GGSN網(wǎng)關GPRS支持節(jié)點__產(chǎn)品概述.doc

huawei ggsn9811 網(wǎng)關gprs支持節(jié)點 產(chǎn)品概述目 錄ggsn9811 網(wǎng)關gprs支持節(jié)點 產(chǎn)品概述目 錄第1章 概 述1-11.1 gprs/umts網(wǎng)絡結構1-11.2 華為gprs/umts分組數(shù)據(jù)業(yè)務解決方案1-21.3 ggsn9811在gprs/umts系統(tǒng)中的位置1-4第2章 產(chǎn)品特點2-12.1 大容量、高性能2-12.2 電信級的可靠性2-12.3 豐富的業(yè)務功能2-22.4 易于操作與維護2-22.5 平滑演進2-3第3章 系統(tǒng)結構3-13.1 硬件3-13.1.1 硬件配置3-13.1.2 單板簡介3-43.2 軟件3-53.3 協(xié)議接口3-63.3.1 gn/gp接口3-63.3.2 gi接口3-73.3.3 ga接口3-83.3.4 ge接口3-8第4章 業(yè)務與功能4-14.1 路由4-14.2 接入pdn4-14.3 gtp功能4-34.3.1 gtp隧道功能4-34.3.2 信令功能4-34.3.3 gtp承載ip和ppp功能4-34.4 移動ip和外地代理4-54.4.1 移動ip4-54.4.2 外地代理4-64.5 普通計費與熱計費4-64.6 內容計費4-74.7 智能預付費4-84.8 移動vpn4-94.9 安全4-104.9.1 協(xié)議安全驗證4-104.9.2 ipsec4-104.9.3 包過濾與acl4-114.9.4 gi接口重定向4-114.10 qos4-114.11 ipv64-124.12 其他4-12第5章 操作維護5-15.1 本地維護終端5-15.2 接入m2000和omc網(wǎng)管5-35.3 聯(lián)機幫助5-3第6章 可靠性6-16.1 硬件的可靠性6-16.2 軟件的可靠性6-16.3 組網(wǎng)的可靠性6-26.4 可靠性指標6-2第7章 技術指標7-17.1 性能指標7-17.2 機柜尺寸與電源7-17.2.1 機柜尺寸7-17.2.2 電源7-27.2.3 總功耗7-27.3 運行環(huán)境7-27.3.1 溫度7-27.3.2 相對濕度7-27.3.3 存儲條件7-27.3.4 emc7-27.3.5 安全7-2第8章 安裝8-18.1 硬件安裝簡介8-18.2 軟件安裝與升級簡介8-1iiihuawei ggsn9811 網(wǎng)關gprs支持節(jié)點 產(chǎn)品概述第1章 概 述第1章 概 述1.1 gprs/umts網(wǎng)絡結構當今，隨著2g gsm（global system for mobile communications，全球移動通信系統(tǒng)）經(jīng)過2.5g gprs（general packet radio service，通用分組無線業(yè)務）逐漸向3g umts（universal mobile telecommunications system，通用移動通信系統(tǒng)）的推進，移動通信逐步實現(xiàn)了廣域覆蓋、高速無線數(shù)據(jù)傳輸和與互聯(lián)網(wǎng)的融合，能夠為人們提供語音、數(shù)據(jù)、視頻等豐富多彩的業(yè)務，極大滿足了用戶隨時隨地多種方式相互通信的需求。ms：移動臺ran：無線接入網(wǎng)絡cn-cs：核心網(wǎng)電路域cn-ps：核心網(wǎng)分組域bss：gsm基站系統(tǒng)utran：全球陸地無線接入網(wǎng)bts：基站收發(fā)信臺bsc：基站控制器nodeb：umts基站rnc：無線網(wǎng)絡控制器sgsn：服務gprs支持節(jié)點ggsn/fa：網(wǎng)關gprs支持節(jié)點/外地代理cg：計費網(wǎng)關ha：歸屬代理bg：邊緣網(wǎng)關dns：域名服務器aaa：認證、授權和計費圖1-1 gprs/umts網(wǎng)絡結構如圖1-1所示，gprs/umts網(wǎng)絡主要分為以下幾部分：l ms（mobile station，移動臺）：ms是移動用戶設備，可以通過空中接口發(fā)起、接收呼叫。當進行數(shù)據(jù)業(yè)務時，ms和核心網(wǎng)分組域建立邏輯鏈路。l ran（radio access network，無線接入網(wǎng)絡）：ran處理所有與無線有關的功能。l cn-cs（core network-circuit switching，核心網(wǎng)電路交換域）：cs域提供電路型業(yè)務，連接pstn等外部電路交換網(wǎng)絡。l cn-ps（core network-packet switching，核心網(wǎng)分組交換域）：ps域提供分組數(shù)據(jù)業(yè)務，連接internet等外部pdn（public data network，公眾數(shù)據(jù)網(wǎng)）。& 說明：在gprs向umts的演進過程中，核心網(wǎng)部分的演進是平滑的。而由于空中接口的根本性變化，無線接入網(wǎng)部分的演進是革命性的。1.2 華為gprs/umts分組數(shù)據(jù)業(yè)務解決方案華為gprs/umts核心網(wǎng)分組交換域由sgsn、ggsn/fa、ha、cg和aaa server等網(wǎng)元組成，能夠將ms接入到外部pdn（packet data network，分組數(shù)據(jù)網(wǎng)絡）以完成分組數(shù)據(jù)業(yè)務，并實施計費（包括后付費和預付費）。華為gprs/umts核心網(wǎng)分組交換域主要網(wǎng)元功能描述如下：1. sgsn（serving gprs support node，服務gprs支持節(jié)點）sgsn是為提供分組數(shù)據(jù)業(yè)務而引入的一個網(wǎng)元設備。其主要的作用就是為本sgsn服務區(qū)域的ms轉發(fā)輸入/輸出的ip分組。sgsn提供以下功能：l 本sgsn區(qū)域所有移動用戶的分組數(shù)據(jù)包的路由與轉發(fā)。l 加密與鑒權功能l 會話管理功能l 移動性管理功能l 邏輯鏈路管理功能l 話單產(chǎn)生和輸出功能，主要收集用戶對無線資源的使用情況2. ggsn（gateway gprs support node，網(wǎng)關gprs支持節(jié)點）ggsn也是為提供分組數(shù)據(jù)業(yè)務功能而引入的一個新的網(wǎng)元功能實體，提供數(shù)據(jù)包在gprs/umts網(wǎng)和外部數(shù)據(jù)網(wǎng)之間的路由和封裝。ggsn主要提供以下功能： l 同外部分組網(wǎng)絡的接口功能。ggsn是ms接入外部分組網(wǎng)絡的網(wǎng)關，從外部網(wǎng)的觀點來看，ggsn就好象是可尋址gprs/umts網(wǎng)絡中所有用戶ip地址的路由器；l gprs/umts會話管理，完成ms同pdn的通信建立過程；l 接收ms發(fā)送的數(shù)據(jù)，選路到相應的外部網(wǎng)絡；或接收外部網(wǎng)絡的數(shù)據(jù)，根據(jù)其目的地址選擇gprs/umts網(wǎng)中的傳輸通道，傳給相應的sgsn；l 對于移動ip應用，需將fa功能集成到ggsn；此時，ggsn/fa既是網(wǎng)關設備，同時充當ms所拜訪網(wǎng)絡的fa；l 對于后付費業(yè)務，ggsn具有話單的產(chǎn)生和輸出功能，主要體現(xiàn)用戶對外部網(wǎng)絡的使用情況；l 對于預付費業(yè)務，ggsn作為ssp（service switching point，業(yè)務交換點），處于無線通信網(wǎng)和智能網(wǎng)的連接點，具有呼叫控制功能和業(yè)務交換功能。3. ha（home agent，歸屬代理）ha是為支持移動ip接入而新增的實體，實質上是一臺增強型的路由器，它在路由器的基礎上增加了維護ms當前位置信息的功能。ha主要功能如下：l 發(fā)送歸屬代理廣播消息，以幫助ms確定是否已返回歸屬網(wǎng)絡；l 處理ms的注冊請求并給予回復，建立ms歸屬地址和轉交地址之間的移動綁定記錄mbr（mobility binding record）；l 代理與轉發(fā)功能，ha通告ms歸屬地址網(wǎng)絡前綴的可達性，從而吸引目的地為ms歸屬地址的數(shù)據(jù)包路由到歸屬網(wǎng)絡。ha將目的地為ms的數(shù)據(jù)包封裝后，通過隧道方式發(fā)送給ggsn/fa，再由ggsn/fa再轉發(fā)給ms。4. cg（charging gateway，計費網(wǎng)關）cg是gprs/umts網(wǎng)絡中新增加的設備，主要負責收集、合并、預處理各sgsn/ggsn產(chǎn)生的話單，并提供和計費中心之間通信的接口。gprs/umts用戶一次上網(wǎng)過程的話單從多個網(wǎng)元實體中產(chǎn)生，而且每一個網(wǎng)元設備中都會產(chǎn)生多張話單，引入cg目的是為了在話單送往計費中心之前對話單進行合并與預處理，以減少計費中心的負擔；同時sgsn、ggsn這樣的網(wǎng)元設備也不需要實現(xiàn)同計費中心的接口功能。5. aaa server（authentication, authorization, accounting server，認證、授權和計費服務器）aaa server主要用于認證、授權和計費，遵循radius（remote authentication dial in user service）協(xié)議。該功能實體并非gprs/umts系統(tǒng)所專有的設備實體。6. dns（domain name system，域名系統(tǒng)）gprs/umts網(wǎng)絡中存在兩種域名服務器：一種是ggsn同外部網(wǎng)之間的dns，主要功能是對外部網(wǎng)的域名進行解析，其作用完全等同于固定internet網(wǎng)絡上的普通dns；另一種是gprs/umts核心網(wǎng)上的dns，其作用主要有兩點：l 當ms請求接入某外部網(wǎng)絡以進行分組業(yè)務時，sgsn根據(jù)接入點名稱解析出ggsn的ip地址，以建立ms到ggsn的傳輸通道；l 在sgsn間的路由區(qū)更新過程中，根據(jù)舊的路由區(qū)號碼，解析出老的sgsn的ip地址。該功能實體并非gprs/umts系統(tǒng)所專有的設備實體。7. bg（border gateway，邊緣網(wǎng)關）bg實際上就是一個路由器，主要完成分屬不同gprs/umts網(wǎng)絡的sgsn、ggsn之間的路由功能，以及安全性管理功能。該功能實體并非gprs/umts系統(tǒng)所專有的設備實體。& 說明：fa功能模塊和ha設備是移動ip接入方案的必要組網(wǎng)實體。當gprs/umts分組數(shù)據(jù)業(yè)務不規(guī)劃移動ip功能時，則不需要fa和ha。1.3 ggsn9811在gprs/umts系統(tǒng)中的位置ggsn9811是華為公司自主開發(fā)的網(wǎng)關gprs支持節(jié)點，可同時應用于2.5g gprs系統(tǒng)和3g umts系統(tǒng)。作為ms接入外部pdn的網(wǎng)關設備，ggsn9811處于gprs/umts分組核心網(wǎng)和外部pdn的連接處。ggsn9811的硬件平臺繼承自華為公司usr（universal switching router，通用交換路由器），usr的設計遵循成熟的電信工業(yè)標準，結構緊湊，是電信運營商級的網(wǎng)絡交換設備；ggsn9811的軟件基于華為公司vrp（versatile routing platform，通用路由平臺）平臺，既繼承了vrp中集成的路由技術、ip qos（quality of service，服務質量）技術、vpn（virtual private network，虛擬私有網(wǎng)）技術、安全技術等數(shù)據(jù)通信重要組件，又基于無線通信的應用在功能上進行了極大的擴充和完善。依賴于usr提供的高可靠性和高數(shù)據(jù)吞吐量的硬件平臺，依賴于將無線通信技術和數(shù)據(jù)通信技術無縫集成的軟件平臺，ggsn9811可以為gprs/umts網(wǎng)絡運營商提供理想的、靈活的無線數(shù)據(jù)通信解決方案。2-3huawei ggsn9811 網(wǎng)關gprs支持節(jié)點 產(chǎn)品概述第2章 產(chǎn)品特點第2章 產(chǎn)品特點ggsn9811具有高吞吐量、穩(wěn)定可靠、多業(yè)務、易操作、易維護、能夠平滑演進等特點。2.1 大容量、高性能ggsn9811的硬件平臺基于華為面向下一代ip網(wǎng)絡的第5代核心路由器usr（universal switching router，通用交換路由器），采用信令/控制面和數(shù)據(jù)面分離結構信令/控制面由多個高性能的通用處理器組成，數(shù)據(jù)面由多個高性能和高轉發(fā)能力的網(wǎng)絡處理器（np，network processor）組成。l ggsn9811在滿配置情況下，可同時激活的pdp（packet data protocol）上下文數(shù)量為1000000，數(shù)據(jù)吞吐量可達3gbit/s。l 當ggsn9811增加新的功能，或進行熱備份時，不會導致整體容量和性能的下降。2.2 電信級的可靠性ggsn9811在硬件、軟件和組網(wǎng)三個方面都進行了完善的可靠性設計，這使產(chǎn)品的正常運行得到有效保障。l 硬件的可靠性采用業(yè)界先進的網(wǎng)絡處理器技術、支持關鍵單板的在線插拔和熱冗余備份功能、具有雙路供電系統(tǒng)和過壓/過流保護。l 軟件的可靠性具有過載控制、流量控制、資源核查、自我故障檢測等多項功能，保障了系統(tǒng)平穩(wěn)可靠的運行；特有的話單緩存功能，保障了計費的可靠性；熱補丁技術，保證軟件升級不會影響設備正常運行。l 組網(wǎng)的可靠性備份路由和路由負荷分擔功能，消除了網(wǎng)絡的單點故障，從而提供一個高可靠的網(wǎng)絡。eth-trunk和ip-trunk功能，消除了單個端口故障對業(yè)務的影響。更詳細的信息，請參考“第6章 可靠性”。2.3 豐富的業(yè)務功能ggsn9811提供豐富的業(yè)務與功能，能夠滿足用戶多種多樣的組網(wǎng)和業(yè)務需求。主要包括：l 同時支持gtp承載ip和ppp；l 支持以透明接入和非透明接入方式將ms接入pdn；l 支持移動ip；l 同時支持后付費和預付費業(yè)務；l 支持多種主流路由協(xié)議，包括靜態(tài)路由、rip、ospf、is-is和bgp；l 提供基于diff-serv（differentiated services）的qos。支持qos標記設定；流分類、流量監(jiān)管、流量整形、隊列調度、擁塞控制；l 支持多種vpn業(yè)務，包括gre vpn、l2tp vpn 和mpls vpn；l 支持多種安全方案，包括ipsec、重定向技術、過濾技術等。更詳細的信息，請參考“第4章 業(yè)務與功能”。2.4 易于操作與維護ggsn9811提供圖形化的操作與維護工具，具有直觀、簡便與易用等特征。l 提供多種操作維護組網(wǎng)方式ggsn9811提供lmt（local maintenance terminal，本地維護終端）系統(tǒng)、華為集中網(wǎng)管系統(tǒng)imanager 2000、基于snmp接口的集中網(wǎng)管等多種網(wǎng)管形式，通過imanager 2000 corba接口的支持，還可以實現(xiàn)更豐富的網(wǎng)管組網(wǎng)需求。l 采用mml與gui相結合的操作維護方式既保留mml（man machine language，人機語言）操作簡潔快速、易接網(wǎng)管的特點，又發(fā)揮gui（graphical user interface，圖形用戶界面）形象細致，減少記憶難度的長處。l 強大的信令跟蹤及消息解釋功能ggsn9811提供對各種標準接口（如gn/gp、gi和ga等接口）和指定用戶的跟蹤，并提供對跟蹤消息的解釋功能，還可以對跟蹤消息進行過濾。l 豐富的聯(lián)機幫助文檔隨時能夠提供幫助與指導，方便用戶對設備的操作與維護。更詳細的信息，請參考“第5章 操作維護”。2.5 平滑演進平滑的擴容方式、開放性的標準和接口、著眼于未來網(wǎng)絡演進方向的設計理念，保證了ggsn9811具有持久的生命力和平滑演進的能力，能夠最大限度保護用戶的投資。l 平滑擴容，運營商可以先期部署適當?shù)娜萘?，后期隨著用戶和業(yè)務的擴展而逐步擴容。此時，ggsn9811無需變更原有硬件和接口連接，通過軟件參數(shù)設置即可完成擴容。l ggsn9811遵從3gpp協(xié)議和rfc系列協(xié)議，提供開放性接口，這一方面有助于ggsn9811和其他廠商設備的互連互通，一方面能夠與各種業(yè)務/內容服務器實現(xiàn)對接，承載日益多樣化的業(yè)務數(shù)據(jù)流。l ggsn9811的設計充分考慮了未來網(wǎng)絡的演進方向，ggsn9811后續(xù)版本將通過增加新特性來滿足網(wǎng)絡演進的需求。huawei ggsn9811 網(wǎng)關gprs支持節(jié)點 產(chǎn)品概述第3章 系統(tǒng)結構第3章 系統(tǒng)結構3.1 硬件3.1.1 硬件配置ggsn9811系統(tǒng)主要由如下部件組成：(1) ggsn機框、lanswitch和firewall eudemon200。它們裝配在華為的n68-22機柜中。(2) 當需要支持預付費業(yè)務時，還應配置ggsn no.7信令接入單元，包括gsau插框、單板、導風框、服務器、kvm和lan switch等部分。它們裝配在另一個n68-22機柜中。n68-22機柜外形如圖3-1所示，典型的機柜配置如圖3-2所示。圖3-1 n68-22機柜外形尺寸圖（單位：mm）圖3-2 ggsn9811典型的機柜配置圖（1u=44.45mm）其中：l ggsn機框為必配設備，此機框中插入ggsn9811的主要業(yè)務單板，包括sru、spu和lpu板。l lanswitch為選配設備。在實際組網(wǎng)中，設備的管理通道可通過配置lanswitch實現(xiàn)（為提高可靠性可選擇兩個lanswitch作為主備通道）；當ggsn9811同華為其他無線設備（如sgsn）一起組網(wǎng)時，可以和其他無線設備共用lanswitch，無需單獨配置。l firewall eudemon200根據(jù)客戶需求選配，如果客戶有特殊需求可自行采購。l ggsn no.7信令接入單元為選配，當需要支持預付費業(yè)務時應配置該單元。3.1.2 單板簡介ggsn機框中，典型的單板板位配置如圖3-3所示。sru: 交換與路由單元spu: 業(yè)務處理單元lpu: 線路接口處理單元圖3-3 ggsn9811單板板位配置1. sru（switching and routing unit，交換與路由單元）sru是系統(tǒng)管理的核心電路板。sru板采用主備冗余熱備份。整個ggsn9811只需配置主備兩塊sru板，固定配置在9、10槽位。sru實現(xiàn)的主要功能包括：l sru板負責搜集路由信息，并根據(jù)網(wǎng)絡拓樸結構和用戶定義的策略生成路由表，分發(fā)給lpu板和spu板。l sru板作為ggsn9811操作維護的代理，根據(jù)操作維護人員輸入的命令管理整個ggsn9811系統(tǒng)，并搜集系統(tǒng)運行參數(shù)反饋給操作維護人員。l sru板是ggsn9811的數(shù)據(jù)報文交換中心。sru板從lpu板接收數(shù)據(jù)包，并根據(jù)數(shù)據(jù)報文中攜帶的控制信息進行處理，再轉發(fā)給spu板處理。spu板處理后的數(shù)據(jù)包也要先經(jīng)過sru板，再轉發(fā)到lpu板。l sru板為lpu板提供高穩(wěn)定度的sdh時鐘信號，并且為其他設備（同級或下級的路由器設備）輸出兩路時鐘信號（2048khz和2048kbit/s）。2. spu（service processing unit，業(yè)務處理單元）spu提供ggsn9811所有的業(yè)務處理功能，包括gtp-u和gtp-c處理功能。ggsn9811最多可配置三對spu板，每對為主備冗余熱備份，一般位于3/4槽位、5/6槽位和7/8槽位。spu的處理能力決定了ggsn的容量。每對spu板的處理能力是350000pdp上下文，系統(tǒng)最大處理能力是1000000pdp上下文。gtp-u處理功能包括：l 根據(jù)已激活的pdp上下文，將來自外部pdn的數(shù)據(jù)包封裝為gtp數(shù)據(jù)包，增加路由消息和端口消息后，經(jīng)lpu板發(fā)送至對應的sgsn。l 根據(jù)已激活的pdp上下文，將sgsn來的數(shù)據(jù)包解gtp封裝，增加路由消息或vpn隧道消息后，經(jīng)lpu板發(fā)送至相鄰的pdn路由器上。gtp-c處理包括：l 處理gtp-u信令，例如路徑檢測信令；l 處理gtp-c信令；l 計費消息處理。spu板還可選配cspc（compress service processing card，壓縮業(yè)務處理卡）扣板以實現(xiàn)內容計費、ipv6用戶面、合法監(jiān)聽、ipsec加/解密等復雜功能。3. lpu（line interface processing unit，線路接口處理單元）lpu提供到外部網(wǎng)絡（sgsn、pdn、aaa server、cg等）的物理接口，這些物理接口的類型包括：l 快速以太網(wǎng)接口（fe，10/100mbit/s）l gigabit以太網(wǎng)接口（ge，1000mbit/s）l sdh承載數(shù)據(jù)包接口（pos，155/622mbit/s）l 異步轉移模式接口（atm，155mbit/s）整個ggsn9811一般配置兩塊lpu板和對端組網(wǎng)設備配合，位于1、2槽位。lpu板只負責數(shù)據(jù)包的轉發(fā)，不負責任何業(yè)務處理，所有的業(yè)務處理功能集中在spu板完成。lpu板的路由表信息由sru板下發(fā)。3.2 軟件ggsn9811軟件體系結構如圖3-4所示。圖3-4 ggsn9811軟件體系結構l om（operation and maintenance）模塊的主要功能是操作維護管理，包括設備管理、數(shù)據(jù)配置管理、告警管理、命令行解析等操作維護功能。l np（network service process）模塊實現(xiàn)gtp-u的主要功能：轉發(fā)ms發(fā)送往pdn的數(shù)據(jù)包和pdn發(fā)往ms的數(shù)據(jù)包。l sc（service control）模塊實現(xiàn)gtp-c的主要功能：處理gtp-c信令、gtp-u信令、計費信令等，sc處理完成的信令數(shù)據(jù)包要交給np去轉發(fā)。l ps（software platform service）模塊提供ggsn9811整個軟件體系的平臺業(yè)務，包括ip地址分配、與aaa間通信業(yè)務、安全、qos、vpn業(yè)務等。l lmt（local maintenance terminal）模塊提供用戶圖形化界面接口。3.3 協(xié)議接口ggsn9811提供以下協(xié)議接口，如圖3-5所示：l gsn（sgsn和ggsn統(tǒng)稱為gsn）之間的gn/gp接口l ggsn與pdn之間的gi接口l ggsn與cgf之間的ga接口l ggsn與scp之間的ge接口圖3-5 ggsn接口圖3.3.1 gn/gp接口gn是同一plmn內的gsn之間的接口，gp是不同plmn的gsn之間的接口。二者具有相同的協(xié)議層次，如圖3-6所示。圖3-6 gn/gp接口協(xié)議棧gtp（gprs tunneling protocol，gprs隧道協(xié)議）包括gtp控制平面（gtp-c）和gtp用戶平面（gtp-u）。l 在控制平面，使用信令來創(chuàng)建、修改和刪除隧道。l 在用戶平面，使用隧道機制來傳送用戶數(shù)據(jù)包。gtp包括version 0和version 1兩個版本（還有一個gtp協(xié)議用于計費），前者屬于3gpp release 98協(xié)議，用在gprs網(wǎng)絡；后者屬于3gpp release 99協(xié)議，用在3g網(wǎng)絡。gtp version 1可兼容version 0，兩者通過gtp數(shù)據(jù)包頭的版本域取值來區(qū)分。ggsn9811在gn/gp接口支持gtp版本切換。3.3.2 gi接口gi接口是ggsn與pdn之間的接口。gi接口的協(xié)議棧如圖3-7（透明接入）和圖3-8（非透明接入）。圖3-7 透明接入方式下gi接口協(xié)議棧圖3-8 非透明方式下gi接口協(xié)議棧3.3.3 ga接口ga是gsn（包括sgsn、ggsn）與計費網(wǎng)關實體cgf（charging gateway functionality）之間的接口，運行gtp協(xié)議。gtp就是用于將網(wǎng)絡單元或功能實體產(chǎn)生的話單發(fā)往cgf的協(xié)議。ga接口的協(xié)議棧如圖3-9所示。圖3-9 ga接口協(xié)議棧3.3.4 ge接口ge接口是ggsn no.7信令接入單元同scp之間的接口，以cap（camel application part）信令協(xié)議進行通信。目前主要用于預付費業(yè)務。ge接口的協(xié)議棧如圖3-10所示。圖3-10 ge信令接口協(xié)議棧結構3-9huawei ggsn9811 網(wǎng)關gprs支持節(jié)點 產(chǎn)品概述第4章 業(yè)務與功能第4章 業(yè)務與功能ggsn是gprs/umts網(wǎng)絡中必不可少的網(wǎng)關設備，它的最主要功能就是在移動通信網(wǎng)絡（umts或gprs）和分組數(shù)據(jù)網(wǎng)絡之間轉發(fā)數(shù)據(jù)包，3gpp協(xié)議沒有為ggsn定義應用業(yè)務，應用層業(yè)務功能需要isp提供。ggsn只是為應用層業(yè)務提供承載功能。4.1 路由ggsn作為gprs/umts網(wǎng)絡和pdn之間的網(wǎng)關設備，從pdn角度看，完全等同于可尋址gprs/umts網(wǎng)絡中所有用戶ip地址的路由器。ggsn9811支持目前所有主流路由協(xié)議，包括：l 靜態(tài)路由l ripl ospfv2l is-isl bgp-4l 路由策略l 備份路由4.2 接入pdnggsn把移動臺ms與外部分組數(shù)據(jù)網(wǎng)絡pdn連接起來，為用戶提供internet/intranet接入服務。ms通過接入點（ap，access point）接入分組數(shù)據(jù)網(wǎng)絡。ms接入外部數(shù)據(jù)網(wǎng)絡的方式有兩種：透明接入和非透明接入。1. 透明接入透明接入就是移動運營商充當isp，為umts或者gprs移動用戶提供數(shù)據(jù)應用業(yè)務，如電子郵件、web瀏覽等。圖4-1是透明接入方式的一個示例。在運營商的ip網(wǎng)絡中，可以提供www服務器、郵件服務器、dns服務器等設備。在同外部網(wǎng)連接處，設置了一個防火墻，以對非法的訪問進行屏蔽。圖4-1 透明接入外部ip網(wǎng)示例在透明接入的情況下，ms的ip地址由移動運營商從自己的ip地址空間中分配，可以是移動用戶開戶、簽約時分配的靜態(tài)ip地址，也可以是在pdp上下文激活階段由ggsn分配的動態(tài)ip地址。ggsn分配給ms的動態(tài)ip地址，可以是通過數(shù)據(jù)配置分配給該接入點（ap）的內部ip地址池中的地址，也可以是aaa server或dhcp server分配的動態(tài)ip地址。在pdp上下文激活時，ms可以不攜帶用戶身份信息，ggsn也可以不對用戶身份進行驗證和鑒權。也可以根據(jù)運營商的要求，在透明接入時，對用戶身份進行鑒權和驗證。2. 非透明接入這種方式適用于網(wǎng)絡運營商和isp分離的模式。圖4-2是非透明接入的一個示例。圖4-2 非透明接入到isp/企業(yè)網(wǎng)示例非透明接入方式下，分配給移動用戶的ip地址屬于isp或企業(yè)網(wǎng)的地址空間，該地址可以是在簽約時確定的ip地址（靜態(tài)地址），也可以是在pdp上下文激活階段獲得的地址（動態(tài)地址）。ggsn分配給ms的動態(tài)ip地址，可以是通過數(shù)據(jù)配置分配給該接入點（ap）的內部ip地址池中的地址，也可以是aaa server或dhcp server分配的動態(tài)ip地址。在pdp上下文激活時，ms需要攜帶用戶身份和驗證信息，ggsn收到激活請求后，轉發(fā)給aaa server對用戶身份進行鑒權、授權。4.3 gtp功能4.3.1 gtp隧道功能ggsn的gtp隧道功能主要用于在sgsn和ggsn之間轉發(fā)數(shù)據(jù)。從pdn來的數(shù)據(jù)包，在ggsn加gtp封裝，通過sgsn和ggsn之間的gtp隧道，轉發(fā)到sgsn。從sgsn來的數(shù)據(jù)包，經(jīng)gtp隧道，到達ggsn，在ggsn去掉gtp封裝，再轉發(fā)到pdn。gtp隧道是一條雙向的點到點連接，由隧道兩端節(jié)點的隧道標識符、udp端口號和ip地址共同定義。4.3.2 信令功能ggsn的信令功能包括：創(chuàng)建、更新和刪除ggsn中的pdp上下文，以及部分移動性管理功能。當正在進行數(shù)據(jù)業(yè)務的ms發(fā)起sgsn間的路由區(qū)更新流程時，ggsn會將隧道連接的端點轉移到新的sgsn上，以確保ms的數(shù)據(jù)業(yè)務不會中斷。ggsn的信令功能實體管理激活的pdp上下文，還包括管理gprs/umts核心網(wǎng)上的gtp信令，以及在pdp上下文激活階段為移動終端分配動態(tài)ip地址。4.3.3 gtp承載ip和ppp功能ggsn9811支持gtp承載ip、ppp兩種pdp類型，而且ppp類型用戶數(shù)據(jù)、ip類型用戶數(shù)據(jù)既可終結在ggsn上，也可通過l2tp隧道續(xù)傳到lns端。圖4-3 gtp承載ip和ppp示例當gtp承載ppp時，可利用壓縮功能來提高鏈路傳輸效率。在企業(yè)網(wǎng)應用時，gtp直接承載ppp可以使企業(yè)直接利用原有的固網(wǎng)vpn網(wǎng)關設備，無需更改配置、組網(wǎng)信息，做到固網(wǎng)、移動用戶融合統(tǒng)一管理。另外gtp承載ppp時，l2tp隧道可以實時建立、刪除，而目前企業(yè)網(wǎng)的應用，由于gtp承載的是ip，只能利用gre等協(xié)議構建的vpn隧道，這樣就要求企業(yè)網(wǎng)vpn網(wǎng)關事先要和所有的ggsn構建好隧道，配置較復雜。圖4-4 ppp再生應用示例gtp承載ip和ppp是3gpp協(xié)議規(guī)定的基本功能，但目前大部分手機終端只支持ip承載，只有部分手機終端支持ppp承載業(yè)務。而企業(yè)用戶希望利用現(xiàn)有l(wèi)ns和aaa設備接入企業(yè)網(wǎng)，而且不更改目前的網(wǎng)絡結構和配置，華為ggsn提供了一種解決方案解決上述問題，這種手段就是ppp再生。ggsn會在用戶激活的時候根據(jù)激活請求中的用戶信息（用戶名、口令字），同lns進行協(xié)商建立ppp會話。會話建立成功后，也會用ppp封裝用戶的ip報文，進行ppp續(xù)傳。這時ppp的起點和終點是在ggsn和lns之間。4.4 移動ip和外地代理4.4.1 移動ip上述ms接入pdn的方式只能支持ms主動發(fā)起的分組數(shù)據(jù)業(yè)務；而且，當ms發(fā)生跨鏈路移動（切換了ggsn）時，則會中斷現(xiàn)有的數(shù)據(jù)業(yè)務并需重新配置或協(xié)商ip地址。為解決日益頻繁的ms移動問題，華為gprs/umts分組數(shù)據(jù)業(yè)務解決方案包括了對mip（mobile ip，移動ip）的支持。mip是一種在ip網(wǎng)絡上提供移動功能的方案，它使節(jié)點在切換鏈路時仍能保持現(xiàn)有的通信，并使用一個永久ip地址（歸屬地址）連接到任何鏈路上。也就是說，當ms發(fā)生跨ggsn切換時，仍然能夠保持原有的ip地址和原有的會話，數(shù)據(jù)業(yè)務不致中斷。在移動ip模型下，除ggsn和aaa server外，核心網(wǎng)分組交換域的組網(wǎng)實體還包括ha；同時，ggsn自身還應集成fa的功能。ggsn9811所實現(xiàn)的mip業(yè)務流程如下：(1) 移動用戶發(fā)起分組業(yè)務請求，通過ran，ms和ggsn9811/fa建立gtp鏈路；(2) ggsn9811/fa發(fā)送代理廣播消息通告它的fa服務，消息中帶有ggsn9811/fa的某個ip地址作為ms的外部代理轉交地址；(3) 支持mip功能的ms通過ggsn9811/fa向ha發(fā)送注冊請求通告其轉交地址（即當前所在位置信息）；(4) ggsn9811/fa通過與aaa server之間的鑒權消息對ms進行認證或為其動態(tài)分配ha；鑒權通過后，ggsn9811/fa向ha轉發(fā)ms的注冊請求消息；(5) ha檢查注冊消息有效性，為ms分配歸屬地址（可通過本地地址池、aaa server或dhcp server分配），創(chuàng)建移動綁定表（即歸屬地址和外部代理轉交地址的對應關系），創(chuàng)建和ggsn9811/fa之間的隧道，然后向ggsn9811/fa發(fā)送注冊響應報文；ggsn9811/fa將注冊響應報文轉發(fā)給ms；(6) ha通告ms歸屬地址網(wǎng)絡前綴的可達性，從而吸引目的地為ms歸屬地址的數(shù)據(jù)包路由到歸屬網(wǎng)絡。ha通過隧道將這些數(shù)據(jù)包傳送給ggsn9811/fa；在ggsn9811/fa，原始數(shù)據(jù)包被從隧道中提取出來轉發(fā)給ms；(7) 相反，由ms發(fā)出的數(shù)據(jù)包遵循簡單ip的轉發(fā)流程，由ggsn9811/fa作為缺省路由器直接發(fā)送到pdn的目標節(jié)點上，而不必通過ha。但如果申請了反向隧道，數(shù)據(jù)包也可以通過ggsn9811/fa和ha之間的反向隧道到達ha，再由ha轉發(fā)出去。4.4.2 外地代理在移動ip接入的模型下，ggsn除作為gprs/umts網(wǎng)絡和pdn之間的網(wǎng)關設備，還應集成fa的功能。fa能夠為ms提供外地代理轉交地址，負責所注冊ms的選路服務，把從ha通過隧道傳來的數(shù)據(jù)包轉發(fā)給ms。ggsn9811所支持的fa功能如下：l 代理廣播：通過發(fā)送代理廣播消息幫助ms判斷自身是否移動，并給ms提供外地代理轉交地址及其他信息；l 處理注冊消息：根據(jù)ms的注冊消息中各字段內容對注冊消息的合法性進行判定、必要情況下發(fā)送給aaa server進行鑒權，并將合法注冊消息轉發(fā)給ha處理；l 認證擴展：注冊過程是一個易受攻擊的環(huán)節(jié)，這要求必須對ms和ha之間的注冊消息進行認證。ggsn9811/fa支持注冊消息的認證擴展，包括ms和fa間的認證，fa和ha間的認證；l 支持正向隧道和反向隧道：ggsn9811/fa通過隧道承載ms和ha間的ip流量。在正向隧道（起點為ha，終點為fa的隧道），fa對來自ha的ip流解封裝后轉發(fā)給ms。在反向隧道（起點為fa，終點為ha的隧道），fa封裝ms發(fā)送的數(shù)據(jù)流后通過隧道轉發(fā)給ha。ggsn9811/fa支持三種隧道封裝方式：ip in ip封裝、最小封裝和gre封裝；l 數(shù)據(jù)包傳送：通過正向隧道獲得由ha轉發(fā)的數(shù)據(jù)包并傳送給ms；遵循簡單ip轉發(fā)流程或通過反向隧道轉發(fā)ms發(fā)送的數(shù)據(jù)包。4.5 普通計費與熱計費ggsn9811提供豐富的計費功能，使得運營商可以對客戶進行靈活的計費。ggsn生成g-cdr（ggsn call detail record，ggsn 呼叫詳細記錄），通過ga接口發(fā)送給cgf，cgf對cdr進行處理后，發(fā)送到計費中心，計費中心完成計費處理。g-cdr是ggsn側產(chǎn)生的數(shù)據(jù)業(yè)務計費話單，記錄與外部網(wǎng)絡使用相關的計費信息。當移動用戶激活pdp上下文時新建并打開話單，開始計費；當pdp上下文去激活時，關閉話單，停止計費。每個激活的pdp上下文都有各自對應的g-cdr話單。ggsn9811計費功能的特點如下：1. 定時產(chǎn)生話單用戶長時間使用一個數(shù)據(jù)連接時，每隔指定的時間間隔，計費系統(tǒng)可以生成一張話單。計費時間間隔可以配置。2. 按流量產(chǎn)生話單當用戶每傳輸一定流量的數(shù)據(jù)后，計費系統(tǒng)可以產(chǎn)生一張話單。流量閾值可以配置。3. 按計費條件改變次數(shù)產(chǎn)生話單當計費條件（如qos、費率等）改變達到一定次數(shù)后，可以觸發(fā)產(chǎn)生話單。計費條件改變次數(shù)可以配置。4. 按sgsn改變次數(shù)產(chǎn)生話單一次連接過程中，當sgsn地址改變達到一定次數(shù)后，計費系統(tǒng)就產(chǎn)生一張話單。sgsn改變次數(shù)可以配置。5. 多費率時間段ggsn支持靈活的費率時間段設置，按照費率時間段分別統(tǒng)計流量。6. cg選擇功能ggsn支持cg選擇功能。如果cg配置為同級別，則在多個pdp上下文激活時，對不同的pdp上下文可以根據(jù)配置選擇同級別較空閑的cg發(fā)送話單，實現(xiàn)cg的負荷分擔。如果cg配置為不同級別，則可以根據(jù)配置優(yōu)先選擇級別高的cg發(fā)送話單。7. 熱計費熱計費用戶與普通計費用戶相比，除了產(chǎn)生cdr的頻率高外，沒有其他的區(qū)別。4.6 內容計費隨著各種新業(yè)務的引入，基于數(shù)據(jù)量或基于時長的計費已經(jīng)無法完全適應運營商的需求?；谒鶄鬏敂?shù)據(jù)內容的價值，來制定不同的費率表，即內容計費，使得數(shù)據(jù)供應商可以不僅僅對網(wǎng)絡上基本的接入服務計費，而且有能力對所使用的各種數(shù)據(jù)內容以及應用進行計費，從而實現(xiàn)業(yè)務的增值。ggsn9811產(chǎn)品支持運營商對每個用戶訪問指定服務器、端口的流量、時間進行監(jiān)控，這樣可以按照不同的應用層協(xié)議定價與計費，目前支持應用層協(xié)議有：ftp，http，telnet、smtp、pop3、wap等。對于http業(yè)務流，這種監(jiān)控還可以基于uniform resource locator （url） 地址實現(xiàn)：可以配置多個url內容規(guī)則，一旦用戶訪問了和某個url內容規(guī)則匹配的網(wǎng)頁，運營商可以獲取此信息，并相應計費。運營商可以依據(jù)其業(yè)務市場策略和價格機制，以及其與internet內容提供商的關系，對一個特定的內容計費規(guī)則來定義一個特殊的業(yè)務費率（零費率，全費率，或者其他多種費率）。內容計費產(chǎn)生的話單可以通過g-cdr的擴展屬性通過ga接口傳送，也可以在ggsn上根據(jù)用戶設置的費率信息，直接生成計費記錄。4.7 智能預付費華為ggsn9811預付費系統(tǒng)是在移動網(wǎng)基礎上開發(fā)的，通過與智能網(wǎng)結合而形成的一種移動智能網(wǎng)業(yè)務。移動智能網(wǎng)呼叫主要是通過scp（service control point）和ssp（service switching point）的協(xié)作來完成的。l scp系統(tǒng)是智能網(wǎng)的核心構件，其主要功能是根據(jù)ssp上報來的呼叫事件啟動不同的業(yè)務邏輯，根據(jù)業(yè)務邏輯向ssp發(fā)出呼叫控制指令，從而實現(xiàn)各種智能呼叫。l ssp是通信網(wǎng)與智能網(wǎng)的連接點，具有接收和識別智能業(yè)務呼叫，并向scp報告，同時接受scp發(fā)來的控制命令的功能。ggsn9811提供了gprsssf（gprs service switch function）功能，即它充當了移動智能網(wǎng)中的ssp，可以在gprs/umts網(wǎng)絡上快速支持智能預付費功能。gprsssf與scp進行交互，實現(xiàn)scp對當前用戶pdp上下文激活的控制，同時在用戶進行數(shù)據(jù)通訊時，可以對當前的pdp進行監(jiān)控。scp根據(jù)用戶數(shù)據(jù)庫中的信息，判斷該用戶的帳戶金額是否足夠，申請的服務是否允許，并依此控制用戶激活過程。在智能用戶業(yè)務激活后，gprsssf根據(jù)scp的要求上報計費信息，由scp進行計費。傳統(tǒng)的移動智能網(wǎng)是基于sgsn/ssf的cap3的方案，需要升級全網(wǎng)的sgsn支持gprsssf、升級全網(wǎng)的hlr支持gprs-csi。而基于ggsn/ssf的cap3的方案無需sgsn、hlr升級，全網(wǎng)配合簡單，便于快速開展業(yè)務，而且很好的解決了預付費用戶漫游的問題。& 說明：基于sgsn的預付費功能在漫游上有一些目前不能克服的困難：l 不能保證漫游地的sgsn也支持gprsssf；l 即使能夠支持，按照camel協(xié)議的規(guī)定，一個plmn的用戶漫游到另一個plmn的新sgsn，新的sgsn需要連接到原有plmn的scp，而運營商從安全等方面考慮，是不會將scp開放接口給其他運營商的。目前的實際應用中還沒有基于sgsn/ssf的pps用戶漫游的成功案例。由于ip地址的分配、管理等原因，目前業(yè)界的通用做法都是漫游用戶由歸屬地的ggsn接入，因此基于ggsn/ssf的pps方案可以很好的解決上面的問題。4.8 移動vpnmvpn（mobile virtual private network，移動虛擬私有網(wǎng)）是指在移動數(shù)據(jù)網(wǎng)絡上實現(xiàn)vpn業(yè)務。通過在公共的基于分組交換的網(wǎng)絡上構建的專有網(wǎng)絡，將移動用戶遠程安全地接入到企業(yè)網(wǎng)，這省去了租用昂貴的專線的花費，同樣具有安全性、可靠性和可管理性等特點。具體對gprs/umts網(wǎng)絡，通過ggsn和企業(yè)的vpn網(wǎng)關之間建立企業(yè)專用的隧道，采取遠端用戶驗證以及隧道數(shù)據(jù)加密技術，可以將ms安全可靠地接入企業(yè)網(wǎng)。ggsn9811支持mpls、gre和l2tp等隧道技術，運營商可以靈活地為客戶選擇最合適的安全方案，組建vpn。1. mpls l3 vpnmpls l3 vpn是利用ip骨干網(wǎng)提供vpn的技術。它利用mpls lsp在ip骨干網(wǎng)上轉發(fā)數(shù)據(jù)包，mpls lsp 應具備高級別的可靠性。利用bgp在ip骨干網(wǎng)上分發(fā)vpn路由，使不同的vpn成員之間流量完全分開。ggsn9811支持mpls l3 vpn，并符合ietf rfc2547的規(guī)定。2. l2tp vpnl2tp隧道是一種二層隧道技術，它利用ip網(wǎng)絡建立l2tp隧道，并將數(shù)據(jù)封裝成ppp利用l2tp隧道傳送。ggsn9811具備lac（l2tp access concentrator）功能，支持利用l2tp隧道組建vpn傳輸pdp pdu，無論pdp pdu的類型是ppp還是ip，實現(xiàn)的l2tp隧道符合rfc2661的規(guī)定。3. gre vpngre隧道是一種三層隧道技術，實現(xiàn)任意一種網(wǎng)絡層協(xié)議在另一種網(wǎng)絡層協(xié)議上的封裝。ggsn9811支持gre隧道技術，通過gre可以利用ip網(wǎng)絡協(xié)議來傳輸上層協(xié)議，從而提供vpn功能。實現(xiàn)的gre隧道符合rfc 1702和rfc 1701的規(guī)定。圖4-5是使用gre組建vpn，實現(xiàn)網(wǎng)絡互聯(lián)的一個示例。圖4-5 ggsn使用gre實現(xiàn)vpn對于使用gre的用戶，在發(fā)送用戶報文時，先對用戶報文進行gre封裝，然后從gi接口發(fā)送；對端路由器接收到該報文后，首先進行gre解封，然后將報文發(fā)往目的設備，目的設備處理完畢后，回響應報文，響應報文在對端路由器進行gre封裝，然后發(fā)往ggsn，當gi接口收到gre封裝的報文后，進行gre解封，然后再進行gtp封裝，轉發(fā)至移動臺目前所在的sgsn。4.9 安全ggsn9811的設計充分考慮了安全策略的實施。4.9.1 協(xié)議安全驗證ggsn9811支持下列的協(xié)議安全驗證：l 在簡單ip接入時，ggsn9811通過與aaa server交互對ms進行認證與授權；l 在移動ip接入時，ggsn9811需要對ms和ha之間的注冊消息進行驗證。ggsn9811/fa支持注冊消息的認證擴展，包括ms和fa間的認證，fa和ha間的認證；l ggsn9811對重要的路由協(xié)議（rip v2、ospf、is-is、bgp）提供多種驗證方法（明文驗證、md5、hmac-md5）。4.9.2 ipsecipsec（ip security）協(xié)議族是ietf制定的一系列協(xié)議，它為ip數(shù)據(jù)報提供了高質量的、可互操作的、基于密碼學的安全性。特定的通信方之間在ip層通過加密與數(shù)據(jù)源驗證等方式，來保證數(shù)據(jù)報在網(wǎng)絡上傳輸時的私有性、完整性、真實性和防重放。ipsec通過ah（authentication header，認證頭）和esp（encapsulating security payload，封裝安全載荷）這兩個安全協(xié)議來實現(xiàn)上述目標。并且還可以通過ike（internet key exchange，因特網(wǎng)密鑰交換協(xié)議）為ipsec提供了自動協(xié)商交換密鑰、建立和維護安全聯(lián)盟的服務，以簡化ipsec的使用和管理。ggsn9811在gn/gp接口、gi接口、ga接口、物理接口和操作維護接口均支持ipsec，可以和sgsn、aaa server、cg、ha、路由器、維護主機等各種組網(wǎng)實體之間建立ipsec隧道，對其間的數(shù)據(jù)流進行驗證或加密，保證數(shù)據(jù)報文的安全性。ggsn9811所支持的ipsec功能如下：l 實現(xiàn)md