《dpi试点项目技术方案.ppt》由会员分享，可在线阅读，更多相关《dpi试点项目技术方案.ppt（23页珍藏版）》请在三一办公上搜索。
1、1,选择性流量监控试点技术方案,广东省电信有限公司研究院数据通信部,2,整体技术方案设备选择及配置IP地址分配方案TOP100用户选择,3,项目背景,07年集团项目的子课题目的在于探索城域网内用户流量监控设备（DPI）的集中部署手段，缓解城域网内大规模部署DPI的成本压力由于目前P2P应用没有位置感知功能，城域网穿越流量中约80%是P2P流量，对城域网出口造成较大压力P2P应用是目前的一个重要宽带应用，大规模打压P2P应用不可取在城域网内，大规模部署DPI系统进行P2P流量等控制，会造成一定的投资压力据不完全统计，5%的用户占用了98%的P2P流量通过对用户流量较大的用户进行选择性压制，可降低
2、城域网出口和内部局部链路的带宽压力,4,选择性流量监控方案概述,主要适用于ADSL拨号用户可提供业务P2P流量监控VOIP监控重点用户的监控&分析,拨号用户,BRAS/LAC,LNS,省RADIUS 服务器,DPI,出口路由器,VPDN隧道,策略下发通路,特定用户流量通路,ChinaNet,出口路由器,拨号用户,统计管理 服务器,统计数据、配置信息,逻辑框图,将部分监控用户以VPDN方式牵引集中到一台LNS，根据时长和流量分别选择TOP100的ADSL用户DPI对经过该LNS的流量进行监控分析,实现方式,5,流量牵引过程,在LAC上对“被监控用户”的域名“变换”，BAS根据新的域名把“被监控用
3、户”放入特定的L2TP隧道，把“被监控用户”的流量牵引到指定的LNS后通过DPI设备实现流量深度分析。,6,流量牵引过程描述,1、在后台根据时长及流量筛选出被监控用户，并找出这些用户对应的BRAS及端口（内外层VLAN）；2、在BRAS上手工配置“被监控用户”的子端口（根据其内外层VLAN），将“被监控用户”的账号域名（163.gd）”转换“为新的域名（dpi.gd）；（此转换只在本地有效）、BRAS根据新域名，建立到LNS的“特定”的L2TP隧道，并将“特定的被监控用户”引入隧道；、LNS终结特定用户的PPP连接，为被监控用户分配IP地址、被监控用户的流量通过LNS送至DPI进行深度报文分析
4、,7,需说明问题,LAC不对被监控用户的账号及密码进行验证（即不向大后台发送验证报文及计费报文）LNS不对被监控用户账号进行验证，只向大后台发送用户上网的计费报文，避免后台对被监控账号进行解绑定为解决由于LNS不对被监控用户账号验证导致后台不能向这些用户下发速率策略的问题，被监控用户账号统一引用LNS上的4M下行速率模板被选的TOP100用户基本为包月用户后台需增加季华SE800做为Radius Client,8,整体技术方案设备选择及配置IP地址分配方案TOP100用户选择,9,试点拓扑,省RADIUS 服务器,DPI,NE5000E,认证计费信息,ChinaNet,拨号用户,统计管理服务器
5、,统计数据、配置信息,拨号用户,ME60,SE800,ERX,ME60,亲仁,ERX,ME60,同济,南庄,季华,NE5000E,ERX,季华,61.145.65.239,61.145.65.149,61.145.65.238,61.145.65.131,61.145.65.240,61.145.65.130,10,试点工程所涉及设备,11,DPI设备连接拓扑,无源光分路合路器OptiSwap串接入待监控链路TMA-SSS和TMA-UA设备以尾纤和OptiSwap上的接口相连接。,12,设备配置模板ERX1440,、在所有的ERX上，配置aaa profile，设定域名转换方式,aaa pro
6、file domain-translate-配置域名变换aaa profiletranslate“163.gd”dpi.gd!aaa domain-map“dpi.gdip-router-name default ipv6-router-name default tunnel 1 address LNS_ip-指定LNS地址 source-address local_loopback_address-指定LAC的地址 password dpi123-隧道密码（需要与LNS配置一致）profile pppoe2vpdn 配置用户引用的profile ip unnumbered loopback
7、0 ip sa-validate ppp authentication pap ppp aaa-profile domain-translate引用域名变换aaa profile,2、端口配置：！以下命令中涉及的端口号、VLAN号、PVC号只是例子，实际操作时以被选用户账号对应的信息为准,Conf tNo interface gi12/0.10001001以实际被选用户对应端口为准Interface gi12/0.10001001 以实际被选用户对应端口为准Svlan id 1000 1001 以实际被选用户对应VLAN号为准svlan ethertype 8100pppoepppoe aut
8、o-configurepppoe profile any pppoe2vpdn-引用profilepppoe session 1Conf tNo interface atm 11/3.10080337 以实际被选用户对应端口为准interface atm 11/3.10080337 以实际被选用户对应PVC号为准 profile any pppoe2vpdn-引用profile auto-configure pppoe lockout-time none pvc 10080337 8/337 以实际被选用户对应PVC为准,(1)SVLAN：,(2)ATM：,13,设备配置模板ME60,、虚模板
9、：（可使用现网设备已有模板）,interface Virtual-Template1 ppp authentication-mode pap ppp mru 1100 tcp adjust-mss 10#,、用户接入接口：,interface GigabitEthernet x/x/x.x具体选择哪个接口请自行确定 pppoe-server bind Virtual-Template 1user-vlan xxx qinq xxx-具体的vlan id请自行确定；bas access-type layer2-subscriber default-domain authentication fo
10、rce dpi.gd,3、域名配置：,domain dpi.gd authentication-scheme default0 不认证 accounting-scheme default0 不计费 l2tp-group lac,4、L2TP配置：,l2tp-group lac undo tunnel authentication tunnel load-sharingtunnel password simple dpi123/配置隧道密码tunnel name lacwyl隧道名可以随意 start l2tp ip x.x.x.xlns的ip地址请自行确定tunnel source LoopB
11、ack 0 建立隧道使用的源地址为loopback 0接口地址 tunnel avp46-用于隧道两端强制加密认证#,14,设备配置模板SE800,、配置端口参数：,context local interface loop1 loopback ip address 1.1.1.1/32 以实际分配地址为准!interface ppp-sub multibind ip address 10.10.10.1/24以实际分配地址为准 ip pool 10.10.10.0/24以实际分配地址为准!interface toSR-1 ip address 202.105.1.2/24 指向SR的端口地址，
12、以实际分配地址为准!interface toSR-2 ip address 10.10.0.2/30 指向SR的端口地址，以实际分配地址为准,、用户模板配置：,、AAA配置：,aaa authentication subscriber none aaa accounting subscriber radius radius accounting server X.X.X.X encrypted-key X.X.X.X为大后台地址，为与大后台交互的密钥!radius server X.X.X.X encrypted-key X.X.X.X为大后台地址，为与大后台交互的密钥!radius max-
13、retries 2 radius timeout 30 radius algorithm round-robin radius accounting algorithm round-robin radius attribute nas-port-id format modified-agent-circuit-id,、路由配置：,subscriber default ip address pool qos policy policing 600k-policing 用户上行限制为K qos policy metering 4m-metering用户下行限制为4M,、L2TP配置：,l2tp-p
14、eer unnamed local 1.1.1.1 终结隧道的地址，以实际分配地址为准 session-auth chap pap context local function lns-only tunnel-auth key dpi123 隧道密码，与LAC保持一致,通过动态或静态配置，实现SE800与LAC、R、等的互联,15,设备配置模板SR12,、配置端口参数：,config port a/b/c(根据实际情况，这里a/b/c为槽位数字)description To-FS-XXX-XXX-XXX(根据命名规范，对该端口命名)ethernet no autonegotiate exit
15、no shutdown exitexit,、配置三层网关端口：,config router interface GEa/b/c(为端口命名，根据实际情况填写GEa/b/c)address xxx.yyy.zzz.www/vv(配置端口网关IP地址)port a/b/c exitexit,3、配置端口路由协议：,config router ospf area 0.0.0.1 interface GEa/b/c passive exitexit,4、配置静态路由：,config router static-route eee.fff.ggg.0/24 next-hop xxx.yyy.zzz.ww
16、v(根据实际端口IP地址，配置下一跳地址，即LNS的端口IP地址)exit,16,整体技术方案设备选择及配置IP地址分配方案TOP100用户选择,17,SE800相关的地址分配,IP Pool:116.5.34.0/24；Loopback地址:61.145.65.121/32SE800上连端口地址季华-亲仁链路：61.140.203.188/30季华-同济链路：61.142.203.192/30需在同济SR12、亲仁SR12与SE800相连的接口上做相应配置,季华SE800,DPI设备,亲仁SR12,同济SR12,需配置IP地址的端口,图例：,61.142.203.188/30,61.142.
17、203.192/30,18,DPI相关地址分配,TMA-SSS管理接口地址：121.9.217.50/28统计流量上传接口：121.9.217.51/28TMA-UA管理接口地址：121.9.217.52/28统计流量上传接口：121.9.217.53/28统计管理服务器Portal地址：121.9.217.54/28统计流量接收接口：121.9.217.55/28上述接口属于同一VLAN,DELL2950,TMA-SSS,TMA-UA,T64G,外部网络,配置管理信息链路,统计分析信息链路,配置IP地址的端口,图例：,19,整体技术方案设备选择及配置IP地址分配方案TOP100用户选择,20,TOP100用户的选择,在LAC/BRAS所覆盖的ADSL用户中，根据时长和流量分别选择TOP100用户佛山公司须通知营业厅暂不受理这些TOP100用户的差异化服务申请基于 时长的TOP100用户名单基于流量的TOP100用户名单,21,进度安排,8月中旬完成工程验收文档工程应于4月18号前完成安装和调试项目将于08年5月中旬结题，必须有一个月时间取数据，验证DPI效果等4月7号前完成集成方案文档,22,注意事项,23,谢谢!,
