中国电信IP网VPDN网路及mriing.diandian.com业务技术要求.doc

1、中国电信 IP 网 VPDN 网路及业务技术要求http:/1中国电信 IP 网上 VPDN 系统结构组成中国电信 IP 网上 VPDN 系统组成分为以下几个部分：（1） VPDN 业务的承载网，即中国电信的 IP 网；（2） 两级 VPDN 业务管理中心，包括 1 个全国 VPDN 业务管理中心和 31个省级 VPDN 业务管理中心；（3） 中国电信在各省市城市的 VPDN 拨号接入系统，主要由接入服务器组成；（4） 用户系统，包括企业的拨号用户、企业总部网关设备、企业内部网的管理系统。整体系统组成如下图所示：2.1 中国电信 VPDN 业务的承载网VPDN 业务承载网采用中国公用计算机互联

2、网（163 网）和中国公众多媒体通信网（169 网）二网调整后的 163/169 网，2.2 全国 VPDN 业务管理中心VPDN 业务管理中心是中国电信 IP 网上 VPDN 系统组成中的关键部分，是中国电信在 IP 网上提供 VPDN 业务的控制中心，全国 VPDN 业务管理中心设置在电总数据局，采用单独建设的方式。全国 VPDN 业务管理中心在功能上可由以下功能模块部分组成：（1）用户管理模块：主要负责全国 VPDN 业务的受理、全国 VPDN 业务市 话PSTN/ISDN 企 业 拨 号 用 户企 业 拨 号 用 户 市 话PSTN/ISDN中 国 电 信 全 国 VPDN系 统 结

3、构 组 成中 国 电 信 IP网接 入 服 务 器 接 入 服 务 器VPDN企 业 总 部VPDN1 网 关各 省 市 城 市 VPDN接 入系 统 VPDN31VPDN业 务 承 载 网VPDN业 务 管 理 中 心用户信息（用户信息包括每个用户申请的完整域名、网关的公开 IP 地址等）管理、业务营销策略管理、全国 VPDN 业务用户帐务信息管理。（2）用户认证模块：主要负责全国 VPDN 业务 RADIUS 认证、计费信息采集、中国电信 IP 网上负责 VPDN 业务所有接入服务器和全国 VPDN 业务用户网关设备的登记等。该模块采用主备用设置。（3）计费结算帐务模块，主要负责全国 VP

4、DN 业务计费、帐务生成、各种信息统计分析报表生成等。（4）网络管理模块，网络管理对象是全国 VPDN 业务管理中心内部局域网内的所有设备,网络管理功能包括故障管理、性能管理、配置管理、安全管理。 业 务 受 理 和 查 询 RADIUS认 证 模 块客户信息数据库信息 计 费客户信息管理 用户帐务信息管理用 户 管 理 模 块营销策略管理 用 户 认 证 模 块接入服务器信息 计费信息采集计 费 帐 务 结 算 模 块帐务 结算 业务统计全国用户管理模块、用户认证模块、计费结算帐务模块关系图2.2 省级 VPDN 业务管理中心各省省级 VPDN 业务管理中心设置在中国公用计算机互联网（163

5、 网）和中国公众多媒体通信网（169 网）二网调整后的 163/169 网的省级管理系统平台上，省级 VPDN 业务管理中心系统设备与其它已有的省级管理系统设备共用一个局域网网络，不单独建设。省级 VPDN 业务管理中心在功能上可由以下功能模块部分组成：（1）用户管理模块：主要负责省内 VPDN 业务的受理、省内 VPDN 业务用户信息（用户信息包括每个用户申请的完整域名、网关的公开 IP 地址等）管理、业务营销策略管理、省内 VPDN 业务用户帐务信息管理。（2）用户认证模块：主要负责省内 VPDN 业务 RADIUS 认证和全国VPDN 业务认证向全国 VPDN 业务管理中心认证系统的转送

6、、计费信息采集、省内负责 VPDN 业务所有接入服务器和省内 VPDN 业务用户网关设备的登记等。该模块可采用主备用设置，也可只采用主用设置。（3）计费结算帐务模块，主要负责省内 VPDN 业务计费、帐务生成、各种信息统计分析报表生成等。（4）网络管理模块，网络管理对象是省级 VPDN 业务管理中心用户认证功能系统设备和用户管理功能系统设备以及省内所有负责 VPDN 业务接入服务器,网络管理功能包括故障管理、性能管理、配置管理、安全管理。 业 务 受 理 和 查 询 RADIUS认 证 模 块客户信息数据库信息 计 费客户信息管理 用户帐务信息管理用 户 管 理 模 块营销策略管理 用 户 认

7、 证 模 块接入服务器信息 计费信息采集计 费 帐 务 结 算 模 块帐务 结算 业务统计省级用户管理模块、用户认证模块、计费结算帐务模块关系图2.3 VPDN 拨号接入系统中国电信在各省市城市的 VPDN 拨号接入系统采用在省内需要提供 VPDN业务的城市配置独立的接入服务器的方式实现，接入服务器的信息应配置在省级 VPDN 业务管理中心的用户认证模块中，同时各省应将该接入服务器的信息上报全国 VPDN 业务管理中心，该信息也要配置在全国 VPDN 业务管理中心的用户认证模块中。接入服务器首先指向省级 VPDN 业务管理中心的用户认证模块的主用系统，备用指向用户认证模块的备用系统，若省级 V

8、PDN 业务管理中心的用户认证模块无备用系统，则备用指向全国 VPDN 业务管理中心的用户认证模块。2.4 用户系统用户系统包括企业的拨号用户、企业总部网关设备、企业内部网的管理系统。企业内部网的管理系统在功能上包括用户认证模块、用户管理模块、计费帐务模块（企业可根据情况选择配置） ，其中用户认证模块与中国电信的各级VPDN 管理中心的用户认证功能模块应能互操作。（1）用户管理模块：主要负责可以使用 VPDN 方式访问公司内部网用户的注册登记、该用户的信息（包括每个用户申请的用户名、密码等）管理。（2）用户认证模块：主要负责使用 VPDN 业务用户访问内部网的最终认证，在最终认证通过后远程用户

9、才可访问内部网，同时该模块还负责向远程用户分配内部网地址（一般是内部网使用的保留地址）,最终认证完成后 L2TP 隧道才是成功建立，此时各级 VPDN 业务管理系统才开始计费信息采集，该模块还负责计费信息采集。用户认证模块可采用主备用设置，也可只采用主用设置。（3）计费帐务模块，主要负责内部网对访问用户的计费、帐务生成。2中国电信 VPDN 业务技术实现协议使用标准中国电信在提供 VPDN 业务时采用 IETF 组织的 L2TP 协议作为隧道协议。3中国电信 VPDN 业务用户接入识别方式中国电信在 IP 网上提供 VPDN 业务采用特服号+用户域名识别方式（一次认证） 。一次认证指中国电信各

10、级 VPDN 业务管理系统只根据用户注册的完整域名进行认证，只要确认域名是注册的就通知接入服务器准备建立隧道，而不对用户是否有权使用该域名进行认证。特服号采用 179XX 作为国内 VPDN 业务的接入号。4中国电信 VPDN 业务描述中国电信在 IP 网上提供的 VPDN 业务可分为全国范围的 VPDN 业务和省内的 VPDN 业务。全国范围的 VPDN 业务指申请了该业务的用户能在全国范围内使用该业务，省内的 VPDN 业务指申请了该业务的用户只能在本省内使用该业务，出省后无法使用。用户申请全国业务还是省内业务要采用不同用户域名体系结构来标识，初期用户域名体系结构可采用以下方式：全国 VP

11、DN 用户域名：usernameGroupName省内 VPDN 用户域名：usernameGroupName.省市名称省市名称用于区分各省内业务。其中 GroupName 是企业用户向中国电信申请业务时，由中国电信和用户商定后注册登记的。Username 由企业内部网向用户提供，该名称的分配是由企业负责。对于申请省内业务的用户必须有省市名称。“省市名称”的编码如下：省（区、市） 编码 省（区、市） 编码 省（区、市） 编码北京 bj 浙江 zj 贵州 Gz上海 sh 安徽 ah 云南 Yn天津 tj 福建 fj 西藏 Xz河北 he 江西 jx 陕西 sn山西 sx 山东 sd 甘肃 gs内

12、蒙古 nm 河南 ha 青海 qh辽宁 ln 湖北 hb 宁夏 nx吉林 jl 湖南 hn 新疆 xj黑龙江 hl 广东 gd 海南 hq重庆 cq 广西 gx江苏 js 四川 sc对于申请全国 VPDN 业务的用户可使用企业在因特网上合法使用的域名。若企业没有合法域名，可采用与中国电信商定后注册登记的方式，但不得使用以上任何省市名称编码作为标识。5中国电信 VPDN 业务管理中心用户认证模块功能和认证流程中国电信的 VPDN 业务两级管理中心中的用户认证模块认证协议采用RADIUS 协议，该协议遵循 IETF RFC2138（RADIUS）和 RFC2139（RADIUS ACCOUNTIN

13、G）标准。用户认证模块在功能上按以下划分：全国 VPDN 业务管理中心系统负责要求提供全网 VPDN 业务的用户认证，省级 VPDN 业务管理中心系统负责只要求本省内 VPDN 业务的用户认证。不同用户的认证过程如下图所示：VPDN 用户在拨叫该业务时，首先到省级 VPDN 业务管理中心的 RADIUS认证服务器，通过用户完整域名的识别判断是省内业务还是全网业务，如果是省内业务则在省级完成认证，如果不是则由省级转至全国 VPDN 业务管理中心完成认证。具体的认证流程如下图所示：市 话PSTN/ISDN移 动 办 公 用 户移 动 办 公 用 户市 话PSTN/ISDN中 国 电 信 IP网接

14、入 服 务 器 接 入 服 务 器VPDNRadius ServrVPDNRadius ServrGroupName179XusernameGroupNamePASWOED 179XusernameGroupName.省 市 名 称PASWORDGroupName 全 国 性 VPN用户省 内 VPN用 户 Radius ServrVPDNRadius Servr GroupName.省 名Radius Servr网 关 网 关各 省 市 城 市 IP网 接 入系 统 注 ：表 示 全 国 VPDN业 务认 证 过 程表 示 省 内 VPDN业 务认 证 过 程全 国 及 省 内 VPDN用

15、户 认 证 过 程 图用 户 拨 打 接 入 179X,并 输入 完 整 域 名 及 密 码NAS将 用 户 完 整 域 名 送 至 省 级VPDN业 务 管 理 中 心 RADIUS认证 服 务 器省 级 VPDN业 务 管 理中 心 判 断 是 否 是 省内 业 务是 不 是省 级 VPDN业 务 管 理 中 心根 据 GroupName判 断 用户 是 否 注 册 用 户查 出 用 户 网 关 地 址准 备 建 立 L2TP隧 道转 发 至 全 国 VPDN业 务管 理 中 心是 全 国 VPDN业 务 管 理 中心 根 据 完 整 域 名 判 断用 户 是 否 注 册 用 户不 是通

16、知 NAS断 开 连 接 是用 户 系 统 内 部 网 用 户 认证 模 块 完 成 对 用 户 认证 ， 是 否 是 合 法 用 户 通 知 NAS， 无 法 成功 建 立 L2TP隧 道 ，NAS断 开 连 接通 知 NAS成 功 建 立L2TP隧 道 ， 用 户 系统 内 部 网 向 用 户 分配 内 部 地 址 ， 同 时通 知 VPDN管 理 中 心可 以 开 始 计 费NAS向 用 户 系 统 发 送用 户 完 整 域 名 和 密 码不 是是6中国电信 VPDN 业务管理中心网络管理模块各级 VPDN 业务管理中心网络管理功能上可分为：故障管理、配置管理、性能管理和安全管理。（1）

17、全国 VPDN 业务管理中心网络管理模块全国 VPDN 业务管理中心网络管理对象主要是内部局域网内的所有系统设备。内部局域网配置设备包括局域网交换机、路由器、用户认证系统、计费帐务结算系统、用户和业务管理系统。新建局域网结构见下图。以上设备的故障管理、配置管理、性能管理和安全管理由全国 VPDN 业务管理中心负责。（2）省级 VPDN 业务管理中心网络管理模块省级 VPDN 业务管理中心网络管理对象主要是省内提供 VPDN 业务的NAS 设备、用户认证系统设备、用户管理系统设备、省级 VPDN 业务计费和帐务系统设备。其中用户认证系统设备、用户管理系统设备作为新配设备安装在中国电信中国公用计算

18、机互联网（163 网）和中国公众多媒体通信网（169 网）二网业务定位调整后的 163/169 网省级管理系统局域网内。省级应设置专门的对提供 VPDN 业务的 NAS 设备管理的设备，将 NAS 相关信息输入用户认证系统的工作由各省完成，同时各省应将以上信息上报至全国 VPDN 业务管理中心。对于省级用户认证系统设备、用户管理系统设备、省级 VPDN 业务计费和帐务系统设备、提供 VPDN 业务的 NAS 设备的故障管理、配置管理、性能管理和安全管理由省级 VPDN 业务管理中心负责。（3）用户端设备管理如果用户希望中国电信提供外包管理服务，今后可采用在各级 VPDN 业务管理中心配置管理平

19、台设备，负责提供对用户端所有设备的管理。7中国电信 VPDN 业务计费VPDN 业务计费分为全国性的 VPDN 业务的计费结算系统和省级 VPN 业务计费系统。全国 VPDN 业务管理中心负责管理全国的 VPDN 业务计费帐务结算系统设备，省级 VPDN 业务管理中心负责管理各省的 VPDN 业务计费帐务系统设备。VPDN 业务计费作为一个组成部分应纳入目前中国电信准备建设的全国数据及多媒体业务计费结算子系统中，但该系统建成需要一个过程，在建成之前局 域 网 交 换 机路 由 器中 国 电 信 IP网10M以 太 网 连 接以 太 网 连 接注 : 全 国 VPDN业 务 主 用用 户 认 证

20、 服 务 器全 国 VPDN业 务 计 费帐 务 结 算 系 统 磁 盘 阵 列全 国 VPN业 务 备 用 用户 认 证 服 务 器 防 火 墙全 国 VPN业 务 用 户 管理 务 器 全 国 VPDN业 务 管 理 中 心 局 域 网 网 络 结 构 图可采用以下建设方案：全国性 VPDN 业务的计费帐务结算系统采用新建方式，负责全国性 VPDN业务的计费、帐务、结算。省级 VPDN 业务管理中计费帐务结算系统采用在各省配置的用户认证模块向目前各省使用的 IP 业务计费系统提供标准的 API 接口（包括数据格式和定义内容等方面）的方式，并且各省应将 VPDN 业务计费功能模块纳入到该系统

21、中。VPDN 业务计费采用非实时计费方式，计费信息采集点在各级 VPDN 业务管理中心的用户认证系统上。VPDN 业务计费采用通信时长 x 费率的方式。8中国电信 VPDN 业务管理VPDN 业务管理最终应纳入数据业务计算机综合服务管理系统中。为了使 VPDN 业务尽快开通，初期采用在各级 VPDN 业务管理中心配置用户管理系统设备的方式实现。用户管理系统应采用 Browser/Server 方式，采用 Web 为用户使用介面，业务人员在受理业务时，用户管理系统作为 IP 网上公开的信息站点可在验证用户身份后接收访问。全国性 VPDN 业务的受理必须在全国 VPDN 业务管理中心用户管理系统平

22、台上处理。省内 VPDN 业务的受理只在省级 VPDN 业务管理中心用户管理系统平台上处理。具体业务流程由电总数据局业务部门下发。9中国电信 VPDN 业务安全安全问题可从网络安全和业务安全两个方面考虑。全国和省级 VPDN 业务管理中心的网络安全主要通过配置防火墙系统的方式实现。VPDN 业务安全主要通过拨号用户在内部网认证系统的认证与授权、分配内部网地址、L2TP 隧道在建立时认证等方式提供安全。10 IP 地址分配各级 VPDN 业务管理中心设备 IP 地址均采用公开的 IP 地址，全国一级由电总数据局负责分配，省一级由各省负责分配。省内负责提供 VPDN 业务的接入服务器的公开 IP

23、地址由各省负责分配。对拨号用户的 IP 地址由企业内部网管理系统分配。11 中国电信 VPDN 业务系统建设电总和各省建设的分工界面在目前进行的中国电信 VPDN 工程建设中，系统组成中各部分建设方式如下：（1）VPDN 业务承载网，采用中国公用计算机互联网（163 网）和中国公众多媒体通信网（169 网）二网调整后的 163/169 网，不新建。（2）全国 VPDN 业务管理中心和省级 VPDN 业务管理中心是本工程建设的重点。其中各级管理中心的用户认证功能模块采用全网统一建设、统一版本的方式，其中全国 VPDN 业务管理中心采用主备用设置，省级 VPDN 业务管理中心用户认证功能模块可采用

24、主备用设置，也可以只采用主用设置，以上内容（不含省级 VPDN 业务管理中心用户认证功能模块备用系统硬件）由电总负责投资建设。全国 VPDN 业务管理中心的计费帐务结算模块在本工程中新建，由电总负责投资建设。省级 VPDN 业务管理中计费帐务结算模块采用在各省配置的用户认证模块向目前各省使用的 IP 业务计费系统提供标准的 API 接口（包括数据格式和定义内容等方面） ，由各省负责投资在目前使用的 IP 业务计费系统中加入相应的 VPDN 业务计费功能模块。全国 VPDN 业务管理中心的用户管理模块由电总负责投资建设，省级VPDN 业务管理中心用户管理模块由各省负责投资建设。全国 VPDN 业务管理中心的网络管理模块由电总负责投资建设，省级VPDN 业务管理中心网络管理模块由各省负责投资建设。（3）中国电信在各省市城市的 VPDN 拨号接入系统，采用由各省负责建设。在省内需要提供 VPDN 的城市配置独立的接入服务器提供 VPDN 业务。（4）用户系统由用户负责投资建设，中国电信可为其提供集成服务和管理服务。