EPON上行e家終端邏輯標識認證要求的開發(fā)090 915
EPON上行e家終端邏輯標識認證要求的開發(fā)
2009.9.15
一、e家終端技術(shù)規(guī)范的相關(guān)要求
1.1.1 設(shè)備注冊認證功能
對于EPON上行的e家終端，必須支持向OLT進行設(shè)備注冊，注冊流程參見《中國電信EPON設(shè)備技術(shù)要求》，EPON上行e家終端在采用了基于邏輯標識的認證方式向OLT注冊時，在首次OLT注冊認證成功并連接到ITMS后需自動觸發(fā)基于邏輯ID設(shè)備首次認證流程。
a) ONU邏輯標識的配置(僅針對EPON上行e家終端，電信維護人員和e家終端用戶都具有該操作權(quán)限)
對EPON上行e家終端，必須支持ONU邏輯標識(LOID+Password，具體要求參見《中國電信EPON設(shè)備技術(shù)要求》)設(shè)置，并將LOID、Password的值分別賦給ITMS管理參數(shù)InternetGatewayDevice.X_CT-COM_UserInfo.UserName和InternetGateway-Device.X_CT-COM_UserInfo.UserId。
本地恢復出廠設(shè)置時，e家終端(e8)必須具備保留關(guān)鍵參數(shù)能力，各參數(shù)值以最后保存配置的為準，恢復出廠設(shè)置后第一次Inform上報不發(fā)”0 boot”。關(guān)鍵參數(shù)包括:
— ITMS URL
— e家終端(e8)和ITMS間雙向Digest認證用戶名/密碼信息，
— 電信維護賬號的用戶名/密碼
— TR069 使用的WAN連接及綁定關(guān)系(包含PVC/VLAN、綁定、路由等設(shè)置)
— 其他WAN連接相關(guān)配置(包含PVC/VLAN、LAN/WLAN綁定關(guān)系、橋接/路由等設(shè)置、PPPoE用戶名/密碼)
— 接入用戶數(shù)相關(guān)參數(shù)
— SSID,2,SSID,4相關(guān)參數(shù)
— SIP PROXY域名、IP地址、端口號、用戶賬號、密碼(適用于e家終端e8-C形態(tài))
— 端口映射相關(guān)參數(shù)
— 設(shè)備認證狀態(tài)(InternetGatewayDevice. X_CT-COM_ UserInfo.Times、InternetGatewayDevice. X_CT-COM_ UserInfo.Limit、InternetGateway-Device. X_CT-COM_
UserInfo.Status、InternetGatewayDevice. X_CT-COM_ UserInfo.Result)
— ONU邏輯標識(僅針對EPON上行e家終端)
遠程恢復出廠設(shè)置必須具備保留關(guān)鍵參數(shù)能力(各關(guān)鍵參數(shù)值以最后保存配置的為準)，其余配置必須恢復成出廠預配置，關(guān)鍵參數(shù)包括:
— ONU邏輯標識(僅針對EPON上行e家終端)
遠程恢復出廠設(shè)置后e家終端(e8)第一次Inform上報必須發(fā)”0 boot”。
二、GUI的相關(guān)要求
三、附參考資料:《中國電信EPON設(shè)備技術(shù)要求》的相關(guān)內(nèi)容
1.2 ONU認證功能
EPON系統(tǒng)應支持三種ONU認證方式:
1) 基于物理標識的認證:采用ONU的物理標識(在EPON系統(tǒng)中，物理標識為ONU
的MAC地址)作為認證標識的認證方法，具體實現(xiàn)見11.4.1節(jié);
2) 基于邏輯標識的認證:采用ONU的邏輯標識作為認證標識的認證方法，邏輯標識采
用LOID+Password。具體實現(xiàn)見11.4.2節(jié);
3) 混合模式:這種模式下可以實現(xiàn)基于物理地址進行認證的ONU和基于邏輯標識的
ONU認證方式的兼容，OLT針對不同的ONU采用上述兩種認證方式中的一種。這種模式下，OLT先基于ONU的MAC地址進行認證，在認證不通過時，OLT會發(fā)起對該ONU的基于邏輯標識的認證，具體實現(xiàn)見11.4.3節(jié)。
在EPON系統(tǒng)中，對每個ONU的具體認證模式由OLT選擇并發(fā)起相應的認證。OLT的ONU認證模式應可配置。缺省情況下，OLT以混合模式對其下面的ONU進行認證。
OLT應支持PON接口與ONU之間的綁定功能，即特定物理標識或者邏輯標識的ONU只能在特定的PON口上注冊。 1.2.1 基于MAC地址的認證
OLT應支持基于ONU的MAC地址對ONU合法性進行認證的能力，應拒絕非法ONU的接入。OLT應支持對該功能的開啟和關(guān)閉配置。對于已被拒絕注冊的ONU，應采用11.5節(jié)規(guī)定的靜默機制。
1.2.2 基于邏輯標識的ONU認證
在EPON系統(tǒng)中，為實現(xiàn)靈活的、便于維護的ONU認證方法，本規(guī)范定義了一種基于邏輯標識的ONU認證方法，邏輯標識包括LOID(LOID――Logical ONU ID)和Password兩部分，其中Password用戶對LOID的校驗。對于已被拒絕注冊的ONU，應采用11.5節(jié)規(guī)定的靜默機制。
OLT及網(wǎng)管系統(tǒng)應支持基于邏輯標識的ONU認證時有二種處理方式:僅判斷LOID、同時判斷LOID+Password，并且可靈活配置。
ONU應能本地保存邏輯標識(LOID和password)，當ONU恢復出廠配置后，ONU不會刪除該邏輯標識信息。
1.2.2.1 基于邏輯標識的ONU認證流程
在基于邏輯標識的ONU認證系統(tǒng)中，ONU上存儲著用于認證的邏輯標識LOID+Password，其主機(Host)執(zhí)行Supplicant功能，向OLT上報其LOID和Password。OLT執(zhí)行Authenticator功能。在OLT主機或者EMS服務器中存儲所有ONU的邏輯標識(即LOID和Password)。OLT發(fā)起對ONU的認證并對ONU上報的LOID和Password進行校驗，然后根據(jù)校驗的結(jié)果控制ONU的接入。
在基于邏輯標識的ONU認證系統(tǒng)中，ONU的認證狀態(tài)決定了ONU是否能接入網(wǎng)絡(luò)，在啟用基于邏輯標識的ONU認證時ONU的初始認證狀態(tài)一般為非授權(quán)(unauthorized)狀態(tài)，在該狀態(tài)下，除MPCP報文、OAM發(fā)現(xiàn)與攪動密鑰更新以及ONU基本信息查詢OAM報文、ONU認證報文外OLT不允許來自該ONU的任何數(shù)據(jù)輸入、輸出通訊(OLT對接受到的來自該ONU的數(shù)據(jù)報文進行丟棄處理)。當ONU通過基于邏輯標識的ONU認證后，則該ONU的認證狀態(tài)切換到授權(quán)狀態(tài)(authorized)，在該狀態(tài)下OLT允許ONU進行正常通訊。
基于邏輯標識的ONU認證流程如圖32(a)和32(b)(分別為認證成功和失敗的情況)所示。
一般情況下，OLT通過向ONU發(fā)送Auth_Request消息發(fā)起對ONU的認證。ONU收到該消息后向OLT發(fā)送Auth_Response消息，該消息包含其邏輯標識(LOID和Password)。OLT對該ONU的邏輯標識的合法性和正確性進行驗證。如果驗證通過，則向ONU發(fā)送Auth_Sucess消息并將該ONU的認證狀態(tài)切換為“授權(quán)(authorized)”狀態(tài)。如果ONU認證失敗，則OLT向ONU發(fā)送Auth_Failure消息，并保持該ONU處于unauthorized狀態(tài)，然后向ONU發(fā)送Register消息(Flag,0x02:Deregister)使ONU解注冊。ONU收到Auth_Failure消息后通過OAMPDU.indication原語通知高層。ONU在收到Deregister消息后應通過MACI(REGISTER，status ?deregistered)通知高層并轉(zhuǎn)移到Wait狀態(tài)。在ONU高層在收到該消息后，將啟動一個定時器RegTmr，該定時器表示啟動下一次注冊過程的時延Ts。在定時器RegTmr未超時之前，ONU高層不會發(fā)出MACR (DA, REGISTER_REQ, STATUS<=>
REIGSTER)命令;Ts的值暫定為60s;在ONU高層未發(fā)出MACR (DA, REGISTER_REQ,
STATUS<=>命令之前，ONU保持在WAIT狀態(tài)。當定時器RegTmr超時后，ONU高層將發(fā)出MACR (DA, REGISTER_REQ, STATUS<=>命令，ONU將從WAIT狀態(tài)轉(zhuǎn)移到REGISTERING狀態(tài)，并等待OLT發(fā)出的DISCOVERY GATE消息。當下一個發(fā)現(xiàn)窗口打開時，ONU將發(fā)送REGISTER_REQ消息以實現(xiàn)MPCP注冊。當MPCP完成后進行OAM發(fā)現(xiàn)并隨后進行基于邏輯標識的ONU認證過程。
Supplicant
(ONU)Authenticator(OLT)
圖 32(a)基于邏輯標識的ONU認證的流程(認證成功)
Supplicant
(ONU)Authenticator(OLT)
圖32(b) 基于邏輯標識的ONU認證的流程(認證失敗)
當ONU的邏輯標識中的任何一個字段被修改或者通過ONU本地管理界面配置其“重啟動基于邏輯標識的ONU認證”后，ONU軟件重啟動后ONU重新認證。此后的過程與OLT發(fā)起的認證過程相同，如圖33所示。
Supplicant
(ONU)
Authenticator(OLT)
圖33 ONU發(fā)起基于邏輯標識的ONU認證的流程
OLT和ONU之間通過本標準定義的基于擴展OAM的ONU認證消息進行通訊。本規(guī)范僅規(guī)定OLT和ONU之間的認證協(xié)議，對于OLT與OLT主機或網(wǎng)管服務器之間進行ONU+Password校驗的通訊協(xié)議不在本標準范圍內(nèi)。
如果出現(xiàn)兩個ONU認證時使用的LOID和Password沖突，則先通過認證的ONU正常使用，后發(fā)起認證的ONU被拒絕，發(fā)送認證失敗Auth_Failure消息，且Failure_Type,0x03，同時，OLT應向網(wǎng)管上報告警。
此外，對于基于邏輯標識的ONU認證失敗事件，OLT應記錄并上報網(wǎng)元管理系統(tǒng)。
1.2.2.2 基于邏輯標識的ONU認證消息
如6.5.3.2節(jié)規(guī)定，用于基于邏輯標識的ONU認證的OAM消息采用值為“0x05”的擴展的操作碼(Ext. Opcode)。具體消息格式如圖34所示。
Octets
6
6
2
1
2
1
3
1
1
2
X
Y
4
圖34 用于基于邏輯標識的ONU認證的OAMPDU格式
圖中Auth_Code字段(長度為1字節(jié))表示具體的ONU認證操作。包括如下4種操作類型:
——認證請求(Auth_Request):值為0x01，由OLT向ONU發(fā)出，以請求ONU上報其LOID和Password;
——認證響應(Auth_Response):值為0x02，作為ONU對OLT發(fā)來的Auth_Request報文的響應，向OLT上報其LOID和Password;
——認證成功(Auth_Sucess):值為0x03，由OLT向ONU發(fā)出，表明該ONU已經(jīng)通過認證;
——認證失敗(Auth_Failure):值為0x04，由OLT向ONU發(fā)出，表明該ONU認證失敗。
Length of Authentication Data字段(長度為2字節(jié))表示其后面的Authentication Data字段的長度，單位為字節(jié)。
Authentication Data字段(其長度和內(nèi)容取決于Auth_Code)為具體的數(shù)據(jù)，具體規(guī)定如下:
1) 認證請求報文(Auth_Request):
Auth_Request報文的Authentication Data字段包括Auth_Type字段，長度為1字節(jié)。Auth_Type字段表示認證類型。在Auth_Request報文中Auth_Type默認取值為0x01:表示LOID+Password方式，即要求ONU在Auth_Response報文上報其LOID和Password;其他取值保留作為擴展。
2) 認證響應(Auth_Response):
Auth_Response報文的Authentication Data字段包括Auth_Type字段(長度為1字節(jié))和Auth_Type_Data字段(長度可變)。
Auth_Type字段表示認證類型。目前，在Auth_Request報文中Auth_Type有2個取值:取值為0x01時的定義與Auth_Request報文中的定義相同;取值為0x02時表示ONU不支持或
不能接受Auth_Request消息中請求的認證類型(Auth_Type)，即Nak(這個取值僅對Auth_Response有意義，即Auth_Response Only);其他取值保留。
當Auth_Type,0x01時，Auth_Response報文中的Auth_Type_Data字段包含24字節(jié)的LOID和12字節(jié)的Password。實際的LOID和Password(不包含為補足24/12字節(jié)而填充的“0”)均不應以“0”開始，可以以“0”結(jié)束。LOID和Password均以ASCII碼表示。這種情況下的Auth_Response報文及Auth_Type_Data字段的格式如圖 35(a)所示。如果LOID/Password的實際長度小于24字節(jié)/12字節(jié)，則在實際的ONU_ID/Password前面填“0”以補足24字節(jié)/12字節(jié)。
當Auth_Type,0x02時，Auth_Response報文中的Auth_Type_Data字段包含長度為一個字節(jié)的Desired Auth_Type，該字段表示ONU希望采用的認證類型(當前的缺省值為0x01，表示希望采用的認證類型為LOID+Password方式，因為暫時沒有其他認證類型)。這種情況下
聯(lián)系客服
