(1)為防止受到黑客或病毒程序的攻擊或干擾，NGN承載網必須與互聯網進行物理或邏輯隔離，與互聯網的互通必須通過安全設備(如防火墻)實現，不能直接接入。

　　(2)NGN用戶或設備的接入需要經過身份認證才可以接入NGN網絡，避免非法用戶和非法報文進入NGN網絡。只有當用戶的身份得到確認，才可以進行事后審計與追蹤，有效地防止了用戶側的網絡攻擊行為。

　　通過以上措施可以基本消除來自其它網絡和NGN用戶方面的安全隱患，但還要采取安全手段來保證NGN內部網絡的安全。軟交換、網關、服務器等NGN核心網絡設備在IP網中的地位類似于網絡主機設備，因此要求這些設備應具備數據網中主機設備所具有的安全規格，可以應用防火墻、入侵檢測、流量控制、安全日志與審計等技術實現對NGN核心網絡設備的安全防護。對于一些對安全級別要求較高的用戶還可以采用加密技術對信令和數據進行加密保護。網管系統對各網元設備設置不同級別的管理員權限，使用戶不能越級對設備進行操作。

　　考慮到NGN承載網承載的都是電信級的業務，必須對網絡的可靠性進行充分的考慮。單臺數據設備支持關鍵部件及單板的備份以及多個設備之間負載分擔及冗余備份，如VRRP的方式保證網絡的安全性與可靠性;在組網上可以考慮MPLSFRR和OSPF多條同等開銷路徑，當鏈路失效時具有高效的切換機制保證所有業務的不中斷。

　　4NGN承載網建設方案

　　4.1NGN承載網的建設思路

　　(1)IP公網解決方案。所有NGN網元的IP地址與Internet其他網元統一規劃;除了IAD設備比較多外，NGN設備容量一般較大，設備間通訊業務對公網IP地址需求量不大，無須私有地址分配及隨之帶來的應用層NAT互通問題;可以快速部署。由于沒有VPN隔離的安全保障，NGN網絡設備的安全性完全依賴于防火墻的保護，安全性風險較大，不要求路由器必須支持IP/MPLSVPN能力。QoS問題很難解決，可以通過采用DiffServ部分解決。

　　(2)VPN解決方案。地址與互聯網地址隔離，單獨規劃。QoS主要采用DiffServ技術，使用成熟的帶寬管理技術，如優先級調度、CAR等來保證QoS。采用層次化組網和跨域VPN技術支撐NGN的規模部署。通過VPN，VLAN等技術實現NGN承載網的隔離，通過媒體防火墻等技術實現網絡隔離、受控接入和保證安全。優先采用SDH，MSTP，VRRP和FRR等技術提高網絡的可靠性，減少業務中斷的時間，提高網絡的可用性;盡量利用現有網絡和設備，提供多樣化的接入手段，可以在現有網絡上部署，不引入新的網絡協議，方案具有普遍的適用性，部署比較容易。

　　(3)新建IP專網解決方案。通過物理隔離保證安全性，過量帶寬建設和DiffServ保證QoS，簡化建網需要考慮的問題，有利于快速建網。通過防火墻與IP公網互通，實現來自與不可信任區的業務呼叫。專網IP地址可以規劃為公用地址，也可規劃為私有地址。規劃為私有地址時，將來與Internet互通時需要NAT轉換，網絡建設投資較大。

　　根據以上的比較，并結合我們的具體情況，給出一種NGN承載網的建設思路：構建NGN物理/邏輯混合專網。共分為三個層次，骨干層、核心/匯聚層、接入層。骨干網采用MPLSVPN，使用DiffServ技術，將NGNVPN的LSP優先級設置為最高，城域網內核心及匯聚層設備根據具體情況采用專用或共用(二層VLAN隔離)設備，對于共用設備的情況也使用DiffServ技術，而接入層則必須識別NGN業務并對NGNVLAN進行優先轉發。

　　安全方面，通過VPN，VLAN等技術實現NGN承載網與互聯網的隔離，但NGN業務必須考慮由公網/它網接入的情況，對于這些“非信任”的流量，必須設置媒體防火墻，實現網絡隔離、受控接入和保證安全。考慮到信令的穿透，這些防火墻也同時起著信令代理的作用。

　　考慮到目前NGN的網絡建設、業務發展都還沒有經濟、可靠、成熟的模式可以遵循，那么就有必要對現階段NGN的業務進行定位，業務的定位考慮到網絡的能力，而網絡的建設也符合業務的發展模式。根據以上思路，確定目前的NGN業務定位于提供增值業務，服務于網通的寬帶大策略。這個思路的制定，既考慮到了承載網的現狀，也符合電信業務的發展規律。

　　需要說明的是，NGN承載網的方案與NGN系統的部署方案沒有直接關系，NGN系統中各組件的放置位置對承載網是透明的，承載網提供網絡的連接，使得NGN的信令與媒體流暢通無阻實現NGN的業務要求。

　　4.2NGN承載網骨干層/核心/匯聚層建設方案

　　考慮到承載網的重要性及質量要求，骨干層的NGNVPN采用專用PE設備，不與普通MPLSVPN的設備共用，為增加網絡可靠性，可以將互聯網的PE作為NGNPE的備份。考慮到IP骨干網的拓撲結構已經非常健壯而且流量比較小，不會發生擁塞的情況，目前暫不考慮使用MPLS TE及FRR，待骨干網的流量起到一定程度再實施TE。路由方面，對于跨域的連接方式，考慮到MP-EBGP方式無需在不同的自治系統的PE之間建立全連接的LSP，可以有效解決組大網的問題，建議采用這種方案解決跨域問題。對于地址規劃，理論上可以采用任意的IP地址規劃方案，考慮到盡量避免NAT轉換，同時考慮到今后有可能與其它軟交換系統互連，建議核心系統采用公網地址，而接入層設備地址采用私網地址。

　　城域網內，一般建議設置獨立核心設備匯聚NGN業務，上聯至NGN的PE，而對于匯聚層則根據已有設備的實際使用情況確定共用設備還是投資新建設備，對于互聯網業務重點區域、NGN業務發展重點區域、匯聚設備負荷已較重等情況下，建議設置獨立的NGN匯聚設備。圖1所示為NGN承載網的組網模型。

?