蔡晓星（中国联通北京市分公司，北京 100029）

1 概述

互联网专线业务是指通过专用链路将客户网络及设备接入互联网，为客户提供多种速率的实时在线上网服务的业务。目前中国联通的互联网专线按照接入方式主要分为光纤直驱、LAN 接入、PON 接入和传输接入。其中PON 接入方式下的互联网专线业务通常被称为共享专线、楼宇专线等。其中楼宇专线是指针对商务楼宇中的中小企业客户提供高速的互联网接入业务。本文针对楼宇专线未来部署模式进行探讨和研究，对如何更好利用北京联通丰富的公众宽带接入光纤网络资源，实现专线业务的全覆盖方案进行了详细阐述，并且对相关专线安全管理进行了深入分析，为未来专线业务的运维工作奠定了基础。

2 研究背景

目前北京联通各类互联网专线用户已经超过3万，并且随着国家大力推进“互联网+”产业的发展，同时在各大运营商“提速降费”的刺激下，针对中小企业的互联网专线业务快速发展，这项业务也是北京联通新增市场的主要来源。北京联通的楼宇专线是通过PON 技术实现楼内光纤接入，用户端部署ONU 设备通过楼宇的分光器上联到局方的专用楼宇专线OLT 设备，再通过城域网的汇聚交换机设备进行业务VLAN终结，完成流量转发到专线SR设备。其中用户限速是在OLT 上完成，从而为用户提供固定带宽的独享互联网接入。

目前楼宇专线是通过专用的OLT 解决终端接入问题，从而保证用户个性化的需要。这样就导致有的地区在已有公众宽带光纤资源的情况下，重复建设ODN 及接入设备。而且由于楼宇专线是手工开通，只解决了用户数据业务的需求，如果要满足用户的语音业务需求，就要重新部署公众HGU，这就造成接入段网络结构复杂，投资重复浪费。另一方面，北京联通总共有205台楼宇专线OLT 设备，共计超过8 000条楼宇专线业务。但是实际上也并没有全部满足客户的业务要求，还有很大的市场发展潜力。由于楼宇专线的建设投资问题，仍有部分地区光缆资源不足，不能满足业务开通需求，导致客户大量流失，业务收入也受到影响。

因此，北京联通着手研究10GPON OLT 混接专线业务的方案，用10GPON OLT 逐步取代原有的OLT 设备，充分利用已有的接入网设备和光缆资源满足业务需求，节省网络投资。北京联通对该方案进行了详细的测试和业务验证，同时针对业务安全问题制定了相应的措施。经过验证，10GPON OLT 混接方案可以在实际网络中实施，这也为未来网络建设和网络扁平化改造奠定了基础。

3 实施方案的制定

3.1 北京专线网络接入现状

北京联通楼宇专线业务在用户侧部署ONU 设备，将不同商务楼宇中的ODN 设备汇聚到专用的楼宇OLT，OLT 上联到接入汇聚交换机，接入汇聚交换机再上联到就近业务路由器（SR）设备完成专线的接入。

业务控制方面，楼宇OLT 为实现上下对称的速率限速功能，将用户三层业务网关部署在汇聚交换机上，通过不同业务VLAN 来区分。汇聚交换机终结业务VLAN 以后，通过默认路由方式将专线业务流量转发到SR 设备，每台SR 分别N×10G 上联至2 台区域核心路由器（CR）。全网共有32 台CR，每台CR 上联至2台或4台出口核心路由器（超核），4台出口核心路由器完成与集团骨干网的对接。

3.2 10GPON OLT混接改造方案制定

通过公众10GPON OLT 混接方式实现楼宇专线业务的接入，网络拓扑如图1所示。

图1 北京联通公众OLT混接专线网络结构

相比现有的方式10GPON OLT 混接改造方案主要有以下优点：

a）充分利用10GPON OLT 强大的上联能力和接入端口带宽实现专线业务和公众业务混合接入。

b）实现单一线路专线、语音、IPTV 等多业务综合接入。

c）专线不再经过接入汇聚设备，减少网络层级，规避接入汇聚设备瓶颈。

d）实现业务自动开通，提高专线开通效率。

该方案的网络改造方面涉及3 个层级的变化，具体如下。

3.2.1 网络接入层

OLT为了区分PON口下光专线+用户与普通宽带/光快线用户，需要光专线用户使用一款网管新型号的光猫，建议采用支持解耦的10GPON 或者千兆桥接HGU，由厂家按照局方要求通过修改版本来上报网管新型号，同时需要在HGU 内划分新的业务VLAN 以与现有的专线业务进行区分，并在公众宽带OLT 设备上配置专线用户限速模板以及新的接入模板。

3.2.2 业务控制层

目前北京联通的公众宽带OLT 设备基本上都采用直连BRAS 接入方案，BRAS 通过6 个或者8 个万兆端口上联CR，BRAS 与CR 的IP 网域内路由控制采用ISIS 协议，用于建立网络骨干层与BRAS 之间的路径，用户业务路由发布采用BGP 向RR 广播的方式。改用专线业务与公众宽带OLT 混接方案后，公众OLT 上行方向不会新增上联到SR 的方案，这就需要BRAS 既要实现公众宽带业务PPPOE 终结功能又要完成专线业务三层网关功能，在业务路由条目的发布方面BRAS设备也需要进行区分，一方面是为了保证互联网专线业务的安全性，专线业务流量通过独立BRAS 上联子接口与宽带业务区分；另一方面也是为了网络安全管控的需要。因此实现公众宽带业务与专线业务的隔离，需要在BRAS 上创建本地VRF（Virtual Routing For⁃warding）。VRF 也可以叫做VPN 业务转发实例，每个VRF 可以看作1 个虚拟的路由器，该虚拟路由器包括以下内容：1 张独立的路由表，当然也包括了独立的地址空间；1 组归属于这个VRF 的接口的集合；1 组只用于本VRF 的路由协议。因此，对于每个虚拟路由器，可以维护1 个或多个VRF，同时维护1 个公网的路由表（也叫全局路由表），多个VRF 实例相互独立。这样可以从逻辑上实现公众宽带业务与专线业务的隔离功能。

采用VRF 后需要从现有BRAS 的8 条万兆上联中选取2 个端口配置逻辑子接口功能，将新增的VRF 绑定在上联新增子接口和下联专线用户接入的子接口上。同时需要在新增VRF上启用新的ISIS+BGP协议，BGP通过VRF内的LOOPBACK地址与URR建立BGP邻居关系，专线用户业务路由通过BGP 发送。现选取现网ME60-X16设备相关配置作为示例进行阐述。

①建立VRF实例

ip vpn-instance guangkuaixian

ipv4-family

route-distinguisher 1：10

②启用新的ISIS协议

isis 65535 vpn-instance guangkuaixian

is-level level-2

cost-style wide

timer lsp-generation 1 50 120 level-2

network-entity×.4808.×.4800.0010.00

preference 115

timer spf 1 50 50

log-peer-change

timer lsp-max-age 65535

timer lsp-refresh 65000

③选取2 条10GE 接口启用子接口用作专线业务上联（以1条为例）

interface GigabitEthernet1/0/0.10

vlan-type dot1q 10

ip binding vpn-instance guangkuaixian

ip address×.×.×.2 255.255.255.252

isis enable 65535

isis circuit-type p2p

isis authentication-mode md5 cipher

isis cost 3200 level-2

isis timer hello 3

isis small-hello

④创建VRF的LOOPBACK地址

interface LoopBack10

ip binding vpn-instance guangkuaixian

ip address×.×.×.10 255.255.255.255

isis enable 65535

isis circuit-level level-2

⑤在VPN中通过BGP协议发布用户的业务路由

ipv4-family vpn-instance guangkuaixian

network×.×.×.16 255.255.255.240

peer×.×.1.5 as-number 4808

peer×.×.1.5 connect-interface LoopBack10

⑥配置用户子接口

interface GigabitEthernet2/0/0.3200

control-vid 3200 qinq-termination

qinq termination pe-vid 2599 ce-vid 3200

ip binding vpn-instance guangkuaixian

ip address 10.1.1.1 255.255.255.0

⑦配置业务黑洞路由

ip route-static 用户接口地址段掩码长度NULL0 preference 180

ip route-static 用户地址段 掩码长度NULL0 pref⁃erence 180

⑧配置80/8080端口封堵功能

acl number 7004

rule 5 permit tcp destination-port eq www

rule 10 permit tcp destination-port eq 8080

traffic classifier louyu-www-deny

if-match acl 7004

traffic classifier louyu-www-permit

if-match any

traffic behavior louyu-www-deny

deny

traffic behavior louyu-www-permit

traffic policy louyu-www-outbound

classifier louyu-www-deny behavior louyu-wwwdeny

classifier louyu-www-permit behavior louyu-wwwpermit

如果用户需要封堵80/8080 端口，只需在该用户对应业务子端口内应用策略即可：

interface Eth-TrunkAA.BBBB //楼宇专线业务子端口，BBBB与用户VLAN号一致

traffic-policy louyu-www-outbound outbound

3.2.3 安全控制层

随着公众宽带10GPON OLT 混接专线业务的部署，互联网专线业务的网络覆盖面将更加广泛。互联网的服务模式和传播渠道也日趋多样化。新闻网站、门户网站、搜索引擎、论坛、博客、P2P 等多种服务模式并存，互联网已演化成为一个虚拟社会，互联网安全管理面临空前的挑战，相应的网络安全监控范围和难度也大幅度增加。为了实现对互联网专线的信息安全管控，在网络侧部署了一套完整的监控系统。通过对BNG 的2 条到CR 侧上联链路上部署安全管理系统的光路保护器，进而进行互联网专线IDC/ISP 安全管理系统的部署，具体如图2 所示。宽带BNG 下联10GPON OLT设备，分别在每台BRAS的上联链路串联光路保护器，使链路流量进入汇聚分流设备，然后经过流量分析设备eDPI对流量数据进行分析，通过链路将分析结果返回至控制单元CU，由CU 进行策略下达或执行封堵。

图2 安全监控的建设方案

4 后续专线业务自动开通实施规划

目前北京联通在实施各类互联网专线业务开通以来主要遇到以下3类问题。

a）业务工单流程复杂，流转时间长，外线人员上门调试，导致专线开通时间过长造成用户感知差。

b）网络设备端口占用混乱，实际开通的时候无法准确定位汇聚交换机上已占用和空闲端口位置。

c）设备厂家及类型多，配置命令复杂，运维人员全部手工进行业务开通，故障定位及处理难度高，无法形成标准化处理流程。

现有互联网专线手工开通流程如图3所示。

图3 北京联通互联网专线手工开通流程拓扑图

针对以上问题，北京联通计划按照公众宽带自动开通放装流程完成光专线业务的自动开通，实现末端资源的准确判断和定位，提高业务开通效率；在终端开通方面利用现有的公众用户放装流程，实现终端的解耦化管理，并通过统一的远程终端管理平台系统实现终端数据配置的实时下发。而城域网BRAS 侧以及OLT侧的业务数据配置则通过综合业务自动下发平台下发。具体专线自动开通业务主要有以下几个步骤：

a）用户到营业厅申请开通新的光专线业务，并自行领取HGU设备。

b）营业系统完成业务订单下发，通过流程系统（IOM）下发业务调度工单。

c）业务调度工单流转到北京联通资源系统，综合业务平台完成专线业务IP 地址库查询、全程路由库查询定位以及专线所属地宽带资源的查询。在终端加电成功后触发资源系统调度并反馈结果。

d）HGU 加电成功后，打通到RMS 网管通路，完成HGU设备业务配置自动下发。

e）IOM 下发业务激活工单，通知综合业务自动开通平台，综合业务自动开通平台根据业务工单，生成相应的激活任务。根据激活任务，结合业务场景配置，IOM系统生成相应的任务调度服务，结合激活指令模板和工单参数，生成实际的激活指令；根据激活指令，综合业务平台下发对相应设备（BRAS 和OLT 设备）的配置。

f）在平台发现配置异常时，可以针对激活异常情况进行流程控制管理，及时将业务工单转人工处理。

g）目前综合业务自动配置平台已与IOM 系统对接，可以展示互联网专线工单自动执行的反馈结果。

h）由IOM 向营业系统上报工单，完成整个业务工单的配置。

i）通知用户业务以及配置完成，用户自行进行业务测试及测速。测试完成后业务报竣。

目前业务自动开通平台已经可以实现互联网专线业务是否可以自动执行配置下发的逻辑判断管理功能；实现互联网专线工单接收和工单处理结果反馈；实现对互联网专线自动配置任务监控和配置任务记录保存查询；实现互联网专线（光纤出租、SDH 以太网）新装、拆机、停复机业务对设备的自动配置下发；提供用户接入的路由拓扑，提供配置核查、故障排查工具。自动开通工程实施后，专线业务开通全程无需人工上门调测。全部业务开通及调测工作从原来的7～10 个工作日压缩到2 个工作日左右，大大降低了人工成本和工单历时，实现了开通业务数据的标准化和流程化，提升了用户感知，提高了业务实施的效率。同时全网将建立统一的业务编排系统，实现指令模板维护管理，多个指令可组合成子任务，多个子任务编排可组合业务场景配置。平台屏蔽了不同厂家的操作指令差异性，为下一步实现网络设备白盒化，全网向SDN化转型奠定基础。

5 工程实施后带来预期收益

此次工程实施后，能解决以下3方面的问题：

a）解决了由楼宇OLT 覆盖导致的光专线业务无法开通问题，可以进一步拓展互联网业务发展空间，同时充分利用现有公众宽带网络的设备和光缆资源完成区域的全覆盖，节约单独铺设光纤线路的成本。

b）解决了现有专线业务数据和语音业务无法同步开通的问题，由于原来楼宇专线专用OLT 没有上联语音承载网，所以只能解决数据业务需求，语音业务需要单独布线安装。通过公众10GPON OLT 混接后可以用一根光纤满足用户数据业务和语音业务的全部需求，简化了业务开通的流程，降低了业务开通成本，还可以充分利用10GPON 强大的网络接入能力缓解用户高宽带使用瓶颈。

c）此次工程最终实现了业务控制层的BNG功能，BRAS 设备不仅是宽带业务的控制点同时也是互联网专线业务的网关节点。同时作为工程的另一项任务完成了城域网扁平化改造，减少了核心网网络层级和故障点，优化了网络结构，为未来城域网建设奠定了基础。

6 结论

本文通过研究互联网专线业务，同时深入结合北京联通实际网络和业务情况，详尽分析了公众宽带10GPON OLT 混接专线业务的可行性，从网络建设、网络运维、自动开通业务运维等多角度论证了目标方案的合理性。通过理论与实践相结合，将工程理论研究成果应用于实际互联网专线业务的部署中，解决了网络专线业务覆盖不足的问题，并在业务实施过程中总结了经验，为后续进一步开展全网公众宽带10GPON OLT混接专线业务奠定了坚实的理论与实践基础。在后续工作中，北京联通还将随时关注市场业务动态并加强技术研究，更深入地分析未来网络的发展方向：一方面着重关注未来云数据中心建设后SDN 网络的建设方向，一方面关注应用大数据，分析专线用户上网行为和业务流量趋势，在进一步提升北京互联网专线用户感知上继续努力。