江西电信BRAS(华为ME60、 MA5200G)配置规范

江西电信BRAS
（华为ME60/MA5200G）
设备配置规范
中国电信江西分公司
2010年11月
目录
第1章概述 (1)
1.1术语和缩写语表 (1)
1.2网络结构说明 (3)
第2章IP城域网网络设备命名及链路描述规范 (4)
2.1设备命名规范 (4)
2.1.1适用范围 (4)
2.1.2设备命名规范格式 (4)
2.2端口描述规范 (5)
2.2.1环回接口描述 (5)
2.2.2网络端口描述规范 (6)
2.2.2.1适用范围 (6)
2.2.2.2端口描述包含下面几部分 (6)
2.2.3用户端口 (6)
2.2.4关于华为BRAS 上连端口的描述 (7)
2.2.5空闲端口描述 (7)
第3章华为ME60配置规范 (8)
3.1系统基本配置规范 (8)
3.1.1设备名称配置 (8)
3.1.2系统高可靠性配置 (8)
3.1.3设备自身时间及NTP (9)
3.1.3.1时区配置 (9)
3.1.3.2NTP配置 (9)
3.1.3.3NTP协议加密 (10)
3.1.3.4SNTP进程关闭 (10)
3.1.3.5配置范例 (11)
3.1.4VTY接口配置 (11)
3.1.4.1连接数限制 (11)
3.1.4.2空闲时间 (11)
3.1.4.3访问控制列表 (12)
3.1.4.4Console认证配置 (13)
3.1.4.5配置范例 (13)
3.1.5AAA配置 (14)
3.1.5.1概述 (14)
3.1.5.2管理AAA配置 (14)
3.1.5.3用户AAA配置 (16)
3.1.5.4本地用户帐号 (18)
3.1.5.5配置范例 (19)
3.1.6典型垃圾流量过滤策略 (21)
3.2端口配置规范 (22)
3.2.1Loopback地址配置 (22)
3.2.2GE端口配置 (23)
3.2.2.1GE用做上连接口 (23)
3.2.2.2GE用做下联接口 (23)
3.2.2.3GE拨号下联子接口(dot1Q) (24)
3.2.2.4GE拨号下联子接口(QinQ) (24)
3.2.2.5GE专线下联子接口 (25)
3.2.2.6接口uRPF (26)
3.2.2.7hold-time配置 (26)
3.2.2.8配置范例 (27)
3.3M ULTI-VR(CONTEXT)配置 (28)
3.3.1VR(context)规划 (28)
3.3.2VR(context)接口绑定 (28)
3.3.3VR(context)间路由处理 (29)
3.3.4Domain配置 (29)
3.4路由协议配置规范 (31)
3.4.1路由优先级/管理距离 (31)
3.4.2静态路由配置 (32)
3.4.2.1静态路由配置方式 (32)
3.4.2.2黑洞路由配置方式 (32)
3.4.2.3浮动静态路由配置方式 (33)
3.4.3OSPF配置 (33)
3.4.3.1概述 (33)
3.4.3.2OSPF进程名 (33)
3.4.3.3OSPF ROUTER-ID (34)
3.4.3.4OSPF 时间参数 (34)
3.4.3.5OSPF 接口宣告 (35)
3.4.3.6OSPF reference-bandwidth (35)
3.4.3.7OSPF负载均衡条目 (36)
3.4.3.8OSPF重分布路由 (37)
3.4.3.9OSPF AREA规划 (37)
3.4.3.10OSPF路由协议优先级 (38)
3.4.3.11OSPF log邻居变化信息 (38)
3.4.3.12OSPF邻居链路加密 (39)
3.4.3.13OSPF链路COST值调整 (39)
3.4.3.14配置范例 (39)
3.4.4ISIS配置 (40)
3.4.4.1概述 (40)
3.4.4.2ISIS进程名 (40)
3.4.4.3ISIS NET ID (41)
3.4.4.4ISIS路由类型及Metric类型 (41)
3.4.4.5路由协议优先级 (42)
3.4.4.6ISIS log邻居变化信息 (42)
3.4.4.7ISIS 邻居链路加密 (43)
3.4.4.8ISIS负载均衡条目及其他 (43)
3.4.4.9ISIS接口宣告 (44)
3.4.4.10配置范例 (44)
3.4.5BGP配置 (45)
3.4.5.1概述 (45)
3.4.5.2自治系统 (45)
3.4.5.3BGP路由引入策略 (46)
3.4.5.4BGP router-id配置 (46)
3.4.5.5BGP log邻居变化信息 (46)
3.4.5.6关闭BGP同步和自动汇总 (47)
3.4.5.7BGP邻居MD5加密 (47)
3.4.5.8BGP时间参数 (47)
3.4.5.9BGP Peer group命名 (48)
3.4.5.10BGP community 属性规划 (48)
3.4.5.11BRAS BGP 路由策略 (49)
3.4.5.12配置范例 (50)
3.5用户策略配置 (51)
3.5.1IP Pool配置 (51)
3.5.2DNS配置 (51)
3.5.3用户限速配置 (52)
3.5.4页面推送配置 (53)
3.5.5配置范例 (53)
3.6MPLS VPN配置规范 (54)
3.6.1MPLS配置 (54)
3.6.1.1全局开启MPLS功能 (54)
3.6.1.2LDP router-id (54)
3.6.1.3LDP协议加密 (55)
3.6.1.4LDP标签发布和管理 (56)
3.6.1.5LDP标签过滤 (57)
3.6.1.6LDP协议时间参数 (57)
3.6.2MP-BGP配置 (58)
3.6.2.1概述 (58)
3.6.2.2MP-BGP 部署策略 (58)
3.6.2.3BGP router-id配置 (59)
3.6.2.4BGP log邻居变化信息 (60)
3.6.2.5关闭BGP同步和自动汇总 (60)
3.6.2.6BGP时间参数 (60)
3.6.2.7BGP Peer group命名 (61)
3.6.2.8BGP邻居MD5加密 (61)
3.7网管配置 (62)
3.7.1SNMP管理代理配置 (62)
3.7.1.1全局开启SNMP进程 (62)
3.7.1.2SNMP版本 (63)
3.7.1.3RO Community值 (63)
3.7.1.4RW Community值 (64)
3.7.1.5SNMP访问控制列表 (64)
3.7.1.6Ifindex索引一致性 (65)
3.7.1.7配置范例 (66)
3.7.2故障管理配置 (66)
3.7.2.1SNMP TRAP信息内容 (66)
3.7.2.2SNMP TRAP 服务器地址 (67)
3.7.2.3SNMP TRAP消息源地址 (67)
3.7.2.4SYSLOG服务器地址 (67)
3.7.2.5SYSLOG信息级别 (67)
3.7.2.6SYSLOG消息源地址 (68)
3.7.2.7配置范例 (68)
3.7.3关闭不需要的服务 (68)
3.8H-Q O S配置规范 (69)
3.9业务配置实例 (69)
3.9.1拨号业务配置实例 (69)
3.9.2专线业务配置实例 (70)
3.9.3@10000业务配置实例 (72)
3.9.4IPTV业务配置实例（参考） (73)
3.9.5Wlan无线共享和C+W业务配置规范 (75)
3.9.6VPN业务配置实例 (83)
3.9.6.1VPDN业务配置实例（参考） (84)
3.9.6.2MPLS VPN业务配置实例（参考） (85)
3.10.安全加固配置 (87)
3.10.1.关闭IP直接广播 (88)
3.10.2.拉圾过虑（上行口出入方向ACL） (89)
3.10.3.私网流量过滤 (90)
3.10.4.Syslog安全 (90)
3.10.5.NTP部署 (91)
3.10.6.关闭控制层面未用服务 (91)
3.10.7.telnet 防护 (91)
3.10.8.关闭未使用的服务 (91)
3.10.9.密码加密 (92)
3.10.10.SNMP 安全 (92)
第1章概述
为保证城域网的运行质量，必须在设备能力、网络设计、网络配置、维护流程、支撑系统等环节予以保障。

由于网络规模不断扩大，设备特性不断变化，配置工作正日益变得复杂，全网配置发生错误的概率也在增加，因此很有必要对城域网BRAS网络设备的网络配置予以规范化。

本课题涉及的对象就是城域网网络设备配置的相关规范标准，目的是为城域网维护人员提供实用维护工具。

考虑到城域网网络设备维护分工明确，配置规范按分册进行编写，本篇只针对城域网核心层路由器设备制定相关配置规范。

本文主要内容安排如下：
1. 介绍城域网优化目标网络结构以及路由器在城域网中的功能定位；
2. 从网络配置方面阐述配置说明以及规范要求，并给出主流路由器型号设备的配置示例。

针对路由器设备，网络配置主要包括系统基本配置、端口配置、安全配置、网管配置等。

3. 提出文档维护和执行的管理要求。

1.1 术语和缩写语表
本文中将使用下列术语和缩写，除非文中特别说明，否则意义如下；对于下表中未说明的术语和缩写，应做业界标准或惯例理解。

1.2 网络结构说明
经过城域网改造扩容后，目标网络结构如下图所示。

IP 城域网包括城域骨干网和宽带接入网，其中城域骨干网是业务接入控制点（包括BRAS 和SR ）及控制点以上的城域网核心路由器组成的三层路由网络，划分为核心层和业务接入控制层两层。

业务接入控制层承接宽带接入网和城域骨干网，负责实现集中的业务提供和控制，BRAS 和SR 作为业务接入控制层组成部分，是IP 城域网实现“用户可识别、业务可区分、质量可控制、网络可管理”的转型目标的重要环节。

城域
宽带IP 核心层
汇聚层
接入层
业务接入控制层
骨干网
接入网
骨干网
城域网
第2章IP城域网网络设备命名及链路描述规范2.1 设备命名规范
2.1.1适用范围
本部分规定的IP城域网设备命名规范，适用于IP城域网内以下设备： 出口核心路由器
普通核心路由器
BRAS
SR
汇聚交换机
园区交换机
楼道交换机
DSLAM
2.1.2设备命名规范格式
字母大小各市需要采用统一标准，全部大写。

两端、中间不带任何空格。

城市标识，取城市名称拼音的首字母大写，郊市区节点标识前统一增加郊市区名称拼音的首字母：如
九江：JJ
南昌：NC
吉安：JA
赣州：GZ
抚州：FZ
设备属性标识，规定如下
出口路由器：D
核心路由器：GSR
BRAS：BAS
业务路由器：SR
设备序号，取阿拉伯数字，从1开始。

同节点的相同属性的设备间以设备序号区别。

网络类型：Mnet(城域网)
I（IDC ）
N(NGN)
自定义字段，可以加入网络子类型及设备型号等内容。

例子：
示例1：城域网出口路由器，南昌孺子路，第一台核心路由器，命名为
r1-c-ncrzl-1.Mnet
注：设备名称后的字段可以根据实际需要，允许地市增加设备型号，但是要求尽量简洁。

增加设备型号后，完整的设备命名格式为“设备名称”+“.”+“设备类型简写”，如GZ_NM_S6506R_01。

地市设备命名务必在国信朗讯等相关资源系统中一一对应，方便查询和识别。

2.2 端口描述规范
2.2.1环回接口描述
说明：
To：固定字符串。

功能描述：描述该loopback端口特殊功能，为有意义的英文字符串。

如：Management、Multicast、VPN、Global Routing、BGP Load balance等。

interface Loopback0
DesDiption To LOOPBACK
ip address 202.97.36.86 255.255.255.255
2.2.2网络端口描述规范
2.2.2.1 适用范围
本部分适用于城域网设备的互连接口描述
2.2.2.2 端口描述包含下面几部分
上表中“::”后“对端端口名称”要根据对端不同设备类型进行区分规范，具体区别如下表：
对于连接用户的接口或子接口，最前面为添加本地专线号，如果是长途VPN 电路，需要添加本地接入电路号（比如赣州CTVPN52127A）。

另外，建议添加用户名称等如下信息。

格式：专线号To用户标识
2.2.4关于华为BRAS 上连端口的描述
将二层接口的描述按照网络端口描述规范执行
将三层接口名称描述,后面添加子接口号
ge2/0/0.300
将三层子接口描述和相应的二层接口描述一致。

例子：上行GE二层描述：
2.2.5空闲端口描述
规范要求设备上的所有端口均需要配置描述，对于设备上空闲未用的端口统一描述内容为no-use，便于网管监控。

示例：
某城域网XX节点SE800空闲GE端口2/8描述：
第3章华为ME60配置规范
3.1 系统基本配置规范
3.1.1设备名称配置
配置说明：
规范设备命名，唯一性标识城域网中的每台设备，用于对城域网的每台设备进行区分，方便设备管理，提高可读性和可管理性。

规范要求：
设备名称要求符合第二章中“IP城域网网络设备命名及链路描述规范”中规定。

配置规范：
配置后立即生效，设备名称显示在配置命令行的左边。

3.1.2系统高可靠性配置
配置说明：
配置系统引擎冗余模式。

规范要求：
打开自动切换，要求采用最优切换方式
配置规范：
华为ME60两块引擎之间的备份机制是系统自动的，在Master引擎故障的情况下，Slave会立刻自动将自己切换为Master引擎，无需命令配置。

配置验证：
配置注意细节：
无。

3.1.3设备自身时间及NTP
NTP实现网络设备时间同步功能，与时间有关的应用，例如Log信息，基于时间限制带宽等，都需要基于正确的时间。

3.1.3.1 时区配置
配置说明：
统一设备的时区配置。

规范要求：
配置系统时区为GMT+8，北京时区。

配置规范：
无。

3.1.3.2 NTP配置
配置说明：
使用NTP同步网络上所有设备的时间，保证网络设备得到正确的时间。

规范要求：
配置主和备两组NTP服务器。

城域网NTP配置为两级结构，出口路由器配置与省网NTP SERVER
202.97.32.156/157同步时钟，出口以下设备则配置向出口路由器进行时钟同步。

配置现网设备NTP协议版本为V3。

指定本地发出NTP消息的接口。

配置验证：
配置注意细节：
地市出口直接用202.97.32.156/157,出口以下设备以出口为服务器为NTP server。

ME60默认NTP协议版本号为V3，不需特别配置版本信息。

3.1.3.3 NTP协议加密
配置说明：
配置NTP协议加密，防止伪造NTP源引起设备时间错误。

规范要求：
现阶段NTP协议均不使用使用加密。

配置规范（参考）：
配置注意细节：
无。

3.1.3.4 SNTP进程关闭
配置说明：
SNTP是NTP协议的的一个改写本，相比NTP协议实现更简单，但精确度要低，不能同时与多个Server同步时间。

关闭SNTP协议，可防止基于SNTP 漏洞的攻击。

出口路由器配置使用NTP协议同步时间，而不是使用SNTP协议。

已配置了使用SNTP协议同步时间的，应更改SNTP协议为NTP协议。

配置规范：
ME60不支持SNTP协议，不需要关闭SNTP协议。

3.1.3.5 配置范例
3.1.4VTY接口配置
3.1.
4.1 连接数限制
配置说明：
对同时远程登陆到设备上的session数进行限制，可以防止大量的session 连接占用过多系统资源，同时便于集中运维，保证故障期间的正常处理。

规范要求：
配置GSR路由器并发连接数限制为10
配置规范：
无
3.1.
4.2 空闲时间
配置说明：
设置了Telnet超时功能，当空闲时间超过设定值后，Telnet线程断开，防止未被授权的人员在操作员离开后进行非法操作。

对VTY, Console登录超时设置进行配置，设置空闲时间为10分钟。

配置规范：
华为设备默认超时时间即为10分钟，配置后也不会显示配置。

3.1.
4.3 访问控制列表
配置说明：
限制Telnet/SSH登录网络的源地址，从而增强设备的安全性，最大限度防止非法登陆尝试。

规范要求：
配置Telnet/SSH源地址限制，包含省公司3个地址段(202.109.128.0 /24，202.97.32.0/19，202.97.30.0 /24)和IP综合网管及前置机网段：
117.21.127.0/24。

Telnet/SSH访问控制列表条目从10，条目的间隔步长为10，在访问控制列表的最后显示配置一条deny any any语句。

配置规范：
华为设备Telnet ACL统一使用编号2001。

3.1.
4.4 Console认证配置
配置说明：
设置console认证密码，从而增强设备的安全性，防止非法登陆，同时关闭AUX端口。

规范要求：
配置console采用本地密码认证方式，密码采用NOC专用密码，关闭AUX 端口。

配置规范：
无
3.1.
4.5 配置范例
3.1.5AAA配置
3.1.5.1 概述
BRAS统一验证配置分成管理AAA配置和用户AAA配置，二种配置使用不同的统一验证方法。

管理AAA使用Tacacs+统一验证，
用户AAA使用Radius统一验证，全省统一大后台。

3.1.5.2 管理AAA配置
配置说明：
配置管理AAA的认证方式
配置管理AAA的授权方式
配置管理AAA的计费方式
配置管理AAA认证服务器地址及参数
配置管理AAA授权服务器地址及参数
配置管理AAA计费服务器地址及参数
配置Tacacs+协议加密key。

配置Tacacs+ update 源地址
规范要求：
管理AAA采用tacacs+统一验证方式
设置统一的tacacs+服务器地址为：主用117.21.127.10，备用(待定)。

设置tacacs+密钥为：cisco12416
配置认证方式为先本地对用户信息进行认证，后通过Tacacs+服务器。

配置授权方式为先TAC授权，后本地授权，配置后设备本地帐号将不可用。

配置计费方式为不计费。

Tacacs+ update 源地址设置建议采用路由器的loopback0地址。

配置规范：
#配置HWTACACS服务器模板tacacs，源地址为设备LOOPBACK0地址，密钥为
cisco12416，用户名格式中不包括域名。

hwtacacs-server template tacacs
hw tacacs-server authentication 117.21.127.10
hwtacacs-server authentication X.X.X.X secondary
hwtacacs-server authorization 117.21.127.10
hwtacacs-server authorization X.X.X.X secondary
hwtacacs-server accounting 117.21.127.10
hwtacacs-server accounting X.X.X.X secondary
hwtacacs-server source-ip X.X.X.X
hwtacacs-server shared-key cisco12416
undo hwtacacs-server user-name domain-included
aaa #进入AAA视图
#配置认证方案tacacs，认证模式为先本地认证，后HWTACACS认证。

authentication-scheme tacacs
authentication-mode local-hwtacacs
#配置计费方案tacacs，计费模式为不计费。

accounting-scheme tacacs
accounting-mode none
#配置授权方案tacacs，由于采用先hwtacacs后local的方式只有hwtacacs失效的情况
下本地账号才能登陆，所以暂时考虑用none模式，避免3A异常本地账号也无法登陆。

authorization-scheme tacacs
authorization-mode none
#配置缺省的管理员域default_admin，域的认证方案、计费方案、授权方案名称都
为tacacs，域的用户可以作为管理员登录BRAS，管理员级别为3。

domain default_admin
authentication-scheme tacacs
accounting-scheme tacacs
adminuser-priority 3
hwtacacs-server tacacs
authorization-scheme tacacs
配置验证：
华为BRAS备选授权方式为authorization-mode none，即用户认证后直接授权通过。

此时AAA和本地帐号同时生效，但无法通过AAA为用户授权，用户认证通过后即具备最高管理员权限。

3.1.5.3 用户AAA配置
配置说明：
配置用户的认证方式
配置用户的计费方式
配置用户认证服务器地址及参数
配置用户计费服务器地址及参数
配置预付费用户COS认证
配置radius update 源地址
规范要求：
用户的认证方式采用radius 方式
用户计费方式采用radius 方式
认证及计费服务器的地址根据各地的实际情况设置
设置Radius 密钥时要与省后台相关人员协商确定
认证端口号根据各个地方的实际情况设置（一般为1645 或1812）
计费端口号根据各个地方的实际情况设置（一般为1646 或1813）
radius update 源地址设置建议采用路由器的loopback 0 地址
要求配置Radius 服务器为负载分担算法
所有定义的Radius-server组中不允许配置命令undo radius-server
user-name domain-included，即将用户帐号上送radius-server认证时不允许去掉用户域名后缀。

对于domain nc.jx，要求使用单独定义的radius-server group nc.jx，其它domain可以根据业务类型，同一类业务使用相同的一个radius-server group。

如可以将l2tp的业务单独定义一个radius-server组，所有l2tp的domain都调用这一个radius-server组。

对于预付费用户，配置对COA服务器202.101.224.217 和61.180.1.21的信任。

预付费用户domain使用的radius-server group nc.jx，COA使用的默认端口为3799，建议全省BRAS与COA服务器通信KEY统一为123456。

配置规范：
system-view
interface Virtual-Template1 #建立ppp虚模版
ppp authentication-mode pap chap#定义ppp认证的模式，先pap再chap
ppp keepalive interval 30 retransmit 5#定义二层检测时间间隔以及超时检测次数
radius-server source interface LoopBack0 #radius报文的源IP为loopback0地址radius-server dead-count 40 dead-time 3 #radius报文重传和中断时延
aaa #进入AAA视图
#配置RADIUS服务器组nc.jx，配置radius-server ip，缺省情况下，若配置多个ip，ME60工作在主备模式，若配置server的权重weight，可以实现负载分担，认证/计费服务器的端口号，缺省值为1812和1813。

radius-server group nc.jx #该radius-server组只能被domain nc.jx调用radius-server authentication 61.180.1.21 1812 weight 50 #两台server使用相同权重，负载均衡
radius-server authentication 61.180.1.21 1812 weight 50
radius-server accounting 61.180.1.21 1813 weight 50
radius-server accounting 61.180.1.21 1813 weight 50
radius-server shared-key *******
radius-server retransmit 2 timeout 3 #指定远程radius服务器报文重传时间radius-server class-as-car#配置报文中携带CAR值
radius-server traffic-unit byte #设置RADIUS服务器使用字节作为流量单位radius-server algorithm loading-share#radius-server使用负载均衡算法undo radius-server user-name domain-included #用户名格式中不包括域名。

该命令不再使用，如现网有该配置，须删除，因为在每个子接口已经使用默认域可以让用户不带域名拨号认证。

分类radius-server组，建立多个radius-server组,实现不同业务类型domain调用不同的radius-server组.避免修改radius-server组属性时出现错误修改。

radius-server authorization 202.101.224.233 shared-key jxcoa123
server-group nc.jx
注：针对预付费用户配置对COA服务器和202.101.224.217的信任，预付费用户domain使用的radius-server group nc.jx，COA使用的默认端口为3799，建议全省BRAS与COA服务器通信KEY统一为123456。

#配置认证方案radius，缺省情况下，认证方案的认证模式为RADIUS认证。

authentication-scheme radius
#配置计费方案radius，缺省情况下，计费方法为RADIUS计费，设置实施计费间隔为120分钟。

accounting-scheme radius
accounting interim interval 120
accounting start-fail online #用户计费中断后依然在线
#配置nc.jx域，域的认证方案、计费方案名称都为radius，域使用的RADIUS服务器组为nc.jx。

domain nc.jx
authentication-scheme radius
accounting-scheme radius
radius-server group nc.jx #其它domain一定不能调用该radius-server group
l2tp-group 6#设置域使用的L2TP组的组名
l2tp-user radius-force #设置L2TP用户由RADIUS通道类型属性决定
ip-pool internet -01 #设置域的IP地址池，每个域最多可以设置128个地址池
ip-pool ******
IP-Warning-Threshold 90#设置域的IP地址使用告警阈值
return
system-view
l2tp enable #启用L2TP功能，缺省情况下，L2TP功能被禁止。

l2tp-group 6 #配置上面domain调用的l2tp-group 6
undo tunnel authentication #取消L2TP隧道验证功能
tunnel name ZQ-GN-BAS-1 #指定隧道本端的名称，缺省情况下，系统的本端
名称为设备名称。

start l2tp ip 1.1.1.1
tunnel source LoopBack0 #配置LAC端向LNS发起隧道建立请求时使用的隧道
源接口，只能是LoopBack接口。

quit
配置验证：
对于华为BRAS，domain nc.jx调用的radius-server group需要单独定义，其它domain可以根据业务类型，每一类业务定义一个radius-server group。

注意添加预付费平台授权配置。

3.1.5.4 本地用户帐号
配置说明：
配置本地用户帐号，作为AAA服务器连接失败时的应急登陆用。

规范要求：
全省BRAS配置相同本地用户帐号noc189，设置最高权限，使用省公司统一指定的密码，根据实际情况可保留地市本地管理帐号。

配置规范：
配置注意细节：
保留地市本地帐号。

3.1.5.5 配置范例
1、管理AAA：
#配置HWTACACS服务器模板tacacs，源地址为设备LOOPBACK0地址，密钥为cisco12416，用户名格式中不包括域名。

hwtacacs-server template tacacs
hw tacacs-server authentication 117.21.127.10
hwtacacs-server authentication X.X.X.X secondary
hwtacacs-server authorization 117.21.127.10
hwtacacs-server authorization X.X.X.X secondary
hwtacacs-server accounting 117.21.127.10
hwtacacs-server accounting X.X.X.X secondary
hwtacacs-server source-ip X.X.X.X
hwtacacs-server shared-key cisco12416
undo hwtacacs-server user-name domain-included
aaa #进入AAA视图
#配置认证方案tacacs，认证模式为先本地认证，后HWTACACS认证。

authentication-scheme tacacs
authentication-mode local-hwtacacs
#配置计费方案tacacs，计费模式为不计费。

accounting-scheme tacacs
accounting-mode none
#配置授权方案tacacs，由于采用先hwtacacs后local的方式只有hwtacacs失效的情况下本地账号才能登陆，所以暂时考虑用none模式，避免3A异常本地账号也无法登陆。

authorization-scheme tacacs
authorization-mode none
#配置缺省的管理员域default_admin，域的认证方案、计费方案、授权方案名称都为tacacs，域的用户可以作为管理员登录BRAS，管理员级别为3。

domain default_admin
authentication-scheme tacacs
accounting-scheme tacacs
adminuser-priority 3
hwtacacs-server tacacs
authorization-scheme tacacs
2、用户AAA：
system-view
interface Virtual-Template1 #建立ppp虚模版
ppp authentication-mode pap chap#定义ppp论证的模式，先pap再chap
ppp keepalive interval 30 retransmit 5#定义二层检测时间间隔以及超时检测次数
radius-server source interface LoopBack0 #radius报文的源IP为loopback0地址
radius-server dead-count 40 dead-time 3 #radius报文重传和中断时延
aaa #进入AAA视图
#配置RADIUS服务器组nc.jx，配置radius-server ip，缺省情况下，若配置多个ip，ME60工作在主备模式，若配置server的权重weight，可以实现负载分担，认证/计费服务器的端口号，缺省值为1812和1813。

radius-server group nc.jx #该radius-server组只能被domain nc.jx调用radius-server authentication 61.180.1.21 1812 weight 50 #两台server使用相同权重，负载均衡
radius-server authentication 61.180.1.21 1812 weight 50
radius-server accounting 61.180.1.21 1813 weight 50
radius-server accounting 61.180.1.21 1813 weight 50
radius-server shared-key *********
radius-server retransmit 2 timeout 3 #指定远程radius服务器报文重传时间radius-server class-as-car#配置报文中携带CAR值
radius-server traffic-unit byte #设置RADIUS服务器使用千字节做为流量单位radius-server algorithm loading-share#radius-server使用负载均衡算法undo radius-server user-name domain-included #用户名格式中不包括域名。

该命令不再使用，如现网有该配置，须删除，因为在每个子接口已经使用默认域可以让用户不带域名拨号认证。

分类radius-server组，建立多个radius-server组,实现不同业务类型domain调用不同的radius-server组.避免修改radius-server组属性时出现错误修改。

#配置认证方案radius，缺省情况下，认证方案的认证模式为RADIUS认证。

authentication-scheme radius
#配置计费方案radius，缺省情况下，计费方法为RADIUS计费，设置实施计费间隔为120分钟。

accounting-scheme radius
accounting interim interval 120
accounting start-fail online #用户计费中断后依然在线
#配置nc.jx域，域的认证方案、计费方案名称都为radius，域使用的RADIUS服务器组为nc.jx。

domain nc.jx
authentication-scheme radius
accounting-scheme radius
radius-server group nc.jx
l2tp-group 6#设置域使用的L2TP组的组名
l2tp-user radius-force #设置L2TP用户由RADIUS通道类型属性决定
ip-pool ip-pool1#设置域的IP地址池，每个域最多可以设置128个地址池
ip-pool ******
IP-Warning-Threshold 90#设置域的IP地址使用告警阈值
return
system-view
l2tp enable #启用L2TP功能，缺省情况下，L2TP功能被禁止。

l2tp-group 6 #配置上面domain调用的l2tp-group 6
undo tunnel authentication #取消L2TP隧道验证功能
tunnel name ZQ-GN-BAS-1 #指定隧道本端的名称，缺省情况下，系统的本端名称为设备名称。

start l2tp ip 1.1.1.1
tunnel source LoopBack0 #配置LAC端向LNS发起隧道建立请求时使用的隧道
3.1.6典型垃圾流量过滤策略
配置说明：
在全局下配置inbound方向的控制策略，过滤用户发起的病毒端口流量。

规范要求：
定义ACL 6300作为病毒端口过滤列表，过滤的端口包括如下：
udp 1434 //sql worm 病毒端口
udp 1433 //sql worm 病毒端口
udp 1027-1028 //灰鸽子木马端口
udp 135-139 //禁止netbios 端口
udp netbios-ss //禁止netbios 端口
udp 445 //禁止netbios 端口
tcp 4444 //冲击波病毒端口
tcp 445 //传送冲击波病毒端口
tcp 5554 //冲击波病毒端口，在感染“震荡波”病毒后会通过5554 端口向其他感染的计算机传送蠕虫病毒
配置规范：
无。

3.2 端口配置规范
3.2.1Loopback地址配置
配置说明：
配置两个Loopback地址，各提供一个永远up的IP地址，其中一个用于各种路由协议邻居的建立、远程登录、设备管理等。

同时，BGP和MP-BGP路由器上的loopback地址，用作该路由器发布的BGP或MP-BGP路由的下一跳地址。

另一个loopback地址用于标记BGP community属性。

规范要求：
城域骨干网SR路由器配置一个loopback 0地址及loopback 23地址，掩码必须为32位。

Loopback接口需添加端口描述，端口描述要求符合第二章中IP城域网网络设备命名及链路描述规范中规定。

配置规范：
无
3.2.2GE端口配置
3.2.2.1 GE用做上连接口
配置说明：
配置GE端口用做上连接口。

规范要求：
配置GE端口MTU 设置为1548，关闭GE端口自行协商。

配置接口描述符合第二章中IP城域网网络设备命名及链路描述规范中规定。

并注意端口描述中的对端端口应区别不同设备。

配置规范：
无。

3.2.2.2 GE用做下联接口
配置说明：
配置GE端口用做下联接口，即纯二层封装接口。

规范要求：
配置关闭GE端口自行协商。

配置接口描述符合第二章中IP城域网网络设备命名及链路描述规范中规定。

并注意端口描述中的对端端口应区别不同设备。

配置规范：
无。

3.2.2.3 GE拨号下联子接口(dot1Q)
配置说明：
配置GE拨号下联子接口，封装为dot1Q。

规范要求：
配置子端口封装为pppoe
配置规范：
注：SE800每个VLAN的缺省拨入数量为1，ME60缺省情况下不作限制。

3.2.2.4 GE拨号下联子接口(QinQ)
配置说明：
配置GE拨号下联子接口，封装为QinQ。

规范要求：
配置子端口封装为QiniQ
配置规范：
无。

3.2.2.5 GE专线下联子接口
配置说明：
配置GE下联子接口为专线接入。

规范要求：
子端口号建议与vlan id 对应一致；
引用的速率策略预先在全局配置模式下配置好；
配置子端口的描述，格式要求符合配置有关命名规范；
配置该专线用户的IP 路由；
配置接口描述符合第二章中“IP城域网网络设备命名及链路描述规范”中规定。

配置规范：
注意80端口黑名单用户绑定domain leased_line，白名单用户绑定domain leased_permit_tcp80。

3.2.2.6 接口uRPF
配置说明：
配置GE下联用户接口的uRPF功能。

规范要求：
ME60的uRPF在主接口下开启，在该主接口下的所有子接口生效。

如果有etrunk三层接口的话，需要在用户网关的子接口下面使能，但目前BAS版本不支持子接口配置URPF。

配置规范：
无。

3.2.2.7 hold-time配置
配置说明：
缺省情况下，设备检测到端口UP/DOWN信息便立刻反映给系统，可以通过配置端口UP/DOWN的hold-time来控制系统感知端口状态的时间，避免个别端口反复UP/DOWN造成系统路由震荡。

规范要求：
建议GE端口up-hold-time和down-hold-time时间配置为2s和1s。

3.2.2.8 配置范例
1、GE用作上联接口：
interface GigabitEthernet1/0/0
undo negotiation auto
carrier down-hold-time 1000
carrier up-hold-time 2000
mtu 3000
desDiption To GZ_SD_S9306_01::GI2/1
ip address 202.104.209.226 255.255.255.252
2、GE用作下联接口：
interface GigabitEthernet1/0/1
undo negotiation auto
desDiption dT:ZQ-HT-DSW-1.M 1G::GI1/0/0
ip urpf strict #开启下联主接口uRPF功能
3、GE拨号下联子接口（dot1Q）：
interface GigabitEthernet1/0/2.734
pppoe-server bind Virtual-Template 1
desDiption dT:ZQ-HJ-DSL-1.M 1G::GI1/0
user-vlan 734 #用户接入VLAN号
bas
access-type layer2-subsDiber default-domain authentication nc.jx #配置二层
拨号缺省论证域为nc.jx
4、GE拨号下联子接口（QinQ）：
interface GigabitEthernet1/0/2.762
pppoe-server bind Virtual-Template 1
desDiption dT:ZQ-HJ-DSL-1.M 1G::GI1/0
user-vlan 1001 1096 QinQ 762 #配置内外层VLAN
bas
access-type layer2-subsDiber default-domain authentication nc.jx #配置二层拨号缺省论证域为nc.jx
authentication-method ppp web #配置BAS接口的认证方法
5、GE专线下联子接口（普通VLAN）：
interface GigabitEthernet2/0/1.2001
user-vlan 2001
desDiption ********
undo shutdown
bas
access-type layer2-subsDiber default-domain authentication nc.jx
authentication-method bind
#
static-user 125.90.173.165 125.90.173.165interface GigabitEthernet2/0/1.2001
3.3 Multi-VR(context)配置
3.3.1VR(context)规划
配置虚拟路由器功能。

SE800支持多VR(context)配置，VR具有一个传统路由器应该具有的一切功能，例如路由表、路由协议、认证以及IP地址空间等。

虚拟路由器支持一个传统路由器应该支持的一切网络业务，可根据不同的业务需要，将不同业务放到单独的VR中，如拨号上网、IPTV，都可以设置到不同的VR(context)虚拟路由器上。

华为ME60/MA5200G无VR(context)概念，无需配置。

3.3.2VR(context)接口绑定
配置VR(context)与接口绑定关系。

VR(Context)接口绑定规范如下表所示：
为ERX1440的每一个VR绑定一个子接口，VR与子接口一一对应。

为SE800运行动态路由协议的local context、vrInternet context、vrLeasedLine context绑定一个外出子接口。

其中local context和vrInternet context绑定全部的上行子接口，实现流量在所有上行链路上负载均担。

Iptv context需要绑定全部的上行子接口，而VPDN 和vrLEASE context因流量较小，当上行链路多于2条以上时，可只选择对其中两条接口进行绑定，这样可达到了减少资源消耗，节约IP地址的目的，同时也。