起的話音瞬斷；特性較差引起的話音瞬斷； p路由器的故障檢測和處理機(jī)制不完善；路由器的故障檢測和處理機(jī)制不完善； l對于以太網(wǎng)鏈路，故障檢測時間達(dá)到對于以太網(wǎng)鏈路，故障檢測時間達(dá)到1s量級；量級； l沒有針對連接或者流的故障檢測機(jī)制

6、；沒有針對連接或者流的故障檢測機(jī)制； l路由器一般通過軟件處理故障。路由器一般通過軟件處理故障。 p較大規(guī)模承載網(wǎng)的路由收斂緩慢，路由收斂時間幾秒到分鐘量級較大規(guī)模承載網(wǎng)的路由收斂緩慢，路由收斂時間幾秒到分鐘量級 pngn業(yè)務(wù)容易受到其他業(yè)務(wù)、如業(yè)務(wù)容易受到其他業(yè)務(wù)、如tcp振蕩的影響，可持續(xù)十幾秒振蕩的影響，可持續(xù)十幾秒 r2 r4 r3 r6 r1 r7 1、接口 或線路故 障(50ms -1s量級) 4、到r6 的報文繼 續(xù)送給r3 3、將到 r6的報 文丟棄 7、收到r3 的消息，路 由重計算 (1s量級) 8、到r6 的報文走 r4 語音流 數(shù)據(jù)流 2、故障檢測、 上報、軟件 處理(

7、100ms 量級) 5、備 份路由 倒換 6、到r6 的報文轉(zhuǎn) 發(fā)給r4 某城域網(wǎng)內(nèi)某連接的丟包率實測 某城域網(wǎng)內(nèi)某連接對應(yīng)的話音質(zhì)量實測 瞬時丟 包率達(dá) 到21 瞬時丟包 導(dǎo)致話音 質(zhì)量下降 另一連 接測試 緩慢的故障檢測和路由收斂造成話音的瞬斷 r1到r7初始路徑 r2到r6故障倒換后的路徑 r3接口倒換后的備份路徑 接入問題 pnat問題的普遍性問題的普遍性 lip地址緊張，部分網(wǎng)絡(luò)采用私網(wǎng)地址地址緊張，部分網(wǎng)絡(luò)采用私網(wǎng)地址 l出于安全方面的原因采用私網(wǎng)地址出于安全方面的原因采用私網(wǎng)地址 l部分企業(yè)部分企業(yè)/園區(qū)采用園區(qū)采用proxy方式出口方式出口 l運(yùn)營商重用公網(wǎng)運(yùn)營商重用公網(wǎng)ip作

8、為作為ngn的的ip編址編址 pngn業(yè)務(wù)接入組網(wǎng)面臨的問題業(yè)務(wù)接入組網(wǎng)面臨的問題 l多種多種nat穿越方案的選擇穿越方案的選擇 lmgcp、sip、h.248、h.323等多種協(xié)議的支持等多種協(xié)議的支持 l多種的接入方式的選擇（多種的接入方式的選擇（xdsl/雙絞線、以太網(wǎng)雙絞線、以太網(wǎng) /cat5、cm/hfc、wifi/無線）無線） l多種接入設(shè)備的選擇（多種接入設(shè)備的選擇（ag、iad、e-phone） l對于接入網(wǎng)的對于接入網(wǎng)的qos目前沒有成熟方案目前沒有成熟方案 數(shù)據(jù)穿越 voip sdp穿越 error 目前工程中存在的問題 目前工程中存在的問題 母局新組網(wǎng)方案（一） ngn

9、bearer network softx mrs6100 umg gk sg l10l20 r1 r2 f10f20 vrrp mcu8630 vrrp n*fe l1l2 f1f2 n*fe l3l4 n*fe vrrp lan（1） lan（2） ums / iadms f1/f2、f10/f20 ：firewall（transparent mode） l1/l2、l10/l20 and l3/l4 ：layer 3 switch r1/r2 ：router （ or ne40） shlr mediax outside network port for outband management

10、 1、建議、建議umg的信令、媒體和網(wǎng)管都配置單獨接口的信令、媒體和網(wǎng)管都配置單獨接口 2、若、若ngn遠(yuǎn)端設(shè)備等都沒有配置俗稱遠(yuǎn)端設(shè)備等都沒有配置俗稱“帶內(nèi)管理通道帶內(nèi)管理通道”，ums則無需互聯(lián)則無需互聯(lián) l10 母局新組網(wǎng)方案（二） ngn bearer network softx mrs6100 umg gk sg l10l20 r1 r2 f10f20 vrrp mcu8630 vrrp n*fe l1l2 f1f2 n*fe l3l4 n*fe/ge vrrp lan（1） lan（2） ums / iadms f1/f2、f10/f20 ：firewall（transparent

11、 mode） l1/l2、l10/l20 and l3/l4 ：layer 3 switch r1/r2 ：router （ or ne40） shlr mediax outside network port for outband management ngn bearer network softxmrs6100 ums / iadms umg gk sg l10l20 r1r2 f10f20 vrrp 母局新組網(wǎng)方案（三） mcu8630 vrrp n*fe l1l2 f1f2 n*fe l3l4 n*fe/ge vrrp mediax shlr f1/f2、f10/f20 ：firew

12、all（transparent mode） l1/l2、l10/l20 and l3/l4 ：layer 3 switch r1/r2 ：router （ or ne40） outside network port ngn bearer network softx mrs6100 ums / iadms umg gk sg r1r2 mcu8630 n*fe/ge f1f2 母局組網(wǎng)方案（四） l1 #2lan 3lan control router module 4lan signalling 5lan other 6lan media l2 #2lan 3lan control route

13、r module 4lan signalling 5lan other 6lan media r1/r2 ：router l1/l2 ：layer 3 switch f1/f2 ：firewall（transparent mode） shlr mediax outside network port 信令、媒體和網(wǎng)管控制端口通過劃分不同信令、媒體和網(wǎng)管控制端口通過劃分不同vlan實現(xiàn)二層隔離實現(xiàn)二層隔離 ngn母局組網(wǎng)qos配置 before entering backbone ，according to the different interface(physical or logical),

14、mark the different tags for: media: mark as ef signal: mark as af nms : mark as be there is only one type of service (signaling) between the switch groups, the bandwidth is ensured without congestion, no qos methods need to be deployed. there is only one type of service (signaling) in vrrp group, th

15、e bandwidth between them is ensured without congestion, no qos methods need to be deployed. umss outside network port inside network port er map the port of l7 to nms vpn, qos for nms: phb=be or phb=af4, car need to be deployed. for tg/ag the nms bandwidth is 2.5% of media. ngn母局組網(wǎng)可靠性配置 ngn bearer n

16、etwork softx mrs6100umg gk sg l10l20 r1 r2 f10f20 vrrp mcu8630 vrrp n*fe l1l2 f1f2 n*fe l3l4 n*fe vrrp lan（1） lan（2） ums shlr mediax 母局邊緣路由器 pe的雙歸屬 母局出口防火墻 的主備配置 母局組網(wǎng)交換機(jī)主從冗 余備份，vrrp配置， bfd快速檢測機(jī)制 ngn核心設(shè)備的信 令端口主備冗余， bfd檢測機(jī)制 umg媒體端口雙子網(wǎng)、 雙歸屬，bfd檢測， 在線切換 路由接口之間的bfd 檢測，可快速檢測 至ip層故障 sbc在母局組網(wǎng)的融合考慮 ngn vpn或或

17、ip專網(wǎng)專網(wǎng) softx mrs n2000/iad-ms umg sg l10l20 r1r2 f10f20 mcu l1l2 f1f2 l3 l5 l6 f3 f4 f1/f2、f10/f20 and f3/f4： firewall（transparent mode） l1/l2、l10/l20 、l3/l4 and l5/l6 ： layer 3 switch r1/r2 ：router （or ne40） r3 r4 gk 外網(wǎng)口 mediax shlr internet /ip公網(wǎng)公網(wǎng) portal server l4 核 心 類 服 務(wù) 區(qū) 管 理 類 服 務(wù) 區(qū) porta l服

18、務(wù) 區(qū) 本 地 維 護(hù) 區(qū) tellin （enip） tellin單獨組網(wǎng)方式1 l30l31 f5f6 l3l4 l32l33 l34l35 l5l6 f3f4 internet公網(wǎng)公網(wǎng) ngn 承載網(wǎng)承載網(wǎng) r1r2 f7f8 l36 mrs m s s usau asadppgw smpoamsemswpsrs portal fep 內(nèi)部專網(wǎng)內(nèi)部專網(wǎng) 外部專網(wǎng)外部專網(wǎng) sys smap wmc oam client ems client report client nm s 計 費(fèi) oss 核心類服務(wù)區(qū) 管理類服務(wù)區(qū) portal服務(wù)區(qū) 本地維護(hù)終端區(qū) bam_mrsbam_usau

19、tellin單獨組網(wǎng)方式2 l30l31 f5f6 l3l4 l32l33 l5l6 f3f4 internet公網(wǎng)公網(wǎng) ngn 承載網(wǎng)承載網(wǎng) r1r2 f7f8 mrs m s s usauasadppgw smpoamsemswpsrs portal fep 內(nèi)部專網(wǎng)內(nèi)部專網(wǎng) 外部專網(wǎng)外部專網(wǎng) sys smap wmcoam client ems client report client nm s 計 費(fèi) oss 核心類服務(wù)區(qū) 管理類服務(wù)區(qū) portal服務(wù)區(qū) 本地維護(hù)終端區(qū) bam_usaubam_mrs l36 tellin單獨組網(wǎng)方式3 l3l4 l32l33 l34 l5l6 f3

20、f4 internet公網(wǎng)公網(wǎng) ngn 承載網(wǎng)承載網(wǎng) r1 r2 f7f8 mrs m s s usauasadppgw smpoamsemswpsrs portal fep 內(nèi)部專網(wǎng)內(nèi)部專網(wǎng) 外部專網(wǎng)外部專網(wǎng) sys smap wmcoam client ems client report client nm s 計 費(fèi) oss 核心類服務(wù)區(qū) 管理類服務(wù)區(qū) portal服務(wù)區(qū) 本地維護(hù)終端區(qū) bam_usaubam_mrs l36 tellin在母局組網(wǎng)的融合考慮 ngn vpn或或ip專網(wǎng)專網(wǎng) softx mrs（for sx3000） n2000/iad-ms umg sg l10l20

21、 r1r2 f10f20 mcu l1l2 f1f2 l3 l5 l6 f3 f4 f1/f2、f10/f20 and f3/f4： firewall（transparent mode） l1/l2、l10/l20 、l3/l4 and l5/l6 ： layer 3 switch r1/r2 ：router （or ne40） r3 r4 gk 外網(wǎng)口 mediax shlr internet /ip公網(wǎng)公網(wǎng) portal server l4 核核 心心 類類 服服 務(wù)務(wù) 區(qū)區(qū) 管管 理理 類類 服服 務(wù)務(wù) 區(qū)區(qū) port al服服 務(wù)區(qū)務(wù)區(qū) 本本 地地 維維 護(hù)護(hù) 區(qū)區(qū) tellin （e

22、nip） mrs（for as）mss to r1/r2 as l30 l31 f5 f6 （與（與l3/l4是相同是相同 一組三層交換機(jī)）一組三層交換機(jī)） ngn母局組網(wǎng)的安全性總結(jié) ngn vpn或或ip專網(wǎng)專網(wǎng) softx mrs n2000/iad-ms umg sg l10l20 r1 r2 f10f20 mcu l1l2 f1f2 l3 l5 l6 f3 f4 r3 r4 gk 外網(wǎng)口 mediax shlr internet /ip公網(wǎng)公網(wǎng) portal server l4 核 心 類 服 務(wù) 區(qū) 管 理 類 服 務(wù) 區(qū) porta l服務(wù) 區(qū) 本 地 維 護(hù) 區(qū) tellin

23、（enip） mrs（for as）mss to r1/r2 as l30 l31 f5 f6 terminalvobb access broadband access pc （softphone） videophone bras / pe vobb中的bras接入控制，sbc的 ngn業(yè)務(wù)代理，安全保護(hù)的前端級 internet 公網(wǎng) 接入的ngn業(yè) 務(wù)代理，web 訪問的防火墻 隔離，安全保 護(hù)的前端級 母局前置的防 火墻隔離，對 軟交換信令端 口監(jiān)控，其他 信令/控制端口 對外禁止，安 全保護(hù)措施的 多層次 母局中服務(wù)器類設(shè) 備與ngn核心機(jī)框 類設(shè)備分開組網(wǎng)， 保護(hù)ngn核心部件 對外

24、接口通道 acl配置，以 保護(hù)內(nèi)部端口 l3l4 文件傳送接口 ngn承載網(wǎng)解決方案演進(jìn)示意圖 ngn ip公網(wǎng)運(yùn)營模式 ip公網(wǎng)構(gòu)建公網(wǎng)構(gòu)建ngn承載網(wǎng)承載網(wǎng) 企業(yè)網(wǎng)企業(yè)網(wǎng) / 校園網(wǎng)校園網(wǎng) 寬帶接入網(wǎng)寬帶接入網(wǎng) (2) l3 sw l2 sw l2 sw pstn 企業(yè)網(wǎng)出口企業(yè)網(wǎng)出口 作作nat u-path iad open eye sip phone iad h.323 phone open eye amg tmg/umg iad 寬帶接入網(wǎng)寬帶接入網(wǎng) (1) iad bas 安全防線推到安全防線推到ngn母母 局邊緣局邊緣 ngn母局設(shè)備母局設(shè)備 ip-ip網(wǎng)關(guān)網(wǎng)關(guān) l3 sw i

25、p vpn model ngn vpn diffserv: ef nms vpn diffserv:be internet vpn diffserv:be oss and billing pstn softx3000 sg7000 umg tmg 其他運(yùn)營商其他運(yùn)營商 iadms n2000 運(yùn)營商能夠控制的運(yùn)營商能夠控制的iad 運(yùn)營商無法控制的運(yùn)營商無法控制的iad amg sbc 關(guān)口局關(guān)口局 firewall firewall sip終端終端 openeye 媒體媒體/信令流信令流 帶外網(wǎng)管帶外網(wǎng)管 帶內(nèi)網(wǎng)管帶內(nèi)網(wǎng)管 media layer double plane: mpls-vpn

26、 disable diffserv enable single plane: mpls-vpn disable diffserv enable single plane: mpls-vpn enable diffserv enable signal layer vobb/internet enipsgbillingnms nms clientsg7000 sx3000 enip umgtmgamg/uamcu iad sip phone vpn ip專網(wǎng)專網(wǎng) 或公網(wǎng)或公網(wǎng) mstp sdh/wdm pe pe pe pe n*fe/ge vrrp pe pe pe dcn oss ngn網(wǎng)管專

27、網(wǎng) 方案方案1 方案方案2 方案方案4 方案方案5 煤體、信令與網(wǎng)管(fe/ge) 煤體、信令與網(wǎng)管(pos) 媒體、信令(fe/ge) 帶外網(wǎng)管(fe) pe 方案方案3 pe vlan if lan ngn遠(yuǎn)端接入場景 遠(yuǎn)端設(shè)備通過sdh接入ngn ip網(wǎng) 遠(yuǎn)端設(shè)備通過mstp接入ngn ip網(wǎng) 直接接入承載網(wǎng)邊緣路由器 ngn專網(wǎng)專網(wǎng) nms network router router pstn lan/pos/atm pe 主用鏈路主用鏈路 備用電路備用電路 ug pe mpls lsp mpls lsp lan接入總體方案 ngn骨干網(wǎng)骨干網(wǎng) bas internet 網(wǎng)網(wǎng) 骨干網(wǎng)：

28、骨干網(wǎng)：ip專網(wǎng)專網(wǎng) 或或 vpn網(wǎng)網(wǎng) iad iad pstn sbc sbc 運(yùn)營商可控邊界運(yùn)營商可控邊界 iad pc lan lan 家庭應(yīng)用家庭應(yīng)用 pc 樓道接入樓道接入 nat soho應(yīng)用應(yīng)用 lan switch 支持支持802.1p 支持支持802.1q lan switch dhcp serverradius server l3/pe voip voip internet 支持支持802.1p 支持支持802.1q 安全防線安全防線 xdsl接入方式（1） ngn骨干網(wǎng)骨干網(wǎng) bas internet 網(wǎng)網(wǎng) 骨干網(wǎng)：骨干網(wǎng)：ip專網(wǎng)專網(wǎng) 或或 vpn網(wǎng)網(wǎng) dslam 家庭

29、應(yīng)用家庭應(yīng)用1 iad pc ip超市超市 adsl modem iad upath iad在樓道在樓道 xdsl modemiad nat/proxy pstn pc sbc 運(yùn)營商可控邊界運(yùn)營商可控邊界 dhcp server radius server ngn業(yè)務(wù)業(yè)務(wù) 數(shù)據(jù)通道數(shù)據(jù)通道 安全防線安全防線 家庭應(yīng)用家庭應(yīng)用2 pcvideo phone video phone 或或ephone 或或ephone adsl modem sbc xdsl接入方式（2） ngn骨干網(wǎng)骨干網(wǎng) bas internet 網(wǎng)網(wǎng) 骨干網(wǎng)：骨干網(wǎng)：ip專網(wǎng)專網(wǎng) 或或 vpn網(wǎng)網(wǎng) dslam 家庭應(yīng)用家庭應(yīng)用3 pc sbc 運(yùn)營商可控邊界運(yùn)營商可控邊界 dhcp server radius server 安全防線安全防線 amg pstn spliter ua（綜合接入）（綜合接入） pc spliter 家庭應(yīng)用家庭應(yīng)用1 adsl mod