基于IPOE技术实现IP城域网宽带用户接入

点： （１）初期由于业务量较小，与固网ＩＰ城域网相比，移
动ｌＰ城域网的城域数据网层面并不需要建设汇聚路由器。业 务控制点直接接入城域网的核心／出口路由器。
（‘２）业务控制点为单边缘设备，采用多业务控制路由
器（网关）进行建设。即使业务控制点采用双设备，上联链 路采用双链路，也可比传统固网ＩＰ城域网节省一半的设备和 传输链路资源。
２ ＩＰＯＥ协议介绍
随着Ｔｒ．ｐｌｅ Ｐｌａｙ的加速开展、新的业务终端的出现、 ＤＨＣＰ技术的成熟，以及更灵活的用户控制策略技术的发 展，业界逐步推动ＰＰＰＯＥ认证技术向ｌＰＯＥ认证技术转换。
采用ＩＰＯＥ方式进行ｌＰＴＶ数据流传送，所占用的接入侧 带宽是和ＩＰＴＶ的频道总数成正比的，与同时收看的用户数无 关。因此。扩展性、可用性，以及服务品质都比采用ＰＰＰＯＥ 方式进行ＩＰＴＶ数据传送的方式要好很多。
由于业务控制层采用双边缘设备ＢＲＡＳ和ＳＲ，因此接入 层汇聚交换机需要分别上联ＳＲ和ＢＲＡＳ，组网结构复杂且浪 费传输资源。另外，如要保证业务控制点设备为双点，接入 层上行链路为双链路，达到双节点、双链路安全备份要求， 则需要增加一倍的业务控制层设备和传输链路资源。
１．２个人宽带用户接入技术 在传统的以太网模型中，不存在所谓的用户计费的概
能最大化地利用带宽，缓解网络瓶颈。 而ＰＰＰＯＥ数据包。给所有数据包都封装 ＰＰＰ包头，在ＢＲＡＳ与所连接的上万个宽 带用户终端之间建立了相同数量的点对点 连接。这种方式决定了ＢＲＡＳ到所有终端 都是唯一的点到点链路，二者之问的任何 二层设备对所传送的数据包都没有办法进 行组播复制。
因此，采用ＰＰＰＯＥ封装传送广播ＩＰＴＶ 组播数据流，ＢＲＡＳ设备会在所有到用户 终端的点到点连接上复制组播数据流。这 就造成大量数据包在ＢＲＡＳ以下的交换机和 ＥＰＯＮ单元上被重复传送，严重浪费Ｂ只ＡＳ 下联链路的有限带宽。
随着电信业重组的结束，中国出现了移动、电信和联通 三家全业务运营商，全业务运营的引入必将推动运营商在业 务、网络、组织和经营方式上的加速转型。完善优质的ＩＰ承 载网络是运营商在全业务运营中取得竞争优势的前提条件， 而中国移动的运营必将逐步形成ＧＳＭ、ＴＤ和宽带业务三足 鼎立的局面，必须未雨绸缪，建设可运营、可管理、高ＱｏＳ 的ＩＰ城域网。
骨干网
城域 数据网
核心层 （出口）
接八层
（业务糖帮Ｉ点）
Ｆ一一“一一一【作者简介】一“驾
胡立强：工程师，现任职于中国移 动通信集团设计院，本科毕业于清 华大学计算机科学与技术（软件工 程第二学位）专业，主要从事移动 数据通信网络的规划和设计。
一 堰 传
Ｊ戮 辫 别接昏入
： 公众接入网络： ：精品大客户接入：
即主机主动发送ＡＲＰ回应广播，从而刷新其他主机上的ＡＲＰ 表。接收到免费ＡＲＰ的主机并不检查其是不是该ｌＰ地址的合 法使用者。本来，改变了硬件地址的主机可以通过发送免费 ＡＲＰ来更新其他主机的ＡＲＰ；但很不幸的是，这个特性可以 被恶意利用，即发送包含了假冒的ＩＰ地址的免费ＡＲＰ，通常 叫做“ＡＲＰ欺骗”。攻击者通过“ＡＲＰ欺骗”向局域网上的
万方数据
—≥０秒０９年勃砺通汀卞信）
－网规网优Ｌ
基于ＩＰＯＥ技术实现ＩＰ城域网宽带用户接八
３．３ Ｓｅｓｓｉｏｎ终结管理 根据ＤＨＣＰ协议的特性，当Ｓｅｓｓｉｏｎ终结后，用户的ＩＰ
地址并不能及时释放并回收。根据ＤＳＬ论坛ＷＴ一１４６规范要 求，ＩＰＯＥ的Ｓｅｓｓｉｏｎ终结时，必须支持Ｌｏｇｏｕｔ、Ｆｏｒｃｅ、Ａｒｐ Ｐｉｎｇ或ＢＦＤ方式以实现ＩＰ地址的及时释放。
ＤＨＣＰ服务器受到的攻击主要有：
动态ＡＲＰ侦测功能可以利用ＤＨＣＰ Ｓｎｏｏｐｉｎｇ功能建立 的ＩＰ／ＭＡＣ地址对照表，动态地侦测ＡＲＰ数据包，利用ＤＨＣＰ Ｓｎｏｏｐｉｎｇ的绑定信息表对不匹配的ＩＰ／ＭＡＣ地址对进行控制 和丢弃，有效地防止ＡＲＰ欺骗类攻击行为。
责任编辑：左永君ｉｉ７６８＠１６３．ｃｏｍ＞＞＞
目前。传统的固网运营商均采用ＢＲＡＳ设备作为个人宽 带用户的业务控制点，通过ＰＰＰＯＥ技术实现个人宽带用户接 人、管理和计费。
１．３ ＰＰＰＯＥ技术的不足 随着Ｔｒ．ｐｌｅ ＰＩａｙ“三重播放”业务，和以广播ＩＰＴＶ为代
表的多媒体业务的发展，ＰＰＰＯＥ接入方式出现了一些无法回 避的问题：
（１）对于大量的视频流，只有通过组播方式传送才
地址管理
本地分配 客户端
ｌＰＣＰ 专用客户端
ＤＨＣＰ ＤＨＣＰ ａｕｔｈ、Ｐｏｒｔａｌ
业务选择 Ｓｅｒｖｉｃｅ ＳｅＩｅｃｔｉＯｎ ＰｏｎａＩ
韭务管理
会话开始 会话结束
Ｓｌａｒｔ Ｓｅｓｓｉｏｎ ＳｔｏＤ Ｓｅｓｓｊｏｎ
会话标识 Ｓｅｓｓｉｏｎ识别
Ｓｔａｒｌ：ＤＨＣＰ
ＫｅｅｐａＩｉｖｅ（１ＣＭＰ、ＡＲＰ， ８ＦＤ｝ＤＨＣＰＩｅａｓｅ
■一－。＿－－－一＿－ －＿－－·一。－－●
图２ 移动ＩＰ城域网组网结构
张东红：高级工程师，现任职于中 国移动通信集团设计院，本科毕业 于北京航空航天大学，主要从事移 动网络规划研究。
（３）采用ｌＰＯＥ技术接入个人宽带）最后一公里接入以以太网和ＰＯＮ接入为主，几乎 没有ＤＳＬＭ设备。
５总结
随着“三重播放”业务的开展、新的业务终端的出现、 ＤＨＣＰ技术的成熟，以及更灵活的用户控制策略需要，业界 正逐步推动ＩＰＯＥ替代的ＰＰＰＯＥ进程。
３．１ ＤＨＣＰ溢出攻击和应对策略 ＤＨＣＰ在ＩＰＯＥ环境中非常重要，是用户获得ＩＰ地址的关
其他设备发送一个包含默认网关ＩＰ地址的免费ＡＲＰ假冒缺省 网关。同时通过同样的方法向缺省网关假冒用户。实际上攻
键服务。但是ＤＨＣＰ协议本身没有ＰＰＰＯＥ健壮，一个恶意用 击者就成了。中问人”。
户可以非常容易和迅速地发起对ＤＨＣＰ月艮务器的ＤＯＳ攻击。 因此必须解决ＤＨＣＰ协议在安全方面的缺陷才能建造一个安 全的网络，继而进行规模商业应用。
（２）ＢＲＡＳ设备要时刻接受用户拨入 请求。与Ｒａｄｉｕｓ服务器合作完成用户的认 证工作。同时还要维护大量的ＰＰＰＯＥ状态信息，对设备的要 求是比较高的。ＩＰＴＶ数据流量大，要求低时延，线速转发， 如果进行ＰＰＰＯＥ数据包封装。在用户量稍大时，ＢＲＡＳ设备 的负载将非常大。 采用ＰＰＰＯＥ技术承载ｌＰＴＶ类业务，造成ＢＲＡＳ设备处理 能力、ＢＲＡＳ与接入设备之间的带宽两个瓶颈，效率低，扩 展性差，基本不能发挥组播技术的优势。
ＤＳＬ论坛ＷＴ一１４６规范定义了标准的会话建立控制 过程。解决了ｌＰＯＥ没有标准认证的问题。ＩＰＯＥ实现了 从ＰＰＰＯＥ向ＩＰＯＥ的平滑过渡，ＰＰＰＯＥ Ｓｅｓｓｉｏｎ和ＩＰＯＥ
囝 秒 ２００勃９车通４百信ｉｉ丁一
≤≤≤责任编辑：左永君ｊ１７６８＠１６３．ｃｏｍ
万方数据
基于ＩＰＯＥ技术实现ＩＰ城域网宽带用户接八
一网规网优Ｌ
【摘要】在介绍了传统固网运营商ＩＰ城域网运营方案后，文章指出了实现个人宽带用户接入的ＰＰＰＯＥ技术的不足，随后详细 阐述了将取而代之的ＩＰＯＥ技术及其要解决的问题．并给出了移动ＩＰ城域网组网结构和对建网的建议。运营商只有拥有了完善 优质的ＩＰ承载网络。才有可能在全业务运营中取得有利位置。 【关键词】ＩＰＯＥ ｌＰ城域网 个人宽带 单边缘
ｊ网规网优ｋ
Ｓｅｓｓｉｏｎ的对应关系如表１所示：
（１）伪造ＭＡＣ地址大量申请ＩＰ
表１ ＰＰＰＯＥ Ｓｅｓｓｉｏｎ和ｌＰＯＥ Ｓｅｓｓｉｏｎ对照表
”
会话类别
ＰＰＰＯＥ
ＩＰＯＥ
用户识别 用户名，密码
ＤＨＣＰ ａｕｔｈ、Ｐ０ｒｔａＩ
用户管理 用户隔离
０ｉｎ０、Ｍａｃ＋｝Ｐ
线路，电路 线路ＩＤ
ＤＨＣＰ ｏＤｔ．８２、ＶＬＡＮ
应对策略是：通过ＭＡＣ地址和端口绑定功能限制端口
与采用ＰＰＰＯＥ方式传送组播数据流相比，由于没有 学习的ＭＡＣ地址数。防止无限制ＤＨＣＰ地址申请，然后通过
ＰＰＰＯＥ封装，组播数据可以在用户到ＩＰＴＶ数据中心的端到端 路径，以及在接入侧所途经的全部二层交换机上做常规的组
ＤＨＣＰ Ｓｎｏｏｐｉｎｇ特性手工设定正常ＤＨＣＰ服务器连接的端口 为信任ＤＨＣＰ服务器端口；并根据嗅探到的ＤＨＣＰ ＲｅＩａｙ信息
ＰＰＰＯＥ的认证方式利用了传统的ＰＰＰ技术。在用户终 端与ＢＲＡＳ设备上建立了一条“连接”，以准确获取用户登 陆、认证、下线等信息，能很好地控制用户的接入行为。在 ＰＰＰＯＥ中，用户终端的数据包全部封装ＰＰＰ包头。再封装以 太网帧头，传送到ＢＲＡＳ设备；而ＢＲＡＳ设备接收到数据包 后，拆除以太网封装和ＰＰＰＯＥ封装。进行路由查询后，再将 数据包转发出去。
Ｐ０ｒｌ＋Ｍａｃ＋ＩＰ
数据包 数据包转发 ＰＰＰＯＸ包头
ＩＰ，Ｅｔｈｅｍｅｔ
以不同的伪造ＭＡＣ地址向ＤＨＣＰ服务器发出ＤＨＣＰ Ｒｅｑｕｅｓｔ造成ＩＰ地址池的耗尽，或者在短时间内向ＤＨＣＰ服 务器发出大量的请求，使ＤＨＣＰ服务器服务停顿，合法用户 得不到ＩＰ地址而造成网络无法使用。
（２）伪ＤＨＣＰ月艮务器 攻击机器首先将其所在网段的地址耗尽，然后对所有的 ＤＨＣＰ请求进行响应。它所响应的地址实际上是“偷”来的 合法地址，而且将缺省网关设成它自己。这样，客户看似正 常地从服务器拿到了地址配置，并将这台非法ＤＨＣＰ服务器 设为缺省网关。所有进／出的数据包都流经这台伪服务器， 从而导致保密信息被窃取。
通过对ＰＰＰＯＥ和ＩＰＯＥ的技术分析。结合移动ＩＰ城域网 承载的业务类型，建议移动运营商选择ＩＰＯＥ作为个人宽带接 入技术，采用单边缘设备建设移动ｌＰ城域网。由于去除了独 立的ＢＲＡＳ设备，机房空间、功耗、传输链路资源方面的消 耗大大降低；而由于设备种类单一，维护管理更加简单。
移动运营商必须高起点建设ＩＰ城域网，缩小与固网运营 商在宽带领域的差距。在全业务运营的竞争中占据有利位 置。 ★
４移动ｌＰ城域网建设建议 ４．１单边缘建设移动城域网业务控制点
通过以上分析，随着ｗＴ一１４６规范的完善，各厂家对 ＩＰＯＥ协议支持力度的逐步提高，在制定移动城域网建设方 案时，建议采用单边缘设备建设业务控制层，厂家一般把这 一设备称作多业务控制路由器（ＭＳＥＲ）或多业务控制网关 （ＭＳＣＧ）。