隨著5G新業(yè)務(wù)的發(fā)展，接入業(yè)務(wù)的帶寬需求飛速增長，中興通訊可以提供端到端的傳輸解決方案，構(gòu)建一個涵蓋城域接入層、城域匯聚層、城域核心層以及長途干線層的“端到端”網(wǎng)絡(luò)，實現(xiàn)承載業(yè)務(wù)“光速直達(dá)”，是未來網(wǎng)絡(luò)發(fā)展的必然趨勢。
通信網(wǎng)絡(luò)分為三層，由下至上分別是接入層、匯聚層、核心層。承載網(wǎng)就是處于接入網(wǎng)和核心網(wǎng)之間的網(wǎng)絡(luò)部分。
圖1 承載網(wǎng)在通信網(wǎng)絡(luò)中的位置
為了滿足接入業(yè)務(wù)的帶寬需求飛速增長，承載網(wǎng)光傳送網(wǎng)產(chǎn)品應(yīng)運而生，光傳送網(wǎng)(optical transport network)簡稱OTN。中興通訊的承載網(wǎng)OTN產(chǎn)品分為：
（1）ZXONE 9700分組OTN產(chǎn)品
ZXONE 9700系列產(chǎn)品，支持10G/40G/100G/400G傳輸速率，可實現(xiàn)28.8T/14.4T/9.2T/4.4T ODUk的大容量電層交叉和10G/40G/100G/400G波長的光層交叉及分組交換功能。其適用于骨干核心層以及本地/城域網(wǎng)絡(luò)，可充分滿足運營商對大顆粒數(shù)據(jù)業(yè)務(wù)的透明傳輸、靈活調(diào)度、匯聚處理以及對業(yè)務(wù)管理監(jiān)控的需求。
（2）ZXONE 19700產(chǎn)品
面向100G和超100G的超大交叉容量OTN設(shè)備ZXONE 19700系列產(chǎn)品，支持10G/40G/100G/200G/400G/1T傳輸速率，具備業(yè)界最大的電層交叉容量和10G/40G/100G/400G/1T波長的光層交叉及分組交換功能，適用于國干、省干和城市核心調(diào)度節(jié)點，可充分滿足運營商對大顆粒數(shù)據(jù)業(yè)務(wù)的透明傳輸、靈活調(diào)度、匯聚處理以及對業(yè)務(wù)管理監(jiān)控的需求。
（3）ZXWM M920骨干OTN產(chǎn)品
ZXWM M920設(shè)備是中興通訊推出的新一代大容量、超長距的智能骨干網(wǎng)OTN產(chǎn)品，該設(shè)備應(yīng)用了先進(jìn)的傳輸技術(shù)與高度的集成技術(shù)，面向全IP化傳輸，全面支持OTN標(biāo)準(zhǔn)，支持GMPLS/WASON控制平面的加載，應(yīng)用于國際、國家、省際、省內(nèi)干線，本地交換網(wǎng)以及各種專網(wǎng)的建設(shè)。
（4）ZXMP M721城域邊緣OTN產(chǎn)品
ZXMP M721是定位于城域匯聚接入層的新一代OTN光網(wǎng)絡(luò)產(chǎn)品，具有小身材、大能耐、低功耗、高可靠特性。支持80×10G/100G/200G DWDM系統(tǒng)，并支持模塊化平滑升級。DWDM系統(tǒng)支持多跨段無電中繼傳輸（18×22 dB、7×30 dB 、1×45dB等）�？芍С�2Mbit/s~100Gbit/s的全業(yè)務(wù)接入：STM-1/4/16/64；FE, GE, 10GE WAN,10GE LAN,100GE；1G/2G/4G/8G/10G/16G FC，ESCON，F(xiàn)ICON，DVB-ASI，SD-SDI/HD-SDI/3G-SDI；OTU1/2/2e/1f/1IB/4；E1等。ZXMP M721是一款高集成度的緊湊型OTN產(chǎn)品，其單子架為DX61（1U）、DX62（2U）、DX63（3U）、CX62A（2U）、CX63A（3U）、CX66（6U）和CX66A（6U），可以節(jié)約機(jī)房面積，有效降低電源功耗，顯著降低運行和維護(hù)費用，適應(yīng)網(wǎng)絡(luò)的綠色環(huán)保需求。
（5）ZXUCP A200智能光網(wǎng)絡(luò)控制平面產(chǎn)品
ZXUCP A200是中興通訊推出的基于WDM/OTN的WASON控制平面軟件產(chǎn)品，基于波長交叉和ODUk電交叉技術(shù)，能夠?qū)崿F(xiàn)網(wǎng)絡(luò)的自動化、智能化，以及更加高效可靠的業(yè)務(wù)承載。
承載網(wǎng)OTN產(chǎn)品在實際使用中以網(wǎng)元（Network Element，簡稱NE）的屬性存在，每個網(wǎng)元就是由一個獨立的設(shè)備或者多個設(shè)備按照主從子架進(jìn)行級聯(lián)共同組成，業(yè)務(wù)就通過在不同網(wǎng)元之間進(jìn)行傳遞。每個網(wǎng)元都存在北向接口，用戶可以通過設(shè)備的北向接口使用如下服務(wù)與設(shè)備進(jìn)行通信與管理，比如sftp，ssh，netconf，snmp，網(wǎng)絡(luò)管理接口（EMS口）服務(wù)等。
圖2 承載網(wǎng)OTN網(wǎng)絡(luò)中網(wǎng)元組網(wǎng)和北向接口服務(wù)
網(wǎng)元的這些北向接口服務(wù)都需要進(jìn)行登錄，認(rèn)證授權(quán)。因此在每個網(wǎng)元設(shè)備上都存在AAA模塊來實現(xiàn)對北向接口服務(wù)的登錄認(rèn)證，授權(quán)。AAA是Authentication(認(rèn)證)、Authorization(授權(quán))和Accounting(計費)的簡稱。它提供對用戶進(jìn)行認(rèn)證、授權(quán)和計費三種安全功能。
（1）Authentication(認(rèn)證):驗證用戶的身份與可使用的網(wǎng)絡(luò)服務(wù)。
（2）Authorization(授權(quán))：依據(jù)認(rèn)證結(jié)果開放預(yù)先配置的操作權(quán)限級別的網(wǎng)絡(luò)服務(wù)給用戶。
（3）Accounting(計費)：記錄用戶對各種網(wǎng)絡(luò)服務(wù)的用量，并提供給計費系統(tǒng)。
AAA又分為AAA本地認(rèn)證和AAA遠(yuǎn)程認(rèn)證兩種模式。
（1）AAA本地認(rèn)證：將用戶信息配置在接入服務(wù)器上。
（2）AAA遠(yuǎn)程認(rèn)證：與RADIUS，TACACS+等協(xié)議配合使用，接入服務(wù)器作為客戶端，與RADIUS，TACACS+服務(wù)器通信，用戶的配置信息存放在RADIUS，TACACS+服務(wù)器上。
RADIUS：RADIUS（Remote Authentication Dial-In User Server，遠(yuǎn)程認(rèn)證撥號用戶服務(wù)）是一種分布式的、C/S架構(gòu)的信息交互協(xié)議，能包含網(wǎng)絡(luò)不受未授權(quán)訪問的干擾，常應(yīng)用在既要求較高安全性、又允許遠(yuǎn)程用戶訪問的各種網(wǎng)絡(luò)環(huán)境中。協(xié)議定義了基于UDP（User Datagram Protocol）的RADIUS報文格式及其傳輸機(jī)制，并規(guī)定UDP端口1812、1813分別作為認(rèn)證、計費端口。RADIUS最初僅是針對撥號用戶的AAA協(xié)議，后來隨著用戶接入方式的多樣化發(fā)展，RADIUS也適應(yīng)多種用戶接入方式，如以太網(wǎng)接入等。它通過認(rèn)證授權(quán)來提供接入服務(wù)，通過計費來收集、記錄用戶對網(wǎng)絡(luò)資源的使用。
TACACS+：TACACS+（Terminal Access Controller Access Control System，終端訪問控制器控制系統(tǒng)協(xié)議）是在TACACS協(xié)議的基礎(chǔ)上進(jìn)行了功能增強(qiáng)的安全協(xié)議。該協(xié)議與RADIUS協(xié)議的功能類似，采用客戶端/服務(wù)器模式實現(xiàn)NAS與TACACS+服務(wù)器之間的通信。
RADIUS與TACACS+的比較：
圖3 對比RADIUS與TACACS+
AAA遠(yuǎn)程認(rèn)證原理：
AAA一般采用客戶機(jī)/服務(wù)器結(jié)構(gòu)，客戶端運行于NAS（Network Access Server，網(wǎng)絡(luò)接入服務(wù)器）上，服務(wù)器上則集中管理用戶信息。NAS對于用戶來講是服務(wù)器端，對于服務(wù)器來說是客戶端。AAA的基本組網(wǎng)結(jié)構(gòu)如下圖4。
當(dāng)用戶想要通過某網(wǎng)絡(luò)與NAS建立連接，從而獲得訪問其它網(wǎng)絡(luò)的權(quán)利或取得某些網(wǎng)絡(luò)資源的權(quán)利時，NAS起到了驗證用戶的作用。NAS負(fù)責(zé)把用戶的認(rèn)證、授權(quán)、計費信息透傳給服務(wù)器（RADIUS服務(wù)器或TACACS+服務(wù)器），RADIUS協(xié)議或TACACS+協(xié)議規(guī)定了NAS與服務(wù)器之間如何傳遞用戶信息。
TACACS+的典型應(yīng)用是對需要登錄到設(shè)備上進(jìn)行操作的終端用戶進(jìn)行認(rèn)證、授權(quán)、計費。設(shè)備作為TACACS+的客戶端，將用戶名和密碼發(fā)給TACACS+服務(wù)器進(jìn)行驗證。用戶驗證通過并得到授權(quán)之后可以登錄到設(shè)備上進(jìn)行操作。
圖4 AAA遠(yuǎn)程認(rèn)證原理圖
中興通訊的承載網(wǎng)光傳送網(wǎng)絡(luò)產(chǎn)品支持以上三種認(rèn)證方式，詳見如下：
（1）支持AAA本地認(rèn)證。
（2）支持基于RADIUS的AAA 遠(yuǎn)程認(rèn)證。
（3）支持基于TACACS+的AAA遠(yuǎn)程認(rèn)證。
如圖2所示，在過去很長一段時間，通信網(wǎng)絡(luò)中廣泛應(yīng)用的是本地AAA認(rèn)證。圖中每個網(wǎng)元（NE）上都存在一個AAA模塊，用戶的認(rèn)證授權(quán)利用每個網(wǎng)元自身的用戶數(shù)據(jù)庫來實現(xiàn)對北向接口提供的服務(wù)用戶進(jìn)行登錄認(rèn)證，授權(quán)。這個認(rèn)證授權(quán)過程都是在每個網(wǎng)元上單獨完成的。這種本地AAA認(rèn)證方式存在以下幾個問題：
（1）賬號維護(hù)工作量大。用戶需要新增或者修改，刪除賬號信息，需要逐個登錄每個網(wǎng)元進(jìn)行配置，工作量很大，操作起來非常耗時。
（2）存在后門賬號引起安全風(fēng)險。由于通信網(wǎng)絡(luò)中網(wǎng)元數(shù)量很多，維護(hù)管理人員可能不會及時發(fā)現(xiàn)某個網(wǎng)元上殘留的賬號，導(dǎo)致存在客戶未知賬號導(dǎo)致入侵風(fēng)險。
為了解決以上2個AAA本地認(rèn)證存在的多網(wǎng)元用戶信息維護(hù)問題，中興通訊現(xiàn)在已經(jīng)在承載網(wǎng)光傳送網(wǎng)絡(luò)中使用AAA遠(yuǎn)程認(rèn)證。并且推薦使用更為安全的基于TCP協(xié)議的TACACS+協(xié)議。中興通訊承載網(wǎng)光傳送網(wǎng)絡(luò)中的每個網(wǎng)元啟用AAA遠(yuǎn)程TACACS+認(rèn)證功能后，每個網(wǎng)元的功能相當(dāng)于AAA遠(yuǎn)程認(rèn)證中的NAS角色。網(wǎng)元設(shè)備作為TACACS+的客戶端，將遠(yuǎn)程用戶登錄輸入的用戶名和密碼發(fā)給TACACS+服務(wù)器進(jìn)行驗證。在TACACS+服務(wù)器上對收到的用戶賬號數(shù)據(jù)與TACACS+服務(wù)器里存儲的用戶賬號數(shù)據(jù)進(jìn)行比對，用戶驗證通過并得到授權(quán)之后可以登錄到設(shè)備上進(jìn)行操作。
圖5 承載網(wǎng)OTN網(wǎng)絡(luò)中啟用AAA 遠(yuǎn)程TACACS+認(rèn)證后的網(wǎng)元組網(wǎng)和北向接口服務(wù)
中興通訊在承載網(wǎng)光傳送網(wǎng)絡(luò)中，通過啟用AAA遠(yuǎn)程TACACS+認(rèn)證功能，維護(hù)多個網(wǎng)元的賬號信息只需要在一臺TACACS+服務(wù)器上進(jìn)行維護(hù)，從而減輕了運維人員的工作量，同時減少了某個網(wǎng)元上殘余后門賬號的風(fēng)險。 
