《中国电信移动承载网实施配置规范ER设备分册模板》由会员分享，可在线阅读，更多相关《中国电信移动承载网实施配置规范ER设备分册模板（30页珍藏版）》请在金锄头文库上搜索。
1、中国电信移动承载网实施配置规范（ER分册）（试行）中国电信集团二一三年十一月编制单位：编写单位：中国电信股份、中国电信股份广州研究院组长：编写人：统稿人：审核人：联系人：联系方式：修订记录版本号日期描述设备软硬件适用范围设备类型适用软件版本适用硬件版本编制说明本文档为中国电信移动承载网实施配置规范ER设备分册，包括ER设备组网配置要求及模板、与CN2网络互联配置要求及模板等内容。移动承载网的工程建设应比照本规范执行。在相关工程建设结束后，集团公司会正式下发本规范的修订版。本规范由中国电信集团网络运行维护事业部进行解释说明。目 录1 设备基本信息及可靠性31.1 设备基本信息配置3 设备远程管理
2、要求3 路由器访问控制42 网管要求82.1 省级IPRAN网管对ER的管理方式82.2 NTP实现方式83 端口配置要求94 路由组织104.1 IGP10 B-ER/ER-ER/EPC CE-ER/BSC CE-ER/省会MCE-ER104.2 MP-BGP设置要求11 AS设置要求11 VRR设置要求11 MP-eBGP设置要求124.3 路由快速收敛13 ER故障检测和路由快速收敛135 基站的业务实现155.1 基站业务在ER上的实现156 VPN组织166.1 RAN VPN166.2 CTVPN193 VPN166.3 CTVPN194 VPN177 网络服务质量（QoS）配置1
3、87.1 QoS整体部署原则187.2 PW+L3VPN方案QoS部署策略18 业务标识187.3 队列调度208 通道类业务实现218.1 CN2三层VPN在城域内二层通道落地方案21 业务从B设备接入/落地21 业务从B设备接入/落地21 业务从A设备接入/落地228.2 QoS部署方案229 设备命名规范239.1 设备命名239.2 网络端口命名249.3 Loopback接口命名259.4 基站业务接口命名2510 配置示例2610.1 ER设备配置示例（插入附件）26缩略语本文中将使用下列缩略语，除非文中特别说明，否则意义如下；对于未说明的缩略语，应做业界标准或惯例理解。缩写英文全
4、称中文eNodeBEvolved Node B演进的Node BMMEMobility Management Entity移动性管理实体HSSHome subscriber Server归属用户服务器SGWServing-GateWay服务网关PGWPacket Data Network GateWay分组数据网网关LTELong Term Evolution长期演进EPCEvolved Packet Core演进的分组核心网PCRFPolicy and Charging Rules Function策略和计费规则功能HSGWHRPD Serving GateWay高速分组数据网络服务网关OC
5、SOnline Charging Systerm在线计费系统PIPDSN to InternetPI网络AAAAuthentication Authorization, and Accounting鉴权、授权、计费DNSDomain Name Server域名服务器NTPNetwork Time Protocol时间同协议P-I网络PDSN-InternetPDSN与所有数据通信节点之间的网络，如PDSN与其他路由器之间的网络R-P网络Radio-PDSN介于无线网络（特指PCF）和PDSN之间的网络ER移动承载网的核心路由器，在不同的网络层级包括三类ER：汇聚ER（D-ER）、城域ER（M-
6、ER）、省级ER（汇聚省内各本地网流量的设备）A设备基站接入设备B设备基站接入设备的汇聚路由器MCE多业务承载CE，包括C网CE、EPC CEBSC CE指接入BSC/RNC的B设备RAN CE专指阿朗用于基站回传的IPBH设备1 设备基本信息及可靠性1.1 设备基本信息配置l 配置设备名称，要求符合资源命名规范要求。l 配置系统时间，要求采用标准北京时间。l 定义Router-ID，思科、华为设备配置为Loopback0地址，中兴设备配置为Loopback1地址，阿朗设备缺省使用system关键字作为Loopback端口。配置模板：1.2 设备的访问及访问控制1.2.1 设备远程管理要求对E
7、R设备远程管理需要进行严格控制，只允许信任用户以特定方式（SSH/SNMP等）进行访问。在设备的初始化管理阶段允许通过TELNET对设备进行访问。1.2.2 路由器访问控制1.2.2.1 VTY接口访问控制对ER设备VTY接口访问进行控制，防止非法用户通过Telnet/SSH方式获取ER设备的控制能力。具体采取以下措施对VTY接口访问进行控制：l 修改VTY并发连接数缺省值，调整为厂商允许最大值。华为设备最多允许同时15个，阿朗设备为15个，空闲时间为5分钟。l 针对VTY端口设置相应的访问控制列表来限制通过VTY端口对路由器的访问。访问控制列表通过区分不同用户的网段来进行过滤： 允许以下地址
8、段访问（根据实际情况进行调整）：CN2国内设备地址段 集团网管地址段 集团NOC地址段 全网CE设备地址段 省内网管地址段和IPRAN设备管理地址段各省自定 正常情况下，不允许其他地址登陆。l 路由器VTY端口的超时配置的作用是当远程登录连接在指定时间内没有操作时由设备主动中断远程连接，这样可以防止所有远程登录VTY端口占用而无法对设备进行管理，将此超时时间设置为5分钟。l 加强VTY用户密码管理，对VTY用户采用TACACS+集中认证和本地认证技术，TACASCS+认证优先，同时进行认证、授权、审计操作。l 考虑到采用TACACS+服务器对VTY用户帐号、权限进行统一管理。设备的TACACS
9、管理密码应实现动态更新。l 紧急故障处理期间，允许外网设备通过L2TP(IPSEC) VPN拨号方式登陆到网管中心专用设备上，通过该设备进行跳转访问ER设备，正常期间需关闭L2TP VPN拨号访问的通道。l ER设备可管理后，需关闭telnet，只允许使用SSH。l TACACS认证只用于用户登录，设备命令授权推荐在设备上实现。l 路由器本地配置用户名和管理组作为备份管理方式，需要配置全部读写权限和只读权限2个级别的管理组。l 配置Console端口口令，防止非法用户对设备进行控制。配置模板：1.2.2.2 SNMP访问控制对SNMP访问进行控制，防止非法用户通过SNMP管理接口获取设备信息。
10、ER设备采取以下措施对SNMP访问进行控制：l 开启SNMP V2/v3 Agent的功能，提高安全性，并采用Auth&Priv安全模式，并采用MD5算法。l 开放网管系统需要的MIB View，对表变量（如路由表，转发表等）设置MIB View限制网管系统访问。l 设置相应的访问控制列表只允许信任主机通过SNMP方式访问设备。l SNMP只开启只读权限，SNMP团体名每半年更新一次。配置模板：1.2.2.3 其他服务访问控制l 关闭HTTP服务，防止非法用户通过设备提供的HTTP服务对设备进行访问控制。l 关闭FTP服务，防止非法用户通过设备提供的FTP服务下载设备重要文件，维护时期如需上传
11、软件，则临时开启FTP SERVER服务。l 关闭路由器其他小端口服务如：ECHO(TCP 7)、HCEGEN(TCP 19和UDP 19)、FINGER(TCP 79)等，增强设备本身的安全性。配置模板：1.3 设备系统日志l ER设备的系统日志包括告警日志及操作日志，在设备本地和日志服务器上保存，其中日志服务器记录的级别为Warnings以上。l ER设备上所有设备的系统日志要求预先设置发送至总部网管中心日志服务器，要求每天对系统日志进行检查，及时发现异常及时处理，日志在日志服务器保留期限至少三个月。l 配置系统的所有级别告警日志和操作日志，保存到本地，其中阿朗设备LOG-ID为20；华为
12、设备log缓冲区大小设置为1024。l 设备系统日志及其他信息显示时间为设备NTP时间。配置模板：1.4 设备高可靠性措施l 路由器主备引擎配置为自身支持的最优冗余保护方式，优选NSR模式。l 配置路由器控制引擎之间的配置文件和动态数据同步。l 开启CPU保护功能，防止非法流量对路由器引擎CPU的攻击。配置模板：1.5 设备负载均衡的方式目前主流厂家设备的负载均衡，可以分为两种方式：l per packet负载均衡方式l per flow负载均衡方式对于per packet方式，在转发时按照报文进入路由器的次序进行负载均衡，但容易乱序并造成TCP转发速度慢。对于per flow方式，设备实现中
13、采用Hash的方式，这种方式不会产生乱序。本期工程所采购的路由器缺省采用per flow负载均衡方式；并采用缺省或配置hash因子实现MPLS流量负载均衡。配置模板：1.6 其他特性对于ER设备未使用端口，全部关闭，防止非法用户接入。配置模板：2 网管要求2.1 省级IPRAN网管对ER的管理方式非省会地市IPRAN，通过城域ER与CN2 PE的互联链路，建立Global的EBGP peer，广播本地市IPRAN设备管理地址的汇聚路由到CN2，并接收CN2广播的本省IPRAN网管地址路由及其他地市的IPRAN管理地址路由。配置模板：2.2 NTP实现方式NTP时间同步采用分级部署方式：l ER
14、设置为二级NTP server。l B、EPC CE和BSC CE作为ER的NTP client。设备与NTP server路由交换方式如下：l ER的管理loopback地址路由和一级NTP server路由通过Global网管通道互相通告。l B、EPC CE、BSC CE的管理loopback地址路由和二级NTP server（ER）路由通过Global网管通道相互通告。配置模板：3 端口配置要求3.1 接口通用要求MTU设置要求：l 华为设备网络侧IP MTU 配置为9000字节，业务侧IP MTU配置为2000字节。l 中兴、阿朗、烽火、思科、Juniper等设备设置物理接口MTU；网络侧配置为9000字节，业务侧配置为2000字节。配置模板：以太接口的协商模式要求：l 网络侧接口采用强制模式。l 对于业务侧接口，以业务系统接口的协商模式为主。4 路由组织4.1 IGP汇聚ER、城域ER、省级ER等设备配置在相同的ISIS域。4.1.1 B-ER/ER-ER/EPC CE-ER/BSC CE-ER/省会MCE-ERB-ER、ER-ER、EPC CE-ER、BSC CE-ER、省会MCE-ER间的互联链路统一开启ISI
