CN101340339A - 宽带接入服务器集群系统及装置 - Google Patents

Abstract

本发明公开了一种BAS集群系统，包括：AAA代理和至少两个Fit BAS，其中，Fit BAS主要用于完成用户接入控制功能，将用户接入控制信息上报给AAA代理，并接收AAA代理下发的用户接入控制信息；AAA代理主要用于与AAA服务器进行信息交互，并将Fit BAS上报的用户接入控制信息同步给集群系统中的其它Fit BAS。另外，本发明还公开了一种Fit BAS及AAA代理。本发明能够在保证用户业务不中断的条件下实现BAS备份，且提高BAS资源利用率，降低BAS设计复杂度。

Description

宽带接入服务器集群系统及装置

技术领域

本发明涉及宽带接入服务器(BAS，Broadband Access Server)技术，尤其涉及一种BAS集群系统及装置。

背景技术

BAS是为用户提供互联网接入服务的入口设备，支持802.1X、入口(Portal)、以太网上的点到点协议(PPPoE)、虚拟局域网(VPN)等多种接入方式。随着语音、视频等互联网业务的不断丰富，BAS设备承载的业务类型越来越多，与此同时，用户对BAS设备的可靠性要求也越来越高。

为了适应用户对可靠性的要求，由多个BAS设备组成的BAS集群系统应运而生。BAS集群系统最常见的体现形式就是BAS双机备份。图1示出了BAS双机备份组网图，各个边缘交换机通过核心交换机与两台BAS设备互连，两台BAS设备之间互为备份，当其中一台BAS设备出现故障时，故障BAS设备上的用户流量就被切换到另一台BAS设备上，以保证用户业务可以继续。其中，BAS设备主要用于为用户提供接入服务，并且与认证、授权、计费(AAA)服务器交换AAA信息，对用户进行身份认证、授权和计费。

目前，常用的实现BAS双机备份的方式主要有以下两种：

一、双向转发检测(BFD)+虚拟路由冗余协议(VRRP)和接入服务器备份协议(ASSP)

BFD+VRRP和ASSP的基本思想相同，它们向用户屏蔽实际的BAS设备拓扑，用户只可见到一个逻辑BAS设备。当用户发起接入请求时，两台BAS设备都可接收到，用户选择先响应的那台BAS设备作为网关；当用户选择的BAS设备出现故障后，用户重新发起接入请求，此时只有备BAS设备会响应，用户选择备BAS设备作为网关，继续进行业务。

可见，在这种备份实现方式下，当主用BAS设备出现故障时，用户需要在备份BAS设备上重新进行接入操作，这样会造成用户业务中断，而这对于当前已经广泛布署的语音视讯业务是不能容忍的。

二、双机热备

所谓双机热备是指，两台BAS设备实时将各自的用户接入控制信息同步到对端BAS设备上，且在核心交换机上配置动态路由协议，当其中一台BAS设备出现故障时，核心交换机自动调整路由，将故障BAS设备上的所有流量都切换到另一台BAS设备上。由于此时两台BAS设备上都已经具有了所有用户的接入控制信息，因此可以保证当其中一台BAS设备出现故障时，另一台BAS设备能够立即接替故障设备承载用户的业务流量，而无需用户重新进行接入，从而避免了用户业务间断。

但是，这种方式存在以下缺陷：

1)BAS资源利用率下降

在双机热备方案中，BAS设备之间需要定期交换各自信息，这对于计算资源有限的BAS设备来说，无疑是一笔不小的消耗；并且，当双机备份集群发展成1:N的多备份集群时，各BAS设备除了定期交换信息外，还需要维护BAS集群内部拓扑，这将消耗更多的BAS计算资源，从而造成BAS计算资源利用效率的降低，同时也会对集群的扩展性产生较大影响。

2)BAS设备设计复杂度增加

为了保证各BAS之间数据同步的可靠性，BAS设备必定要维护数据同步状态机，这将导致BAS设备设计复杂度增加，系统成本升高。

发明内容

有鉴于此，本发明的目的在于提供一种BAS集群系统及装置，在保证用户业务不中断的条件下实现BAS备份，且提高BAS资源利用率，降低BAS设计复杂度。

为达到上述目的，本发明提供的技术方案如下：

一种BAS集群系统，位于包含认证、授权和计费AAA服务器及核心交换机的网络环境中，该BAS集群系统包括：AAA代理以及至少两个Fit BAS，其中，

Fit BAS，用于在收到用户接入请求后向AAA代理发送AAA请求，请求对用户进行认证、授权和计费，并在收到AAA代理返回的AAA请求成功后允许用户接入网络，将用户接入控制信息上报给AAA代理，以及接收AAA代理下发的其它Fit BAS的用户接入控制信息；

AAA代理，用于将来自Fit BAS的AAA请求转发给AAA服务器，并将AAA服务器返回的AAA请求成功转发给Fit BAS，以及将Fit BAS上报的用户接入控制信息同步给集群系统中的其它Fit BAS。

所述AAA代理进一步用于接收AAA服务器下发的安全策略信息，并将收到的安全策略信息发送给集群系统中的各个Fit BAS。

所述核心交换机上配置动态路由协议，当集群系统中的Fit BAS出现故障时，核心交换机动态调整路由，将故障Fit BAS上的用户流量切换到正常Fit BAS上，该正常Fit BAS根据AAA代理下发的故障Fit BAS的用户接入控制信息接管故障Fit BAS上的用户流量。

所述AAA代理为独立的盒式设备或者为依附于Fit BAS设备的插卡。

一种应用于BAS集群系统中的Fit BAS，包括：用户接入控制单元和控制信息收发单元，其中，

用户接入控制单元，用于接收用户发起的接入请求，收到后向AAA代理发送AAA请求，请求对用户进行认证、授权和计费，并在收到AAA代理返回的AAA请求成功后允许用户接入网络，将用户接入控制信息发送给控制信息收发单元；

控制信息收发单元，用于将用户接入控制单元发来的用户接入控制信息上报给AAA代理，并接收AAA代理下发的其它Fit BAS的用户接入控制信息。

所述控制信息收发单元进一步用于接收AAA代理下发的安全策略信息。

该Fit BAS进一步包括：

故障处理单元，用于在其它Fit BAS出现故障时，根据接入控制信息收发单元中存储的其它Fit BAS的用户接入控制信息接管其它Fit BAS上的用户流量。

一种应用于BAS集群系统中的AAA代理，包括：业务分发单元、AAA执行单元和信息同步单元，其中，

业务分发单元，用于接收来自Fit BAS的AAA请求和用户接入控制信息，将收到的AAA请求发送给AAA执行单元，将收到的用户接入控制信息发送给信息同步单元；

AAA执行单元，用于将收到的AAA请求转发给AAA服务器，并将AAA服务器返回的AAA请求成功转发给发起AAA请求的Fit BAS；

信息同步单元，用于将Fit BAS上报的用户接入控制信息发送给集群系统中的其它Fit BAS。

所述信息同步单元进一步用于接收AAA服务器下发的安全策略信息，并将收到的安全策略信息发送给集群系统中的各个Fit BAS。

该AAA代理为独立的盒式设备或者为依附于Fit BAS设备的插卡。

由此可见，本发明通过AAA代理实现了集群中各Fit BAS间用户接入控制信息的同步，各Fit BAS上都具有集群中所有用户的接入控制信息，这样，当集群中某个Fit BAS发生故障，导致故障Fit BAS上的用户流量被核心交换机切换到其它Fit BAS上时，其它Fit BAS就可以立即接管故障FitBAS上的用户流量，而无需用户重新执行网络接入操作，从而避免了用户业务中断，保证了业务的连续性。

并且，通过AAA代理实现用户接入控制信息同步的方式，使得各FitBAS只需向AAA代理上报自身的用户接入控制信息和接收AAA代理下发的其它Fit BAS的用户接入控制信息，而无需感知集群中的其它Fit BAS，也不必向其它Fit BAS发送同步信息，从而取消了各BAS设备之间的同步数据量，降低了BAS设备的设计复杂度，减少了BAS设备的计算资源消耗，提高了BAS设备资源利用率。

附图说明

图1为现有技术中的BAS双机备份组网图；

图2为抽象后的BAS设备构成示意图；

图3为利用图2所示BAS设备结构表示的双BAS热备系统；

图4为本发明实施例中的双BAS热备系统结构示意图；

图5为本发明实施例中的BAS双机热备组网图；

图6为本发明实施例中的用户接入网络流程图；

图7为本发明实施例中的Fit BAS结构示意图；

图8为本发明实施例中的AAA代理结构示意图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，下面参照附图并举实施例，对本发明作进一步详细说明。

参见图2所示，考虑到BAS设备的接入控制功能和AAA功能，可以将BAS设备抽象成由各种接入控制子系统A1、A2、...、An(如802.1X、Portal、PPPoE、VPN等)和AAA子系统构成的系统。利用图2所示的BAS设备结构，现有的双BAS热备系统可以表示成图3所示的形式，在图3中，AAA子系统和各接入控制子系统需要向对端实时备份子系统内部的控制和数据信息，以保证双BAS设备之间数据和状态的同步。

本发明中，为了解决现有技术缺陷，将AAA子系统从BAS设备上分离出来，引入一种独立的设备——AAA代理；并且，将不包含AAA子系统的BAS设备称为Fit BAS。图4示出了本发明中采用AAA代理的双BAS热备系统结构，其中，Fit BAS主要用于实现用户接入控制功能，各Fit BAS与AAA代理直接相连，且各Fit BAS之间不再有连接；AAA代理与AAA服务器相连，为所有Fit BAS所共享，主要用于完成原BAS设备中的AAA子系统功能。在实际应用中，AAA代理可以以多种设备形态存在，比如独立的盒式设备或者依附于Fit BAS设备的插卡等。

图5示出了采用图4所示双BAS热备系统的组网图，Fit BAS设备除了与核心交换机相连外，还与AAA代理相连(如通过以太网连接)，且各FitBAS设备以AAA代理为核心组成星型网络，构成BAS集群系统；AAA服务器与AAA代理连接，且只与AAA代理通信，对AAA服务器而言，其并不知晓Fit BAS集群内部结构。

图6以Fit BAS1收到用户1发起的接入请求为例，对图5所示组网下的用户接入网络流程进行了详细说明，包括以下步骤：

步骤601：Fit BAS1收到用户1发起的接入请求后，向AAA代理发送AAA请求，请求对用户1进行身份认证、授权和计费。

步骤602：AAA代理解析收到的AAA请求，将其封装成标准的AAA协议(如RADIUS、TACACS+等)格式，然后将封装后的AAA请求发送给AAA服务器。

步骤603：AAA服务器对用户1进行认证，并在通过认证后向AAA代理返回AAA请求成功。

步骤604：AAA代理向Fit BAS1转发AAA请求成功，通知Fit BAS1用户1通过了AAA服务器的认证。

步骤605：Fit BAS1收到AAA成功后，允许用户1接入网络，并将用户1接入网络时的接入控制信息上传给AAA代理。

步骤606：AAA代理将用户1的接入控制信息同步给集群中的其它FitBAS，使其它Fit BAS上也有用户1的接入控制信息。

与现有技术中的双机热备系统一致，图5中的BAS集群系统仍然通过核心交换机上的动态路由协议实现用户流量的自动切换，具体而言即：在核心交换机上配置动态路由协议，当核心交换机检测到集群中有Fit BAS出现故障后，核心交换机就动态调整路由，将故障Fit BAS上的用户流量切换到正常的Fit BAS上。采用图6所示的接入流程后，由于集群中的所有Fit BAS上都有了所有用户的接入控制信息，因此，此时无论哪个Fit BAS出现故障，集群中的其它Fit BAS都可以立即接管故障Fit BAS上的用户流量，而无需用户重新执行网络接入操作，从而避免了用户业务中断，保证了业务的连续性。

并且，上述方式通过AAA代理实现了各Fit BAS之间用户控制信息的同步，各Fit BAS只需向AAA代理上报自身的用户接入控制信息和接收AAA代理下发的其它Fit BAS的用户接入控制信息，而无需感知集群中的其它Fit BAS，也不必向其它Fit BAS发送同步信息，从而取消了各BAS设备之间的同步数据量，降低了BAS设备的设计复杂度，减少了BAS设备的计算资源消耗，提高了BAS设备资源利用率。

另外，在现有技术中，当用户通过BAS设备接入网络后，AAA服务器会通过用户接入的BAS设备向用户下发安全策略等控制信息。但是，当用户接入的BAS设备发生故障、用户切换到另一备BAS设备上后，由于已有的AAA服务器并不能够感知到这一变化，因此，AAA服务器仍然会向故障BAS设备发送用户安全策略信息，而不会自动切换到向备BAS设备发送用户安全策略信息，从而导致用户安全策略信息无法生效。为了解决该问题，一种可行的方案就是对已有的AAA服务器进行适应性修改，但是，对于目前已经成熟使用的AAA服务器来说，这种修改将不能保护原有AAA服务器的投资。

为了解决该问题，步骤607～608示出了本发明中用户安全策略的下发过程，具体包括：

步骤607：AAA服务器将用户安全策略信息下发给AAA代理。

其中，AAA服务器下发用户安全策略信息的时机与现有技术一致，这里不再赘述。

步骤608：AAA代理将收到的用户安全策略信息下发给集群中的所有Fit BAS，使得各Fit BAS上的用户安全策略信息完全相同，这样无论用户业务流量当前在哪个Fit BAS上，用户安全策略信息都能够生效。

在图6所示的用户安全策略信息下发方式中，AAA代理向AAA服务器屏蔽了集群内部的Fit BAS拓扑，AAA服务器只需与AAA代理进行信息交互，而无需感知集群中的各个具体Fit BAS，这样，即使集群中的Fit BAS设备状态发生变化，AAA服务器也仍然可以通过AAA代理下发安全策略信息，而无需对AAA服务器进行任何修改，从而有效保护了原有AAA服务器投资。

通过以上描述可见，采用AAA代理的集群结构，不仅可以在不产生中断的条件下实现BAS备份，提高BAS资源利用率，降低BAS设备设计复杂度，并且无需对原有AAA服务器作任何修改。另外，由于AAA代理的功能非常简单且对用户透明，因此增加AAA代理设备既不会造成整个系统成本的升高，也不会影响到整个系统的可靠性；并且，一个AAA代理下挂多个Fit BAS的星型拓扑结构非常简单，扩展性极强，AAA代理几乎不需要消耗计算资源就可实现拓扑管理。

以上实施例对双BAS的BAS集群结构及其工作方式进行了详细阐述，需要说明的是，本发明所提供的BAS集群方案不仅适用于双BAS场景，也适用于多BAS场景，多BAS场景的原理与双BAS一致，这里不再赘述。

图7示出了本发明实施例中的一种Fit BAS结构示意图，主要包括：用户接入控制单元和控制信息收发单元，其中，

用户接入控制单元，用于接收用户发起的接入请求，收到后向AAA代理发送AAA请求，请求对用户进行认证、授权和计费，并在收到AAA代理返回的AAA请求成功后允许用户接入网络，将用户接入控制信息发送给控制信息收发单元；

控制信息收发单元，用于将用户接入控制单元发来的用户接入控制信息上报给AAA代理，并接收AAA代理下发的其它Fit BAS的用户接入控制信息。

该Fit BAS还可进一步包括：

故障处理单元，用于在其它Fit BAS出现故障时，根据接入控制信息收发单元中存储的其它Fit BAS的用户接入控制信息接管其它Fit BAS上的用户流量。

另外，所述控制信息收发单元还进一步用于接收AAA代理下发的安全策略信息。

图8示出了本发明实施例中的一种AAA代理结构示意图，包括：业务分发单元、AAA执行单元和信息同步单元，其中，

业务分发单元，用于接收来自Fit BAS的AAA请求和用户接入控制信息，将收到的AAA请求发送给AAA执行单元，将收到的用户接入控制信息发送给信息同步单元；

AAA执行单元，用于将收到的AAA请求转发给AAA服务器，并将AAA服务器返回的AAA请求成功转发给发起AAA请求的Fit BAS；

信息同步单元，用于将Fit BAS上报的用户接入控制信息发送给集群系统中的其它Fit BAS。

所述信息同步单元还进一步用于接收AAA服务器下发的安全策略信息，并将收到的安全策略信息发送给集群系统中的各个Fit BAS。

图8所示的AAA代理为独立的盒式设备或者为依附于Fit BAS设备的插卡。

以上所述对本发明的目的、技术方案和有益效果进行了进一步的详细说明，所应理解的是，以上所述并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1、一种宽带接入服务器BAS集群系统，位于包含认证、授权和计费AAA服务器及核心交换机的网络环境中，其特征在于，该BAS集群系统包括：AAA代理以及至少两个Fit BAS，其中，

Fit BAS，用于在收到用户接入请求后向AAA代理发送AAA请求，请求对用户进行认证、授权和计费，并在收到AAA代理返回的AAA请求成功后允许用户接入网络，将用户接入控制信息上报给AAA代理，以及接收AAA代理下发的其它Fit BAS的用户接入控制信息；

AAA代理，用于将来自Fit BAS的AAA请求转发给AAA服务器，并将AAA服务器返回的AAA请求成功转发给Fit BAS，以及将Fit BAS上报的用户接入控制信息同步给集群系统中的其它Fit BAS。

2、根据权利要求1所述的系统，其特征在于，所述AAA代理进一步用于接收AAA服务器下发的安全策略信息，并将收到的安全策略信息发送给集群系统中的各个Fit BAS。

3、根据权利要求1或2所述的系统，其特征在于，所述核心交换机上配置动态路由协议，当集群系统中的Fit BAS出现故障时，核心交换机动态调整路由，将故障Fit BAS上的用户流量切换到正常Fit BAS上，该正常Fit BAS根据AAA代理下发的故障Fit BAS的用户接入控制信息接管故障Fit BAS上的用户流量。

4、根据权利要求1所述的系统，其特征在于，所述AAA代理为独立的盒式设备或者为依附于Fit BAS设备的插卡。

5、一种应用于权利要求1所述BAS集群系统中的Fit BAS，其特征在于，包括：用户接入控制单元和控制信息收发单元，其中，

用户接入控制单元，用于接收用户发起的接入请求，收到后向AAA代理发送AAA请求，请求对用户进行认证、授权和计费，并在收到AAA代理返回的AAA请求成功后允许用户接入网络，将用户接入控制信息发送给控制信息收发单元；

控制信息收发单元，用于将用户接入控制单元发来的用户接入控制信息上报给AAA代理，并接收AAA代理下发的其它Fit BAS的用户接入控制信息。

6、根据权利要求5所述的Fit BAS，其特征在于，所述控制信息收发单元进一步用于接收AAA代理下发的安全策略信息。

7、根据权利要求5或6所述的Fit BAS，其特征在于，该Fit BAS进一步包括：

故障处理单元，用于在其它Fit BAS出现故障时，根据接入控制信息收发单元中存储的其它Fit BAS的用户接入控制信息接管其它Fit BAS上的用户流量。

8、一种应用于权利要求1所述BAS集群系统中的AAA代理，其特征在于，包括：业务分发单元、AAA执行单元和信息同步单元，其中，

业务分发单元，用于接收来自Fit BAS的AAA请求和用户接入控制信息，将收到的AAA请求发送给AAA执行单元，将收到的用户接入控制信息发送给信息同步单元；

AAA执行单元，用于将收到的AAA请求转发给AAA服务器，并将AAA服务器返回的AAA请求成功转发给发起AAA请求的Fit BAS；

信息同步单元，用于将Fit BAS上报的用户接入控制信息发送给集群系统中的其它Fit BAS。

9、根据权利要求8所述的AAA代理，其特征在于，

所述信息同步单元进一步用于接收AAA服务器下发的安全策略信息，并将收到的安全策略信息发送给集群系统中的各个Fit BAS。

10、根据权利要求8或9所述的AAA代理，其特征在于，该AAA代理为独立的盒式设备或者为依附于Fit BAS设备的插卡。

Images