【正文】 N1 14 陽江 YJVPDN1 15 梅州 MZVPDN1 16 韶關 SGVPDN1 17 茂名 MMVPDN1 18 潮洲 CZVPDN1 19 汕尾 SWVPDN1 20 清遠 QYVPDN1 21 河源 HYVPDN1 22 潮陽 CYVPDN1 23 云浮 YFVPDN1 24 揭陽 JYVPDN1 廣東省視聆通五期擴容工程系統(tǒng)設計 機密 廣東省視聆通五期擴容工程 第 25 頁 共 32 頁 系統(tǒng)設計 /VPDN 部分 /200622 附件二 : 設備清單 VPDN 接入服務器一覽表 序號 節(jié)點名 VPDN 入服務器 備注 設備 AS5300 ， IOS PLUS 數(shù)量 PSTN 端口數(shù) ISDN 端口數(shù) 1 廣州 120 MICA DMM Modems， 1 MICA2 CC and 1 Octal E1/PRI Card E1 Cable RJ45 to Dual BNC (Unbalanced) 1 8 120 120 2 深圳 120 MICA DMM Modems， 1 MICA2 CC and 1 Octal E1/PRI Card E1 Cable RJ45 to Dual BNC (Unbalanced) 1 8 120 120 3 江門 120 MICA DMM Modems， 2 MICA2 CC and 1 Quad E1/PRI Card E1 Cable RJ45 to Dual BNC (Unbalanced) 1 4 120 0 4 汕頭 120 MICA DMM Modems， 2 MICA2 CC and 1 Quad E1/PRI Card E1 Cable RJ45 to Dual BNC (Unbalanced) 1 4 120 0 5 珠海 120 MICA DMM Modems， 2 MICA2 CC and 1 Quad E1/PRI Card E1 Cable RJ45 to Dual BNC (Unbalanced) 1 4 120 0 6 湛江 120 MICA DMM Modems， 2 MICA2 CC and 1 Quad E1/PRI Card E1 Cable RJ45 to Dual BNC (Unbalanced) 1 4 120 0 廣東省視聆通五期擴容工程系統(tǒng)設計 機密 廣東省視聆通五期擴容工程 第 26 頁 共 32 頁 系統(tǒng)設計 /VPDN 部分 /200622 7 惠州 120 MICA DMM Modems， 2 MICA2 CC and 1 Quad E1/PRI Card E1 Cable RJ45 to Dual BNC (Unbalanced) 1 4 120 0 8 東莞 120 MICA DMM Modems， 1 MICA2 CC and 1 Octal E1/PRI Card E1 Cable RJ45 to Dual BNC (Unbalanced) 1 8 120 120 9 佛山 120 MICA DMM Modems， 2 MICA2 CC and 1 Quad E1/PRI Card E1 Cable RJ45 to Dual BNC (Unbalanced) 1 4 120 0 10 中山 120 MICA DMM Modems， 2 MICA2 CC and 1 Quad E1/PRI Card E1 Cable RJ45 to Dual BNC (Unbalanced) 1 4 120 0 11 南海 120 MICA DMM Modems， 2 MICA2 CC and 1 Quad E1/PRI Card E1 Cable RJ45 to Dual BNC (Unbalanced) 1 4 120 0 12 順德 120 MICA DMM Modems， 2 MICA2 CC and 1 Quad E1/PRI Card E1 Cable RJ45 to Dual BNC (Unbalanced) 1 4 120 0 13 肇慶 120 MICA DMM Modems， 2 MICA2 CC and 1 Quad E1/PRI Card E1 Cable RJ45 to Dual BNC (Unbalanced) 1 4 60 60 廣東省視聆通五期擴容工程系統(tǒng)設計 機密 廣東省視聆通五期擴容工程 第 27 頁 共 32 頁 系統(tǒng)設計 /VPDN 部分 /200622 14 陽江 120 MICA DMM Modems， 2 MICA2 CC and 1 Quad E1/PRI Card E1 Cable RJ45 to Dual BNC (Unbalanced) 1 4 120 0 15 梅州 60 MICA DMM Modems， 1 MICA2 CC and 1 Quad E1/PRI Card E1 Cable RJ45 to Dual BNC (Unbalanced) 1 4 60 60 16 韶關 60 MICA DMM Modems， 1 MICA2 CC and 1 Quad E1/PRI Card E1 Cable RJ45 to Dual BNC (Unbalanced) 1 4 60 60 1。 and UDP transaction logs that track user access by source/destination address and port pair. 7． Quality of Service Cisco IOS software supports IP precedence, priority queuing, custom queuing, WFQ, WRR, GTS, CAR, fragmentation amp。 ? 利用 PAP, CHAP, MSCHAP (MD4CHAP)進行用戶認證。計費數(shù)據(jù)采集過程如下： 按照計費信息產(chǎn)生的流程，當 VPDN 用 戶通過 NAS 撥入，并通過用戶身份驗證之后，省網(wǎng)管中心 VPDN 專用 Radius 將會記錄下用戶會話的開始時間；當用戶離線之后， Radius 將會記錄下用戶會話的結(jié)束時間，而后將這個會話過程所占用的資源，如：時長、流量等計費信息以原始計費 log文件的形式放置在指定的共享目錄中，由后臺管理系統(tǒng)以 tftp 或 NFS 方式取出，并由其對計費信息進行處理，產(chǎn)生相應記錄，該過程與普通撥號用戶的計費流程類似，只是在所傳送的具體信息方面有所區(qū)別。 具體地說，當 NAS 通過局端 Radius 判斷用戶是合法的 VPDN用戶，并從局端 Radius獲知應該接入到哪個用戶網(wǎng)關路由器以后， NAS 向該用戶網(wǎng)關發(fā)起建立 L2TP 通道的呼叫，在該呼叫過程中 ， NAS 和用戶網(wǎng)關需要交互式地驗證彼此的身份，若二者彼此驗證成功，則 NAS 將完整的用戶信息發(fā)送給用戶網(wǎng)關，用戶網(wǎng)關可以根據(jù)企業(yè)自身的需要，可以通過企業(yè)自身的RADIUS 服務器對該用戶進行進一步的身份驗證，以確定該用戶的合法性，以及該用戶對企業(yè)內(nèi)部網(wǎng)絡資源的訪問權限，驗證完成之后，用戶網(wǎng)關將直接向用戶回送 PPP CHAP AuthenOK 確認信息，之后，用戶可以以普通的 PPP 上網(wǎng)方式直接與用戶網(wǎng)關進行通信，訪問企業(yè)內(nèi)部網(wǎng)絡資源。 VPDN 初期的計費將針對 VPDN 公司帳號，不針對個人帳號。它由如下字段組成： ? 第一個字段是與本服務器 RADIUS 通訊的服務器的 IP 地址或主機名； ? 第二個字段是加密的密鑰 (最長 15 個字節(jié) )，而且必須與 MAX4000 或其它RADIUS 設置相同。如下圖所示： 用戶通過 Modem/TA 連通作為 VPDN 接入的 NAS（ 5300）。在 AccessPath 系統(tǒng)中， AS5300系列能夠和高性能幀交換機以及集群路由器相集成，以提供冗余性、單一的集中式管理接口和高速的廣域網(wǎng)主干集中器。使用 Cisco IOS 給 AS5300 帶來的另一個好處是：它支持的協(xié)議范圍廣泛，層次很深。 AS5300 上的任何一個功能擴展插槽可以用來選擇安裝下列卡之一： 四口 T1/PRI 卡： 四口 E1/PRI 卡： 廣東省視聆通五期擴容工程系統(tǒng)設計 機密 廣東省視聆通五期擴容工程 第 9 頁 共 32 頁 系統(tǒng)設計 /VPDN 部分 /200622 注： AS5300 的集成式信道服務單元（ CSU），信道組，路由器和調(diào)制解調(diào)器可容接 ISDN 主速率接口（ PRI） T1/E1 線路或信道式 T1/E1 線路。 AS5300 的時鐘同步： AS5300 將從 E1口上提取同步信號作為其 WAN 口的同步信號，其 Ether 口的同步信號從 HUB 上提取。通過這種方式的處理，服務提供商可以通過 RADIUS 為 MIS管理員提供用戶計費信息，對用戶進行收費處理。接下來 LAC 可以使用 CHAP 或 PAP 的協(xié)商協(xié)議對端系統(tǒng) /用戶進行身份驗證，只有 LAC 發(fā)現(xiàn)用戶名中有一個 domain 指明該用戶屬于某一個VPDN 的服務時，它才會啟動 VPDN 功能。 由于 VPDN 主要是利用公網(wǎng)構(gòu)造虛擬專用網(wǎng)，必須采用相應的技術以保證數(shù)據(jù)在公網(wǎng)上的安全傳輸。 認證方式采用 Radius 集中認證方式來組建 VPDN。在廣東省，我們利用視聆通網(wǎng)所提供的承載功能，結(jié)合相應的認證和授權機制，可以建立安全的虛擬私有網(wǎng)絡。該 VPN 的核心是通過 L2TP（ Layer Two Tunnel Protocol）協(xié)議，來實現(xiàn)第二層的隧道封裝。廣東省視聆通五期擴容工程系統(tǒng)設計 機密 廣東省視聆通五期擴容工程 第 2 頁 共 32 頁 系統(tǒng)設計 /VPDN 部分 /200622 由于各個城市的具體需求不同，從而各地的 CISCO AS5300 配置不同，詳細參考附錄二：設備清單。 (關于 VPDN 的安全在第 5 章詳細說明 ) VPDN 的網(wǎng)址采用公司內(nèi)部的網(wǎng)址，網(wǎng)址的分配根據(jù)用戶的要求和相關的業(yè)務規(guī)定進行。 當撥號用戶處初始化一個呼叫到訪問服務器（計為 LAC ），它發(fā)出 PPP的連接請求， LAC 接收此呼叫后，就在撥號用戶和 LAC 之間建立了一條 PPP的鏈路。 當使用 Modem， ISDN TA 或橋 /路由器的遠端用戶請求訪問一個由RADIUS 管理的網(wǎng)絡時，網(wǎng)絡接入服務器，如 Cisco接入服務器，將會對該呼叫進行應答； Cisco LAC 通過 PAP/CHAP 協(xié)議獲取了用戶的用戶名和口令后，將試圖在本地對用戶的合法性進行驗證，即在接入服務器內(nèi)部進行（可以通過配置指明先在本地還是直接在 RADIUS 服務器上進行驗證）；如果本地沒 有該用戶信息， Cisco LAC 將把該信息提交給局端 RADIUS 服務器進行驗證；一旦用戶通過驗證， RADIUS 將會把驗證信息，連同存放在