PITP协议.ppt

PITP协议介绍 ISSUE 1.0 宽带用户越来越多，运营商IP DSLAM网络架构应用广泛。 如何有效的解决用户帐号盗用问题？ 如何有效的防止黑客攻击？ PITP协议简介 PITP（Policy Information Transfer Protocal）策略信息传送协议 PITP协议包括四种不同策略信息动作： 带宽资源搜集 QOS策略下发 配置维护信息传送等。 端口信息获取 华为公司开发具有自主知识产权的宽带协议，为解决： IP DSLAM VLAN资源不足 IP电信网QOS 统一维护管理问题 PITP协议背景 随着INTERNET的高速发展，宽带上网用户急剧增加。 运营商宽带网络从ATM DSLAM→IP DSLAM转变； 账号盗用和黑客攻击越来越多。 针对黑客攻击，传统的主要做法是采用用户隔离的方式来阻断用户对其他用户的影响，将其造成的破坏限制在一个很小的范围内。 ATM DSLAM组网中，一个用户对应一条PVC。 IP DSLAM组网中，一个用户对应一个VLAN ID。 针对账号盗用，传统的解决方法是将用户的帐号与端口标识进行绑定，配合RADIUS SERVER来完成对用户合法性的判断。 ATM DSLAM组网中，用户标识为PVC。 IP DSLAM组网中，用户标识为VLAN ID。 PITP协议背景 ATM DSLAM 组网 每个用户分配一条PVC，用户与PVC之间是一一对应 。 用户数量受到PVC数量的限制。 PVC数量取决于VPI、VCI的值。 ATM信元中的定义，在用户网络侧，VPI为8bit，VCI为16bit。 PVC数量＝256（VPI）×65536（VCI） 完全可以满足DSLAM接入的用户的需要。 PITP协议背景 IP DSLAM 组网 每个用户分配一个VLAN ID，用户与VLAN之间是一一对应 。 用户数量受到VLAN ID数量的限制。 VLAN ID数取决于 802.1Q规定 。 802.1Q规定的VLAM ID为12bit。 一个接口下的VLAN ID数＝4096个 无法满足用户数量的需求，只能是多个用户使用一个VLAN。 无法防备帐号盗用和黑客攻击； MA5100综合业务解决方案 PITP协议解决方案 问题的根源 用户的身份验证是在RADIUS Server上完成。 如果RADIUS Server能够对用户的物理端口（DSL线路）进行验证，就可避免黑客攻击、账号盗用。 用户直接连接到DSLAM设备，DSLAM可以知道用户端口信息。 RADIUS Server直接和BAS设备通信。 只要将用户物理端口等信息从DSLAM传递到BAS设备。 PITP协议解决方案－ Vmode PITP协议示意图 PITP协议解决方案－ Vmode PITP协议流程 PITP协议解决方案－ Vmode PITP协议流程说明 1、用户主机广播一个会话发起数据包； 2、一个或多个BAS收到广播后，发送服务提供数据包给用户主机； 3、用户主机依据一定的原则，挑选出一个BAS，向其发送单播会话请求数据包； 4、被选中的BAS收到会话请求数据包后，产生一个唯一的Session ID，向原用户主机发送确认数据包后，然后进入到PPP会话阶段； 5、BAS收到认证请求包后，向IP DSLAM发送PITP请求数据包，以查询用户主机的MAC地址来自哪个IP DSLAM的具体物理端口； 6、IPDSLAM收到PITP请求数据包后，向BAS发送PITP响应数据包，返回用户主机的MAC地址和IP DSLAM物理端口对应关系； PITP协议解决方案－ Vmode PITP协议流程说明 7、当用户主机接收到选中BAS的确认数据包后，根据Session ID与BAS进行PPP会话，进行LCP协商； 8、LCP协商通过后，用户主机开始向BAS发送身份认证请求包PAP/ CHAP； 9、BAS向Radius Server 发送认证请求包（包含用户帐号、密码、所在IPDSLAM的物理端口等信息）； 10、Radius Server返回认证结果响应包给BAS ； 11、BAS返回用户主机认证结果响应包； 12、如果认证通过，则建立PPP连接，通信双方可以进行PPP数据的传输。 PITP协议解决方案－ Vmode PITP协议解决方案－Vmode BAS通过Radius协议上报相关信息给Radius Server NAS-Port（5）：32Bit数字 槽位号(4位)+子槽位号(2位)+端口号(2位)+VlanPI(12位)+VlanCI(12位) 格式: slot=XX;subslot=XX;port=XXX;VlanPI=XXXX;VlanCI=XXXX; 范围值： slot=0～15;subslot=0