IPTV承载网接入认证方案对比

1、背景

IPTV|0">IPTV即交互式网络电视，是一种利用宽带网络，采用DSL或以太网等接入方式，通过网络机顶盒（STB，Set-TopBox）或PC向用户提供多种交互式的宽带视频业务，包括视频直播、视频点播、游戏、视频会议等业务。

基于IPTV业务的特殊性要求，对接入认证的要求如下：

●必须能够支持组播应用的顺利开展。减少运营商在核心网络扩容改造方面的巨额投资；

●必须能够区分不同的终端类型以进行业务分离，顺利支持增值业务的开展；

●必须实现认证流和业务流分离，接入认证和业务认证分离，以提高宽带视频等多媒体增值业务的提供效率；

●必须能够控制同一用户的终端类型及数量，方便运营商对终端设备采取集中式管理，提高自身的运营效率；

●必须具备高并发IP地址请求处理能力，保证所有用户能够顺利登录网络并接受服务；

●认证系统必须具有强大的可扩展性和稳定性，能够可靠提供业务并顺应IPTV等新型业务快速发展的趋势。

IPTV平台总体结构如图1所示。网络必须支持用户认证等业务运营管理方面的功能。

图1 IPTV平台总体结构

2、IPTV接入认证方案比较

当前在宽带网中使用的最主要认证技术包括两类，即PPPoE|0">PPPoE和DHCP（或者DHCP+Web）技术。

（1）PPPoE技术

PPPoE（RFC2516）认证技术在以太网接入和ADSL接入方式中应用的最为广泛，其组网原理基本相同，都是利用交换机或DSLAM将用户接入网内，在交换机和DSLAM后面设置BRAS设备来终结PPP。终结PPP连接的宽带接入服务器可以对PPP连接分别进行管理，可对用户上网业务分别进行时长和流量信息的统计，各种计费方式提供必要的用户上网信息。PPPoE的实质是在以太网上跑PPP协议，在用户端和宽带接入服务器之间建立PPP的点对点通道。PPPoE方式其整个通信过程都必须进行PPPoE的封装，效率较低。随着用户数量的大量增加，对BRAS设备的性能要求呈指数上升。也就是说，如果在用户主机和BRAS之间启用组播业务，则组播数据必须以BRAS作为接收端复制点，这样会使大量的组播数据穿越网络和DSLAM设备，违背组播的初衷。因此，PPPoE接入方式限制了组播协议的存在，影响了视频业务的开展。

（2）DHCP+Web

DHCP+Web认证需要与DHCP服务器和Web认证服务器配合使用，主机首先通过DHCP得到一个IP地址，与Web认证服务器通信，也可以使用户只访问一些内部服务器；然后，接入服务器将用户强制连接到Web认证服务器上，并在浏览器中弹出认证页面。在该页面中输入用户名和密码，WebServer作为RADIUS的Client端把认证信息传送到RADIUSServer，对用户进行认证。认证通过后，用户获得新的合法的IP地址，可以访问互联网或特定的网络。

在DHCP+Web认证方式中，用户主机和接入服务器之间并没有任何类似PPP的第三层通道，也不存在对组播协议的限制。如果用户到接入服务器之间的交换机或DSLAM能支持IGMPSnooping，组播业务很容易开展。这种方式认证和业务流也实现了分离，并可以方便地利用Web服务器推出Portal和广告等增值业务，对用户进行业务宣传及业务引导。

（3）两种认证方式的特点比较

两种认证方式的特点比较如表1所示。

表1 两种认证方式的特点比较

通过表1可以看出，DHCP+Web采用认证流和数据流相分离的方式，该方式决定了其对组播支持能力较强（只要局端设备支持），这种方式的带宽利用率均较高，同时可以避免城域网汇聚层同时作为BRAS使用，对IPTV等宽带业务非常适用。DHCP+Web方式可以对接入的用户数量进行控制，由于采用Portal方式，其增值业务能力较强。从客户端支持来看，由于DHCP+Web不需要客户端软件，避免了放号困难及维护工作量较大的问题。总体而言，PPPoE技术成熟，效率低。

IPTV是对组播要求极高的业务。在组播业务中，要保证业务的可运营、可管理，就要通过一些必要的策略来达到业务可控的目的。组播的控制策略有很多种，其中控制组播用户的一个重要技术手段就是对用户进行认证、授权。原有宽带网络中用户的认证多用于IP单播业务，并不能够完全满足组播认证的要求。这就需要对原有的认证体系进行改造，以适应IPTV业务的开展要求。

对于采用PPPoE进行认证的方式，主要需要解决的问题是组播数据的下发。因此，可以针对用户的不同业务采用不同的业务分发通道。也就是说，一方面要求BRAS设备支持IPTV业务的PPPoE认证，其相关的单播数据通过PPPoE的通道下发；另一方面组播数据通过IPOE的通道进行下发。这就要求BRAS通过认证信息能够区分用户业务种类，而DSLAM设备需要支持组播分发及组播组的控制，同时要求STB设备支持双协议栈。这样既可以保证原有认证系统的功能，同时也能够保证组播业务的顺利开展。

对于DHCP认证方式，其主要问题是保证DHCP接入的安全性和真实性，这就需要在DHCP包文中引入OPTION82选项；对于存在多个终端同时使用DHCP的场合，为了区分这些终端，还需引入OPTION60选项。DHCPOPTION82选项通常由DSLAM设备将用户的端口信息和设备信息插入到用户的DHCP报文，DHCP服务器通过识别OPTION82来执行IP地址分配策略或其它策略。OPTION60选项通常由终端自带，不同类型的终端可以通过设置不同的OPTION60来识别。通过OPTION60选项，可以实现对不同的终端分配不同的地址空间。但是，OPTION82的引入需要DSLAM的支持，目前网络上使用的设备大部分并不具备该功能，因此需要进行接入设备的改造。

两种认证方式各有优缺点，PPPoE认证技术比较成熟，安全性高，不需要进行接入网设备的改造，但是BRAS对组播等新业务支持能力差（目前BRAS均不支持组播）、效率低；需要改造BRAS来支持，投资很大，不利于IPTV业务的拓展。而DHCP+Web可以实现较多的增值业务，同时又可以很好地支持组播业务。虽然DHCP认证方式安全性不如PPPoE，但经过多年的发展，已具备相应的条件保证IPTV接入认证的安全。为保证接入的安全性可配合使用接入网设备支持的OPTION82特性，为防止DHCPServer欺骗，可进行二层的用户隔离。采用DHCP认证方式，IPTV业务流量可以从三层交换机走，投资很少，符合运营者发展IPTV的长远利益。

下面，我们从几个方面来具体比较PPPoE和DHCP在IPTV网络中的适用性。

●计费的准确性

对于PPPoE方式，在用户认证通过后，由宽带接入服务器（BAS），向后台的RADIUS服务器发送计费开始包，在用户下线后（用户主动挂断、异常死机、网络断等），由BAS向后台的RADIUS服务器发送计费结束包。后台计费系统便可根据计费起始包、结束包按时长、按流量进行实时计费。采用这种方式，计费数据相当准确。

对于DHCP+Web方式，用户认证通过后，同样由接入服务器向后台的RADIUS服务器发送计费开始包，当用户需要下线时，需要通过点击Web页面挂断按钮，触发宽带接入服务器向后台的RADIUS服务器发送计费结束包。在这种正常情况下，计费数据较准。但如果用户是异常下线，接入服务器需要根据设置的用户空闲最长时间来判断，如果超过最长空闲时间。则认为是用户已下线，此时宽带接入服务器向后台的RADIUS服务器发送计费结束包。后台计费系统便可根据计费起始包、结束包按时长、按流量进行实时计费。利用这种判断用户异常下线方式，可能最后的计费结束包的时间比用户实际的下线时间要多出一段时间。要解决这个问题，需要将用户空闲的最长时间设短，但此时间如果太短，又有可能让用户在上网的过程中（比如较长时间的阅读，没有通信流量的时候，会被BAS认为是用户已下线），出现多次需要重新进行认证，带来使用的不方便性。

●对网络环境的要求

PPPoE的本质就是在以太网上跑PPP协议。由于PPP协议认证过程的第一阶段是Discovery阶段，广播只能在二层网络，才能发现BAS。因此，也就决定了在用户主机和BAS之间，不能有路由器或三层交换机。另外，由于PPPoE的点对点的本质，在用户主机和BAS之间，限制了组播协议的存在。这样，将会在一定程度上，影响今后视频业务的开展。不过国际上为了解决这个问题，提出了一些草案（IPmulticastingandbroadcasting extension for PPPoE Protocol），希望能解决PPPoE上的组播问题。DHCP+Web认证不存在二层网络的限制，同样也不存在组播协议的限制。

●可管理性

对于PPPoE方式，宽带接入服务器与RADIUS服务器配合，可以进行一定程度的服务质量控制。较多的接入服务器能够实现Policing和rate-limiting等功能。Policing是一种接收控制功能，只容许指定速率的流量通过。类似的，rate-limiting是发送控制功能，只容许指定速率的流量发送。

对于DHCP+Web方式，当采用旁路方式的网络架构时，不能对用户进行带宽管理。如果是直路的网络架构，可以根据用户的不同，对带宽进行不同等级的限速控制。

●IP地址分配

PPPoE方式下的IP地址分配，完全是由宽带接入服务器和RADIUS服务器配合完成，用户不能修改。同时，后台的支撑系统还能够根据不同的用户分配不同范围、不同性质的IP地址，如某些用户使用公网地址，某些用户使用私有地址。

DHCP+Web则不能根据用户的不同，在IP地址的分配上做不同的区分。另外，使用DHCP来动态分配IP地址，还可以基于策略化分配。

●客户端软件限制

使用PPPoE进行用户认证，必须在客户端安装虚拟拨号软件。通过此虚拟拨号软件来与运营商局端的宽带接入服务器完成PPPoE的连接。但随着WindowsXP的发布，微软已把PPPoE虚拟拨号的功能集成到操作系统中。

DHCP+Web认证方式最大的一个优势就在于客户端不需要安装任何拨号软件，认证完全依靠浏览器来完成，在维护上很方便。

●多服务选择能力

在PPPoE方式下，许多厂家的宽带接入服务器提供类似"虚设备"的处理模块，不同的用户能够基于不同的"虚设备"，而引导至不同的服务区域。

对于DHCP+Web方式，要实现多服务选择能力比较困难。目前能够支持多服务选择的设备只有少数几家国外设备，如Ellacoya也是主要依靠VitualServiceContext技术来实现的。

●性能特点

由于PPPoE的特点，宽带接入服务器可能会成为网络的瓶颈。对于DHCP+Web，一般采用网络旁路的架构，不会影响到网络的性能。