4.IP流量的转发管理及防火墙功能

    宽带接入服务器的IP流量转发管理主要是根据不同用户的实际权限向用户提供相应的接入能力，在一定程度上完成IP防火墙的功能，实现内部网络安全。IP的流量转发管理在很大程度上是与宽带接入服务器的VPN和业务选择相捆绑，与上层骨干边缘路由器相配合，灵活有效地实现对各种业务类型的IP分离。在技术实现上，该功能可以通过自身IP包过滤（IP Filter），针对不同业务灵活分配IP地址段和网络侧NAT（网络地址翻译）来实现。同时，从网络安全的角度出发，宽带接入服务器还应该提供防IP攻击和IP欺骗的功能。

    对于IP过滤技术，系统在完成用户接入的同时根据用户选择的业务类型指定相应的IP过滤策略，向不同权限的用户进行三、四层的数据包过滤。这样既实现了业务的需要，又可以有效地限制用户的访问权限，实现与相应业务的捆绑。这一功能的实现由宽带接入服务器内部独立完成，不需要上层路由器的配合。

    对于接入用户IP地址的分配，宽带接入服务器通过与后台RADIUS服务器的配合，由宽带接入服务器、后台RADIUS服务器，甚至还可以由挂接在接入服务器上的DHCP server来实现用户固定地址和动态地址的分配。在这种方式下，要实现IP流量转发控制，一方面可以通过在宽带接入服务器上对不同的IP地址段设置不同的路由转发策略来实现；另一方面也可以由上层路由器通过IP包的解析，对不同的IP源、目的地址进行过滤或选路由，来限制不同用户的接入能力。

    对于NAT技术的引入，一方面它可以充分利用专网地址，缓解公网IP地址资源有限的压力。另一方面，NAT通过IP流量的单向转发处理，实现用户内部的网络安全。

五、宽带接入服务器组网应用

    宽带接入服务器主要是为了适应当前各种DSL接入应用要求，尤其是ADSL接入的应用要求。目前ADSL接入都是基于ATM网络平台，是ATM的ADSL。但是，目前的网络架构以纯IP网居多且规模较大。同时，对于ATM技术的争论仍是业界讨论的焦点。ATM网络的进一步扩大有一定的困难，实现ADSL直接IP接入的要求有现实意义。另一方面，随着接入侧接入网设备集成度的提高，在一个上连的接入网络单元（如DSLAM），往往能够挂接成百上千个实际用户。对于这样的网络分布和如此多的单点上连用户，将宽带接入服务器由集中式接入转为分散接入，也是一种理想的选择。甚至可以在接入侧将其与边缘接入设备直接集成，直接接入网络的IP一体化。这种组网方案不仅有利于宽带接入服务器自身设备的简化，易于实现用户的QoS，而且，将接入用户数据IP化后直接汇聚入边缘路由器，易于完成与现有IP网络的融合，还节省了在网络接入侧和边缘侧的网络传输设备和传输通道。应该说，这样的宽带接入服务器价格低廉，设计简单，往往捆绑作为接入设备的一部分直接使用。但功能相对简单，网络的伸缩性和扩展性较差。采用这种组网方案对于接入业务单一的网络来讲是可行的，但用于业务复杂的网络就显得有些力不从心。从目前实际的业务导向上，高速上网成为目前宽带接入网络的主流业务，业务类型单一而且附加业务较少，在这样的现状下采用分散接入有一定的优势。

    从全网来看，宽带接入服务器既是全网接入业务的单一汇聚点，又是用户业务流量的统一转发点。在这个特殊的网络点，如果它能与其他专用网络设备实现联合组网应用，就能够大大提高网络总体性能和用户的实际接入速度。可以想象，对于Internet业务将宽带接入服务器直接挂接在专用Cache和四层交换机上。这样，对于用户频繁访问的信息就可以通过四层交换机过滤直接从专用Cache上高速获取，从而直接旁路了大量的用户数据流，减少许多重复的、不必要的网络流量，大大降低了骨干网络负荷，提高了网络的利用率，具有很高的应用价值。

    宽带接入服务器在性能上的提高集中表现在接入处理能力方面、交换容量方面和接口带宽、密度方面。下一代大型宽带接入服务器的系统性能要求达到：

    ①交换容量至少40G；

    ②同时支持的PPP呼叫数目达到20k；

    ③可配置用户数达到100k；