5G終端后路由管理平臺應(yīng)用與研究

鐘颋，楊軍，陳哲，蔡振威，佟晶

中國聯(lián)合網(wǎng)絡(luò)通信有限公司海南省分公司，海南?？冢?70311

0 引言

隨著5G通信技術(shù)的快速發(fā)展，其應(yīng)用場景越來越多，如工業(yè)園區(qū)、寫字樓、大學(xué)校園等，這些場景的許多設(shè)備不支持5G網(wǎng)絡(luò)，因此訪問速度非常有限[1]。但是，當(dāng)前5G通信模組產(chǎn)業(yè)鏈尚未成熟，設(shè)備成本較高，目前較多場景采用5G CPE部署，現(xiàn)有終端作為CPE下掛設(shè)備，通過Wi-Fi連接到5G CPE實現(xiàn)5G通信。當(dāng)有多個5G CPE，每臺5G CPE下又掛多臺設(shè)備的場景時，設(shè)備間如何實現(xiàn)方便互通、云端應(yīng)用如何訪問或管理CPE下掛設(shè)備，成為急需解決的問題。

電信企業(yè)為了滿足企業(yè)內(nèi)部設(shè)備通過CPE終端接入內(nèi)部網(wǎng)絡(luò)，并且多個CPE下的設(shè)備能進行網(wǎng)絡(luò)互訪的需求，新建5G終端后路由管理平臺，通過配合核心網(wǎng)的Routing Behind MS功能，對CPE（需支持NAT關(guān)閉）下的終端進行IP地址分配、Framed-Routing分配和上下線等管理，實現(xiàn)了業(yè)務(wù)系統(tǒng)對CPE下掛終端進行下行訪問和控制。并基于5G終端后路由管理平臺為客戶提供終端審計、黑白名單控制等定制化終端安全管控功能，提升了運營商差異化服務(wù)能力[2]。

1 5G終端后路由管理平臺功能分析

5G終端后路由的業(yè)務(wù)流程包括六個步驟：一是CPE終端附著5G網(wǎng)絡(luò)；二是SMF向管理平臺發(fā)起認證請求；三是管理平臺根據(jù)用戶簽約信息，進行認證、授權(quán)；四是CPE終端接入5G網(wǎng)絡(luò)；五是SMF向AAA發(fā)起計費請求；六是管理平臺回復(fù)SMF的計費消息，并生成話單。網(wǎng)絡(luò)拓撲結(jié)構(gòu)如圖1所示。

圖1 5G 終端后路由管理平臺網(wǎng)絡(luò)拓撲圖

5G終端后路由管理平臺的主要功能包括9個，系統(tǒng)功能如圖2所示。

圖2 5G 終端后路由管理平臺功能結(jié)構(gòu)

1.1 用戶數(shù)據(jù)管理

5G終端后路由管理平臺的Server應(yīng)保存號卡的APN/DNN、MSISDN、IMSI等用戶認證數(shù)據(jù)、IP地址等會話信息。

1.2 終端鑒權(quán)

5G終端后路由管理平臺可以根據(jù)MSISDN、IMSI、用戶名/密碼等對用戶進行多維度接入鑒權(quán)，做出允許或拒絕接入響應(yīng)。

1.3 黑白名單

5G終端后路由管理平臺可以根據(jù)MSISDN、IMSI、用戶名等多維度設(shè)置管理號卡的黑白名單，可以采取不允許黑名單通過鑒權(quán)、僅允許白名單通過鑒權(quán)等策略。

1.4 分配IP地址

5G終端后路由管理平臺對號卡應(yīng)可分配靜態(tài)固定IP地址、動態(tài)IP，并結(jié)合企業(yè)客戶的現(xiàn)有網(wǎng)絡(luò)情況對IP地址進行統(tǒng)一規(guī)劃管理。

1.5 CPE下掛終端管理

5G終端后路由管理平臺通過配合核心網(wǎng)的Routing Behind MS功能，可對CPE（需支持NAT關(guān)閉）下的終端進行IP地址分配和管理，使得終端管理系統(tǒng)可以對CPE下掛終端進行下行訪問和控制。

1.6 終端審計

5G終端后路由管理平臺可對終端訪問的IP地址進行追溯查詢。

1.7 反向控制

5G終端后路由管理平臺可以實現(xiàn)對CPE下掛終端的反向控制功能，使得終端管理系統(tǒng)可以主動發(fā)起對終端的訪問或控制。

1.8 平臺融合

5G終端后路由管理平臺可以與中國聯(lián)通MEC運營平臺實現(xiàn)融合，通過運營平臺向企業(yè)客戶提供IP地址分配管理等自服務(wù)能力、向聯(lián)通運維人員提供系統(tǒng)的維護管理等功能。

1.9 管理功能

5G終端后路由管理平臺可以實時監(jiān)控系統(tǒng)的運行狀態(tài)，并將其中的所有操作、事件、安全措施以及系統(tǒng)日志進行詳細記錄，以便更好地實現(xiàn)有效的管控。5G終端后路由管理平臺的性能管理功能應(yīng)使得操作員能夠監(jiān)控系統(tǒng)運行情況，能夠查詢鑒權(quán)請求次數(shù)、鑒權(quán)成功和失敗次數(shù)。5G終端后路由管理平臺安全管理應(yīng)能支持對客戶端的安全配置管理，通過IP地址、認證口令、端口更改等方式，實現(xiàn)安全加固，并能夠?qū)崿F(xiàn)分權(quán)分域的系統(tǒng)管理[3]。

安全管理還可以實現(xiàn)用戶管理、權(quán)限管理。通過用戶管理，網(wǎng)絡(luò)安全人員可以嚴(yán)格控制用戶的權(quán)限，一旦開始使用安全軟件，就必須使用已有的安全賬號，按照設(shè)置的權(quán)限來訪問安全軟件，使用安全軟件來運行，執(zhí)行安全軟件的指令。通過使用可配置的界面，能夠輕松地為每一位用戶分配不同的權(quán)限，其中包括工作范圍、需要控制的設(shè)備、需要運行的程序以及需要執(zhí)行的指令。

該系統(tǒng)具有強大的消息追蹤和設(shè)備生命周期管理功能，可以滿足全網(wǎng)的需求。通過消息跟蹤，可以對系統(tǒng)信令消息進行全面的跟蹤和統(tǒng)計分析。通過觀察系統(tǒng)內(nèi)各個獨立實體之間的信令協(xié)調(diào)、狀態(tài)變化以及消息交互的情況，可以更好地了解資源的使用情況，從而及時發(fā)現(xiàn)和解決故障問題。為了確保網(wǎng)絡(luò)的安全運行，需要對所有設(shè)備進行連通性和網(wǎng)絡(luò)傳輸能力的檢查，以確保它們都能夠滿足網(wǎng)管系統(tǒng)的要求。檢查過程中，將會根據(jù)檢查結(jié)果，對可能存在的問題進行定位和解決，以確保網(wǎng)絡(luò)的穩(wěn)定運行。設(shè)備生命周期管理包括：定期重新啟動AP，以及遠程登錄服務(wù)的啟動和停止控制，以確保系統(tǒng)的正常運行。

2 5G終端后路由平臺應(yīng)用場景及優(yōu)勢

5G終端后路由平臺的應(yīng)用場景很多，比如不同區(qū)域通過5G CPE覆蓋、不同5G CPE下掛設(shè)備之間可以互訪；5G CPE和5G專線接入?yún)^(qū)域互通，云端應(yīng)用可以直接訪問5G CPE下掛設(shè)備。終端后路由相關(guān)的IP地址段、MSISDN等信息在5G終端后路由平臺上統(tǒng)一配置管理，不需要在UPF等5G核心網(wǎng)網(wǎng)元上配置數(shù)據(jù)，規(guī)避操作風(fēng)險；只需在CPE上配置后路由IP地址段，業(yè)務(wù)開展更加便捷。

5G終端后路由管理平臺可以為用戶提供一個身份認證及授權(quán)，企業(yè)自主認證高等級安全及業(yè)務(wù)授權(quán)，滿足企業(yè)更高的安全需求。只有企業(yè)認證合法的終端，才允許接入，終端可以判斷接入的企業(yè)網(wǎng)是否正確（需EAP認證），企業(yè)可限制終端單次會話時長，企業(yè)可限制終端最大速率，企業(yè)可為終端指定DNS信息。

5G終端后路由管理平臺可以滿足企業(yè)自主管理需求：數(shù)據(jù)由企業(yè)自主配置，終端接入由企業(yè)自主認證，終端、賬號、IP地址統(tǒng)一集中管理，實現(xiàn)終端入網(wǎng)全流程可管可控、可視可溯源。5G終端后路由管理平臺支撐企業(yè)開展業(yè)務(wù)：通過業(yè)務(wù)授權(quán)，比如DNS、QoS策略等，滿足企業(yè)業(yè)務(wù)需求。

5G終端后路由管理平臺是3GPP國際規(guī)范定義的、用于網(wǎng)絡(luò)接入身份認證的網(wǎng)元，支持5G接入、5G回落4G接入、4G接入，也支持人聯(lián)、物聯(lián)，同時支持人聯(lián)卡和物聯(lián)卡。

3 5G終端后路由管理平臺測試結(jié)果分析

5G終端后路由管理平臺可以有效地管理網(wǎng)絡(luò)，它可以實時監(jiān)控設(shè)備的運行狀態(tài)，并將其相關(guān)參數(shù)信息以可視化的形式展示出來，從而有效地預(yù)防網(wǎng)絡(luò)事故的發(fā)生，并且可以幫助網(wǎng)絡(luò)管理員更好地規(guī)劃網(wǎng)絡(luò)的運營[4]。

5G終端后路由管理平臺可以提供多種功能，包括：精確的參數(shù)設(shè)定、實時的性能檢測、優(yōu)化調(diào)試以及對過去的性能進行統(tǒng)計分析。通過配置性能任務(wù)，系統(tǒng)可以自動獲取網(wǎng)絡(luò)的各種當(dāng)前性能數(shù)據(jù)，并且可以設(shè)定性能的上限，一旦超出上限，系統(tǒng)將會發(fā)出警報，以提醒網(wǎng)管系統(tǒng)采取相應(yīng)的措施。通過實時監(jiān)測設(shè)備的關(guān)鍵性能數(shù)據(jù)，可以對其運行狀態(tài)進行實時跟蹤，并使用折線圖、直方圖和餅圖等多種圖表形式來展示所獲取的性能信息。SNMP技術(shù)允許設(shè)備實現(xiàn)自動調(diào)整其MIB值。通過對性能分析的深入研究，可以對影響網(wǎng)絡(luò)性能的關(guān)鍵參數(shù)，如路由表和性能門限等，進行精確的調(diào)整，從而提升網(wǎng)絡(luò)的整體表現(xiàn)。通過對不同設(shè)備的歷史性能進行統(tǒng)計，可以更好地了解其在特定時期的業(yè)務(wù)情況。

5G終端后路由管理平臺部署測試結(jié)果顯示，5G終端后路由管理平臺支持訪問人數(shù)可以達到100萬戶，并發(fā)接入數(shù)量達到500次請求/秒，并且每一個用戶的處理認證時間約20ms，測試結(jié)果如表1所示。

表1 5G 終端后路由管理平臺測試結(jié)果

5G終端后路由管理平臺具備全流程、全生命周期的信息安全管控能力。5G終端后路由管理平臺支持全局的黑白名單功能，默認最小訪問權(quán)限控制。5G終端后路由管理平臺進行維護操作時應(yīng)使用專用賬號登錄，包括AAA平臺維護、操作員賬號管理、參數(shù)配置、告警管理、日志管理、統(tǒng)計功能，支持操作日志留存、審計功能，通過權(quán)限隔離，實現(xiàn)普通用戶不能查看和執(zhí)行不符合當(dāng)前用戶身份的相關(guān)操作；5G終端后路由管理平臺涉及用戶敏感的參數(shù)，應(yīng)使用3DES類型加密算法加密存儲。5G終端后路由管理平臺的Web管理展示界面，應(yīng)支持平臺、用戶敏感信息脫敏展示。5G終端后路由管理平臺接口數(shù)據(jù)傳輸應(yīng)按照標(biāo)準(zhǔn)要求使用3DES進行加密，保證數(shù)據(jù)傳輸安全。支持安全密鑰驗證，支持權(quán)限管控能力。5G終端后路由管理平臺指定其他網(wǎng)元接入的IP地址，不允許非指定的其他系統(tǒng)接入。

5G終端后路由管理平臺不僅具有故障管理的功能，而且還可以實現(xiàn)對整個網(wǎng)絡(luò)的告警信息、運行狀態(tài)的實時監(jiān)測，并且可以根據(jù)用戶的需求，定制SNMP Trap，從而更好地檢測、識別、診斷和分析出各種故障。該系統(tǒng)的主要功能包括：實時監(jiān)控和報警。通過實時監(jiān)測，可以及時發(fā)現(xiàn)并處理接收到的設(shè)備報警信息；在顯示過程中，提供了多種過濾條件，既可以檢索單個或多個設(shè)備的報警信息，也可以根據(jù)不同的類別來查找特定的報警信息。另一個重要的改進是提供歷史告警功能。通過查詢網(wǎng)絡(luò)監(jiān)控系統(tǒng)的歷史報警記錄，可以看到這些信息；通過使用歷史告警，能夠根據(jù)不同的過濾條件，快速搜索出特定設(shè)備的告警，并且能夠根據(jù)不同的類別進行查詢。通過故障定位，能夠確定與實際故障相關(guān)的警報信息。通過分析，可以確定故障發(fā)生在哪個端口。為用戶提供了一個快速查找當(dāng)前故障的入口[5]。

4 結(jié)語

5G終端后路由管理平臺可以實現(xiàn)對網(wǎng)絡(luò)的全面監(jiān)測，包括路由、終端、IP地址、操作系統(tǒng)、數(shù)據(jù)庫、中間件以及應(yīng)用程序的實時監(jiān)測，并可以實現(xiàn)對系統(tǒng)的有效管理，包括性能、故障、告警以及配置。5G終端后路由管理平臺擁有先進的SNMP網(wǎng)管接口，它不僅支持第三方網(wǎng)管系統(tǒng)的管理，而且還可以實現(xiàn)自動化的功能，讓用戶實時獲取設(shè)備的運行參數(shù)，并將其以圖形的形式展現(xiàn)出來，讓用戶更加清晰地了解當(dāng)前的網(wǎng)絡(luò)狀況，及時發(fā)現(xiàn)問題，并及時做出應(yīng)對措施，為網(wǎng)絡(luò)管理者提供更加精確的管理與運營指導(dǎo)。綜合來看，5G終端后路由管理平臺具備較高的實用價值，可在其他項目中迅速復(fù)制推廣，獲取更高的經(jīng)濟效益。