NGN在长途骨干网的应用

老米

   

　　网络建设需求和目标

　　传统的TDM长途网由于在网络层次上存在不足，比如，部分节点结构混杂（省际长途局DC1与省内长途局DC2合一、省际长途局与网关局合一等），部分省长途交换网的交换节点为单节点设备，存在单点安全性问题等，因此已不能适应业务的发展，需要升级和改造。

　　从长远来看，NGN是未来技术发展的方向，能够满足网络演进的战略需要。用NGN技术建设长途网络，可以实现以下目标：调整、优化网络结构，使网络结构更加清晰、易于维护；满足日益增加的新业务需求和竞争的需要；实现统一的运维管理；及时跟踪最新的技术，保证网络的平稳过渡和平滑演进。

　　图1所示为上海贝尔阿尔卡特针对运营商现网状况提供的NGN解决方案。它以软交换为核心，利用统一的网管平台以及与PSTN互通的中继网关实现网络部署，主要由两个部分组成：（1）核心控制网络。提供网络的核心控制能力、业务以及网管计费等功能。其中软交换作为网络的呼叫控制核心、业务交换点和业务提供点，满足话音、增值业务、宽带多媒体业务等要求。它通过信令网关与七号信令网络互通，通过INAP接口与智能网的SCP互通。中心网管提供基于SNMP的网络设备管理。（2）接入网络。提供不同容量的中继网关设备，实现与PSTN互通。



图1　NGN长途骨干网解决方案网络模型


　　组网方案

　　NGN网络作为现有TDM长途网的补充，实现话务的分担和保护。NGN大容量、广覆盖的优势，可以快速分流长途话务。NGN网与TDM网的关系如图2所示。



图2　NGN长途网与TDM长途网结构


　　软交换的设置

　　软交换作为NGN网络的核心，负责控制中继网关设备，实现呼叫控制及路由管理。软交换应放置在中心节点，作为现有长途局的补充，在网络位置上平行于现有长途局。

　　NGN承载在IP网上，采用开放的体系架构，一套软交换可以控制多个媒体网关。软交换可采用相对集中设置的方式，不需要与媒体网关配对设置。

　　考虑到建网初期的网络规模及业务流量，可按地域将NGN网络分为若干个NGN域，在每个NGN域选取一个城市作为大区中心，每个大区中心设立一对软交换，并设置在不同局址，实现异地双归属冗余备份。大区软交换控制本大区的中继网关，对长途业务进行分流和保护。对于单TDM DC1的城市，TG作为第二长途局，对现有DC1长途话务进行分流，与现有DC1形成双节点进行负荷分担，为长途业务提供较高的安全保证。对于多TDM DC1的城市，TG作为DC1的备份，与DC1负荷分担长途语音业务。

　　中继网关的设置

　　中继网关作为与长途的汇接点，负责媒体流的转换，实现TDM旁路、TDM与VoIP业务流之间的编解码、打包/拆包、时延抖动滤除等功能。中继网关与软交换之间采用H.248协议。

　　实施双归属时，两个软交换各承担部分话务，需设置中继网关双归属到大区软交换。中继网关配置软交换的原则是，尽量使软交换的负荷均衡，即各50%的分配原则。

　　NGN网络安全性

　　NGN网络的安全性涉及设备安全性和网络安全性两部分。

　　设备安全性

　　设备安全性包括软交换设备安全性和中继网关设备安全性。

　　软交换设备安全性

　　软交换设备负责控制大量的设备和呼叫接续，处理能力和功能非常强大。一个软交换能支撑百万用户或等效中继，这一方面简化了网络结构和层次，有效降低了设备成本和运维支出，另一方面也带来了安全隐患。当软交换设备出现故障时，将导致大范围的通信故障，给整个网络造成非常大的影响。

　　为了保证软交换设备的安全性，首先，要确保软交换设备自身的安全性。以上海贝尔阿尔卡特A5020 MGC软交换为例，主要采取了下面几个措施：（1）在对外网络接口上，除了系统需要使用的服务外，如H.248、SIP、MGCP、H.323、INAP等相关协议，其他不使用的网络服务（如HTTP）一律关闭，防止非法用户通过非法的服务入侵设备。（2）利用网络路由器实现防火墙功能和网络安全协议IPSec的功能，防止非法用户通过恶意攻击、窃听等手段破坏合法用户的正常服务。（3）网络管理系统提供严格的用户认证功能，只有通过认证并拥有合法权限的用户，才可以对A5020 MGC的各网元进行正常的网络管理。

　　其次，采用软交换双归属机制来保证软交换设备的安全性。双归属机制是NGN领域独特的安全容灾技术，能够实现异地的容灾备份，这对于应付突发事件具有重要意义。双归属机制主要解决以下问题：（1）连接性检测。这包括网关、终端设备与软交换之间的连接性检测。当检测到连接丢失后，能够向备份软交换设备重新注册。主备份软交换之间通过连接性检测来判断对端软交换的运行状态。其他软交换通过检查与主备份软交换之间的连接性，更新其内部路由表，决定呼叫路由策略。（2）网关、终端设备的重新注册。网关、终端设备必须具备针对软交换的重新注册功能。在网关、终端设备上配置软交换列表，当检测到主软交换不可达时，自动向软交换列表中的其他软交换发起注册。（3）软交换之间数据的同步及切换策略。当主备份软交换之间发现对方不可达时，采取必要的措施报告该事件，并决定切换策略。

　　中继网关设备安全性

　　在NGN网络中，中继媒体网关必须保证最高级别的可靠性和可用性，以满足最苛刻的应用需求。以上海贝尔阿尔卡特A7510中继媒体网关为例，综合采取了两个措施：（1）冗余性。其设计目标是要支撑不间断的系统运行，不出现任何单点故障。A7510支撑20个模块，每个模块可以1+1冗余或者N+1冗余。每一个备用模块中都维护着一致的配置信息，防止在维护或升级操作时，当A7510网关从活动模块切换到备用模块时，发生在线呼叫丢失。（2）内存共享。每个模块都包含完整的App拷贝，确保A7510网关在App升级过程中，或者在某个模块出现故障的情况下，继续保持联机的有效状态。冗余的组件包括系统以及管理App、信令以及网关控制App等。

　　网络安全性

　　网络的安全性包括网络防攻击能力和网络冗余配置。

　　网络防攻击能力

　　鉴于NGN长途骨干网的重要性，建议NGN长途网承载于专用的IP网上，实现NGN核心设备与普通数据流的物理或逻辑隔离，保证网络的安全性和防攻击能力。为了防止外网的非法访问，可以通过在三层交换机中划分VLAN和定义访问控制列表（ACL）的方式进行防护。

　　可以将NGN网络划分为核心网络区（信令信任区）、核心媒体区（信令媒体信任区）、网管计费区（运维信任区）、半信任区（DMZ）、非信任区这5个区域。根据不同的区域，在防火墙上定义所需要的ACL。对于不符合ACL的IP包，防火墙将丢弃之。防火墙本身在各区域之间按照路由进行配置。

　　网络冗余配置

　　除了设备本身的可靠性之外，还必须考虑承载网的高可靠性。因此，必须考虑IP网络设备的容错性和冗余性，使得在网络组件发生意外故障，以及进行计划内网络升级和变动时，网络都能够保持正常运行。

　　冗余配置如图3所示。核心设备通过主备份网口与主备份三层交换机连接，主备份交换机之间有VLAN TRUNK（两条物理链路通过802.3ad或FEC汇聚）的连接。同时主备交换机之间运行VRRP协议，以保证路由的惟一性。这种网络的冗余配置，可以避免单点故障的发生。



图3　网络的冗余配置