文/刘臣平

移动LTE背景介绍

LTE（Long Term Evolution，长期演进）是3G的演进，被视为3G到4G演进的主要技术。LTE并非人们普遍误解的4G技术，而是3G与4G技术的一个过渡，是3.9G的全球标准。它改进并增强了3G的空中接入技术，采用OFDM和MIMO作为其无线网络演进的较少标准。在20MHz的频谱带宽下能提供下行100Mbps和上行50Mbps峰值速率。

中国移动TD-LTE核心网局点目前承载基本只有分组域业务，电路域业务依旧由原2G/TD网络承载。

LTE拟承载业务包括：

Ø 中高速承类载数据业务；

Ø 现网PS域业务：WAP、无线游戏、音乐下载等；

Ø TD-LTE高宽带演示业务：即摄即传、标清视频监控等。

移动LTE流量模型介绍

中国移动TD-LTE核心网中流量主要分为Gn和Gi两种。对于两种流量一般分别设置两组防火墙分别承载接入CMNET出口路由器。

其中，Gn流量主要为本地SGSN访问其他局点SGSN流量，用于请求漫游客户终端注册信息，由Gn防火墙做NAT后经CMNET至其他局点。

Gi流量主要分为两个部分，一部分为直接访问CMNET的流量，一部分为访问LTE业务的流量，两种流量通过手机终端的APN接入点不同，分别分配不同地址池的私网地址。

访问CMNET流量在Gi防火墙上做NAT后访问CMNET，访问LTE流量在GGSN上封装入GRE隧道，Gi防火墙直接转发，通过CMNET至LTEGRE路由器上解封装后访问WAP业务服务器。

在TD-LTE网络中，基本流量走向有两种，本地用户和漫游用户。

本地用户上网流量由终端至eNodeB（LTE无线基站）经PTN网络至SGSN，通过Gn链路到达GGSN，在GGSN上分为WAP流量和CMNET流量，WAP流量封装GRE隧道经防火墙、CMNET至LTE系统经过解封装至WAP服务器。CMNET流量由防火墙做NAT访问CMNET。

漫游用户上网流量在SGSN之前与本地用户一样，但由于本地SGSN没有漫游用户终端注册信息，需要通过Gn链路经Gn防火墙、CMNET访问其他局点SGSN请求此漫游用户的终端注册信息，当本地SGSN收到漫游用户终端注册信息后，上网流量在到达GGSN，后续访问过程则与本地用户一致。

Gi防火墙与Gn防火墙相比，Gi由于主要是访问CMNET，域间策略相对简单但业务量较大；Gn防火墙需要放通对于其他局点包括国际局点Gn地址，策略较为复杂，在几千条数量级，但业务量相对Gi防火墙较少。

LTE出口防火墙设计

H3C公司提供的防火墙方案，采用vrrp技术，实现双机框高可靠性的部署。同时采用NAT业务单板插卡的方式，实现整机容量的灵活扩容。

因整机容量和商务的不同，目前可以选择的机框有S75E、S95E，以95E为主；目前可以选择的NAT业务插卡有Secblade II、SecbladeIII板卡。

防火墙采用串接方式接入CMNET，下联核心网网交换机。

1、 防火墙与上下行设备物理互联设计

H3C防火墙（Gi和Gn）都是通过VRRP与上下行设备互联，互相启用VRRP，一般情况下，防火墙不提供二层链路，需要上下行设备提供中间二层互联链路，为H3C防火墙提供VRRP心跳线；

2、 Gi防火墙VPN设计

由于进出防火墙流量都需要经过交换机机框，所以需要对于内外网流量做隔离，需要配置VPN完成路由隔离功能，需要配置trust和untrust两个VPN即可。

3、 LTE防火墙冗余设计

Gi防火墙交换机机框上的防火墙插卡成对使用，每一对防火墙插卡分别插在主框和备框的对应槽位上，采用主备模式，正常情况下只有一块防火墙卡在工作状态；

每一对防火墙插卡进行配置同步，正常情况进行防火墙策略维护时，仅需维护主防火墙就可以，备用防火墙配置会自动与主防火墙同步。

每一对防火墙插卡还需进行会话状态同步，在主防火墙故障情况下，备用防火墙替代主用防火墙后不需要重新建立会话。直接依据同步过来的会话进行数据报文转发。

Gn防火墙用F5000的话启用双机热备、会话同步，连好会话配置同步的链路即可。用交换机加插卡方案要求与Gi防火墙相同。

4、 LTE防火墙与CE路由设计

LTE防火墙与CE之间互联启用VRRP，路由互相用静态路由将下一跳设为对方VRRP虚地址，H3C防火墙可配合CE启用BFD联动静态路由，加快CE侧路由倒换速度。

5、 NAT设计

LTE防火墙NAT不需NAT444，只需普通NAT即可，需要注意的是主备机框上的防火墙板卡为1:1备份，NAT地址池配置除level有区别之外，其他完全一致；

ALG功能：根据现网应用，此种环境下ALG仅需要开启FTP ALG、RTSP ALG和PPTP ALG，其它ALG功能关闭。