甘肃联通双域专网技术交流

中兴通讯CCN产品线

汤海肃联通双域专网技术交流双域专网概念及优势1中兴双域专网亮点3双域专网产品说明2双域专网案例分享4联通战略战略定位：5G随行专网是国家网络安全建设必然要求、是技术演进必然趋势，是重塑行业竞争格局战略机遇。发展策略：聚焦教育、政务、医疗和工业企业重点领域，迭代“产品+运营+应用平台+网络”场景化服务能力，尽早布局，实现卡位，打好格局之战和深耕之战，以领先优势是实现5G专网、物网、人网三网融合发展，带动工作手机规模增长。工作要求：开展面向政务、教育、医疗等行业，开展“5G随行专网百城（建设100个城市5G政务专网等）千校（建设1000所院校5G教育专网等）万企（覆盖上万个企业园区等）”专项行动。工作举措：政务、教育、医疗、工业园区领域市场潜力巨大，充分发挥5G随行专网市场拓展过程中取得阶段性合作成果和树立的口碑，加强新项目拓展，针对存量专网项目有计划、抓重点、分步骤渗透。组织共识：自上而下推进凝聚共识，严格落实“2个必谈”，谈项目必谈工作手机，谈5G专网必谈工作手机！复盘问责：自上而下推进5G专网项目解决方案必须有工作手机，定期进行复盘问责。组织保障：集团层面成立涵盖行业部室、5G

BU、移动业务部的联合工作组，政企传统业务创新做，实现高质量发展。百城(百城政务)千校(千所校园)万企(万个企业园区)双域专网是什么随着宽带和4/5G等移动网络的普及，工作外出场景办公具备了网络保障，内外网协同办公成为企业标配。居家出差异地生产制造研发设计数字办公企业总部数据中心(内网)经营管理Internet协同办公场景双域：2B和2C两个域。2B企业的内网和手机终端互联网。双域专网：实现2B2C的融合，即同一部手机终端同时访问企业内网和公网的需求。异地访问内外需求增加：随着社会经济的发展，推动了工作和生活的协同化，出差、居家、异地办公对内网的访问需求越来越高企业竞争需要保障：拥有一个稳定、安全、便捷的内外网协同访问环境成为新时期企业提高办公效率、增强市场竞争力的关键要素。访问内网访问内网访问内网甘肃联通5G网现状InternetAMFSMF/GW-CPCF/PCRFNRFNSSFUDM/HSS/AUSF5GC控制面网元大区DC5GC(中兴)SMF/GW-C5GC控制面网元大区DC5GC(诺西)甘肃河东地市转发面UPF/GW-U转发面UPF/GW-U…甘肃河西5地市转发面UPF/GW-U转发面UPF/GW-U…企业内网联通2B网络大区控制面省份转发面UPF/GW-U联通2C网络手机终端手机终端物网终端传统解决方案痛点专网WiFi/有线企业传统无线专网方案园区内VPN网络带宽低支持终端数量少，高峰期网速慢；无Qos带宽保障移动性差传输距离短，室外覆盖不连续；跨区切换慢，连续性差；网络体验差使用VPN方案网速慢，卡顿明显；访问公网和专网需手工切换，体验差；互联网安全性差采用非授权频段，易被干扰和攻击；通常采用单向认证，弱于5G双向认证；运维及成本高内设专职人员运维，技能高，成本大；访问互联网需园区内建设公网出口；安全性差通过互联网访问专网，存在数据暴露风险；终端配置复杂苹果终端不支持手工配置DNN；手工配置DNN相对复杂漫游地本地访问漫游访问访问专网访问公网WIFI专网痛点：VPN痛点：用户使用成本高内网外网流量不区分，统一计费；5G融合双域专网方案解决内外网协同难题5G融合双域专网基于5G网络安全分离技术，满足企业/园区“不换卡、不换号、无需下载软件、无感知切换”办公需求，随时随地的安全访问内网及互联网的需求。gNBInternet企业内网办公流生产流生活流5G双域专网员工手机行业终端办公网现状WiFI覆盖不足，室外不连续，室内有死角，高峰期间网络拥堵，Wi-Fi干扰严重慢园区里内网资源访问需要切换至办公WiFI，内外网需要频繁切换，体验不佳烦VPN账号管理难度大，内外网数据交叉访问，数据不安全，内网数据有流出风险险5G双域专网优势5G专网访问通道，“G”速下载，畅快体验。快不换卡、不换号，“0”改造部署，随时随地内外网访问捷省内、省外随意行，有电信信号的地方都能用畅权威安全认证，电信级安全可靠，全程可管可控可溯源安行业对双域访问的需求需求一：本地安全访问专网和公网需求二：远程访问专网和公网教育文旅沉浸式教育VR/音视频讲解政务企业移动采集无人机巡航远程办公远程会议业务特征：用户在园区内可快速访问专网边缘应用用户离开园区可继续访问公网，不可访问专网，保证专网数据安全业务特征：用户在园区内外均可正常访问公网和专网应用沉浸式教育，自助音视频讲解，移动采集等边缘应用或因带宽高，或因安全要求仅限本园区内使用诸如移动办公，工作会议，无人机巡逻等应用，要求用户在企业园区外可正常访问专网政务满足公网用户“不换卡、不换号”进行公网、专网“双域”业务的访问需求，支持校园网、政企网等场景5G双域专网：基于5G网络协同访问公专网利用5G网络大带宽、低时延、广覆盖、高安全等方面优势，通过双域UPF和互联网公网/企业专网对接,运营商向企业按需提供本地高速安全访问和广域高速安全访问公专网的体验。专网园区用户Internet体验优化高带宽，大容量，连续覆盖无死角安全管控位置区域安全管控，园区终端数据按需不出场独立认证专网对终端独立二次鉴权和认证自动分流终端不换卡不换号同时访问公专网，不需手工切换漫游访问终端跨市跨省继续访问专网独立计费公专网流量独立计费，专网流量可享企业统付套餐用户5G网络外地双域专网面向的客户目标行业：党政、教育、医疗、交通、工业能源等员工规模较大、分布较广的大型企业均可以使用；解决客户痛点：远程安全访问内网、远程办公、远程教学、远程执法、工作机等；

第一大类需求特点：指定号码、全国漫游、公网内网自由访问目标行业：单位访客、工业园区、旅游景区、大型商业综合体、体育场馆等指定区域内的定向流量；解决客户痛点：解决第三方人员、单位访客访问内网的需求；（再也不用问WiFi密码是多少）

替代办公区域、公共区域（大型商业综合体、体育场馆）WiFi；（再也不用问WiFi密码是多少

第二大类需求特点：指定号码/不指定号码、限定园区接入、公网内网自由访问双域专网应用场景行业适用客户分类应用场景用户范围客户价值分析教育高校师生访问校园内网固定替代WiFi盖，客户免运营，室外有覆盖，网络质量好

，教培机构学员自带设备访问专属教育资源固定无须建设WiFi，网络质量好，减少设备投入成本办公园区/楼宇大型企业访问办公内网固定替代PC，提升内网访问便利度，比wifi提升业务连续性、安全性。可结合内网系统做考勤安保巡检固定保安上传安全事件、查询可疑车辆等内网安全系统访问场景医疗医院5G院内移动医护固定医护人员在院内随时随地用手机访问内部系统，提升医疗效率、办公体验5G掌上医院非固定APP注册患者，可在院内访问病历和影像资料政府政府部门5G安全办公固定在政府楼内，使用手机访问政务外网，拓展移动办公范围，提升效率文旅图书馆内部办公固定访问办公内网相关系统，提升办公效率会员体验固定/非固定在图书馆内访问会员专属资源景点/博物馆/剧院游客体验非固定在场所内访问游客专属资源双域专网业务主要适用于教育、政务、医疗、文旅等行业的内外网访问需求，替代WIFI和VPN，提供无切换感知的高速网络服务。双域专网概念及优势中兴双域专网亮点3双域专网产品说明双域专网案例分享412方案一：专用DNN方案中心UPF地市机房AMFUDMPCFSMF校园用户大网用户地市2CUPFInternet公网应用类别说明核心诉求专网用户访问公网和内网的流量由专用UPF进行分流，根据报文目的地址确定流量发给公网还是园区内网。方案简述专用DNN分流方案：在UDM为园区用户签约专用DNN作为defaultDNN（删除原3gnetDNN），AMF开启DNN纠错功能。终端使用通用DNN发起PDU会话建立，AMF将其纠正为专用DNN。SMF根据专用DNN选择专用UPF并完成PDU会话建立。（非园区用户使用大网DNN，SMF选择其他普通2CUPF建会话）3.园区用户上行流量到达专用UPF，专用UPF根据目的地址，进行策略路由转发，分别转发给校内网和internet公网。4.

核心网可为园区流量和公网流量独立计费，实现计费区分方案优势1.对终端要求低，支持4、5G接入internet和

园区2.支持用户漫游场景下，访问园区内网

和internet公网3.按需规划企业地址，减少企业与终端地址冲突方案约束用户漫游时公网流量将回归属地，无法满足地址管控要求；2.用户在漫游时，时延增大，可能会引起客户投诉；3.运维管理难度比通用DNN大，所有通用DNN套餐相应的控制策略和计费策略变更需要同步修改专用DNN。大网DNN专用DNN2C5GC控制面园区1地市专用UPF内网流量公网流量方案二：UL-CL本地分流方案园区AMFUDMPCFSMF校园用户大网用户校园用户2CUPFPSA1UL-CL/PSA2UPFInternet大网DNN大网DNN中心UPF中心UPF2C5GC控制面地市内网流量公网流量校内网类别说明核心诉求校园网终端在园区范围内通过5G网络访问公网和园区内网；出了园区可继续访问公网方案简述使用大网DNN，基于TAC位置+PCF签约信息的分流方案：选择校园所在的地市2CUPF，作为园区的主锚点，对接公网；规划一对2CUPF作为UL-CL/辅锚点，对接园区内网；园区终端签约特定的套餐，套餐与DNAI关联，边缘UPF配置相应的DNAI;终端进入园区，SMF根据位置和PCC签约信息，触发5GC控制面插入UL-CLUPF，并下发内网和公网的分流规则到UL-CLUPF用户访问校内网流量根据内网分流规则转发至校园内网，访问Internet数据通过公网分流规则转发至中心2CUPF到Internet话单中可以区分内外网流量方案优势使用大网DNN，终端无感知，用户体验好访问内网流量不会经过2CUPF迂回，对承载网无冲击，业务延迟小用户漫游访问公网无需迂回到归属省份方案约束园区用户跨业务区域漫游/回落4G接入无法访问内网；用户地址由运营商网络分配，可能存在终端与校内服务器IPv4地址冲突，需要增加NAT设备隔离；考虑主锚点UPF可能复用终端地址段，可能存在园区内不同终端在辅锚点上地址冲突导致用户被踢下线；无法满足校方地址管控以及溯源要求；方案三：4G/5G漫游UL_CL广域分流方案PGWC/SMF

公网

内网xGWU-2PGWU2PSA1企业用户1eNBgNBxGWU-1ULCL/PSA0PGWU1SGWCMME/AMFPCFR/PCFCG1/CHFSGWU4G大网流量5G大网流量内网流量控制信令通用DNN专用DNN类别说明诉求支持终端在45G切换时能继续分流方案简述通过签约DNN纠正方式将园区终端上通用DNN纠正成专用DNN，从而实现园区终端“不换卡，不换号”;为园区规划一对大网U面节点xGWU-1，作为PGWU/UPF主锚点和ULCL分流点对接公网；为园区规划一对专网U面节点xGWU-2，作为PGWU/UPF辅锚点对接园区网络；园区终端5G接入时，PCF/PCRF触发下发分流规则(含DNAI)，GWC/SMF根据专用DNN选择中心节点xGW-1作为主锚点和ULCL分流节点，根据DNAI选择边缘节点xGWU-2作为辅锚点；用户访问园区网时，报文匹配分流规则，通过N9隧道转发到边缘节点，由边缘节点上专线转发至企业内网；用户访问公网时，报文直接从主锚点转发到互联网；用户从5G回落4G，主锚点xGWU-1保持不变，PGWC继续选择xGWU-2作为PGWU辅锚点，访问内外网路径不变；用户重新从4G接入与5切4类似，会话创建阶段即插入分流节点和辅锚点；4切5步骤同5切4；方案优势企业建设专线只需要集中到xGW-2设备，不需要对接多套设备，成本低；支持用户跨省漫游以及回落4G时继续访问专网和公网，不受地域限制；网元定制功能主要限定在PGWC/SMF/PGWU/UPF，对其他网元，改动依赖小方案约束支持4G分流的网元必须是45G融合局点，包括SMF/PGWC，PCRF/PCF，CHF。4G分流访问园区流量会存在中心PGWU迂回到边缘节点1；省间漫游访问公网流量需要回归属地，存在延迟和带宽需求；4G仅支持后向分流，不支持前向本地分流；同一个会话不支持前向变后向；仅支持4/5G后向分流，不支持2G/3G分流；不支持专载业务；主锚点xGW1上共享公网出口，各园区DNN按序优先分配不重叠地址，地址池重叠企业需要在N6口之外一路隔离到NAT；方案四：随行专网方案企业内网公网业务内网业务UEInternetN9UDMPCFNRF大网SMFD-SMF大网UPF①基于2个DNN到NRF注册②园区分流规则包括专网DNN③通过专网DNN发现专网D-SMF④专网DNNUE会话信息（大网IP地址）⑤基于专网DNN选择专网D-UPF⑥下发基于园区地址分流规则⑦UEIP做NAT转换D-UPF类别说明核心诉求校园网终端内外任何地方都可以同时访问校园网和公网，4G\5G都可以访问。方案简述1、专用SMF基于2个DNN到NRF注册2、在大网DNN会话建立过程中或建立后，PCF下发多DNN会话策略给公网SMF1，包含企业内网url/ip地址分流规则以及专网DNN3、公网SMF通过DNN发现专网D-SMF4、和D-SMF做N16a交互时传递专网和大网DNN信息（含名称，用户公网IP地址信息等）5、专网D-SMF将PCF下发的专网分流规则（基于域名或IP分流）选择并传递到D-UPF6、大网SMF下发分流规则给大网UPF，专网D-UPF做为专网锚点UPF通过N9口之间链接，把专网流量转到企业网内部7、在专网D-UPF把UE地址做NAT转换方案优势终端用户无感知，不依赖终端功能；支持终端在4G/5G互操作，跨地市跨省漫游访问专网，访问公网流量直接从拜访地出，省间传输流量小；方案约束波及多网元定制升级，非标程度高，另外初期不同省份建设进度会影响用户漫游体验一个用户最多支持5个专网会话，多个专网的目的地址不可重叠双域专网落地方案建议目前较为成熟的双域网解决方案包含两大类：1、基于专用DNN分流的双域网解决方案；2、基于ULCL分流的双域网解决方案，需结合技术成熟度、应用场景选择合适的解决方案专用DNN方案：对于用户有4G专网访问需求，或存在省外漫游访问专网场景，建议采用专用DNN方案通用DNN+ULCL方案：仅5G接入专网分流，不考虑漫游，仅作本地分流，建议采用ULCL方案随行专网方案初期节省投资，降低运维复杂度，建议按业务区，以地市共享模式部署UPF承载地市双域网业务；后续根据部分园区对时延、数据安全等要求，建设企业园区独享UPF承载特定企业园区双域网业务，一事一议。双域网落地成熟方案对比总结双域网方案需求实现业务既访问内网又访问公网的需求，在当前多种分流技术的支持下，根据实际应用场景，选择DNN分流或ULCL分流、随行专网满足客户对双域网的业务需求。双域专网概念及优势中兴双域专网亮点双域专网案例分享413双域专网产品说明2中兴通讯双域专网方案亮点安全企业独立认证应用访问控制计费专网独立计费公网业务分流非签约用户分流分流企业独立认证:DN-AAA鉴权

园区专网N12N13N4N11N35G接入鉴权认证UENG-RANDNAMFUPFDN-AAASMFAUSFN10N6N6UDMN1N2N8二次认证PAP/CHAP/EAP鉴权在PDU会话建立期间由DN-AAA服务器进行二次辅助身份验证/授权。DN-AAA服务器可以属于5GC，也可以属于DN若DN-AAA位于5GC中，且直接可达，则SMF可以直接与其通信，而无需UPF参与；否则，SMF需通过UPF将UE的认证/授权信息传递给DN-AAA服务器Internet专网主要用于针对垂直行业用户认证，将电信网络接入认证和企业网接入认证相结合企业使用自建或者租用安全设备，对接入用户进行鉴权和授权，比如允许企业员工接入，拒绝离职员工或外部用户接入；企业员工外部用户安全分流计费应用访问控制：允许访问专网及部分公网应用独立专网访问套餐userprofile2172.16.*.*允许访问*允许访问*

禁止大网访问套餐userprofile1*.单独费率其他其他策略允许访问UPFinternetSMFPCF1.PCF/SMF下发专网套餐UserProfile1普通用户2.UPF根据访问策略控制报文通过或阻断普通用户签约大网套餐，正常访问互联网应用，无法访问专网UPF专网internetSMFPCF1.PCF/SMF下发专网套餐UserProfile2专网用户2.UPF根据访问策略控制报文通过或阻断专网用户签约独立专网套餐，仅放通微信和专网业务；企业专网套餐独立规划，与大网套餐不耦合。背景需求：处于安全访问和无线带宽资源管理考虑，企业希望行业终端访问应用控制，即仅允许访问专网以及特定公网业务，如wechat，禁止访问视频类大流量应用。解决方案：企业规划独立的专网套餐，针对专网需要设置访问控制规则；普通用户访问的大网套餐不受影响;安全分流计费公网业务分流：共享数字图书资源背景需求：校园或图书馆与电子图书资源签订购买授权协议，校园/图书馆用户在园区内可免费访问下载电子图书资源；园区用户希望双域网用可继续免费访问电子图书资源。解决方案：针对数据资源在公网场景，UPF识别到电子图书资源报文后，将其分流到园区，通过园区的互联网出口访问图书资源服务器。关键步骤：未启用前，用户在园区外通过主锚点UPF访问图书资源需要账号启用本功能：用户签约电子图书资源分流的预定义规则，UPF上配置对应的域名识别和分流规则；终端接入网络，PCF下发分流的预定义规则给SMF/UPF；双域终端发起电子图书资源的DNS域名解析请求，UPF根据DNS请求及响应学习到服务器IP地址与域名的映射关系，自动转换成分流规则；双域终端发起目的是电子图书资源IP的访问，UPF匹配上分流规则，将报文转发到园区专网，通过专网发送到服务器；专企业公网地址UPF专网运营商公网地址AMFPCF大网5GCSMFInternet4a.通过专网访问1.需账号登陆UPF3.下发分流的预定规则2.签约电子图书资源预定义规则专网用户安全分流计费非签约用户本地分流背景需求：进入景区/博物馆等公共场所的用户希望可以通过5G网络体验园区的音视频讲解、高清图片展示，并享受园区流量免费的优惠。其中：访客对象不固定，无法签约固定套餐；解决方案：基于用户位置或应用访问触发的分流边缘UPF运营商公网地址Internet中心UPF3.激活分流的规则，园区数据分流到本地2.进入场馆区域，触发SMF插入分流UPF，及单独计费规则1.园区外正常访问互联网园区服务器园区内园区外建议方案：基于TA位置区分流AMFPCF大网5GCSMF4终端通过扫码或浏览器方式访问场馆应用边缘UPF中心UPF服务器AF专网3.PCF下发分流预定义规则，触发插入ULCLPCFSMF1.用户扫码,对服务器发起访问2.AF触发NEF/PCF插入分流业务；4.用户通过ULCLUPF访问内网边缘UPF中心UPF服务器专网1.PCF检测到终端进入场馆区域，下发分应用流探测规则PCFSMF2用户扫码,对服务器发起访问5.用户通过ULCLUPF访问专网2.UPF检测到访问专网应用触发上报事件4.PCF下发分流规则，触发插入ULCL;基于应用访问触发分流：需要应用侧定制AF基于应用探测触发分流：需要全网跟踪终端位置，易产生信令风暴从可落地角度分析，建议采用基于TA位置区触发分流安全分流计费独立计费:享受企业优惠套餐SMFInternet园区网大网流量路径园区流量路径PSA1UPF1CHFULCL/PSA2UPF2UPFid1,RG1,Vol1UFPID2URRid2,Vol2UPFid1,URRid1,Vol1UPFid2,RG2,Vol2BOSSURRID1：SI1,RG1URRID2:SI2,RG2URRID1-APP1URRID2-APP2公网流量通过主锚点PSA1采集，上报计费信息包含UPFID1，单独费率组RG1，以及对应的流量。专网流量通过辅锚点PSA2采集，上报计费信息包含UPFID2，单独费率组RG2、以及对应的流量VOL。BOSS侧可基于UPFID和RG分拣专网流量，进行单独结算。安全分流计费双域专网概念及优势双域专网案例分享1双域专网产品说明24中兴双域专网亮点3智慧校园双域专网，按需直达的专网服务Public5GCInternetCampusappsserverPublicservicedataCampusservicedata专属终端仅本地访问移动终端可广域访问PrivateDNNPublicDNN,UL-CLEdgeUPFDN-AAACentralUPF校园外校园外移动终端广域访问双域无感访问：基于智能无感分流，在校师生不换卡、不换号使用原有ToC终端可同时访问互联网和教务网广域访问：支持异地漫游或回落4G园区继续访问安全控制：支持DN-AAA二次鉴权，保障校园接入安全；对不同权域终端独立鉴权和权限控制，如师生终端仅可访问教务网，专网终端仅访问生产网双域访问：专属终端可同时访问专网和按需访问公网本地快速访问：数据直接到专网，无任何迂回，时延低、带宽高，对公网无冲击安全控制：数据不出园区，出园区后无法访问校园内网专属终端本地访问基于公用网络，按需下沉EdgeUPF，实现校园终端不换卡、不换号协同访问公网和专网EdgeUPF远程公开课电子图书馆4K/8K远程高清沉浸式实验AR/VR沉浸式教学Campus校园双域专网案例–60+复制UPF福建移动福州大学方案(专用DNN分流)AMFPCF2C大网5GCSMF地市1：TA区专用UPFN2InternetN4N9N4N6专用DNNN3大网UPF1校园内网校园内网大网UPF2地市2：TA区专用DNNN2N9N3N4部署一对共享UPF，作为专用DNN锚点UPF，多个校园共享；终端根据专用DNN选择锚点UPF，根据DNN分配地址池；专用DNN关联不同的VRF，开通专线到校园，实现N6口多DN连接，可以同时上公网与私网；同时支持5G/4G接入，切换不掉线；各地市大网UPF作为I-UPF，通过N9接口与专用UPF互联，避免SPN改造。共享UPF统一规划专用DNN地址池，并在防火墙上做公网映射，以及完成相关路由配置。容灾：商用网络专用UPF需要进行容灾组网。DNN地址池为动态，部署容灾UPF没问题。关于漫游：在签约中删除通用DNN，签约专用DNN，然后通过回归属地接入实现同时上公网与私网，这个需要全国NRF/DNS做配合。风险点：1、用户需要修改签约数据，默认DNN需要修改为专用DNN。2、国漫时需要用户出国前增加默认DNN为cmnet，回国后再删除cmnet。江苏移动徐州矿大方案(通用DNN+ULCL分流)序号网元配置改造描述1第3方BOSS系统1.针对特定园区业务计费2.签约校园分流业务套餐2UDM不涉及3PCF1.和SMF之间采用预定义PCC规则，激活或去活PCC分流策略2.向SMF订阅RAT变化、TA变化事件3.整个地市作为分流区域。PC