《物联网APN介绍》课件

《物联网APN介绍》什么是APNAPN特点终端所携带的APN信息，一方面通过DNS进行域名解析，来获取GGSN/PGW的IP地址。另一方面，GGSN/PGW根据APN信息选择与企业服务器的互连方式：公网、VPN、专线。安全性：SIM/USIM卡唯一性（鉴权、加密）、逻辑隔离公网、物理隔离公网。APN简介APN（AccessPointName）-接入点名称。APN是SIM/USIM卡使用数据业务时必须配置的一个参数，它决定了SIM/USIM卡通过哪种方式来访问网络，用来标识数据的业务种类。专用APN方案背景物联卡面向行业非常广泛，部分高价值客户需要更安全、更稳定的传输数据，为此我们提供了物联卡专用APN解决方案。专用APN接入方式NB专用APN一、专用APN——互联网专线命名：CMIOTXXX方式：GRE、L2TP、IPSec二、专用APN——IP承载网命名：CMIOTXXX独享MPLS-VPN、共享MPLS-VPN方式：GRE、L2TP、IPSec

NB专用APN申请条件至少满足以下一个条件，客户可申请开通NB-IoT专用APN：

1、客户有明确的安全需求，需采用逻辑VPN隧道或专线承载的。

2、客户节电参数需求与通用NB-IoTAPN不相符的。

3、党政军及开卡规模比较大的客户，需要加强网络感知保障的。NB专用APN的配置1、NB专用APN与普通APN的配置区别在于：需在各省MME上配置节电参数，配置范围按联络单中所选省份范围进行配置（由集团派单到各省公司网络部）。2、NB专用APN需按NB资费进行加载（APN联络单中请选择NB资费）物联卡专用APN方案介绍三、专用APN——公网NAT+DPI策略命名：CMMTMXXX方式：路由方式物联网专用APN：CMIOTXXX.YN（XXX不超过6位）互联网CMNETIP承载网通用APN2/3G:CMMTM2/3/4G:CMIOTNB-IoT：CMNBIOT等专用APN（支持终端静态或动态分配IP地址）L2TP隧道IPsec隧道MPLS-VPN物联网通用APN：CMMTM/CMIOT/CMNBIOT等基于CMNET承载业务，主要用于用户访问互联网。CMNBIOT只针对NB-IoT使用且需要配置专用参数，较复杂。物联网专用APN可以承载在CMNET和IP承载网，支持终端分配静态IP，主要用于需要定向访问功能的企业客户。专用APN需要建立隧道与用户设备进行对接，目前支持GRE隧道，L2TP隧道和Ipsec隧道物联卡专用APN方案介绍GRE隧道专用APN方案1-互联网+隧道物联网专网为集团客户提供基于CMNET网络的VPN专网服务。通过APN标识用户业务种类，同时对用户的业务访问权限进行控制。VPN方式：GRE隧道、L2TP隧道、IPSEC隧道。终端IP可由客户分配地址段，动态分配。专用APN—CMIOTXXX针对专网业务，手机终端的访问流程是：BTS/eNodeB-》BSC-》SGSN/MME+SGW-》专网GGSN/PGW，通过公网隧道连接集团客户数据中心。CMNETGRE/L2TP/IPSec隧道专网GGSN/PGWA省SGSN/MME+SGWB省SGSN/MME+SGW专用APN方案2-MPLS-VPN+隧道专用APN—CMIOTXXX，物联网专用VPN（ChinaMobile_VIP_B_IOT）+GRE/L2TP/IPSec隧道方案客户平台通过传输专线上连至省公司AR设备，通过IP专网MPLSVPN+GRE（L2tp、IPsec）隧道的方式与物联网专网PGW互通。对数据安全性有较高要求的客户采用此方案。专用APN方案3-互联网NAT+DPI策略CMNET专用APN—CMMTMXXX针对专网业务，手机终端的访问流程是：BTS/eNodeB-》BSC-》SGSN/MME+SGW-》专网GGSN/PGW，通过公网NAT方式访问客户数据中心。物联网专网为集团客户提供基于CMNET网络+DPI策略控制的白名单定向访问服务。通过APN标识用户业务种类，同时对用户的业务访问权限进行控制。访问方式：NAT+DPI。专网GGSN/PGWA省SGSN/MME+SGWB省SGSN/MME+SGW专网PCRF私网地址NAT成公网地址实现访问策略控制专用APN方案-方案比较方案一（互联网+隧道）方案二（MPLS-VPN+隧道）对接方式：通过专线与客户业务平台链接。安全性：非常高，业务不暴露公网。可靠性：高，采用MPLSVPN+物理专线。接入便利性：1周（材料提交后），需要建设专线及MPLSVPN数据配置。客户：要求使用内网的客户对接方式：公网GRE隧道与客户业务平台链接。安全性：居中，业务数据通过VPN隧道保护。可靠性：较高，可通过两条隧道保证可靠性。接入便利性：1周（材料提交后）客户：一般客户，客户设备暴露在公网，客户可以通过明细路由和访问策略进行控制方案三（公网NAT+DPI策略）对接方式：无须用户侧对接安全性：低，数据通过互联网传输可靠性：较高。接入便利性：1周（材料提交后）客户：一般用于有多个公网地址需要同时访问，无法建立隧道的用户GRE、L2TP、IPSec三种隧道比较GRE隧道L2TP隧道IPsec隧道工作层级IP层数据链路层IP层隧道安全性低（无加密手段）中（控制消息加密）高（对控制消息和数据加密，并能防篡改等）实施便捷性高低低用户建设成本低高（对设备会话并发性能有要求，且需要额外部署AAA服务器）中（对设备计算能力有一定要求，如加解密，HASH计算等）典型行业各类有定向访问、数据隔离需求的企业银行金融等公安安防等L2TP案例介绍某银行要求基于4G技术，通过运营商提供的VPDN网络构建该行的接入网络，可以实现银行终端的自由接入、灵活拓展、安全访问，便于银行新应用、新业务的部署和开展。该行签约双专用APN，各营业网点可通过物联网卡将业务数据传输到他所属的一级分行数据中心；当某个一级分行数据中心出现故障以后，该一级分行所属营业网点可通过同一物联网卡将数据传输到该行总行数据中心。该行从总行、分行出口路由器各新增一条10Mbps物理专线连接入IP专用承载网，在IP专网内通过物联网专用MPLSVPN+L2TP隧道方式实现与物联网专网4G网元的连接。在物联网PGW上新增客户专用APN，客户出口路由器作为LNS，南北方PGW作为LAC，通过L2TP隧道方式将PGW与客户路由器互通，最终实现客户物联卡终端与客户内网平台互通。物联卡终端的IP地址及DNS，由客户内网AAA服务器自行分配并进行管理。该行物联卡签约双专用APN，以一级分行APN为主，总行APN为备。在核心网侧配置主备L2TP隧道，当一级分行隧道出现故障后，能迅速切换到总行隧道。具体方案L2TP辅助APN介绍问题现象：

部分采用物联网L2TP方式组网的客户，终端首次接入网络只能接入2G网络，需要再过10分钟才会切换到4G，对客户体验有一定影响。定位问题的原因：

终端在首次创建默认承载时不会上报用户名和密码，AAA认证失败，终端无法获取IP地址，接入4G网络失败方案一：终端需要在AttachRequest消息中的PDNConnectivityRequest字段中携带ESMInformationTransferFlag字段，并将该字段置为1，后续核心网会向终端请求APN，终端就会上报用户名和密码。方案二：物联网公司已申请辅助CMIOTVPDN（该APN，不能访问公网，也不对接任何客户侧平台，只用于建立承载，不会产生任何流量）。省侧申请PCC策略和双APN（CMIOTVPDN+CMIOT***.**,默认APNCMIOTVPDN）。

客户终端通过CMIOTVPDN创建第一条PDN连接，该APN不校验用户名密码，再通过专用APNCMIOT***.**，创建第二条PDN连接。最初的attachrequest消息中不会携带APN、PCO，但创建第二条PDN连接时，终端发起PDNConnectivityRequest选填字段就会携带用户名和密码，客户的专用APN就能正常的附着4G网络。该方案会消耗额外的网络资源，仅对党政军、金融等重要客户开放。解决方案问题描述GRE主备隧道案例介绍前期接到售前需求，某客户专用APN要求再申请一条专线。在双专线上实现双隧道负载分担+双隧道冗余解决网络出现单点故障的问题，同时满足网络高可用性的要求。核心网侧：国际信息港PGW增加到金桥Route1隧道keepalive配置，同时增加到金桥Route2的路由，并设置较低优先级；南方基地PGW增加到金桥Route1的隧道keepalive配置，同时增加到金桥Route2的路由，并将原来路由设置到较高优先级用户侧：金桥Route1上到国际信息港和南方基地的GRE隧道里配置keepaliv