【文章內(nèi)容簡介】 IP解決方案） 普天通信 南京南方電訊公司 19用戶匯聚在一起，并且集中為這些用戶提供高度客戶化的 IP 業(yè)務(wù)。這些業(yè)務(wù)包括虛擬專用網(wǎng) (VPN)、可管理的防火墻、服務(wù)質(zhì)量策略、及強(qiáng)制網(wǎng)絡(luò)門戶等。迄今為止，只有通過許多種單一功能 CPE 昂貴的組合才能實(shí)現(xiàn)這些功能，而這些功能的安裝、管理及升級(jí)非常困難而且成本很高，牽涉到多種新興的、低成本的接入技術(shù) (如 DSL和 Cable等 )時(shí)尤其如此。 ShastaSSS 是北電網(wǎng)絡(luò)端到端 IP 結(jié)構(gòu)的 IP 業(yè)務(wù)組件，能夠與北電網(wǎng)絡(luò)的其它產(chǎn)品系列無縫地實(shí)現(xiàn)互通。這些產(chǎn)品包括 DSLAM、撥號(hào)遠(yuǎn)程接入服務(wù)器 (RAS)、有線電視電纜頭端設(shè)備、無線接入、 TDM網(wǎng)絡(luò)、 ATM交換、 IP 核心路由交換機(jī)。 設(shè)計(jì)原則 高性能 為了及時(shí)、迅速地處理網(wǎng)絡(luò)上傳送的資料，網(wǎng)絡(luò)設(shè)備必須具備高速處理能力，提供高速數(shù)據(jù)鏈路，保證網(wǎng)絡(luò)高吞吐能力，滿足各種應(yīng)用對(duì)網(wǎng)絡(luò)帶寬的需求。 首先，作為網(wǎng)絡(luò)核心交換設(shè)備的 M40交換路由器是專門為新一代的 INTERNET主干而設(shè)計(jì)的。它采用了先進(jìn)的共享內(nèi)存式體系結(jié)構(gòu)，保證路由器具有高達(dá)每秒四千萬包的吞吐率和低于 10微秒的包轉(zhuǎn)發(fā)延遲。獨(dú)立的路由計(jì)算引擎和路由轉(zhuǎn)發(fā)引擎保證了路由轉(zhuǎn)發(fā)的平滑性，除 M40以外的路由器均會(huì)在網(wǎng)絡(luò)拓?fù)渥兓鴮?dǎo)致的路由表重新計(jì)算時(shí)占用 CPU資源，從而導(dǎo)致路由的轉(zhuǎn)發(fā)性能下降。其特別設(shè)計(jì)的硬 件查找路由表方式可保證路由表項(xiàng)高達(dá)八萬條時(shí)轉(zhuǎn)發(fā)性能不會(huì)有絲毫降低 (今天 INTERNET主干路由表項(xiàng)為 5萬條 )。超大的路由表存貯空間可存貯最多 25萬條路由表項(xiàng)，為今后的發(fā)展留有充足的空間，為向 IPv6過渡作好充分的準(zhǔn)備。 杭州有線寬帶 IP城域網(wǎng)技術(shù)方案應(yīng)標(biāo)書（ IP解決方案） 普天通信 南京南方電訊公司 20其次，作為邊緣設(shè)備的 Accelar1200路由交換機(jī)的交換能力為 15Gbps，其第二層和第三層的轉(zhuǎn)發(fā)速率可達(dá) PPS。 靈活性和可擴(kuò)充能力 隨著用戶應(yīng)用規(guī)模的不斷擴(kuò)大，要求網(wǎng)絡(luò)可以方便地?cái)U(kuò)充容量，支持更多的用戶及應(yīng)用；隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，網(wǎng)絡(luò)必須能夠平滑地過渡到新的技 術(shù)和設(shè)備，保證用戶現(xiàn)有的投資； 我們所選用的各種網(wǎng)絡(luò)產(chǎn)品都具有良好的靈活性和可擴(kuò)充能力。北電網(wǎng)絡(luò)公司網(wǎng)絡(luò)產(chǎn)品的靈活性使用戶可以在路由方式、交換方式或共享方式，在不同的網(wǎng)絡(luò)傳輸協(xié)議（ ATM、以太網(wǎng)、快速以太網(wǎng)、令牌網(wǎng)），在不同的傳輸介質(zhì)（ UTP、多模光纖和單模光纖）之中靈活地選擇。 M40有 8個(gè)擴(kuò)展槽，支持各種接口板如 ATM、 POS、GbE、 E 100M和 10G以太網(wǎng)。 Accelar路由交換機(jī)也支持 POS、 GbE 和 10/100M以太網(wǎng)等多種技術(shù)，為用戶提供了方便。北電網(wǎng)絡(luò)公司網(wǎng)絡(luò)產(chǎn)品的可擴(kuò)展性充分地保護(hù)了用戶 的投資。 高可靠性和高可用性 高可靠性的一個(gè)重要體現(xiàn)是避免網(wǎng)絡(luò)出現(xiàn)單點(diǎn)失效。在網(wǎng)絡(luò)骨干上要提供備份鏈路，提供冗余路由。在網(wǎng)絡(luò)設(shè)備上要提供冗余配置，保證把局部故障對(duì)網(wǎng)絡(luò)的影響降低到最小。 我們本次所推薦的網(wǎng)絡(luò)產(chǎn)品具有很高的可靠性，一些網(wǎng)絡(luò)產(chǎn)品的平均無故障時(shí)間MTBF高達(dá) 17年之久。另外、所有網(wǎng)絡(luò)產(chǎn)品的功能部件（電源、系統(tǒng)總線、處理器模塊、網(wǎng)絡(luò)接口模塊等）均可以熱插拔和冗余熱備份。 杭州有線寬帶 IP城域網(wǎng)技術(shù)方案應(yīng)標(biāo)書（ IP解決方案） 普天通信 南京南方電訊公司 21在談到高可靠性的同時(shí)，決不能忽略設(shè)備的高可用性。有些 IP 設(shè)備除基本的資料轉(zhuǎn)發(fā)功能外，還有諸如包過濾、 QoS 保障、基于數(shù) 據(jù)流的計(jì)費(fèi)等特性。這些特性非常有用。不過，某些設(shè)備在這些特性的可用性方面非常差，比如，一旦啟動(dòng)包過濾或基于數(shù)據(jù)流的計(jì)費(fèi)等特性，設(shè)備的包轉(zhuǎn)發(fā)性能卻顯著下降，只能達(dá)到正常性能的十分之一。這些特性的可用性就非常差，基本上是一些擺設(shè)。 Juniper公司的新一代交換路由器 M40和北電網(wǎng)絡(luò)公司的 Accelar在這些方面表現(xiàn)很好，由于使用了最新的 ASIC 技術(shù)和微碼， M40和 Accelar在啟動(dòng)這些特性后，性能絲毫沒有下降。保障了設(shè)備的高可用性。 可管理性 對(duì)于大型網(wǎng)絡(luò)，尤其是地域分布極為分散的網(wǎng)絡(luò)，良好的組 織和管理對(duì)網(wǎng)絡(luò)的正常運(yùn)轉(zhuǎn)和高效使用有很大幫助，網(wǎng)絡(luò)應(yīng)該能夠提供方便、靈活、有力的工具，使得無論是安裝、操作還是使用對(duì)用戶來說都輕而易舉。 可管理性是我們所推薦的網(wǎng)絡(luò)產(chǎn)品最突出的特點(diǎn)之一。無論是高檔還是中檔設(shè)備，無論是集線器、交換機(jī)還是路由器，都集在統(tǒng)一的網(wǎng)絡(luò)管理軟件 Optivity 下，進(jìn)行控制、管理、設(shè)置和調(diào)整。 Optivity “虛擬專用網(wǎng) ”、 “互聯(lián)網(wǎng) ”、 “局域網(wǎng) ”和 “網(wǎng)絡(luò)應(yīng)用 ”四個(gè)層次進(jìn)行管理，并且具有配置、故障、安全、性能和記帳五種管理功能。 標(biāo)準(zhǔn)化 在結(jié)構(gòu)上實(shí)現(xiàn)真正開放，基于國際開放式標(biāo)準(zhǔn)，開放的網(wǎng)絡(luò)使用戶可以自由地選擇不同廠家的產(chǎn)品，不會(huì)受到某些廠家專有標(biāo)準(zhǔn)的限制，最大程度地保護(hù)用戶的利杭州有線寬帶 IP城域網(wǎng)技術(shù)方案應(yīng)標(biāo)書（ IP解決方案） 普天通信 南京南方電訊公司 22益。網(wǎng)絡(luò)的設(shè)計(jì)基于國際標(biāo)準(zhǔn)，網(wǎng)絡(luò)設(shè)備采用標(biāo)準(zhǔn)的接口和規(guī)范和協(xié)議，使不同廠家的設(shè)備可以順利地連接。如征詢書提到的 DPT技術(shù)為某廠商的專用技術(shù)，其它廠商并不正常，因此就不能實(shí)現(xiàn)未來與其它廠商設(shè)備的互通與互連。 采用開放性體系結(jié)構(gòu)與堅(jiān)持標(biāo)準(zhǔn)化是北電網(wǎng)絡(luò)公司一貫堅(jiān)持的產(chǎn)品開發(fā)原則，北電網(wǎng)絡(luò)公司作為各大國際標(biāo)準(zhǔn)化組織（ ITUT、 ATM論壇、 IETF等）的主要成員和標(biāo)準(zhǔn) 的制定者之一，所有網(wǎng)絡(luò)產(chǎn)品支持國際標(biāo)準(zhǔn)的網(wǎng)絡(luò)與接口協(xié)議，這使得北電網(wǎng)絡(luò)公司的產(chǎn)品可以提供很好的開放性，可以與任何遵循國際標(biāo)準(zhǔn)的廠家的網(wǎng)絡(luò)設(shè)備成功地進(jìn)行互連，有效地保護(hù)了用戶的投資。對(duì)一些還沒有標(biāo)準(zhǔn)化的技術(shù)和標(biāo)準(zhǔn)，為了滿足用戶需要，北電網(wǎng)絡(luò)公司會(huì)開發(fā)出特有的一些技術(shù)，以滿足和保證用戶的應(yīng)用。 網(wǎng)絡(luò)總體方案 網(wǎng)絡(luò)核心層 骨干網(wǎng)由 4 個(gè)節(jié)點(diǎn)組成，分別為總前端、邵逸夫大樓、羊壩頭和團(tuán)校。它們以不完全網(wǎng)狀網(wǎng)互連，保證了網(wǎng)絡(luò)結(jié)構(gòu)的可靠性和路由的冗余，任何一個(gè)節(jié)點(diǎn)，任何一條鏈路的故障都不會(huì)影響其它節(jié)點(diǎn) 和鏈路的正常運(yùn)行。在這 4 個(gè)骨干節(jié)點(diǎn)配置 M40 骨干路由器，各個(gè)核心節(jié)點(diǎn)間以千兆以太網(wǎng)相連接，各個(gè)節(jié)點(diǎn)分別配置 8 個(gè)千兆口用于連接應(yīng)用服務(wù)器和中繼互連， 96個(gè) 10/100M 端口連接用戶。 隨著業(yè)務(wù)的逐步開展，網(wǎng)絡(luò)的數(shù)據(jù)流量逐漸增加，這時(shí)可以采取兩種方式擴(kuò)展骨干帶寬。 杭州有線寬帶 IP城域網(wǎng)技術(shù)方案應(yīng)標(biāo)書（ IP解決方案） 普天通信 南京南方電訊公司 23一種方式是將多個(gè)千兆以太網(wǎng)捆綁形成 Trunk，另一種方式是將骨干鏈路升級(jí)為 。最為徹底的方式是在 10G 以太網(wǎng)標(biāo)準(zhǔn)化后，將骨干帶寬升級(jí)為 10Gbps 以太網(wǎng)。可以看到， M40 具有極好的擴(kuò)展性，滿足不斷增長的帶寬需求。 各個(gè)節(jié)點(diǎn)間的鏈路， 我們建議城區(qū)部分采用千兆以太網(wǎng)連接應(yīng)用服務(wù)器通過百兆以太網(wǎng)或 Cable Modem 連接各企事業(yè)單位和個(gè)人用戶，與郊區(qū)市縣采用超遠(yuǎn)距離千兆以太網(wǎng)模塊連接，實(shí)現(xiàn)高速的互連互通。 城區(qū)網(wǎng)絡(luò)邊緣層 城區(qū)共有 18個(gè)邊緣層節(jié)點(diǎn)，它們分別以雙歸宿的方式與最近的兩個(gè)核心節(jié)點(diǎn)相連。雙歸連接保證了網(wǎng)絡(luò)結(jié)構(gòu)的冗余和可靠，任何一個(gè)核心節(jié)點(diǎn)發(fā)生故障時(shí)，邊緣節(jié)點(diǎn)可以通過另外一條鏈路連接核心層，保證用戶資料不受影響。 18個(gè)邊緣節(jié)點(diǎn)建議采用 Accelar1200 第三層路由交換機(jī)。 A ccelar1200可以配置 POS、千兆以 太網(wǎng)、 10/100Mbps 以太網(wǎng)等接口，可以滿足不同的需求。配置 2 個(gè)千兆以太網(wǎng)端口用于上聯(lián)至核心層節(jié)點(diǎn)，配置 80個(gè) 10/100M 端口連接各個(gè)企事業(yè)單位用戶。 市縣網(wǎng)絡(luò)邊緣層 7 個(gè)郊區(qū)市縣按每市縣 3 個(gè)節(jié)點(diǎn)，共 21個(gè)節(jié)點(diǎn)，采用北電網(wǎng)絡(luò)公司Accelar1250 和 Accelar1100。 A ccelar1250 配置 POS 端口用于連接網(wǎng)絡(luò)核杭州有線寬帶 IP城域網(wǎng)技術(shù)方案應(yīng)標(biāo)書（ IP解決方案） 普天通信 南京南方電訊公司 24心層節(jié)點(diǎn)，市縣內(nèi)的其它兩個(gè)節(jié)點(diǎn)采用 Accelar1100。它們分別配置10/100Mbps 端口連接用戶。 IP業(yè)務(wù)層 IP 業(yè)務(wù)層由 ShastaSSG5000系統(tǒng)組成。如前所述，基于網(wǎng)絡(luò)提供 IP 業(yè)務(wù)如防火墻、 VPN、 QoS 保障是新興運(yùn)營商的重要標(biāo)志，也是未來的發(fā)展方向。 SSG5000支持豐富的業(yè)務(wù)，包括支持 VPN的隧道業(yè)務(wù)、安全性、流量管理、入口和話音集成。 虛擬專用網(wǎng)和隧道 隧道在鏈路技術(shù)上提供安全的連接，實(shí)現(xiàn)多種 VPN結(jié)構(gòu)和業(yè)務(wù)。 在接入環(huán)境中，第二層隧道協(xié)議 (L2TP)著重考慮了在用戶進(jìn)入網(wǎng)絡(luò)的接入點(diǎn) (L2TP接入集中器，或 LAC)與 ISP 或企業(yè)的設(shè)備 (L2TP 網(wǎng)絡(luò)服務(wù)器或 LNS)之間建立安全連接。 L2TP 本身派生于早期的 L2F和 PPTP 成果，它將二 者結(jié)合在一起。 當(dāng) L2TP 部署于 LAC 和 LNS 之間，這就是所說的 “強(qiáng)制隧道 ”。在這里，用戶的PPP會(huì)話在給定的 L2TP 隧道內(nèi)根據(jù)其域名進(jìn)行封裝。 SSG將激活 L2TP 隧道，并與RADIUS 服務(wù)器一起互作，進(jìn)行域名鑒別。 隧道還可在用戶的 PC機(jī)或路由器處激活。這就是所說的 “自愿隧道 ”，它可以基于L2TP、 PPTP 或 IPSec。鑒于客戶機(jī)的支持情況，后兩種選項(xiàng)最合適。在自愿隧道的情況下，用戶可建立到企業(yè)或 ISP 網(wǎng)關(guān)的隧道。在該情況中， SSG內(nèi)轉(zhuǎn)發(fā)隧道，而不終接它們。 杭州有線寬帶 IP城域網(wǎng)技術(shù)方案應(yīng)標(biāo)書（ IP解決方案） 普天通信 南京南方電訊公司 25當(dāng)遠(yuǎn)程站點(diǎn)與網(wǎng)絡(luò)之間建立隧道時(shí)，這就是我們通常 所說的虛擬專用撥號(hào)網(wǎng)(VPDN)。當(dāng) SSG與 ContivityCLE 設(shè)備和 PC客戶機(jī)相結(jié)合時(shí)，它可以提供全面的VPDN解決方案。 虛擬專用路由網(wǎng) (VPRN)是替代企業(yè)現(xiàn)有的租線、幀或 ATM骨干網(wǎng)的第三層VPN。 VPRN通過 IPSec獲得安全保證，這是一個(gè)適用于資料加密、主機(jī)鑒別和密鑰交換的不斷演進(jìn)的 Inter協(xié)議。 SSG實(shí)施 IPSec的加密安全凈荷[EncapsulatingSecurityPayload(RFC2406)]進(jìn)行加密，并在每個(gè) SSM上輔之以專用HiFnASIC，進(jìn)行 DES56和 3DES。 DES56吞吐量是每個(gè) SSM90MbpsFD，而 3DES吞吐量是 30MbpsFD。在將來有更多功能強(qiáng)大的加密硬件后，這個(gè)數(shù)字將會(huì)增加。該系統(tǒng)還支持基于 IKE 的密鑰交換和認(rèn)證。 SSG支持邊沿到邊沿 VPRN，提供全面的拓?fù)浣粨Q和 QoS 支持。最簡單的 VPRN是連接兩個(gè)站點(diǎn)的虛擬租線 (VLL)。正如上文所述，一個(gè) SSM可以終接 256IPSec隧道。 安全性 SSG的安全性業(yè)務(wù)支持單個(gè)用戶本地的點(diǎn)應(yīng)用，也可支持 VPN。這些業(yè)務(wù)包括IPSec、防火墻 (過濾的和狀態(tài)的 )，反電子欺騙和網(wǎng)絡(luò)地址轉(zhuǎn)換 (NAT)。它們結(jié)合 在一起，向網(wǎng)絡(luò)管理員提供無可比擬的安全工具箱。 防火墻可以防止不速或非法業(yè)務(wù)離開或進(jìn)入用戶的站點(diǎn)。與基于 CPE 的防火墻不一樣， SSG可防止非法業(yè)務(wù)穿過本地環(huán)路，防止一些拒絕服務(wù)的攻擊。 SSG允許管理員實(shí)施強(qiáng)大的包過濾規(guī)則，而且作為狀態(tài)防火墻，它可以保持每個(gè)話路的安全狀態(tài)。例如，當(dāng)某個(gè) VoIP 會(huì)話開始時(shí)， SSG可以在通話期間識(shí)別并應(yīng)用一套安全規(guī)則。 杭州有線寬帶 IP城域網(wǎng)技術(shù)方案應(yīng)標(biāo)書（ IP解決方案） 普天通信 南京南方電訊公司 26反電子欺騙可以預(yù)防惡意的用戶假冒合法用戶。這可以根據(jù)用戶鏈路的預(yù)期源地址過濾呼入的業(yè)務(wù)而實(shí)現(xiàn)。 最后，出于地址管理或安全性的原因， NAT允許用戶維護(hù)專用地址空間， 只在SSG上轉(zhuǎn)換為全球可識(shí)別的 IP 地址。 入口業(yè)務(wù) 強(qiáng)制入口允許服務(wù)供貨商向用戶逐個(gè)提供客戶化的 Web體驗(yàn)。用戶在登錄到網(wǎng)絡(luò)上時(shí)，它被導(dǎo)向服務(wù)商的入口服務(wù)器 (通過 HTTP 攔截 )，進(jìn)入客戶化的主頁。這可以包含目的地清單 (即企業(yè)或 ISP)、增值業(yè)務(wù) (即視頻流 )，當(dāng)然還包含廣告。用戶邊沿是網(wǎng)絡(luò)中服務(wù)商可以真正實(shí)現(xiàn)直接插入的點(diǎn)。在 FCS 時(shí)間段中， SSG將支持基本的功能。這將根據(jù)服務(wù)商的輸入而得到增強(qiáng)。 杭州有線寬帶 IP城域網(wǎng)技術(shù)方案應(yīng)標(biāo)書（ IP解決方案） 普天通信 南京南方電訊公司 27Web緩存互作 緩存重新定向允許系統(tǒng)將 web請(qǐng)求轉(zhuǎn)向并置的服務(wù)器上。如果一個(gè) web對(duì)象得到緩存，服務(wù)器則隨 之起反應(yīng)，釋放骨干網(wǎng)帶寬。重新定向可以基于埠 80，用于大多數(shù)web業(yè)務(wù)，或基于更復(fù)雜的應(yīng)用級(jí)別過濾。 話音集成 目前， SSG的 DiffServ、業(yè)務(wù)整形和策略功能允許服務(wù)供貨商管理可支持 VoIP 要求的骨干網(wǎng)。這包括劃分業(yè)務(wù)優(yōu)先級(jí)別及在合適的 WAN連接上為話音業(yè)務(wù)定向。 SSG通過正確跟蹤 、相應(yīng)地導(dǎo)向和 /或過濾業(yè)務(wù)來實(shí)現(xiàn)這些功能。在將來，媒體網(wǎng)關(guān)控制協(xié)議 (MGCP)等協(xié)議將增加精確程度。全面的話音應(yīng)用正在開發(fā)之中。 用戶的接入主要通過網(wǎng)絡(luò)接入層完成。一般來說， IP 網(wǎng)絡(luò)接入主要有撥 號(hào)接入和專線接入兩種。目前，杭州廣電有線寬帶網(wǎng)暫無撥號(hào)接入的建設(shè)計(jì)劃，專線接入是唯一的方式。專線接入方式包括使用傳統(tǒng)電信手段如 DDN、幀中繼、電話專線，已經(jīng)新興的接入方式 DSL、光纖和 CableMode