电信用户流量清洗解决方案

电信用户流量清洗解决方案
电信用户流量清洗解决方案
中国电信
用户流量清洗建议方案
2011年3月
目录
电信用户流量清洗解决方案
第一章技术建议方案 ·························································································- 3 -
1. DOS用户级流量清洗建议方案 ···········································································- 3 -
2. 流量清洗解决方案产品技术原理与实现 ·······························································- 4 -
2.1流量清洗解决方案组成及工作模型 (5)
2.2流量清洗解决方案部署方式······················································错误!未定义书签。

2.3流量回注方式的选择·······························································错误!未定义书签。

2.4解决方案组件介绍 (3)
2.4.1 异常流量清洗设备··········································································································· - 3 -
2.4.2 流量清洗业务管理平台··································································································· - 5 -
3. 流量清洗解决方案技术特点 ··············································································- 6 -
4. 用户流量清洗方案产品明细 ··············································································- 1 -
4.1用户流量清洗方案一产品明细 (1)
4.2用户流量清洗方案二产品明细 (2)
5. 陕西电信流量清洗业务运营维护方案 ··································································- 1 -第二章中国电信优势 ·························································································- 3 -一、中国电信股份有限公司简介 ············································································- 3 -
1中国电信股份有限公司简介·································································································· - 3 -2中国电信组织结构·················································································································· - 5 -
3 中国电信业务范围················································································································· - 5 -
4 中国电信服务水平················································································································· - 6 -
5 独立第三方对中国电信的评价····························································································· - 7 -
5.1 国际著名排行榜排名·························································································- 7 -
5.2中国电信其它获奖简介·······················································································- 8 -
6 中国电信为大型项目活动提供服务··················································································· - 10 -
6.1中国电信成功申办2010年上海世博会通信合作伙伴 ··············································· - 10 -
6.2 中国电信成功申办2011年西安世界园艺博览会 ···················································· - 11 -
7中国电信股份有限公司陕西分公司简介············································································ - 11 -
- 2 -
电信用户流量清洗解决方案
第一章技术建议方案
1. DOS用户级流量清洗建议方案
DoS攻击是一种基于网络的、阻止用户正常访问网络服务的攻击。

DoS攻击采用发起大量网络连接，使服务器或运行在服务器上的程序崩溃、耗尽服务器资源或以其它方式阻止客户访问网络服务，从而使网络服务无法正常运作甚至关闭。

在洪水般的攻击下，服务器或网络资源很快被大量的攻击数据包占用或耗尽。

由于从单一地点发起的DoS攻击数据包很容易能被辨别并隔离出来，因此越来越多的黑客更偏向于采用一种更复杂的称之为DDoS的攻击方法。

在DDoS攻击中，黑客使用多台机器来攻击一个目标。

有些攻击者设计的攻击很简单，如UDP Flood,通过不断的将洪水般的数据经由网络传给某台服务器，造成目标服务器或目标网络的网络拥塞，无法提供正常服务。

另外一些攻击，如SYN Flood，则是利用特别设计的数据包耗尽关键服务器资源，以阻止合法客户端连接到该服务器。

DDoS由DoS攻击演变而来，这种攻击是黑客利用在已经侵入并已控制（可能是数百，甚至成千上万台）的机器上安装DoS服务程序，这些被控制机器即是所谓的“傀儡计算机”（zombie）。

它们等待来自中央攻击控制中心的命令。

中央攻击控制中心在适时启动全体受控主机的DoS服务进程，让它们对一个特定目标发送尽可能多的网络访问请求，形成一股DoS洪流冲击目标系统，猛烈的DoS攻击同一个网站。

在寡不敌众的力量抗衡下，被攻击的目标网站会很快失去反应而不能及时处理正常的访问甚至系统瘫痪崩溃。

因为攻击来源于安装在网络中的多台机器上，所采用的这种攻击方式很难被攻击对象察觉，直到攻击者发出统一的攻击命令，这些机器才同时发起进攻。

黑客透过隐秘的通信渠道对“傀儡计算机”下达指令，借此发动大规模的联合攻击。

由于此类攻击是通过组织遍布于广大网络上的大量计算机所发动的联合攻击，因此采用简单的辨别和隔离技术是不能阻挡它们的。

大部分情况下，很难将合法流量和非法流量区别开
- 3 -
电信用户流量清洗解决方案来。

随着越来越多的家用PC可以宽带上网，潜在的“傀儡计算机”变得越来越多，僵尸网络发展迅速，逐渐成为攻击行为的基本渠道，成为网络安全的最大隐患之一。

CNCERT/CC（国家计算机网络应急技术处理协调中心）数据表明，2007年上半年国内僵尸网络内的主机总数已达520 多万。

另外，由于因特网上遍布可以随意下载的免费攻击工具（如TFN、Stacheldracht等），大大降低了发起DDoS攻击的复杂程度与技术门槛。

根据赛门铁克《第11期互联网安全报告》，2006年下半年，全球拒绝服务(DoS)攻击次数为46,929，而中国是拒绝服务攻击的主要目标，占63%。

越来越严重的DDoS攻击，不仅影响了城域网接入客户的业务质量、对接入客户的网络造成巨大伤害，而且也直接影响着城域网自身的可用性。

近年来大量的安全事件和统计数据正以血淋淋的事实说明城域网安全建设的重要性：
●07年5月某某游戏公司在分布于多省的IDC托管的多台服务器遭到
DDoS攻击长达1月，经济损失达上百万元
●2006年~07年众多著名威客网络遭遇DDoS攻击，损失巨大。

●2006年12月，针对亚洲最大的IDC机房遭受大流量DDoS攻击，最高攻
击流量超过12G，而IDC机房的带宽为7G，导致该IDC间歇性瘫痪。

●2004年11月，查获由一个人掌握的17万台傀儡主机的大型僵尸网络
2. 流量清洗解决方案产品技术原理与实现
流量清洗解决方案通过在城域网旁挂流量清洗中心，在不影响正常业务的同时，对城域网中出现的DDoS攻击流量进行过滤，实现对城域网和大客户网络业务的保护。

首先从运营商的角度来看，通过对城域网中大量的DDoS流量的过滤，可以有效减小城域网自身的负载，为城域网所承载的高价值业务提供有效的质量保障。

可以在减小对城域网扩容压力的同时保证高价值客户的网络业务质量，从而保
- 4 -
电信用户流量清洗解决方案
持现有高价值客户的忠诚度，并且吸引新的高价值客户的接入。

从城域网中接入的大客户的角度来看。

在运营商侧过滤掉针对自身的DDoS 攻击流量，可以有效保障大客户对外网络业务的永续运转。

在保障大客户经济利益不受损失的同时，还减小了大客户因传统防御DDoS攻击手段所带来的性能扩容的建设成本和运维成本。

“流量清洗解决方案”提供的服务包括：网络业务流量监控和分析、安全基线制定、安全事件通告、异常流量过滤、安全事件处理报告等。

“流量清洗解决方案”的实施，减轻了来自于DDoS攻击流量对城域网造成的压力，提升带宽利用的有效性；保护企业网络免受来自互联网的攻击，提高网络性能，实现其核心业务的永续，保障其核心竞争力。

2.1 流量清洗解决方案组成及工作模型
图1 流量清洗解决方案组成及工作模型
流量清洗解决方案由异常流量探测设备、异常流量防御设备及业务管理平台三部分组成。

- 5 -
图4 MPLS VPN流量回注方式
异常流量防御设备（AFC-G）与业务路由器间建立MPLS VPN隧道，从城域网外部过来的异常流量经过防御设备清洗后，选择对应的VPN隧道，并打上该VPN 标签后，把“干净”报文发送给城域网核心路由器，核心路由器及汇聚路由器对其进行标签交换，最后在核心路由器上弹出标签，并转发到客户网络。

MPLS流量回注方式的优点在于便于开展业务，一旦部署完成后，后续业务的开展就都不需要再修改城域网设备的数据，另外，MPLS VPN技术已经很成熟了，而且符合未来的技术发展趋势。

这种回注方式的局限性在于要求城域网接入层以上的设备都要支持MPLS功能；另外，对于现网中并没有开展MPLS VPN 业务的情况，部署起来较为复杂，设备改动范围大。

2）、基于VLAN Tag的策略路由流量回注方式
图5基于VLAN Tag策略路由流量回注方式
异常流量防御设备（AFC-G）与核心路由器建立多个VLAN子接口，从城域网外部过来的异常流量经过防御设备清洗后，选择对应的VLAN子接口，并打上该VLAN Tag，把“干净”报文发送给城域网核心路由器，核心路由器根据VLAN Tag 找到对应的VLAN子接口，并根据子接口下的策略路由选择把报文转发到对应的汇聚路由器上。

策略路由流量回注方式的优点在于便于开展业务，一旦部署完成后，后续业务的开展就都不需要再修改城域网设备的数据，以后业务开展时只需要在防御设备上做数据就行了；另外，部署起来相对较为简单，只需要在与防御设备现连的核心路由器上做VLAN 子接口与汇聚路由器一一对应的策略路由配置，配置比较简单。

这种回注方式的局限性在于当汇聚设备路由变化时，核心设备和防御设备无法感知，进行自动调整。

2.2 解决方案组件介绍
2.2.1 异常流量清洗设备
图6异常流量清洗设备
异常流量清洗设备采用H3C成熟的S7500E/S9500性能以太网交换机硬件平台，通过业务模块与接口插卡分离的模块化设计，提供强大的扩展性和可靠性。

接口模块支持千兆以太网电接口卡、千兆以太网光接口卡、万兆以太网光接口卡等多种模块，整机最大个支持48GE或者4个10GE端口。

支持双电源、双主控，支持单板、电源、风扇等关键部件的热插拔，完全符合运营商的可靠性要求。

AFC（Anomaly Flow Cleaner，异常流量清洗）模块采用核CPU+ASIC硬件架构为高性能的业务处理和数据转发提供了保障。

AFC模块分为异常流量探测（Detector）与异常流量防御（Guarder）两种型号，一块Guarder业务卡最大个支持10Gbps的流量，并且能够防御2Gbps的DDoS的攻击流量，支持100万个会话，一块Detector业务卡探测能力高达2Gbps。

在同一机框内最多可同时支持10块模块，提供20Gbps的流量清洗平台。

流量清洗设备提供强大的DDoS检测及防御功能以及丰富的网络特性，具体如下：
攻击Dos、DDoS攻击检测与防护功能
●支持Land、Smurf、Fraggle、Ping of Death、Tear Drop、IP Spoofing、
WinNuke、IP分片报文、ARP欺骗、ARP主动反向查询、TCP报文标志位不合法、ICMP重定向攻击、ICMP不可达攻击、超大ICMP报文、地址扫描、端口扫描等攻击的检测防御
●支持CC、DNS Query Flood、SYN Flood、UPD Flood、ICMP Flood、
分片Flood、ACK Flood、RST Flood、HTTP Get Flood等攻击的检测防御
●支持异常流量限速，粒度可达64Kbps。

●支持丰富的路由协议。

支持静态路由、策略路由，以及BGP、RIP、
OSPF等动态路由协议
●支持MPLS VPN、GRE VPN等流量回注方式
●支持802.1q以满足根据VlanTag进行策略路由流量回注的需求。

●支持验证、授权和计帐（AAA）服务。

包括：基于RADIUS/HWTACACS+、
CHAP、PAP等的认证，支持域认证
●支持安全日志
●支持流量监控统计、管理
●支持全部WEB方式进行管理
2.2.2 流量清洗业务管理平台
图7流量清洗业务管理平台
流量清洗业务管理平台运行在Windows 2000 Server/Server 2003操作系统上，采用模块化的结构设计，通过Web方式向客户提供展示和配置界面，并通过系统中的核心的任务调度模块联结整个流量清洗业务管理平台各项功能实体，根据用户定义的各种配置策略，以最优化的方式完成对异常流量探测设备和异常流量防御设备的配置。

流量清洗业务管理平台包括流量清洗业务部署、流量清洗用户开户、流量清洗业务监控以及流量清洗业务报表、审计四大功能部件。

图8流量清洗业务管理平台功能特点
整个流量清洗业务管理平台围绕：业务开展－－检测分析－－异常响应－－安全服务，实现闭环操作，实现流量清洗的可运营、可管理。

业务开展包括完善的开户、销户流程；用户流量模型的制定、调整；异常流量探测设备、异常流量防御设备的自动发现、自动部署。

检测分析包括流量日志分析、攻击日志分析等，并提供短信、邮件等告警手段，实现攻击发生时第一时间通知用户或运营商运维人员。

异常响应完成对安全事件任务的跟踪处理，当攻击事件发生时，生成一个安全事件任务进行跟踪，通过运维人员与用户沟通、取得授权后，利用完善的界面给异常流量防御设备下发防护策略。

安全服务为用户提供流量分析报告、攻击事件处理报告以及用户网络安全建议等专业服务。

3. 流量清洗解决方案技术特点
1、全面的网络特性，网络适应能力强
流量清洗解决方案可以满足大多数城域网环境下的应用。

提供千兆以太网接口、万兆以太网接口、POS接口等全面的接口类型、支持BGP、MPLS BGP、OSPF、RIP等丰富的路由协议，支持MPLS VPN、策略路由、GRE VPN、双链路等多种流量回注方式。

2、强大的防攻击特性，卓越的性能
除了支持常见的SYN Flood、UDP Flood、ICMP Flood攻击外，还支持Land、Smurf、Fraggle、Ping of Death、Tear Drop等多种DoS攻击的检测及防护，而且支持对分片攻击、CC攻击、DNS Query Flood等多种DDoS攻击的检测及防护。

模块化的设计，一个设备上可通过插多块AFC模块平滑提升性能，单设备最多可支持20Gbps的DDoS清洗能力。

3、可运营的管理平台
为运营商量身定制的业务管理平台，包括探测、防御设备的集中管理及业务
部署，完善的开户、销户流程，清晰的业务分析报表。

并依靠本地化的研发支持，专业的运营商流量清洗解决方案研发团队，做到24小时快速响应运营商的需求。

4、专业的安全服务
依托多年来服务于能够为用户提供最佳的安全4体验，包括事前攻击检测、事中攻击防护、事后安全事件处理分析。

4. 用户流量清洗方案产品明细
4.1 用户流量清洗方案一产品明细
鉴于用户的实际业务能力考虑，方案一网络监测和清洗回注流量，2Gbps/模块。

根据用户需要不同，通过扩展业务模块方式可以做2Gbps至10Gbps的增量扩容。

方案一：产品明细
序号产品代码项目名称数量单价 (RMB) 总价(RMB) 备注
1 H3C AFC异常流量清洗（单板2G检测单板2G清洗）
LS-7603-S H3C S7603-S 以太网交换机主机 1 2,700.00 2,700.00
LSQM1CGP24TSC3 H3C S7603-S 交换路由引擎,提供24端口千兆/百兆以太网光口
(SFP,LC),其中8端口可光电复用
1 35,750.00 35,750.00 光模块选配
LSQM1AFCBSC0 H3C S7500E/AFC G系列异常流量清洗业务模块 1 200,000.00 200,000.00 单板2G LSQM1AFDBSC0 H3C S7500E/AFC D系列异常流量检测业务模块 1 120,000.00 120,000.00 单板2G，选配LSQM1AC650 H3C PSR650A 交流电源模块,650W 1 4,000.00 4,000.00
NSQM1NTC H3C iMC SecCenter组件-AFC异常流量清洗业务管理系统-纯软
件(CD)
1 37,500.00 37,500.00
小计H3C AFC异常流量清洗（单板2G检测单板2G清洗）399,950.00
- 1 -
4.2 用户流量清洗方案二产品明细
鉴于用户的实际业务能力考虑，方案二针对小于2Gbps流量的用户提供一下方案解决DDOS攻击问题。

序号产品代码项目名称数量单价 (RMB) 总价(RMB) 备注2 H3C SecPath IPS系列（支持DDoS攻击防护）
NS-T1000-C+1Y H3C SecPath T1000-C-IPS主机(4GE电口+2SLOT)-含一年特征
库升级,一年病毒库升级
1 174,600.00 174,600.00
吞吐量1Gbps
最大连接数150万
NSQM1IPSM H3C iMC SecCenter组件-IPS Manager入侵防御管理系统-纯软
件(CD)
1 55,500.00 55,500.00
小计H3C SecPath IPS系列（支持DDoS攻击防护）230,100.00
- 2 -
5. 陕西电信流量清洗业务运营维护方案
图10流量清洗运营维护流程
第一步：NTG流量分析设备收集城域网路由器上发过来的NetFlow/cFlow流量日志，对用户的业务流量进行分析。

或者由AFC-D模块对镜像到的流量进行分析，并根据分析情况，制定用户的安全基线，并定期产生用户流量分析报告。

第二步：当NTG设备或AFC-D检测到DDoS攻击事件时，采用一定的方式（如发送Trap）通知业务管理平台。

业务管理平台生成安全事件任务进行跟踪。

同时利用短信或者email的方式通知运维人员。

第三步：运维人员向客户接口人通告安全事件，并一起商量应对的防御策略。

第四步：运维人员基于共同制定的防御策略，通过管理平台下发到防御设备。

将用户业务流量牵引至由防御设备，管理平台组成的“流量清洗中心”。

第六步：防御设备在对DDoS流量进行过滤的同时，将当前用户的攻击
状况信息发送给业务管理平台。

业务管理平台通过对信息的汇总和加工给用户提供攻击状态报表。

让用户能够随时掌握当前业务状况。

第七步：攻击停止后，维护人员基于管理平台上记录的攻击状况信息给用户提供安全事件处理报告。

第八步：取得用户确认后，通过管理平台取消防御策略，防御设备停止对用户流量的牵引。

定期服务：运营商按月提供流量清洗业务情况报表给用户，包括用户当月流量分析报表、攻击防护情况等。

第二章中国电信优势
一、中国电信股份有限公司简介
1中国电信股份有限公司简介
中国电信股份有限公司（以下简称中国电信）是全球最大的固定电信及宽带服务运营商，主要在中国二十省（区、市）服务区内和北方十省及欧洲、香港海外市场提供话音、数据、图象、多媒体等电信及信息服务，拥有约2.20亿固定电话用户及超过3500万宽带用户。

注册资本1580亿人民币。

发行的H股及美国存托股份分别在香港联合交易所有限公司和纽约证卷交易所挂牌上市。

中国电信坚持改革创新精神，积极探索以转型促发展的新路，公司的战略转型走在了电信行业的前列，取得了令人鼓舞的成果。

转型为公司发展创造了新的活力，以客户为导向的品牌运营体系基本建立，综合信息拥有服务能力得到加强，业务结构得到优化，财务实力得到提升，公司为股东创造价值的能力不断增强。

2007年，中国电信抓住信息化的发展机遇，积极应对各种挑战，规模化地发展转型业务，促进收入增长；同时积极采取措施缓解传统语音业务的下滑，使公司在严峻的市场竞争环境下仍然保持坚实的基本面，取得了良好的业绩：经营收入达到人民币1，786.56亿元。

2007年，中国电信以品牌经营为统领，重点聚焦政企客户和中高端家庭客户两大核心价值客户群，继续着力打造【商务领航】和【我的E家】两大客户品牌。

按照客户需求聚合各类业务和产品，丰富品牌内涵，提升品牌的核心竞争力，2007年【商务领航】和【我的E家】的品牌签约客户数分别达到188.4万户和1,053.6万户。

中国电信将信息化服务作为业务转型的着力点，宽带业务、增值业务和综合信息服务业务取得突破性进展：非话音收入占比为36.5%。

通过不断丰富信息
化应用，科学设计产品组合，努力巩固传统语音业务。

中国电信在2008年共出资1100亿元收购CDMA网络资产及业务，收购CDMA 网络以后，中国电信将把改善C网网络质量，提高用户感知、重塑CDMA网络形象作为第一要务。

●加大基础网络的投入：2008年中国电信将投入270亿元，未来三年将投
入800亿元，加强CDMA网络覆盖，努力提高网络的覆盖率、接通率、降低掉话率。

在大中城市2008年年底要达到中国移动GSM的水平，2009年全国城乡网络达到中国移动GSM的水平。

●加强网络的优化：中国电信专门成立了网络优化部门，并且面向全国招
聘高端技术人员。

优化原有网络，提升网络能力，从“广度覆盖向深度覆盖延伸”，加强办公写字楼的室内分布，消除网络盲点和缝隙。

●加快3G新技术应用：中国电信会以最快的速度，于2008年年底将C网
升级到3G网络，让用户享受移动多媒体的精彩生活。

成功收购中国联通CDMA业务的中国电信已成为拥有世界上最大的固话与宽带网络的全网全业务运营商！全业务运营给中国电信带来重大发展机遇，中国电信将积极顺应电信业发展趋势，紧扣信息化发展脉搏，加速向综合信息服务提供商转型，实现固定终端、电脑终端、手机终端的融合，持续提升为客户提供综合信息服务的能力，从而为广大客户不断创造新的价值。

2中国电信组织结构
图-12
3 中国电信业务范围
中国电信主要经营范围包括：国内、国际各类固定电信网络设施，包括本地无线环路；基于电信网络的语音、数据、图像、移动及多媒体通信与信息服务；进行国际电信业务对外结算，开拓海外通信市场；经营与通信及信息业务
相关的系统集成、技术开发、技术服务、信息咨询、广告、出版、设备生产销售和进出口、设计施工等业务；并根据市场发展需要，经营国家批准或允许的其它业务。

4 中国电信服务水平
中国电信始终坚持把服务工作放到代表广大人民群众的利益、实现企业可持续发展的高度来认识，纳入企业整体战略来部署。

企业上下以全面创新、求真务实的精神，全面贯彻落实“用户至上、用心服务”理念，不断赋予服务工作新内涵，完善一整套“以前台服务为标志、以后台服务为支撑、以网络服务为基础”的全新服务体系和快速的市场反应机制，为客户提供高质量的服务。

中国电信坚持强化“四个监督”和“四个控制”的服务力度，确保服务问题的预先控制、质量管理的过程控制、用户投诉的越级控制和问题处理的缺陷控制。

中国电信为积极推进服务与国际接轨，推出了SLA服务、一站式服务、一揽子解决方案等新的服务措施，以满足个性化、深层次的服务需求。

中国电信的用心服务赢得了广大客户的认可和信赖。

全面提升服务水平，努力创造客户价值，不断谋求共同发展是中国电信服务客户孜孜以求的目标。

中国电信推出FocOne全球一站通服务，提供国际国内端到端、售前售中售后全过程一站式服务，专门向全国政企客户提供一点业务咨询、一点业务受理、一点故障申告、一点计费结算、一点技术支持。

客户只要同中国电信某地点的政企客户服务机构联系，即可享受业务咨询、组网设计、进网受理、电路调度、系统集成、调试开通、计费结算、故障处理、网络优化、网络管理等全方位、高效、方便、快捷的服务。

中国电信努力实现“零距离贴近客户、零时延快速响应客户”，全面落实客户经理责任制，为每位政企客户提供一对一的服务；建立跨地域客户经理团队，为有跨地域联网需求的客户提供全程服务；国内首创的政企客户贴心服务系统，
方便政企客户随时办理业务、查询计费和网络状况；并开辟政企客户专用热线，开通政企客户独享的绿色通道，快速响应客户的紧急需求，提供7 * 24小时全天候服务；拥有面向政企客户的优质电路保证和备份体系，保证客户网络运营安全、可靠。

中国电信强大的技术支持能力，为每位政企客户提供量身定制的个性化服务,全面解决方案式服务等专家服务，不断满足客户多样化、个性化、复合化的需求，全力帮助客户提升价值。

5 独立第三方对中国电信的评价
5.1 国际著名排行榜排名
●2003年7月14日，美国《商业周刊》（Business Week）最新公布的2003
年新兴市场200强中，中国电信（上市部分）首次上榜，总排名第11位，行业排名第3位；
●2003年，美国《财富》（Fortune）杂志全球500强（Global 500）的最新
排名中，中国电信总排名第245位，电信行业排名第15位；
●2004年，美国《财富》（Fortune）杂志全球500强（Global 500）的最新
排名中，中国电信总排名第254位，电信行业排名第17位；
●2005年，美国《福布斯》（Forbes）最新推出的全球2000强（Global 2000）
排名中，中国电信总排名第185位，电信行业排名第9位；
●2006年，美国《福布斯》（Forbes）推出的“全球上市企业2000强”排名
中，中国电信排名第162位。

●《Euromoney》2005年度亚洲最佳管理公司评选的得奖名单中，中国电信获
得「中国最佳管理电信公司」
●2006年5月中国电信股份有限公司获得由香港《财经》杂志、《资本》杂志
评选出的“第一届资本中国杰出企业成就奖—中国杰出电信企业”。