宽带IP城域网工程设计规范

1、YD中华人民共和国通信行业标准YD XXXX-XXXX宽带IP城域网工程设计规范Code for design of broadband IP metro area network（2004年版）( 征求意见稿 )XXXX-XX-XX实施XXXX-XX-XX发布中华人民共和国信息产业部 发布中华人民共和国通信行业标准宽带IP城域网工程设计规范Code for design of broadband IP metro area networkYD XXXX-XXXX（2004年版）主编部门：中华人民共和国信息产业部综合规划司批准部门：中华人民共和国信息产业部施行日期：200X年XX月XX日XXX

2、X出版社200X 北 京目 次前 言III1 总 则12 术语、符号23 网路结构53.1 网络层次53.2 节点设置54 网路组织65 路由协议65.1 自治域划分原则65.2 路由协议选择76 路由策略86.1 路由策略设计原则86.2 路由信息的接收与宣告86.3 流量流向规划与路由选择规则86.4 路由协议运行的稳定性与扩展性97 网间互联107.1 与骨干网或省网间互联107.2 与PSTN/ISDN网间互联108 网络性能109 服务质量1210 网络管理1410.1 网管体系结构1410.2 网管接口1410.3 网管功能1411 网络安全1611.1 安全目标与框架1611.2

3、 安全管理1611.3 安全技术部署1612 传送技术1913 业务2013.1 业务种类2013.2 业务描述2013.3 业务承载2113.4 业务和用户接入方式2213.5 业务计费与结算2313.6 业务管理和宽带用户管理2314 编号方案、地址分配与域名系统2614.1 编号方案2614.2 地址分配2615 设备配置原则2816 机房设计30附录A 本规范用词说明32前 言宽带IP城域网是IP骨干网在城域范围内的延伸和覆盖，是覆盖城市、郊区及其所辖的县市和地区，提供城域多业务的网络。宽带IP城域网承担集团用户、商用大楼、智能小区的业务接入和电路出租任务，具有覆盖面广、投资量大、接入

4、技术多样和接入方式灵活的特点。IP城域网界于全国骨干网或省网和用户驻地网或终端用户之间，将企业和个人客户的各种业务连接到骨干网中。本规范主要规定了基于IPv4的我国宽带IP城域网的网路结构、网路组织、路由协议、路由策略、网间互联、网络性能、服务质量、网络管理、网络安全、传送技术、业务、编号方案、地址分配设备配置原则、机房设计等。本规范适用于基于IPv4的我国宽带IP城域网的工程规划和建设。本规范由信息产业部综合规划司负责解释、修订、监督执行。本规范起草单位：京移通信设计院有限公司本规范主要起草人：XXX1 总 则1.0.1 为了使宽带IP城域网工程设计有所依据，特制定本规范。1.0.2 本规范

5、适用于宽带IP城域网新建工程设计，改扩建工程在合理利用原有设施的基础上参照本规范执行。1.0.3 设计必须贯彻国家基本建设方针和技术经济政策，符合相关技术标准、规范的规定。1.0.4 宽带IP城域网的设计应遵循开放性的原则，设计的网络应具有可运营性、可管理性、可增值性、可扩充性，设计的网络应安全可靠。设计应进行多方案技术经济比较，努力降低工程造价，提高经济效益。1.0.5 设计应与业务和网络发展规划相适应，以近期业务需求为主，兼顾远期业务发展。1.0.6 当本规范与国家标准有矛盾时，应以国家标准为准。1.0.7 在特殊情况下执行本规范个别条款有困难时，设计中应充分阐述理由，并提出采用相应措施的

6、报告，呈主管部门审批。2 术语、符号本规范使用了以下术语：AC接入控制器ACL访问控制列表ADSL非对称数字用户线AP接入点AS 自治系统ATM异步转移模式BGP 边界网关协议，BGP-4为边界网关协议版本4BRAS宽带接入服务器B/S浏览器/服务器模式CAR承诺访问速率CBWFQ 基于类的加权公平排队CIDR无类域间路由选择CoS服务等级C/S客户机/服务器模式CSD电路交换数据DDN数字数据网DiffServ差分服务模式DWDM密集型波分复用ENUM电话号码到 URI的映射FR帧中继GE千兆比特以太网GPRS通用分组无线业务GRE通用路由封装GSM全球移动通信系统GTS通用流量整形ICP互

7、联网内容提供商IDCInternet数据中心IEEE电气和电子工程师学会美IETF因特网工程师任务组IntServ集成服务模式IP互联网协议IP800基于IP的800号业务IPv4互联网协议-第4版IPv6互联网协议-第6版IPSecIP安全协议ISDN综合业务数字网IS-IS中间系统-中间系统ISP互联网服务提供商L22层L2TP第2层隧道协议L33层LMDS本地多点分配业务MIB管理信息库MPLS多协议标记交换MSTP多业务传送平台NAP网络接入点NAS网络接入服务器OSPF开放最短路径优先路由协议PHB逐跳转发行为PKI公共密钥基础设施POSSDH上传送IPPQ优先队列PSTN公用电话交

8、换网QoS服务质量RADIUS拨号用户远程认证服务RED随机早期探测RFC征求意见稿RPR弹性分组环RSVP资源预留协议SDH同步数字体系SmartCard智能卡SMC安全管理中心SNMP简单网络管理协议SP服务提供商TE流量工程Token令牌VLSM可变长子网掩码VOIPIP承载语音VPN虚拟专用网WAP无线应用协议WFQ加权公平排队WRED加权随机早期检测WLAN无线局域网WWW万维网XML扩充标识语言E-LSP 一种MPLS CoS方案，在LER上将IP DS字节映射到MPLS标记的EXP位，通过EXP位向LSR表示分组的QoS要求L-LSP在LER上将IP DS字节映射为一个LSP，通

9、过标记和EXP位向LSR表示分组的QoS要求3 网路结构3.1 网络层次3.1.1 宽带IP城域网的网络层次应根据运营、管理等因素确定。IP城域网原则上采用核心层、汇聚层和接入层三层。各汇聚层之间通过核心层实现互连。在城域网建设初期，若业务量不大，核心层节点和汇聚层节点可以合为一体，随着业务需求的不断增长，再分开设置。城域网接入层节点可直接接入汇聚层。3.1.2 宽带IP城域网应设置业务控制层和业务管理层。业务控制层负责用户接入管理、用户策略控制、用户差别化服务，同时作为承载层和业务层相互连接的桥梁，对网络提供的各种业务进行控制和管理，实现对各类业务的接入、区分、带宽分配、流量控制以及ISP的

10、动态选择等。业务管理层负责提供统一的网络管理与业务管理、统一业务描述格式，根据业务开展的需要，实现业务的分级分权及网络管理，提供网络设备的故障、配置、计费、性能和安全的统一管理。3.2 节点设置3.2.1 宽带IP城域网的网络节点设置应根据业务发展需要确定，综合考虑业务流量和地理位置因素，未设置网络节点的区域，可通过传送网延伸业务。3.2.2 根据节点在网络中的功能定位，城域网节点可以分为核心节点、汇聚节点和接入节点。上述节点可位于同一地点。3.2.3 宽带IP城域网核心节点宜设置在城区（含开发区）内。核心节点位置选择应考虑业务分布、机房条件、出局光纤布放情况等综合因素，优先选择原有全国骨干网

11、或省网节点设备所在局点。3.2.4 汇聚层节点和接入层节点的位置和数量应根据各地光纤和业务开展情况进行选定。4 网路组织4.0.1 宽带IP城域网核心节点间应采用网状或半网状连接，保证用户对业务中心的访问带宽，保证网络的冗余连接。在网络建设初期，也可以采用简单的“双星型”网络结构， 在保证网络安全的前提下有效的降低初期投资。4.0.2 汇聚节点至核心节点间应采用双星型、环形等组网方式。 4.0.3 接入节点分布广、数量多，根据光纤资源情况，可选择环形组网方式（采用城域多业务传输或接入设备自组环）和星型（点对点）的组网结构。4.0.4 网络内中继电路的局向组织应充分考虑网络流量规划和路由选择方案

12、的要求，每个方向的电路均应有明确的设置目的和疏通流量内容。4.0.5 网络内中继电路的局向组织应充分考虑网路的安全可靠。根据传输路由情况和可提供中继电路的可能，网络接入节点应尽可能设置2个方向的中继电路联入核心或汇聚节点，网络核心节点应尽可能设置2个或2个以上方向的中继电路与其它核心节点连接。不同方向的中继电路尽量由不同的传输系统开通。每个宽带IP城域网应选择2个或2个以上核心节点与全国骨干网或省网路由器实现连接，提供宽带IP城域网的出口。4.0.6 网络每个局向中继电路的带宽设置应根据业务量矩阵、网络性能要求、网络流量流向规划等因素计算确定。在条件允许的情况下，可采用网络仿真工具进行计算。带

13、宽设置必须同时考虑传输网络的带宽颗粒和可能的传输网络建设成本。同局向多条同带宽电路的数量必须小于动态路由协议的相关功能限制。4.0.7 若在网络本身的设计中已经比较多的考虑保护问题，虽然IP网络本身的保护机制不尽完善，综合考虑性能价格因素，原则上可不要求传送网为IP城域网中继电路提供保护机制。4.0.8 为保证业务质量和用户感受的一致性，主备电路或者分担电路的传输延迟尽量一致。5 路由协议5.1 自治域划分原则5.1.1 对于较小规模的宽带IP城域网可不设置为独立的自治域，而是将其作为一个IGP路由域上联到省网或骨干网，并且通过IBGP会话向骨干网通报其内部路由。5.1.2 对于一些省份中的的

14、省会或者经济比较发达的主要城市，其IP城域网可以划分为独立的自治域，分配公用的或保留的AS号，并通过EBGP会话向省内骨干网或省际骨干网通报其内部路由，若采用了保留AS号，应在省网与骨干网互连的边界进行过滤，转换为骨干网合法AS号向外广播。5.2 路由协议选择 5.2.1对于不拥有独立自治域的IP城域网，其被划分为省网IGP路由域，因此城域网IGP选择应考虑内部设备对路由协议的支持，还应根据省网的路由协议选择自己的内部路由协议。5.2.2 对于拥有独立自治域的宽带IP城域网在自治域内应选用合适的域内路由协议。域内路由协议应采用动态路由机制，可以选用OSPF或IS-IS。5.2.3 对于IP城域

15、网未设置独立自治域，其内部路由协议应同时作为IP城域网与省网骨干之间的路由协议。5.2.4 对于设置独立自治域的IP城域网应选用合适的域间路由协议。与全国骨干网或省网域间路由协议采用BGP-4。5.2.5 根据业务需求，网络内可以配置有关组播路由协议。5.2.6 根据业务和用户需要，对于用户接入一般宜采用静态路由配置，部分有需求的用户也可采用BGP-4。6 路由策略6.1 路由策略设计原则6.1.1 宽带IP城域网的路由策略在工程设计中应遵守下列原则：1 通过路由策略的实施，实现正确的路由信息接收与宣告。2 通过路由策略的实施，在网络拓扑的配合下，应实现避免网络中出现单故障点、提高网络的生存能

16、力。3 通过路由策略的实施，应实现预期的路由选择方案，实现网络流量规划，使网络业务流量合理的分布在各条电路上。4 路由策略应保证网络具有可扩展性，使得网络扩展后全部资源可以被优化利用。5 路由策略应简单、明了，含义明确、便于管理维护，应对业务流量流向的变化具有适应性，可以根据流量流向变化方便、快速地进行调整。6.2 路由信息的接收与宣告6.2.1 原则上，宽带IP城域网可采用域内路由协议承载网络中继电路信息，并确定BGP路由的下一跳路径；采用域间路由协议BGP承载外部网络路由信息以及用户路由信息。6.2.2 宽带IP城域网应根据与之互联的网络的互通协议以及对用户的服务内容，正确地接收与宣告对方

17、网络的路由信息及用户的路由信息，并采用BGP实现对接收、宣告的内容的控制。6.2.3 对于设置独立自治域的IP城域网出口节点路由器应具备接收全部省外路由表的能力，要求对端发送全部路由表。IP城域网对全部路由表可以照收，但在有特殊需求时，这些IP城域网可以有选择地过滤部分省外路由表。6.2.4 根据业务需求，网络可设计合适的组播路由域。6.3 流量流向规划与路由选择规则6.3.1 根据网络所承载的业务种类，对于网络存在多条可能路由的情况下，应进行合适的流量流向规划。一般的规划方式有： 主备疏通方式：对于所有流量，网络正常情况下经正常路由疏通，正常路由异常时经由备用路由疏通； 按流量分担疏通方式，

18、对于所有流量，在网络正常情况下经由可能的路由以负载分担方式疏通，异常时业务疏通质量将有所降质； 按业务分担疏通方式：对于不同的流量(例如按业务种类)，在网络正常情况下分别经由各自不同的主要路由进行疏通，异常时业务疏通质量将有所降质。规划优化的原则为尽量满足网络所承载业务的质量、可靠性等要求，全网的整体资源利用率高，同时要易于维护管理，并方便进行流量调整。6.3.2 根据流量流向规划，网络应设计合适的路由选择规则。一般的规则有： 就近原则：业务流量根据拓扑结构确定的最短路径进行疏通； 指定路径原则：业务流量根据预先规划的路径或者预先规划的路径关键点(例如出入口位置、不同网络平面等)进行疏通。6.

19、3.3 网络的路由选择规则的实现可采用以下技术： 合理设计域内路由协议的链路权值； 运用域间路由协议的各种属性并合理设计赋值； 采用MPLS TE技术。6.3.4 网络路由应尽可能进行聚合。根据网络路由选择规则的需要，网络中可以存在适当的非聚合路由。6.3.5 网络中不应存在路由选择循环，不存在路由黑洞。6.4 路由协议运行的稳定性与扩展性6.4.1 为提高网络的稳定性，原则上在域内和域间两种路由协议之间不进行路由信息的互相注入。6.4.2 根据网络规模，合理设计域内路由协议的分级或分区域，以提高网络的稳定性。在网络中继电路带宽较宽、网络节点设备的计算能力较强时，尽量采用不分级和不分区域的域内

20、路由协议方案，以方便优化网络路由。6.4.3 为了快速跟踪网络中继电路状态变化情况，降低可能的电路中断对业务的影响，应合理运用域内路由协议的快速收敛技术，并合理设计有关的故障检测定时器范围。6.4.4 可以采用设置BGP阻尼的方式来减小由于中继电路不稳定对网络的影响。7 网间互联7.1 与骨干网或省网间互联7.1.1宽带IP城域网应与全国IP骨干网或省网实现互联。7.1.2宽带IP城域网选择2个或2个以上核心节点与全国骨干网或省网路由器实现连接，提供宽带IP城域网的出口。7.1.3 对于部分业务量大的城域网，可以开通城域网间互联电路，但是该互联电路应仅用于疏通城域网内部分两网间的互联业务。7.

21、1.4 网间互联带宽应根据业务需求双方协商确定。7.1.5 网络应设计合理的网间互联路由策略，实现互联业务疏通的路由优化，尽量减少不合理的互联业务路由走向，并有效利用互联带宽。7.1.6 网间互联应对入网流量进行控制，主要可以通过控制向互联对方网络宣告的路由信息内容、通过配置调整相应BGP路由的有关属性参数，引导入网流量。7.1.7 网间互联应对出网流量进行控制，主要可以通过配置BGP路由的有关属性参数、与互联对方网络协商有关BGP路由有关属性参数赋值含义及方式，引导出网流量。7.2 与PSTN/ISDN网间互联7.2.1 宽带IP城域网与PSTN/ISDN网间互联包括采用网络接入服务器互联和

22、IP电话网关互联2种方式。7.2.2 采用网络接入服务器方式，PSTN和ISDN用户通过网络接入服务器拨号接入到宽带IP城域网，网络接入服务器位于PSTN/ISDN网络与宽带IP城域网的接口处，网络接入服务器和PSTN/ISDN网络之间可以采用ISDN DSS1（30B+D），中国1号信令或中国7号信令。7.2.3 采用IP电话网关方式，PSTN和ISDN用户通过IP电话网关接入到宽带IP城域网，呼叫PC用户， 也可以呼叫另一PSTN/ISDN网络的用户。IP电话网关位于PSTN/ISDN网络与宽带IP城域网的接口处，IP电话网关和PSTN/ISDN网络之间可以采用ISDN DSS1（30B+

23、D）， 中国1号信令或中国7号信令。8 网络性能8.0.1 IP网络性能指标包括： 吞吐量：网络两个节点之间特定业务流的平均速率； 延迟：IP包在进入网络节点和离开网络节点之间的平均历时，可以是单向延迟或是往返延迟； 抖动：IP包延迟的变化； 包丢失率：IP包在网络传送过程中丢失报文的百分比； 可用性：网络可以为用户提供服务的时间的百分比。8.0.2 不同的用户及业务对IP网络性能指标的要求是不同的，本规范只对网络轻载条件下的网络性能提出建议，在工程建设中，应该根据实际情况对上述性能指标提出建设要求。一般宽带IP城域网网络性能指标参考建议如下： 单向延迟：20ms(暂定值，从接入节点至IP城域

24、网出口，包括传输延迟和设备延迟)； 抖动：20ms(暂定值)； 包丢失率：1(暂定值)； 可用性：99.99(暂定值)。9 服务质量9.0.1 服务质量(QoS)是指IP网络的一种能力，可为特定的业务提供其所需要的服务。通过有效地实施各项IP QoS技术，使得运营商能够有效地控制网络资源及其使用，在单一网络平台上融合语音、视频及数据等多种业务，能够在现有网络上细分客户、针对不同的客户需求提供特色的差别业务。9.0.2 宽带IP城域网应在仔细规划估算所承载的各种业务的平均速率和峰值速率的基础上，合理设计链路带宽。在不采用各种QoS技术的情况下，网络可采用轻载方式提高服务质量： 在采用主备疏通方式

25、的流量规划方式下，中继电路的带宽利用率宜设计在5070区间内； 在采用分担疏通方式的流量规划方式下，中继电路的带宽利用率宜设计在4050区间内。9.0.3 根据业务需求，宽带IP城域网可积极采用以下各种IP QoS技术：1 基于RSVP的IntServ方案是一种端到端基于流的QoS技术。目前粒度为单个流的资源预留的解决思路在互联网上扩展性无法保证。不建议采用。 2 基于DSCP的DiffServ方案是一种基于类的QoS技术。通过将业务定义为有限的类，可以较好地解决扩展性问题，建议主要采用。3 MPLS可以与DiffServ结合，提供MPLS CoS。MPLS与DiffServ的结合可以将DS字

26、节的设置融入MPLS的标记分配过程中，使得MPLS标记具备区分分组服务质量的能力。包括E-LSP方案和L-LSP方案。目前可主要采用E-LSP方案。4 MPLS TE是一种间接改善网络QoS的技术。MPLS TE利用了LSP支持显示路由的能力，在网络资源有限的前提下，将网络流量合理引导，间接改善网络服务质量。MPLS DiffServ-Aware TE在MPLS TE的基础上，增加了基于类别的资源管理，充分利用了DiffServ的可扩展性以及MPLS 的显示路由能力，是解决IP QoS的较好技术之一。9.0.4 考虑到IP QoS现实技术成熟程度的限制和大规模运用经验的缺乏，IP QoS的引入

27、实施及完善将是长期的过程。宽带IP城域网的工程设计应随时注意新技术的发展和可能的实际应用。IP网络中QoS的技术部署主要包括资源控制、资源隔离和资源调度等各种技术及策略的运用。鉴于DiffServ是目前IP网络主要的QoS技术之一，本规范给出基于DiffServ的部署参考示例如下： 总体上，网络接入边缘路由器根据业务的QoS要求将业务映射到一个类别中，然后用IP包头的DS字段加以标识。所有的网络核心的路由器根据DS字段执行预定义的服务策略，即根据DS字段将IP包放入不同队列，对不同队列定义不同的处理策略，实现不同类别IP包的不同的逐跳转发行为(PHB)； 根据业务需要，定义服务等级； 在网络接

28、入边缘，主要采用业务分类与标记(例如基于IP五元组、ACL等)、速率限制(例如CAR、GTS等)等技术； 在网络核心，主要采用队列调度(例如PQ/WFQ/CBWFQ/MDRR、LLS/NLS/PBS等)、拥塞控制(例如RED/WRED等)等技术。如下表9.0.4所示：表9.0.4 IP QoS技术部署示例服务等级PHB调度方式拥塞控制业务7最高优先LLS无网络设备间协议通信6EFLLS无实时语音业务5EFLLS无实时视频业务4AF4NLSWRED大客户金牌数据业务3预留2AF2NLSWRED大客户银牌数据业务1AF1NLSWRED大客户铜牌数据业务0BEFIFOWRED一般公众互联网业务10

29、网络管理10.1 网管体系结构10.1.1 宽带IP城域网可以设置单独的专业网管系统。宽带IP城域网也可采用全省集中管理的方式，各城域网内只设置操作维护中心。10.1.2 网管系统与被管设备之间的网管信息通道一般可采用带内方式，也可采用带内带外相结合的方式。10.1.3 宽带IP城域网的网管系统可通过特定的接口与综合网管系统实现连接，以实现综合的资源、故障、性能等管理功能。10.2 网管接口10.2.1 网管接口协议：1 网管系统与被管设备之间采用基于SNMP的接口。2 网管系统和省网管中心之间采用SNMP或基于XML的WebServices接口。10.2.2网管接口信息模型：宽带IP城域网中

30、采用的网络设备必须支持通用的公有信息模型，同时也允许提供针对自身产品特色的私有信息模型。10.2.3网管接口功能：网管接口的功能要求主要包括故障管理、计费管理、配置管理、性能管理和安全管理。宽带IP城域网中采用的网络设备必须支持网管接口功能要求，要求提供实时的告警信息、准实时的性能信息和动态的资源配置信息，以及提供计费和安全信息。10.3 网管功能10.3.1 资源管理：实现设备管理、电路管理、路径管理、IP地址管理、AS管理、软件版本管理、资源报表统计、资源预警等功能。10.3.2 拓扑管理：实现拓扑管理功能。拓扑管理既要有C/S的界面也要能够通过B/S访问。根据不同的视角和不同的侧重层次，

31、拓扑图可以有不同的视图；实现拓扑自动发现、监视与浏览；实现基于拓扑的流量显示、资源显示、故障显示。10.3.3 故障管理：应能提供列表形式的告警监视窗口，网管人员可以在视图上监视到网元的实时告警，对相关告警操作或启动相关网元的告警历史信息查询浏览功能；应具备声、光、电的告警功能；支持告警过滤、告警转发、告警确认和告警升级、告警清除；支持一定的故障关联分析。10.3.4 性能监测与分析：应提供及时有效的手段对网络性能进行监测，可以从网元、路由信息、端到端路径、网络应用等不同层次、不同方面，对网络的性能进行分析。通过性能数据的波动，及时发现故障，并进行前期预警。10.3.5 流量采集与分析：通过采

32、集网络的链路层流量和业务流量，实现对各个网络层次的电路负载和电路拥塞的分析，对网络流量流向及网络业务类型分布进行分析。10.3.6 路由管理：对网络中的路由实体进行监测，对网络路由信息及其变化情况进行分析。10.3.7 QoS管理：在网络提供QoS时，应提供面向网络的QoS的管理功能，主要包括网络层QoS参数配置、基于QoS的性能监测、基于QoS的流量分析等功能。10.3.8 前端信息服务管理：应提供面向前端、面向业务、面向客户的功能，支持以WEB形式发布各种与前端、与业务的相关的统计信息。10.3.9 报表统计：实现对网络的业务、资源、故障以及性能等信息进行统计发布，为网管使用人员提供多种形

33、式的报告和图表。10.3.10 安全管理功能宜由专门的SMC实现，具体内容见第11章。10.3.11 VPN管理: VPN用户可以拥有自己的网管设备和网管机构，由网管系统配置权限，实现VPN用户自助管理。用户VPN网管应具备以下功能：收集VPN内部的网管信息，如：拓扑结构、链路状态、流量和流向、网络资源的占用情况等；性能监视；相关信息的配置，如内部业务配置等；同时还应提供VPN的内部计费管理、安全管理等。用户管理终端上只显示本用户虚拟专网的网络情况，在网络运行者授权的情况下，可实现用户对本虚拟专网的实时操作。网管系统支持VPN业务数据的生成，特别是VPN用户数据的生成，能够灵活地添加、删除虚拟

34、专用网的用户站点，灵活地修改用户的接入权限，服务级别等。11 网络安全11.1 安全目标与框架11.1.1宽带IP城域网的网络与信息安全目标是在合理的安全成本基础上，实现网络运行安全和业务安全，即保证各类网元设备的正常运行，保证信息在网络上的安全存储传输，保障网络的运营维护管理安全。11.1.2 网络安全框架由防护、检测与评估、响应闭环构成。防护部分即基本的安全技术和安全措施，是整个网络安全的基础；检测与评估部分对全网进行实时监控，定期对全网进行安全扫描和风险评估，并将结果传给响应系统；响应部分根据检测和评估结果，调整安全策略、产生安全告警、修补安全漏洞、进行安全加固等。防护部分、检测与评估部

35、分的实现主要依赖于安全技术的部署。响应部分的实现构成安全管理的技术手段。11.1.3 宽带IP城域网安全通常包括两个方面：技术要求和管理要求。在技术方面上，网络安全由以下几个方面组成：物理安全，网络安全和信息安全。11.2 安全管理11.2.1为了保护网络的安全性，信息安全部门应该根据管理原则和该系统处理数据的保密性，制定相应的管理制度或采取相应的规范。11.2.2安全管理规范包括：密码长度、修改日期及不同平台、不同机构需要的不同安全设置；每条信息那些人可以访问；每个人在向其它人散布信息时所必须遵守的规则；违反规定的情况如何处理等。11.3 安全技术部署11.3.1 物理安全：保护计算机网络设

36、备、设施以及其他媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误以及各种计算机犯罪行为导致的破坏过程。它包括三个方面的内容：1环境安全：对系统所在环境的安全保护，如区域保护和灾难保护，应符合GB50173-93电子计算机机房设计规范、GB2887-89计算机站场地要求、GB9361-88计算机站场地安全要求等地要求；2设备安全：网络设备如计算机以及电缆、网桥和路由器等的防盗、防毁、防电磁辐射泄露、防止线路截获、抗电磁干扰及电源保护等。保护的措施有：对主机房及重要信息存贮、收发部门进行屏蔽处理；对本地网、局域网传输线路传导辐射的抑制；对诊断设备的辐射进行防范。3媒体安全：包括媒体数据的安

37、全及媒体本身的安全。可以采用多机数据备份等技术加以保护。11.3.2 网络安全：网络安全把需要保护的网络用防火墙从开放因特网中隔离开来，实现内部信任网与外部不可信任网之间或是内部网不同网络之间安全区域的隔离与访问控制，保证网络系统及网络服务的可用性。1 内外网隔离及访问控制：在内外部网络之间设置防火墙，实现内部网络的访问控制。根据防范的方式和侧重点的不同，可以选择分组过滤或应用代理等不同类型的防火墙。2内部网不同安全域的隔离及访问控制：采用防火墙技术实现内部网不同安全域的隔离及访问控制。3网络安全检测：安装网络安全评估分析软件。利用此类软件扫描分析网络系统，及时发现并修正存在的弱点和漏洞。4审

38、计与监控：安装网络安全评估分析软件。利用此类软件对用户使用计算机网络系统的进行记录的过程，以便发现和预防可能的破坏活动。5全网安全远程扫描和评估：在核心节点和网络管理中心安装网络安全扫描器，对整个网络进行安全扫描。6网络备份系统：设计合理的备份机制，以便在出现问题时能够及时恢复。例如在设计网络拓扑时，任一节点与网络其它之间应该至少有两条物理连接，以供迂回路由；关键网络设备都必须有备用的。11.3.3 信息安全：在网络实施过程中，应尽量利用各种手段来保障信息的安全搜索、存放和共享。最基本的原则是各级领导首先制定出相应的安全规范和政策。信息安全包括信息传输的安全、信息存贮的安全以及对网络传输信息内

39、容的审计三个方面。1鉴别：利用口令机制、智能卡或个体特征鉴别技术，对通信各方的身份进行鉴定。2数据传输加密技术：利用密码技术，对传输中的数据流进行加密，防止窃听、泄露、篡改和破坏。加密可以在不同的层次上进行：链路加密，节点加密和端到端的加密(比如传输前对文件进行加密)。3数据存贮安全：对保存在用户终端中进行安全保护，防止关键数据被窃取。选择使用安全数据库系统，以及基于口令/密码算法的身份验证。4信息内容审计：安装信息内容审计软件，对进出网络的信息内容进行审计，以防止或追查可能的泄密行为。5口令管理：目前发现的漏洞，大多是由于口令管理不严，使得黑客可以乘虚而入。因此口令的有效管理是非常基本的，也

40、是非常重要的。6用户帐号管理：在为用户建立帐号时，应注意保证每个用户的ID的唯一性，避免使用公用帐号；对于过期的帐号要及时封闭；对于长期不用的帐号要定期检查，必要时封闭。7加强信息服务器的安全措施：必须注意服务器本身的安全设施，随时更新版本。8系统的高可用性和备份措施：利用冗余技术，通过系统中硬件、软件、数据的冗余，实现当系统中的某一个环节(硬件、软件、数据)出现故障时，使用冗余部件提供服务。12 传送技术12.0.1 宽带IP城域的传送技术主要有SDH、WDM、多业务传送节点技术、光纤直连、LMDS、3.5G和微波等。12.0.2 宽带IP城域网核心节点间传输可以通过SDH或城域WDM连接，

41、以确保网络的可扩展性；在网络建设初期规模较小时，核心节点也可通过内置的光传输接口直驱光纤互联或采用MSTP技术。12.0.3 汇聚层传送技术在大中城市建议采用POS(2.5G或155M SDH链路)或者千兆以太网(光纤直连)或者多业务传输平台技术。具体技术以及速率的选择视当地业务量以及传送网和光纤条件而定。在中小城市建议采用POS(155M SDH链路)或者千兆以太网(光纤直连)或者多业务传输平台组建汇聚层。具体技术以及速率的选择视当地业务量以及传送网和光纤条件而定。12.0.4 接入层传输可采用各种低成本、高可靠传输技术。在解决企业互连时，可考虑基于SDH技术的城域多业务传输技术，提供高可靠

42、的企业高速互连业务。接入节点应能提供100Mb/s以上速率的接口与汇聚节点相连，远距离传输时优先选用光纤作为物理层媒介。13 业务13.1 业务种类13.1.1 本章主要描述了宽带IP城域网业务的基本类型，具体业务的开展应遵照相应的业务规范。13.1.2 宽带IP城域网的业务可面向固定用户和移动用户提供业务。13.1.3 总体上，宽带IP城域网提供的业务类型分为以下两大类：1 IP话音类业务：主要是IP电话业务和基于IP电话技术、软交换技术的增值语音业务。2 IP数据类业务：分为基本数据业务和增值数据业务。基本数据业务是在互联网上直接实现的数据业务，包括拨号接入、专线接入、IP VPN、IDC

43、等。增值数据业务是指由城域网作为承载网络，由运营商或者运营商与第三方SP合作通过相关业务平台提供的业务。13.2 业务描述13.2.1 IP话音类业务宽带IP城域网提供的IP话音类业务主要是指通过城域网能承载的语音通信类业务。主要包括以下一些业务：VOIP业务；IP会议电话；IP800等语音增值业务。13.2.2 IP数据类业务1 基本数据业务1) 城域网接入业务城域网接入业务主要是城域网为用户提供基于固定、移动、无线等各种方式的城域网接入服务。主要提供以下接入城域网的手段： PSTN、ISDN、GSM拨号接入； 宽带接入(ADSL、以太网)； GPRS接入、CDMA2000 1X接入； WL

44、AN接入； 有线专线接入； 固定无线接入。2) 数据中心业务(IDC业务)IDC是提供安全、可靠、高速、可扩展的电信级服务场所。IDC业务为ISP、ICP、企业及个人用户提供主机资源托管、主机资源出租以及更高层次的服务。3) IP虚拟专业网(VPN)业务IP VPN该业务是指基于IP城域网为用户提供虚拟专用网络服务，为用户提供的虚拟专网与公众业务路由隔离。该业务主要分为两种：VPN和VPDN业务。目前可实施VPN业务的主要手段是：L2TP VPN、GRE VPN、IPsec VPN、MPLS L2VPN和MPLS L3VPN等。2 增值数据业务1) 信息服务业务IP城域网信息服务业务主要是指通

45、过互联网承载的，由专门的业务平台提供的各种信息服务。该类业务主要包括如下一些业务： 电子邮箱； 信息浏览(WWW、WAP)； 内容下载； 在线翻译、在线杀毒； 电子公告板/聊天室； 其它信息服务类业务。2) 即时通信业务即时通信业务主要是通过互联网网实现实时的文字或视频聊天、应用程序协作等服务。3) 流媒体业务流媒体业务是通过互联网网实时播放多媒体内容，例如互联网电视、视频点播、远程教学等。流媒体业务采用组播技术可以节约IP城域网的网络资源。4) 网络游戏业务网络游戏业务是通过互联网承载实现网络游戏应用协作，从而向用户提供的用户-应用交互、用户-用户交互的业务。5) 电子商务业务电子商务是利用

46、互联网进行的贸易，包括在互联网上建立商务市场，完成订购、投递物品的信息管理以及资金的传递等功能。IP城域网用户可以根据其不同的目的作为电子商务活动中的消费者、商家、银行、认证中心、客户服务中心、支付处理方和投递方。具体应用包括电子银行、电子购物、电子商品交易等。电子商务业务应保证高安全性、高可靠性，必须采用一定强度的加密技术。13.3 业务承载13.3.1 宽带IP城域网业务中的基本数据业务以IP城域网络为基础，通过配置接入设备实现接入业务和IP VPN业务，通过建设IDC实现IDC业务。13.3.2 宽带IP城域网业务中增值数据业务以IP城域网为承载网络，通过建设相关的业务平台，提供各种业务

47、。13.3.3 宽带IP城域网承载各种业务，应根据各种业务的服务质量、可靠性、安全性等方面的要求，采用一定的承载技术实现。对于可靠性要求，可以通过网络的冗余等方式实现；对于安全性和服务质量要求，可以通过网络承载的隔离(例如VPN方式的隔离、物理平面方式的隔离等)以及以分类为基础的服务质量保证技术实现。13.3.4 宽带IP城域网的业务承载能力应根据业务需求预测确定。为保证网络易于扩展，网络设备的业务承载能力可适当长些，网络中继电路的业务承载能力一般不宜超过2年。13.4 业务和用户接入方式13.4.1 拨号接入拨号接入包括PSTN/ISDN固定拨号接入和GSM CSD方式的移动拨号接入。拨号接

48、入城域网应根据业务需要设置接入服务器。13.4.2 宽带接入宽带接入包括ADSL接入和以太网接入。宽带接入应根据业务需要设置宽带接入服务器。宽带接入中可采用虚拟拨号方式。13.4.3 专线接入专线接入包括有线专线接入和固定无线接入两种方式，或者两种方式的结合。专线接入主要是指通过租用专线的方式将业务或用户接入城域网。1 有线专线接入1) 光纤直驱/宽带以太网接入：基于光纤直驱的宽带以太网接入可用于部分重要的业务源或大客户接入城域网等。2) 基于光纤的无源光网络接入：无源光网络为运营商的中心机房和商业及居民客户之间解决最后一公里的通信基础。目前成熟的有APON解决方案，但是设备造价较贵，以以太网

49、为基础的无源光网络目前发展较快。目前无源光网络技术和设备不完全成熟。3) SDH/MSTP/DDN接入：SDH网络可以提供2.5Gbps、622Mbps、155Mbps、2Mbps速率的接入，MSTP网络还可以提供ATM接口和以太网(10/100/1000Mbps)接口；DDN网络可提供2Mbps及2Mbps以下的速率接入。通过SDH/MSTP/DDN网络可以接入重要的业务或大客户。4) ATM/FR/X.25接入：通过ATM/FR/X.25与城域网进行连接，业务或用户可以接入城域网。2 固定无线接入固定无线接入主要有LMDS和3.5GHz等方式的固定无线接入。利用固定无线接入方式可以弥补接入

50、手段的不足，接入光纤、SDH网络等覆盖不到的用户。13.4.4 GPRS/CDMA2000 1X网接入通过GPRS、CDMA2000 1X网络与城域网的互连可以实现移动用户以分组方式接入城域网，使用各种城域网业务。13.4.5 WLAN接入WLAN提供了局域覆盖、高速接入的无线接入技术，可为用户提供热点地区高速数据接入。通过WLAN的接入控制设备联入城域网，用户可在WLAN覆盖区域接入城域网，使用各种城域网业务。13.4.6 随着新业务的不断出现，应不断完善相应的连接和用户接入方式，同时应根据不同的业务要求，决定不同业务接入点的位置。13.5 业务计费与结算13.5.1 计费结算体系结构1 I

51、P城域网计费体系由计费信息采集前端设备(NAS、BRAS、WLAN AC/AP等)、计费信息采集点(主要是RADIUS服务器，基于信息内容的计费信息采集点主要在业务平台或业务管理平台)和运营商的计费帐务系统组成。计费信息采集点生成用户话单，可以定时、定量地传送给计费系统，由计费帐务系统进行批价、进行帐务处理等。2 城域网计费体系宜尽量采用集中方式。根据业务运营和管理需要，也可采用多系统分散方式。3 对于基于信息内容的计费，在生成计费话单信息前的业务流程中应包含对业务合法性、业务用户订购合法性等的鉴权环节，避免业务欺诈。13.5.2 计费方式1 城域网业务计费体系应支持基于时长的计费方式、基于流

52、量的计费方式、基于信息内容的计费方式，支持包月计费方式，支持基于资源占用的计费方式，并支持各种计费帐务处理的各种优惠方式。随着新的技术的发展，将来还可以采用基于QoS或者其它的高级计费方式。2 城域网业务计费体系应支持预付费的实时计费方式和后付费的的计费方式。3 城域网业务计费体系应支持计费方号码的灵活设定，可以是主叫号码、卡号、用户注册名、集团帐号等，以满足业务开展的需要。4 城域网业务计费体系应支持用户漫游使用业务时发生的计费结算需要。5 计费信息采集点所收集的计费要素应满足业务需要。13.5.3结算宽带IP城域网原则上归纳到省级结算中心，IP城域网只负责计费信息的采集，不支持结算。对于部

53、分规模较大的IP城域网业务结算应依托于运营商已有的计费帐务系统，完成省际结算。13.6 业务管理和宽带用户管理13.6.1 业务管理宽带IP城域网运营商应建设一个可增值的宽带业务平台，使宽带IP城域网能提供丰富的宽带业务，并实施集中业务管理，规范宽带业务的对外形象。 宽带IP城域网的业务中心建设应重点考虑以下几个方面： 1 业务逻辑和业务功能分离，业务逻辑由业务中心定制，并通过开放的协议接口控制网络设备中的业务功能。能够根据用户的需求快速地生成新的业务，而且不需要修改网络设备并快速实施；可以使网络具备不断挖掘网络能力，针对不同的用户群提供不同的业务特性组合。如：宽带上网卡、宽带酒店（IP Ho

54、tel）、门户业务（Portal）、智能小区。 2 灵活方便的业务提供：面向用户和管理者的Web接入管理、支持多代理商的批发外包将是宽带业务的重要特征，通过有效的权限管理机制保证业务数据的安全。用户可以定制业务提供的多种特性以及选择不同的费率策略。对于不同的接入手段，应保持一致的业务特性。 3 灵活的业务计费：按时长、流量、带宽、服务等级等多种因素进行综合计费，支持灵活的业务策略。 4 提供开放的协议和管理接口，支持第三方数据库接入。5 积极发展Portal 业务，并通过广告充值等手段，刺激用户消费。13.6.2 宽带用户管理功能宽带IP城域网汇聚层设备应提供以下宽带用户管理功能： 1 边缘汇接设备应能根据用户的不同接入方式进行宽带用户的身份识别：以太网接入（以MAC、IP地址或VLAN ID组合方式识别用户）；PPPoE接入（PPPOE SESSION ID识别用户）-支持接入用户通过PPPoE接入上网，该接入协议在ADSL接入、以太接入、CMTS接入都适用；L2TP接入（L2TP SESSION ID识别用户）。 2 支持以下方式的用户认证：通过业务中心完成认证；通过Radius系统完成认证；WEB认证。IP城域网业务开放时对用户的识别可以采取两种方式：1) 如为用户分配唯一静态的IP地址，则无需进行认证。2) 如为用户分配动态IP地址，则由认证设备分配IP地址 3 用户地