BRAS設備介紹與配置,孫志勇 2010/4/13,Juniper BRAS設備介紹 華為BRAS設備介紹 華為MA5200G開局簡介,Juniper BRAS設備介紹,Juniper網絡公司E-系列邊緣路由器設計用來滿足網絡邊緣的不同要求，提供統一的JUNOse軟件、特性以及可編程ASIC技術，實現可預測的性能和業務靈活性。 ERX的創新設計將路由處理器移出了轉發路徑，并在每個端口上維護完整的路由表，為IP業務提供了一條快速路徑。 E-系列路由器采用某種特殊的方法接入擁有IP、ATM、幀中繼支持技術，為IP業務部署提供了高度可靠、可擴展的靈活路由平臺。 E-系列平臺提供了端口多樣性、性能和靈活IP業務功能，來滿足服務供應商不斷提高的要求。,Juniper BRAS設備優勢,從5Gbps到40Gbps的匯聚吞吐速率實現業界領先的性能。 所有端口均可提供全部特性和業務，而不會犧牲性能。 可通過單一E-系列平臺部署多種基于IP的業務，最大限度利用投資。 可進行擴展，支持復雜的大型轉發表。 可與其他廠商的設備互操作，易于集成到現有網絡中。,Juniper BRAS設備性能,Quidway MSCG多業務控制網關設備介紹,MA5200G是華為公司針對寬帶城域網向多業務承載網方向的發展趨勢，專門研發的大容量、高性能的寬帶業務控制網關。 MA5200G部署在城域網的邊緣匯聚層，采用先進的分布式硬件體系結構和大容量無阻塞硬件轉發技術，提供大容量、高密度端口、電信級可靠性、線速轉發性能、完整的QoS機制、豐富的業務處理能力，可作為多業務承載網的終端接入認證網關、業務控制網關、安全控制網關，和專線PE，為網絡運營商提供統一完整的寬帶數據接入和業務運營方案 。 MA5200G是一個系列化產品，包括MA5200G-2、MA5200G-4、 MA5200G-8三款型號，三款產品在業務板數量、接入用戶數和交換容量等性能規格上不同，可以適應不同網絡規模的組網要求。,Quidway MSCG多業務控制網關設備介紹,ME60是具有大容量、高性能、強業務融合和業務智能處理與控制能力的多業務控制網關（MSCG：Multi-Service Control Gateway），定位于NGN/3G承載網的核心層邊緣，是IP網絡從承載單一的 Internet 業務向承載數據、語音、視頻、3G、NGN等業務的關鍵設備。 ME60部署在多業務城域網的邊緣，接入各種接入網，提供各種業務的統一接入和傳輸 。 ME60提供強大的業務隔離手段、安全控制功能、QoS保障能力、高可靠性保證，為多業務承載提供保證，并同時大幅降低網絡的建設成本和運維成本。 ME60系列產品包括ME60-8和ME60-16兩款，可以適應不同規模網絡的組網需求。,Quidway MA5200G多業務控制網關產品特點,MA5200G-2/MA5200G-4/MA5200G-8的背板容量分別為64Gbps/256Gbps/256Gbps，系統交換容量分別為16Gbps/64Gbps/64Gbps，提供2/4/8個業務槽位，每板最大提供4 GE/32 FE/16 ATM 155M/4 ATM 622M/4 POS 155M/2 POS 622M/1 POS 2.5G，支持1.2萬/2.4萬/4.8萬并發在線用戶，大容量的接入能力、豐富的接口種類、高密度的端口可以適應“大容量、少局所、扁平化”的電信級城域網組網需求 。 MA5200G采用業界主流的網絡處理器技術，實現GE接口在內的所有接口的IP、MPLS、PPPoE、組播報文的線速轉發，單板支持雙向3Mpps轉發能力，MA5200G-2/MA5200G-4/MA5200G-8整機轉發性能達到6Mpps/12Mpps/24Mpps。,Quidway MA5200G多業務控制網關產品特點,路由器能力強，支持豐富的路由協議，包括靜態路由、RIP1/2、OSPF、BGP、IS-IS單播路由協議和PIM-SM、PIM-DM、MBGP、IGMP V1/V2等組播路由協議，單播路由表可以達到512K條的路由，組播路由表可以達到 8K 條組播路由。支持L2TP、GRE、LSP等隧道協議，支持 MPLS 標簽交換和 MPLS L3 VPN、MPLS L2 VPLS 業務，能夠同時對接入用戶和IP專線用戶提供MPLS VPN業務 。 MA5200G提供電信級可靠性，采用分布式硬件轉發，各關鍵部件包括路由處理系統、業務處理系統、交換網系統、時鐘系統、電源、系統內部管理總線、風扇全部為冗余熱備份，各部件在主備倒換時，用戶的業務不中斷 。 靈活的的接入認證方式。 豐富的計費方案。,Quidway MA5200G多業務控制網關產品特點,有效的地址管理功能。 強大的業務管理能力和QoS控制。 提供豐富的業務功能，支持強大的單播、組播業務，可以大規模開展IPTV業務。 提供完善的安全機制，通過身份認證、ACL、防攻擊等技術手段，提供身份鑒別、防地址仿冒、攻擊防護等完善的安全功能。 運營級的管理維護,Quidway ME60多業務控制網關產品特點,ME60是基于華為公司的Terabit級平臺，提供640Gbps/2.56Tbps超大交換容量，240M/480Mpps轉發性能，10Gbps高性能業務處理單板和業務接口。 ME60設備單板支持12K并發用戶，整機支持最大96K并發用戶。 ME60特別加強了系統可靠性設計，實現業務的零損失和倒換。 ME60提供強大的業務接入能力和控制能力，能夠無差異的向通過任意方式接入的企業用戶和個人提供各類增值業務。 ME60內置了強大的5級層次化調度器，單板提供256K隊列，能夠提供層次化的優先級調度，擁塞避免，流量監管和整形等功能。通過層次化調度器，ME60能夠保證接入網絡的QoS，從而提高用戶的業務體驗。 持續的升級能力,Quidway MA5200G/ME60開局介紹,系統配置 PPPoE配置,Quidway MA5200G/ME60開局介紹,系統配置,Quidway MA5200G/ME60開局介紹,操作用戶的管理,（1）在本地AAA服務器視圖下增加本地操作用戶：user 注意：在增加操作用戶的時候最少要設置一個操作用戶的屬性才能創建成功。 （2）在AAA服務器視圖下設置操作用戶的屬性： user username block設置操作用戶的狀態； user username authentication-type設置接入操作用戶類型； user username password設置操作用戶密碼； user username level設置操作用戶等級； user username ftp-directory設置允許FTP用戶訪問的路徑； user username idle-cut設置允許切斷閑置的操作用戶。,Quidway MA5200G/ME60開局介紹,虛擬用戶終端接口設置,在進行telnet遠程維護的時候需要配置虛擬用戶終端接口。 （1）使用user-interface vty進入VTY視圖 （2）設置虛擬用戶的管理屬性： idle-timeout設置終端用戶超時時間； user privilege設置用戶終端的優先級； authentication-mode設置用戶終端的認證方式； set authentication password設置用戶認證密碼。 注意：如果通過維護配置網口和維護終端直連，二者必須配置同一網段下的IP地址。,Quidway MA5200G/ME60開局介紹,文件系統的日常操作,MA5200G所管理的文件主要有BootROM的程序文件、主機軟件的程序文件、系統配置文件、系統信息文件（如調試信息、日志信息、告警信息）和話單文件等。 Mkdir 創建目錄； Rmdir 刪除目錄； Pwd 顯示當前的工作目錄； Dir 顯示目錄或文件信息； Cd 改變當前目錄。 delete /unreserved 刪除文件； Undelete 恢復刪除文件； reset recycle-bin 徹底刪除回收站中的文件； Rename 重新命名文件；,Quidway MA5200G/ME60開局介紹,常用維護命令,顯示版本信息 display version 切換操作語言 language-mode 查看設備信息 display device 復位系統 reboot whole router 復位單板 reset slot 查看配置信息 display current-configuration 查看告警信息 display trapbuffer,Quidway MA5200G/ME60開局介紹,PPPoE配置,Quidway MA5200G/ME60開局介紹,PPPoE業務的基本流程,PPPOE的報文封裝是直接在以太網上進行PPP報文的封裝，因此其基本的組網形態就是一臺計算機直接接在MA5200G的以太網接口上面進行PPP撥號。如下圖：,Quidway MA5200G/ME60開局介紹,PPPoE配置的基本流程,用來給用戶分配IP地址,設定用戶是采用radius認證還是不認證,設定用戶是采用radius計費還是不計費,設置所采用的radius服務器的參數,設定用戶所使用的域，以及域下的參數,使能用戶接口的BAS功能并進行設置,Quidway MA5200G/ME60開局介紹,配置地址池,無論是動態獲取IP的用戶還是采用靜態IP地址接入的用戶都需要配置地址池。地址池的作用主要是給用戶分配地址、分配DNS地址，以及給接入用戶提供一個三層接口（gateway）。 MA5200G的地址池分為兩種： 一種是本地地址池，這是MA5200G內置DHCP的一種方式； 一種是外置地址池，這是采用外置的DHCP服務器來給用戶分配地址的一種方式。,Quidway MA5200G/ME60開局介紹,配置地址池,配置本地地址池： （1）創建一個名為huawei的本地地址池 MA5200Gip pool huawei local （2）設置地址池缺省網關 MA5200G-ip-pool-huaweigateway （3）創建一個地址段 MA5200G-ip-pool-huaweisection 0 （4）配置DNS服務器 MA5200G-ip-pool-huaweidns-server ,Quidway MA5200G/ME60開局介紹,配置地址池,配置遠端地址池： 在外置DHCP的情況下也需要進行地址池的配置，這里配置地址池的主要作用是指定一個gateway用戶用戶的三層接口地址。 （1）配置名為remotedhcp的DHCP服務器組 MA5200Gdhcp-server group remotedhcp （2）指定DHCP服務器地址 MA5200G-dhcp-server-group-remotedhcpdhcp-server 0 （3）創建遠端地址池 MA5200Gip pool huaweiremote remote （3）配置遠端地址池（指定gateway和綁定DHCP服務器組） MA5200G-ip-pool-huaweiremotegateway MA5200G-ip-pool-huaweiremotedhcp-server group remotedhcp,Quidway MA5200G/ME60開局介紹,配置認證方案,在這里首先是要配置一個認證方案，然后再為這個認證方案設置相應的認證方法。 （1）添加一個新的認證方案Auth1 MA5200G-aaaauthentication-scheme Auth1 （2）配置此認證方案的認證方法為radius認證 MA5200G-aaa-authen-auth1authentication-mode radius,配置認證方案,在這里首先是要配置一個計費方案，然后再為這個計費方案設置相應的計費方法。 （1）添加一個新的計費方案Acct1 MA5200G-aaa accounting-scheme Acct1 （2）配置此計費方案的計費方法為radius計費 MA5200G-aaa-authen-acct1 accounting-mode radius,注意：如果只建立了認證方案或者計費方案，而沒有配置相應的方法的話，默認是radius認證radius計費,Quidway MA5200G/ME60開局介紹,配置Radius組,用戶在進行認證的時候需要配置radius服務器組，在組里面主要指定radius服務器的地址，以及認證和計費的端口，密鑰等等參數。 （1）建立一個名為radius1的radius服務器組 MA5200Gradius-server group radius1 （2）配置主用radius認證服務器的地址和端口號 MA5200G-radius-radius1radius-server authentication 1812 （3）配置備用radius認證服務器的地址和端口號 MA5200G-radius-radius1radius-server authentication 8 1812 secondary （4）配置主用radius計費服務器的地址和端口號 MA5200G-radius-radius1radius-server accounting 1813 （5）配置備用radius計費服務器的地址和端口號 MA5200G-radius-radius1radius-server accounting 8 1813 secondary,Quidway MA5200G/ME60開局介紹,配置域,總共有兩種域，一種是認證前的域，一種是認證域。對于WEB認證的用戶來說，認證前的域主要是用來獲取IP地址的。 我們需要明確，做WEB認證的用戶必須首先獲取IP地址，只有一個合法的用戶才能獲取到IP地址，因此，在用戶進行WEB認證之前我們需要先讓這個用戶“合法化”，使之獲取一個IP地址。這樣我們首先給用戶指定一個“認證前”的域，在這個域里面指定用戶所使用的地址池，以及認證策略，同時利用UCL將這個域里面的用戶的權限進行限制，使域里面的用戶只能訪問WEB服務器等資源。然后用戶就會到這個指定的WEB服務器上進行認證，認證通過之后的用戶將屬于另外一個域，我們只需要在這個域里面將用戶全部的上網權限打開就可以了。,Quidway MA5200G/ME60開局介紹,配置域,有兩個默認的域default0和default1，這兩個域只能修改不能刪除。其中default0的默認策略是不認證不計費，default1的默認策略是radius認證radius計費。 （1）配置認證前的域 由于認證前的域主要是用來給用戶分配IP地址的，因此我們在這里可以使用默認的default0這個域 MA5200G-aaadomain default0 （2）配置域內地址池 MA5200G-aaa-domain-default0ip-pool huawei （3）配置用戶所屬的UCL-GROUP MA5200G-aaa-domain-default0ucl-group 1 （4）配置強制WEB的地址 MA5200G-aaa-domain-default0web-server url 45,Quidway MA5200G/ME60開局介紹,配置域,配置認證域，認證域是用戶認證通過之后屬于的域，所以在認證域里面主要要配置相應的認證策略，計費策略以及radius服務器等等。 （1）配置認證域 MA5200G-aaadomain isp （2）指定認證域內的認證方案和計費方案 MA5200G-aaa-domain-ispauthentication-scheme Auth1 MA5200G-aaa-domain-ispaccounting-scheme Acct1 （3）指定該域使用的radius服務器 MA5200G-aaa-domain-ispradius-server group radius1,注意：如果只建立了一個域，而沒有指定認證計費策略的話，該域所采用的是radius認證radius計費的策略。,Quidway MA5200G/ME60開局介紹,配置WEB認證服務器,如果用戶需要采用WEB認證方式的話，需要在這里配置WEB認證服務器的參數，參數主要包括IP地址和密鑰。 （1）配置WEB認證服務器，密鑰為huawei MA5200G-aaa web-auth-server key huawei 如果用戶需要采用強制WEB認證方式的話可以配置以下內容： （2）在認證前的域內指定強制WEB的地址 MA5200G-aaa-domain-default0web-server url ,注意：WEB認證服務器是必須要配置的。強制WEB的配置視客戶需要可以選擇配置。,Quidway MA5200G/ME60開局介紹,配置ACL規則,這里配置ACL規則的主要目的是限制用戶在認證前域獲取了地址之后的上網權限。 （1）首先配置一個rule-map MA5200Grule-map rule1 ip user-group 1 any 這里就建立了一個rule，這個rule表示了user-group 1里面的用戶和所有目的地址的關系。 （2）配置一條EACL，禁止user-group 1對any的訪問 MA5200Geacl global rule1 deny （3）將配置號的EACL應用到所有接口 MA5200Gaccess-group eacl global,Quidway MA5200G/ME60開局介紹,配置ACL規則,在做完上面的禁止訪問的操作之后，在實際配置的時候我們還需要將一些目的地的權限放開，比如WEB認證服務器，DNS服務器等等。 比如DNS服務器的地址是，那么我們可以通過如下的配置來將用戶對DNS的訪問權限放開。 （1）首先配置一個rule-map MA5200Grule-map rule1 ip user-group 1 這里就建立了一個rule，這個rule表示了user-group 1里面的用戶和地址的關系。 （2）配置一條EACL，允許user-group 1對的訪問 MA5200Geacl global rule1 permit （3）將配置號的EACL應用到所有接口 MA5200Gaccess-group eacl global,Quidway MA5200G/ME60開局介紹,配置上行接口,（1）進入上行接口配置視圖 MA5200Ginterface Ethernet7/0/15 （2）激活上行接口 MA5200Gundo shutdown （3）配置IP地址 MA5200Gip address ,Quidway MA5200G/ME60開局介紹,VT接口的創建,注：進行PPPOE配置的時候同樣要配置地址池、認證計費方案、radius、域。但是這些配置都是和前面相同的，這里就不再描述了。這里主要描述PPPOE和其它配置所不同的地方。 （1）創建VT接口 VT接口主要是用來對報文的PPP協議層進行處理的，因此在配置PPP接入業務的時候我