綜合接入網實驗室建設

彭美娥，馬立香，吳 凡

(電子科技大學 通信與信息工程學院，四川 成都 610054)

接入網已經發展成與核心網并列的現代通信網絡兩大基本構件之一，并且是當前技術發展最快、應用最廣的網絡[1]。電子科技大學于2002年率先在全國高校開出了接入網技術課程。作為網絡工程專業的一門核心專業課，接入網技術具有很強的綜合性和實踐性[2]。因此，在培養接入網專業技術人才時，除了需要注重理論知識的傳授，更需要注重工程實踐能力的培養[3]。為此，建設綜合接入網實驗室，并以此為平臺開展多層次的實驗教學和工程實訓，對培養接入網專業技術人才的工程實踐能力意義重大，十分必要[4]。

綜合接入網實驗室依托電子科技大學國家級實驗教學示范中心——“通信與信息系統實驗中心”已有的骨干傳輸系統建設[5]，實現了多接入、多業務、統一接入控制管理，為接入網原理實驗、組網實驗、接入網綜合課程設計、網絡工程實訓等提供了良好的實驗環境[6]。本文主要對綜合接入網實驗室的建設理念、總體架構、具體設計和實現等內容進行了詳細闡述。

1 建設理念

建設綜合接入網實驗室的目的是為了提供與主流接入系統相似的實驗環境，使學生得到實戰的體驗和鍛煉，培養接入網工程實踐應用能力。目前接入網市場多種接入技術并存，接入用戶可以根據需求選擇不同的接入技術，使用各種不同的業務；而運營商為了控制接入用戶，普遍采用統一的接入控制管理系統，只允許授權用戶接入，拒絕非法用戶接入。我校綜合接入網實驗室的建設從一開始就堅持3個基本理念：全真、統一、全業務。

(1) 全真。整個綜合接入網實驗室與當前商用接入系統應一致。在設備上，從用戶端到局端，所有設備全部采用國內外知名廠商生產的商用設備。利用這些設備搭建各種真實的接入場景，實現現有的各種先進網絡技術，包括目前各種主流的接入技術、接入控制管理技術以及核心網技術，帶給學生從網絡技術到各種業務的全方位的真實體驗。

(2) 統一。為了便于管理，把目前多種主流接入技術納入到同一實驗平臺中，采用統一的接入控制管理系統對各種接入用戶進行接入控制管理。這種接入控制管理與具體的接入技術無關，為新的接入技術提供開放接口，具有可擴展性。

(3) 全業務。綜合接入網實驗室必須支持語音、數據、圖像等全業務接入。

2 總體架構

綜合接入網實驗室涵蓋了多種主流接入技術，可實現多接入、多業務、統一用戶接入控制管理，是一個全真的、可擴展的綜合接入網實驗室(見圖1)。

圖1 綜合接入網實驗室總體架構

2.1 網絡架構

緊隨現代網絡發展的趨勢，綜合接入網實驗室網絡架構采用了與現代網絡架構一致的扁平化結構，構建了接入網和核心網2個層次。其中，接入網的主要作用是在核心網與接入用戶之間提供各種業務的透明的承載和傳送功能，為用戶提供接入服務；核心網則提供業務的高速傳輸和交換。這種扁平化的網絡架構具有結構簡單、易于擴容、方便快速提供新業務、故障影響率低、故障解決時間短、維護成本低等諸多優點。

接入網由多種接入系統組成，分別采用不同的接入技術。每種接入系統有各自獨立的用戶端、局端接入設備及接入介質，它們彼此獨立，互不影響，與真實的接入系統接近。各種接入系統通過匯聚交換機匯聚后上聯到IP核心網，最終實現各種接入用戶接入校園網、因特網。

IP核心網集傳輸網、IP網絡于一體，依托學校內國家級“通信與信息系統實驗中心”已有的骨干傳輸系統構建。該骨干傳輸系統相當于中心城市綜合業務運營環境，能提供很好的傳輸能力。IP核心網上連校園網，通過校園網最終與因特網連接。

2.2 接入控制管理架構

現實的接入網是一種獨立的運營網絡，由運營商建設、管理和維護，所以實現用戶的接入控制管理是接入網的首要任務。接入控制管理的核心是認證(Authentication)、授權(Authorization)和記賬(Accounting)，簡稱為“AAA”功能。目前運營商廣泛采用由三實體組成的RSA模型實現AAA功能(見圖2)。

圖2 RSA接入控制管理系統模型

在RSA接入控制管理模型中，三實體分別是網絡接入申請者(Network Access Requestor，NAR)、網絡接入服務器(Network Access Server，NAS)和網絡接入授權者(Network Access Authority，NAA)。本質上，NAR是接入用戶，NAS是接入服務器，NAA是認證服務器。NAR和NAS之間是各種接入網，NAS和NAA之間通常是IP網絡。

各種接入用戶在接入網絡之前，必須向接入服務器發出接入認證信息，得到授權后，才能訪問網絡。接入服務器既是接入用戶的服務器端，又是認證服務器的客戶端，負責向認證服務器轉發用戶認證信息，根據授權信息實施對用戶的接入控制。認證服務器負責驗證接入用戶的信息，根據認證結果發送授權信息給接入服務器，實現對所有接入用戶的認證、授權和記賬。

RSA接入控制管理模型實現的接入控制管理都是針對接入用戶的，與具體的接入技術無關。用戶可以是通過各種接入系統接入的用戶，適用于大型、多接入控制系統，是接入控制管理系統的發展方向。

我校綜合接入網實驗室的接入控制管理系統采用了這種三實體模型，如圖1所示。其中的各種接入終端都是接入用戶，如：有線PC、無線PC、IP視頻電話機等。接入用戶共享接入服務器和認證服務器。接入服務器根據授權信息對接入用戶進行接入控制，認證服務器對接入用戶進行統一管理。各種接入用戶只要通過認證獲得授權后就可訪問校園網、因特網。

2.3 總體布局

綜合接入網實驗室配置了大量設備，有些設備對環境要求高，需要上架；而有些設備需要經常提供給學生進行實驗操作。因此，根據設備的特點、要求不同，將實驗室的設備劃分為用戶區和機房區分開放置。

用戶區設有多個實驗桌，且預布放線纜到桌，可提供以太網接口、電話接口等多種信息接口，每個實驗桌上常規配備多臺PC、一臺以太網交換機，供不同實驗共同使用。根據實驗不同，再配備其他數據終端、小型接入終端，如電話機、ADSL modem等設備，搭建實驗拓撲，就可進行不同實驗，實現用戶區的共享。

機房區主要放置局端大型接入設備、接入控制管理設備及IP核心網設備，所有設備上架，按機房要求設計，滿足設備的要求[7]。

3 設計與實現

為了融合多種主流接入技術，實現多業務、多用戶接入，統一用戶接入控制管理，提供與主流接入系統接近的實驗環境，方便開設各種接入實驗，在接入網實驗室的具體設計中，主要解決以下關鍵問題：網絡設備的選擇、接入系統的隔離與并存、用戶的統一接入控制與管理、設備的共享與并行操作。

3.1 網絡設備的選擇

提供電信級全真的運行環境，需要高性能的軟硬件設備來保障。因此，實驗室所有的網絡設備都選用了國內外知名廠商生產的商用設備，如CISCO的交換機和路由器，華為公司的程控交換機、接入認證服務器、ADSL接入設備、EPON接入設備等，利用這些設備構建了ADSL、EPON、LAN/WLAN等多種全真的接入系統以及接入控制管理系統，從設備上保證了實驗室與主流接入系統的環境接近。

3.2 接入系統的隔離與并存

綜合接入網實驗室集成了多種接入系統。盡管各種接入系統在接入層有各自獨立的物理設備和線路，但是上連到IP核心網前，則要共享匯聚交換機、共享介質。如果多個接入系統同時為用戶提供接入，則可能形成環路，造成通信錯誤。因此必須對接入系統進行隔離，使各接入系統能并行為用戶提供接入。

隔離的方法是采用VLAN技術[8]，把不同的接入系統劃分到不同的VLAN中。當然，也可以將一個接入系統劃分成多個VLAN。實驗室主要劃分了以下不同的VLAN：ADSL接入系統為VLAN2；LAN接入系統為VLAN 3；WLAN接入系統為VLAN 4；EPON接入系統劃分成了多個VLAN，這是考慮到EPON接入系統是點到多點的結構，一個OLT下有多個ONU/ONT，每個ONU/ONT下可以接多個用戶[9]。

通過這樣劃分VLAN后，各接入系統在邏輯上彼此完全獨立，解決了多個接入系統同時接入可能形成的環路問題，使各接入系統能并行接入，為靈活開展接入網實驗提供了條件。實驗室可以開設多種不同類型的接入實驗，各實驗既可以同時進行并且互不干擾，也可以單獨進行。實驗可組合、可分離，方便靈活。

實驗室還為后續新接入技術的加入提供了開放接口。對于新加入的接入技術，只要增加一個新的VLAN，就可以納入到同一實驗平臺中，具有很好的可擴展性。此外，從網絡管理的角度看，VLAN的劃分可以方便感知用戶的物理上下線路，給網絡管理帶來方便[10]。

3.3 用戶的統一接入控制與管理

綜合接入網實驗室的接入控制管理系統采用目前商用的兩種主要方式實現：PPPoE和802.1X，如圖3所示。PPPoE服務器和802.1X接入交換機實現接入控制功能，RADIUS服務器實現AAA功能。所有接入用戶的用戶名、口令等用戶認證信息都保存在RADIUS服務器上。

圖3 PPPoE和802.1X接入控制

PPPoE接入控制方式適用于對所有類型接入用戶的控制，ADSL接入用戶、EPON接入用戶、LAN接入用戶和WLAN接入用戶都可以通過PPPoE虛擬撥號與PPPoE服務器建立虛擬連接，并通過RADIUS服務器對其接入身份進行認證。用戶的身份認證通過后，由PPPoE服務器為用戶分配IP地址，用戶得到授權就可以訪問核心網及相關資源[11]。

實驗室中PPPoE方式的實現采用了華為公司的寬帶IP接入服務器MA5200F。由于該設備集成了PPPoE服務器、RADIUS服務器等功能，因此，利用MA5200F這一個設備就實現了對用戶的接入控制和管理。在接入前，MA5200F對接入用戶進行身份認證，認證通過后，MA5200F對該用戶分配IP地址，允許其接入。

另外，在MA5200F上還實現了多個域的配置[12]。每個域與一個IP地址池及認證策略、計費策略等其他一些信息綁定。當屬于某個域的用戶通過認證后，MA5200F就從與其綁定的IP地址池中分配一個IP地址給該用戶。利用域、IP地址、用戶名等信息，可以快速查找在線用戶、查看用戶下線的原因，或實現其他一些實用的業務功能，方便網絡管理。

802.1X接入控制方式是基于端口的接入控制方式，適用于對LAN和WLAN接入用戶的控制。采用802.1X方式時，接入用戶由支持802.1X的接入交換機在接入端口上進行分布式控制，由RADIUS服務器集中認證管理。認證沒有通過前，接入用戶只能通過接入端口傳送認證信息，不能傳送數據信息；認證通過后，由DHCP服務器為用戶分配IP地址，用戶就能傳送數據信息、訪問核心網及相關資源[13]。

3.4 設備的共享與并行操作

綜合接入網實驗室采用的硬件設備都是商用設備，通常只允許一個或極少數幾個用戶同時對設備進行配置，顯然這不利于學生多人同時訪問，限制了實驗的開設。為此，實驗室設計了配置管理服務器，該服務器可以放置在IP網或以太網上。在對實際設備操作前，多組實驗用戶可以先在配置管理服務器上進行模擬操作，調試通過后，再把各組的配置數據通過控制分時加載到實際的設備中，從而實現多組用戶同時實驗，實現了設備的共享與并行操作。

目前，接入網實驗室中的配置管理服務器主要用于EPON設備配置的前端處理。隨著新設備的加入、新實驗的開發，通過對配置管理服務器進行升級，該服務器還可以用于其他設備配置的控制處理。

4 結束語

電子科技大學建設的綜合接入網實驗室融合了多種主流接入技術，采用統一的用戶接入控制管理模式，提供開放的接口，是一個多接入、全業務、接近真實網絡的實驗室。到目前為止，綜合接入網實驗室已運行了近5年。它不僅為我校網絡工程專業的學生提供了良好的實驗實踐環境，也為綜合課程設計、跨專業選修的學生提供了良好的實踐環境，為培養學生的工程實踐能力和設計分析能力起到了重要作用。

[1] 雷維禮，馬立香.接入網技術[M].北京：清華大學出版社，2006.

[2] 唐泉.淺談“接入網技術”課程教學[J].科技創新導報，2011(9)：151-152.

[3] 張科，馬立香，雷維禮，等.《接入網技術》實驗教學研究與探索[J].實驗科學與技術，2011，9(5)：227-229，284.

[4] 杜月林.構建多層次全方位實驗平臺體系培養高素質創新型人才[J].實驗室研究與探索，2013，32(3)：202-204.

[5] 段景山，毛玉明.綜合通信系統實驗平臺建設[J].實驗科學與技術，2005(增刊)：187-189，193.

[6] 陳兆夏，閻燕，吉東風，等.共享實驗平臺建設的實踐與思考[J].實驗室研究與探索，2012，31(10)：408-410，425.

[7] 尹智宏.如何設計全新的現代“開放共享”實驗室[J].實驗技術與管理，2012，29(9)：171-179.

[8] 雷維禮，馬立香，彭美娥.局域網與城域網[M].北京：人民郵電出版社，2008.

[9] 劉文杰，林樂春，李鳳岐，等.VLAN技術在校園網實驗中的應用[J].實驗技術與管理，2009，26(3)：85-87，90.

[10] 李郁峰，陳念年.拓展實驗室開放的內涵和形式，營造實踐創新氛圍[J].實驗技術與管理，2009，26(12)：22-24,28.

[11] 王軍號，陸奎.RADIUS協議在AAA系統中的應用研究[J].計算機技術與發展，2009，19(7)：199-202.

[12] 蔣岱，王晗.接入服務器設備(MA5200F)配置與維護[J].中國有線電視，2011(1):88-90.

[13] 朱新芬，孟利民.寬帶接入認證方式的分析與比較[J].浙江工業大學學報，2009，37(2)：190-195.