電信運營商校園寬帶防私接技術部署策略

吳平 喬陽

【摘要】校園寬帶由于用戶群體數量大、用戶業務穩定，一直為運營商視為重點運營區域。由于學生用戶無主要收入來源，因此一個賬號拖N個終端情況嚴重，給運營商造成比較大經濟損失。因此本文結合校園寬帶網絡特點和四種防私接技術的部署影響，依據校園網的進線方式、寬帶技術等因素，對不同場景下的校園寬帶進行防私接控制提出不同部署策略。

【關鍵詞】校園寬帶;防私接;DPi

1.校園寬帶現狀

校園寬帶由于用戶群體數量大、用戶業務穩定，一直被運營商視為重點運營區域。目前大多高校數寬帶業務都是基于包月或者按照時間計費的形式開展的，且學生用戶無主要收入來源，一個賬號拖N個終端情況嚴重，因此給電信運營商的校園寬帶業務造成了不小的沖擊，不僅給網絡運營帶來一定壓力，而且降低了校園寬帶業務的實際收入，造成潛在收入大量流失。目前校園寬帶采用主要私接的技術有：地址轉換技術（NAT技術），即利用地址轉換設備實現多個私有IP地址共用一個公網IP地址方式實現共享網絡訪問的目的;校園用戶常利用路由器和網關設備，作為NAT設備，實現一個賬號多個終端共享上網。代理軟件技術（Proxy），則是基于應用層，用戶利用特殊的代理軟件為多個終端提供共享上網應用。目前主要有兩種代理形式：HTTP代理和SOCKS代理。HTTP主要應用于HTTP協議，而SOCKS代理則可以支持多種協議。

2.寬帶防私接控制技術

電信運營商當前常用的防私接技術手段主要有：專用客戶端技術、DHCP+Portal認證技術、DPi監控技術和流量計費模式，前三種為技術控制手段、流量計費則屬于業務策略控制手段。下面對著四種技術分別介紹：1）專用客戶端技術，在用戶終端上安裝專用客戶端認證撥號軟件，應用特殊寬帶認證流程，專用客戶端會實時分析出用戶賬號下的客戶端數量，發送至后端管理平臺判斷接入終端數量合法性，以實現防私接控制。這種技術對NAT技術和Proxy均能實現有效控制（如圖1所示）。2）DHCP+PORTAL認證，原理為用戶通過DHCP動態獲取IP地址之后，只能訪問PORTAL網站，并且必須主動地登錄PORTAL服務器通過認證后才獲得Internet的網絡訪問權限。這種方式可以有效防止路由器方式1拖N現象，但是對于代理軟件Proxy則不能阻止。3）DPI監控技術，原理為通過在寬帶匯聚出口部署DPI監控分析設備，通過實時抓取、分析用戶數據包相關的數據屬性等方式，檢查同一賬號下接入終端的數量，配合后端管理平臺，判斷接入終端數量合法性。這種技術對NAT技術和Proxy技術均能有效控制（如圖2所示）。4）流量計費，則是從業務模式入手，對用戶使用的寬帶業務流量進行結算計費，并不關心賬號下接入終端的數量，接入的終端數量越多，使用的流量越多，也就給運營商帶來業務收入越多，這就從源頭防止私接現象。

圖1

圖2

3.防私接部署比較分析

上文描述的四種放私接技術，各自有自己的技術特點和使用場景，運營商需綜合考慮私接需控制的用戶群、業務范圍、放私接效果、成本投入，以及結合市場等多方面因素綜合考慮防私接的部署策略。對于校園寬帶業務，面向的市場對象主要為學生，校園寬帶用戶群體比較大、使用業務用戶穩定;個人沒有收入來源，寬帶資費相對較低;學生寬帶使用時間長、業務平均寬帶流量比較大。因此針對校園寬帶這些特有市場特點，防私接技術部署實施和影響主要如下：

（1）專用客戶端方式

需要引導學生用戶安裝專用客戶端，同時改造運營商認證系統和管理系統，部署方式簡單，工程易實施、防私接效果好、工程成本比較低;但是這種方式易引起用戶抵觸情緒，有客戶流失的風險，且客戶服務和維護工作量大;且對現網絡影響比較大。

（2）DHCP+Portal認證方式

需更改運營商寬帶撥號認證系統，工程實施簡單，工程成本最低，防私接效果較差。這種方式將帶來用戶使用習慣的改變，對Proxy私接方式不能有效阻止。

（3）DPi技術方式

在校園寬帶出口或城域網出口部署獨立DPI設備，實現分析和控制，可以采用集中控制和旁路方式，部署方式相對比較復雜，工程成本高，防私接效果好;這種方式對用戶透明，對業務影響小;易于統一規劃部署，對網絡影響小，安全性好。

（4）流量計費模式

對用戶的上網行為進行精細化的按流量計費，這需要對前端網絡設備進行流量統計改造、對后端系統的計費模型和業務模型進行市場化匹配改造，前端和后端需整體協調改造，因此整體工程實施難度比較大，工程成本最高。對于電信運營商寬帶運營現階段，這種模式對市場運營和網絡要求比較高，建議進行試點謹慎推廣。

4.校園部署策略分析

本文結合校園寬帶網絡特點和四種防私接技術的部署影響，依據校園網的進線方式、寬帶技術、工程因素等，對不同場景下的校園寬帶進行防私接控制提出如下策略，具體如下：

（1）獨家運營商獨立運營的校園寬帶

1）若考慮控制工程成本、快速部署防私接方式：對于有線寬帶接入：建議采用專用客戶端方式，這種工程部署簡單、實現效果好，且獨家進線模式可以有效降低用戶抵觸情緒帶來的用戶流失的風險。對于無線寬帶接入：建議采用DHCP+Portal方式，雖然防私接效果一般，但是這種工程部署方式與無線接入的認證方式相近，因此部署十分簡便，成本很低。2）若考慮控制效果最優和風險影響最小化方式：建議采用部署DPI技術，雖然成本較高、工程實施比較復雜，但效果好影響比較透明，且Dpi部署可以為后期流量精細化運營提供基礎。

（2）多家運營商混合運營的校園寬帶

考慮到這種場景下校園寬帶競爭比較激烈，若工程成本壓力不是很大的情況下，建議采用DPI技術進行部署，同時配合接入終端數量階梯式寬帶營銷套餐的市場化引導，降低部署DPI防私接帶來的用戶流失的風險。若投資受限，且競爭壓力較大情況大，建議這種場景下，保持原有寬帶接入方式，不采用任何防私接技術，通過適當地提高寬帶資費或優化寬帶速率流量控制等手段，增加此場景下的寬帶營業收入。

參考文獻

[1]楊慶.寬帶網絡非法接入監控系統[J].經濟視野，2013（12）.

[2]武元.如何防止接入網絡中的用戶私接[J].通信市場，2005（1）.

[3]張龍江.寬帶賬號定位系統助力濟南聯通寬帶信息化建設[J].信息技術與信息化，2011（3）.

[4]中國網絡通信有限公司.寬帶接入私接與包月帳號共享限制技術解決方案，2006，05.

作者簡介：吳平（1984—），男，江蘇南京人，現供職于江蘇省郵電規劃設計院有限責任公司，從事核心網專業設計和咨詢工作。