江苏电信BRAS华为ME60配置规范.docx

1、江苏电信BRAS华为ME60配置规范江苏电信BRAS（华为ME60/MA5200G）设备配置规范中国电信江苏分公司2010年11月概述为保证城域网的运行质量，必须在设备能力、网络设计、网络配置、维护流程、支撑系统等环节予以保障。由于网络规模不断扩大，设备特性不断变化，配置工作正日益变得复杂，全网配置发生错误的概率也在增加，因此很有必要对城域网BRAS网络设备的网络配置予以规范化。本课题涉及的对象就是城域网网络设备配置的相关规范标准，目的是为城域网维护人员提供实用维护工具。考虑到城域网网络设备维护分工明确，配置规范按分册进行编写，本篇只针对城域网核心层路由器设备制定相关配置规范。本文主要内容安排

2、如下：1. 介绍城域网优化目标网络结构以及路由器在城域网中的功能定位；2. 从网络配置方面阐述配置说明以及规范要求，并给出主流路由器型号设备的配置示例。针对路由器设备，网络配置主要包括系统基本配置、端口配置、安全配置、网管配置等。3. 提出文档维护和执行的管理要求。1.1术语和缩写语表本文中将使用下列术语和缩写，除非文中特别说明，否则意义如下；对于下表中未说明的术语和缩写，应做业界标准或惯例理解。AAAAutentication Authorization and Accounting 认证、授权与计费ACLAccess Control List 访问控制列表ASAutonomous Syst

3、em 自治系统BGPBoarder Gateway Protocol 边界网关协议CARCommitted Access Rate 承诺访问速率CECustomer Edge 客户边缘设备DCore Router 核心路由器DDoSDistributed Deny of Service 分布式拒绝服务攻击DiffServDifferentiated Services 差分服务DSCPDifferentiated Service Code Point 差分服务代码点FRRFast Re-route 快速重路由GEGigabyte Ethernet 千兆以太网GRGraceful Restart

4、平滑重启动HAHigh Availability 高可用性HDLCHigh Data Link Control 高级数据链路控制H-QOSHierarchical Quality of ServieIPInternet Protocol 互联网协议ISISInter System to Inter System 中间系统到中间系统LDPLabel Distribution Protocol 标记分发协议LSPLabel Switching Path 标记转发路径LSRLabel Switch Router 标记交换路由器MP-BGPMulti-protocol Boarder Gate Pro

5、tocol 多协议边界网关协议MIBManagement Information Base 管理信息库MPLSMultiple Protocol Label Switching 多协议标签交换NSFNon stop Fowarding 不间断转发NSRNon stop Routing 不间断路由NTPNetwork Time ProtocolOAMOperation Administration and Maintenance 操作维护管理OSPFOpen Shortest Path FirstPEProvider Edge 运营商边缘设备POSPacket over SDH SDH封装数据包

6、PPPPoint to Point Protocol 点到点协议QoSQuality of Service 服务质量RRRoute Reflector 路由反射器RSVPResource Reservation Protocol 资源预留协议SDHSymMetric Digital Hierarchy 同步数字序列SNMPSimple Network Management Protocol 简单网络管理协议SRService Router 业务路由器TCPTransfer Control Protocol 传输控制协议TETraffic Engineering 流量工程UDPUser Data

7、 Protocol 用户数据报协议uRPFReverse Path Fowarding 反向路径转发VPLSVirtual Private LAN Service 虚拟专用局域网业务VPNVirtual Private Network虚拟专用网VRFVirtual Routing and Forwarding 虚拟路由转发实例VRRPVirtual Routing Redundancy Protocol 虚拟路由冗余协议上行流量用户发出的流量下行流量用户收到的流量1.2网络结构说明经过城域网改造扩容后，目标网络结构如下图所示。IP 城域网包括城域骨干网和宽带接入网，其中城域骨干网是业务接入控制

8、点（包括BRAS 和SR）及控制点以上的城域网核心路由器组成的三层路由网络，划分为核心层和业务接入控制层两层。业务接入控制层承接宽带接入网和城域骨干网，负责实现集中的业务提供和控制，BRAS 和SR 作为业务接入控制层组成部分，是IP 城域网实现“用户可识别、业务可区分、质量可控制、网络可管理”的转型目标的重要环节。IP城域网网络设备命名及链路描述规范1.3设备命名规范1.3.1适用范围本部分规定的IP城域网设备命名规范，适用于IP城域网内以下设备：出口核心路由器普通核心路由器BRASSR汇聚交换机园区交换机楼道交换机DSLAM1.3.2设备命名规范格式城市缩写-节点缩写-设备属性-设备编号.

9、网络(业务)类型.自定义字段符号字符字符字符字符字符字符数字字符字母字母字母字符数8181固定111115选项必选必选必选必选必选必选必选必选必选可选可选字母大小各市需要采用统一标准，全部大写。两端、中间不带任何空格。城市标识，取城市名称拼音的首字母大写，郊市区节点标识前统一增加郊市区名称拼音的首字母：如九江：JJ南昌：NC吉安：JA赣州：GZ抚州：FZ设备属性标识，规定如下出口路由器：D核心路由器：GSRBRAS：BAS业务路由器：SR设备序号，取阿拉伯数字，从1开始。同节点的相同属性的设备间以设备序号区别。网络类型：Mnet(城域网) I（IDC ） N(NGN)自定义字段，可以加入网络子

10、类型及设备型号等内容。例子：示例1：城域网出口路由器，南昌孺子路，第一台核心路由器，命名为r1-c-ncrzl-1.Mnet注：设备名称后的字段可以根据实际需要，允许地市增加设备型号，但是要求尽量简洁。增加设备型号后，完整的设备命名格式为“设备名称”+“.”+“设备类型简写”，如GZ_NM_S6506R_01。地市设备命名务必在国信朗讯等相关资源系统中一一对应，方便查询和识别。1.4端口描述规范1.4.1环回接口描述To空格功能描述符号字符字符字符串字符数3130选项必选必选必选说明：To：固定字符串。功能描述：描述该loopback端口特殊功能，为有意义的英文字符串。如：Management

11、、Multicast、VPN、Global Routing、BGP Load balance等。interface Loopback0 DesDiption To LOOPBACK ip address 202.97.36.86 255.255.255.2551.4.2网络端口描述规范1.4.2.1适用范围本部分适用于城域网设备的互连接口描述1.4.2.2端口描述包含下面几部分对端设备名称设备类型描述空格链路带宽:对端端口名称符号字符字符字符字符字符字符字符数201015220选项必选可选必选必选必选必选上表中“:”后“对端端口名称”要根据对端不同设备类型进行区分规范，具体区别如下表：Juni

12、per-TX阿朗RedbackJuniper-ERX华为CiscoPOS(10G/40G)so-*/*/*so-*/*/*so-*/*/*POS*/*/*POS*/*/*POS*/*/*以太(GE/10GE)ge-*/*/*ge-*/*/*ge-*/*/*GI*/*/*GI*/*/*GI*/*/*示例：description To JX-NC-ECL-D-3.163 10G(S-64N0001IP)1.4.3用户端口对于连接用户的接口或子接口，最前面为添加本地专线号，如果是长途VPN电路，需要添加本地接入电路号（比如赣州CTVPN52127A）。另外，建议添加用户名称等如下信息。格式： 专线号

13、 To用户标识本地专线号或者接入电路号空格To空格用户标识空格分配带宽符号字符字符字符字符字符字符字符字符数根据实际情况1212015选项必选必选必选必选必选必选必选1.4.4关于华为BRAS 上连端口的描述将二层接口的描述按照网络端口描述规范执行将三层接口名称描述,后面添加子接口号ge2/0/0.300将三层子接口描述和相应的二层接口描述一致。例子：上行GE二层描述：Inter Gigebitethernet 1/1 desDiption TO:GZ-SN-GSR-1.M.GSR12816 1G:GI1/1/4三层子接口描述：与三层子接口对应的ip地址端口配置：interface ge-1/

14、1.190 desDiption TO:GZ-SN-GSR-1.M.GSR12816 1G:GI1/1/4 ip address 202.104.165.30/301.4.5空闲端口描述规范要求设备上的所有端口均需要配置描述，对于设备上空闲未用的端口统一描述内容为no-use，便于网管监控。示例：某城域网XX节点SE800空闲GE端口2/8描述：port ethernet 2/8desDiption no-use华为ME60配置规范1.5系统基本配置规范1.5.1设备名称配置配置说明：规范设备命名，唯一性标识城域网中的每台设备，用于对城域网的每台设备进行区分，方便设备管理，提高可读性和可管理性

15、。规范要求：设备名称要求符合第二章中“IP城域网网络设备命名及链路描述规范”中规定。配置规范：Sysname GZ-SN-BRAS-ME60-01配置验证：配置后立即生效，设备名称显示在配置命令行的左边。1.5.2系统高可靠性配置配置说明：配置系统引擎冗余模式。规范要求：打开自动切换，要求采用最优切换方式配置规范：华为ME60两块引擎之间的备份机制是系统自动的，在Master引擎故障的情况下，Slave会立刻自动将自己切换为Master引擎，无需命令配置。配置验证：display device #显示2块MPU为1个为Master状态，一个为Slave状态display switchover

16、state #显示备份状态，当状态为“Info:HA FSM State, Realtime and routine backup.”时即表示可以进行主备切换，当状态为主备引擎正在同步时，切换可能会有问题配置注意细节：无。1.5.3设备自身时间及NTPNTP实现网络设备时间同步功能，与时间有关的应用，例如Log信息，基于时间限制带宽等，都需要基于正确的时间。 1.5.3.1时区配置配置说明：统一设备的时区配置。规范要求：配置系统时区为GMT+8，北京时区。配置规范：对于Version5.30版本配置如下：clock timezone Beijing add 08:00:00 #在用户模式下配置

17、对于Version5.50版本配置如下：clock timezone Beijing minus 08:00:00 #在用户模式下配置配置验证：display clock配置注意细节：无。1.5.3.2NTP配置配置说明：使用NTP同步网络上所有设备的时间，保证网络设备得到正确的时间。规范要求：配置主和备两组NTP服务器。城域网NTP配置为两级结构，出口路由器配置与省网NTP SERVER 202.97.32.156/157同步时钟，出口以下设备则配置向出口路由器进行时钟同步。配置现网设备NTP协议版本为V3。指定本地发出NTP消息的接口。配置规范：ntp-service source-int

18、erface LoopBack0ntp-service unicast-server 202.97.32.156 preference #优选其中一台出口为NTP SERVERntp-service unicast-server 202.97.32.157 #另一台出口为备用NTP SERVER配置验证：display clockdisplay ntp-service statusdisplay ntp-service session配置注意细节：地市出口直接用202.97.32.156/157,出口以下设备以出口为服务器为NTP server。ME60默认NTP协议版本号为V3，不需特别配置

19、版本信息。1.5.3.3NTP协议加密配置说明：配置NTP协议加密，防止伪造NTP源引起设备时间错误。规范要求：现阶段NTP协议均不使用使用加密。配置规范（参考）：ntp-service authentication enablentp-service authentication-keyid 11 authentication-mode md5 “xxx” #keyntp-service reliable authentication-keyid 11配置验证：display clockdisplay ntp-service statusdisplay ntp-service session

20、配置注意细节：无。1.5.3.4SNTP进程关闭配置说明：SNTP是NTP协议的的一个改写本，相比NTP协议实现更简单，但精确度要低，不能同时与多个Server同步时间。关闭SNTP协议，可防止基于SNTP漏洞的攻击。规范要求：出口路由器配置使用NTP协议同步时间，而不是使用SNTP协议。已配置了使用SNTP协议同步时间的，应更改SNTP协议为NTP协议。配置规范：ME60不支持SNTP协议，不需要关闭SNTP协议。1.5.3.5配置范例clock timezone Beijing add 08:00:00 #时区设置（用户视图）ntp-service unicast-server *.*.*

21、.* preference #优选其中一台出口为NTP SERVERntp-service unicast-server *.*.*.* #另一台出口为备用NTP SERVER ntp-service source-interface loopback 0 #NTP消息源地址1.5.4VTY接口配置1.5.4.1连接数限制配置说明：对同时远程登陆到设备上的session数进行限制，可以防止大量的session连接占用过多系统资源，同时便于集中运维，保证故障期间的正常处理。规范要求：配置GSR路由器并发连接数限制为10配置规范：user-interface maximum-vty 10配置验证：

22、display user-interface maximum-vty配置注意细节：无1.5.4.2空闲时间配置说明：设置了Telnet超时功能，当空闲时间超过设定值后，Telnet线程断开，防止未被授权的人员在操作员离开后进行非法操作。规范要求：对VTY, Console登录超时设置进行配置，设置空闲时间为10分钟。配置规范：user-interface console 0idle-timeout 10 0user-interface vty 0 4idle-timeout 10 0配置验证：disp curr | b user-interface配置注意细节：华为设备默认超时时间即为10分钟

23、，配置后也不会显示配置。1.5.4.3访问控制列表配置说明：限制Telnet/SSH登录网络的源地址，从而增强设备的安全性，最大限度防止非法登陆尝试。规范要求：配置Telnet/SSH源地址限制，包含省公司3个地址段(202.109.128.0 /24，202.97.32.0/19，202.97.30.0 /24)和IP综合网管及前置机网段：117.21.127.0/24。Telnet/SSH访问控制列表条目从10，条目的间隔步长为10，在访问控制列表的最后显示配置一条deny any any语句。配置规范：acl number 2001 rule 10 permit source 202.1

24、09.128.0 0.0.0.255 rule 20 permit source 202.97.32.0 0.0.31.255 rule 30 permit source 202.97.30.0 0.0.0.255 rule 40 permit source 117.21.127.0 0.0.0.255 rule 50 permit source X.X.X.X X.X.X.X #地市网管地址段 rule 99 deny source any#user-interface vty 0 9 authentication-mode aaa #设置VTY口登录用户的验证方式为AAA protocol

25、inboundall #允许SSH协议登陆 acl 2001 inboundstelnetserverenable #打开SSH功能sshauthentication-typedefaultpassword #通过AAA认证rsalocal-key-pairDeate #生成RSA密钥配置验证：disp acl 2001disp curr | beg user-interface配置注意细节：华为设备Telnet ACL统一使用编号2001。1.5.4.4Console认证配置配置说明：设置console认证密码，从而增强设备的安全性，防止非法登陆，同时关闭AUX端口。规范要求：配置conso

26、le采用本地密码认证方式，密码采用NOC专用密码，关闭AUX端口。配置规范：user-interface con 0 authentication-mode password #设置Console口登录用户的验证方式为password set authentication password cipher *int aux0/0/1 #关闭AUX口shutdown配置验证：disp curr | b user-interface配置注意细节：无1.5.4.5配置范例acl number 2001 rule 10 permit source 202.109.128.0 0.0.0.255 rule

27、 20 permit source 202.97.32.0 0.0.31.255 rule 30 permit source 202.97.30.0 0.0.0.255 rule 40 permit source 117.21.127.0 0.0.0.255 rule 50 permit source X.X.X.X X.X.X.X #地市网管地址段 rule 99 deny source any# user-interface maximum-vty 10 #连接数限制user-interface con 0 authentication-mode password #设置Console口登

28、录用户的验证方式为password set authentication password cipher *user-interface vty 0 9 authentication-mode aaa #设置VTY口登录用户的验证方式为AAA acl 2001 inbound int aux0/0/1 #关闭AUX口shutdown1.5.5AAA配置1.5.5.1概述BRAS统一验证配置分成管理AAA配置和用户AAA配置，二种配置使用不同的统一验证方法。管理AAA使用Tacacs+统一验证，用户AAA使用Radius统一验证，全省统一大后台。1.5.5.2管理AAA配置配置说明：配置管理AA

29、A的认证方式配置管理AAA的授权方式配置管理AAA的计费方式配置管理AAA认证服务器地址及参数配置管理AAA授权服务器地址及参数配置管理AAA计费服务器地址及参数配置Tacacs+协议加密key。配置Tacacs+ update 源地址规范要求：管理AAA采用tacacs+统一验证方式设置统一的tacacs+服务器地址为：主用117.21.127.10，备用(待定)。设置tacacs+密钥为：cisco12416配置认证方式为先本地对用户信息进行认证，后通过Tacacs+服务器。配置授权方式为先TAC授权，后本地授权，配置后设备本地帐号将不可用。配置计费方式为不计费。Tacacs+ update 源地址设置建议采用路由器的loopback0地址。