推荐产品3推荐产品2推荐产品1
新闻内容News
卧式薄膜电阻意力电路的薄膜开关耐压250V架构处理器嵌入式潜心培育本土芯片的生态圈三星出货量成本力追三星LG Sony大幅调升LCD TV出货目标英特尔影片晶片英特尔新晶片 大片商叫好惠普戴尔业务PC低谷酝酿行业变局内存条内存深圳粤港海关严打效应持续 内地内存价大涨65%电感器电流高度Vishay推出高电流IHLP电感器CP42 问题又来了。在线等。批评新闻线索邮箱瑞萨发布用于嵌入式应用的双端口高速USB主机控制器

用户终端业务三网融合业务接入控制方式的研究及实现

目前,电信运营商发展宽带接入业务主要采用的是PPPoE接入控制,Radius认证的方式管理用户。这种方式采用动态分配IP地址,对每用户带宽进行控制,很好地支持了宽带业务的发展。由于宽带应用业务呈现多样化的发展趋势,特别是三网融合试点工作的启动,IPTV等流媒体业务和智能设备接入应用业务不同于一般的网页内容推送宽带业务,PPPoE接入方式已不能满足发展要求。IPoE接入控制方式不需要安装客户端程序,不需要输入用户名和密码,属于零配置部署,非常适合新型的网络终端设备,如IPTV机顶盒,WLAN,手持IP终端,视频监控,VoIP等零配置需求的终端。在三网融合的大背景下,IPoE方式提供规模发展IPTV业务的接入控制解决方案尤其有深远意义。目前,主流的接入认证控制技术主要包括PPPoE和IPoE。


PPPoE(PolntoPoilltProtocaloverEtherne)指在以太网上承载PPP协议,利用以太网将大量的主机组成网络,接入因特网,并对接入的每一个主机实现控制。PPPoE是在以太网上对PPP的封装,提供了在以太网广播链路上进行点对点通信的能力。PPP协议通过3个协议协商阶段:链路控制协议LCP,认证协议(PAP,CHAP),网络控制协议NCP,解决了链路建立、维护、拆除、上层协议协商、认证等问题。拨号后,用户计算机和局端接入服务器(BRAS)在LCP阶段协商底层链路参数;在认证阶段将用户名和密码发送给接入服务器认证,接入服务器可以进行本地认证,可以通过RadiSS协议将用户名和密码发送给AAA服务器进行认证。认证通过后,在NCP(IPCP)协商阶段,接入服务器给用户计算机分配网络层参数(如IP地址等)。经过PPP的3个协商阶段成功后,用户就可以发送和接受网络报文,用户收发的所有网络层报文都封装在PPP报文中。PPP协议具备的身份验证功能很好地解决了以太网上的用户安全管理问题。

PPPoE认证因其标准性、互通性好的特点而被广泛应用,商用成熟;PPPoE认证拨号软件与主流的PC操作系统可以良好地兼容,或已经内置于操作系统中;PPPoE通过惟一的Session-ID可以很好地保障用户的安全性,被广泛应用于宽带接入认证。

PPPoE的认证机制相对复杂,对设备处理性能。内存资源要求较高,而且用户需要一个认证的等待过程。因PPPoE终结于BRAS,BRAS与主机之问通过PPP建立起来的大量点到点的连接,所经过的交换机不能识别PPPoE报文格式,只能迸行转发,无法迸行针对VLAN等信息的组播复制,使组播复制点只能选择在BRAS设备上。BRAS设备暴露出的局限性无法满足宽带多媒体业务迅速发展的需求。


IPoE利用DHCPOPTION信息实现了业务终端的零配置部署。IPoE既能通过元须用户名和密码的方式即可实现认证和自动配置,也可以通过DHCP+Web方式实现基于用户名和密码的认证。

DHCP是指动态主机配置协议,通过DHCP客户端,利用自动发现机制尝试与DHCP服务器建立通信。DHCP提供IP配置参数,对用户端的IP层进行配置。DHCP协议没有认证的功能,但可以配合其他技术实现认证,比如DHCP+Web方式,DHCP+客户端方式和利用DHCP+OPTION扩展宇段进行认证。这些方式都统称为DHCP+认证。现讨论的主要是DHCP+OPTION扩展字段进行认证,又称为IPoE认证方式。用作DHCP扩展的OPTION字段主要为OPTION60(RFC2132)和OPTION82(RFC3046)。其中,OPTION60中带有Vendor和Service Option信息,是用户终端发起DHCP请求时携带的信息,网络设备只需透传即可。其作用是用来识别用户终端类型,进而识别用户业务类型,DHCP服务器可以据此分配不同的业务IP地址。OPTION82信息是由网络设备插入在终端发出的DHCP报文中,主要用来标识用户终端的接入位置,实现用户和线路的精确绑定,保证了DHCP接入的安全性和真实性,DHCP OPTION82信息可以由DHCPSnooPing或DHCPRelay设备进行插入。

作为IPoE客户端的用户终端设备,产生DHCP消息,中间设备插入各种DHCP Option进行用户绑定,业务绑定等。BRAS或SR等宽带网络网关控制设备(Broadband Network Gatewny)负责DHCP消息到Radius认证消息的翻译。与Radius进行认证、授权、计费功能。认证通过后,下放Radius返回的每用户QoS,访问控制的列表等功能,同时对通过设备的流量/时长进行计费。Radius等IPoE业务控制系统,能够动态调整每用户的带宽和QoS属性,提供基于预付费、流量、时长等多种计费手段。对用户管理控制,并提供差异化的服务。

·基于用户物理位置(VLANyVCID标示)的认证和计费,连接网络时不需输入用户名和密码,对于永远在线的应用和不愿意输入用户名和密码的用户非常适合。

·DHCP+(option60/Option82)对DHCP协议进行了扩展,增加了安全(防DoS攻击及地址仿冒)、监控、用户识别等特性。与Radius相结合提供计费功能,便于运营。

·组播部署灵活,可高效实现组播复制,井把组播复制点下移至小区交换机、DSLAM等网络末梢。减轻网络压力,节约接入网的带宽。
门IPoE认证的安全措施

IPoE认证没有像PPPoE认证那样在网络层面提供惟一的点到点的通信机制,运营商在部署IPoE认证时,要重点关注安全问题。网络各层面的设备通过协同工作,增强网络的安全性。具体的安全保障措施如下:

·防地址欺骗

DHCP属于数据和认证分离的控制方式,安全性不及PPPoE,为防止用户静态配置IP地址,或者网络盗用,可以在接入设备或者业务路由器上部署MAC+IP绑定功能。启用DHCP Snooping或DHCP Relay的节点,在侦听到DHCP Offer消息时,生成IP和MAC的绑定关系,只有源MAC和IP匹配的IPoE帧才可以通过,否则丢弃。这样只有经过DHCP认证的用户才可以得到网络服务,未经认证,或者静态配置IP地址的终端不能得到服务。还可以基于OPTION82信息对用户的线路号进行识别认证来保证安全性。

·用户终端数限制通过系统将每个业务接入点连接的用户终端数量进行限制。

·防DOS攻击

在Radius中将用户的MAC地址和线路号绑定。在Radius数据库中查询到MAC地址和线路号,DHCP的请求方可经Radius服务器认证通过后被送到DHCP Server,才能获得IP地址。这种方式降低了通过发送大量的DHCP请求,模拟不同MAC地址的请求,攻击DHCP Server的风险。

在用户通过认证获得IP地址之前,设定DHCP数据包能够通过的数量限制,降低Radius Server的压力。如对来自同一个DSLAM线路号的Radius请求数量作控制,比如1s内,最多允许1个请求,如连续出现多个请求,则认为发生攻击,直接丢弃Radius数据包。依靠这种机制解决大量的DHCP请求发送到Radius服务器的风险。

·其它安全措施

禁止用户端口间直接转发的端口隔离;通过VLAN隔离方式进行业务隔离。

2.3 PPPoE和IPoE对比分析

引入IPoE系统之后,IPoE可以完成原有PPPoE系统的所有功能,同时还能提供如下优势:

(1)终端支持

所有支持IP协议的设备都支持,不需要安装第三方拨号软件,可以广泛支持各种手持设备、移动设备、视频设备等。

(2)报文开销

由于PPPoE报文引入了PPPoE头(6Bytes)和PPP头(2Bytes),所以在所有用户流量里面增加了8个字节的协议开销,对于高带宽的应用(8M的高清电视等),处理能力不高的终端设备压力很大。

(3)组播复制

由于PPPoE报文是在BRAS设备和用户之间建立点对点连接,中间的交换机层次不能很好地理解PPPoE报文格式,只能进行转发,无法进行针对VLAN等信息的有效组播复制。所以采用PPPoE迸行组播业务的开展,组播复制点只能是BRAS设备,而采用IPoE,可以把组播复制点下移到DSLAM,一方面减少了BRAS设备的压力,另一方面也极大地节约了网络接入层带宽。

华为阿里手机智能手机的互联网变局:各种概念集中爆发张家港城市中国ICT产业带动张家港升级市场去年企业技术拖后腿 LED照明行业陷入两难厂商电子元件中国市场2007年度中国电子元件领军厂商评选揭晓面板液晶索尼索尼宣布Hybrid FPA液晶面板专为3D而设计批评新闻线索邮箱Microchip推出便于在机电系统中开发工具包CP6搞不定啦,请高手指点TD-SCDMA三星芯片展讯推动TD产业链向中国手机扩展英特尔欧盟美国英特尔不差钱 天价罚单难改芯片市场格局
 0.51437401771545 s