范忠礼 南京邮电学院
随着Ｉｎｔｅｒｎｅｔ的业务的爆炸式增长，现有的电信网越来越多地采用ＩＰ接入。基于ＩＰ的新业务--虚拟专用网（ＶＰＮ）、视频点播业务（ＶＯＤ）、电子商务、ＩＰ电话等的应用和发展，使ＩＰ业务的安全性、可靠性备受关注。Ｉｎｔｅｒｎｅｔ的安全不仅涉及到如何保护企业和商家的商业秘密，而且还涉及到个人上网、收发电子邮件以及使用ＩＰ电话时如何保护个人的隐私的问题，这些都是ＩＰ网络急需解决的。ＩＰ网络是无连接的网络，是以路由器转发为中心，相对于传统的接入网，ＩＰ接入出现了许多新的概念，包含了许多新的内涵，增加了许多新的功能。
ＩＴＵ－Ｔ ＳＧ１３对ＩＰ接入网的定义、位置、功能模型及其接入方式的分类都做了定义，并在为起草ＩＰ接入网的新建议Ｙ．ｉｐａｎ作准备。现行的ＩＰ接入网与ＩＴＵ－Ｔ １９９５年 Ｇ．９０２定义的接入网有很大的不同。 ＩＰ接入网是指在"ＩＰ用户和ＩＰ业务提供者（ＩＳＰ）之间为提供所需的、接入到ＩＰ业务的能力的、网络实体的实现"，如图 １所示。
ＩＰ网是用ＩＰ作为第三层协议的网络。ＩＰ网络业务是通过用户与业务提供者之间的接口，以ＩＰ包的开工传送数据的一种服务。从图１可以看出，ＩＰ接入网的功能包括接入功能、端功能、网络终端功能，与住地网、ＩＳＰ的接口是ＲＰ参考点。
根据Ｇ．９０２的定义，接入网是由业务接点接口（ＳＮＩ）和用户网络接口（ＵＮＩ）之间的一系列传送实体（诸如线路设施和传输设施），所组成的为传送电信业务提供所需传送承载能力的实施系统，其主要功能是复用、交叉连接和传输，不含交换功能，独立于交换机。与交换机的接口为开放的Ｖ５接口，可以兼容任何种类的交换机。因此交换机和接入网的技术和业务演进可以完全独立开来，从而使接入网的发展不受交换机的限制。这样接入网市场可以完全开放，形成竞争。运营商可以任意选用交换机和接入网设备。接入网的发展，宽带业务的引入不受交换机的限制（不依附于交换机），可以独立发展，这是对远端模块接入功能的突破。
从ＩＰ接入网的定义来看，ＩＰ接入网与Ｇ．９０２定义的接入网有很多不同。从图２ ＩＰ接入网的位置与参考模型也可看出，ＩＰ接入网位于ＩＰ核心网与住地网（ＣＰＮ）之间，ＩＰ接入网与住地网和ＩＰ核心网之间的接口是参考点ＲＰ，而不是传统的用户网络接口（ＵＮＩ）和业务接点接口（ＳＮＩ）。参考点ＲＰ是指逻辑上的参考连接，在某种特定的网络中，其物理接口不是一一对应的。
ＩＰ核心网即提供ＩＰ业务的网络，可包含一个或多个ＩＳＰ。在图２某些网络中，网络终端ＮＴ、ＩＰ接入网、ＩＰ核心网可以是分离开来的。图中各方框和圆框的连线代表双向连接，两个方向的比特流可以是不对称的，也可以采用不同的传输媒质。
我们知道远端模块（ＲＳＭ）含有交换功能（主要是本地交换功能），但是Ｇ．９０２接入网只有复用、交叉连接和传输，一般不含交换功能和记费功能。而ＩＰ接入网包含有交换或选路功能，也需要记费功能。
从开放和竞争程度上看，Ｃ．９０２接入网与交换机的接口为开放的Ｖ５标准接口，可以兼容任何的交换机。交换机与接入网的技术和业务演进可以完全独立开来，从而使接入网的发展不受交换机的限制，这样接入网市场可以完全开放。运营商采用的接入网升级和演进不依附于交换机厂商，促进了接入网向数字化和宽带化发展。
而ＩＰ接入网是在千万个ＩＰ用户与众多ＩＰ业务提供商之间的选择。据统计，目前我国的ＩＳＰ有５２０家远远多于交换机厂商，并且ＩＰ用户希望有动态选择ＩＳＰ和网络提供商（ＮＳＰ）的权利。因此要求ＩＰ接入网增加新的功能，如多个ＩＳＰ的动态选择、使用ＰＰＰ动态分配ＩＰ地址、地址翻译（ＮＡＴ）、授权接入（如加密授权协议ＰＡＰ和ＰＰＰ询问握手授权协议ＨＡＰ）、加密、计费和ＲＡＤＩＵＳ（远程授权拨入用户业务）、服务器的交互等。
ＩＰ接入按其传输媒介和传输技术呈多样性，主要表现为ＩＳＰ在网中的几何位置的多样性。接入方式也呈多样性，同时与接入方式无关，支持各种形式的接入，如ＩＳＤＮ－基本速率接入Ｂ／２Ｂ／Ｄ ｃｈａｎｎｅｌ、一次群速率接入１．５／２Ｍ；Ｂ－ＩＳＤＮ接入１．５Ｍ６００Ｍ；铜缆接入ｘＤＳＬ；无线接入、卫星接入 和移动接入；ＰＯＮ、ＡＰＯＮ、ＳＤＶ、ＨＦＣ 和其它的光系数接入；Ｃａｂｌｅ ＴＶ 接入；各种ＬＡＮ技术如８０２．４ Ｔｏｋｅｎ Ｂｕｓ令牌总线网、８０２．５ Ｔｏｋｅｎ Ｒｉｎｇ令牌环网ＦＤＤＩ、８０２．６ ＭＡＮｓ ＤＱＤＢ和交换式以太网、快速以太网、千兆以太网接入等。从ＩＰ接入网的功能参考模型的角度出发对ＩＰ接入方式可分为五类。即直接接入方式、ＰＰＰ隧道方式（Ｌ２ＴＰ）、ＩＰ隧道方式（Ｉｐｓｅｃ）、路由方式、多协议标记交换（ＭＰＬＳ）方式。
１．直接接入方式。是用户直接接入ＩＰ，此时ＩＰ接入网仅有二层，即ＩＰ接入网中仅有一些级联的传送系统，而没有ＩＰ和ＰＰＰ等处理功能。此方式简单，是目前广泛采用的ＩＰ接入方式。
２．ＰＰＰ隧道方式。从该节点至ＩＳＰ使用第二层隧道协议（Ｌ２ＴＰ）构成用户到ＩＳＰ的一个ＰＰＰ会晤的隧道，即一个ＰＰＰ会话在隧道间传输，第二层既可采用包交换形式，也可以采用电路交换形式，但无论如何要传送的数据都从一个物理实体定址到另一个，并不存在路由跨越的概念，可以认为是以"点到点"形式进行的，是一种仿真连接技术。用户可以通过ＰＰＰ层选择ＩＳＰ，如图３ 所示。
所谓ＩＰ隧道是在ＴＣＰ／ＩＰ协议中传输其他协议的数据包时，通过在源协议数据包上套上ＩＰ协议头，对源协议来说，就如同被ＩＰ带着过了一条隧道。Ｌ２ＴＰ（ＩＥＴＦ）是由ＰＰＴＰ（３ＣＯＭ，Ｍｉｃｒｏｓｏｆｔ）和Ｌ２Ｆ（Ｃｉｓｃｏ）综合发展而来的。目前，主要是基于ＡＤＳＬ的快速接入方案，安装在ＩＳＰ和用户的数据中心。由客户管理模块、业务管理模块和计费模块组成，目前已在１６３／１６９网上应用。
过去人们不愿意将因特网与自己公司的ＬＡＮ相连，主要考虑源的安全与性能，ＶＰＮ的出现打破了用户的顾虑。虚拟专用网（ＶＰＮ）就是在公用网的基础上，使用专用的安全通路即隧道来支持特定用户的使用，所以ＶＰＮ又戏称为"公网私用"。ＶＰＮ采用Ｌ２ＴＰ协议，网络的安全性、保密性、可管理性容易解决，企业网络想连接到哪里都可以，成本低、易维护。随着Ｉｎｔｅｒｎｅｔ的发展，在家办公，处理一些复杂事务，只需要与企业或公司网连接，得到公司或企业主体网络的确认，就可以进入公司或企业内部网，完成工作。企业不仅是接入网号码的一部分，也是ＩＰ地址码的一部分。Ｌ２ＴＰ的缺点也很明显，如在ＱｏＳ、安全性、可扩展性、记帐系统和非对称性上都还存在一定的问题。
３．ＩＰ隧道方式（Ｉｐｓｅｃ）。由于Ｌ２ＴＰ本身并不提供任何安全保障，仅提供较弱的安全机制，并不能对隧道协议的控制报文和数据报文提供分组级的保护，采用ＩＰｓｅｃ来保护通道安全，同时也能实现非ＩＰ数据的保护。Ｌ２ＴＰ对第二层包进行通道处理。它们对第三层协议（ＩＰＸ或ＡＰＰＬＥＴＡＬＫ）来说，就可以用通道处理来实现，如果事实上一个第二层的ＶＰＮ已经建立起来了，两个异种网通过外部网络从逻辑上连接到目的地，然后可用ＩＰｓｅｃ来保护这个第二层的ＶＰＮ，并提供必要的机密性保证。这就是第三种接入方式Ｉｐｓｅｃ，它可有效地保护数据包的安全。它采用的具体形式包括：根据起源地验证；无连接数据的完整性验证；数据内容的机密性（是否被别人看过）；抗重播保护；有限的数据流机密性保证等。
具体对ＩＰ数据包进行保护的方法是"封装安全载荷"（ＥＳＰ Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）或者"验证头"（ＡＨ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）。如图４所示，ＡＨ可以证明数据起源地，保证数据的完整性以及防止相同数据包的不断重播，有力地防止黑客截断数据包或向网络插入伪造的数据包。ＥＳＰ将需要保护的用户数据进行加密后再封装到ＩＰ包去，ＥＳＰ除了具有ＡＨ的功能外，还可选择保证数据的机密性以及数据流提供有限的机密性保障。从而保证数据的完整性、真实性。
ＡＨ或ＥＳＰ所提供的安全保障，完全依赖于采用的非对称加密算法或共享密钥的对称加密算法以及密钥交换技术，所以第三类接入方式为ＩＰ隧道安全方式。从用户终端至接入节点使用了ＰＰＰ协议，而接入点至ＩＳＰ使用ＩＰｓｅｃ，从而在用户至ＩＳＰ间构成一个ＩＰ层隧道。由于ＩＰｓｅｃ是从上层向下层扩展来实现ＩＰ接入的，其缺点是实现复杂，严密性差等。
４．路由方式。接入点可以是一个第三层路由器或虚拟路由器。该路由器负责选择ＩＰ包的路径和转发下一跳。路由方式包括基于ＩＳＤＮ的连接和基于ＦＲ及租用专线的连接，支持ＦＲ、ＩＰ／ＩＰＸ、ＰＩＰ／ＲＩＰ２、ＯＳＰＦ、ＩＧＲＰ等协议。
５．多协议标签交换（ＭＰＬＳ）方式。接入点是一个ＭＰＬＳ的ＡＴＭ交换机或具有ＭＰＬＳ功能的路由器。１９９９年９月，在ＴＩＵ－Ｔ ＳＧ１３ 的ＩＰ专家组会议上，已经确定ＭＰＬＳ为ＩＰ Ｏｖｅｒ ＡＴＭ的标准对许多ＭＰＬＳ的控制选项作了明确的规定，对于公用的ＡＴＭ网络引入ＭＰＬＳ的技术方案给出了指导性的建议并准备在今年通过。许多厂商已经开发了用于现有ＡＴＭ交换机上实现ＭＰＬＳ的实验性软件补丁。
由于近年来Ｉｎｔｅｒｎｅｔ固定接入业务（如电子邮件、Ｗｂｅ、ＩＰ电话、电子商务等）的爆炸式增加，移动ＩＰ的接入引起人们的关注，手机移动上网灵活、方便，成为一种新的时尚，被称为"口袋里的互连网"。ＩＴＵ－Ｔ ＳＧ－１３组对移动ＩＰ的研究已经启动，确定了Ｍｏｂｉｌ ＩＰ的研究内容，主要强调移动接入即终端的移动性、ＩＰ移动性（主要是控制选路和业务）和个人移动性等领域的研究。移动ＩＰ主要定义了三个主要功能实体：（１）移动节点，是一台主机或路由器，它在切换链路时从一条链路到另一条链路不改变它的ＩＰ地址，也不中断正在进行的通信。（２）住地代理（Ｈｏｍｅ Ａｇｅｎｔ），它是一台路由器，有一个端口连接在移动节点的住地链路上，这个端口截获所有发往移动节点住地地址的数据包，并通过隧道将它们送到移动节点最新报告的转交地址上。（３）外地代理（Ｆｏｒｅｉｇｎ Ａｇｅｎｔ）。这是一台有一个端口在移动节点的外地链路上的路由器，它帮助移动节点完成移动检测，并向移动节点提供路由服务，例如在移动节点使用外地代理转交地址时对通过隧道到达的ＩＰ包进行拆封。
目前，随着以ＩＰ为主的数据业务在传统的电信网环境接入的迅猛增长，以电路交换机为主的传统ＰＳＴＮ网络，对于Ｉｎｔｅｒｎｅｔ的接入，因网上占用时间较长，使得ＰＳＴＮ网数据负荷量很重（占用大量的中继线及交换机资源），造成网络的拥塞。又由于Ｉｎｔｅｒｎｅｔ网ＩＰ数据大多为突发业务，平均负荷小，瞬时高，因此带宽利用率低。在传统的电信网上，解决ＩＰ业务接入的分流十分重要和迫切，目前国内不少公司的接入网设备具有分流ＩＰ数据的能力，这是向ＩＰ接入网演进的重要的一步。虽然在我国数据业务在电信业务中所占比例仍然很低，但是，ＩＰ数据业务发展迅速，不需几年ＩＰ数据业务将超过传统的电话业务，电信网的ＩＰ化是必然趋势。因此，对ＩＰ接入网的研究，应引起有关设备开发厂商、运营商的高度重视--如同ＩＰ在电信网上进行环境演进那样的重视。
作者简历： 范忠礼，南京邮电学院光信息技术系、光纤通信研究所教授，硕士生导师；主要研究方向为信息网络技术，包括核心网、接入网、ＩＰ接入网、宽带ＩＰ网、光网络等。
