7750 BRAS PPPoE使用组播时的访问控制.doc

上海贝尔股份有限公司销售支持与执行平台7750 BRAS PPPoE使用组播时的访问控制filterIPD 作者：TSC 何锋 【产品类别】： 7750 8.0R6【CASE ID】： N/A，适合用户【故障级别】：Minor【关键字】： BRAS PPPoE Multicast IGMP IP-Filter【故障现象】：在镇江电信BRAS试商用项目中，要求当用户PC（机顶盒）以用户名为vod后缀方式进行PPPoE拨入时，需要禁止此类型账号的用户访问Internet。在BRAS设备上设置访问控制列表（ip-filter），对此vod用户进行控制，只允许访问IPTV的相关地址，而禁止访问其它地址（包括Internet）。按照镇江电信已有网络中，友商设备设置的访问控制列表规则，在7750上配置同样的地址允许范围，并应用在vod用户的sla-profile（sla-pppoe-10M）上。发现IPTV机顶盒播放不流畅，且IPTV不能成功切换频道。但是修改sla-profile的ip-filter为默认forward后，机顶盒播放流畅，且能成功切换频道。（但是此账号随之也能访问Internet了）【告警信息】：无【原因分析】：以下是7750上设置的ip-filter（ip-filter 200为7750 sap的ingress方向）：A:ZJ-DM-B-AC7750-01configfilter# ip-filter 200 A:ZJ-DM-B-AC7750-01configfilterip-filter# info - entry 5 create match dst-ip 202.102.13.66/32 exit action forward exit entry 10 create match dst-ip 218.2.135.1/32 exit action forward exit entry 15 create match dst-ip 61.147.37.1/32 exit action forward exit entry 20 create match dst-ip 202.102.15.118/32 exit action forward exit entry 25 create match dst-ip 221.231.151.2/32 exit action forward exit entry 30 create match dst-ip 239.252.152.0/24（IPTV的多播节目频道的地址） exit action forward exit entry 35 create match dst-ip 10.205.24.0/24 exit action forward exit entry 40 create match dst-ip 58.223.64.0/18 exit action forward exit entry 45 create match dst-ip 58.223.128.0/17 exit action forward exit entry 50 create match dst-ip 202.102.13.0/24 exit action forward exit entry 55 create match dst-ip 221.231.144.0/24 exit action forward exit -如果将ip-filter 200的default-action修改成forward后，IPTV播放能正常（但是此账户随之也能访问Internet了，没能进行访问控制）。因此原因应该是访问控制列表的地址范围不正确，有部分地址本应该被放开允许访问，但实际却被以上的ip-filter 200所drop掉。【解决方法】：使用测试的vod账号并通过PC进行抓包分析，发现机顶盒会向地址224.0.0.1（全网主机）和224.0.0.2（全网路由器）发IGMP报文。因此，只需要在ip-filter 200（7750 sap的ingress方向）增加一个允许访问条目： entry 55 create match dst-ip 224.0.0.0/24 exit action forwardexit并保持ip-filter 200的default-action为drop（ip-filter的默认设置）。经测试vod用户IPTV播放正常，IPTV点播、频道切