范忠禮 南京郵電學院
隨著Ｉｎｔｅｒｎｅｔ的業務的爆炸式增長，現有的電信網越來越多地采用ＩＰ接入。基于ＩＰ的新業務--虛擬專用網（ＶＰＮ）、視頻點播業務（ＶＯＤ）、電子商務、ＩＰ電話等的應用和發展，使ＩＰ業務的安全性、可靠性備受關注。Ｉｎｔｅｒｎｅｔ的安全不僅涉及到如何保護企業和商家的商業秘密，而且還涉及到個人上網、收發電子郵件以及使用ＩＰ電話時如何保護個人的隱私的問題，這些都是ＩＰ網絡急需解決的。ＩＰ網絡是無連接的網絡，是以路由器轉發為中心，相對于傳統的接入網，ＩＰ接入出現了許多新的概念，包含了許多新的內涵，增加了許多新的功能。
ＩＴＵ－Ｔ ＳＧ１３對ＩＰ接入網的定義、位置、功能模型及其接入方式的分類都做了定義，并在為起草ＩＰ接入網的新建議Ｙ．ｉｐａｎ作準備。現行的ＩＰ接入網與ＩＴＵ－Ｔ １９９５年 Ｇ．９０２定義的接入網有很大的不同。 ＩＰ接入網是指在"ＩＰ用戶和ＩＰ業務提供者（ＩＳＰ）之間為提供所需的、接入到ＩＰ業務的能力的、網絡實體的實現"，如圖 １所示。
ＩＰ網是用ＩＰ作為第三層協議的網絡。ＩＰ網絡業務是通過用戶與業務提供者之間的接口，以ＩＰ包的開工傳送數據的一種服務。從圖１可以看出，ＩＰ接入網的功能包括接入功能、端功能、網絡終端功能，與住地網、ＩＳＰ的接口是ＲＰ參考點。
根據Ｇ．９０２的定義，接入網是由業務接點接口（ＳＮＩ）和用戶網絡接口（ＵＮＩ）之間的一系列傳送實體（諸如線路設施和傳輸設施），所組成的為傳送電信業務提供所需傳送承載能力的實施系統，其主要功能是復用、交叉連接和傳輸，不含交換功能，獨立于交換機。與交換機的接口為開放的Ｖ５接口，可以兼容任何種類的交換機。因此交換機和接入網的技術和業務演進可以完全獨立開來，從而使接入網的發展不受交換機的限制。這樣接入網市場可以完全開放，形成競爭。運營商可以任意選用交換機和接入網設備。接入網的發展，寬帶業務的引入不受交換機的限制（不依附于交換機），可以獨立發展，這是對遠端模塊接入功能的突破。
從ＩＰ接入網的定義來看，ＩＰ接入網與Ｇ．９０２定義的接入網有很多不同。從圖２ ＩＰ接入網的位置與參考模型也可看出，ＩＰ接入網位于ＩＰ核心網與住地網（ＣＰＮ）之間，ＩＰ接入網與住地網和ＩＰ核心網之間的接口是參考點ＲＰ，而不是傳統的用戶網絡接口（ＵＮＩ）和業務接點接口（ＳＮＩ）。參考點ＲＰ是指邏輯上的參考連接，在某種特定的網絡中，其物理接口不是一一對應的。
ＩＰ核心網即提供ＩＰ業務的網絡，可包含一個或多個ＩＳＰ。在圖２某些網絡中，網絡終端ＮＴ、ＩＰ接入網、ＩＰ核心網可以是分離開來的。圖中各方框和圓框的連線代表雙向連接，兩個方向的比特流可以是不對稱的，也可以采用不同的傳輸媒質。
我們知道遠端模塊（ＲＳＭ）含有交換功能（主要是本地交換功能），但是Ｇ．９０２接入網只有復用、交叉連接和傳輸，一般不含交換功能和記費功能。而ＩＰ接入網包含有交換或選路功能，也需要記費功能。
從開放和競爭程度上看，Ｃ．９０２接入網與交換機的接口為開放的Ｖ５標準接口，可以兼容任何的交換機。交換機與接入網的技術和業務演進可以完全獨立開來，從而使接入網的發展不受交換機的限制，這樣接入網市場可以完全開放。運營商采用的接入網升級和演進不依附于交換機廠商，促進了接入網向數字化和寬帶化發展。
而ＩＰ接入網是在千萬個ＩＰ用戶與眾多ＩＰ業務提供商之間的選擇。據統計，目前我國的ＩＳＰ有５２０家遠遠多于交換機廠商，并且ＩＰ用戶希望有動態選擇ＩＳＰ和網絡提供商（ＮＳＰ）的權利。因此要求ＩＰ接入網增加新的功能，如多個ＩＳＰ的動態選擇、使用ＰＰＰ動態分配ＩＰ地址、地址翻譯（ＮＡＴ）、授權接入（如加密授權協議ＰＡＰ和ＰＰＰ詢問握手授權協議ＨＡＰ）、加密、計費和ＲＡＤＩＵＳ（遠程授權撥入用戶業務）、服務器的交互等。
ＩＰ接入按其傳輸媒介和傳輸技術呈多樣性，主要表現為ＩＳＰ在網中的幾何位置的多樣性。接入方式也呈多樣性，同時與接入方式無關，支持各種形式的接入，如ＩＳＤＮ－基本速率接入Ｂ／２Ｂ／Ｄ ｃｈａｎｎｅｌ、一次群速率接入１．５／２Ｍ；Ｂ－ＩＳＤＮ接入１．５Ｍ６００Ｍ；銅纜接入ｘＤＳＬ；無線接入、衛星接入 和移動接入；ＰＯＮ、ＡＰＯＮ、ＳＤＶ、ＨＦＣ 和其它的光系數接入；Ｃａｂｌｅ ＴＶ 接入；各種ＬＡＮ技術如８０２．４ Ｔｏｋｅｎ Ｂｕｓ令牌總線網、８０２．５ Ｔｏｋｅｎ Ｒｉｎｇ令牌環網ＦＤＤＩ、８０２．６ ＭＡＮｓ ＤＱＤＢ和交換式以太網、快速以太網、千兆以太網接入等。從ＩＰ接入網的功能參考模型的角度出發對ＩＰ接入方式可分為五類。即直接接入方式、ＰＰＰ隧道方式（Ｌ２ＴＰ）、ＩＰ隧道方式（Ｉｐｓｅｃ）、路由方式、多協議標記交換（ＭＰＬＳ）方式。
１．直接接入方式。是用戶直接接入ＩＰ，此時ＩＰ接入網僅有二層，即ＩＰ接入網中僅有一些級聯的傳送系統，而沒有ＩＰ和ＰＰＰ等處理功能。此方式簡單，是目前廣泛采用的ＩＰ接入方式。
２．ＰＰＰ隧道方式。從該節點至ＩＳＰ使用第二層隧道協議（Ｌ２ＴＰ）構成用戶到ＩＳＰ的一個ＰＰＰ會晤的隧道，即一個ＰＰＰ會話在隧道間傳輸，第二層既可采用包交換形式，也可以采用電路交換形式，但無論如何要傳送的數據都從一個物理實體定址到另一個，并不存在路由跨越的概念，可以認為是以"點到點"形式進行的，是一種仿真連接技術。用戶可以通過ＰＰＰ層選擇ＩＳＰ，如圖３ 所示。
所謂ＩＰ隧道是在ＴＣＰ／ＩＰ協議中傳輸其他協議的數據包時，通過在源協議數據包上套上ＩＰ協議頭，對源協議來說，就如同被ＩＰ帶著過了一條隧道。Ｌ２ＴＰ（ＩＥＴＦ）是由ＰＰＴＰ（３ＣＯＭ，Ｍｉｃｒｏｓｏｆｔ）和Ｌ２Ｆ（Ｃｉｓｃｏ）綜合發展而來的。目前，主要是基于ＡＤＳＬ的快速接入方案，安裝在ＩＳＰ和用戶的數據中心。由客戶管理模塊、業務管理模塊和計費模塊組成，目前已在１６３／１６９網上應用。
過去人們不愿意將因特網與自己公司的ＬＡＮ相連，主要考慮源的安全與性能，ＶＰＮ的出現打破了用戶的顧慮。虛擬專用網（ＶＰＮ）就是在公用網的基礎上，使用專用的安全通路即隧道來支持特定用戶的使用，所以ＶＰＮ又戲稱為"公網私用"。ＶＰＮ采用Ｌ２ＴＰ協議，網絡的安全性、保密性、可管理性容易解決，企業網絡想連接到哪里都可以，成本低、易維護。隨著Ｉｎｔｅｒｎｅｔ的發展，在家辦公，處理一些復雜事務，只需要與企業或公司網連接，得到公司或企業主體網絡的確認，就可以進入公司或企業內部網，完成工作。企業不僅是接入網號碼的一部分，也是ＩＰ地址碼的一部分。Ｌ２ＴＰ的缺點也很明顯，如在ＱｏＳ、安全性、可擴展性、記帳系統和非對稱性上都還存在一定的問題。
３．ＩＰ隧道方式（Ｉｐｓｅｃ）。由于Ｌ２ＴＰ本身并不提供任何安全保障，僅提供較弱的安全機制，并不能對隧道協議的控制報文和數據報文提供分組級的保護，采用ＩＰｓｅｃ來保護通道安全，同時也能實現非ＩＰ數據的保護。Ｌ２ＴＰ對第二層包進行通道處理。它們對第三層協議（ＩＰＸ或ＡＰＰＬＥＴＡＬＫ）來說，就可以用通道處理來實現，如果事實上一個第二層的ＶＰＮ已經建立起來了，兩個異種網通過外部網絡從邏輯上連接到目的地，然后可用ＩＰｓｅｃ來保護這個第二層的ＶＰＮ，并提供必要的機密性保證。這就是第三種接入方式Ｉｐｓｅｃ，它可有效地保護數據包的安全。它采用的具體形式包括：根據起源地驗證；無連接數據的完整性驗證；數據內容的機密性（是否被別人看過）；抗重播保護；有限的數據流機密性保證等。
具體對ＩＰ數據包進行保護的方法是"封裝安全載荷"（ＥＳＰ Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）或者"驗證頭"（ＡＨ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）。如圖４所示，ＡＨ可以證明數據起源地，保證數據的完整性以及防止相同數據包的不斷重播，有力地防止黑客截斷數據包或向網絡插入偽造的數據包。ＥＳＰ將需要保護的用戶數據進行加密后再封裝到ＩＰ包去，ＥＳＰ除了具有ＡＨ的功能外，還可選擇保證數據的機密性以及數據流提供有限的機密性保障。從而保證數據的完整性、真實性。
ＡＨ或ＥＳＰ所提供的安全保障，完全依賴于采用的非對稱加密算法或共享密鑰的對稱加密算法以及密鑰交換技術，所以第三類接入方式為ＩＰ隧道安全方式。從用戶終端至接入節點使用了ＰＰＰ協議，而接入點至ＩＳＰ使用ＩＰｓｅｃ，從而在用戶至ＩＳＰ間構成一個ＩＰ層隧道。由于ＩＰｓｅｃ是從上層向下層擴展來實現ＩＰ接入的，其缺點是實現復雜，嚴密性差等。
４．路由方式。接入點可以是一個第三層路由器或虛擬路由器。該路由器負責選擇ＩＰ包的路徑和轉發下一跳。路由方式包括基于ＩＳＤＮ的連接和基于ＦＲ及租用專線的連接，支持ＦＲ、ＩＰ／ＩＰＸ、ＰＩＰ／ＲＩＰ２、ＯＳＰＦ、ＩＧＲＰ等協議。
５．多協議標簽交換（ＭＰＬＳ）方式。接入點是一個ＭＰＬＳ的ＡＴＭ交換機或具有ＭＰＬＳ功能的路由器。１９９９年９月，在ＴＩＵ－Ｔ ＳＧ１３ 的ＩＰ專家組會議上，已經確定ＭＰＬＳ為ＩＰ Ｏｖｅｒ ＡＴＭ的標準對許多ＭＰＬＳ的控制選項作了明確的規定，對于公用的ＡＴＭ網絡引入ＭＰＬＳ的技術方案給出了指導性的建議并準備在今年通過。許多廠商已經開發了用于現有ＡＴＭ交換機上實現ＭＰＬＳ的實驗性軟件補丁。
由于近年來Ｉｎｔｅｒｎｅｔ固定接入業務（如電子郵件、Ｗｂｅ、ＩＰ電話、電子商務等）的爆炸式增加，移動ＩＰ的接入引起人們的關注，手機移動上網靈活、方便，成為一種新的時尚，被稱為"口袋里的互連網"。ＩＴＵ－Ｔ ＳＧ－１３組對移動ＩＰ的研究已經啟動，確定了Ｍｏｂｉｌ ＩＰ的研究內容，主要強調移動接入即終端的移動性、ＩＰ移動性（主要是控制選路和業務）和個人移動性等領域的研究。移動ＩＰ主要定義了三個主要功能實體：（１）移動節點，是一臺主機或路由器，它在切換鏈路時從一條鏈路到另一條鏈路不改變它的ＩＰ地址，也不中斷正在進行的通信。（２）住地代理（Ｈｏｍｅ Ａｇｅｎｔ），它是一臺路由器，有一個端口連接在移動節點的住地鏈路上，這個端口截獲所有發往移動節點住地地址的數據包，并通過隧道將它們送到移動節點最新報告的轉交地址上。（３）外地代理（Ｆｏｒｅｉｇｎ Ａｇｅｎｔ）。這是一臺有一個端口在移動節點的外地鏈路上的路由器，它幫助移動節點完成移動檢測，并向移動節點提供路由服務，例如在移動節點使用外地代理轉交地址時對通過隧道到達的ＩＰ包進行拆封。
目前，隨著以ＩＰ為主的數據業務在傳統的電信網環境接入的迅猛增長，以電路交換機為主的傳統ＰＳＴＮ網絡，對于Ｉｎｔｅｒｎｅｔ的接入，因網上占用時間較長，使得ＰＳＴＮ網數據負荷量很重（占用大量的中繼線及交換機資源），造成網絡的擁塞。又由于Ｉｎｔｅｒｎｅｔ網ＩＰ數據大多為突發業務，平均負荷小，瞬時高，因此帶寬利用率低。在傳統的電信網上，解決ＩＰ業務接入的分流十分重要和迫切，目前國內不少公司的接入網設備具有分流ＩＰ數據的能力，這是向ＩＰ接入網演進的重要的一步。雖然在我國數據業務在電信業務中所占比例仍然很低，但是，ＩＰ數據業務發展迅速，不需幾年ＩＰ數據業務將超過傳統的電話業務，電信網的ＩＰ化是必然趨勢。因此，對ＩＰ接入網的研究，應引起有關設備開發廠商、運營商的高度重視--如同ＩＰ在電信網上進行環境演進那樣的重視。
作者簡歷： 范忠禮，南京郵電學院光信息技術系、光纖通信研究所教授，碩士生導師；主要研究方向為信息網絡技術，包括核心網、接入網、ＩＰ接入網、寬帶ＩＰ網、光網絡等。
