CN101304368A - 一种网络设备间传送策略信息的方法 - Google Patents

Abstract

一种在网络设备间传送策略信息的方法，对以IP上行的宽带用户接入设备与BAS之间的二层、三层或更高的应用层报文的协议类型进行扩展，增加一种策略信息传送协议，利用策略信息传送协议报文来承载策略信息；策略信息传送协议报文包括策略信息传送类型字段、操作类型字段和策略信息内容字段，不同类型的策略信息通过策略信息传送类型字段来区分；策略信息的传送通过二层点对点通信或者广播通信方式来实现，或由三层或更高的应用层通过单播或广播的方式来实现。利用本发明可防止帐号盗用和黑客攻击，方便实现宽带用户接入设备针对不同用户的QOS动态策略调整，并使网上设备易于实现集中维护管理。

Description

一种网络设备间传送策略信息的方法

本申请是申请日为2004年6月3日，申请号为：200410037136.6，发明名称为《一种网络设备间传送策略信息的方法》的分案申请。

技术领域

本发明涉及通信技术领域，尤其涉及一种在网络设备，如数字用户线路接入复用器(DSLAM)与宽带接入服务器(BAS)间，传送策略信息的方法。

背景技术

随着INTERNET(因特网)的高速发展，宽带上网用户急剧增加。在运营商大规模建设宽带网络的过程中，组网模式经历了从ATM数字用户线路接入复用器(ATM DSLAM)向1P数字用户线路接入复用器(IPDSLAM)的转变。ATM DSLAM的上行采用ATM(异步传输模式)端口的DSLAM，而IP DSLAM的上行则是采用GE或FE端口的DSLAM。由于网上电影、视频业务、在线游戏以及IP电话的盛行，用户对带宽及实时业务的要求越来越强烈，运营商针对不同用户或者业务提供区别服务显得越来越重要；随着网络规模的不断壮大，上网人数的不断增多，网上出现的账号盗用和黑客攻击大有越演越烈之势；另外如何对现有网上设备实现简单、便利和快速的管理维护，也是各大运营商迫切需要解决的问题。

针对黑客攻击，目前宽带设备的主要做法是采用用户隔离的方式来阻断用户对其他用户的影响，将其造成的破坏限制在一个很小的范围内。在采用ATM上行的DSLAM(数字用户线路接入复用器)组网中，通常是采用为每一个ADSL(不对称数字用户线路)用户建立一条DSLAM到宽带接入服务器(BAS)的永久虚电路(PVC)，不同PVC之间相互隔离；IPDSLAM组网模式则是通过为每一个用户分配一个VLAN ID(虚拟局域网标识)来阻断不同用户之间的互访。

针对帐号盗用，目前的解决方法是将用户的帐号与端口标识进行绑定，配合RADIUS SERVER(远程拨号认证服务器)来完成对用户合法性的判断。用户的端口标识，在ATM DSLAM中为用户PVC(永久虚电路)；在IP DSLAM中则是VLANID(虚拟局域网标识符)，用户PVC或者用户VLAN ID与实际上网用户是一一映射关系。BAS设备捕获用户的认证报文，取出用户的帐号信息并连同用户的端口信息(VLANID或者PVC中的虚路径标识符VPI、虚通道标识符vCI)上交给RADIUS SERVER，由RADIUS SERVER判断用户的帐号和端口标识是否合法，从而决定用户是否可以上网。

视频业务、网上电影以及VOIP等业务需要网络设备能够针对不同业务实现区别服务，即要实现QOS(服务质量)功能。QOS带宽保证目前有两种做法，即集成服务模型(Integrated service)和差分服务模型(Differentiated service)。

1、集成服务模型在发送报文前需要向网络申请特定的服务，这个请求是通过信令(signal)来完成的，应用程序首先通知网络它自己的流量参数和需要的特定服务质量请求，包括带宽、时延等，应用程序一般在收到网络的确认信息，即网络已经为这个应用程序的报文预留了资源后，发送报文，而应用程序发出的报文应该控制在流量参数描述的范围内。

2、差分服务模型与集成服务不同，它不需要信令，即应用程序在发出报文前，不需要通知路由器。对差分服务，网络不需要为每个流维护状态。它根据预先设定好的服务策略，或者进入设备的报文优先级，为每个报文按照服务类型服务。

BAS设备作为智能业务交换机，需要接收RADIUS SERVER或者策略服务器下发的ACL规则以及QOS策略信息，BAS设备则对接收到的用户报文进行QOS策略控制。由于QOS是基于端到端的一种服务，因此DSLAM设备同样需要对用户的报文根据报文业务类型的不同进行带宽、时延、抖动的控制以及调度管理等，但DSLAM设备作为用户端口的汇聚和透传的二层设备，本身对业务的支持能力较弱，不可能也不会与像策略服务器这样的设备进行策略信息的交互，自身配置QOS规则同样无法实现针对不同用户的动态QOS策略调整。

对DSLAM的管理维护，目前大都是分散管理，即每一个DSLAM设备都需要一个维护终端，当配置某一个ADSL用户数据，需要登陆到相应的DSLAM上进行设置。

现有技术的缺点在于：

1、采用IP DSLAM上行的组网模式大多是FE接口上行经过LANSWITCH(局域网)汇聚后以GE接口接入BAS设备。现有的IEEE802.1Q协议规定的VLAN ID为12比特，最大支持4096个用户，如果采用每个用户一个VLAN ID的方式，一个GE口汇聚的用户最大4096，当用户端口数超过4096，势必多个用户共享一个VLANID，无法防备帐号盗用和黑客攻击。

ATM DSLAM则采用为每个用户分配一条PVC，用户与PVC之间是一一对应的关系，PVC的数量由VPI和VCI的值来决定。根据ATM信元中VPI和VCI的定义，在用户网络侧，VPI为8个比特，VCI为16个比特，共可支持256(VPI)x65536(VCI)＝16777216个用户，完全可以满足DSLAM接入的用户的需要，ATM DSLAM不存在上述问题。

2、D SLAM设备作为一个二层设备，它的主要作用是用户端口的汇聚与数据报文的透传，而它的业务处理能力非常弱(或者根本就不具备)。对于QOS的集成服务模型，DSLAM设备需要运行QOS资源预留协议，对DSLAM设备的性能要求较高，目前的DSLAM设备无法实现；而对于差分服务模型，DSLAM需要自行配置ACL(访问控制表)和QOS策略，这样，无法实现针对用户的动态QOS策略调整。

3、分散式的数据配置管理，造成了管理维护的不便利性，加重了维护运营的成本。

发明内容

本发明所要解决的技术问题是：克服现有的宽带上网中出现的帐号盗用和黑客攻击，以及网上设备管理维护不方便的不足，提供一种网络设备间传送策略信息的方法，用来传送用户物理端口信息、QOS策略信息及用户数据配置或维护信息，从而避免帐号盗用和黑客攻击，方便实现QOS动态策略调整，并使宽带用户接入设备易于实现集中维护管理。

本发明为解决上述技术问题所采用的技术方案为：

一种网络设备间传送组播信息的方法，其特征在于，包括以下步骤：

a.宽带接入服务器通过协议报文将组播权限信息发送给宽带用户接入设备；

b.宽带用户接入设备根据所述协议报文中的所述组播权限信息配置组播权限表。

本发明的有益效果为：本发明提供了一种在宽带网络设备之间传送策略信息的方法，此方法独立于其他任何协议，可以单独使用，也可以与其他协议协同使用，共同完成某项功能。本发明可以通过二层点对点通信或者广播通信方式来实现，也可以由三层或更高的应用层通过单播或广播的方式来完成策略信息的获取或传送，实现方式非常灵活。

本发明通过采用策略信息传送协议(PITP)在以IP上行的宽带用户接入设备(DSLAM或二层交换机)和BAS之间传送用户的物理端口信息，以IP上行的宽带用户接入设备收到PITP端口信息请求报文后，将指定用户的物理端口信息封装在PITP回应报文中返回给BAS设备，BAS设备记录用户的上网端口信息，与用户帐号信息一起通过RADIUS报文发给RADIUS SERVER进行认证确认，由于RADIUS SERVER配置有用户帐号与端口信息的关系，因此可以很容易根据RADIUS认证报文中的用户帐号信息和端口信息判断用户的合法性。本发明解决了IP DSLAM中采用IP上行时VLANID资源不足的问题，防止了用户帐号盗用和黑客攻击。

本发明还解决了在QOS实现中以IP上行的宽带用户接入设备无法获取带宽及QOS策略信息，无法实现针对用户的动态QOS策略调整的问题，本发明中BAS设备可以通过PITP协议来完成对以IP上行的宽带用户接入设备的QOS策略信息的下发，这样，对以IP上行的宽带用户接入设备的性能不需要过高的要求，并可以方便地实现针对不同用户的动态QOS策略调整。

本发明还通过在BAS设备和以IP上行的宽带用户接入设备之间运行PITP协议，传送宽带用户接入设备的命令行配置信息，从而在BAS设备上实现了对宽带用户接入设备的集中管理，使宽带用户接入设备的管理维护非常方便，并节省了维护的成本。对于其它需要在以IP上行的宽带用户接入设备和BAS之间传递的策略信息也可以非常方便地实现。

附图说明

图1为本发明DSLAM与BAS直连时传送策略控制信息的方法原理示意图；

图2为本发明DSLAM通过汇聚设备汇聚到BAS时传送策略控制信息的方法原理示意图。

具体实施方式

下面根据附图和实施例对本发明作进一步详细说明：

如图1所示，为了解决现有技术的不足，本发明通过在DSLAM与BAS之间定义一种策略信息的传送方法(以下简称PITP，即策略信息传送协议)，用来传送用户物理端口信息、QOS策略信息以及用户数据配置或者维护信息等(通过PITP承载的信息包括但不限于上面提到的信息)。所述的用户物理端口信息如用户所在DSLAM上的框槽端口信息，以及用户在DSLAM上的唯一标识索引等等；所述的QOS策略信息包括带宽(Bandwidth)/吞吐量(Throughput)、时延(Delay)、时延抖动(Jitter)、丢失率(Loss Rate)和ACL控制策略信息等等；

端口信息获取、QOS策略下发以及配置维护信息传送这三种不同策略信息可以通过PITP协议中的策略信息传送类型字段来区分，可以先将策略信息传送类型定为上述三种，以后新的策略信息类型可以很方便地进行扩展。策略信息传送类型字段是PITP协议中定义用来标识策略信息传送类型的字段，它的长度为两个字节(也可以是其它长度)，共可标识65535种策略类型.上面提到的三种策略信，息分别对应于其中一种，比如0x0001、0x0002和0x0003，以后扩展的类型依次向后定义。

此协议独立于其他任何协议，它可以单独使用，也可以与其他协议协同使用，共同完成某项功能。此协议可以通过二层点对点通信或者广播通信方式来实现，也可以由三层或更高的应用层通过单播或广播的方式来完成策略信息的获取或传送。无论采用哪一层次协议来实现，都需要对相应层次报文的协议类型进行扩展，以便定义一种新的协议报文来承载PITP协议的报文内容，比如以太网的二层方式需要扩展以太类型，三层IP则需扩展IP包头中的协议类型。具体描述如下：

1、对于二层点对点方式，存在两种组网模式：

(1)如图1所示，DSLAM与BAS之间采用直连；

(2)如图2所示，DSLAM通过LANSWITCH(局域网交换机)汇聚到BAS，此时PITP也可以运行在与用户直接相连的LANSWITCH与BAS之间，由LANSWITCH进行协议报文的透传。对于第(1)种方式PITP协议的发送方(DSLAM或BAS)需要知道对端接收方的二层地址信息，以便构造二层报文头；第(2)种方式还需要定义一个设备标识来唯一标识一个DSLAM设备，这样做的好处是不同DSLAM之间的报文可以相互隔离。对于ATM网可以在DSLAM和BAS之间单独定义一条PVC来传送策略信息报文；以太网则用VLAN ID来标识一个DSLAM设备，VLAN ID与DSLAM可以一对一，也可以是多对一，但接入到同一个BAS端口上的DSLAM设备的VLAN ID不能重复。在本发明PITP协议中VLANID是用来标识DSLAM设备，而正常情况下，DSLAM与BAS之间VLANID是用来标识用户端口信息的。

2、对于二层广播方式，同样存在上述两种组网模式。与二层点对点方式的区别主要是PITP请求报文的目的地址是广播地址，DSLAM接收方需对接收到的每一个广播报文的协议类型进行分析，如果协议类型是PITP请求报文，则要按照PITP协议进行处理。

3、其他像三层或更高的应用层来承载PITP协议，实现方法与二层类似，这里不在一一叙述。

下面详细阐述一下端口信息获取、QOS策略下发以及配置维护信息的实现流程，其他策略信息可以参照这三种类型进行相关扩展。

1、宽带用户端口信息的获取

(1)BAS设备在检测到用户上网并准备或开始发起认证请求时，通过PITP协议向DSLAM设备发起端口信息请求报文，报文中封装有策略信息传送类型、操作类型以及被查询的用户二层MAC地址等，其中信息传送类型指定为端口信息查询类型，操作类型为请求查询。

(2)DSLAM收到PITP端口信息请求报文后，将指定用户的物理端口信息封装在PITP回应报文中返回给BAS设备。

(3)BAS设备记录用户的上网端口信息，与用户帐号信息一起通过RADIUS报文发给RADIUS SERVER进行认证确认，由于RADIUSSERVER配置有用户帐号与端口信息的关系，因此可以很容易根据RADIUS认证报文中的用户帐号信息和端口信息判断用户的合法性。而现有的IP DSLAM组网模式的认证方式是采用将用户的帐号与VLAN ID绑定，配合RADIUS SERVER来完成对用户合法性的判断，由于VLANID数不够，用户端口与VLAN之间不能做到一一对应，因此无法实现用户端口与帐号的一一绑定，易造成帐号盗用。

2、QOS策略下发

为了解决DSLAM设备无法实现针对用户的动态QOS策略调整的问题，BAS设备可以通过PITP协议来完成对DSLAM设备的QOS策略信息的下发，从而使DsLAM设备可以方便地实现针对用户的动态QOS策略调整，具体流程为：

(1)当BAS设备接收到RADIUS SERVER或者策略服务器下发的AcL规则以及QOS策略信息后，一方面更新本设备用户的策略信息表，另一方面将此用户的QOS信息封装在PITP协议中发送给用户对应的DSLAM设备，此时报文中封装的策略信息传送类型为QOS策略信息类型，操作类型为QOS下发。

(2)DSLAM设备接收到BAS发给它的PITP协议报文，解析出QOS策略信息，更新用户信息表，同时向BAS设备回应PITP确认报文。

3、配置维护信息

设备的管理维护包括网管和命令行两种方式。网管只需要一台网管终端设备及网管软件，即可维护多台DSLAM设备；而对于命令行方式，则需要每台网络设备维护一个控制终端来实现对设备的配置管理。本发明通过在BAS设备和DSLAM之间运行PITP协议，用来传送DSLAM设备的命令行配置信息，从而在BAS设备上实现对DSLAM的集中管理，从而使DSLAM设备的管理维护非常方便，并节省了维护的成本。具体流程为：

(1)在BAS命令行下通过选定DSLAM的设备ID进入某个DSLAM配置管理模式，在此模式下的命令行配置信息将被BAS打包通过PITP协议传送到指定的DSLAM；

(2)DSLAM解析出PITP配置报文，分解出操作类型(指配置动作和查询动作)与数据参数，并根据操作类型完成数据的配置或查询，配置或查询结果将以PITP响应报文的方式返回给BAS设备.在此情况下PITP报文中封装的策略信息传送类型为配置维护信息类型，操作类型包括数据配置、数据查询、数据配置响应和数据查询结果等四种类型。

PITP协议可以用来传送用户物理端口信息、带宽信息、QOS策略信息、ACL控制策略信息以及用户数据配置或者维护信息等，通过PITP承载的信息包括但不限于上面提到的这些信息；此协议独立于其他任何协议，它可以单独使用，也可以与其他协议协同使用，共同完成某项功能；此协议可以通过二层点对点通信或者广播通信方式来实现，也可以由三层或更高的应用层通过单播或广播的方式来完成策略信息的获取或传送，无论采用哪一层次协议来实现，需要对相应层次报文的协议类型进行扩展，以便定义一种新的协议报文来承载PITP协议的报文内容。

本发明解决了IP DSLAM中采用1P上行VLAN ID资源不足的问题，防止用户帐号盗用和黑客攻击；解决了在QOS实现中DSLAM无法获取带宽及QOS策略信息等等；而且可以方便地实现DSLAM的集中管理维护；也可以应用于其它需要在DSLAM与BAS之间传递的策略信息.上述以IP上行的宽带用户接入设备以DSLAM为例进行说明，如果用户宽带接入设备采用二层交换机，与DSLAM一样，二层交换机可与BAS直连，也可以通过局域网交换机汇聚到BAS，则本发明也可以应用于二层交换机与BAS设备之间进行策略信息的传送，传送方法与上述实施例相同，在此不再赘述。本领域技术人员不脱离本发明的实质和精神，可以有多种变形方案实现本发明，以上所述仅为本发明较佳可行的实施例而已，并非因此局限本发明的权利范围，凡运用本发明说明书及附图内容所作的等效结构变化，均包含于本发明的权利范围之内。

Claims (9)

1、一种网络设备间传送组播信息的方法，其特征在于，包括以下步骤：

宽带接入服务器通过协议报文将组播权限信息发送给宽带用户接入设备；

宽带用户接入设备根据所述协议报文中的所述组播权限信息配置组播权限表。

2、根据权利要求1所述的方法，其特征在于：

所述组播权限信息包括用户被允许加入的组播组，或者进一步包括用户被允许同时加入的组播组数和/或用户被允许访问的组播源信息。

3.根据权利要求1所述的方法，其特征在于：

所述配置包括更新用户组播权限信息表。

4.根据权利要求1所述的方法，其特征在于：在所述宽带用户接入设备根据所述协议报文中的所述组播权限信息配置组播权限表之后还包括，

宽带用户接入设备向宽带接入服务器回应响应报文。

5.根据权利要求1所述的方法，其特征在于，所述宽带接入服务器通过协议报文将组播权限信息发送给宽带用户接入设备之前还包括：用户通过认证。

6.根据权利要求1所述的方法，其特征在于：

所述组播权限信息为需要删除的用户组播组信息。

7.根据权利要求6所述的方法，其特征在于：

所述配置为删除用户的组播组。

8.根据权利要求1所述的方法，其特征在于：

所述组播权限信息为用户的组播权限变更信息。

9.根据权利要求8所述的方法，其特征在于：

所述宽带用户接入设备根据所述协议报文中的所述组播权限信息配置组播权限表具体包括，宽带用户接入设备根据所述用户的组播权限变更信息修改用户组播权限信息表。

Images