ME多业务控制网关产品简介

中国铁通

ME60多业务控制网关产品简介Page0一、ME60产品简介1、ME60功能概述2、ME60产品类型3、ME60结构及槽位 4、ME60主要单板 Page11、ME60功能概述 IP网络正处于向有机地集成在一起，克服了传统防火墙等设备无法适应电信级运营需求的缺陷，实现智能化的电信级IP承载网转型的过程中，核心网边缘设备的智能化是实现网络转型的关键。核心网边缘设备必须从简单的IP转发设备转型为智能化的多业务控制网关，以支持3G、NGN和IPTV等电信业务的开展。HUAWEIME60正是为满足这一转型需求而开发的智能化多业务控制网关设备，可充分保证各项电信业务的安全性、可靠性和QoS。基于ME60及相应的解决方案，运营商可以构建智能化的电信级IP承载网，实现IP网络的转型，将传统电信业务向新网络迁移。ME60将用户管理、安全控制、业务控制等各种功能了用户级的管理和控制，可大幅降低运营成本，为电信业务运营提供基础平台。ME60通过业务层与承载层的关联，实现对各类业务的用户鉴别、呼叫控制、策略控制、QoS保障、安全保障等功能。Page2ME60包括五款产品类型：ME60-X16、ME60-X8、ME60-X3、ME60-16和ME60-8。ME60-X16ME60-X82、ME60产品类型系统容量：交换容量640Gbps、接口容量320Gbps。转发性能：400Mpps端口密度：16x10Gbps系统结构：双主控热备份；网板1+3冗余备份；电源、风扇1+1热备份ME60-16设备参数备注：ME60-8相关参数均为ME60-16的1/2。Page33、ME60结构及槽位 MPU（主控板）：槽位17、18。主备冗余SFU（交换网板）：槽位19-22。1+3冗余LPU（业务板）：槽位1-16。LPU可以是BSU、ESU、TSU或SSU。Page44、ME60主要单板 MPU：ME60-16主控板，完成系统的管理和控制平面的多数功能。SFU：交换网，分SFUA和SFUB两种。BSU：宽带业务单元，提供用户接入和各种VPN业务。提供10GE接口。ESU：企业业务单元，提供路由和各类VPN业务。提供10GE，10GPOS,4*2.5GPOS接口。TSU：隧道业务单元，提供GRE和LNS/LTS隧道相关业务。SSU：安全业务单元，提供状态防火墙和NAT/ALG功能。Page55、ME60逻辑架构 Page6二、ME60产品特性1、ME60以太网接口特性2、宽带接入业务特性3、典型组网应用 Page71、ME60以太网接口特性GE接口支持流量控制和速率自协商。最多可捆绑16个物理以太网端口，捆绑后的ETH-TRUNK功能与普通口一致。支持不同单板的端口捆绑到同一个ETH-TRUNK。支持主备工作模式，能够根据接口链路状态自动进行主备切换。支持跨设备的E-TRUNK。支持LACP,聚合条件发生改变时，自动调整或解散聚合。支持IPV4、IPV6和MPLS的MTU配置。Page82、ME60宽带接入业务特性用户接入：xDSL，Ethernet,WLAN，HFC,ipv4，ipv4/ipv6双栈接入接入和认证：PPP、DHCP、WEB、AAA 授权:bandwidth,ACL,Priority,RoutingPolicy,DSS动态业务选择安全:通过VLAN和VPN隔离用户,绑定检查VLAN:4kVLAN端口;64kQinQ端口.PVC:64Kpvc端口.ISP/用户域:1K.Page93、ME60典型组网应用1.用户管理理:用户按域域管理。认证证时，通过域域的配置进行行控制。包括括认证计费策策略，带宽控控制参数，访访问权限，优优先级。3.PUPV:标示并定定位用户。2.接入认证证：PPP拨拨号认证、802.1认认证、web认证、端口口绑定认证、、快速web认证。。Page10三、RADIUS特性与与实现1、RADIUS特性概概述2、ME60RADIUS特性实实现3、ME60RADIUS特性规规格Page111.1RADIUS特特性概述RADIUS:RemoteAuthenticationDailInUserService定义了NAS与服务器的的交互报文格格式和交互过过程，实现用用户上线过程程中的认证、、计费、授权权功能。采用C/S模模型，NAS作为RADIUS服务务器的客户端端，发起用户户的认证、计计费请求。RADIUS采用MD5算法对用户户口令加密及及验证数字签签名。RADIUS报文采用TLV格式，，有较好的灵灵活扩展性。。Page121.2RADIUS特特性功能RADIUS实现了以下下功能:用户上线过程程中的认证功功能。用户上线过程程中的计费功功能，以及用用户在线时的的实时计费功功能。用户上线过程程中直接对用用户进行授权权用户在线过程程中的动态授授权。使指定用户下下线的功能，，即DM（DisconnectMessage）。Page131.3RADIUS协协议交互流程程用户输入用户户名密码认证请求包Access-request认证接受包Access-accept(可同同时授权)计费开始请求求包Accting-request计费开始响应应包Accting-responseRADIUS服务器ME60Page141.3RADIUS协协议交互流程程用户访问网络络资源实时计费请求求包Accting-request实时计费请求求响应包Accting-response授权包Coa-request授权回应包Coa-responseRADIUS服务器ME60Page151.3RADIUS协协议交互流程程通知访问结束束计费结束请求求包Accting-request（Stop）计费结束请求求响应包Accting-responseRADIUS服务器ME60Page162.1RADIUS典典型应用场景景PCAccessNetwork路由器InternetRADIUS服务器（主主）RADIUS服务器（备备）Page172.2山东东铁通RADIUS部署署架构图Page182.3RADIUS服服务器选择策策略服务器状态控控制策略。主备方式下的的服务器选择择策略。负载均衡方式式下的服务器器选择策略。。（权重值））Page192.4RADIUS配配置思路2、配置RADIUS服服务器及选择择算法。4、配置域，，域下引用认认证、计费模模板、RADIUS服务务器。1、在路由器器上配置认证证模板和计费费模板。3、配置RADIUS认认证、计费服服务器和端口口。Page202.4RADIUS配配置思路[ME60]aaa[ME60-aaa]authentication-schemeauth1\\创建建名为auth1的认证证方案[ME60-aaa-authen-auth1]authentication-moderadius\\设置认认证模式[ME60-aaa-authen-auth1]quit[ME60-aaa]accounting-schemeacct1\\创建建名为acct1的计费费方案[ME60-aaa-accounting-acct1]accounting-moderadius\\设置计计费模式[ME60-aaa-accounting-acct1]quit[ME60-aaa]quit1、、在在路路由由器器上上配配置置认认证证模模板板和和计计费费模模板板。。1、、在在路路由由器器上上配配置置认认证证模模板板和和计计费费模模板板。。Page212.4RADIUS配配置置思思路路[ME60]radius-servergroupcttsd\\创创建建radius服服务务器器组组[ME60-radius-cttsd]radius-serveralgorithmmaster-backup\\设设置置算算法法2、、配配置置RADIUS服服务务器器及及选选择择算算法法。。3、、配配置置RADIUS认认证证、、计计费费服服务务器器和和端端口口。。[ME60-radius-cttsd]radius-serverauthentication129.7.66.661812[ME60-radius-cttsd]radius-serveraccounting129.7.66.661813[ME60-radius-cttsd]radius-serverauthentication129.7.66.661812[ME60-radius-cttsd]radius-serveraccounting129.7.66.661813*对对于于radius的的认认证证计计费费端端口口,有有两两组组端端口口,一一组组为为1812和和1813,另另一一组组是是1645和和1646.radius的的认认证证和和计计费费服服务务器器通通常常是是在在一一组组服服务务器器上上。。Page222.4RADIUS配配置置思思路路4、、配配置置域域，，域域下下引引用用认认证证、、计计费费模模板板、、RADIUS服服务务器器。。[ME60]aaa[ME60-aaa]domainabc[ME60-aaa-domain-abc]authentication-schemeauth1\\域域的的认认证证方方式式关关联联[ME60-aaa-domain-abc]accounting-schemeacct1\\域域的的计计费费方方式式关关联联[ME60-aaa-domain-abc]radius-servergroupcttsd\\域域与与radius组组关关联联[ME60-aaa-domain-abc]ip-poolpool1\\域域与与地地址址池池关关联联[ME60-aaa-domain-abc]quit[ME60-aaa]quitPage232.4RADIUS定定位位方方法法2、、检检查查ME60和和RADIUS服服务务器器两两端端配配置置是是否否一一致致。。4、、检检查查RADIUS服服务务器器是是否否负负荷荷过过重重，，造造成成处处理理报报文文时时间间比比较较长长。。可以以使使用用displayradiusstatisticspacket命命令令检检查查ME60的的收收发发报报文文计计数数，，如果发送送远大于于接收的的计数，，那么可可能是RADIUS服服务器负负荷过大大无响应应。1、通过过PING命令令测试设设备到RADIUS服服务器是是否可达达。3、检查查RADIUS服务器器上是否否添加了了ME60的NAS-IP-ADDRESS。5、检查查ME60到RADIUS链链路质量量是否较较差，造造成报文文时延较较大，对对于这种种情况，，需要优优化网络络质量。。在紧急急情况下下，可以以在ME60上上延长等等待RADIUS服务务器响应应的时时间。。如果步步骤4中中查出的的报文计计数差距距基本一一样，则则可能是是网络质质量差，，收到回回应时已已经超时时。[ME60-radius-cttsd]radius-servertimeout10Page242.5RADIUS定位常常用命令令1、displayradius-serverconfiguration使用该命命令检查查radius服务器器的状态态是UP还是DOWN。2、displayradius-attribute查看设备备支持的的radius属性。。3、test-aaauser1@abc123radius-groupcttsd该命令可可模拟用用户上线线，测试试ME60到radius服服务器之之间的radius协协议是否否正常常运行。。4、trace，可以以根据五五元组的的组合进进行trace，五元元组包括括CEVLAN、PEVLAN、接口、IP地地址、MAC地地址。例如：<ME60>traceaccess-userobeject1interfacegigabitethernet3/1/0.Page25三、ME60业业务配置置1、ME60PPP业务配配置2、ME60IP业业务配置置3、ME60L2TP业务务配置Page263.1PPP业务配配置流程程及业务务流程1.客户户端向BRAS发起PPP会会话请求求。2.BRAS收收到请求求后把用用户名密密码发给给radius服务器器进行认认证。3.RADIUS服务务器把认认证结果果反馈给给BRAS。4.认证证通过后后,BRAS根根据用户户所在域域的配置置地址池池分配给给用户IP地址址,并建建立完成成PPP会话.5.用户户上线,可以访访问internet,同时时BRAS通知知RADIUS服务器器进行计计费.Page27配置虚模模板\\创建建VT接接口[ME60]interfacevirtual-Template1\\设置置PPP验证方方式[ME60-virtual-Template1]pppauthentication-modeppp*1.VT接口口主要是是用来对对报文的的PPP协议层层来进行行处理的的,使以以太网接接口可以以接收PPP帧帧.*2.对对于PPP的验验证方式式可以设设置为PPP,也可以以设置为为CHAP.Page28配置地址址池\\创建建名称为为pool1的的本地地地址池[ME60]ippoolpool1local\\配置置地址池池网关[ME60-ip-pool-pool1]gateway172.15.1.124\\配置地址址段,一个地地址池可支持持255个段段[ME60-ip-pool-pool1]section0172.15.1.2172.15.1.200\\配置DNS,可以配配置多个DNS.[ME60-ip-pool-pool1]dns-server61.233.154.33*1.查看地地址池配置displayippoolnamepool1*2.配置多多个DNSdns-server61.233.154.33secondary*3.配置远远端地址池则则为ippoolpool1remotedhcp并创建DHCP服务务器组,指指定DHCPserver.Page29ME60域概概念介绍认证前默认域域(default-domainpre-authentication)认证默认域(default-domainauthentication)认证域(authenticationdomain)系统的三个默默认域Default0默默认策略是不不认证不计费费Default1默默认策略是radius认证radius计费费Default_admin默默认策略是radius认证,不计计费Page30配置BRAS接口[ME60]interfacegigabitethernet4/0/1\\以太网无无法终结PPPOE会话话,所以要绑绑定虚模板终终结PPPOE会话.[ME60-gigabitethernet4/0/1]pppoe-serverbindvirtual-template1\\进入BRAS接口视视图[ME60-gigabitethernet4/0/1]bas\\配置用户户接入方式为为二层用户接接入[ME60-gigabitethernet4/0/1-bas]access-typelayer2-subscriber\\配置用户户认证后的所所属域[ME60-gigabitethernet4/0/1-bas]default-domainauthenticationabc\\配置认证证方式[ME60-gigabitethernet4/0/1-bas]authentication-methodppp*查看具体BRAS接口口配置displaybas-interfacegigabitethernet4/0/1Page31PPPOEofVlan特殊配置\\创建子接接口[ME60]interfacegigabitethernet4/0/1.1\\将用户所所属VLAN绑定到子接接口[ME60-gigabitethernet4/0/1.1]uservlan23\\把虚模板板绑定到子接接口[ME60-gigabitethernet4/0/1.1]pppoe-serverbindvirtual-template1*1.若需要要配置QINQ，则在子子接口下配置置VLAN时时，输入QINQ100VLAN23*2.PPPOEofVlanBRAS接接口配置同样样需要进入子子接口配置。。Page323.2IP业务配置流流程图及业务务流程1.客户端向向DHCP服服务器IP地地址获取请求求。2.DHCP收到请求后后,根据认证证前域分配给给用户IP。。3.客户端访访问WEBSERVER并输入用用户名密码验验证。4.WEB服服务器把用户户名和密码传传送给ME60。5.ME60把用户和明明码传送给RADIUS服务器认证证。6.RADIUS服务器器把认证结果果反馈给ME60。7.认证通过过后，客户端端可以访问internet。Page33IPOE接入入配置流程配置认证、计计费策略。配置RADIUS服务器器组。配置IP地址址池。配置认证前域域。配置认证域。。配置WEB认认证服务器。。配置ACL。。配置BRAS接口。Page34配置WEB服服务器*web服务务器建立WEB页面进行行用户名密码码。*配置源端口口命令可选。。\\配置WEB认证服务务,WEB服服务器与ME60之间采采用PORTAL协议.[ME60]web-auth-serverX.X.X.Xkeywebvlan\\配置PORTAL协协议版本[ME60]web-auth-serverversionV2\\配置与WEB服务器器交互的源端端口.[ME60]web-auth-serversourceinterfacegigabitethernet4/0/0Page35配置认证前域域[ME60-aaa]domainpre-isp1[ME60-aaa-domain-pre-isp1]authentication-schemedefault0[ME60-aaa-domain-pre-isp1]accounting-schemedefault0[ME60-aaa-domain-pre-isp1]ip-poolpool1[ME60-aaa-domain-pre-isp1]quit[ME60-aaa]quit*通过认证前前域分配给用用户IP地址址,访问web服务器.Page36配置ACL-用户组配置置\\创建ACL6000,用户的的ACL为6000-9999[ME60]acl6000\\创建规则则,禁止user-groupcttsd访访问任何地址址[ME60-acl-ucl-6000]ruledenyipsourceuser-groupcttsd\\创建ACL6001[ME60]acl6001\\创建规则则,只允许cttsd访访问WEB服服务器[ME60-acl-ucl-6001]rulepermitipsourceuser-groupcttsddestinationipaddressx.x.x.x0\\创建规则则,只允许cttsd访访问DNS服服务器[ME60-acl-ucl-6001]rulepermitipsourceuser-groupcttsddestinationipaddress61.233.154.330Page37配置ACL-流分配器配配置\\创建流名名称为C1的的流分类器[ME60]trafficclassifierC1\\配置此分分类器的匹配配条件[ME60-classifier-C1]if-matchacl6000\\配置C2流分类器[ME60]trafficclassifierC2[ME60-classifier-C2]if-matchacl6001Page38配置ACL-匹配流分类类策略配置\\创建流分分类动作deny1[ME60]trafficbehaviordeny1\\匹配的流流行为为deny[ME60-behavior-deny1]deny\\创建流分分类动作permit1[ME60]trafficbehaviorpermit1\\匹配的流流行为为permit[ME60-behavior-permit1]permitPage39配置ACL-流控策略配配置\\创建流量量策略action1[ME60]trafficpolicyaction1\\把策略和和流分类器和和流量行为绑绑定.一个策策略只能包含含一种行为.[ME60-trafficpolicy-action1]classifierC2behaviorpermit1[ME60-trafficpolicy-action1]classifierC1behaviordeny1\\把策略在在全局下发.[ME60]traffic-policyaction1global*在第二步中中,存在优先先匹配顺序,即先C2后后C1Page40配置BRAS接口[ME60]interfacegigabitethernet4/0/1\\进入BRAS接口视视图[ME60-gigabitethernet4/0/1]bas\\配置用户户接入方式为为二层用户接接入[ME60-gigabitethernet4/0/1-bas]access-typelayer2-subscriber\\配置用户户认证后的所所属域为abc，认证前前域属于pre-isp1[ME60-gigabitethernet4/0/1-bas]default-domainpre-authenticationpre-isp1authenticationabc\\配置认证证方式[ME60-gigabitethernet4/0/1-bas]authentication-methodwebPage41静态用户特殊殊配置步骤[ME60-ip-pool-pool1]excluded-ip-address172.15.1.2静态用户也需需要配置认证证策略计费策策略，也要配配置域信息。。配置静态用户户必须配置地地址池，并将将相应的地址址从地址池中中除去。要在相应的用用户认证前域域中引用地址址池。\\创建静态态用户[ME60]static-user172.15.1.2interfacegigabitethernet4/0/1.1vlan2domain-namedefault0detect静态用户在子子接口下添加加必须带上vlan。配置静态用户户必须先配置置BAS接口口，然后才能能添加静态用用户。Page423.3L2TP业务概概述L2TP:提提供了对PPP链路层数数据包的隧道道（Tunnel）传输输支持，允许许二层链路端端点和PPP会话点驻留留在不同设备备上，并采用用包交换技术术进行信息交交互，从而扩扩展了PPP模型。特点：灵活的身份验验证机制和高高度的安全性性多协议传输支持radius服务器器的验证支持内部地址址分配网络计费的灵灵活性可靠性VPDN:指指利用公共网网络（ISDN和PSTN)的拨号号功能和接入入网来实现虚虚拟专用网，，为企业、小小型ISP、、移动办公人人员提供接入入服务。VPDN采用专专用的网络加加密通信协议议，在公共网网络上建立安安全的虚拟专专网。当前应应用最广泛的的是L2TP。Page43L2TP名词词解释LAC:L2TP访问集集中器（L2TPAccessConcentrator）交换网络上有有PPP端系系统和L2TP处理能力力的设备。一一般为本地ISP接入设设备。LAC通过L2TP隧道道及ppp会会话与其他数数据流隔离。。LAC可为多多个VPN服服务。LAC位于LNS和远端端系统之间起起传递数据的的作用。NAS可以和和用户合并为为一个LAC端点，也可可以直接作为为LAC端点点。LNS：L2TP网络服服务器（L2TPNetworkServer）PPP会话接接收端，通过过LNS验证证，用户可以以登录私网，，访问私网资资源。LAC对端设设备，是通过过LAC进行行隧道传输的的PPP会话话的逻辑终止止端点。位于私网公网网边界，通常常是企业网关关设备，必要要时还兼有NAT功能。。LNS可以放放在企业总部部网络中，也也可以为IP公共网络的的PE。LNS必须启启用隧道单板板（TSU）），LAC则则无所谓。Page44L2TP隧道道模式示意图图Page45L2TP2种隧隧道模模式NAS-InitializedNAS-Initialized：由由远程程拨号号用户户发起起，远远程系系统通通过PSTN/ISDN拨拨入LAC，由由LAC通通过过Internet向向LNS发发起起建立立隧道道连接接请求求。拨拨号用用户地地址由由LNS分分配配；对对远程程拨号号用户户的验验证与与计费费既可可由LAC侧侧的代代理完完成，，也可可在LNS完完成。。NAS-Initialized的特特点是是：用户必必须采采用PPP方式式接入入到internet。。运营商商接入入设备备需要要开通通相应应的vpn服务务。隧道分分别驻驻留在在LAC和和LNS之之间，，一个个隧道道可承承载多多个会会话。。用户只只有私私网地地址。。Page46L2TP2种隧隧道模模式Client-InitializedClient-Initialized：：直接接由LAC客客户（（指可可在本本地支支持L2TP协协议议的用用户））发起起。此此时LAC客客户可可直接接向LNS发发起隧隧道连连接请请求，，无需需再经经过一一个单单独的的LAC设设备备。此此时，，LAC客客户户地址址的分分配由由LNS来来完完成。。Client-Initialized的的特点点是：：用户必必须安安装L2TP的的拨号号软件件，可可以使使windows自自带的的VPN拨拨号软软件。。用户上上网的的方式式和地地点没没有限限制，，不需需要ISP接入入。隧道分分别驻驻留在在用户户侧和和LNS之之间，，一个个隧道道只能能承载载一个个会话话。用户可可以根根据自自己的的安全全性需需求对对参数数进行行更改改。拨号获获取NAS分配配的公公网IP为为访问问LNS对对外接接口。。若获获取内内网IP可可修改改路由由条目目。Page47LAC端配配置1.配配置虚虚模板板\\创创建虚虚模板板1[ME60-A]interfacevirtual-template1[ME60-A-virtual-template1]pppauthentication-modeppp*要与与LNS端端一致致[ME60-A-virtual-template1]quit\\在在接口口上绑绑定虚虚模板板1[ME60-A]interfacegigabitethernet4/0/1[ME60-A-gigabitethernet4/0/1]pppoe-serverbindvirtual-template1[ME60-A-gigabitethernet4/0/1]quitPage48LAC端配配置2.配配置radius服服务器器\\创创建radius服服务器器组radius1[ME60-A]radius-servergroupradius1[ME60-A-radius-radius1]radius-serverauthentication202.1.1.2491812[ME60-A-radius-radius1]radius-serveraccounting202.1.1.2491813[ME60-A-radius-radius1]radius-servertypestandard[ME60-A-radius-radius1]radius-servershard-keyhello[ME60-A-radius-radius1]quitPage49LAC端配配置3.配配置BAS接口口[ME60-A]interfacegigabitethernet4/0/1[ME60-A-gigabitethernet4/0/1]bas\\配配置接接入用用户类类型为为二层层用户户[ME60-A-gigabitethernet4/0/1-bas]access-typelayer2-subscriber\\配配置默默认域域--对于pppoe用户户如果果未带带域名名拨号号,则则视归归属域域为接接口下下默认认域[ME60-A-gigabitethernet4/0/1-bas]default-domainauthenticationisp1\\配配置用用户接接入认认证方方式为为PPP认认证[ME60-A-gigabitethernet4/0/1-bas]authentication-methodpppPage50LAC端配配置4.配配置用用户域域[ME60-A-aaa]domainisp1*该域域用户户一经经完成成认证证,触触发隧隧道建建立.\\指指定域域的L2TP组组[ME60-A-aaa-domain-isp1]l2tplac*地址址池由由LNS提提供,创建建group后后引用用\\指指定域域的radius组组[ME60-A-aaa-domain-isp1]radius-serverradius1[ME60-A-aaa-domain-isp1]authentication-schemedefault1[ME60-A-aaa-domain-isp1]accounting-schemedefault1Page51LAC端端配置5.创建建L2TP组及及配置相相关属性性\\使能能L2TP[ME60-A]L2TPenable\\配置置L2TP组[ME60-A]L2TP-grouplac\\配置置隧道名名[ME60-A-l2tp-lac]tunnelnamelac*LNS对应配