软交换网络组网技术深入分析

务处理能力将损失1/n，但不用空置部分SS资源。

BAC实现至SS的呼叫控制信息动态分发功能，具有协议解析功能，能够根据应用协议的参数识别哪些消息属于同一呼叫，将其分发至同一SS进行呼叫处理。BAC自身的可靠性将通过多机备份得到保证。

对于部署在专网内的信令网关、中继网关、大容量用户综合接入网关、重要客户使用的IAD/小容量用户综合接入网关等设备，应支持在本机上设置备用SS地址的功能，当主用SS故障退出服务后应能够将后续新的呼叫请求送到备用SS进行处理。

对于部署在公共Internet之上的各类SIP用户及IAD终端，在用户侧只写入需访问的软交换设备或各类管理及应用服务器（如IAD网管系统、文件服务器等）的域名而非IP地址，通过软交换网络的域名解析器DNS解析后返回相应的BAC设备的地址。BAC收到呼叫请求后将首先判别用户类型（采用协议类型或是否带有主机名进行判别），对于IAD用户的呼叫请求，BAC将根据预设值将呼叫指向主用SS；对于SIP用户的呼叫请求，BAC将根据预设原则（如轮询等）将呼叫均匀指向一组SS中的一个。

安全问题的解决

首先，软交换、中继媒体网关、综合接入媒体网关、媒体服务器等设备基于专用网络部署，该网络可以是新建的专用网或采用MPLSVPN等技术的虚拟专用网，能通过各种手段来实现软交换设备间的相互通信及软交换设备和非软交换设备间的消息隔离，大量的软交换散户及其他非软交换网络的设备难以直接访问到这些软交换网络设备，大大减小了受互联网用户攻击的可能。由于软交换专用网络中的设备可信任度高，通过信令协议保障（如认证）、设备管理等手段，基本可以避免专用网络内用户攻击。

对于非重要客户使用的IAD及SIP软、硬终端等设备，由于设备数量多、分布广，将通过各种接入方式快速收敛于BAC设备，通过BAC设备实现与专用网络中其他设备的互通，此时BAC提供信令及媒体的代理功能及安全检测及隔离功能。由于IAD及SIP终端分布于用户侧，对软交换核心设备的安全存在极大的威胁，因此在本方案中，运营商对于IAD或SIP终端应采用用户零配置方案，运营商应负责所有网络及用户数据的配置及后续的更新及修改，用户无法自行修改数据。在用户侧只写入需访问的软交换设备或各类管理及应用服务器（如IAD网管系统、文件服务器等）的域名而非IP地址，避免SS暴露IP地址易受到非法攻击。

在信令协议中启动加密和鉴权机制，SS定期检测用户身份合法性，保证SS对网关及用户的控制权，防止非法用户对业务的盗用或干扰。

通过域名解析机制及BAC设备的信令及媒体的全代理功能，对基于公共Internet接入的用户屏蔽软交换、中继媒体网关、综合接入媒体网关、媒体服务器等设备的地址，保护重要的软交换网络设备。

BAC支持访问控制列表（ACL）功能，能够根据源、目的IP地址和端口号设置访问控制规则进行报文过滤；能够针对特定控制协议进行包过滤，阻挡非法设备及未经允许的协议对软交换设备的访问；能进行简单的应用层攻击防护，实现部分代理服务型防火墙功能，具体包括：根据用户注册状态进行消息的处理，对未注册用户发送的非注册消息进行丢弃处理；对注册鉴权失败的用户终端建立监视列表，当失败的注册尝试达到一定的频率则采取相应措施；设置IP地址/端口允许的正常信令消息流量值，当1分钟内收到同一源IP和端口的消息超过该值时，将该地址/端口列入黑名单并采取相应措施。

具备根据业务需要、用户安全需求和运营需求屏蔽通信对方地址的能力。

为配合安全的软交换网络的实施，各设备需要进行相应的改进，如支持多个网段，可以通过提供多个分离的物理端口或在一个物理端口上支持多个VLAN的方式实现；对媒体端口进行动态开闭管理；能进行最小化端口设置；面向用户的服务可采取由Web或Portal面对用户，进行业务代理方式来降低风险；设备需要专门的软/硬件平台设计等。

QoS问题的解决

目前的IP网络技术还不能彻底地解决QoS问题，在现有的公共IP网络上还不能为软交换网络提供大规模地有QoS保障的承载服务。本方案将采用专用网络+BAC的信令媒体全代理功能对QoS问题进行一定程度的解决。

专用网络组网可以采用专线、专用IP网、MPLSVPN等方式，MPLSVPN方式要提供QoS保障，仍然需要全IP网络设备的支持，而目前的IP网络还不能全程全网地提供QoS。专线和专用IP网方式可以通过网络流量预测和规划，按软交换业务需求组织网络，由于专网专用，使用过程中容易掌握业务流量和流向的变化，可以及时调整网络，通过与软交换设备呼叫数控制功能结合，可以有效解决