【正文】 第119條 為充分利用網(wǎng)絡(luò)資源優(yōu)勢(shì)和覆蓋優(yōu)勢(shì)，湖南有線建立MPLS VPN虛擬專網(wǎng)系統(tǒng)，提供MPLS VPN虛擬專網(wǎng)業(yè)務(wù)；第120條 標(biāo)簽分配協(xié)議：為建立標(biāo)簽交換路徑，需采用標(biāo)簽分配協(xié)議，常用的標(biāo)簽分配協(xié)議有LDP、CRLDP和RSVPTE。本方案采用LDP作為基本的標(biāo)簽分配協(xié)議。第122條 從省公司骨干路由器和各地市分公司核心路由器構(gòu)成的網(wǎng)絡(luò)作為MPLS網(wǎng)絡(luò)結(jié)構(gòu)中的P網(wǎng)（骨干服務(wù)網(wǎng)），作為各VPN網(wǎng)絡(luò)的承載層，用于數(shù)據(jù)的高速傳輸和交換，其拓?fù)浣Y(jié)構(gòu)為星形。省公司骨干交換機(jī)和各地市城域網(wǎng)BAS/USR既作為骨干傳輸網(wǎng)的路由器，同時(shí)又作為各專業(yè)系統(tǒng)VPN的接入點(diǎn)。第123條 各業(yè)務(wù)系統(tǒng)（平安工程、政府內(nèi)外網(wǎng)、行業(yè)專網(wǎng)、DCN、OA、PC上網(wǎng)、等）在城域網(wǎng)邊緣以VLAN隔離，在廣域網(wǎng)上以MPLS/VPN隔離。在最初的設(shè)計(jì)中，我們?cè)O(shè)計(jì)了DCN、VoD、OA辦公自動(dòng)化網(wǎng)和PC上網(wǎng)等4個(gè)VPN網(wǎng)，將來(lái)隨著業(yè)務(wù)的發(fā)展，VPN的數(shù)量還會(huì)增加。第125條 省數(shù)據(jù)中心采用2臺(tái)骨干交換機(jī)，兩臺(tái)骨干路由器作為核心P路由器，互為備份。各地市城域網(wǎng)BAS或USR設(shè)備作為PE設(shè)備通過(guò)裸纖采用以太網(wǎng)方式接入?yún)R聚路由器。不同VPN處于不同VLAN，PE設(shè)備以多個(gè)以太網(wǎng)接口連接不同的VLAN（VPN），或 者 采 。第七章 VLAN規(guī)劃 VLAN規(guī)劃原則第126條 為實(shí)現(xiàn)用戶精細(xì)化管理，減少?gòu)V播域范圍，控制網(wǎng)絡(luò)流量、減少設(shè)備投資、簡(jiǎn)化網(wǎng)絡(luò)管理、提高網(wǎng)絡(luò)安全性，提高網(wǎng)絡(luò)效率，湖南有線雙向網(wǎng)用戶采用VLAN管理。第132條 在城域網(wǎng)內(nèi)，外層標(biāo)簽統(tǒng)一規(guī)劃和安排，內(nèi)層標(biāo)簽按區(qū)域可重疊劃分，兩層標(biāo)簽形成業(yè)務(wù)和用戶的唯一標(biāo)識(shí)。 VLAN工作機(jī)制第134條 用戶通信由樓道交換機(jī)（或EOC頭端）提供一個(gè)端口，PC終端業(yè)務(wù)和STB業(yè)務(wù)共用該端口；第135條 PC采用PPPOE認(rèn)證，STB采用IPOE認(rèn)證；第136條 樓道交換機(jī)端口上基于用戶位置為用戶分配不同內(nèi)層VLAN，上行ONU透?jìng)鱒LAN至OLT的下行PON口；第137條 在OLT的下行PON，啟用靈活QinQ機(jī)制，按照PPPOE報(bào)文報(bào)頭或者IPOE報(bào)文報(bào)頭分別分配不同的外層標(biāo)簽的標(biāo)識(shí)，結(jié)合全網(wǎng)統(tǒng)一的PON口外層TAG規(guī)劃，分配PON口位置標(biāo)識(shí)，兩者共同組成外層TAG。 VLAN規(guī)劃第140條 單層VLAN：對(duì)于VPN業(yè)務(wù)，考慮到全網(wǎng)的互連互通性，因此必須在城域網(wǎng)考慮標(biāo)識(shí)號(hào)的唯一性，因此，以城域網(wǎng)為單位，統(tǒng)一規(guī)劃單層VLAN，統(tǒng)一配置用戶VLAN號(hào)。第142條 兩層VLAN標(biāo)簽構(gòu)成：內(nèi)層標(biāo)簽，在0－4090范圍內(nèi)分配，標(biāo)識(shí)內(nèi)容為用戶地址，外層標(biāo)簽，由業(yè)務(wù)流類型標(biāo)識(shí)＋PON口位置標(biāo)識(shí)共同構(gòu)成，類型標(biāo)識(shí)目前僅包括PPPOE報(bào)文和IPOE報(bào)文兩種類型，以后隨著業(yè)務(wù)擴(kuò)大，逐步增加VOIP、IPTV以及其他各類業(yè)務(wù)的標(biāo)識(shí)；PON位置全網(wǎng)統(tǒng)一，按位置區(qū)分。第143條 TPID(Tag Protocal Identifier標(biāo)簽協(xié)議標(biāo)識(shí))是VLAN Tag中的一個(gè)字段，用來(lái)表示VLAN Tag的協(xié)議類型，IEEE ，可以根據(jù)TPID值來(lái)識(shí)別報(bào)文中是否攜帶對(duì)應(yīng)的VLAN Tag。為了和這些設(shè)備兼容，OLT設(shè)備需要提供QINQ報(bào)文的TPID值可調(diào)功能。主要提供內(nèi)容服務(wù)，用戶的網(wǎng)絡(luò)接入是內(nèi)容提供服務(wù)的前提，其認(rèn)證主要考慮業(yè)務(wù)級(jí)別的認(rèn)證第145條 PC寬帶上網(wǎng)業(yè)務(wù)：為廣大用戶提供高速、高質(zhì)量的Internet接入服務(wù)，并在此基礎(chǔ)上提供數(shù)字電視雙向平臺(tái)內(nèi)容業(yè)務(wù)。接入控制，計(jì)費(fèi)等都可以針對(duì)每個(gè)用戶來(lái)進(jìn)行。第147條 DHCP認(rèn)證：DHCP是一種動(dòng)態(tài)主機(jī)配置協(xié)議，提供一系列IP配置參數(shù)，對(duì)用戶端的IP層進(jìn)行配置。用來(lái)作為認(rèn)證用的OPTION字段主要為OPTION60和OPTION82。而OPTION82信息是由網(wǎng)絡(luò)設(shè)備插入在終端發(fā)出的DHCP報(bào)文中，主要用來(lái)標(biāo)識(shí)用戶終端的接入位置，由支持OPTIONT60和OPTION82的DHCP服務(wù)器認(rèn)證實(shí)現(xiàn)，對(duì)于STB業(yè)務(wù)，采用DHCP+擴(kuò)展字節(jié)＋業(yè)務(wù)自身認(rèn)證相結(jié)合的方式認(rèn)證。對(duì)于EPON、樓道交換機(jī)、EOC等接入設(shè)備也可進(jìn)行統(tǒng)一網(wǎng)管，包括完備的設(shè)備性能監(jiān)控，發(fā)送不同級(jí)別的告警。第152條 MPLS VPN管理：實(shí)現(xiàn)網(wǎng)絡(luò)資源與MPLS VPN業(yè)務(wù)的統(tǒng)一管理，除基礎(chǔ)的網(wǎng)絡(luò)設(shè)備管理外，還包括MPLS VPN業(yè)務(wù)部署、業(yè)務(wù)監(jiān)控、業(yè)務(wù)審計(jì)等內(nèi)容，為客戶提供了端到端的全流程業(yè)務(wù)管理功能。第154條 骨干網(wǎng)網(wǎng)絡(luò)管理中心負(fù)責(zé)省骨干網(wǎng)中心平臺(tái)設(shè)備以及各市級(jí)城域網(wǎng)主路由設(shè)備的管理，同時(shí)可以監(jiān)視市級(jí)城域網(wǎng)核心平臺(tái)設(shè)備（BRAS、USR）；第155條 市級(jí)城域網(wǎng)網(wǎng)絡(luò)管理中心負(fù)責(zé)核心平臺(tái)設(shè)備（BRAS、USR）、光網(wǎng)絡(luò)設(shè)備（EPON）和樓內(nèi)接入設(shè)備（樓道交換機(jī)、EOC）的管理，以及對(duì)核心路由器和縣級(jí)城域網(wǎng)OLT設(shè)備的監(jiān)視；第156條 縣級(jí)城域網(wǎng)網(wǎng)絡(luò)管理中心負(fù)責(zé)光網(wǎng)絡(luò)設(shè)備和樓內(nèi)接入設(shè)備的管理。第158條 除了傳統(tǒng)的路由器、交換機(jī)外，能對(duì)網(wǎng)絡(luò)中的無(wú)線、安全、語(yǔ)音、存儲(chǔ)、服務(wù)器、打印機(jī)、UPS等設(shè)備進(jìn)行管理，實(shí)現(xiàn)設(shè)備資源的集中化管理。第160條 直觀的設(shè)備面板管理，支持設(shè)備面板管理，所見即所得的顯示設(shè)備的資產(chǎn)組成和運(yùn)行狀態(tài)。第162條 增強(qiáng)的二層拓?fù)洌芾碇行男枰С侄油負(fù)?，?shí)現(xiàn)了同一個(gè)VLAN或者網(wǎng)段內(nèi)部PC與網(wǎng)絡(luò)設(shè)備、二層網(wǎng)絡(luò)設(shè)備之間的互連關(guān)系，更方便直觀的體現(xiàn)了網(wǎng)絡(luò)中設(shè)備的互聯(lián)關(guān)系。第164條 方便易用的性能管理，一目了然的網(wǎng)絡(luò)TopN性能指標(biāo)：CPU利用率、內(nèi)存利用率、帶寬利用率、設(shè)備響應(yīng)性能、設(shè)備不可達(dá)等是網(wǎng)絡(luò)性能管理中用戶最關(guān)注的幾項(xiàng)，基于此智能管理中心通過(guò)TopN列表，使網(wǎng)絡(luò)管理員能一目了然當(dāng)前網(wǎng)絡(luò)中的性能瓶頸問(wèn)題。 市州網(wǎng)絡(luò)管理功能第169條 市州網(wǎng)絡(luò)管理平臺(tái)負(fù)責(zé)對(duì)市州網(wǎng)絡(luò)系統(tǒng)的管理，包括USR、BRAS、EPON（OLT、ONU）、樓道交換機(jī)設(shè)備、EOC設(shè)備進(jìn)行控制和監(jiān)視，負(fù)責(zé)對(duì)城域網(wǎng)業(yè)務(wù)接入系統(tǒng)（接入交換機(jī)、IDC等）進(jìn)行控制和監(jiān)視，負(fù)責(zé)對(duì)城域網(wǎng)核心路由器（骨干接入路由器）進(jìn)行監(jiān)視，負(fù)責(zé)對(duì)所屬縣市網(wǎng)絡(luò)的EPON系統(tǒng)進(jìn)行監(jiān)視；第170條 市州網(wǎng)管平臺(tái)負(fù)責(zé)對(duì)所管資源進(jìn)行管理和調(diào)度，對(duì)于USR、BRAS、OLT、ONU、樓道交換機(jī)、EOC等設(shè)備的端口、流量、路由的配置和管理；第171條 負(fù)責(zé)對(duì)城域網(wǎng)網(wǎng)絡(luò)的分析，對(duì)網(wǎng)絡(luò)存在的各類隱患作出預(yù)報(bào)和報(bào)警，并及時(shí)提出對(duì)網(wǎng)絡(luò)的優(yōu)化方案，并負(fù)責(zé)城域網(wǎng)的優(yōu)化工作。要求入網(wǎng)設(shè)備能夠與省中心網(wǎng)管平臺(tái)的所有接口參數(shù)對(duì)接。要求入網(wǎng)設(shè)備能夠與市州網(wǎng)管平臺(tái)的所有接口參數(shù)對(duì)接。要求入網(wǎng)設(shè)備能夠與市州網(wǎng)管平臺(tái)的所有接口參數(shù)對(duì)接。第176條 業(yè)務(wù)安全指用戶業(yè)務(wù)流不被非法截獲、破壞、假冒等。一般由用戶設(shè)備實(shí)現(xiàn)端到端的加密來(lái)實(shí)現(xiàn)用戶業(yè)務(wù)的安全。要求網(wǎng)絡(luò)設(shè)備和網(wǎng)管系統(tǒng)應(yīng)提供有效的認(rèn)證措施，拒絕并記錄非法的入侵，采取有效的手段防止其他攻擊。設(shè)備應(yīng)當(dāng)滿足國(guó)家標(biāo)準(zhǔn)規(guī)定的防雷擊、防靜電，并能夠在正常的機(jī)房溫度、濕度等條件下長(zhǎng)期穩(wěn)定的運(yùn)行。數(shù)據(jù)安全一般主要管理手段來(lái)實(shí)現(xiàn)，比如，對(duì)數(shù)據(jù)的定期備份等。同時(shí)網(wǎng)絡(luò)本身的可靠性與線路安全也是值得關(guān)注的問(wèn)題。網(wǎng)絡(luò)安全包括兩層含義:其一是內(nèi)部局域網(wǎng)的安全，其二是外部數(shù)據(jù)交換的安全。第181條 全網(wǎng)的安全策略包括網(wǎng)絡(luò)安全策略，即主要保證網(wǎng)絡(luò)拓?fù)錂C(jī)構(gòu)的合理性，全網(wǎng)各個(gè)節(jié)點(diǎn)之間的連接線路的可用性；節(jié)點(diǎn)安全策略，即主要保證各個(gè)節(jié)點(diǎn)內(nèi)的設(shè)備不受攻擊，保證服務(wù)不中斷；數(shù)據(jù)安全策略，即保證系統(tǒng)重要數(shù)據(jù)得到及時(shí)有效的備份保護(hù)，并避免受到非法使用者的篡改等；持續(xù)安全策略，即能夠從發(fā)展的角度，對(duì)系統(tǒng)的安全缺陷進(jìn)行及時(shí)跟蹤和修正，保證網(wǎng)絡(luò)的長(zhǎng)期安全性。第188條 參觀級(jí)：網(wǎng)絡(luò)診斷工具命令（ping、tracert）、從本設(shè)備出發(fā)訪問(wèn)外部設(shè)備的命令（包括：Telnet客戶端、SSH客戶端、RLOGIN）等，該級(jí)別命令不允許進(jìn)行配置文件保存的操作。第190條 配置級(jí)：業(yè)務(wù)配置命令，包括路由、各個(gè)網(wǎng)絡(luò)層次的命令，這些用于向用戶提供直接網(wǎng)絡(luò)服務(wù)。第192條 分級(jí)設(shè)置登錄口令，以便于對(duì)于不同的維護(hù)人員提供不同的口令。在默認(rèn)的情況下，CONSOLE口不進(jìn)行認(rèn)證，在使用時(shí)對(duì)于CONSOLE口登錄配置上認(rèn)證。用戶名和密碼要求足夠的強(qiáng)壯。第194條 對(duì)于網(wǎng)絡(luò)上已知的病毒所使用的端口進(jìn)行過(guò)濾。一方面保證了設(shè)備資源不被病毒消耗，另一方面阻止了病毒的傳播，保護(hù)了網(wǎng)絡(luò)中的主機(jī)設(shè)備。n 禁止其他的TCP、UDP Small服務(wù)。這些小服務(wù)很少被使用，而且容易被攻擊者利用來(lái)越過(guò)包過(guò)濾機(jī)制。Finger服務(wù)可能被攻擊者利用查找用戶和口令攻擊。n 建議禁止HTTP服務(wù)。n 禁止BOOTp服務(wù)。n 明確的禁止IP Directed Broadcast。n 禁止ICMP協(xié)議的IP Unreachables,Redirects,Mask－Replies。n 禁止從網(wǎng)絡(luò)啟動(dòng)和自動(dòng)從網(wǎng)絡(luò)下載初始配置文件。第196條 關(guān)閉不使用的物理端口。第197條 保持系統(tǒng)日志的打開。系統(tǒng)日志一直打開，以便于網(wǎng)絡(luò)異常的時(shí)候，查找相關(guān)的記錄。第198條 注意檢查設(shè)備的系統(tǒng)時(shí)間是否準(zhǔn)確。第199條 在運(yùn)行路由協(xié)議的時(shí)候，增加對(duì)報(bào)文的加密認(rèn)證第200條 在設(shè)備上開啟URPF功能。通過(guò)這種方式，URPF就能有效地防范網(wǎng)絡(luò)中通過(guò)修改源地址而進(jìn)行的惡意攻擊行為的發(fā)生。第201條 防攻擊的措施，主要包括對(duì)ICMP協(xié)議的安全配置，對(duì)DDOS攻擊的防范：對(duì)Smurf攻擊的防范：對(duì)TCP SYN攻擊的防范：： 安全管理制度第202條 登錄口令的強(qiáng)壯性。登錄口令長(zhǎng)度不小于8位，由英文字母、數(shù)字和特殊符號(hào)共同組成，口令中不使用超過(guò)3位連續(xù)或相同的數(shù)字或英文字母，不使用地名、人名、各種日期、英文單詞作為口令，用戶名和密碼不能有相關(guān)性，不能從用戶名推測(cè)出密碼，各個(gè)級(jí)別的用戶名和密碼要單獨(dú)設(shè)備，不能有相關(guān)性。定期更換一次登錄口令，以保證登錄口令的保密性。對(duì)于參觀級(jí)口令，視情況而定。對(duì)于不同級(jí)別的維護(hù)人員提供不同級(jí)別的登錄口令，尤其是管理級(jí)的口令，要嚴(yán)格控制能夠獲取該口令的人員范圍。第205條 對(duì)于設(shè)備的硬件、軟件、數(shù)據(jù)配置操作進(jìn)行登記備案。第206條 對(duì)于每一次的網(wǎng)絡(luò)異常進(jìn)行登記備案。對(duì)于某一個(gè)節(jié)點(diǎn)發(fā)生的故障，進(jìn)行分析，必要時(shí)進(jìn)行全網(wǎng)的預(yù)警，采取統(tǒng)一的應(yīng)對(duì)措施，防止其他節(jié)點(diǎn)再次出現(xiàn)類似的故障。設(shè)備的版本和數(shù)據(jù)配置文件除了在設(shè)備上進(jìn)行保存外，在設(shè)備外另行保存一份。對(duì)于版本，在進(jìn)行升級(jí)后，及時(shí)將另行保存的版本同步更新。定期（2－3個(gè)月一次）將設(shè)備上的日志文件下載到其他地方，以備日后查找使用。機(jī)房應(yīng)有物理出入控制措施，如門禁，警衛(wèi)等，人員和設(shè)備進(jìn)入敏感區(qū)域必須經(jīng)過(guò)審批和登記。非機(jī)房管理員（包括第三方人員）進(jìn)入機(jī)房，需提出申請(qǐng)，經(jīng)機(jī)房主管批準(zhǔn)后，并有公司員工（授權(quán)用戶）全程陪同。并保存3個(gè)月以上時(shí)間。第十一章 骨干路由器設(shè)備要求 技術(shù)要求第209條 骨干路由器包括省中心骨干路由器和城域網(wǎng)骨干接入路由器，其中省中心骨干路由器負(fù)責(zé)承擔(dān)全省數(shù)字電視雙向業(yè)務(wù)和PC寬帶業(yè)務(wù)的匯聚、路由處理、數(shù)據(jù)交換、MPLS VPN處理、IDC接入、Internet接入等核心工作，是全網(wǎng)最核心的設(shè)備，安裝在集團(tuán)公司中心機(jī)房。第210條 省中心骨干路由器整機(jī)業(yè)務(wù)接口槽位不低于8個(gè)，系統(tǒng)交換容量不低于720Gbps，單插槽單向交換容量不低于10G，整機(jī)IP/MPLS包轉(zhuǎn)發(fā)能力不低于400Mpps，單插槽數(shù)據(jù)包轉(zhuǎn)發(fā)能力不低于15Mpps。第211條 主控模塊、交換網(wǎng)、電源等關(guān)鍵部件1+1冗余配置。第213條 設(shè)備同時(shí)滿負(fù)荷開啟組播、QOS、網(wǎng)絡(luò)管理、MPLS 等功能時(shí)，設(shè)備性能必須不低于正常時(shí)的70％。第215條 流量整形能力，接口板上必須可以支持16K 個(gè)隊(duì)列，當(dāng)配置12K 個(gè)以上隊(duì)列時(shí)仍能做到線速轉(zhuǎn)發(fā)，必須支持8 個(gè)等級(jí)的丟棄優(yōu)先級(jí)。第217條 ，要求電接口支持10/100/1000M自適應(yīng)、光接口（SFP）支持100M/1000M SFP模塊、支持SFPT模塊（配置SFPT模塊時(shí)要求支持10/100/1000M自適應(yīng)）。第219條 支持端口Damping功能，打開該功能應(yīng)不影響端口狀態(tài)變化告警的發(fā)送。第221條 支持對(duì)路由協(xié)議優(yōu)先級(jí)/管理距離的調(diào)整。第223條 支持OSPF多路徑負(fù)載分擔(dān)，分擔(dān)誤差需在10%之內(nèi)。第225條 支持BGP路由協(xié)議的無(wú)中斷轉(zhuǎn)發(fā)（NonStop Forwarding）技術(shù)。第227條 支持靜態(tài)路由。路由器必須允許在支持動(dòng)態(tài)路由協(xié)議時(shí)將靜態(tài)路由定義成任何動(dòng)態(tài)路由協(xié)議的有效度量。第228條 支持根據(jù)邏輯或物理端口過(guò)濾進(jìn)出路由信息。應(yīng)能夠?qū)崿F(xiàn)重設(shè)TOS/DSCP 域、指定下一跳、指定IP 到MPLS 等功能。 MPLS、MPLS VPN、TE和FRR相關(guān)協(xié)議和功能要求第231條 單臺(tái)設(shè)備支持LDP鄰居數(shù)量大于50個(gè)并保證性能和穩(wěn)定性。設(shè)備配置最大LSP時(shí)必須能夠線速轉(zhuǎn)發(fā)。第234條 整機(jī)單向標(biāo)簽表容量大于50萬(wàn)條。第236條 業(yè)務(wù)板支持MPLS L2/L3 VPN協(xié)議；支持VPLS和HVPLS功能。第238條 支持MPLS VPN三種跨域方式（Option1，Option2和Option3）。第240條 單條LSP進(jìn)行鏈路保護(hù)的速度應(yīng)在50毫秒以內(nèi)。 QoS第242條 支持PQ、LLQ、WFQ、CBWFQ隊(duì)列調(diào)度算法。第244條 提供MPLS的CoS服務(wù)，支持IP Precedence、DSCP和MPLS EXP的相互映射。第246條 提供對(duì)VPN的業(yè)務(wù)管理軟件，提供對(duì)MPLS VPN業(yè)務(wù)開通、管理、監(jiān)控的軟件。第248條 設(shè)備廠商MIB庫(kù)能夠向湖南有線網(wǎng)絡(luò)（集團(tuán)）開放。 IPv6和NTP第250條 設(shè)備支持IPv4/IPv6雙協(xié)議棧，支持IPv6 IGP/EGP，支持IPv6 QoS，支持IPv6策略路由，支持IPv6組播，支持IPv6穿越IPv4網(wǎng)絡(luò)的隧道形式。 環(huán)境要求第252條 環(huán)境溫度：5℃ ～ 45℃。第254條 海拔高度：500米～5000米。第256條 交流：～220V 177。5％。第258條 主控模塊、交換網(wǎng)、電源等關(guān)鍵部件1+1冗余配置。第260條