IMS BAC设备技术培训与交流

1、1,IMS BAC设备技术培训与交流,集团网络运行维护事业部 交换网运行维护技术支撑中心 2012年10月,设备简介 组网要求 协议处理 业务功能 安全防护,BAC的引入 FW/NAT阻断业务的分析 FW/NAT穿越的实现原理 地址转换流程实例,汇报提纲,什么是BAC?,WiKi百科定义： A Session Border Controller is a device used in some VoIP networks to exert control over the signaling and usually also the media streams involved in sett

2、ing up, conducting, and tearing down calls. TISPAN： TISPAN 架构中定义的核心网标准网元P-CSCF/C-BGF/I-BGF/IBCF（边缘接入和IP网间互通）即由BAC实现；各厂家实现中扩展由BAC实现更多边缘接入网元功能.,BAC基本功能 BAC的核心功能：为不同子网的IP语音（及视频等其它实时会话业务）信令和媒体提供控制功能； 同时在网络边缘对所处理业务进行安全保障（防攻击、VPN隔离、防火墙等）和QoS控制（policing、marking、rate limiting、CAC、SLA等）。 网络位置：接入或汇聚点, 互通的网络边缘

3、 。,3,4,1.信令、媒体NAT/FW穿越问题，地址不够问题,用户接入网络采用私网地址空间，传统NAT设备无法实现信令层的NAT穿越，实现内网用户与公网用户的通信； 软交换核心网络采用私网地址空间，可有效节省IP地址空间，实现拓扑隐藏的安全，但无法实现和公网用户的通信； 企业用户可能使用相同的私网地址空间，无法实现互通,NAT,Terminal,核心网,Intranet,Terminal,核心网络采用私网地址空间,用户驻地网采用私网地址空间,Intranet,Firewall,2.核心网安全如何保障？,黑客,Zombie,Zombie,Zombie,正常用户,怎么我没法打电话了？,我已经忙的

4、 喘不过气来啦,软交换核心网元直接对终端IAD/SIP电话/软终端可见，IP报文可以直达软交换等核心设备，容易受到各种攻击； 终端智能化倾向，终端的能力较强，软终端的使用导致在NGN网络中引入了许多IP网的固有安全问题，如DOS攻击等； 传统的防火墙设备无法防止信令层如SIP协议的攻击；,5,3.如何保证信令、媒体的QOS？,Terminal,核心网,Intranet,Terminal,终端和业务的多样化，对带宽和QoS的不同需求； 接入路由器设备无法区分信令和媒体，无法区分不同的NGN用户； 传统的防火墙设备无法完成更多针对性的信令安全防范：如各种信令攻击、各种流量控制等；,企业接入,运营商

5、接入,老了，这些攻击我没法防了！,业务多样化，需要区分信令、媒体和数据流量,6,4.如何防止业务、带宽盗用？,终端用户间可能不经过SoftSwitch 直接进行互通：比如先通过SoftSwitch得到对方号码对应的IP地址，然后直接呼叫该地址； 用户建立连接协商的带宽是64K，但实际可能使用超过这个带宽；,城域网,Internet用户,IAD,IAD,带宽盗用：没有带宽限制，可以多使用点带宽,业务盗用：终端始终是连通的，没有呼叫，也能够通信。,7,5.核心网如何互通，不同网络之间互通,核心网一般都部署在私网，但不同核心网之间存在着互通的需求； 不同核心网有相互拓扑隐藏的需求，避免潜在的攻击和风

6、险； 处于IPv4网络和IPv6网络边界； 处于RTSP域和SIP域的边界； 处于H.323域和SIP域的边界。,IMS/软交换 A,IMS/软交换 B,NGN 核心网 A,私网！公网！,NGN 核心网 B,8,9,部署的BAC主要有以下两项作用： 用户防火墙（FW）和地址转换设备（NAT）穿越，保持端口映射存活和进行应用消息地址的转换； 对核心网络的安全防护功能,BAC在网络中的位置,10,FW/NAT阻断业务的分析,地址转换设备包含只进行地址转换的NAT和同时进行地址和端口转换的PNAT，基于SIP协议的流程，NAT后用户如果直接和软交换通信，将出现无法注册、注册后无法呼叫等问题，这是由用

7、户应用消息地址不转换而引起的。,FW/NAT阻断业务的表现,在用户驻地网络与城域网之间一般都会部署FW/NAT设备，以确保用户网络的安全，但FW/NAT的使用阻止用户使用软交换业务，使FW/NAT后的用户无法正常与软交换设备通讯。,不进行地址转换的单纯防火墙对SIP业务的影响表现在当防火墙内用户一段时间没有通话后再发起呼叫或作为被叫时，软交换不能与用户通信，这是由端口映射过期而引起的。,11,FW/NAT阻断业务的分析,NAT设备在内部设备发送包后建立内部主机和外部地址的映射，映射的时间有限制，在一段时间没有检测到有包通过时，会拆除映射，之后外部主机发往这个内部主机的包会被丢弃，导致作为被叫的

8、用户无法进行接续，直到内部主机再次主动建立和外部主机的联系后，外部主机才能通过新的映射和内部主机联系,端口映射过期的阻断,12,FW/NAT阻断业务的分析,消息地址不转换的阻断,13,FW/NAT穿越的实现原理,1使用OPTIONS消息 BAC发送OPTIONS消息，需要终端回送200消息响应 2使用REGISTER消息 BAC修改软交换对用户REGISTER消息的 200 OK回应消息中过期时间要求，使得终端在较短的时间发送重注册消息，维持FW/NAT映射 3其他消息 BAC发送随意的UDP报文，发送内容为“hello”的UDP包，不要求用户响应,保持FW/NAT映射存活,为解决映射过期的问

9、题，需要有Keep alive消息维持NAT端口的映射，该功能可以由终端完成也可以由BAC完成。目前BAC实现Keep alive消息时有三种方式：,14,NGN和IMS BAC与终端心跳检测机制的区别,NGN网络中的BAC的心跳检测机制采用BAC主动下发对终端的Option消息进行，该消息主要承担两大功能： 功能1：BAC对终端发送option消息检测终端是否在线； 功能2：BAC通过主动发送option消息对NAT下的终端用户的NAT路径进行刷新； 功能1不区分NAT和非NAT用户，主要用于BAC的注册/呼叫数据区的防吊死等功能，删除已经不在线的终端，而对于功能2而言，实际上应该只有对NA

10、T下的用户才有作用。 正是由于功能1和功能2都由BAC主动发出，这会导致在实际运行中，由于部分NAT下的用户所需要较短的Option发送间隔来刷新路径NAT，结果却导致对大部分的非NAT用户也以同样较短的Option发送间隔来进行终端的在线检测。这就造成了对BAC性能的极大消耗。在各地的实际工程经验中，BAC的心跳option配置时长也是反复需要调整的。 IMS-BAC的心跳检测机制 在新版的中国电信的BAC技术规范中，其新的心跳检测机制采用终端主动发送Register消息，对于NAT下的用户其标准的expire时长为50秒，非NAT下用户其标准的expire时长为300秒，而在核心网侧的ex

11、pire时长为900秒。 IMS-BAC下的Option消息的作用 在IMS技术体制下，BAC主动发送对终端的option消息仅仅是用于对终端(不需区分NAT和非NAT)的在线检测，用于释放异常掉线或其他原因造成的非在线终端的数据区资源,通过采用新的心跳机制，相比较NGN-BAC，其用于心跳的性能消耗将获得一定程度的减少且更为精确,NGN-BAC的心跳检测机制,15,FW/NAT穿越的实现原理,网络1中的MG所有信令消息的目的地址都是BAC； BAC接收到信令消息后，如果是初始消息，根据信令的域名信息，建立信令地址映射表，然后使用BAC的软交换网络侧IP地址作为源地址，发送给软交换；如果不是初

12、始消息，BAC根据信令消息中的域名，查找信令地址映射表，进行IP地址变换，将消息发给软交换； 软交换将信令消息发送给BAC时，BAC根据信令消息中的域名信令，查找信令地址映射表，进行IP地址变换，然后将信令消息发送给MG； 对于包含媒体信息的信令消息，BAC将建立媒体地址映射表，并使用BAC的软交换网络侧IP替换消息中IP地址，然后发送给软交换SS,信令地址的转换,16,FW/NAT穿越的实现原理,当收到包含媒体信息的信令消息，BAC将建立媒体地址和端口的映射表，在BAC处分配一个外部端口和内部端口以映射外网的终端的媒体流和软交换网络的媒体流之间的关系 BAC将已经分配的端口替换SDP消息对R

13、TP接收端口的描述，再转发给软交换。 主叫SIP终端收到BAC设备发送过来含有远端SDP的信令消息后，根据SDP信息封装媒体包的目的IP地址和端口，以SIP终端的媒体地址和端口作为IP包的源地址，通过NAT进行源IP地址的转换后，根据目的IP地址最终路由到BAC。 BAC设备根据已经建立的地址映射关系表进行查询，将源IP地址和端口更换BAC为被叫用户分配的地址和端口，并将被叫用户自己分配的媒体IP地址和端口作为目的地址和端口，通过目的地址的路由，最终将媒体包送到被叫用户。,媒体地址的转换,17,地址转换流程实例,用户注册的地址转换流程,18,地址转换流程实例,用户侧做主叫时地址转换流程,19,

14、地址转换流程实例,用户侧做被叫时地址转换流程,Page 20,华为BAC,SE2600,SE2600的硬件配置图 SRU：主控板； LPU：接口板； SPU：业务处理板； SFU：交换网板；,21,中兴BAC,ZXUN B200-R04的后面板,ZXUN B200- A02的前面板,22,阿朗BAC,第一个子框中含有15对该板卡；系统扩容时，第二个子框中含有16对板卡 每对板卡支持用户数为13万（每用户忙时0.05Erl（90s）语音/0.01Erl（180s）视频，终端重注册周期5分钟，100%NAT穿越）,根据中国电信话务模型，满配单机框可支持48万用户音频用户（24000并发）或者100

15、万视频用户（10000并发）,23,ACME BAC,Net-Net 42501,Net-Net 45001 及ATCA blade1,Net-Net 92001,第一个报文,后续报文,会话智能负载均衡器,24,设备简介 组网要求 协议处理 业务功能 安全防护,汇报提纲,部署基本要求 对DNS的要求 IP承载要求 容灾组网要求,25,虚拟BAC基本使用原则:,BAC容量限制要求:,非信任用户接入，部署在用户侧或不可控小区楼道机房，主要通过Internet网络、移动PS域数据网、省城域网等接入,BAC接入范围：,BAC网络设置要求:,固网BAC接入：以本地网为单位部署 漫游BAC接入：统一通过省

16、会一对专用的漫游BAC接入,起设门限：10万注册用户 最大容量： 40万注册用户,1）SIP及H.248用户通过同一台BAC接入,2）IMS网络和原有NGN网络通过同一台BAC接入，建议尽量分开设置。,3）不同本地网同一台BAC，逻辑隔离。,BAC疏通媒体流要求:,1）BAC内部话务直接在BAC疏通，不通过CE转接 2）同城BAC间话务，通过CE转接。 3）长途BAC间话务通过CE、PE转接,组网要求-部署基本要求,26,组网要求-IP承载的要求,互联网SIP软终端通过城域网公网IP方式访问省中心BAC，由各省的163 DNS解析获取BAC地址，就近接入BAC簇。,通过CTWAP、CTNET等

17、方式接入的移动终端通过CDMA综合承载网络接入省中心BAC，由CN2 DNS解析得到BAC地址，就近接入BAC簇,EVDO软SIP终端互联网用户，经无线接入网接入，通过省层面PDSN进入CDMA P1-0 VPN，再经过省中心BAC接入，由CN2 DNS解析得到BAC地址，就近接入BAC簇，后汇聚接入IMS业务核心网；,非可信的固定用户硬终端，业务口/网管口均通过延伸网络 191 VPN 承载并终结在BAC。固定终端通过IMS终端管理平台或ITMS平台获得BAC域名，由省DNS解析BAC获得BAC地址，接入BAC。,各IMS终端访问BAC的IP接入方案,27,组网要求-对DNS的要求,BAC

18、域名统一命名为 ：BAC.CTCIMS.CN 移动漫游终端接入 互联网漫游终端接入,固定接入BAC对DNS域名的要求,BAC命名规则： xxxyy.地市拼音简写.归属网络域名 xxxx代表网元编号，为BAC yy代表设备的编号，当本地网有多个行政区时，编号应体现出本地的不同行政区域 地市拼音简写 归属网络域名：省份标签. ctcims. Cn 例如，杭州的行政区01的BAC标识为：bac01. hz. zj. ctcims. cn,漫游接入BAC对DNS域名的要求,不同接入类型对接入DNS域名的要求,28,组网要求-IP承载的要求,BAC IP分配要求,BAC 使用的IP承载网 VPN,CDM

19、A-P1-0 VPN:用于实现BAC与公网接入（例如ADSL、PON、3G/WLAN）的硬终端或者软终端之间的互通，IMS业务门户portal页面与用户之间的公网互通也通过该VPN承载,IMS CE的CDMA-P1-1 VPN：用于实现IMS系统与电信移动网增值业务之间的互通，CTWAP接入,CDMA-NGN VPN：用于实现IMS与移动软交换和固网软交换的互通,CDMA-NGN-MGNT VPN：用于实现IMS设备与网管系统的互通,191 VPN：在 MCE 网络和 CN2 部署，用来承载在城域网内固定接入的用户非可信终端产生的流量,以省为单位进行组网,为星型结构,29,组网要求-IP承载的

20、要求,BAC IP地址原则要求,互联网接入时，BAC对外IP地址要求,集团规划/24这段地址做为全网用于互联网接入的BAC对外业务地址,为保证安全性和路由最优引导，建议对外业务地址段分成两段，分别是/25和28/25；,信令地址和媒体地址合理分配，每半个C的前一半为信令地址，后一半为媒体地址。具体为/26 和28/26为信令地址 ， 4/26和92/26为媒体地址。,CTWAP接入时，BAC对外IP地址要求,集团规划10.235

21、.255.0/24这段地址做为全网用于互联网接入的BAC对外业务地址,细则同互联网接入,固定终端接入时，BAC对外IP地址要求,建议省内进行统一规划和分配，以本地网为单位进行分配IP地址,BAC IP就近选择,IP统一规划,对于PI-0和PI-1 VPN的BAC 对外业务地址由集团统一进 行规划和分 配，对于191 VPN的BAC对外业务地址由各省进行规划和分配，不同VPN内的BAC簇规划不同的对外业务地址,为实现全网漫游，各省投入使用的 BAC 对外业务地址应保持一致,30,组网要求-容灾的要求,同局点BAC容灾组网要求,同一个局点的两个BAC对外采用相同的业务IP地址,两个BAC之间要求进

22、行动态数据实时相互同步，主备倒换要求不影响业务的使用,同一个局点处于双机热备的两台设备，可采用热备份或负荷均衡的配置方式，当主用设备出现故障失效时，另外一台设备能实时接管业务，不需用户重新注册。,31,组网要求-容灾的要求,不局点BAC容灾组网要求,1+1互助组网单IP方式特点,1+1互助组网双IP方式特点,对同一个片区的不同局点配置相同的IP地址，两台设备之间进行容灾数据同步，当主用BAC故障失效时，用户无需重新发起注册，备用BAC实时接管业务。,对同一个片区的不同局点配置不同的IP地址，两台设备之间不进行容灾数据同步，当主用BAC故障失效时，用户根据备用BAC地址重新发起注册，备用BAC接

23、管业务。,32,组网要求-容灾的要求,不局点BAC容灾组网要求,推荐采用 双IP方式，理由：1）厂家对该功能的开发处于初期，功能存在一定风险； 2）承载网存在一定协议兼容性问题,容灾组网下接入网DNS的配置要求 1） 一次域名地址解析请求可以根据预定比例返回不同IP地址组合列表 2）指定的IP地址序列 或 自动随机生成的序列分配IP 地址,BAC与P-CFCS之间容灾要求 当P-CSCF为准POOL方式 （1） 在正常初始注册状态下，DNS返回给BAC的所有P-CSCF设备的主机名，采用相同优先级，BAC在返回的可用设备列表中根据权重随机选择一个P-CSCF设备。 （2）重注册或者呼叫状态时，

24、当BAC所选择的P-CSCF主机设备障失效，通过DNS的SRV查询实现按照一定比例将话务负荷分担到准POOL中的剩余其他设备。 （3）BAC放通从非用户注册的P-CSCF(接管P-CSCF)过来的呼叫，可通过信任列表进行配置放 通P-CSCF设备。 （4）BAC定时检测P-CSCF故障，确认故障后将用户的请求消息发送至可用P-CSCF,组网要求-容灾的要求,举例： DNS给IMS用户返回一对BAC的2个IP地址，首选IP1，次选IP2。但为了满足配对BAC之间负荷分担的目的，DNS对同一域名下内的用户根据采用轮循方式（第一次返回IP1,IP2.;第二次返回IP2,IP1.）。例如奇数解析域名B

25、AC 的用户返回IP1、IP2，偶数解析域名BAC 的用户返回IP2、IP1,33,设备简介 组网要求 协议处理 业务功能 安全防护,汇报提纲,NAT穿越 心跳检测 头域处理,35,NAT广泛存在于网络中，一方面是为了解决IP地址稀缺的问题，另一方面是为了安全的考虑。NAT的存在，使得NAT背后的IMS客户端具有一个私有IP，而这一私有IP从公网上是看不到的。,协议处理-NAT穿越说明,保持FW/NAT映射存活,BAC实现Keep alive消息时有两种方式： 1）使用REGISTER消息；2）使用UDP“hello”报文,信令NAT穿越,BAC探测NAT的存在 : 对比Register消息v

26、ia头中所包含的终端IP地址与SIP消息源IP地址,信令消息地址映射的实现： 1）静态端口方式 -BAC在核心网侧对所有的终端采用相同的IP+Port，BAC通过信令中携带的SIP用户相关信息或者H.248用户消息标识符进行终端的区分；,2）动态端口方式-BAC在核心网侧为每一个终端分配一个唯一的IP+Port，BAC内部通过该IP+Port对终端进行区分。BAC在核心网侧配置端口池，用户注册时，从端口池中分配空闲端口，用户注销时，将使用的端口归还到端口池中。,媒体RTP NAT穿越,BAC根据已经建立的映射关系修改媒体包的源IP地址、源端口和目的IP地址、源端口,实现穿越需要解决的问题,36

27、,针对对特定用户的NAT通道保活进行个性化配置，BAC可支持设置特定的通道保活心跳间隔 建议原则上现网媒体RTP NAT穿越的媒体代理方式主要采用媒体流全部通过BAC转发 BAC实施PPI（P-Preferred-Identity）消息头中的用户身份检查，对于未在BAC注册的用户发起的呼叫进行拦截 原则建议信令消息地址映射方式厂家解决方式不一，建议根据不同厂家建议方式实施。在技术成熟条件下，实施统一，优先推荐采用动态端口方式 根据现网实际情况，BAC允许本地配置SIP接入网信息，支持P-Access-Network-Info头域的插入 企业IP PBX接入IMS网络时，BAC优先采用通配代理注

28、册方式，,协议处理-NAT穿越要求,37,Register消息定时器时长要求：对于NAT下的用户其标准的expire时长为50秒，非NAT下用户其标准的expire时长为300秒，在核心网侧的expire时长为900秒。,基于SIP协议终端的心跳检测和NAT通道存活,IMS SIP终端与BAC之间的心跳检测和NAT通道保活，主要采用UE终端发送BAC发送REGISTER消息机制实现；,协议处理-SIP终端的心跳检测要求,华为BAC,阿朗BAC,最大注册用户数：20万,38,H.248终端和BAC之间主要有两种实现方式： 1）BAC发送的心跳消息； BAC主动控制在固定时间间隔内发起针对ROOT

29、终结点的空AuditValue消息作为心跳消息 2）H.248终端发送的心跳消息 H.248终端通过Notify心跳消息向BAC上报终端存活信息，BAC将H.248终端控制发起的心跳消息相隔一定时间转发给核心侧处理。,终端向BAC发送Notify消息的定时器时长要求：时长 300秒；BAC向核心网转发Notify消息的定时器时长要求：900分钟,协议处理-H.248终端的心跳检测要求,IMS H.248终端与BAC之间的心跳检测和NAT通道保活，主要采用H.248终端发送BAC发送Notify心跳消息机制实现； 理由：保持与SIP终端处理机制一致，由SIP终端依靠自身心跳机制检测到核心侧故障，

30、实现 容灾处理 BAC关闭向H.248终端发送心跳消息的功能，同时支持通过监测核心网AGCF向终端发的心跳消息的响应情况来检测终端的状态。,基于H.248协议终端的心跳检测,现网使用建议,39,中兴BAC 心跳性能计算公式,心跳处理性能CAPS = 非NAT用户占比 * BAC规划最大注册用户数 * 非NAT心跳消息次数 * 心跳消息会话折算系数 / 3600 + NAT用户占比 * BAC规划最大注册用户数 * NAT心跳消息次数 * 心跳消息会话折算系数 / 3600,心跳消息会话折算系数：0.05,中兴BAC最大CAPS为： 2400 caps,华为BAC 心跳性能计算公式,单个用户的心

31、跳业务BCHA= （每小时非NAT下用户的心跳次数 每小时NAT下用户的心跳次数 - 每小时重注册次数） * 心跳消息会话折算BCHA系数,SIP心跳消息会话折算系数：0.222，H.248心跳消息会话折算系数：0.01,华为BAC一对单板的最大BHCA为：2.24M,协议处理-心跳检测性能计算公式,40,阿朗 BAC 心跳性能计算公式,单个用户的心跳业务BCHA= （非NAT用户占比*BAC所需注册最大用户数 * 3600 / 非NAT心跳周期+ NAT用户占比* BAC所需注册最大用户数 * 3600 / NAT心跳周期 ）* 心跳消息会话折算BCHA系数,心跳消息会话折算系数：1 单板处

32、理心跳BCHA为：16,000,000BHCA,ACME BAC 心跳性能计算公式,单个用户的心跳业务BCHA= （每小时非NAT下用户的心跳次数 每小时NAT下用户的心跳次数 - 每小时重注册次数） * 心跳消息会话折算BCHA系数,心跳消息会话折算系数：0.58 单套NN4500 处理心跳BCHA为：基准消息速率2,100MPS,协议处理-心跳检测性能计算公式,41,协议处理-心跳对性能的影响,注册用户 50万容量计算，并发呼叫 3万； 不考虑容灾情况、业务功能应用、安全防护应用的情况下,说明,1）BAC支持统计NAT用户和非NAT注册用户的数量，及时给维护部门提供指标数据 2）在日常维护

33、中，密切关注NAT用户所占总用户数的比例,建议,42,BAC规范处理的范围： 1.对于SIP消息头，可处理Via头、Route头、Record-Route头、以及Contact头中的地址信息； 2.对于SDP，可处理o行,c行和m行的地址信息。 3.支持Service-Route头域、P-Access-Network-Info头域的处理。,协议处理-头域处理,SIP头域规范处理的要求,现网存在大量不同厂家的SIP终端及SIP PBX设备，为了满足这些设备与IMS网络之间在SIP消息的兼容性，主要通过BAC设备进行实施。建议现网可根据不同的需求灵活掌握BAC SIP头域消息规范化处理的实施方法。

34、 BAC针对PPI和FROM消息头不带有用户归属域名的呼叫消息实施规范化处理，将其规范为标准的SIP URI格式,现网实施的建议,BAC规范实施手段： 1.添加 2.删除 3.替换；,设备简介 组网要求 协议处理 业务功能 安全防护,汇报提纲,用户分组 媒体资源管理 接纳管理 I-BAC应用,44,具有相同的一个或多个业务处理要求的用户集合,当用户优先级不同时，需要对不同用户进行不同程度的注册、呼叫和带宽限制。对每个用户群，BAC分别设置并实施资源管理策略。对于特定用户群，BAC可设置其不受任何资源控制策略的限制。BAC可以对单个用户或者用户组群设置不同的接纳管理策略。,业务功能-用户分组,通

35、过虚拟BAC分组，实现对用户接入的区分,通过用户的IP源地址或用户号码，在BAC内部区分用户类别,将一个物理BAC虚拟为若个逻辑BAC个体，每台逻辑BAC均配置独立的接入侧IP+端口地址。不同的用户群体通过不同接入侧IP地址接入BAC，从而实现在逻辑个体上用户分组能力。易于实现过负荷保护。,所用用户通过相同的接入侧BAC IP地址后，在BAC通过用户的IP源地址或用户号码，将接入用户划分为若干个用户群，在用户群内制定不同的使用策略。,用户分组定义,45,业务功能-用户分组,现网BAC支持能力情况,使用建议,优先建议省内采用虚拟BAC分组实施，同时注意分组的划分尽量不要过多，建议设置23个虚拟用

36、户分组为宜,对于FTTX(H) POTS 终端用户接入（H.248协议接入）和IP PBX代理注册方式（SIP协议接入），则由于终端地址相对固定，可以根据接入用户的源IP地址段划分用户分组,根据用户号码、号码段划分用户分组将增加维护难度，不建议采用,理由：BAC容灾机制因素，设置过多虚拟用户分组，数据配置将过于复杂,46,业务功能-媒体资源管理,编解码检查功能,实施建议： 对所有用户组开启编解码功能，允许G.711、G.729、G.722、G.723、H.261、H.263编码；禁止其他编码格式,分析原因： MMTEL能够对用户业务权限进行审核，但是无法对合法业务中采用的编码格式进行审核。若用

37、户在其合法业务权限下（如语音业务），在信令协商时采用高码流的编解码，则会造成占用过多带宽资源。,编解码一致性检查,实施建议： 建议对BAC所有用户开启编解码一致性检查功能。,分析原因： IMS网络网元中，只有BAC同时有信令流和媒体流通过，上层网元（如CSCF、AS）无法感知用户实际使用的媒体流，因此要求BAC开启编解码一致性检查功能，将不匹配的媒体包和攻击包在底层丢弃，防止用户非法盗用媒体带宽。,消耗性能比大约占5%,47,业务功能-媒体资源管理,编解码转换功能,实施建议： 建议普通用户不开启编解码转换功能；而政企用户可根据实际情况需求，开启编解码转换功能。,使用案例： 应用场景：某政企用户

38、自建AG5200作为传统的固话网关，只支持G.729，而公网上的IM用户只支持G711编解码。,无媒体流检测功能,实施建议： 建议现网BAC不必开启无媒体流检测功能。,分析原因： 该功能开启后，需对RTP会话的老化时间进行设置，但存在一定局限。 1）由于某些 IMS业务的 特性，导致的短时间内无媒体流通过BAC。 2） 若RTP会话老化时间设置过短，将造成用户正常业务的中断。 3） RTP会话老化时间设置过长，期间仍对用户进行计费，无法提高对用户 计费的准确性,Page 48,业务功能-接纳管理,注册接纳控制：,呼叫接纳控制CAC（call admission control）子系统主要完成用

39、户的注册和呼叫的接纳控制，防止BAC设备/网络过载的重要手段，对保证语音业务质量和设备的可用性具有重要作用,单个用户注册速率的阀值要求,1）一般UE终端 1秒发送1次注册请求，可基本认为用户非法 2）1次注册请求为4个消息包,建议阀值范围： 4 pps 24 pps 之间取值 为宜,最大注册用户总数： 可为政企用户实施准入控制,用户组注册速率的阀值： 注册用户总数 * 单个用户注册速率阀值,48,49,业务功能-接纳管理,媒体带宽控制使用分析,- 普通个人客户,建议不启用，已在媒体资源管理中启用了“编解码检查”和“编解码一致性”，确保了个人客户合理使用带宽资源。,原则 建议不启用，可通过会话数

40、、编解码检查、编解码一致性等功能，确保合理使用带宽资源。,- 政企客户,呼叫接纳控制：,50,业务功能-接纳管理,单个用户最大呼叫频率的阀值,用户组会话数： 可 为 政企用户 设置 呼叫 并发次数控制,用户组呼叫频率： 分组用户总数 * 单个用户最大呼叫频率 可为 政企客户 控制呼叫话务量。,1）在时间范围内统计该用户的invite报文的接收/发送数量 2）可认为UE终端在1分钟内发送60次呼叫消息，判断为非法,建议阀值范围： 60 次/分钟 150 次 /分钟 之间取值 为宜,51,业务功能-接纳管理,CPU过负荷保护控制,使用建议： 设备高负荷情况下，不区分用户组优先级，统一按照四级个等级

41、进行话务控制： （1）CPU 70%时，丢弃20%的新注册消息； （2）CPU 80%时，丢弃60%的新注册消息； （3） CPU 90%时，丢弃 85%的新注册消息和发起呼叫消息； （4） CUP 95%时，丢弃100% 的新注册和发起呼叫消息；,分析原因： 实际运用中，区域停电比较常见，大量用户会发起重注册，BAC CUP负荷可瞬间上升 超过 50%。在第一级别设置上，原则尽量保护用户客户感知。,52,I-BAC分析,对于I-BAC则需要关注其接入SIP中继的机制和能力，I-BAC启用呼叫速率控制、呼叫并发数控制和呼叫带宽控制。 I-BAC的安全策略与A-BAC有所区别：I-BAC将对端网

42、络默认为白名单，无法区分较大的正常流量与非法信令攻击 I-BAC通过CAC对流量速率进行控制，此外更需要从管理层面进行安全约束,建议I-BAC与A-BAC分开部署,53,ZTE,ZTE BAC可以根据IP+PORT进行信令分组。 如果分组Ip地址不同,Port端口相同的话，一个物理端口上可以配置128个分组。 如果分组Ip地址相同,Port端口不同的话，一个物理端口上可以配置1024个分组。 对于不同IPPBX接入，BAC可以使用相同的IP+PORT 媒体地址可以只使用一个，但有容量限制,54,HW,HW BAC对应不同IPPBX必须分配不同IP地址：如接N个IPPBX，BAC上两个各需分配N

43、个IP地址，共计2N个。 不同IPPBX接入，BAC必须公布不同IP地址。 媒体、信令地址可以相同也可以不同。但是不同IPPBX接入，该地址必须唯一。,55,I-BAC组网方案主备方式,基于VRRP组网的BAC,IPPBX1为到达两个SS，需要在BAC1上设置两个分组，由IPPBX1轮选至软交换的两条路由。当BAC发生容灾时，IPPBX1通过BAC2的两条路由轮选,部分SIP中继的链路故障或I-BAC内部信令分组故障，如果主备设备之间的心跳正常的话，BAC不会倒换,为保证单个SS至IPPBX有两条路由，可以在BAC上增加分组,如果BAC不发生切换，由于IPPBX的SIP中继集中在主用BAC上，

44、仍可能发生IPPBX1全阻、IPPBX2正常的情况。,56,I-BAC组网方案负荷分担方式,负荷分担方式下，两个BAC地位对等，采用不同配置。,57,I-BAC组网方案负荷分担方式,每个IPPBX需要分别向两个BAC开设两条SIP中继，共计4条SIP中继。当一台 BAC上的部分或者全部分组上的SIP中继阻断，SS与IPPBX之间仍有SIP中继可达。,58,IPPBX非注册签约方式,方案简述：呼叫上报至Icscf、查询HSS；通过ICSCF的transit功能和非注册业务触发机制实现主叫和被叫业务触发；SCSCF根据特殊域名或接入码将呼叫路由至MGCF；MGCF根据被叫号码进行路由选择，所有呼叫

45、均经过IMS内部,ICSCF开启transit功能，对来自MGCF的呼叫，进行主叫业务信息查询。 HSS：增加IPPBX用户签约非注册业务的IFC； ENUM：配置IPPBX用户号码信息 DNS：配置用于PBX用户的归属域名 MMTEL：增加业务逻辑，用于SCSCF至MGCF的寻址；增加用户签约信息 添加域名 PBX1.SH.CTCIMS.CNMGCF1 PBX2.SH.CTCIMS.CNMGCF2 PBX.SH.CTCIMS.CN-用于轮询 MMTEL按现有流程完成计费 MGCF之间开设虚中继,59,IPPBX非注册签约方式（呼叫路由）,备注：Transit Function集成在I-CSC

46、F网元中，通过配置I-CSCF对特定地址上来的呼叫执行主叫路由便可以使IMS处理IP PABX主叫业务,60,业务签约方式表格说明,61,各网元分工明细,设备简介 组网要求 协议处理 业务功能 安全防护,汇报提纲,风险分析 IP 层防攻击 信令层防攻击 媒体层防攻击 案例,63,安全防护-风险分析,终端傻瓜化：简单，一般不具备复杂的功能 资源受控：网络对每个用户的资源使用严格控制(64K/128K等) 呼叫接纳控制：在大量用户同时使用网络的情况下，支持的用户数取决于网络的带宽 多级组网：整个网络由多级构成，存在接入层、汇聚层设备；一般出现问题时也只是影响局部用户，破坏力有限,传统网络破坏力度有

47、限,传统网络特点：,64,安全防护-风险分析,攻击易实施：IP网络特别是互联网中DOS/DDOS攻击易发生 终端智能化：软终端（PC/智能手机）使终端能主动/被动的对网络发动攻击，同时网络对终端的控制力也有所降低 互联IP化：接入者的身份不可控，用户的信息容易发生泄漏 资源不受控：比如一个语音终端可以使用超过128Kbps的流量 平面组网结构：在标准组织定义的架构里终端可以直接访问核心网网元（软交换/CSCF等），核心设备在IP网络易遭受攻击,能力越强，责任越大,互联网VoIP接入安全风险分析,65,安全防护-风险分析,目前普通的PC机（低到PENTIUM100的机器即可）每秒可以发出几万个数

48、据报文 通过修改，可以发送各种不同的IP报文；比如ICMP报文，SYN报文，端口扫描等 对于采用宽带接入的PC，一台PC足以构成严重危害,IP网络中DOS攻击非常容易实施！,一个100M的网口每秒钟可发送14万个64字节的报文,举例：IP网络中DOS攻击,66,安全防护-风险分析,举例：信令报文的DDOS攻击 分布式DOS攻击是一种更复杂的DOS攻击方式 服务器所受的攻击更严重 这种攻击在互联网上很容易出现,67,BAC安全防护,VoIP/IMS网络安全对BAC的关键需求 业务流穿越防火墙等安全设备需求 拓扑隐藏功能：核心设备对终端不直接可见 防范通常IP网络的攻击 防范DOS/DDOS攻击，

49、尤其是信令报文的DOS攻击，保证正常用户不受影响 媒体防火墙功能 畸形报文过滤功能 对终端资源进行限制：比如注册/呼叫速率，带宽控制等,68,安全防护-风险分析,IP层防攻击,69,安全防护-风险分析,业务层的安全威胁 管理面 维护设备的账户和密码泄漏 授权用户越权使用命令 信令面 非法使用业务 Dos/DDos攻击 畸形报文攻击 信息泄漏 媒体面 带宽/业务盗用 通讯内容泄漏,BAC安全功能与X.805的对应关系表,70,安全防护风险分析,BAC针对VoIP/IMS接入的分级安全架构,71,安全防护风险分析,特殊报文攻击 底层防火墙过滤socket过滤只对UDP、TCP等IP报文进行过滤，黑

50、白灰过滤只对UDP报文进行过滤，对于其他类型的IP报文，及非IP报文如arp报文等攻击，需要单独进行防护。以防止此类报文，对协议造成巨大攻击，影响正常业务应用,arp报文，由于非IP报文，socket端口过滤与黑白灰过滤无法防御，可以通过限速来控制arp风暴。 encrypt-data报文，由于传输层部分加密，无法获取源、目的port信息，该类报文socket端口过滤和黑白灰无法防御，通过速率限制来防止此类报文攻击。 icmp报文，跳过了socket端口过滤和黑白灰过滤，通过速率限制来防止此类攻击 snmp 为UDP报文，ssh，telnet为TCP报文，该类报文目的端口固定，目的端口会在so

51、cket端口过滤的端口掩码中开启此监听端口，该报文经过socket端口过滤后，直接上送，需要通过速率限制来防止此类报文攻击。 tcp报文，由于黑白灰过滤不会对于tcp类型用户过滤，因此只有通过速率限制来防止此类报文攻击。,72,安全防护风险分析,DOS攻击 某个用户（包括合法用户和非法用户）按照以较大的速率发送报文至BAC，以影响其他合法用户的正常使用。 由于单个用户发送报文速率较大，如果全部上送给协议进行处理，会导致CPU迅速升高，BAC正常用户的信令报文处理将收到影响 防御策略 1、灰白黑名单速率限制 灰名单速率限制主要用于防御非法用户DOS攻击。非法用户由于注册不成功，均以灰名单形式存在

52、，我们赋予灰名单一定的速率限制，如果在单位时间内，发包速率超过配置值，则会被加入黑名单进行阻塞一定时长。 白名单速率限制主要用于防御合法用户DOS攻击。合法用户，注册成功后将以白名单形式存在，与灰名单类似，我们赋予白名单一定的限制，在一定时间窗内，如果超速次数超过规定值，则会被加入黑名单进行阻塞一定时长。 2、畸形报文 对于非法报文 DOS攻击，可以配置畸形报文，即协议发现用户发送的信令报文不符合协议标准，在单位时间内发送畸形报文次数超过配置阀值，则认为是攻击源，进行下发黑名单进行阻塞,大约50% 的VoIP 欺诈 攻击用到暴力破解技术,暴力破解实际上是使用穷举法将密码进行逐个推算直到找出真正

53、的密码为止。 比如一个四位并且全部由数字组成其密码共有10000种组合，也就是说最多我们会尝试10000次才能找到真正的密码。 采用这种方式破解任何一个密码也都只是一个时间问题。 BAC在发现帐号在不停地尝试使用不同的密码登陆时，会将帐号锁定,安全防护风险分析,暴力破解类似于未注册用户的注册DOS攻击,74,安全防护风险分析,DDOS攻击 SIP注册雪崩 大量用户在短时间内同时发起注册，导致BAC瞬间收到大量注册消息，CPU迅速升至100%，许多用户由于注册失败而进行重传，导致BAC CPU占用率长时间持续100%，且部分用户始终无法注册成功 INVITE过负荷 在某些特殊情况下，如地震等灾害

54、突然来临时，短时间内大量用户同时拨打呼叫，CPU迅速升至100%，呼叫失败后，用户重新发起呼叫，触发呼叫雪崩，导致后续呼叫均无法接通 注册刷新过负荷 在某些特殊情况下，接入网突然断电，在较短的时间内重启，此时BAC链路检测没有删除用户，BAC上用户注册信息依然存在。重启后，大量用户发起注册，当然对于BAC来说为注册刷新或重注册。短时间内大量报文导致CPU迅速升至100%，部分用户注册刷新失败，导致重传，使得CPU持续100%，无法趋于收敛 未放号用户注册攻击 某些用户由于ss未放号，或是其他一些原因始终注册不成功，这些用户不停的向BAC发送注册或重注册消息，以影响其他合法用户的正常使用 主要通

55、过黑白灰名单和CPU话控来防御,75,安全防护性能影响测试,2400CAPS信令呼叫建立后，CPU基础值,ICMP攻击之后，CPU性能影响,对于非UDP的攻击，对处理网络分发的性能有12%影响，不会影响处理信令的CPU负荷 UDP报文类的攻击，BAC立即拉黑，表现为处理信令的CPU瞬间升高12，后立即回落，不影响正常业务,76,DDos 注册攻击，测试使用雪崩测试仪模拟出30多万用户以12500/秒进行注册，开始时网络处理CPU占用17 %； 信令处理CPU占用38%左右，而后灰名单生效，只会处理3000PPS，其余（9500）全部丢弃；而后96秒120秒内，灰名单内已有的用户再次注册，直接拉

56、黑-这3K个要等黑名单10分钟才能被BAC再次接收处理；头3K个拉黑后，继续生成新的灰名单，以此交替循环。 因此，CPU占用率呈如下分布：无论攻击量多大，只要超过灰名单的容量，多余灰名单容量的包直接丢弃，CPU的负荷集中在灰名单的生成上。基本上39万个攻击用户在2分钟后全部被处理进黑、灰名单，之后CPU趋为0（即所有的注册均被丢弃），等黑名单10分钟失效后，开始3K用户的注册。CPU呈现为0-38-0-38之间的波动（此为最恶劣情况，即没有成功注册） 该测试为BAC不向ss转发，直接由BAC回500消息，类似于：非注册用户发送非注册消息（如invite）的DDOS攻击，BAC回404（BAC也

57、可以不响应，开销将更小） 灰名单生成的CPU占用基本线性：阀值500时，单cpu峰值37%；阀值1K时，单CPU峰值74%,安全防护性能影响测试,77,媒体面流控下图为被攻击侧带宽占用显示：1000PPS为未开启流控；50PPS为开启流控。,安全防护性能影响测试,78,BAC能够有效的防御常见的IP层攻击（DOS、DDOS），不会影响信令处理性能 BAC能够有效防御UDP DOS攻击，且对性能无较大影响 对于DDOS攻击，BAC能够保证自身设备安全，但是势必影响正常业务 BAC对接入侧关闭ssh，telnet服务端口 黑白灰名单功能必须开启 媒体流控制功能建议开启，但会对业务有部分影响 IP层防御速率阀值建议按默认配置,安全防护性能影响测试,79,安全防护-IP层防护,隔离网络层攻击，BAC有抵御IP层攻击的能力，对于IP层的攻击，BAC能够进行识别、分类和适当的处理,启用“Socket底层过滤”功能,功能说明： 功能启用后，协议处理上层应用创建的socket下发至防火墙，底层防火墙socket过滤，对包的目的ip和目的port进行过滤,对BAC处理性能的影响,由