(最新)ftth模式下bac安全组网研究

《(最新)ftth模式下bac安全组网研究》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、2012-07-13################2012-07-13#######2#012-07-13########张朝武（中国电信温州分公司温州325000）1引言随着PON（PassiveOpticalNetwork，无源光网络）技术的发展，加上三网融合的竞争趋势，运营商加快了光进铜退的步伐，把FTTH（FiberToTheHome，光纤到户）作为用户接入的最终方式。FTTH用户的话音是通过城域网接入到软交换网络来实现的，为保证软交换网络的安全，需要在核心网和城域网之间放置BAC（BorderAccess

2、Controller，边缘接入控制设备），作为软交换网络和外部网络的隔离设备。引入BAC设备之后，用户看到的软交换设备就是BAC，软交换看到的用户端即为BAC，用户和软交换网络不直接互通，而是通过BAC来代理，保证了网络的安全性。随着FTTH用户的大量部署，整个网络面临着新的安全问题。首先，引入新的设备BAC后，BAC设备本身可能成为一个故障点，需要考虑BAC的容灾备份机制以及BAC设备与软交换对接方案。其次，采用FTTH模式意味着每个用户都是一个小型的网关设备，这种小型网关和BAC之间大量的交互消息将严重影响BAC

3、的挂接能力。因此需要研究FTTH2FTTH模式下BAC存在的安全问题在软交换网络开通初期，话音用户一般是通过大中型的AG（AccessGateway，接入网关）接入的，所有的设备都接入软交换专用的VPN中，软交换网络与用户网络是隔绝的。只有少量在公网上的用户通过BAC接入软交换作为试点。作为边缘汇聚设备的BAC，在软交换网络开通后并没有大规模的用户挂接，各设备提供商也没有投入足够的研发资源，造成BAC的能力不足，并随着FTTH用户规模的扩大而显示出其安全隐患。归纳起来主要有以下几点。（1）BAC作为边缘接入设备在软交

4、换组网中并没有大规模、大话务量的实际应用，因此，其组网方案和单个BAC的挂接能力有待进一步验证。BAC性能的关键在于CPU处理数据分组的能力，目前各种型号BAC的挂接能力都是根据AG这样的大型网关的话务模型来得出的，并不适合FTTH模式的网关，因此需要建立新的话务模型。我们根据目前实际应用情况进行测算，FTTH模式下，BAC的挂接能力只相当于挂接AG的能力的十分之一。当FTTH网络大量部署的时候，BAC设备本身就成为重大安全隐患。2012-07模-式1下3B#A#C#的#安#全#组#网##问#题#。#####2012

5、-07-1（32）#随#着#网#络#的#进#一2#0步1演2进-，将0来7用-户1会3#通#过#城#####摘要FTTH终端一般为非信任终端，需要经过边缘接入控制设备BAC来接入软交换话音网络。本文通过分析在FTTH模式下BAC目前存在的安全问题，提出了BAC的安全组网方案。关键词FTTH边缘接入控制设备组网方案域网接入到软交换，这些不可信任终端都需要通过BAC接入到软交换，而现网上较成熟的BAC设备的能力指标尚处于5万容量、同时5千用户通话的级别，与将来大规模用户的挂接需求相去甚远。因此需要设计多个BAC的组网方式

6、或者采用大容量的BAC设备。（3）目前的BAC设备由制造商在数通设备的基础上改造而来，数据网络尽力而为的技术特点不能适应话音业务的组网需求。如在用户接入规模不断扩大、BAC的CPU占用率不断升高的情况下，仍会允许新的网关注册请求，最终导致资源耗尽而瘫痪。因此需要对现网的BAC设备进行相应的改造升级，完善设备的流控机制和CPU高负荷情况下的自我保护功能。（4）FTTH接入方式最大的特点是网关设备由大中型变为只带1、2个话音用户的小型终端，用户的增长带来了大量的小型话音网关的增长。这种小型网关的注册和心跳消息的大量交互，

7、占用了大量的BAC资源，使得BAC处理通话的资源占比下降，影响了BAC的挂接能力。甚至这种网关的注册和心跳消息直接对BAC造成冲击。主用，另一台为备用态。当主用BAC出现故障时，该协议使备用的BAC设备接替原主用BAC的功能。但传统的VRRP存在缺陷，无法保证同一BAC上各接口的VRRP状态都为主用或都为备用，可能导致媒体信令的连接地址前后向不一致而无法接续。因此需要对VRRP协议作适当的改进。同时应避免因BAC处理能力不足而导致的设备瘫痪，否则切换到备用BAC后将导致备用BAC也无法处理。②网关设备设置双归属到BA

8、C。每个FTTH网关都设置2个到软交换的注册IP地址（由BAC代理），分别作为首选和次选注册地址。当主用BAC故障时，FTTH可以自动切换到次选BAC与软交换互通。多个BAC进行分散设置。这样，经过统一规划，可以对多台BAC进行负荷分担，解决了由于单台BAC故障导致该BAC下的所有用户无法注册到软交换的问题。此种方式需要终端设备支持双上联注册的