1、GPRS VPN业务,基于GPRS的VPN业务,行业性应用：银行、电厂、法院、海关、 福彩、 交通、油田 企业：泰安、新泰、宁阳电力公司、交巡支队、卫生大厦、港华燃气等 公司内部：BOSS系统的接入、办公网的接入、网管网络的接入,行业性应用、企业应用发展前景广阔,GPRS企业和行业应用技术原理,APN介绍 APN（Access Point Name）接入点名称用来标识外部网络和用户业务种类，对应于用户的业务访问权限。 可以为特定的行业用户或集团用户分配APN，实现如下业务功能：支持专有服务、控制访问权限、支持专有计费。 接入方式 移动GPRS网为用户提供透明接入和非透明接入两种接入外部数据网的
2、方式，对应有两种鉴权与认证机制。 透明接入：即移动GPRS网本身作为ISP向移动用户提供接入服务。终端用户使用移动GPRS网用户地址空间的地址，该地址可以是静态分配的，也可以是动态分配的。用户不需发送任何接入认证请求，GPRS网络也不参与任何接入认证过程。,接入方式（续） 非透明接入：即移动GPRS网与其它ISP/企业内部网相连，由其它ISP/企业内部网为移动用户提供接入服务。用户分配到的地址来自于外部intranet/ISP的地址空间，可以是静态分配和动态分配的，地址的分配需要GPRS网络和ISP/企业内部网的地址分配服务器(比如RADIUS、DHCP服务器)来建立链路。用户需发送接入认证请
3、求，由GPRS网络向ISP的RADIUS或DHCP服务器上发出请求对用户进行接入认证。 用户IP地址分配原则 根据所使用的APN以及对应的接入方式（透明接入和非透明接入方式），用户可以分配到静态地址或动态地址，可以是公网地址或保留地址。非透明接入时，用户还可以通过RADIUS或DHCP获得该企业内部网（Intranet）的用户地址空间所分配的IP地址。,GPRS企业和行业应用组网方案,连接协议,从SGSN到GGSN、从GGSN到接入路由器，MS的IP地址 未起到路由作用，相当于在MS和接入路由器之间存在一 条逻辑链路，实现了移动VPN。,山东移动提供的业务,一、从接入方式分公网接入：各地就近接
4、入当地CMNET，企业端使用移动公司分配的公网地址或其它运营商公网地址；私网接入：需要直接接入济南专用NE16路由器；点对点方式：可以分成两种方式（1）通过已经存在的接入方式连接（2）通过直接在GGSN进行配置路由实现。,山东移动提供的业务,二、从地址分配方式分静态地址：用户每次接入都使用固定的IP地址，需要在HLR中进行APN和IP地址与用户手机号码的对应操作（机房后台操作）。动态地址：用户每次接入的地址动态变化，HLR中无须为用户配置IP地址，只定义APN数据。注意：在HLR中进行配置的时候一个用户对同一个APN只能进行一次配置。否则用户无法激活 三、从漫游方式分省际漫游省内漫游,山东移动
5、提供的业务,四、端对端VPN业务在该种业务种用户网络种配置了VPN服务器，用户通过GPRS激活以后，通过专门的VPN软件进行第二次VPN连接。CMNET APN是通过私有地址做NAT转换接入internet，在通过IPSec接入企业网时，一般的VPN网关是无法实现Ipsec协议在NAT上的穿透，需升级企业端VPN网关或客户端软件，但升级与否是由企业决定。 目前解决办法是用户通过专门的APN激活，获得公网IP地址，无须做NAT转换接入internet.,山东移动提供的业务,山东移动提供的业务,山东移动提供的业务,山东移动提供的业务,公网和私网方案比较,一条专线可以实现多于一个GRE，因此可以在一
6、个专线上配置多个APN，以实现企业对接入不同业务的需求。 如银联ATM和无线POS,安全性考虑,无论是行业应用还是企业的应用一般具有较高的安全性要求。安全性主要包括两个内容：用户的鉴权与认证、用户信息的安全。,用户的鉴权与认证,(1)对终端APN授权的鉴权与认证 在为行业系统分配专用APN的情况下，当GPRS终端接入网络时，由SGSN和HLR配合对对终端的APN授权进行鉴权和认证，移动用户都必须通过HLR的鉴权和认证才有权接入行业的数据中心。这种鉴权认证有移动网络提供，是最基本的鉴权认证手段。 (2)Radius鉴权与认证 为用户提供透明接入和非透明接入两种接入外部数据网的方式。在非透明模式下
7、，采用Radius服务器对用户进行附加的鉴权与认证。GGSN可以把来自终端激活PDP上下文消息中的用户名/口令信息转发到Radius服务器，也可以把终端的MSISDN号码提交到Radius服务器，来进行鉴权和认证。Radius服务器可以由行业数据中心自行提供和维护，也可以租用移动公司提供的Radius服务器。这种鉴权认证控制权属于行业数据中心，实现对终端或用户身份的认证。 (3)用户应用层的口令认证 行业应用软件系统自行提供的用户名/口令认证，与网络本身无关。这种鉴权认证为高层软件的功能，主要实现对用户身份的认证。 总之，用户鉴权与认证是GPRS VPN解决方案的重要部分，对于具体行业的安全性
8、需求，可以选择使用上述3种手段。,用户信息的安全,用户信息在传输过程中，有两段是相对比较容易受到窃取和篡改。一个是Um无线接口，另一个是集团业务接入平台和行业数据中心之间的网络。对于前者，使用无线接口上的数据加密来保证数据安全；对于后者，如果使用走私网方式的专线接入可以有效的避免数据暴露到公网上；对于通过公网实现的接入可以在CMNET接入路由器和企业路由器之间在使用IPsec加密，在两断通过防火墙策略防止来自INTERNET的攻击。,配置方案,APN：为企业或者行业用户分配专门的APN，分配原则是：company.area.sd company为公司的名称或者简称。 area为两位的省内城市简
9、写，其中在济南的公司可以省略该选项 SD是必须的用来标识山东的GPRS网络。 如泰安电力 tadl.ta.sd山东农行 aboc.sd,手机IP地址段：分配私有地址段，可以根据用户的需求分配相应长度的地址。原则是不能与GPRS网络和企业内部网络冲突。,GRE路由配置,企业端路由器配置示例Router#config t Router#(config)#int tunnel0 按实际情况定义TUNNEL名字 Router(config-if)#ip unnumbered Serial1/0 Router(config-if)#tunnel source Serial1/0 Router(confi
10、g-if)#tunnel destination *.*.*.* Router(config-if)#tunnel key * (必须与GGSN一致) Router(config)#ip route #.#.#.# 255.255.255.0 tunnel0 Router#wr 其中#.#.#.#是手机的IP地址段。,接入认证,随着接入业务的多样化，业务接入平台需要提供可选用户的认证、授权、计费等功能。例如某些企业对安全要求程度高，或需要更灵活地分配IP地址，都要求设置Radius服务器进行用户认证。但如果让每个企业自行设置服务器，安全性和可靠性上都不能保证，可能会影响网络质量，甚至给网络造成
11、很大冲击。这就需要由我们设置Radius服务器，自行进行管理，提供统一的认证服务。,Radius服务器提供完善的远程管理界面，向企业开放，使企业客户能够管理自己的用户账户，而不需要我们的运维人员干预。同时应能够限定企业管理者权限范围，使他们互不干扰。 通过设置Radius服务器，可简化GPRS网络配置，增强提供服务的时效性、灵活性和安全性，减轻维护人员工作量，实现灵活的资费政策。因此，应将Radius服务器集成在业务接入平台中。,客户利益,基于GPRS的行业应用解决方案实现了特殊行业的移动终端或分散终端到行业数据中心的高质量的移动数据传输平台。行业应用可以在此移动平台上快速便捷地获得部署和实现
12、，这对于很多行业具有非常重要的意义。 (1) 实现行业终端的移动性。 对于很多行业应用，需要满足终端的移动性。例如移动警务办公，车辆GPS定位，移动的环境监测等等。以前这些行业很多都使用专用的集群网络，需要很大的投资和专人维护，而且在集群网络上开发应用缺乏通用的平台，难度比较大。使用GPRS网络以后，网络的运行和维护由移动公司负责，大大降低了企业成本，提高了业务开展的速度。 (2) 实现大量分散终端的快速组网。 有些行业应用，需要对大量分散终端进行快速组网，例如彩票销售机，自动售货机、无线POS机等。如果使用有线连接，会对网络的部署造成诸多不便，甚至有线根本无法通达。使用GPRS组网方便快捷，而且可以实现终端位置和网络拓扑的任意改变。GPRS随时在线，只对数据流量进行计费，因而在实施上和费用上均提高了效率，降低了成本。,我们可以一起做的更好,谢谢大家 欢迎大家批评指正,
