宽带接入认证方式的选择_第1页
宽带接入认证方式的选择_第2页
宽带接入认证方式的选择_第3页
宽带接入认证方式的选择_第4页
宽带接入认证方式的选择_第5页
已阅读5页,还剩3页未读 继续免费阅读

下载本文档

版权说明:本文档由用户提供并上传,收益归属内容提供方,若内容存在侵权,请进行举报或认领

文档简介

宽带接入认证方式的选择

马绍文邓琦1、概述随着城域网宽带业务的发展,可运营、可管理的网络建设理念已经深入人心。市场方面,随着用户数量的增多,每用户带宽增大,产生ADSL/ADSL2+/FTTH/GPON等高带宽接入方式,极大提高了用户网络使用体验,电脑成为网络接入的主要设备。采用动态IP地址,每用户带宽控制的PPPoE设备逐渐演变为电信运营商主要的接入方式。随着IP网络的迅速发展,人们产生了把所有智能设备联网的需求。同时互联网的内容从简单的网页推送演进为以流媒体为主,支持VoIP,IPTV等综合业务。随着提供业务的多样化,用户认证方式作为可运营、可管理的核心,受到包括运营商、制造商的密切关注。目前讨论的核心认证技术主要包括IPoE和PPPoEPPPoE相关标准则是在1999年的RFC2516-AMethodforTransmittingPPPOverEthernet(PPPoE)中明确定义的。2006年,DSL(2008年改名Broadband)工作组综合各个电信运营商在接入方式上的尝试,为使新型Voice/Video等实时性业务得到有效的控制与管理,定义了WT-146用户会话控制机制(SubscriberSession),设计规划了以DHCP技术为核心,紧密结合当今PPPoE通用的RADUIS协议,建立了一种基于"IP用户会话机制(IPSubscriberSessions)"、"IP数据流的分级机制(IPFlowClassifiers)"、及"IP会话鉴权和管理机制(IPSessionAuthenticationandManagementMeans)"的IPoE认证机制。通过扩展信息的加入和识别在网络边缘设备上提供用户Session的接入认证授权计费。IPoE认证方式不需要在用户终端上安装任何客户端程序,不需要输入用户名和密码,非常适合新型网络设备,如智能手机,数字电视,PSP等很难支持内置的PPPoE拨号程序的终端应用互联网业务。目前,IPoE和PPPoE应用都比较成熟,获得广大运营商和专家的一致认可,并在当前的网络建设中获得大规模商用。下面首先对这两种认证方式进行全面的分析,然后提出业务承载解决方案及对下一代宽带网络业务网关(Broadbandnetworkgateway)的需求。2、PPPOE认证PPPoE认证简介PPPoE是利用以太网发送PPP包的传输方法和支持在同一以太网上建立多个PPP连接的接入技术。其结合了以太网和PPP连接的综合属性。以太网是一种广播网络,其缺点是通讯双方无法相互验证对方身份,通讯是不安全的°PPP协议提供了通讯双方身份验证的功能,但是PPP协议是一种点对点的协议,协议中没有提供地址信息。如果PPP应用在以太网上,必须使用PPPoE再进行一次封装,PPPoE协议提供了在以太网广播链路上进行点对点通信的能力。PPP协议的一个重要的功能是提供了身份验证功能。PPP协议是一种点到点的链路层协议,它提供了点到点的一种封装、传递数据的一种方法。当一台主机希望启动一个PPPoE会话,它首先必须完成发现阶段,确定对端Server的以太网MAC地址,并建立一个唯一的PPPoE会话号(SESSION_ID)。PPP协议一般包括三个协商阶段:LCP(链路控制协议)阶段,认证阶段(比如CHAP/PAP),NCP(网络层控制协议,比如IPCP)阶段。拨号后,用户计算机和局方的接入服务器在LCP阶段协商底层链路参数,然后在认证阶段进行用户计算机将用户名和密码发送给接入服务器认证,接入服务器可以进行本地认证,可以通过RADIUS协议将用户名和密码发送给AAA服务器进行认证。认证通过后,在NCP(IPCP)协商阶段,接入服务器给用户计算机分配网络层参数如IP地址等。经过PPP的三个协商阶段后,用户就可以发送和接受网络报文,用户收发的所有网络层报文都封装在PPP报文中。在PPP协议定义一个端对端关系时,发现阶段实际是一个客户与服务器的关系。在发现阶段,主机(客户端)搜寻并发现一个网络设备(服务器端)。在网络拓扑中,主机能与之通信的可能不只一个网络设备,但只能选择其中的一个。当发现阶段完成后,主机和网络设备将拥有建立PPPoE的所有信息。PPPoE一般用面向于广大普通用户提供认证、计费服务,也可用于固定用户申请独用的一个公网IP地址。现网国内运营商主要是应用BRAS设备作为PPPoE的终结设备。(2)PPPoE特点总结PPPoE认证的主要优点总结如下:PPPoE认证的主要特点在于其应用广泛、成熟;而且标准性、互通性好;*与现有主流的PC操作系统可以良好的兼容,无兼容性问题;PPPoE通过唯一的Session-ID可以很好的保障用户的安全性;*因此,由于PPP会话的安全性、健壮性等特征,而被广泛应用于ADSL接入认证。应用广泛,具有较好的市场基础。PPPoE认证的不足之处在于认证机制比较复杂,对设备处理性能、内存资源需求较高;同时用户需要一个等待过程;同时随着多媒体业务发展,BRAS设备对于业务支持的局限性逐渐暴露出来,特别是组播支持方面,由于在PPP协议定义一个端对端关系时,在网络拓扑中,主机能与之通信的可能不只一个网络设备,但只能选择其中的一个,所以采用PPPOE方式认证时,组播复制点只能选择在BRAS设备上,而BRAS设备性能必将成为业务发展的瓶颈。同时由于传统BRAS设备在设计理念上不是满足多业务承载,所以设备在整机处理能力,可扩展性,可靠性等方面都将表现出不足。3、IPoE认证(1)IPoE认证简介IPoE系统包括基本的DHCP功能,同时扩展了网络中各个层面设备的能力。可以说IPoE不是简单的终端设备上支持DHCP就可以了,需要涉及到用户端,网络控制设备,网络业务系统等。DHCP(RFC-1541)本身是一种动态主机配置协议,最初主要针对于LAN应用。通过终端上的DHCP客户端,利用自动发现机制来尝试联系网络中的DHCP服务器。DHCP提供一系列IP配置参数,对用户端的IP层进行配置。DHCP协议本身并没有用来认证的功能,但是DHCP可以配合其他技术实现认证,比如DHCP+web方式、DHCP+客户端方式和利用DHCP+OPTION扩展字段进行认证。所有这些方式都统称为DHCP+认证。本文讨论的主要是DHCP+OPTION扩展字段进行认证,又称为IPoE认证方式。用来作为DHCP扩展的OPTION字段主要为OPTION60(RFC2132)和OPTION82(RFC3046)。其中OPTION60中带有Vendor和ServiceOption信息,是由用户终端发起DHCP请求时携带的信息,网络设备只需要透传即可。其在应用中的作用是用来识别用户终端类型,从而识别用户业务类型,DHCP服务器可以依赖于此分配不同的业务IP地址。而OPTION82信息是由网络设备插入在终端发出的DHCP报文中,主要用来标识用户终端的接入位置,DHCPOPTION82信息可以由DHCPSNOOPING或DHCPRELAY设备进行插入。IPoE认证系统各个部分功能如下:(1)IPoE客户端部分包括各种用户终端设备,产生DHCP消息,中间设备插入各种DHCPoption进行用户绑定,业务绑定等。(2)IPoE宽带网络网关控制设备(如BRAS或SR)宽带网络网关控制设备(Broadbandnetworkgateway)进行DHCP消息到Radius认证消息的翻译。与Radius进行认证,授权,计费功能。认证通过后,下放Radius返回的每用户QoS,访问控制的列表等功能,同时对通过设备的流量/时长进行计费。(3)IPoE业务控制系统包括Radius/DHCP/Diameter/Webportal等业务系统,能够动态调整每用户的带宽和QoS属性,针对预付费,流量,时长等提供多种计费手段。做到客户的可管理控制,可持续盈利,提供差异化的用户服务。基于TR101定义的网络架构及WT146定义的IPoESession流程,网络边缘通过设置宽带业务网关-BNG(BroadbandNetworkGateway)设备来维护所有用户的IPSession,通过IPoESession对用户进行感知和控制,并实施各种用户策略(如QoS)。(2)IPoE认证特点总结IPoE认证的主要特点总结如下:*基于上网用户的物理位置(通过唯一的VLANID/PVCID标示)对用户进行认证和计费,用户上网时无需输入用户名和密码,这对于那些需要永远在线的用户,以及不愿意输入用户名和密码的特定用户是非常方便的,适合于在企业网,家庭简化硬件的配置工作。DHCP+(option60/option82)对DHCP协议进行了扩展,增加了安全,监控,用户识别等新的特性。*网络接入设备,业务控制网关,DHCPserver,Radiusserver配合增强网络安全性(防DoS攻击及地址仿冒)DHCP+Radius结合提供计费功能,使得DHCP适合做运营.DHCP是基于IP的在冗余保护方面比较有优势,能够实现真正的5个9的保护特性。*组播业务支持灵活(3)IPoE认证的安全策略由于IPoE认证本身不像PPPoE认证一样在网络层面提供唯一的点到点的通信,所以运营商在部署时,安全问题是需要考虑的主要问题。随网络技术的发展,家庭网关,网络接入设备(如DSLAM),宽带网络网关必须协同工作,增强网络安全性。安全保证策略包括如下方面:(a)反地址欺骗用户是通过DHCP/静态配置IP与MAC地址方式接入。业务控制网关自动生成一条IP和MAC地址帮定的Ingress方向的记录.如果其它用户做防冒,IP地址相同,但是MAC地址不同,所有的数据包都会被丢弃。(b)用户终端数限制控制每个业务接入点所连接用户终端的数量。(c)防DoS攻击对于用户通过发送大量的DHCP请求,模拟不同MAC地址的Host请求IP地址,攻击DHCPServer的情况:解决方式是DHCP请求需要得到Radius服务器认证通过才能被送到DHCPServer,Radius设定了用户的MAC地址和线路号绑定的功能,只有IP地址和线路号在Radius数据库种才能获得许可申请用户的IP地址。对于由宽带网络网关发送大量的DHCP请求发送到Radius服务器的情况:解决方式是在用户认证通过认证获得IP地址之前,基于每个用户设置速率限制功能,设定每秒种只有1-2个DHCP数据包能够通过,降低对RadiusServer的压力。对于RadiusServer,对用户的攻击模式进行判断,对来自同一个DSLAM线路号的Radius请求数量作控制,比方说在1秒内,最多只允许1个Radius请求,如果1分钟内连续出现多个Radius请求,则认证发生攻击,直接丢弃Radius数据包。(d)业务隔离下行通过VLAN隔离;上行方向除上网业务分配公网地址直接接入外,其它业务(包括网络管理)一律按业务类别分装在不同VPN内进行传送。(e)非法组播源抑制一般从DSLAM上行的端口都会将发送到组播组的数据过滤掉。在业务控制网关上与DSLAM下行连接的端口上不会开启PIM协议,组播源不会从业务端口接入上来。(f)端口隔离设置用户水平分割组,禁止用户接入端口间直接转发。4、PPPoE和IPoE技术讨论卜面对上述两种认证方式,进行一个综合的比较。功能PPPoEDHCP认证效率较低很高标准化程度高(RFC2516)高(WT146)封装开销大(增加PPPoE及PPP封装)小(MAC+IP)客户端软件需要不需要用户认证通过PAP、CHAP或者EAP触发通过DHCP发现包触发认证服务器RadiusRadius地址分配方式IPCP,基于用户名和密码DHCP,基于线路号、MAC地址.Session建立过程面向连接的Session-ID无连接,用户通过IP地址标识

用户在线检测PPPkeepalive包实现安全性

防地址仿冒能

力高高((唯一用户在线检测PPPkeepalive包实现安全性

防地址仿冒能

力高高((唯一SessionID)UC-ARP方式

或者DHCP-Renew方式

高高(Anti-spoofing策略)控制能力端口/用户数/带宽制层精确计费支持端口/用户数/带宽

组播控制点可选择在业务控制层或

接入层

支持所有支持IP协议的设备都支持,不需要安装第三方拨号软件,可以广泛支端口/用户数/带宽

组播控制点可选择在业务控制层或

接入层

支持(2)报文开销由于PPPoE报文引入了PPPoE头(6bytes)和PPP头(2bytes),所以在所有用户流量里面增加了8个字节的协议开销,对于高带宽的应用(4M以上的高清电视等),对于处理能力不高的终端设备,压力很大。(3)组播复制由于PPPoE报文,是在BNG设备和用户之间建立点对点连接,中间的交换机层次不能很好的理解PPPoE报文格式,只能进行转发,无法进行针对VLAN等信息的有效的组播复制。所以采用PPPoE进行组播业务的开展,组播复制点只能是BNG设备,而采用IPoE,可以把组播复制点下移到DSLAM,一方面减少了BNG设备的压力,另一方面也极大的节约了网络接入层带宽。(4)用户冗余IPoE,报文转发中,由于不需要接入PPPoESession/Cookie信息,非常容易做到跨机箱的用户Session的保护,当一个机箱断电时,所有IPoE的状态信息被动态备份到另外一台设备,所以不需要用户进行重新拨号。而PPPoE由于转发过程中携带BNG生成的唯一的Session/Cookie信息,当一台设备断电时,另外一台设备无法获得全部的PPPoE状态,所以无法做到有效的跨机箱的用户冗余保护。根据上述讨论,在终端支持、封装开销和组播支持认证效率等方面,IPoE认证具有较明显的优势。5、业务承载解决方案根据前面的技术讨论,IPoE和PPPoE将在一段时期内并存,满足不同业务需求。随运营商向全业务提供商转型,无论采用那种认证机制,网络中必须部署业务控制网关来对用户的接入,认证,会话及QoS等策略进行统一的管理。网络边缘业务控制设备从单一支持PPPoE的设备(国内运营商主要为BRAS)向TR101架构定义的宽带网络业务网关-BNG设备(同时支持PPPoE和IPoE)演进。对于满足下一代PPPoE/IPoE用户接入控制的BNG设备设计,不同厂家有不同的理解。传统BRAS厂家是为支持PPPoE协议而设计的产品,可以通过添加IPoE功能的支持来演变为BNG设备。同理,传统的ServiceRouter厂家设备天生支持高带宽的IPoE用户控制,可以通过添加PPPoE功能来实现完全的BNG功能。无论是何种演进方式,BNG必须需要具备以下3种设计要素:(1)强劲的CPU处理能力及内存容量PPPoE/IPoE用户session的处理和终结都需要CPU进行辅助。下一代的BNG设备,设计需要承载128K用户,这样对设备的CPU处理能力要求很高,一般需要多核CPU,同时支持4G以上内存。(2)大于40G每槽位的业务处理能力适应大带宽的发展,每槽位支持16K用户,平均每用户要支持2-4Mbps的带宽,这样就要求下一代BNG设备支持40G/slot的高带宽处理能力。(3)完善的业务处理板卡,提供面向未来的增值服务随着用户控制的深入发展,需要BNG设备提供DPI(深入包检测),IPSec安全接入,视频和LTE移动业务网关的支持。(4)层次化QoS城域网的接入部分(特别是最后一公里)是全网的带宽瓶颈,而通常接入网汇聚设备(以太网交换机)的QoS控制机制比较弱。因此,要求业务网关(BNG)设备上部署H-QoS机制,从而降低对接入网关以下的设备的QoS性能要求,降低了接入网的成本,简化了QoS管理。要求BNG最多可达三级调度,实现针对每用户,每业务,每应用的QoS策略,从而实现网络带宽的灵活调度及业务管理。采用BNG设备作为网络业务的控制点,先网演进建议按如下三个阶段进行:*第一阶段:原有HSI业务仍然通过PPPoE方式由BRAS承载,综合业务用户、包月用户等通过IPoE方式认证的业务通过BNG承载。新增HSI业务通过PPPoE方式由BNG设备承载。*第二阶段:随HSI业务发展,现网BRAS设备必将不能满足大接入带宽的需求,建议逐步将原有用户割接至BNG设备。*第三阶段:网络形成BNG的单边缘架构,在业务控制层部署基于每用户,每业务,每应用的控制策略,部署H-QoS,配和骨干网QoS策略,实现用户管理,差异化服务和精细运行。6、上海贝尔BNG设备上海贝尔的7750SR是业界第一个50G平台(I0M3)的BNG设备,兼备传统意义的SR和BRAS功能,同时能够支持PPPoE/IPoE/VPN等多种业务,产品主要特点如下:7750SR能够支持单板50G线速端口能力、整机500G线速端口能力(40个10GE线速端口,500个GE线速端口)7750SR整机支持128K并发用户,单板卡支持40K并发用户会话,并同时保证线速性能,具备业界

温馨提示

  • 1. 本站所有资源如无特殊说明,都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
  • 2. 本站的文档不包含任何第三方提供的附件图纸等,如果需要附件,请联系上传者。文件的所有权益归上传用户所有。
  • 3. 本站RAR压缩包中若带图纸,网页内容里面会有图纸预览,若没有图纸预览就没有图纸。
  • 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
  • 5. 人人文库网仅提供信息存储空间,仅对用户上传内容的表现方式做保护处理,对用户上传分享的文档内容本身不做任何修改或编辑,并不能对任何下载内容负责。
  • 6. 下载文件中如有侵权或不适当内容,请与我们联系,我们立即纠正。
  • 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。

评论

0/150

提交评论