中國電信移動承載網實施配置規(guī)范 ER分冊試行.doc

中國電信移動承載網實施配置規(guī)范（ER分冊）（試行）中國電信集團有限公司二一九二一九年十一月編制單位：編寫單位：中國電信股份有限公司、中國電信股份有限公司廣州研究院組長：編寫人：統(tǒng)稿人：審核人：聯系人：聯系方式：修訂記錄版本號日期描述設備軟硬件適用范圍設備類型適用軟件版本適用硬件版本3中國電信移動承載網實施配置規(guī)范（ER設備分冊模板）編制說明本文檔為中國電信移動承載網實施配置規(guī)范ER設備分冊，包括ER設備組網配置要求及模板、與CN2網絡互聯配置要求及模板等內容。移動承載網的工程建設應比照本規(guī)范執(zhí)行。在相關工程建設結束后，集團公司會正式下發(fā)本規(guī)范的修訂版。本規(guī)范由中國電信集團網絡運行維護事業(yè)部進行解釋說明。 26中國電信移動承載網實施配置規(guī)范（ER設備分冊模板）目 錄1 設備基本信息及可靠性31.1 設備基本信息配置31.2.1 設備遠程管理要求31.2.2 路由器訪問控制42 網管要求82.1 省級IPRAN網管對ER的管理方式82.2 NTP實現方式83 端口配置要求94 路由組織104.1 IGP104.1.1 B-ER/ER-ER/EPC CE-ER/BSC CE-ER/省會MCE-ER104.2 MP-BGP設置要求114.2.1 AS設置要求114.2.2 VRR設置要求114.2.3 MP-eBGP設置要求124.3 路由快速收斂134.3.1 ER故障檢測和路由快速收斂135 基站的業(yè)務實現155.1 基站業(yè)務在ER上的實現156 VPN組織166.1 RAN VPN166.2 CTVPN193 VPN166.3 CTVPN194 VPN177 網絡服務質量（QoS）配置187.1 QoS整體部署原則187.2 PW+L3VPN方案QoS部署策略187.2.1 業(yè)務標識187.3 隊列調度208 通道類業(yè)務實現218.1 CN2三層VPN在城域內二層通道落地方案218.1.1 業(yè)務從B設備接入/落地218.1.2 業(yè)務從B設備接入/落地218.1.3 業(yè)務從A設備接入/落地228.2 QoS部署方案229 設備命名規(guī)范239.1 設備命名239.2 網絡端口命名249.3 Loopback接口命名259.4 基站業(yè)務接口命名2510 配置示例2610.1 ER設備配置示例（插入附件）26中國電信移動承載網實施配置規(guī)范（ER設備分冊模板）縮略語本文中將使用下列縮略語，除非文中特別說明，否則意義如下；對于未說明的縮略語，應做業(yè)界標準或慣例理解。縮寫英文全稱中文eNodeBEvolved Node B演進的Node BMMEMobility Management Entity移動性管理實體HSSHome subscriber Server歸屬用戶服務器SGWServing-GateWay服務網關PGWPacket Data Network GateWay分組數據網網關LTELong Term Evolution長期演進EPCEvolved Packet Core演進的分組核心網PCRFPolicy and Charging Rules Function策略和計費規(guī)則功能HSGWHRPD Serving GateWay高速分組數據網絡服務網關OCSOnline Charging Systerm在線計費系統(tǒng)PIPDSN to InternetPI網絡AAAAuthentication Authorization, and Accounting鑒權、授權、計費DNSDomain Name Server域名服務器NTPNetwork Time Protocol時間同協(xié)議P-I網絡PDSN-InternetPDSN與所有數據通信節(jié)點之間的網絡，如PDSN與其他路由器之間的網絡R-P網絡Radio-PDSN介于無線網絡（特指PCF）和PDSN之間的網絡ER移動承載網的核心路由器，在不同的網絡層級包括三類ER：匯聚ER（D-ER）、城域ER（M-ER）、省級ER（匯聚省內各本地網流量的設備）A設備基站接入設備B設備基站接入設備的匯聚路由器MCE多業(yè)務承載CE，包括C網CE、EPC CEBSC CE指接入BSC/RNC的B設備RAN CE專指阿朗用于基站回傳的IPBH設備中國電信移動承載網實施配置規(guī)范（ER設備分冊模板）1 設備基本信息及可靠性1.1 設備基本信息配置l 配置設備名稱，要求符合資源命名規(guī)范要求。l 配置系統(tǒng)時間，要求采用標準北京時間。l 定義Router-ID，思科、華為設備配置為Loopback0地址，中興設備配置為Loopback1地址，阿朗設備缺省使用system關鍵字作為Loopback端口。配置模板：1.2 設備的訪問及訪問控制1.2.1 設備遠程管理要求 對ER設備遠程管理需要進行嚴格控制，只允許信任用戶以特定方式（SSH/SNMP等）進行訪問。在設備的初始化管理階段允許通過TELNET對設備進行訪問。1.2.2 路由器訪問控制 VTY接口訪問控制 對ER設備VTY接口訪問進行控制，防止非法用戶通過Telnet/SSH方式獲取ER設備的控制能力。 具體采取以下措施對VTY接口訪問進行控制：l 修改VTY并發(fā)連接數缺省值，調整為廠商允許最大值。華為設備最多允許同時15個，阿朗設備為15個，空閑時間為5分鐘。l 針對VTY端口設置相應的訪問控制列表來限制通過VTY端口對路由器的訪問。訪問控制列表通過區(qū)分不同用戶的網段來進行過濾： 允許以下地址段訪問（根據實際情況進行調整）：CN2國內設備地址段-55 集團網管地址段-55 集團NOC地址段-55 全網CE設備地址段55 省內網管地址段和IPRAN設備管理地址段各省自定 正常情況下，不允許其他地址登陸。l 路由器VTY端口的超時配置的作用是當遠程登錄連接在指定時間內沒有操作時由設備主動中斷遠程連接，這樣可以防止所有遠程登錄VTY端口占用而無法對設備進行管理，將此超時時間設置為5分鐘。l 加強VTY用戶密碼管理，對VTY用戶采用TACACS+集中認證和本地認證技術，TACASCS+認證優(yōu)先，同時進行認證、授權、審計操作。l 考慮到采用TACACS+服務器對VTY用戶帳號、權限進行統(tǒng)一管理。設備的TACACS管理密碼應實現動態(tài)更新。l 緊急故障處理期間，允許外網設備通過L2TP(IPSEC) VPN撥號方式登陸到網管中心專用設備上，通過該設備進行跳轉訪問ER設備，正常期間需關閉L2TP VPN撥號訪問的通道。l ER設備可管理后，需關閉telnet，只允許使用SSH。l TACACS認證只用于用戶登錄，設備命令授權推薦在設備上實現。l 路由器本地配置用戶名和管理組作為備份管理方式，需要配置全部讀寫權限和只讀權限2個級別的管理組。l 配置Console端口口令，防止非法用戶對設備進行控制。配置模板： SNMP訪問控制對SNMP訪問進行控制，防止非法用戶通過SNMP管理接口獲取設備信息。ER設備采取以下措施對SNMP訪問進行控制：l 開啟SNMP V2/v3 Agent的功能，提高安全性，并采用Auth&Priv安全模式，并采用MD5算法。l 開放網管系統(tǒng)需要的MIB View，對表變量（如路由表，轉發(fā)表等）設置MIB View限制網管系統(tǒng)訪問。l 設置相應的訪問控制列表只允許信任主機通過SNMP方式訪問設備。l SNMP只開啟只讀權限，SNMP團體名每半年更新一次。配置模板： 其他服務訪問控制l 關閉HTTP服務，防止非法用戶通過設備提供的HTTP服務對設備進行訪問控制。l 關閉FTP服務，防止非法用戶通過設備提供的FTP服務下載設備重要文件，維護時期如需上傳軟件，則臨時開啟FTP SERVER服務。l 關閉路由器其他小端口服務如：ECHO(TCP 7)、HCEGEN(TCP 19和UDP 19)、FINGER(TCP 79)等，增強設備本身的安全性。配置模板：1.3 設備系統(tǒng)日志l ER設備的系統(tǒng)日志包括告警日志及操作日志，在設備本地和日志服務器上保存，其中日志服務器記錄的級別為Warnings以上。l ER設備上所有設備的系統(tǒng)日志要求預先設置發(fā)送至總部網管中心日志服務器，要求每天對系統(tǒng)日志進行檢查，及時發(fā)現異常及時處理，日志在日志服務器保留期限至少三個月。l 配置系統(tǒng)的所有級別告警日志和操作日志，保存到本地，其中阿朗設備LOG-ID為20；華為設備log緩沖區(qū)大小設置為1024。l 設備系統(tǒng)日志及其他信息顯示時間為設備NTP時間。配置模板：1.4 設備高可靠性措施l 路由器主備引擎配置為自身支持的最優(yōu)冗余保護方式，優(yōu)選NSR模式。l 配置路由器控制引擎之間的配置文件和動態(tài)數據同步。l 開啟CPU保護功能，防止非法流量對路由器引擎CPU的攻擊。配置模板：1.5 設備負載均衡的方式 目前主流廠家設備的負載均衡，可以分為兩種方式：l per packet負載均衡方式l per flow負載均衡方式對于per packet方式，在轉發(fā)時按照報文進入路由器的次序進行負載均衡，但容易亂序并造成TCP轉發(fā)速度慢。對于per flow方式，設備實現中采用Hash的方式，這種方式不會產生亂序。本期工程所采購的路由器缺省采用per flow負載均衡方式；并采用缺省或配置hash因子實現MPLS流量負載均衡。配置模板：1.6 其他特性 對于ER設備未使用端口，全部關閉，防止非法用戶接入。 配置模板：2 網管要求2.1 省級IPRAN網管對ER的管理方式非省會地市IPRAN，通過城域ER與CN2 PE的互聯鏈路，建立Global的EBGP peer，廣播本地市IPRAN設備管理地址的匯聚路由到CN2，并接收CN2廣播的本省IPRAN網管地址路由及其他地市的IPRAN管理地址路由。配置模板：2.2 NTP實現方式 NTP時間同步采用分級部署方式：l ER設置為二級NTP server。l B、EPC CE和BSC CE作為ER的NTP client。 設備與NTP server路由交換方式如下：l ER的管理loopback地址路由和一級NTP server路由通過Global網管通道互相通告。l B、EPC CE、BSC CE的管理loopback地址路由和二級NTP server（ER）路由通過Global網管通道相互通告。配置模板：3 端口配置要求3.1 接口通用要求MTU設置要求：l 華為設備網絡側IP MTU 配置為9000字節(jié)，業(yè)務側IP MTU配置為2000字節(jié)。l 中興、阿朗、烽火、思科、Juniper等設備設置物理接口MTU；網絡側配置為9000字節(jié)，業(yè)務側配置為2000字節(jié)。配置模板： 以太接口的協(xié)商模式要求：l 網絡側接口采用強制模式。l 對于業(yè)務側接口，以業(yè)務系統(tǒng)接口的協(xié)商模式為主。4 路由組織4.1 IGP 匯聚ER、城域ER、省級ER等設備配置在相同的ISIS域。 4.1.1 B-ER/ER-ER/EPC CE-ER/BSC CE-ER/省會MCE-ER B-ER、ER-ER、EPC CE-ER、BSC CE-ER、省會MCE-ER間的互聯鏈路統(tǒng)一開啟ISIS Level-2和LDP。ISIS進程號推薦采用100。Cost配置詳見下表：鏈路ISIS metricB-DER3000B-城域ER1500DER-城域ER1500DER-DER50城域ER-城域ER100BSC CE-城域ER500城域ER-EPC CE500城域ER-省會MCE500城域ER-省級ER1000省級ER-省級ER150配置模板：4.2 MP-BGP設置要求4.2.1 AS設置要求l ER統(tǒng)一使用省會MCE的AS號。l 匯聚ER不開啟PE功能。 配置模板：4.2.2 VRR設置要求l 場景一：通過CN2實現省內長途互聯，以本地網為單位設置VRR。 城域ER兼作VRR； 對于VRR Client數超過200的地市，以及省會城市，要求采用獨立VRR； B、EPC CE和BSC CE分別作為VRR的Client； 匯聚ER不作為VRR的Client。 場景一ER（VRR）配置模板：l 場景二：省內長途通過省級ER直連，設置二級VRR。 非省會本地網選取一對城域ER作為二級VRR，省會選取省級ER作為一級VRR； 為加快MP-BGP路由域內的收斂速度，EPC CE既屬于一級VRR的Client，也屬于二級VRR的Client； 隨著網絡規(guī)模的擴大，應設置獨立VRR，按一級VRR進行統(tǒng)一部署Cluster控制在3個以內。 場景二ER（VRR）配置模板：l 場景三： EPC網元在省內跨地市部署。 省會采用省級ER兼作VRR，EPC網元所在非省會城市采用城域ER作為VRR，兩組VRR配置不同的cluster ID； 兩組VRR間配置普通MP-IBGP全互聯peer關系。 每個地市的B 、EPC CE和BSC CE分別作為本地VRR的Client； 匯聚ER不作為VRR的Client。 場景三ER（VRR）配置模板：4.2.3 MP-eBGP設置要求l 非省會城市ER與CN2 PE采用option A方式對接，EBGP配置要求如下： 優(yōu)先采用loopback-n地址建立EBGP連接，loopback-n地址之間互通配置BFD+靜態(tài)路由； 路由策略由EPC CE/ER側進行控制，CE采用MED控制CE入方向的流量，采用Local-preference控制CE出方向的流量； 啟用BFD關聯EBGP實現快速故障發(fā)現； PE開啟AS-Override，為防止路由環(huán)，需配置SOO； 關閉PE與EPC CE/ER之間的BGP send-community extended，采用Standard community； PE側VRF分發(fā)靜態(tài)路由和直聯路由； EPC CE/ER按照白名單方式向CN2 VPN發(fā)送本地VPN匯總路由A，按需發(fā)送明細路由（本機房路由An），實現流量流向調整； EPC CE/ER按照黑名單方式拒收缺省路由，并按需增加黑名單路由； EBGP連接不做MD5認證； 關閉Damping以加速收斂； EBGP設置 ebgp-multihop 2； Timer設置： keepalive設為30s，hold time設為90s； 打開BGP 多路徑EIBGP maximum-paths 8。 非省會城市MCE與ER之間在本地優(yōu)先采用EBGP Option A方式對接。按需打通EPC VPN與PI-1 VPN、RAN VPN。后期移動承載網建成之后，可將MCE與ER調整到同一個AS號。 配置模板：4.3 路由快速收斂4.3.1 ER故障檢測和路由快速收斂 本地網或者省網內，ER與B、BSC CE、EPC CE位于相同MPLS VPN域內。圖表 1 B以上故障檢測和路由快速收斂ER所在核心層網絡快速收斂部署方式：l 對于非省會城市，ER作為VPN PE節(jié)點，配置雙RD，發(fā)布等價VPNv4路由，形成VPNv4 ECMP負載分擔方式。l 配置下一跳跟蹤觸發(fā)（NHT）機制，并結合下一跳分離技術加速路由的快速收斂。l 開啟BFD for IGP來實現IGP快速檢測，檢測時間間隔3*30ms。l 啟用部分路由計算（PRC）和增量路由收斂特性（ISPF）。l 為避免鏈路抖動，配置carrier-delay（down 0/up 200ms）。l 配置LDP/IP FRR，實現LSP快速切換。l 對于非省會城市，ER與B設備為同廠家設備的情況，要求在ER與B設備之間配置BFD for Loopback或BFD for LSP端到端快速檢測，檢測時間間隔配置3*50ms；對于ER與B設備為異廠家的情況，暫不考慮BFD for loopback或BFD for LSP。 配置模板：5 基站的業(yè)務實現5.1 基站業(yè)務在ER上的實現對于非省會城市RAN VPN，ER用于承載基站業(yè)務，配置雙RD，采用Option A與CN2對接。對于省內直連鏈路實現長途互聯方式，ER只作為P設備。 非省會城市ER配置模板：6 VPN組織6.1 RAN VPN 以省為單位設置，1X、Do及LTE基站共用同一VPN承載，RAN VPN 在本地網側采用Full-Mesh結構。本地網側的RD/RT設置如下：VPNRD1RD2export1import1CDMA-RAN4134:30504134:31504134:3050004134:305000 配置模板：6.2 CTVPN193 VPNCTVPN193 VPN提供A和B設備的網管通道，以省為單位進行組網，VPN城域內采用星型組網，網管中心所在節(jié)點為Hub節(jié)點，其它節(jié)點為Spoke節(jié)點。對于非省會城市ER，配置EBGP OPTION A與CN2對接；向CN2通告193 VPN本地網匯總地址段和(128131).x.x.x/32，并接收CN2通告的網管系統(tǒng)路由。 RD/RT定義如下： 以河北本地網為例，CTVPN193在城域網RD/RT定義如下：VPNRD1（PE1本地網）HUB節(jié)點 importHUB節(jié)點 exportSPOKE importSPOKE節(jié)點 exportCTVPN193-HE4134:16034134:1603004134:1603014134:1603004134:1603004134:160301 配置模板：6.3 CTVPN194 VPN CTVPN194 VPN按需設置，提供基站環(huán)境監(jiān)控系統(tǒng)互聯，在城域內采用Hub-Spoke方式進行組網。對于非省會城市ER，配置EBGP OPTION A與CN2對接。RD/RT定義如下：VPNRD1（PE1本地網）HUB節(jié)點 importHUB節(jié)點 exportSPOKE importSPOKE節(jié)點 exportCTVPN1944134:30704134:3070004134:3070014134:3070004134:3070004134:307001 配置模板：7 網絡服務質量（QoS）配置7.1 QoS整體部署原則l 保持與CN2的 QoS部署規(guī)范一致；l 精簡隊列數量，降低部署難度；l 規(guī)范并信任無線業(yè)務優(yōu)先級，透傳無線業(yè)務優(yōu)先級；l 政企客戶業(yè)務按照接入端口/VLAN進行映射，透傳政企業(yè)務優(yōu)先級。7.2 PW+L3VPN方案QoS部署策略7.2.1 業(yè)務標識上下行標識流程如下圖所示：圖表 2 PW+L3VPN方案上行業(yè)務標識流程圖表 3 PW+L3VPN方案下行業(yè)務標識流程對于基站業(yè)務，基于IP DSCP進行標識，重置EXP值，IP QoS在基站到BSC/EPC之間的承載網絡實現透傳。對于政企客戶業(yè)務，基于端口/VLAN進行標識，重置EXP值，IP QoS在承載網絡實現透傳。業(yè)務與隊列映射關系如下表（DSCP根據業(yè)務的DSCP標識進行調整）：業(yè)務類型DSCP（參考值）網內映射（EXP）LTE信令、IMS/PS信令（VOIP）、LTE話音、IP時鐘464IKE483G信令50OAM541X語音49視頻、在線流媒體345eMBMS組播403G專線用戶47政企客戶鉆石、白金等級流量/1X數據322DO數據/政企客戶金、銀等級流量/LTE網管（低優(yōu)先級）140實時游戲、高速上網類10政企客戶銅等級流量/配置模板：7.3 隊列調度 調度策略建議如下：IPP網內映射（EXP）隊列調度調度策略66PQ（優(yōu)先隊列）不限速4PQ（優(yōu)先隊列）限速90%5輪詢隊列1剩余帶寬的80%2輪詢隊列2剩余帶寬的20%0BE 注：信令與業(yè)務流的PQ隊列盡量分開設置，根據設備不同情況也可以合并隊列設置。 配置模板：8 通道類業(yè)務實現8.1 CN2三層VPN在城域內二層通道落地方案8.1.1 業(yè)務從B設備接入/落地業(yè)務從A設備接入/落地，雙側采用單歸接入方式，通過多段PW承載，配置端到端BFD for PW進行故障檢測。配置模板：8.1.2 業(yè)務從B設備接入/落地業(yè)務從B設備接入/落地，單側采用雙歸接入方式，通過單段PW承載，雙歸接入側配置Bypass-PW，用于故障場景下的流量迂回，配置BFD for PW進行故障檢測。配置模板：8.1.3 業(yè)務從A設備接入/落地業(yè)務從A設備接入/落地，單側采用雙歸接入方式，通過多段PW承載，雙歸接入側配置Bypass-PW，用于故障場景下的流量迂回，配置BFD for PW進行故障檢測。配置模板：8.2 QoS部署方案通道類業(yè)務QoS部署原則：l 不能修改業(yè)務報文的優(yōu)先級；l 根據簽約SLA信息，統(tǒng)一設置業(yè)務優(yōu)先級；l 對通道類業(yè)務進行限速，避免對1X/DO/LTE等高價值業(yè)務造成影響；l 針對專線存在多個等級的情況，統(tǒng)一按照EXP2進行映射；配置模板：9 設備命名規(guī)范9.1 設備命名城市縮寫-縣縮寫-節(jié)點縮寫-設備屬性-設備編號.網絡（業(yè)務）類型.設備類型符號字符字符字符字符字符字符字符字符數字字符字符字符字符字符數818181固定111417選項必選必選可選可選必選必選必選必選必選必選必選必選可選l 字母大小各市需要采用統(tǒng)一標準，全部大寫。l 兩端、中間不帶任何空格。l 城市標識，取城市名稱拼音的首字母大寫，如南京：NJ。l 當出現郊區(qū)縣時，在城市標識后加郊區(qū)縣名稱拼音的首字母，如南京六合縣：NJ-LH。l 節(jié)點標識，取節(jié)點名稱拼音的首字母大寫，如兩節(jié)點的首字母有重疊則取拼音不相同的字用全拼，分兩種情況：當前一個字不同，則前個字用全拼，如漢中門（HanZM）和后宰門（HouZM）；當后一個字不同時則后一個用全拼。A設備的節(jié)點名稱需要各省統(tǒng)一規(guī)劃。l 設備屬性標