山东联通软交换二期工程实施方案v15.doc

山东联通软交换二期工程数据承载网实施方案2008年12月18 / 18目 录1.实施背景32.网络简介42.1.现有网络分析42.2.最终组网分析43.数据设备方案83.1.设备规范83.1.1.概述83.1.2.设备命名规范83.1.3.链路描述规范103.2.链路规划103.3.VLAN规划103.4.IP地址规划113.4.1.Loopback地址113.4.2.CE设备互联地址113.4.3.设备网管地址113.5.VPN规划113.5.1.VPN命名123.5.2.RD/RT分配123.6.路由设计123.6.1.概述123.6.2.静态路由设计133.7.BFD设计133.7.1.概述133.7.2.BFD规划133.8.网络管理规划143.8.1.概述143.8.2.SNMP协议规划143.9.网络安全规划153.9.1.概述153.9.2.网络安全规则153.9.3.正常数据流向164.设备硬件配置175.设备配置脚本171. 实施背景中国联通经过多年的网络建设，已经建立了覆盖全国的GSM/GPRS网络，为用户提供语音和低速数据业务，拥有数量庞大的用户群。为了保障移动通信网络和业务向3G平滑演进，实现2/3G共核心网的最佳组网方式，现有TDM交换局必需进行软交换替换改造工作，因此TDM核心网替换为软交换核心网是核心网络演进的重要一步。中兴通讯多年来一直参与联通GSM核心网的网络建设，尤其是在联通的软交换市场更是接近30%的份额，对联通GSM核心网络有着深刻的理解，中兴通讯多年来培养起来的专业GSM核心网网络建设和维护团队，是中国联通GSM核心网网络的宝贵财富。制止目前为止，中兴通讯在山东联通网上的GSM软交换容量已经达到256万线，覆盖莱芜、日照、滨州、聊城、德州、菏泽、济南、济宁、临沂、枣庄、泰安、淄博、东营13个地市。中国联通为了应对快速增长的市场，在08年二期工程中，特别提出了增加大量的无线载频，进行深度和广度覆盖，以便在市场竞争中取得先机。加之，山东联通现网的北电TDM交换局即将退网，急需进行大规模替换。而中国联通IP承载网覆盖全国各省省会城市及大部分业务发展重点城市。按照中国联通的业务规划，端局软交换业务将逐步割接到IP承载网上进行承载。在这种情况下，本期工程开始进行建设。2. 网络简介2.1. 现有网络分析图1：网络现状组网图现网中各局址都配置有2*3982+2*T64E的设备，3928交换机和T64E路由器进行口字型连接，MGW/MSCS通过3928交换机透传相关vlan，在T64E路由器上启用VRRP虚拟路由冗余协议，作为MGW/MSCS的网关，终结vlan。各局址的T64E路由器搭建软交换的骨干网，在全网的T64E路由器上启用OSPF动态路由协议，在OSPF里面重分布静态路由和直连路由。各局址的MGW/MSCS与3928交换机用百兆电口进行链接，3928交换机之间、3928交换机与T64E路由器之间以及T64E路由器之间使用百兆电口进行链接，局间的T64E路由器使用POS155链路或者E1链路进行链接。2.2. 最终组网分析此项目涉及到山东全省13个地市:莱芜、日照、滨州、聊城、德州、菏泽、济南、济宁、临沂、枣庄、泰安、淄博、东营。其中8个地市（临沂、泰安、莱芜、日照、滨州、聊城、德州、菏泽）配置中兴数据设备，剩余5个地市（济南、济宁、枣庄、淄博、东营）配置思科设备。设备上联IP承载网的流量主要分为三类：第一类是媒体流，包括软交换的语音流量和视频流量等；第二类是信令流；第三类是网管流。在进行软交换的MPLS VPN设计时，为每类流量单独划分一个VPN，从而实现媒体、控制、管理流量在IP承载网上的逻辑分离。目前此网络只承载2种不同VPN业务：信令流、网管流，在以后还会承载软交换媒体流。过渡组网结构：图2：过渡组网图为了实现现有网络与最终组网的平滑过渡，不影响现有业务的正常运行，准备分两大步骤来完成此项目的实施：首先在现有的IP承载网上新增加各局址T600路由器和MGW/MSCS，完成T600路由器与IP承载网的连接，完成新的MGW/MSCS与T600路由器连接的开局；最后完成现有软交换网络到IP承载网的割接，从而形成最终的软交换与IP承载网连接。在过渡组网期间，首先将各个地市的新增MGW/MSCS与T600路由器连接上IP承载网，济南的原有软交换T64E路由器需要与新添加的思科7609路由器进行连接，提供新的MGW/MSCS与原有的MGW/MSCS通信通道，物理连接完毕后将进行联调，测试新增加的MGW/MSCS与原有MGW/MSCS的互通性。此时，原有软交换专网和IP承载网并存，通过在济南T64E路由器上配置默认路由，指向思科7609路由器与T64E路由器的互联接口地址，并在T64E路由器的OSPF里面发布此默认路由。通过路由优先级来控制新旧MGW之间的数据流向，原有软交换专网全网使用OSPF动态路由，按最长匹配原则，地市新增加的MGW与济南MGW/MSCS将通过IP承载网进行通信，而地市原有MGW与济南的MGW/MSCS仍然通过原有软交换专网进行通信。新增加MGW设备的地市有：滨州、聊城、菏泽、德州、临沂、泰安六个地市；莱芜、日照未新增MGW，只需替换现有交换机和路由器。最终组网图如下：图3：最终业务组网图莱芜、日照、滨州、聊城、德州、菏泽、临沂、泰安8个地市，除了滨州、临沂配置4*T600+4*8902数据设备外，其他每个地市配置2*T600+2*8902，进行口字型连接，各局址的2台T600路由器作为CE，与本局址的2台IP承载网路由器AR进行口字型对接，实现软交换与IP承载网对接。各局址的8902交换机透传不同业务vlan，在局址的T600路由器上开启MCE功能，启用不同子接口绑定不同业务的VRF与8902交换机进行对接。在T600路由器与IP承载网AR路由器互联的接口上划分不同子接口，绑定不同业务的VRF与AR进行对接，各地市与济南server之间的通信数据，通过联通的IP承载网来承载。在各局点的T600路由器上为每种流量均配置2条浮动静态路由，一条路由指向AR-CE直连接口，另一条路由指向T600互联接口，设置静态路由的metric值，使得指向AR-CE直连接口的路由作为优选路由。在AR上使用静态路由回指T600路由器，并在AR的动态路由里面发布此静态路由。此项目在滨州、聊城、菏泽、德州、临沂、泰安六个地市，将新增加的MGW/MSCS设备，MGW/MSCS将以负荷分担的方式接入，MGW/MSCS的网关将设置在T600路由器上，8902交换机透传相关vlan，在2台T600路由器上启用vlan子接口，绑定不同业务的VRF，封装相应vlan与8902交换机进行对接。除了需要新增加MGW/MSCS外，一期工程全网的T64E路由器和3928交换机，将被T600路由器、8902交换机、思科7609路由器、思科4507交换机替换下线。各局址原有的MGW/MSCS，将直连连接到各局址的8902交换机或者思科4507交换机。原有MGW/MSCS将修改为以负荷分担的方式接入，与新增加的MGW/MSCS类似，原有MGW/MSCS的网关将设置在T600路由器上，通过8902交换机透传相关vlan，在2台T600路由器上启用vlan子接口，绑定不同业务的VRF，封装相应vlan与8902交换机进行对接。对于网管子网，网管服务器将下挂在济南思科交换机下，各个地市通过反拉终端与服务器建立通信。各个地市的网管终端直接连接到地市的8902交换机上，配置与T600路由器网管地址同一网段，终端网关指向T600路由器网管地址即可。VPN划分的逻辑结构如下图所示：图4：VPN划分示意图3. 数据设备方案3.1. 设备规范3.1.1. 概述为了明确指示出设备的类别、安装地、设备类型等信息，设备按照下面的命名规范进行命名。为了明确表示出各个链路两端相连的设备、端口信息，链路的描述规范按照下面的描述规范进行描述。3.1.2. 设备命名规范设备的命名将表面设备所处的地方、机房、设备型号及其编号，格式如下：省名 地市 分隔符机房缩写 分隔符 设备型号 分隔符 设备类型 设备编号 。各设备命名：中兴设备序号设备名称主机名1滨州8902-1SDBZ-HH5L-8902-SW12滨州8902-2SDBZ-HH5L-8902-SW23滨州T600-1SDBZ-HH5L-T600-CE14滨州T600-2SDBZ-HH5L-T600-CE25滨州8902-3SDBZ-LTJF-8902-SW36滨州8902-4SDBZ-LTJF-8902-SW47滨州T600-3SDBZ-LTJF-T600-CE38滨州T600-4SDBZ-LTJF-T600-CE49德州8902-1SDDZ-DFDL-8902-SW110德州8902-2SDDZ-DFDL-8902-SW 211德州T600-1SDDZ-DFDL-T600-CE112德州T600-2SDDZ-DFDL-T600-CE213菏泽8902-1SDHZ-LTJF-8902-SW114菏泽8902-2SDHZ-LTJF-8902-SW215菏泽T600-1SDHZ-LTJF-T600-CE116菏泽T600-2SDHZ-LTJF-T600-CE217聊城8902-1SDLC-LTJF-8902-SW118聊城8902-2SDLC-LTJF-8902-SW219聊城T600-1SDLC-LTJF-T600-CE120聊城T600-2SDLC-LTJF-T600-CE221莱芜8902-1SDLW-LTJF-8902-SW122莱芜8902-2SDLW-LTJF-8902-SW223莱芜T600-1SDLW-LTJF-T600-CE124莱芜T600-2SDLW-LTJF-T600-CE225日照8902-1SDRZ-LTJF-8902-SW126日照8902-2SDRZ-LTJF-8902-SW227日照T600-1SDRZ-LTJF-T600-CE128日照T600-2SDRZ-LTJF-T600-CE229临沂8902-1SDLY-LYLT-8902-SW130临沂8902-2SDLY-LYLT-8902-SW231临沂T600-1SDLY-LYLT-T600-CE132临沂T600-2SDLY-LYLT-T600-CE233临沂8902-3SDLY-LYWT-8902-SW334临沂8902-4SDLY-LYWT-8902-SW435临沂T600-3SDLY-LYWT-T600-CE336临沂T600-4SDLY-LYWT-T600-CE437泰安8902-1SDTA-TAJF-8902-SW138泰安8902-2SDTA-TAJF-8902-SW239泰安T600-1SDTA-TAJF-T600-CE140泰安T600-2SDTA-TAJF-T600-CE2思科设备序号设备名称主机名1济南7609-1SDJN-YXS-7609-CE12济南7609-2SDJN-YXS-7609-CE23济南4507-1SDJN-MYJF-4507-SW14济南4507-2SDJN-MYJF-4507-SW25济南4507-3SDJN-YXS-4507-SW36济南4507-4SDJN-YXS-4507-SW47济南7609-3SDJN-KBS-7609-CE38济南7609-4SDJN-KBS-7609-CE49济南4507-5SDJN-JSL-4507-SW510济南4507-6SDJN-JSL-4507-SW611济南4507-7SDJN-KBS-4507-SW712济南4507-8SDJN-KBS-4507-SW813济宁7609-1SDJNI-GHL-7609-CE114济宁7609-2SDJNI-GHL-7609-CE215济宁4507-1SDJNI-GHL-4507-SW116济宁4507-2SDJNI-GHL-4507-SW217济宁7609-3SDJNI-HXDL-7609-CE318济宁7609-4SDJNI-HXDL-7609-CE419济宁4507-3SDJNI-HXDL-4507-SW320济宁4507-4SDJNI-HXDL-4507-SW421淄博7609-1SDZB-LTS-7609-CE122淄博7609-2SDZB-LTS-7609-CE223淄博4507-1SDZB-LTS-4507-SW124淄博4507-2SDZB-LTS-4507-SW225淄博7609-3SDZB-LTE-7609-CE326淄博7609-4SDZB-LTE-7609-CE427淄博4507-3SDZB-LTE-4507-SW328淄博4507-4SDZB-LTE-4507-SW429枣庄7609-1SDZZ-LTJF-7609-CE130枣庄7609-2SDZZ-LTJF-7609-CE231枣庄4507-1SDZZ-LTJF-4507-SW132枣庄4507-2SDZZ-LTJF-4507-SW233东营7609-1SDDY-LTJF-7609-CE134东营7609-2SDDY-LTJF-7609-CE235东营4507-1SDDY-LTJF-4507-SW136东营4507-2SDDY-LTJF-4507-SW23.1.3. 链路描述规范设备的链路描述将指示出此端口到对端设备及其端口，格式如下：本端端口号 To 对端设备名 对端端口号 如：滨州T600路由器之间的互联链路 GEI_1/2 To SDBZ-HH5L-T600-CE1 GEI_1/2其中：1. 本端端口号由本端的直连对端设备的端口类型、槽位号以及端口编号组成； 2. 对端设备名使用上节描述的设备名称； 3. 对端端口号由本端直连的对端设备的端口类型、槽位号以及端口编号组成；3.2. 链路规划各局内部MGW/MSCS与8902交换机之间使用百兆电口进行连接；8902交换机之间使用千兆光口进行连接；8902交换机（gei_1/5）与T600路由器(gei_1/7)之间使用千兆光口进行连接；T600路由器之间使用千兆光口链路捆绑(gei_1/1&gei_1/2)进行连接；T600路由器(gei_1/5)与IP承载网AR之间使用千兆光口进行连接；8902交换机端口使用规划见下表：3.3. VLAN规划为了方便管理和维护，需要为每个VLAN命名或分配相应的编码，以便能够反映出业务名称、业务性质、VLAN用户信息等基本情况。在接入层交换机上对MGW、网管数据进行二层隔离，将不同业务划分在不同vlan。项目规划3种数据流：MGW信令流、MGW媒体流、设备网管信息，考虑到未来扩容需要，规划VLAN ID段如下：vlan IDvlan 名称功能用途vlan 100299SSW_Signal_MGWx信令流vlan 300399SSW_Media_MGWx媒体流vlan 2029NMS_SSW软交换设备网管信息注：SSW 表示软交换设备； NMS表示网管；Signal表示信令；Media表示媒体；后缀x表示所连设备数，范围为1100。该项目规划VLAN ID：vlan IDvlan 名称功能用途vlan 100SSW_Signal_MGW1MGW1信令流vlan 300SSW_Media_MGW1MGW1媒体流vlan 101SSW_Signal_MGW2MGW2信令流vlan 301SSW_Media_MGW2MGW2媒体流vlan 20NMS_SSW设备网管信息关键配置（以8902交换机为例）命令如下：vlan xxxname SSW_Signal_MGW13.4. IP地址规划3.4.1. Loopback地址设备loopback 地址是32 位掩码的IP 地址，每台路由器需要一个。主要是为以后设备上网管而作预留考虑。见下面的表格；3.4.2. CE设备互联地址CE设备互联地址分为信令vpn互联地址及网管vpn互联地址；为了便于AR设备上配置汇总静态路由，信令vpn互联地址从本组CE所承载的信令地址当中分配，网管vpn互联地址由于地址分配限制，则和本组CE所承载的网管地址不在同一网段，故AR设备上指向CE的网管静态路由比较散乱；为了节约地址空间，设备之间的互连地址采用30位掩码的地址，具体分配方案见下；3.4.3. 信令VPN地址规划见下表3.4.4. 网管VPN地址规划为了方便网络管理，单独为MGW，MSC SERVER等设备的管理地址创建了一个vpn，对于承载网设备的网管也纳入到该vpn中，其具体分配方案见下表； 3.5. VPN规划CE设备采用三层MPLS VPN承载端局软交换流量。端局软交换设备上联IP承载网的流量主要分为三类：第一类是媒体流，包括软交换的语音流量和视频流量等；第二类是信令流；第三类是网管流。在进行软交换的MPLS VPN设计时，为每类流量单独划分一个VPN，从而实现控制、媒体、管理流量在IP承载网上的逻辑分离。在CE设备上启用MCE功能，将二层不同VLAN ID的数据映射到对应的三层VPN上，此项目将只对信令流和网管流进行实施，媒体流将在后续计划中实施。3.5.1. VPN命名为了方便管理和维护，需要为每个VPN命名或分配相应的编码，以便能够反映出业务名称、业务性质、VPN用户信息等基本情况。为方便管理和维护，对每个VPN命名，反映不同的流量类型、VPN用户信息。VPN的命名如下：流量名称VRF 名称功能用途媒体VPNSSW_SignalMGW信令流信令VPNSSW_MediaMGW媒体流网管VPNSSW_NMS网管数据流3.5.2. RD/RT分配对于CE接入双AR的情况，两台AR上使用不同的RD，这样可以对VPNv4进行区分，加快路由收敛，同时能够实现负载均衡。根据中国联通2007年IP承载网资源命名规范，MPLS VPN RD的格式为：AS：nnnnnn，其中AS为联通IP承载网AS号码38351，nnnnnn为六位十进制数字。根据承载网上对VPN的分配，在CE配置对应VPN的RD/RT如下：流量名称VRF 名称RD1/RD2RT媒体VPNSSW_Signal38351：1000038351:20000信令VPNSSW_Media38351：1001038351:20010网管VPNSSW_NMS38351：1002038351:200203.6. 路由设计3.6.1. 概述该项目使用的路由协议主要是静态路由。其中在CE与AR之间运行静态路由协议，CE之间运行静态路由协议。3.6.2. 静态路由设计理论上CE与PE之间路由协议可以采用RIP、OSPF、BGP、静态等多种方式。实际部署时不建议采用OSPF、ISIS和RIP等域内动态路由协议与客户交换路由信息，本次软交换接入将采用静态方式进行接入。静态路由有配置简单、设备开销低的优点，但也有不灵活的一面，采用静态路由，有时，端口故障后接口仍显示为活动状态（UP），这时静态也不会失效，而造成业务无法切换到其它路径。所以CE路由器将使用BFD，采用静态路由结合BFD的方式能解决端口UP路由不消失的故障问题。在各局点的CE路由器上为每种流量均配置2条静态路由，一条路由指向AR-CE直连接口，另一条路由指向CE1-CE2互联接口，做为浮动静态路由，当主用静态路由失效的时候（比如端口down掉，或者BFD检测失败时），在AR上使用静态路由回指CE。设置静态路由的metric值，使得指向AR-CE接口的路由作为优选路由。关键配置命令如下：ip route vrf SSW_Signal 0.0.0.0 0.0.0.0 x.x.x.x / x.x.x.x为AR路由器与CE路由器的互联IP地址ip route vrf SSW_Signal 0.0.0.0 0.0.0.0 x.x.x.x 100 tag 254 /x.x.x.x为CE路由器互联IP地址；此外，由于AR上将把分配给某局一对CE使用的信令vpn地址全部指回到CE设备上，但CE上很有可能没有使用完这些地址，故为了防止路由环路，需要配置一条黑洞路由：ip route vrf SSW_Signal x.x.x.x 255.255.255.0 null1 /将本组CE下的IP地址汇总路由指向null1接口，防止路由成环3.7. BFD设计3.7.1. 概述BFD的主要目标是提供一种低负载的，能快速检测出两个相邻的转发引擎间的故障的机制，可以将BFD理解为一个简单的“Hello”协议，很多方面和路由协议的检测部分相似。在一对系统间每个路径上定期发送BFD包。一个系统一旦足够长的时间内收不到包，就可以确定它到邻居间的双向路径就发生了故障。软交换系统中，负责处理信令和话路中继等关键业务信息的设备，一旦发生中断将大面积影响用户的通信，因此需要对其进出的信息和业务流进行冗余保护，提高可靠性和可用性，降低掉话和呼损。为了保证链路的中断能够被快速感知，在整个网络上端到端的部署BFD，以保证核心网到CE、CE到AR之间路由切换的顺利实现。同时也解决端口故障后接口仍显示为活动状态（UP），静态路由也不会失效的问题。3.7.2. BFD规划BFD参数规划：发包间隔：200ms；收包间隔：200ms；需要部署BFD的链路：T600与AR之间，T600与MGW之间；关键配置命令：ip static-bfd x.x.x.x x.x.x.x vrf CM_NGN_SG /配置到MGW信令的静态路由和BFD捆绑 ip static-bfd x.x.x.x x.x.x.x vrf CM_NGN_SG /配置到AR设备的默认路由和BFD捆绑 bfd-version 1 /配置bfd的版本为13.8. 网络管理规划3.8.1. 概述该项目的设备采用实接口进行管理。整个网络采用SNMP来进行网管，网管的服务器放置在山东省公司，在各个地市反拉客户端接入到省公司的网管服务器。3.8.2. SNMP协议规划SNMP协议是基于服务器和客户端的管理，后台网管服务器作为SNMP服务器，前台网络设备作为SNMP客户端。前后台共享同一个MIB管理库，通过SNMP协议进行通讯。SNMP采用共同体认证方式，SNMP共同体由字符串命名，不同的共同体可具有只读（read-only）或读写（read-write）访问权限。具有只读权限的共同体只能对设备信息进行查询，而具有读写权限的共同体还可以对设备进行配置。在SNMP协议中，参数按照如下规定设置： SNMP的团队名：AllView只读团队名：sdltdttc可写团队名：sdltxttc设备上使能SNMP TRAP功能。SNMP TRAP的源地值：本机的网管接口地址。SNMP TRAP的目的地址：省公司网管服务器地址。SNMP关键配置命令：snmp-server community sdltxttc view AllView rwsnmp-server community sdltdttc view AllView rosnmp-server host x.x.x.x trap version 2c public udp-port 162 /x.x.x.x为网管服务器IP地址snmp-server enable trap SNMPsnmp-server enable trap VPNsnmp-server enable trap BGPsnmp-server enable trap OSPFsnmp-server enable trap RMONsnmp-server enable trap STALARMlogging trap informational public x.x.x.x /x.x.x.x为网管服务器IP地址3.9. 网络安全规划3.9.1. 概述为了保障网络的安全，建议执行相应的安全配置规范。3.9.2. 网络安全规则在进行设备配置的时候，需要按照以下的安全配置原则进行配置：所有不使用的接口全部处于关闭状态，防止误连产生故障；设备上所有的测试数据或不用的配置及时删除；在用户登陆的时候，进行地址控制，只允许规定的地址进行登陆，规定的地址根据具体情况来进行设置；在其他设备联入该网络时，要严格审核IP地址是否冲突；在T600路由器的入口方向部署常用防范病毒的ACL；远程登录控制关键配置命令如下：line telnet access-class 99acl standard number 99rule 1 permit x.x.x.x 0.0.0.255 /只允许IP网段为x.x.x.x/24的主机远程登录rule 100 deny any ACL关键配置命令如下：interface gei_1/2ip acces