【正文】 字）：_________代表人（簽字）：__________________年____月____日_________年____月____日附件1：甲方協(xié)議實施聯(lián)絡(luò)人名冊(略)附件2：乙方協(xié)議實施聯(lián)絡(luò)人名冊(略)附件3：全省各市預留號段及聯(lián)通各地分公司聯(lián)系方式┌─────┬──────┬────────────┬──────────┐│分公司│數(shù)量│預留號段│聯(lián)系人及電話│├─────┼──────┼────────────┼──────────┤│││││├─────┼──────┼────────────┼──────────┤│││││├─────┼──────┼────────────┼──────────┤│││││├─────┼──────┼────────────┼──────────┤│││││├─────┼──────┼────────────┼──────────┤│││││└─────┴──────┴────────────┴──────────┘附件4：無線vpdn專網(wǎng)技術(shù)方案一、網(wǎng)絡(luò)安全機制與網(wǎng)絡(luò)設(shè)計無線專網(wǎng)網(wǎng)絡(luò)解決方案從網(wǎng)絡(luò)安全角度考慮推薦采用l2tp協(xié)議（二層隧道協(xié)議）來構(gòu)建vpdn網(wǎng)絡(luò)。vpn的安全性特征：（1）隧道和加密：隧道能實現(xiàn)多協(xié)議的封裝，增加vpn應(yīng)用的靈活性，可以在無連接的ip網(wǎng)上提供點到點的邏輯通道。在安全性要求高的場合應(yīng)用加密隧道則進一步保護了數(shù)據(jù)的私有性，使數(shù)據(jù)在網(wǎng)上傳送而不被非法窺視與篡改。（2）數(shù)據(jù)驗證：在不安全的網(wǎng)絡(luò)上，特別是構(gòu)建vpn的internet上，數(shù)據(jù)包有可能被非法截獲，篡改后重新發(fā)送，接收方將會接收到錯誤的數(shù)據(jù)。數(shù)據(jù)驗證將使接收方可識別這種篡改，保證了數(shù)據(jù)的完整性。（3）用戶驗證：vpn可使合法用戶訪問他們所需的企業(yè)內(nèi)部資源，同時還要禁止未授權(quán)用戶的非法訪問。為確保用戶的安全性，_________聯(lián)通各地市聯(lián)*公司為各地交通系統(tǒng)分配專用的連續(xù)號段，通過aaa，vpn網(wǎng)關(guān)提供用戶驗證、imsi綁定、訪問權(quán)限以及必要的訪問記錄等功能。（4）防火墻與攻擊檢測：防火墻用于過濾數(shù)據(jù)包，防止非法訪問，而攻擊檢測則更進一步分析數(shù)據(jù)包的內(nèi)容，確定其合法性，并可實時應(yīng)用安全策略，斷開包含非法訪問內(nèi)容的會話連接，并產(chǎn)生非法訪問記錄。vpdn網(wǎng)絡(luò)：對于此次采用cdmaxx1x無線接入方式的vpn網(wǎng)絡(luò)，其網(wǎng)絡(luò)邏輯通道由兩段物理網(wǎng)絡(luò)組成。一段是從以1x上網(wǎng)的用戶計算機到聯(lián)通的cdmaxx1x無線接入服務(wù)器pdsn之間私有的連接；另一段是從聯(lián)通的cdmaxx1x無線接入服務(wù)器pdsn到_________vpdn專網(wǎng)網(wǎng)關(guān)之間的連接。對于前一個物理網(wǎng)絡(luò)通道來說，由于處在聯(lián)通私有的1x網(wǎng)內(nèi)，毋庸質(zhì)疑，安全性較高；對于下一個物理網(wǎng)絡(luò)通道來說，本方案通過數(shù)據(jù)專線接入，并采用l2tp協(xié)議（二層隧道協(xié)議）來構(gòu)建vpdn網(wǎng)絡(luò)，保證整個vpdn網(wǎng)絡(luò)的安全。（1）l2tp網(wǎng)絡(luò)協(xié)議：下面結(jié)合此次應(yīng)用介紹一下l2tp網(wǎng)絡(luò)協(xié)議。l2tp協(xié)議由兩個主要設(shè)備負責完成：l2tp訪問集中器（lac）和l2tp網(wǎng)絡(luò)服務(wù)器（lns）。l2tp訪問集中器（lac）是具有接入功能和l2tp協(xié)議處理能力的設(shè)備，實際上lac就是一個網(wǎng)絡(luò)接入服務(wù)器nas，在這兒也就是前面提到的pdsn，它通過_________為用戶提供無線網(wǎng)絡(luò)接入服務(wù)；l2tp網(wǎng)絡(luò)服務(wù)器（lns）是用于處理l2tp協(xié)議服務(wù)器端軟件，實際應(yīng)用時lns功能由vpdn網(wǎng)關(guān)這類硬件設(shè)備負責完成。在一個lns和lac對之間存在兩種類型的連接：一種是隧道（tunnel）連接，它定義了一個lns和lac對；另一種是會話（session）連接，它復用在隧道連接之上，用于表示承載在隧道連接中的每個ppp會話連接。l2tp連接的維護以及ppp數(shù)據(jù)傳送都是通過l2tp消息的交換來完成的，這些消息通過udp1701端口承載在tcp/ip之上。l2tp消息可以分為控制消息和數(shù)據(jù)消息兩種類型：控制消息用于隧道連接和會話連接的建立和維護；數(shù)據(jù)消息則用于承載用戶的ppp會話數(shù)據(jù)包?？刂葡⒅械膮?shù)用avp值對（attributevaluepair）來表示，使得協(xié)議具有良好的擴展性；在控制消息的傳輸過程中還應(yīng)用了消息丟失重傳和定時檢測通道連通性等機制來保證了l2tp層傳輸?shù)目煽啃?。l2tp數(shù)據(jù)消息的傳輸不采用重傳機制，所以它無法保證傳輸?shù)目煽啃?，但這一點可以通過上層協(xié)議如tcp等得到保證。數(shù)據(jù)消息的傳輸可以根據(jù)應(yīng)用的需要靈活地采用流控或非流控機制，甚至可以在傳輸過程中動態(tài)地使用消息序列號從而動態(tài)地激活消息順序檢測和流控功能；在采用流控的過程中，對于失序消息的處理采用了緩存重排序的方法提高數(shù)據(jù)傳輸?shù)挠行?。?）l2tp協(xié)議的特性：安全的身份驗證機制：與ppp類似，l2tp可以對隧道端點進行驗證，保證lac和lns的合法性。不同的是ppp可以選擇采用pap方式以明文傳輸用戶名和密碼，而l2tp規(guī)定必須使用類似pppchap的驗證方法，密碼不是直接用明文傳輸，而是通過將密碼與隨機序列一起，通過不可逆推的md5算法計算出的密文傳輸。內(nèi)部地址分配支持：lns放置在專網(wǎng)的防火墻之后，可以對遠端用戶的地址進行動態(tài)分配和管理，還可以支持dhcp和私有地址應(yīng)用。遠端用戶分配的ip地址不是internet地址而是企業(yè)內(nèi)部的私有地址，方便了地址管理并可以增加安全性?？煽啃裕簂2tp協(xié)議可以支持備份lns，當一個主lns不可達時，lac可以重新與備份lns建立連接，以增加vpn服務(wù)的可靠性和容錯性。統(tǒng)一的網(wǎng)絡(luò)管理：l2tp協(xié)議已成為標準的rfc協(xié)議，有關(guān)l2tp的標準mib也已制定，這樣可以統(tǒng)一地采用snmp網(wǎng)絡(luò)管理方案進行方便的網(wǎng)絡(luò)維護和管理。vpdn網(wǎng)絡(luò)設(shè)計：本方案的vpdn（即利用cdmaxx1x無線作為接入方式）網(wǎng)絡(luò)設(shè)計由以下節(jié)點設(shè)備共同配合完成：聯(lián)通cdmaxx1x無線接入服務(wù)器pdsn、聯(lián)通radius服務(wù)器、交通廳的專網(wǎng)vpdn網(wǎng)關(guān)。在實際網(wǎng)絡(luò)設(shè)計中我們用到了聯(lián)通cdmaxx1x無線接入的aaa（radius）服務(wù)器，它用于用戶的集中認證及計費功能的實現(xiàn)。在_________省內(nèi)的聯(lián)通cdmaxx1x用戶接入到_________的pdsn，由pdsn、aaa服務(wù)器負責識別交通廳的無線用戶、及專網(wǎng)中專用的vpdn后綴域名。根據(jù)此專用域名，aaa服務(wù)器就能識別此用戶為交通廳專網(wǎng)的vpdn用戶，但尚未對此用戶的身份進行認證。aaa服務(wù)器通知pdsn與省交通廳的vpdn網(wǎng)關(guān)建立l2tp協(xié)議隧道，在無線接入服務(wù)器pdsn與_________省交通廳的vpdn網(wǎng)關(guān)之間建立了l2tp協(xié)議隧道后，用戶的身份信息如：用戶名、密碼等通過隧道送至省交通廳的vpdn網(wǎng)關(guān)內(nèi)，再由聯(lián)通的vpdnradius服務(wù)器和省交通廳的vpdn網(wǎng)關(guān)配合，共同完成遠程用戶的認證工作。認證通過后由vpdn網(wǎng)關(guān)分配交通廳專網(wǎng)的內(nèi)部ip地址，同時vpdn網(wǎng)關(guān)賦予此用戶以指定的訪問權(quán)限。這樣遠程無線的交通廳用戶就具備了訪問省交通廳內(nèi)部網(wǎng)絡(luò)系統(tǒng)的能力。vpdn的網(wǎng)絡(luò)流程：（1）交通廳的無線用戶通過_________連接到聯(lián)通的無線接入服務(wù)器pdsn（通過imsi號綁定，非交通廳的無線用戶將無法接入），并將帶有專有vpdn后綴域名的用戶名和密碼送至pdsn，請求接入。（2）pdsn與負責1x無線接入的aaa服務(wù)器建立連接，并將密碼和用戶名送至aaa中進行認證。（3）aaa服務(wù)器通過內(nèi)部數(shù)據(jù)庫查找出與此專有vpdn后綴域名相關(guān)的專網(wǎng)vpdn網(wǎng)關(guān)后，指定pdsn與vpdn網(wǎng)關(guān)建立l2tp隧道。（4）pdsn與vpdn網(wǎng)關(guān)建立l2tp隧道，并進行隧道認證和隧道標識，分配此隧道給此用戶專用。（5）vpdn網(wǎng)關(guān)與聯(lián)通的vpdnradius服務(wù)器一起共同完成用戶身份的認證，確保合法用戶使用專網(wǎng)。（6）vpdn網(wǎng)關(guān)完成交通廳無線用戶的ip地址分配和用戶權(quán)限的分配。（7）交通廳無線用戶可以訪問交通廳專網(wǎng)內(nèi)的服務(wù)器。（8）vpdn網(wǎng)關(guān)與aaa服務(wù)器共同完成用戶上網(wǎng)信息的記錄和收集。二、交通廳側(cè)的接入專網(wǎng)設(shè)計說明_________省交通廳的無線接入專網(wǎng)將采用基于l2tpvpdn技術(shù)，利用聯(lián)通的1x無線終端接入方式，實現(xiàn)遠程用戶的vpn接入。參照上面的拓撲圖，在交通廳的vpn接入平臺內(nèi)放置有vpdn網(wǎng)關(guān)、radius網(wǎng)管工作站等設(shè)備，這些硬件設(shè)備通過一臺高性能二層以太網(wǎng)交換機進行連接，交換機的端口上實現(xiàn)vlan隔離，保證設(shè)備與設(shè)備之間不相互影響。由于vpn網(wǎng)關(guān)都是多端口設(shè)備，將vpn網(wǎng)關(guān)其它端口連接到交通廳內(nèi)部網(wǎng)的交換機上，就實現(xiàn)了vpn網(wǎng)關(guān)與內(nèi)部網(wǎng)各服務(wù)器（如web、數(shù)據(jù)庫）的物理連接。_________聯(lián)通互聯(lián)網(wǎng)骨干機房的交換機通過光纖鏈路連接到交通廳中心機房的專線速率現(xiàn)為2m（可調(diào)整），隨著用戶數(shù)的增加逐漸調(diào)整，不會因?qū)＞€的帶寬影響用戶的正常使用。附件5：話費詳單格式┌─┬──┬──┬─┬────┬───────────┬──┬─┬──┬─┐│地│單位│電話│總│計費類型│cdma1x費用(按流量計費)│語音│回│帳戶│備││市│名稱│號碼│話│(按時間 ├───┬───┬───┤話費│退│余額│注│││││費│或流量) │包月費│card│vpdn││費││││││││││流量費│流量費│││││├─┼──┼──┼─┼────┼───┼───┼───┼──┼─┼──┼─┤│││││││││││││├─┼──┼──┼─┼────┼───┼───┼───┼──┼─┼──┼─┤│││││││││││││├─┼──┼──┼─┼────┼───┼───┼───┼──┼─┼──┼─┤│││││││││││││├─┼──┼──┼─┼────┼───┼───┼───┼──┼─┼──┼─┤│││││││││││││├─┼──┼──┼─┼────┼───┼───┼───┼──┼─┼──┼─┤│││││││││││││└─┴──┴──┴─┴────┴───┴───┴───┴──┴─┴──┴─┘附件6：交通系統(tǒng)移動辦公項目uim卡號段備案表┌──┬────────┬────┬────────┬─────┬────┐│地區(qū)│交通系統(tǒng)單位名稱│號碼清單│卡號│號碼領(lǐng)用人│領(lǐng)用日期│├──┼────────┼────┼────────┼─────┼────┤│││││││├──┼────────┼────┼────────┼─────┼────┤│││││││├──┼────────┼────┼────────┼─────┼────┤│││││││├──┼────────┼────┼────────┼─────┼────┤│││││││└──┴────────┴────┴────────┴─────┴────┘