關(guān)于寬帶IP城域網(wǎng)認證計費方式的探討

　　我們已進(jìn)入寬帶時(shí)代，寬帶網(wǎng)的認證和計費至關(guān)重要，也是一個(gè)頗有爭議的問(wèn)題。寬帶網(wǎng)應該如何進(jìn)行認證計費呢？

　　應該說(shuō)，認證和計費是電信網(wǎng)的兩個(gè)有關(guān)聯(lián)的環(huán)節，除了采用包月制計費方式、不依賴(lài)于認證外，一般來(lái)說(shuō)，其它計費方式都和認證有關(guān)，也就是說(shuō)，只有正確可靠地把用戶(hù)識別出來(lái)，正確無(wú)誤的計費才能得到保證。這就要求，認證應當具有不可更改性和不可抵賴(lài)性。

1 寬帶網(wǎng)和電話(huà)網(wǎng)有何不同？ 

　　我們首先看一看寬帶網(wǎng)和窄帶網(wǎng)有何不同。窄帶網(wǎng)包含了窄帶撥號網(wǎng)和窄帶專(zhuān)線(xiàn)網(wǎng)，寬帶網(wǎng)無(wú)論使用ADSL或LAN進(jìn)行接入，本質(zhì)上都是專(zhuān)線(xiàn)網(wǎng)，也就是說(shuō)，每個(gè)用戶(hù)都占用局方的一個(gè)端口，這端口歸該用戶(hù)使用，該用戶(hù)不用，其它用戶(hù)也無(wú)法使用。因此專(zhuān)線(xiàn)網(wǎng)中按時(shí)長(cháng)計費是不合理的。 

　　可以設想一下，如果因為某種原因某些用戶(hù)安裝了寬帶卻不使用(目前我們撥號用戶(hù)中的零次用戶(hù)高達50%～60%)，那么我們巨大的寬帶網(wǎng)的投資何時(shí)能收回呢？ 

　　這一點(diǎn)和電話(huà)撥號網(wǎng)有本質(zhì)的不同。電話(huà)撥號網(wǎng)通常按10~15比1(電話(huà)用戶(hù)/撥號服務(wù)器端口)的比例配備撥號服務(wù)器，某一用戶(hù)占用了撥號服務(wù)器的端口，其它用戶(hù)就無(wú)法使用。同時(shí)電話(huà)網(wǎng)是基于電路交換的網(wǎng)絡(luò )，一旦某一用戶(hù)上了網(wǎng)，即便沒(méi)有流量(如該用戶(hù)在寫(xiě)E-mail)，他也占用了電話(huà)中繼和電話(huà)交換機的資源，因此電話(huà)撥號網(wǎng)按時(shí)長(cháng)計費是合理的。但寬帶IP網(wǎng)不是這樣，從用戶(hù)端開(kāi)始就是基于分組交換，當用戶(hù)無(wú)流量時(shí)，他不占用IP交換機的資源，除已永久分配給他的端口之外。 

2 寬帶網(wǎng)應該如何計費？ 

　　一般說(shuō)來(lái)，寬帶用戶(hù)費中包括兩部分比較合理，即端口月租費和實(shí)際的流量費。實(shí)際的流量在某種程度上反映了對網(wǎng)絡(luò )資源的占用。 但遺憾的是，在目前的技術(shù)條件下，很難在IP公網(wǎng)上把某一個(gè)用戶(hù)真正使用的實(shí)際流量精確地計算出來(lái)。 

　　這是由于以下原因：用戶(hù)接入端口的流量包含網(wǎng)絡(luò )上的廣播流量；由于TCP/IP的特性所致，當網(wǎng)絡(luò )上出現擁塞、丟包等，TCP/IP就會(huì )自動(dòng)地把文件重發(fā)，這樣用戶(hù)就會(huì )感到，他們傳送的文件大小并沒(méi)有發(fā)生變化，但實(shí)測出來(lái)的流量會(huì )大于他們的文件的大小，并且會(huì )隨著(zhù)網(wǎng)絡(luò )情況的不同而不同。實(shí)際上我們經(jīng)常碰到用戶(hù)這樣的投訴：我們每月傳送的數據沒(méi)有大的變化，但為什么資費會(huì )不一樣呢? 

　　為了減少不必要的資費糾紛，浙江省大部分用專(zhuān)線(xiàn)接入163網(wǎng)的用戶(hù)已改為包月制。 

　　由于上述原因，在目前的技術(shù)條件下，不宜采用流量計費的方法。 

3 寬帶網(wǎng)需要認證什么？ 

　　由于電話(huà)網(wǎng)中只要用戶(hù)一撥號，交換機就記錄下用戶(hù)的電話(huà)號碼，通過(guò)電話(huà)號碼就能確定用戶(hù)在何處上的網(wǎng)。RADIUS認證用戶(hù)的password，軟件把用戶(hù)名、口令和電話(huà)號碼及上網(wǎng)時(shí)長(cháng)記錄下來(lái)，即可作為收費的法律依據。這是因為電話(huà)號碼一經(jīng)確定，用戶(hù)不能更改，也無(wú)法抵賴(lài)，也就具有了法律效力。一旦發(fā)生話(huà)費糾紛，這一法律依據是極為重要的。  {{分頁(yè)}}

　　在寬帶網(wǎng)中，特別是LAN這種接入方式中，沒(méi)有了電話(huà)號碼這種用戶(hù)不能更改、也無(wú)法抵賴(lài)的依據。因此如果要在寬帶網(wǎng)上做認證的話(huà)，那么一定要對某種用戶(hù)不能更改，也無(wú)法抵賴(lài)的特征做認證。如果僅僅對用戶(hù)名和口令做認證，是不夠的。 

　　根據以往用戶(hù)和電信局發(fā)生的資費糾紛來(lái)看，大致有幾種情況：有戶(hù)使用了，但自己感覺(jué)沒(méi)用那么多；別人盜用；電信局的計費系統有缺陷。無(wú)論何種情況，都需要我們有確實(shí)的證據，證明用戶(hù)何時(shí)在何處上的網(wǎng)。但是，目前流行的PPPoE方法，大多數廠(chǎng)家的軟件產(chǎn)品都僅對用戶(hù)名和口令進(jìn)行認證，而無(wú)法確定用戶(hù)在何處上的網(wǎng)。 

　　目前有的廠(chǎng)商利用DHCP+SERVER，對用戶(hù)的VLAN ID及IP地址、MAC地址等進(jìn)行綁定，從而能確定用戶(hù)在何處上的網(wǎng)。 

　　DHCP+ 的認證過(guò)程如下：DHCP 用戶(hù)通過(guò)廣播找到DHCP服務(wù)器，從回應的多個(gè)DHCP服務(wù)器中選一個(gè)提出申請，該服務(wù)器接受之后，通過(guò)認證用戶(hù)的有關(guān)信息，確認是合法用戶(hù)之后，就把相關(guān)參數，如ＩＰ地址、ＤＮＳ服務(wù)器、子網(wǎng)掩碼、網(wǎng)關(guān)的地址等傳送給用戶(hù)。用戶(hù)得到這些參數之后，就能直接進(jìn)入Internet網(wǎng)進(jìn)行通信，而所有的通信流無(wú)需經(jīng)過(guò)ＤＨＣＰ服務(wù)器。 

　　在這種方式下，用戶(hù)的流量可以分散到許多條路徑，互相進(jìn)行交換或流向Internet網(wǎng)，不存在瓶頸。而PPPoE的方式下，用戶(hù)的流量必須經(jīng)過(guò)寬帶接入服務(wù)器，數千甚至數萬(wàn)用戶(hù)的流量全通過(guò)一個(gè)設備(即寬帶接入服務(wù)器)進(jìn)行交換，或通向Internet網(wǎng)。當流量很大時(shí)寬帶接入服務(wù)器很容易成為瓶頸，因為寬帶接入服務(wù)器除了要完成普通路由器和交換機的功能外，還要做很多的工作，如對每個(gè)用戶(hù)(不是每個(gè)端口，一個(gè)端上有很多的用戶(hù))流量進(jìn)行監控，有些工作還必須由軟件完成，如對用戶(hù)的認證。 

4 兩種認證技術(shù)的主要區別 

　　PPPoE接入設備要同Host(主機)在同一個(gè)二層內，以便Host通過(guò)廣播發(fā)現PPPoE接入設備。通過(guò)中繼代理，DHCP可以跨三層。 

　　PPPoE接入設備是通信必經(jīng)的Next Hop，即使是在PPPoE撥號認證成功后。DHCP+ Server只是在獲得IP配置信息階段起作用，以后的通信完全不經(jīng)過(guò)它。這是很根本的一個(gè)區別，下面的許多差異都是由此產(chǎn)生的。 

　　PPPoE接入設備如果性能不好，負擔又沉重，則很可能成為接入的瓶頸。DHCP+ Server由于只用于配置信息獲取階段，所以基本上不會(huì )成為瓶頸。 

　　在計費上，PPPoE既可以計時(shí)，也可以計流量。DHCP+只能計時(shí)(如需計流量則必須在用戶(hù)接入處配備能計流量的交換機)。 

　　PPPoE可以對用戶(hù)通信進(jìn)行速率限制(Rate-Limit)，且很多設備可做到上、下行不對稱(chēng)。DHCP+不能提供此功能。 

　　有些PPPoE設備不支持VLAN，這會(huì )對某些應用構成一定的限制。DHCP+不存在這個(gè)問(wèn)題。 

　　PPPoE可方便地提供動(dòng)態(tài)業(yè)務(wù)選擇特性(嚴格地說(shuō)，這和PPPoE本身并沒(méi)有什么關(guān)系，但多和PPPoE同時(shí)應用)。  {{分頁(yè)}}

　　PPPoE設備可針對特定用戶(hù)設置ACL(訪(fǎng)問(wèn)列表)過(guò)濾或防火墻功能。DHCP+不能做到。PPPoE可以防止地址沖突和地址盜用。DHCP+不能解決這個(gè)問(wèn)題。 

　　在運行Multicast(多播)應用時(shí)，由于PPPoE的點(diǎn)對點(diǎn)特性，即使幾個(gè)Host同屬于一個(gè)多播組，也要為每個(gè)Host單獨復制一份數據流。DHCP+不存在此問(wèn)題。 

　　值得一提的是，目前技術(shù)發(fā)展很快，如基于DHCP的Web認證方式免去了在用戶(hù)終端上安裝軟件，從而大大減少了安裝和維護的工作量。 

5 接入認證能代替應用認證嗎? 

　　寬帶網(wǎng)上今后肯定會(huì )有很多的應用，中國電信作為一個(gè)ISP， 在用戶(hù)接入Internet時(shí)，所做的認證能取代Internet網(wǎng)上的各個(gè)應用的認證嗎? 答案顯然是否定的，這是因為: 

(1) 作為一個(gè)應用，當它期望通過(guò)收費獲得收益，必然要面向廣大的群眾，當它連結在Internet網(wǎng)上時(shí)，用戶(hù)可以各種方式，通過(guò)各個(gè)不同的ISP進(jìn)入Internet，因此各種應用勢必需要在它自己的網(wǎng)頁(yè)入口處進(jìn)行認證才行，僅僅依靠中國電信的某省(中國電信的Internet認證以省為單位)的接入處所做的認證顯然是不夠的，就像一個(gè)公園有很多的入口，僅對某一個(gè)入口的游客進(jìn)行認證和計費，顯然是不合理的。 

(2) 各種應用本身有各種不同的需求，作為一個(gè)ISP的接入認證是很難滿(mǎn)足這些千差萬(wàn)別的要求的，例如，我們和某高校討論建立高教網(wǎng)站時(shí)，他們提出，他們的網(wǎng)絡(luò )遠程教育包括學(xué)位教育、非學(xué)位教育、普通培訓等，各種教育中分不同的專(zhuān)業(yè)、不同的課程其收費標準均不相同，這么復雜的應用，作為一個(gè)ISP的接入認證根本就無(wú)法滿(mǎn)足他們的要求。 

6 小結 

　　寬帶IP城域網(wǎng)的建設正在我國興起，如何進(jìn)行計費和認證是大家所關(guān)注的焦點(diǎn)。由于寬帶IP城域網(wǎng)的建設剛剛起步，計費和認證的協(xié)議，硬件和軟件都不太成熟。在我們建設的初期，采用包月制或許是比較合適的方法。