XX电信7750BRAS业务实现配置-SROS90模板.doc

工 程 实 施 文 档XX电信7750BRAS业务实现配置The Configuration of Service in 7750BRAS of XX Telecom创新沟通方式，缔造多彩生活摘 要本文档旨在汇总XX电信7750BRAS在工程实施前期的技术勘察和技术配置，描述了7750BRAS与RADIUS互联互通的规范。给出了分公司基于技术勘察的7750BRAS初步配置；给出了7750BRAS的测试方案。基于实验室具体测试和实现方法，给出了XX电信基于7750BRAS业务实现的标准配置。提前规范好7750作为BRAS时的配置脚本，以便在工程实施阶段，能指导现场工程师快速进行7750BRAS的配置部署。本文档基于SR9.0软件关键词：XX电信；7750BRAS；技术勘察；配置实现The Configuration of Service in 7750BRAS of XX TelecomAbstractIn order to summarize the twice investigation of XX Telecom 7750BRAS and the configuration of service, this document has been written before the implementation of the project. It contains the following content: the interconnection between 7750BRAS and RADIUS, technical investigation and criterion of XX 7750BRAS sevice configuration, test program of 7750BRAS.According to this document, field engineers can quickly configure the service of XX 7750BRAS in the implementation of the project. Key Words：7750BRAS; Technical investigation; Configuration目 录摘 要IAbstractII1 7750BRAS业务实现配置技术框架12 XX电信宽带业务信息32.1 XX电信现网业务基本信息32.2 XX电信7750BRAS业务实现详细信息52.2.1 PPPOE方式接入的业务52.2.2 VPN业务72.2.3 静态LAN业务72.2.4 WLAN业务72.2.5 IPTV业务73 ASBXX分公司对于7750BRAS的基本配置93.1 ASBXX分公司7750BRAS测试方案93.1.1 路由测试93.1.2 PPPoE业务测试93.1.3 QoS测试93.1.4 安全与可靠性测试93.2 ASBXX分公司7750BRAS业务配置93.2.1用户管理策略配置93.2.2 DHCP地址池配置183.2.3 PPPoE业务接入配置193.2.4 VPRN业务配置203.2.5 LAN专线业务配置213.2.6 L2TP配置213.2.7 业务号分配223.3 本章小结224 ASB TSC对于XX电信7750BRAS的配置234.1 ASB TSC对XX电信7750BRAS业务分析234.2 ASB TSC对XX分公司7750BRAS基本配置分析234.3 ASB TSC对XX电信7750BRAS的配置234.3.1 某某业务配置234.3.2 某某业务配置234.4 本章小结23结 论24参 考 文 献25附录A 7750BRAS业务基本信息调研表26附录B 7750BRAS业务实现详细信息调研表28附录C XX电信Radius和7750BRAS业务配合需求29附录D XX电信7750 BRAS业务全配置30致 谢31作者简介321 7750BRAS业务实现配置技术框架7750BRAS作为新一代的宽带接入服务器，将作为中国电信宽带网络建设的主要设备。基于中国电信宽带接入服务器要求，图1给出了7750BRAS业务实现配置的技术框架，以指导在7750BRAS上实现中国电信各省、市宽带业务的具体配置。图1 7750BRAS业务实现配置技术框架Fig. 1 The framework of service realization of 7750BRAS图1中上海贝尔股份有限公司在下文中简称ASB。图1中上海贝尔股份有限公司数据产品技术支持中心在下文中简称为TSC。由于7750BRAS作为宽带接入设备，网络地位处于汇聚层和下联设备之间，所以业务的配置具有明显的对立性和复杂性，且具有上一次业务配置影响到下一次扩容/割接的风险。根据图1给出的技术配置实现框架，通过两次业务调研、两次业务配置和一次业务实现验证，将降低不同业务配置交叉影响的风险，为后续工程实施带来极大的便利。根据技术配置实现框架，两次业务调研主要目的是：第一次：见附录A。用于了解用户现网已经部署的各种业务的基本信息。第二次：见附录B。用于了解用户现网业务的具体详细信息，及7750BRAS需要实现的业务。主要涉及四个部分：现网业务网络拓扑图；现网业务实现逻辑；现网业务RADIUS实现机理；现网业务已有的业务实现文档。基于前两场调研，整理出RADIUS和7750 BRAS业务配合需求文档，并提交给电信/Radius厂商进行配合修改。见附录C。根据技术配置实现框架，两次业务配置和一次业务实现验证的主要目的是：第一次：各分公司生成业务配置。现场工程师基于现网的业务配置就某种新开或割接业务生成7750BRAS配置；锻炼新业务的配置能力。第二次：TSC业务配置审核。检查分公司生成的业务配置是否存在纰漏；为实验室新业务配置进行准备。业务实现验证是TSC最终汇总出某种业务的数据配置/基本流程，以指导分公司大规模部署业务。2 XX电信宽带业务信息此次XX电信宽带业务调研信息共计两个部分，第一部分为现网业务基本信息，第二部分为7750BRAS承担业务的详细信息。2.1 XX电信现网业务基本信息XX电信现网宽带业务基本信息见表2.1。表2.1 XX电信现网宽带业务基本信息Tab. 2.1 The basic information of broad band service of XX Telecom填写日期： 年 月 日基本信息客户名称电信 移动 联通 其它 客户区域 XX 省 XX 市建设类型新建/补点板卡扩容 替换部署方式新增 7750SR升级/改造区域联系CAT SS BP CCD 网络信息接入类型（下挂2层网络类型）DSLAM PON 以太网 其它 VLAN类型每用户/VLAN 每业务/VLAN 每接入设备/VLAN 每用户每业务/VLAN外层VLAN无 代表接入设备 代表业务 代表其它 内层VLAN标识用户 连接方式无LAG 普通LAG 跨板卡LAG 跨机箱LAG业务承载使用VPN 不使用VPNRADIUS信息系统厂商亚信 联创 亿迅 华为 其它 YY 部署模式全省集中 省市两级（地市作为代理） 其它 省市两级（分别用作不同类型用户的认证）分类认证无 不同业务分在不同服务器上认证业务信息业务用途PPPoE PPPoA IPoE/DHCP VPN 其它宽带上网计费方式后付费 包月预付费，预付费控制方式：Session-Timeout和Disconnect相结合的方式。在线用户预付控制BAS本地按时长控制 BAS本地按流量控制由RADIUS向BAS发送断线消息计费依据时长 流量 其它帐号控制端口绑定 可跨端口使用 可在同一端口并发使用 可跨端口并发使用绑定依据Nas-Identifier Nas-IP-Address Nas-PortNas-Port-Id Calling-Station-Id Circuit-Id其它1 其它2 QoS控制上行带宽种类 下行带宽种类 每用户队列数： 1个 2个 多个，其他 授权变更在线带宽调整/CoA： 需要不需要CoA/DM定位用户session：NAS-Port-ID+Frame-IP-Address Acct-Session-IDCoA时Acct-session-id是否需要变化：是 否最长在线不限制 包月用户无限制NAT转换不需要 需要 其它要求请描述：IPTV用户数量无要求 整机IPTV用户数不少于 IPTV业务处于测试阶段，暂时不能预知用户数量 分发方式单播 组播认证方式PPPoE 静态IP地址IPoE（DHCP），DHCP用户名格式IP地址BAS分配 DHCP服务器分配 静态配置L2TP设备用途无L2TP LAC LNS LTSTunnel建立方式动态 静态WLAN认证方式无WLAN PPPoE 网页 其它 是否和PPPoE业务混合下联端口是 否补充业务和特殊要求固定IP无 BAS分配 RADIUS分配 其它特殊ACL无 对某些业务需要提供特殊的ACL首页推送需要 不需要主备冗余跨机箱用户会话保护： 热备份 冷备份 IPv6用户无 IPv4/IPv6双栈 其它公共账号是 否中间计费报文是 否准确计费间隔：是 否7750下挂3层网络是 否7750是否做DHCP relay：是 否其它业务需求大客户接入方式请描述：无请描述：无请描述：无2.2 XX电信7750BRAS业务实现详细信息2.2.1 PPPOE方式接入的业务一、通过PPPOE方式接入的业务类型普通PPPOE宽带拨号业务，帐号为数字与字母的组合，不携带域名，用户到RADIUS认证，用户地址在BAS上配置的拨号地址池中获取；IPTV业务，在目前的网络规划中，帐号采用Gsitviptv公共帐号，用户到RADIUS认证，用户地址在BAS上配置的IPTV地址池中获取；统计、工商业务，帐号携带tongj或者gongshang域名，用户到RADIUS认证，用户地址是在BAS上配置的统计地址池中获取；L2TP业务中的绿网业务，帐号形式同普通宽带帐号相同，用户到RADIUS认证，由RADIUS侧根据帐号来识别绿网业务，下发隧道参数；其他如体彩、福彩等L2TP业务，帐号携带如fucai5 ticai等相应的域名，用户在7750BAS本地认证，不需要到局方RADIUS去认证。二、接入类型和VLAN类型PPPOE拨号用户通过DSLAM、PON、小区交换机等接入层设备接入；封装的VLAN类型有Qinq和Dot1q两种，VLAN的分配按照每用户/每业务/每VLAN的原则，其中外层VLAN代表接入设备，内层VLAN用来标识用户和业务类型。（在目前兰州电信的网络规划中，PPPOE接入的VLAN绝大多数是QINQ形式，在7750BRAS上，针对PPPOE为双层VLAN接入的，通过创建动态SAP的方式实现，单层VLAN和部分特殊应用条件需使用配置静态SAP的方式实现。）三、宽带上网用户的帐号控制后台系统使用拨号用户的NAS-Port-ID和Calling-station-ID（Calling-Station-ID放用户终端MAC地址）两个属性实现用户的端口绑定；用户第一次上线时，后台认证系统记录该用户的NAS-Port-ID、Call-station-ID、用户名等信息，当用户再次上线时，后台系统将验证用户的这些信息与系统已记录的信息是否匹配；同一用户账号下最多接入4个终端，接入终端的数量由RADIUS控制实现；禁止跨用户接入，跨设备共用。（在7750BRAS配置的认证策略中，向RADIUS上送NAS-Port-ID、Calling-station-ID属性，用于拨号用户的端口绑定；同一用户账号下接入的终端数量，由RADIUS控制实现，在RADIUS上有一个用户最大会话数的参数，通过对这个参数设置来控制同一用户名下的会话数。用户拨号，在RADIUS服务器上进行认证时，RADIUS计数该用户的会话数量并与系统中为该用户配置的最大会话数比较，若该用户名下的会话数已达到为该用户设置的最大会话数限制，则认证不通过，拒绝该用户该会话的接入。）四、宽带上网用户的计费和授权认证宽带上网用户的计费方式主要有包月、包年方式；另外也有预付费用户，计费方式为Session-Timeout和Disconnect相结合的方式，RADIUS给用户下发Session-Timeout属性，当在线时长到时后，只要由7750BAS下线用户，另外RADIUS也可给7750BAS发送断线消息，下线用户。（7750BRAS上送标准计费报文给RADIUS，由RADIUS来区分不同用户付费类型。）普通宽带用户的认证计费，通过统一的AAA平台实现；针对校园用户，需要送到特定的后台系统认证，这部分用户拨号时使用的用户名不带域名，通过指定的BRAS端口接入，需要BRAS根据接入端口将用户的信息送到特定的后台系统进行认证计费。（针对校园用户，在7750BRAS上配置单独的认证策略，并在相应的静态SAP点上引用。）要求BRAS支持用户以不认证不计费的方式上网使用业务，以此来作为RADIUS后台故障的应急方案。（在7750BRAS的认证策略中配置接受fallback-action，在RADIUS服务器故障时容许免认证免计费上网。）用户带宽的控制，由RADIUS下发速率模板号匹配BRAS本地配置的速率模板来实现；现网用户的上行速率默认为4M，BRAS只需要针对下行做限速模板。（在7750BRAS上配置需要的速率模板，RADIUS根据用户定制的业务下发对应的速率模板名称，BRAS根据RADIUS下发的模板号匹配到本地配置的速率模板，并将其应用到该用户对应的SAP点上。）用户的下线控制，由RADIUS主动踢用户下线，通过给BRAS下发Frame-ip-address，Nas-port-id ，三个属性来实现。（在7750BRAS的认证策略配置中，支持接受COA请求。）基于SR9.0R5的新功能-自动生成subscriber-id，推荐Radius不再将user-name作为subscriber-id返回给7750 BRAS。同时7750也能通过9.0的新命令(show service id xxx ppp session)在设备上查看拨号用户user-name，便于维护。五、宽带上网用户的其他需求PPPoE用户有首页（欢迎页面或其他业务推广页面）推送的需要，推送方式为一次性页面推送，10s后自动转回用户正常的请求网站。（此功能需要中间件的配合实现。）针对一些特定的用户进行访问控制，目前了解到的主要是针对一些证卷用户。（在7750BRAS上，为这部分用户配置的速率模板中，绑定相应的访问控制列表，由RADIUS下发此速率模板号同7750的本地配置的速率模板匹配，并应用到用户的SAP点上。）现网暂时没有在线授权变更和NAT转换的需求。需要使用NAS-PORT属性，后台使用该信息对会话数进行统计和限制。（目前在兰州电信的业务实现中，7750BAS可以不上送该属性，不影响RADIUS侧以上功能的实现。）2.2.2 VPN业务一、三层VPRN业务在BRAS上起VPN实例，配置网关和地址段，用户端通过DSL或者LAN接入，配置分配的IP地址，接入专网，使用专网业务。（7750BRAS上，配置VPRN实例，关联网关和地址段，关联SAP。）二、二层VPRN业务二层VPN业务中，BRAS有作为LAC的应用，没有LNS业务。（7750做LAC时，需要上行到LNS的IOM板卡类型为IOM3；由RADIUS返回Tunnel的全部参数或者在Tunnel静态配置时，RADIUS必须返回Alc-Tunnel-Group属性。）2.2.3 静态LAN业务目前BRAS上承载的静态LAN业务主要有网吧和大用户业务，另外网络设备的管理也是通过这种方式实现。（在7750上，配置Static-host；对于部分vlan对应整个网段的用户，可配置Interface，并关联对应网段和SAP。）BRAS上划分特定的子接口用于接入静态LAN业务，BRAS上起三层网关，用户通过LAN或者DSL接入，用户侧静态配置局方分配的IP地址和网关。汇聚交换机、小区交换机、DSLAM、OLT、ONU等网络设备的管理，也是由静态LAN的这种业务方式实现。针对不同的网络设备类型，设置不同的子接口，起相应的地址段，网络设备配置相应的管理地址和网关地址。2.2.4 WLAN业务局方WLAN业务的网络部署形式有以下两种：AP集中管理，AC下挂在指定局点的BAS下，其他BAS下挂的WLAN业务在BAS上只需要配置AP的管理，业务地址通过AP与AC之间建立的隧道，到下挂AC的BAS上获取；AC下挂在7750BAS下，需要在7750上定义WLAN业务地址池，并且配置实现PORTAL页面推送。（WLAN的网页认证推送需要通过中间件来实现。）2.2.5 IPTV业务IPTV业务，在目前的业务中，接入方式有PPPOE方式和静态IP方式，其中静态IP方式在7750上同静态LAN业务的实现方式相同，只需要负责将IPTV用户接入城域网，具体的IPTV业务的帐号认证、认证服务器地址配置等在用户端的机顶盒上配置实现。目前数据的分发采用单播方式。PPPOE方式接入的IPTV用户，需要在Radius上进行认证，所使用认证服务器与宽带业务使用的认证服务器相同；用户现网的实现方法是，使用公共帐号Gsitviptv拨号，根据用户名匹配到具体的域，并且到IPTV对应的域中获取地址。（在7750BRAS上，使用动态SAP创建时，可以将IPTV业务和PPPOE业务配置在同一个Group-inteface下，在Local-user-db中，为IPTV业务配置对应的域名，绑定对应的IPTV地址池，索引IPTV用户;创建Default用户组，用于索引所有的PPPOE宽带业务，这种应用配置要求使用同一个认证策略；使用静态sap点创建时，可以通过Local-user-db匹配不同域名来使用不同RADIUS服务器进行认证。）XX电信的IPTV业务目前处于业务的内部测试和试商用阶段，用户数量暂时无法预知。3 ASBXX分公司对于7750BRAS的基本配置基于两次调研，根据XX电信要求，需要在实验室先进行业务测试。测试目的是为了验证7750BRAS应用的基本功能；验证7750BRAS应用的各种业务承载功能；验证7750BRAS应用链路冗余保护功能；验证7750BRAS应用参与现网业务运行的稳定性能力。3.1 ASBXX分公司7750BRAS测试方案3.1.1 路由测试3.1.2 PPPoE业务测试3.1.3 QoS测试3.1.4 安全与可靠性测试3.2 ASBXX分公司7750BRAS业务配置3.2.1用户管理策略配置一、 PPPOE认证策略配置： authentication-policy auth-policy-pppoe1 create radius-authentication-server access-algorithm round-robin /RADIUS认证服务器，实现负载分担的方式 fallback-action accept /RADIUS不可达时，容许免认证。 source-address 61.178.255.98 server 1 address 61.178.0.110 secret test225 port 1812 server 2 address 202.100.64.35 secret test225 port 1812 server 3 address 61.178.0.113 secret test225 port 1812 coa-only server 4 address 202.100.64.1 secret test225 port 1812 coa-only server 5 address 61.178.0.111 secret testing123 port 3799 coa-only server 6 address 61.178.0.112 secret testing123 port 3799 coa-only exit accept-authorization-change pppoe-access-method pap-chap include-radius-attribute circuit-id remote-id nas-port-id prefix-string HSI- suffix circuit-id nas-port-type 15 pppoe-service-name access-loop-options mac-address calling-station-id mac exitexit其中服务器1、2为RADIUS服务器，负责对用户的认证授权；3、4为中间件，5、6为局方发送断线消息的服务器，这四台服务器只允许接收COA消息。二、 WLAN认证策略配置： authentication-policy auth-policy-wlan create radius-authentication-server fallback-action accept source-address 61.178.255.98 server 1 address 61.178.0.113 secret test225 port 2645 server 2 address 202.100.64.1 secret test225 port 2645 exit accept-authorization-change pppoe-access-method pap-chap include-radius-attribute circuit-id remote-id nas-port-id prefix-string wifi- suffix circuit-id nas-identifier nas-port-type 18 pppoe-service-name dhcp-vendor-class-id access-loop-options mac-address calling-station-id mac exit exit三、PPPOE计费策略配置： radius-accounting-policy acct-policy-pppoe1 create update-interval 180 include-radius-attribute calling-station-id mac circuit-id framed-ip-addr framed-ip-netmask mac-address nas-identifier nas-port-id prefix-string HSI- suffix circuit-id nas-port-type 15 remote-id sla-profile sub-profile subscriber-id user-name exit session-id-format number use-std-acct-attributes radius-accounting-server access-algorithm round-robin timeout 10 source-address 61.178.255.98 server 1 address 61.178.0.110 secret test225 port 1813 server 2 address 202.100.64.35 secret test225 port 1813 exit exit四、用于PPPOE广告页面推送的计费策略配置： radius-accounting-policy acct-pppoe-redirect create description For-pppoe-redirect-url update-interval 180 include-radius-attribute calling-station-id mac circuit-id framed-ip-addr framed-ip-netmask mac-address nas-identifier nas-port-id prefix-string HSI- suffix circuit-id nas-port-type 15 remote-id sla-profile sub-profile subscriber-id user-name exit session-id-format number use-std-acct-attributes radius-accounting-server timeout 10 source-address 61.178.255.98 server 1 address 61.178.0.113 secret test225 port 1813 server 2 address 202.100.64.1 secret test225 port 1813 server 3 address 202.100.64.35 secret test225 port 1813 server 4 address 61.178.0.110 secret test225 port 1813 exit exit配置的服务器1、2为中间件，由用户的计费开始报文触发中间件下发用于广告页面推送的速率模板；服务器3、4为RADIUS服务器，以防当中间件故障时，不进行广告页面推送，但是用户可将计费报文发送到RADIUS服务器进行计费。四、用于WLAN认证页面推送的计费策略配置： radius-accounting-policy acct-wlan-red create description For-wlan-redirect-portal update-interval 120 include-radius-attribute calling-station-id mac circuit-id framed-ip-addr framed-ip-netmask mac-address nas-identifier nas-port-id prefix-string HSI- suffix circuit-id nas-port-type 18 remote-id sla-profile sub-profile subscriber-id user-name exit session-id-format number use-std-acct-attributes radius-accounting-server timeout 10 source-address 61.178.255.98 server 1 address 61.178.0.113 secret test225 port 2646 server 2 address 202.100.64.1 secret test225 port 2646 exit exit三、速率模板配置： 中间件下发的用于wlan认证页面推送的速率模板：sla-profile alc-wlan-portal create ingress qos 4096 exit ip-filter 2100 exit egress qos 4096 exit exit exitwlan用户认证通过后，中间件下发的正常的速率模板： sla-profile alc-wlan-www create ingress qos 4096 exit exit egress qos 4096 exit exit exit中间件下发的用于广告页面推送的速率模板： sla-profile sla-pppoe-red create ingress qos 4096 exit ip-filter 2000 exit egress qos 4096 exit exitexit2M速率模板：sla-profile sla-prof-2M create ingress qos 2048 exit exit egress qos 2048 exit exit exit四、计费模板配置： 用于WLAN认证页面推送的计费策略：sub-profile alc-wlan create radius-accounting-policy acct-wlan-red exit 用于PPPOE业务广告页面推送的计费策略：sub-profile sub-pppoe-red create radius-accounting-policy acct-pppoe-redirect exit 正常的PPPOE业务计费策略：sub-profile sub-prof-pppoe1 create radius-accounting-policy acct-policy-pppoe1 exit五、用户识别策略配置：采用RADIUS下发的速率模板和计费策略名到7750本地进行匹配的方式。sub-ident-policy sub-ident-pppoe1 create sub-profile-map use-direct-map-as-default exit sla-profile-map use-direct-map-as-default exit exit六、PPPOE策略配置： ppp-policy pppoe-policy-1 create keepalive 10 hold-up-multiplier 3 max-sessions-per-mac 10 ppp-authentication pap reject-disabled-ncp /拒绝IPV6用户的拨号请求 exit七、Msap-policy配置： msap-policy msap-pppoe create sub-sla-mgmt def-sub-profile sub-prof-pppoe1 def-sla-profile sla-prof-10M sub-ident-policy sub-ident-ply1 multi-sub-sap limit 32767 single-sub-parameters profiled-traffic-only exit exit exit八、本地用户数据库配置： 用于拨号用户地址分配的本地用户数据库： local-user-db user-db-address-alloc create ppp match-list username host iptv create host-identification username iptv domain-only exit auth-policy auth-policy-pppoe1 address pool pool-iptv-1 password ignore no shutdown exit host tongji create host-identification username tongj domain-only exit auth-policy auth-policy-pppoe1 address pool pool-tongji-1 password ignore no shutdown exit host gongshang create host-identification username gongshang domain-only exit auth-policy auth-policy-pppoe1 address pool pool-tongji-1 password ignore no shutdown exit host default create auth-policy auth-policy-pppoe1 address pool YZ_PPPoE_Pool no shutdown exit exit no shutdown exitexit 用于拨号用户进行预认证的本地用户数据库，在XX电信的业务实现中，针对每个BAS接口定义一个本地用户数据库，不同的本地用户数据库对于subscriber-id进行区分配置，用于解决7750BAS不允许相同的用户名从不同的BAS接口上来。（XX电信的IPTV业务中，使用公共帐号Gsitviptv）可以统一使用一个user-db，在user-db中，host不配置subscriber，由7750自动生成subscriber-id。（前提是radius不再返回subscriber-id给7750） local-user-db user-db-pre-auth-1 create ppp match-list username host zq create host-identification username zq domain-only /用户预认证时，只识别域名 exit password ignore identification-strings 254 create sla-profile-string sla-prof-nM sub-profile-string sub-prof-l2tp exit l2tp group zq /引用L2TP组名 exit no shutdown exit host dzbs create host-identification username dzbs domain-only exit password ignore identification-strings 254 create sla-profile-string sla-prof-nM sub-profile-string sub-prof-l2tp exit l2tp group dzbs exit no shutdown exit host iptv create host-identification username iptv domain-only exit auth-policy auth-policy-pppoe1 address pool pool-iptv-1 password ignore identification-strings 254 create sla-profile-string sla-prof-10M