（5）设备和网络的可靠性保障

　　为保障网络实现7×24小时不间断运行，计划采取如下的可靠性措施：

　　（1）设备级可靠性保障，包括设备单板的主备份和物理端口的主备份两部分。其中设备单板的主备份主要包括软交换机、TG、SG、AG等设备的主要单板都实现1+1备份、主备单板之间的数据实行热备份、主备自动倒换等；物理端口的主备份主要指IP端口、ATM端口和TDM端口的双备份。

　　（2）网络级可靠性保障

　　除了上述单个设备的冗余备份机制以外，在NGN设备组网方面计划采用双归属（dual-homing）的方式来保证网络层面上的冗余备份。双归属在NGN中应用在媒体网关和它们所属的软交换之间，它定义了媒体网关与超过一个软交换设备（在双归属的情况下最大两个）的连接。两台软交换均记录了网关的资源描述文件并在内部的数据库中保存最新。通过使用分布式模式以及控制层和媒体层的物理分离为网关到软交换的双归属机制提供了区分能力。两台软交换之间进行完全的复制，一个网关可以在它所属的主软交换设备不能工作时依靠备用软交换设备保证工作的正常进行。

3、采用的承载网络

　　黑龙江目前己经拥有覆盖全省的较为完善的数据承载网络平台，包括基础传输网、IP宽带网、ATM网，可承载多种媒体业务，而且MPLS VPN业务在本地城域网中也已开通，从而为多业务的建设提供了良好的条件。

　　因此本次NGN本地商用试验网的承载网将基于现有的城域网络，下面以IP承载网络为例。

　　（1）方案一

　　为全省13地市宽带IP城域网统一分配和使用保留A类IP地址，在省内公私地址合并使用，并为每地市宽带IP城域网分配保留自治域号，省宽带骨干网和13市宽带IP城域网之间采用边界路由协议（BGP4），为每地市配置出省千兆地址转换设备（24台NETSCREEN1000型），其中5个较大的地市每市配备2台，互为主备功能，其它地市每市配备1台。并为FTTX+LAN和ADSL两种接入方式集中配置了宽带拨号服务网关设备24台，5个大地市各配2台，负荷分担方式工作并互为主备用，其余地市各配1台。因此对软交换试验网采用的承载网络模型提出如下建议：在现有的物理网络架构上，新建一个逻辑的VPN网络，软交换设备及用户终端均纳入此VPN网络，这样既不影响试验区域已有业务的网上运营，也可以保证此次商用试验网的顺利进行。该方案的网络模型如图3所示：

[attach]34801[/attach]

图3　承载网结构用户驻地网

　　此方案中，用户驻地网将不同的业务用户划分为不同的VLAN，通过二层VLAN完成不同业务用户的隔离；参照其它业务网（如VoIP网）的具体操作方式，为NGN试验网规划一个新的VLAN及VPN。将城域网边缘接入路由器作为MPLS VPN城域网的PE路由器，终结VLAN信息，并将不同的VLAN映射到不同的VPN；对于DSLAM接入方式，则由DSLAM设备将VLAN终结并映射到PVC上，继续通过二层信息将不同的业务进行隔离；当城域骨干层网络为由ATM PVC互连组成的业务网络时，城域网的PE路由器做为业务汇聚分发路由器将相应的VPN映射到其骨干网络的ATM PVC上。

　　通过上述网络隔离和承接，可以很好的完成本次试验网与其它业务网络的隔离，基于该网络模型，无论是IP地址解决、网络QoS保证以及网络安全上都能得到较好的解决。

　　（2）方案二

　　如果采用上述方案新建一个VPN网络，则现有的承载网络设备自上而下均需更改。如接入层网络设备需新配置VLAN，将软交换用户与它网用户通过二层进行隔离；汇聚层设备需配置VPN节点，则通过三层隔离不同业务网的用户；骨干层可能要新配置若干PVC建立骨干层的业务隔离网络。因此整个承载网络的改动工程量还是比较大的，同时由于业务网相互隔离，会导致与其它网的互通测试方面存在一定的问题。

　　故可以考虑将软交换网络与现有某一业务网合建，这样承载网络设备基本上不用更改，直接利用目前的承载网络设备即可。此外，与不同的业务网融合，可达到不同的试验效果。但由于软交换网络与某个业务网融合，IP地址将与该业务网的用户统一分配，网络带宽将与该业务网共享，在QoS保证、安全性等方面都与该业务网一致。

　　（1）用户使用权限管理

　　◆终端设备认证

　　IAD上电后，通过静态地址或从DHCP SERVER（Dynamic Host Configuration Protocol Server）动态获得IP地址后，根据设置的IADMS综合接入设备管理系统）地址信息，向IADMS发送管理TRAP，内容包括TRAP的时间SysUpTime、IAD设备标识码、IAD自身的IP地址。IADMS接收到IAD的管理注册TRAP后，在库里查找相应的设备识别码，如果找到，则认证通过：否则为非法IAD，拒绝进入网络。另外，当IAD发起业务呼叫时，软交换机对IAD进行进一步业务认证。

　　◆普通用户的权限管理

　　普通用户的鉴权认证在软交换设备上进行。任何用户发起呼叫时，软交换机通过自己的内置用户数据库查询此用户的呼叫权限、新业务权限等来确定用户是否可以发起此呼叫。

　　◆卡号用户的认证

　　针对卡号用户，可通过Radius协议和外置的Radius服务器发生认证关系。Radius服务器根据软交换发送的用户卡号查询数据库，根据卡号余额、呼叫目的地等确认是否可以发起这次呼叫。如果认证成功，则授权进行此次呼叫。

　　（2）NGN承载网的QoS，保障方案

　　本文拟通过在现有的网络基础上新建VPN网的方式来实现试验网的组建，城域网采用MPLS VPN模型，接入层通过二层VLAN（以太接入）或PVC（xDSL接入）进行隔离，因此从网络架构上来说，整个网络的QoS已有了相当的保证基础。以下分别从设备层面和网络层面进一步阐述该试验网的QoS保证措施。

　　从设备层面上来说，终端设备和媒体网关支持在话音IP包头中设置IP优先级（该优先级比数据IP包头的IP优先级要高）；对于终端设备，还要求支持802.1P/Q，设置二层的VLAN和优先级信息，使得终端或网关设备发出的话音分组报文能在二层就与其它业务网隔离，并使接入层设备能根据报文的优先级信息进行调度，保证接入层的QoS；媒体网关设备支持多种语音编解码格式，语音压缩、静音检测、抖动缓存等技术的应用能吸纳部分网络性能的波动，减轻网络波动带来的影响，目前网关的处理延迟实际上成为影响QoS的一个重要因素。

　　从网络层面上来说，既包括网络设备实行QoS保证措施，又包括全网流量的有效规划和管理。

　　（3）NGN业务网络的安全性考虑

　　由于NGN本地商用试验网拟采用新建VPN网络的方案，VPN的网络模型已将不同业务的用户、用户与公网间、业务子网与业务子网间的路由信息等相互隔离开来，避免了来自它网用户的攻击，特别是来自Internet网络用户的攻击，因此具有良好的网络安全性能。由于该试验网基本上是一个较为封闭的VPN网络，因此设备的安全性基本上问题不大。主要的安全问题需考虑来自内部网络用户的攻击，包括对软交换网络设备的防攻击、终端的仿冒、盗打以及关键服务数据如网管、计费等方面问题。

　　对于软交换网络设备的防攻击，尽可能地将软交换网络设备集中放置，前面放置一通用防火墙来对软交换网络设备进行保护。

　　由于终端数量众多、分布分散，维护和管理的难度都较大，状态无法有效监控，因此网络安全性更多的是考虑终端设备的接入安全问题，可以从以下两方面解决此问题：

　　一方面通过承载网络的设备认证，类似于用户宽带上网必须先通过认证，并采取某种接入控制方式。另一方面通过软交换业务网络的认证，该认证是对用户接入软交换系统的认证，证明该用户是软交换系统的合法用户，防止其它非法用户仿冒或盗用合法用户的信息打电话或开展其它软交换业务甚至恶意的攻击。

　　对于关键服务网管和计费的数据考虑采用带外网管方式来与业务网络实现隔离，使得网管和计费系统形成一个相对独立的网络，同时在网管和计费系统前设置专门的防火墙实现对关键业务数据的保护。

学习一下，嘿嘿

学习下,谢谢楼主分享

感谢楼主~~~~~~~~~~~~~~~~~~