1、城域网的建设与应用1.中心城市城域网建设1.1VLAN 技术的应用虚拟局域网（VLAN）是从传统的局域网（LAN）概念上引申出来的，两者在功能和操作上基本相同。不同的是 VLAN 依据协议、MAC 地址或端口在逻辑上将网络划分为若干部分。换言之，VLAN 模拟了一组终端设备，即使它们处于不同的物理网段上，也不受物理位置的限制。VLAN 的作用是使得同一 VLAN 中的成员之间能够通信，而不同 VLAN用户之间是相互隔离的，如果需要通信必须通过路由设备。VLAN 使网络管理简单化，可以减少工作站移动和变化所需的费用，方便地进行逻辑分组，添加、删除和修改用户信息以及通过网络流量测试工具进行计费等工
2、作。此外 VLAN 可以将广播风暴遏制在本 VLAN的范围之内，其他 VLAN 用户不受影响，大大节约了网络带宽，提高了带宽利用率。VLAN，即虚拟局域网，它的技术实质是通过在以太网帧头中加入 802.1Q VLAN ID标记来区分不同的局域网来实现，在中心城市城域网中，它不但起到隔离广播，保障网络安全的作用，而且在业务发展方面也有一定的应用。虚拟局域网产生的基础是交换局域网的发展。目前，VLAN 标准有 Inter-Switch Link、ATM LAN Nemulation 和 IEEE802.10 等几种协议可以采用。其中较常用的是 1995年制定的 IEEE802.10。目前许多基于二
3、层交换的交换机都支持 VLAN 技术，并可以识别不同的 VLAN 用户。1.1.1 虚拟拨号 VLAN。该种方式要求用户端至宽带接入服务器为全二层网络，因此 VLAN 应从接入层交换机用户端口经过汇接层交换机划至 BRAS，为了限制广播以及保障用户安全性，一般每端口分配一个 VLAN ID。1.1.2 设备互连。基于中心城域网的设备情况，在接入与汇接之间的一个链路上既要完成三层路由功能，又要完成二层 PPPOE 流量，因此二，三层混跑是一个现实情况。基于对设备的研究，最后在城域网上采取了设备互联也分配一个 VLAN，为这个 VLAN 分配一个三层接口，来达到三层互连的功能。1.1.3VPN。中
4、心城市城域网中有用户 VPN 的业务，会存在这样一种需求，即在不同汇接区的用户需通过城域网组建虚拟专网。一个方法是，将用户的 VLAN 从一端经汇接层、核心层划至另一端，也就是使 VLAN 在整个城域网中互通，这样比较简单，但是不利于网络维护，影响核心层交换机功能，同时还浪费了宝贵的 VLAN ID，使整个城域网的可利用 VLAN 数目将大大减少。另外一种方法是使用透明 VLAN 技术。其基本原理是：在核心层的路由交换机之上运行 SUPER VLAN 功能，将一个汇接区的 VLAN 通过核心层设备的另一个VLAN 透明传输到另一个汇接区，核心层 VLAN 终结于核心层设备，只在核心层有效。它的
5、原理是在原来已经打上 VLAN 标记的以太帧上再打上第二个 VLAN 标记。这种方案比第一种方案的优点是可以有效利用宝贵的 VLAN ID 资源，网络维护简单，亦不影响核心层交换机的功能。1.1.4 节省 IP 地址。IPv4 的地址数量有限，已经不能适应互联网的发展是一个不争的事实。可以有效解决地址数量问题的 IPv6 离现实的应用也还有一段距离。因此，如何节省宝贵的地址资源，是运营商面临的很大问题。如果城域网的设备可以实现业界流行的聚集 VLAN（RFC3069 ）的功能，将会有效节省 IP 地址。传统做法是为每一个需要三层功能的 VLAN 配置一个三层接口，分配一段 IP 地址供用户使用
6、。但是这样为用户分配的地址利用率不高，原因是这段地址的首尾两个地址不能为用户主机使用。这样，如果按用户申请 4 个计算，利用率将是 50%，申请 8 个，利用率是 75%。如果使用聚集 VLAN，那么，多个 VLAN 可以配置一个三层接口和一段地址，大大提高了地址的利用率，而防止地址盗用的问题可以由厂家设备来具体实现。目前，中心城市城域网还没有实现该功能，但是相信在不远的将来，在厂家与运营商的共同努力下，将会很好实现该功能。1.2 VLAN 的规划中心城市城域网 VLAN 规划总的方案是：以每个汇接区为单位终结 VLAN,这样，每个汇接区可以有 4096 个 VLAN 资源，整个网络将有 64
7、096=24576 个 VLAN ID 资源。为了适应跨汇接区的 VPN 互联，在核心设备上规划 4096 个 VLAN 做为 SUPER VLAN。在为每个汇接区的 VLAN 做规划时，主要分为: 光纤虚拟拨号 VLAN、光纤专线 VLAN、设备互联 VLAN、ADSL 虚拟拨号 VLAN、 ADSL 专线 VLAN 以及备用 VLAN 等。VLAN 划分可以分为端口 VLAN、动态 VLAN、Super VLAN 等几种划分方式，这几种划分方式各有特点。可根据实际情况选择不同的 VLAN 划分方式。1.2.1 端口 VLAN 划分。基于端口的 VLAN 划分方式是较常用的一种划分方法，目前
8、许多厂商的交换产品均支持这一功能。其原理是按照用户交换机端口来定义 VLAN 用户，即 VLAN 从逻辑上把局域网交换机的端口划分开来，然后根据用户需要的 IP 地址在 VLAN 中划分子网（子网是将Internet 地址中的主机地址空间进行细分，可有效提高网络可靠性、灵活性、适应性和地址资源利用率）。端口 VLAN 划分分为单交换机端口 VLAN 划分和多交换机端口 VLAN 分两种方式，前者只支持在一台交换机上指定若干的端口组成 VLAN，而多交换机端口VLAN 划分则可以使一个 VLAN 跨越多个交换机，并且同一个交换机上的端口可以属于不同的 VLAN。端口 VLAN 划分能够较好地进行
9、用户管理，减少广播风暴，并且安全性也较高。但地址利用率不高，原因是一个完整的子网由网段地址、网关地址、用户地址和广播地址组成。这样，只包含一个用户的 VLAN 就由个 IP 地址组成，而真正被用户使用的 IP 地址只有一个（用户地址）。我们知道，IP 地址是一种有限的资源，这样的划分方法将带来 IP 地址的浪费，因此端口 VLAN 方式的地址使用率较低。1.2.2 动态 VLAN 划分。动态 VLAN 划分的原理是在用户交换机的内存中制定一张用户信息表，用来记录用户的 IP 地址、 VLAN 号（VLAN ID）以及端口信息等。当用户数据信息进行交换时，交换机根据信息表进行检查，通过认证的数据
10、分组进一步进行寻址和路由选择，反之则将其丢弃。动态 VLAN 划分的保密性较之端口 VLAN 划分更高，因为交换机不仅要检查用户的地址还要复核其 VLAN ID。1.2.3 Super VLAN 划分法。Super VLAN 划分法是目前最先进的一种 VLAN 划分方法，Super VLAN 又称为VLAN 聚合（VLAN Aggregation ），是一种专门设计的优化 IP 地址的管理技术。其原理是每个子网（sub-VLAN ）都是独立的多播通道，多播信息不能在不同的子网中进行交换。当数据需要送到多个目的节点时，就动态建立 VLAN 代理，通过代理设备对 VLAN 中的用户进行管理。这样每
11、个子网不需要设定 ip 地址，而是一个 Super VLAN 中的所有子网共享一个 IP 地址，这个 IP 地址就是 Super VLAN 的 IP 地址。前两种划分 VLAN 的方法，对于每个用户 VLAN 都需要分配一个子网地址，因此需要大量的 IP 地址资源，而采用 Super VLAN 技术后，可以极大程度地节约地址。只要对包含多个 VLAN 的 Super VLAN 分配一个 IP 地址，既节约地址又便于网络管理。另外，还有 MAC VLAN 以及三层 VLAN 等划分方式，MAC VLAN 通过设备的 MAC地址（硬件地址），由人工进行初始配置来完成 VLAN 分类，实际使用中比较
12、复杂。三层VLAN 是由协议类型或网络层地址来定义 VLAN，例如通过 TCPIP 的子网地址来划分VLAN 用户，由于技术实现比较复杂，目前还未大规模使用。VLAN 技术的使用为解决网络配置和管理提供了良好的方法，随着局域网和用户数量的不断增加，VLAN 技术将得到更加广泛的使用，目前 Super VLAN 技术还处于初级阶段，但有理由相信其有着巨大的发展空间，VLAN 技术必将发挥更大的作用。2.区域城市城域网建设区域城市的宽带业务经过多年的培育，现已进入高速增长期。这一切主要得益于网络运营商完善的市场跟踪体系、成功的营销策略和运营模式。由于宽带业务具有与传统电信业务不同的业务模式和价值链
13、，仅拥有骨干网、宽带城域网与驻地网的建设方面的优势并不足以保证在宽带业务上获得成功。在宽带产业链各个节点寻求突破的情况下，区域城市建网要充分利用现有资源，加快与设备提供商合作，发展与内容服务商的良好关系，将用户的需求放在第一位，为用户提供各种有价值的内容与服务，并与之营造宽带价值链的“共赢”局面。2.1 从 ATM 过渡到 IP 城域网区域城市一般同时拥有 ATM 和 IP 两套骨干网络系统，但目前的 ATM 网络资源很大程度上为普通 ADSL 接入用户所占用，并没有很好地发挥 ATM 应有的优势，而且现有ATM 经过多年运营，其网络容量和端口数量等已渐渐不能满足数据业务发展的要求。考虑到 I
14、P 已成为城域网的主流，区域城市后期将不会大力扩容 ATM 网络，新增宽带用户将直接通过 IP 城域网接入。原有 ADSL 用户也尽量在本地完成 ATMPVC(永久虚连接) 的终结，以减轻 ATM 骨干网的压力，为其它需要严格 QoS 保证的宽带专线等业务提供更多的 ATM资源。在 IP 城域网方面，区域城市要充分利用已经建成比较完善的核心路由器和高性能路由交换机组成 IP 的骨干城域网，宽带接入网是下一步网络建设的重点。此阶段需要重点考虑的是投资回报率、方便灵活的用户管理和网络管理、可扩展性和增值业务提供的能力等实际问题。通过充分论证和比较，区域城市应采用了智能宽带接入网解决方案。汇聚层采用
15、宽带接入服务器(BAS ) 作为用户管理和智能业务提供平台，对于现有网络，如果采用大容量 BAS 集中放置，则需要在现有 IP 骨干网的路由交换机之间启用基于 802.1Q 的 VLAN通道，这容易造成广播风波，不利于网络的稳定运行，因此实际建设中选用多台中小容量的宽带接入服务器 ZXE10-UAS1500 和 ZXE10-UAS2500 分布式组网，实现各县市用户的本地 BAS 直接管理，同时结合后台的 ZXE10-3AS 业务管理系统，为用户提供各种智能和增值业务。2.2 接入网首推 ADSL单一的包月制现已很难同时满足不同用户的需要，丰富的计费和业务提供能力是本智能宽带接入网建设的重要目
16、标之一。ZXE10-3AS 采用跨平台的模块化系统结构，具备灵活的计费规则引擎和丰富的计费策略定制功能，如一次划价时间计费(秒、六秒、分钟、小时) 、一次划价流量计费(千字节、兆字节 )、二次划价日期段优惠、二次划价时间段优惠、二次划价星期段优惠、三次划价金额数目优惠等；支持客户组概念，每个客户组可以具有不同的权限和计费方式，便于开展带宽批发等各种增值业务。同时提供强大的 Portal(门户)功能，可以实现用户的在线动态速率调整、在线业务选择和区分业务的计费，具备完善的业务扩展能力和开放的系统接口。在具体接入手段选择的过程中，ADSL 以其技术成熟、无需线路投资、即开即通、开通率高、线路维护成
17、本低等诸多优势在与 FTTB+LAN 方式的竞争中脱颖而出，成为区域城市的首选。考虑到后期扩容和管理的方便，智能宽带接入网建设中的接入设备应采用大容量的 ZXDSL8210 ， ZXDSL8210 支持 E1/ATM/GE/FE 等各种接口，可以实现多级星形或链形级联。但考虑到实际情况，对用户较少且缺少光纤资源的部分乡镇和边缘节点，则采用小容量的 ZXDSL8426 ，ZXDSL8426 同时支持 FE 和 E1 接口，可充分利用现有的传输资源，通过多个 E1 接口捆绑，实现与端局机房的大容量 ZXDSL8210 级联。普通用户采用 PPPOE 宽带拨号方式上网，集团用户或网吧等其他大客户则可
18、以根据实际需要，采用用户名与 PVC 或 VLAN ID 绑定的方式实现专线用户的认证和计费。2.3 发展小区 VLAN 无线接入对于无线接入网络，人们最关心的问题恐怕就是如何将无线用户接入适当的有线VLAN。有线网络中的 VLAN 用户身份通常都是由用户的物理层二层交换机或三层路由器连接端口来定义的。但在无线网络中，用户根本没有与任何物理端口连接。利用基于角色的 VLAN 关联来进行用户识别。这种方法可以利用一系列标准的验证方法，如基于 HTTP捕获端口和 802.1x 等可选验证机制来判断出正确的 VLAN 用户身份。 然而，802.1x 基于端口的验证方法则可以提供一个有效的框架，为以太
19、网和无线网络上的用户提供基站访问授权。802.1x 使用可扩展验证协议（EAP)来中继局域网基站（请求者）、以太网交换机或无线接入点（验证者）与 RADIUS 服务器（验证服务器）之间的端口访问请求。用于保护 Wi-Fi 网络用户的核心机制是基于数据加密和用户验证的方法，而非通常使用的基于角色的验证方法。基于角色的 802.1x VLAN 关联具有很大的吸引力，因为它可以提供合理的工作组流量分割，并且更容易与有线网络上配置的安全和流量工程策略集成在一起。网络管理员通常都希望为所有用户保留原有的扩展服务集 ID（ESSID）和加密档案。这样，当用户进入无线局域网时，系统可根据验证服务器上已经配置
20、好的属性，将用户分配至不同 VLAN 内的不同工作组中。如果不使用基于角色的 VLAN，这种方法基本上是不可能实现的，除非对无线局域网的许许多多配置逐个调整，为每个用户组引入新的ESSID。这种做法无疑需要巨大的资金投入和高昂的运营费用。无线局域网交换机可以支持各种类型的用户角色，以及不同的访问权限和 VLAN 关联。它还可以支持多种类型的服务器规则，并从中引申出用户角色，如 RADIUS 服务器发出的访问接受信息中的 RADIUS 属性。例如，某一条服务器规则用于提取某个特定 RADIUS属性中的数值，并使用该数值作为角色。在 802.1x 验证中，客户机通过一个无线局域网交换机验证至 RA
21、DIUS 服务器。然后，无线局域网根据执行服务器规则后产生的角色，在VLAN 与客户机之间建立关联。一旦与接入点之间的关联建立完成，无线局域网交换机将客户机置于未授权状态下。在这种状态下，只有客户机生成的 802.1x EAP 包才能通过无线局域网转发。无线局域网交换机发送一条 EAP Request-ID，即用户身份请求信息给客户机。客户机则回应一条EAP Response-ID 信息。此后，无线局域网交换机将 EAP Response-ID 封包为一条RADIUS 访问请求信息，并将其转发给 RADIUS 服务器。如果验证成功，RADIUS 服务器将访问接受信息发送给无线局域网交换机。这条信息可以识别不同的用户属性，如角色和访问权限。然后，无线局域网交换机会对这条回应信息进行解析，并确定客户机应当被分配至哪一个 VLAN。使用该信息，无线局域网交换机便将客户机分置于授权状态下，并发送一条 EAP Success 信息。此后，交换机才将来自客户机的所有数据流量转发给合适的 VLAN。在收到 EAP Success 信息后，客户机将启动动态主机配置协议，并从基于角色的 VLAN 上获得一个 IP 地址。
