公诚管理咨询有限公司第三分公司广东东莞523000
摘要：固网和移动融合是全球所有电信运营商和系统设备供应商都非常关注的话题，已成为行业主流趋势。基于此，文章在介绍VPN业务的特征之后,给出了固网、移动网VPN业务组网的基本思路及技术，并就其难点展开论述。
关键词:VPN；互联网；无线网；通信流程
引言
随着网络的演进、技术的发展以及竞争的加剧，电信运营商为了满足用户不断增长的业务需求，提供更加丰富的服务，把固网和移动网的融合成为作为未来网络发展的方向。然而由于技术上的限制、标准化工作的缺乏等原因，固网与移动网的组网存在跨网、路由互通、保密性等技术难点。本研究将提出固网移动网VPN组网技术,分析该技术实现以及存在的难点。
2.固移网VPN技术简介
2.1固网VPN技术简介
VPN（VirtualPrivateNetwork，虚拟专用网）是在公用的通信基础平台上提供私有数据网络的技术，通过隧道协议和采用安全机制来满足客户的私密性需求。VPN与传统的专线相比，费用低廉而且能较好地满足客户需求。VPN接入技术是多种多样的，目前成熟的做法普遍使用MPLS-VPN技术进行组网[1]。
MPLS-VPN（Multi-ProtocolLabelSwitching-VPN，多协议标签交换VPN）网络采用标签交换，一个标签对应一个用户数据流，非常易于用户间数据的隔离，利用区分服务体系可以轻易地解决困扰传统IP网络的QoS/CoS问题，MPLS自身提供流量工程的能力，可以最大限度地优化配置网络资源，自动快速修复网络故障，提供高可用性和高可靠性。主要利用光纤及宽带线路提供MPLS-VPN组网，用户通过各网点申请宽带或光纤就可以组建自己的专用网络。
如图1所示，固网MPLS-VPN建立流程如下：
（1）新入网的MPLS用户按照分配的私网IP接入到网络中，在接入BRAS（宽带接入服务器）或其他PE设备上建立直连路由。
（2）全网的PE设备通过路由收敛，学习到全网路由表。
（3）新入网用户根据路由表寻址与目的网络进行通信，可与中心点通信，也可以与其他支点互通，这个可以通过调整MPLS的一些属性来实现。
2.2移动VPDN技术简介
移动VPDN（VirtualPrivateDialupNetwork，虚拟拨号专用网络）业务是基于联通LTE/WCDMA高速分组数据网为集团客户构建安全的、移动的、高速率的、有质量保证的虚拟专用数据网络，并提供差异化的、安全可靠的无线数据解决方案。
隧道技术是VPDN业务实现的关键技术，在通信网关与企业内部路由器间建立隧道，将用户数据封装在隧道中进行传输，仅允许已授权的用户访问企业网络。实现移动VPDN业务接入的隧道技术主要有L2TP隧道技术和GRE隧道技术。
GRE（GenericRoutingEncapsulation），通用路由封装，属于三层VPN。对某些网络层协议（如IP、IPX、AppleTalk）的数据报文进行封装，使这些被封装的数据报文能够在另一个网络层协议（如IP）中传输。GRE方案的优点是机制简单，不进行过多的加密校验，数据转发效率高；对设备性能要求较低。缺点是安全性不高，扩展性差和网络资源使用率低。
L2TP（Layer2TunnelProtocol），二层隧道协议，属于二层VPN。利用PPP支持多协议特性，先将IP协议封装到PPP帧中，再把整个数据帧封装到隧道协议中。工作在应用层，但由于封装链路层的PPP协议，所以被认为是二层隧道协议。L2TP方案的优点是安全性高，本身具备隧道加密功能；扩展性好，可叠加多种安全技术和增值服务功能；网络资源可动态分配；可提根据用户SLA供分级服务。缺点是设备需要更新，配置相对复杂和前期投入较多[2]。
图2移动VPDN网络示意图
如图2所示，此类VPDN建立流程如下：
（1）首先建立企业边缘路由器至GGSN的GRE隧道。
（2）MS通过私有APN发起PDP激活请求，报文中携带APN、用户名/密码等信息。
（3）SGSN向HLR鉴权用户是否合法，并向DNS查询GGSNIP，向GGSN发起激活请求。
（4）GGSN向MS分配动态IP地址或使用HLR设定的静态IP地址。
（5）MS通过GTP隧道发送数据至GGSN，由GGSN发起与企业边缘路由器的GRE或L2TP隧道连接，将数据包封装后透送至企业边缘路由器。
（6）由企业边缘路由器将数据转发至内网服务器。
2.固移网VPN混合组网实现
2.1物理互通实现
固网（互联网）和移动网是两张独立的网络，如何将这两张网实现物理互通是实现两网VPN互通的首要条件。首先在固网内确定一台MPLS-VPNPE设备，用于与移动网侧通信，该PE与移动网物理互通有2种实现方式：一是在两网之间搭建物理链路，即通过专线实现互联，传输质量有保障，但是造价较高。二是移动网分组域与固网均接入互联网，通过两侧建立GRE/L2TPTunnel实现互通，接入简单方便。如果对安全性要求不高、业务量较小，使用互联网接入比较经济。
2.2路由互通实现
实现路由互通的关键是移动VPDN用户地址池与固网VPN地址实现互通。固网VPN是在互联网平台上搭建的，移动网VPDN也通过专线或互联网与固网PE建立隧道，在建立隧道的PE上既有隧道的路由表，也有该MPLS-VPN的BGP-VPNV4路由表，但这两个表项是相互独立的，路由无法互通[2]。针对现网主流设备厂家思科、华为PE，路由互通实现如下：
如果采用思科7206路由器作为PE，该设备不支持将外部路由静态引入MPLS-VPN，经过研究，可以将隧道绑定到VPN里面，也就是说GRE隧道本来就是属于MPLS-VPN，只需要将无线侧隧道的路由在VPN里面静态指入即可路由互通，同时也保证了接入的保密性。另外，GRETunnel需设置IP地址来激活Tunnle，使之成为三层路由，否则即使指了静态路由，固网至移动终端的路由也是不通的[3]。
如果采用华为NE40E路由器作为PE，该设备支持将外部路由静态（移动VPDN的用户地址池）引入MPLS-VPN，可将至移动用户地址池的路由先做一条静态路由下一跳指向TunnelIP，再将该静态路由引入至VPN，实现路由互通。由于现网城域网中所有设备在全局OSPF路由发布时是引入静态的，将会把这部分移动网用户路由发布到公网中，同时移动用户IP均为私网IP，由于在公网上发布私网IP存在安全隐患，故不推荐使用，建议还是采用思科方式处理。
2.3通信流程
如图3所示，混合组网通信流程如下：
（1）首先建立固网（互联网）PE路由器至GGSN的GRE隧道。
（2）③④同移动VPDN通信流程。
（5）MS通过GTP隧道发送数据至GGSN，由GGSN发起与固网PE路由器的GRE或L2TP隧道连接，将数据包封装后透传至固网PE。
（6）由PE将数据转发至企业内网服务器。
（7）至此，MS和固网企业内网服务器及固网VPN用户的连接已经正式建立，可以互相通信了。
3.存在的问题
3.1安全性
VPN组网对安全性要求非常高，网络本身已经非常安全，但是固移网均没有设置AAA服务器，对用户上线没有进行二次鉴权和认证，移动用户接入VPDN时通过HLR进行一次鉴权，缺乏对系统使用的权限验证，存在一定的风险。为了加强安全，建议网络中设置AAA服务器进行二次鉴权，同时使用专线来连接固网PE与移动网行业应用网关，保证传输安全[3]。
3.2局限性
本文固网侧实现接入的PE是思科72系列路由器，该路由器及更高系列是免费支持GRE的，但现网中还有一部分PE使用的是华为NE40E，需新增隧道业务板TSU，并购买License，需要一定投资[4]。
每一个固网VPN要想实现固移混合接入，都需要建立单独的GRE隧道，同时规划VPN的路由时务必不能与移动网用户IP冲突。
图3混合组网VPN网络示意图
4.结束语
总之，为了充分利用网络资源，发挥融合优势，拓展集团客户业务范围，实现固移网VPN混合组网具有重要意义和应用价值，势在必行。本研究通过自主规划的网络模型，实现了固网与移动网混合VPN组网，该组网技术的实现，对发展综合业务有着重要的意义。
参考文献：
[1]管骏.固网、移动网IVPN业务融合的组网探讨[J].移动通信,2009,33(14):53-56.
[2]马塞,黄辉,夏仕俊,等.网络虚拟化互通技术[J].电信科学,2015,31(6):126-132.
[3]师英军.临汾联通固网与移动网融合传输优化应用方案研究[D].北京邮电大学,2010.
[4]陈海峰.内蒙古联通固网与移动网融合研究[D].北京邮电大学,2011.