【正文】 設 y為大區(qū)之間規(guī)劃的 E1數量（大區(qū)間省際等效中繼 2M電路），則大區(qū)間的流量： F（ y）＝ y3096（ Kbps） 考慮到信令常態(tài)下，與媒體負載均分不同，它的流量發(fā)送是主備方式，故，建議在承載規(guī)劃帶寬時， SX/SG/MRS/UMG等設備的信令帶寬再多預留 20%，即信令流量 * 業(yè)務分類 DC1媒體流 3G媒體流 大客戶媒體流 所有信令流 預留 網管流 承載平臺 EF AF4 AF3 AF2 AF1 BE IP dscp 40 32 24 16 8 0 MPLS exp 5 4 3 2 1 0 5 4 3 2 1 0 流量分類和標記手段 RSSRSSSSSSAR1 AR2 S8500_1 S8500_2 SoftSwtich SG MRS SoftSwtich SG S3528 S3528 S3528 S3528 S3528 S3528 VRRP VRRP 媒體三層接口 信令三層接口 S3528 網管三層接口 RRCR1 CR2 S3528 SAR在與 S8505互連接口上依據 3個子接口標識 QOS和 VPN綁定，與 UMG互連接口上也依據 2個子接口標識 QOS和 VPN綁定 SUMG對信令和媒體標識 2個不同 VLAN子接口 此接口配置 3個子接口 主控板上的FE管理接口 主控板上的管理接口QOS部署方案（與傳輸互聯考慮） RCR2 CR1 RRCR CR R北京 上海 SDH傳輸 設備 1 SDH傳輸 設備 2 RCR CR R沈陽 RCR CR R武漢 若 CR1或 CR2的多個 POS接口都互聯到一個SDH傳輸設備時 ,此傳輸設備存在單點故障 ,則CR1與 CR2之間流量就需要成倍規(guī)劃 ,故 ,不建議大區(qū)之間 POS線路集中在一臺 SDH設備上。 同時，大區(qū)內 CR1CR2之間鏈路切勿與大區(qū)間互連鏈路共享同一 SDH傳輸設備，以避免 SDH傳輸設備單點故障。 大區(qū)內帶寬計算結果（ QoS規(guī)劃） 省份 設備 接口 對方設備 省際 2M電路（ x） 預留的 EF帶寬 預留的 AF3帶寬 預留的 AF2帶寬 預留的 AF4帶寬 A AR1 上行接口 1 CR1 400M 210 上行接口 2 CR2 400M 210 互聯接口 AR2 200M 210 AR2 上行接口 1 CR1 400M 210 上行接口 2 CR2 400M 210 互聯接口 AR2 200M 210 B AR1 上行接口 1 CR1 X F(x) 10 上行接口 2 CR2 X F(x) 10 互聯接口 AR2 X F(x)/2 10 AR2 上行接口 1 CR1 X F(x) 10 上行接口 2 CR2 X F(x) 10 互聯接口 AR2 X F(x)/2 10 目錄 ? IGP部署工程方案 UMG接入工程部署方案 七大區(qū)業(yè)務接入工程方案 MPLSVPN/BGP劃分方案 網絡整體可靠性方案 QoS工程方案 業(yè)務承載網安全方案 網管工程方案 S3528 4*FE SS3528 MRS6100. UMG8900 承載骨干網 GE S3528 S3528 SoftX3000 FE GE 2*FE iGWB SG7000. 8505 FE FE GE GE 2*GE 2*GE 2*FE 4*FE SS RSBAM 2403H DCN iManager N2023 計費系統(tǒng) SS除了 SOFTX/GK信令接口外，其他設備信令接口（如端局MG/MRS/MCU/SG/SHLR等）相對NGN骨干承載網不可見，需要在S3528上配置 ACL以限制母局之外所有訪問。 1）防火墻需要處理 IP核心網進入母局的數據流（下行方向），NGN母局輸出的數據流全部放行； 2）防火墻工作在混合模式串接在上行鏈路中，不需要處理路由協議； 3） NGN中的業(yè)務和信令承載于 UDP、 TCP、 SCTP之上，而通用防火墻基于狀態(tài)的訪問控制功能僅對 TCP有效，對于 UDP、SCTP需要采用 ACL的保護方式； 4） SG等設備的 IP地址僅在母局內部使用，防火墻需要禁止對這些內部 IP的所有訪問。 E500 E500 OSPF區(qū)域還可以通過配置設備間路由協議的安全特性，如路由協議配置 MD5認證等，防止針對路由協議的攻擊；在邊緣設備上做一些防病毒列表，盡量減少病毒流量的影響。 GE 8505 GE S R大區(qū)接入安全考慮 目錄 ? IGP部署工程方案 UMG接入工程部署方案 七大區(qū)業(yè)務接入工程方案 MPLSVPN/BGP劃分方案 網絡整體可靠性方案 QoS工程方案 業(yè)務承載網安全方案 網管工程方案 承載骨干網 RSS七大區(qū)接入網絡網管方案 RSSSSSSAR1 AR2 S8500_1 S8500_2 SoftSwtich SG MRS SoftSwtich SG S3528 S3528 S3528 S3528 S3528 S3528 UMG 網管三層接口 S3528 DCN(雙接口 ) S機房 1 機房 2 S 3528 非大區(qū)省份網管接入方案 UMG8900 承載骨干網 GE GE AR AR RRSNMS DCN MPU板網管接口 BAM網管接口 S3528 需要配置網管 IP地址的接口 RLoopback接口 GE 本地維護 終端 如果 UMG所在地點，有 DCN接口，則建議直接通過本地接入 DCN。 在接入 DCN前，需要配置防火墻。 AR的網管通過公網 Loopback來管理，全網選一到兩個 PE作公私網路由滲透。 NMS VPN 使用公私網靜態(tài)路由滲透功能將私網中 NMS server網段發(fā)布到公網，公網 AR loopback地址發(fā)布到私網； 大區(qū) AR 非大區(qū)省份網管接入方案（經過 VPN接入DCN） UMG8900 承載骨干網 GE GE AR AR RRSNMS DCN MPU板網管接口 BAM網管接口 S3528 需要配置網管 IP地址的接口 RRSLoopback接口 在兩臺 AR路由器上，完成網管 VPN和全局的互通。 兩臺互通路由器上，連接 DCN的接口，也需要劃分到網管 VPN中，配置網管VPN的地址。但對于這兩臺互通路由器的管理，則是直接管理其 loopback接口。 GE 本地維護 終端 在 AR上，連接網管交換機的 GE接口，綁定到 NMS VPN，并做如下設置： 在 NMS VRF內，把直連路由直接引入 BGP； 在連接 NMS的 GE接口上，做 CAR限制，把流量限制在 2M以內。 承載網骨干設備的網管（經過網管 VPN接入 DCN） NMS DCN RRSR RRR RR R需要配置網管 IP地址的接口 Loopback接口 在兩臺 AR路由器上，做如下配置： 在全局范圍內，配置一條靜態(tài)路由，目標地址是網管服務器的 IP地址段，出接口配置為連接 DCN的接口（ Ether接口），這樣就可以完成全局路由域到 NMS VPN的穿透； 在 NMS VPN內，配置一條到達全局路由域的靜態(tài)路由，目標網段是所有 AR/CR路由器的 loopback接口網段； 把配置的到達 NMS VPN的靜態(tài)路由，分發(fā)到 ISIS里面（ metric設置為 2048）； 在 NMS VPN內，配置一條到達網管服務器網段的靜態(tài)路由，下一跳是連接 DCN路由器（或防火墻）的 IP地址； 把步驟 4中配置的靜態(tài)路由，通過 MBGP協議，引入網管 VPN。 每臺 CR/AR路由器上，會通過 ISIS學習到到網管的路由，由于存在兩個到達網管 DCN的出口，因此， AR/CR會選擇最近的一個作為出口，一旦一臺AR故障，則另一臺 AR路由器會接管所有到網管的流量。 S2403H S2403H AR1 AR2 AR AR AR AR AR CR CR 謝謝