BGAN互联网“黑白名单”服务控制系统解决方案

本文是原创，作者的微信公众号为：Moehoo猛虎

【摘要】在MCN BGAN的环境中，BGAN UT用户使用IMSI卡（以及与IMSI卡对应的用户名和密码）进行RADIUS认证而获得IP 地址，这是由BGAN RADIUS系统的动态IP地址分配机制决定的。在这种IP地址不断变化的网络环境中，必须找到一种行之有效的动态IP地址的“翻译”机制，从而使访问控制策略能够被精细地指向并施加在特定的BGAN UT用户上。                                                         

【技术方案总体思路】
（1）对解决当前问题的总体思路（BGAN互联网“黑白名单”服务控制系统）
在MCN BGAN的环境中，BGAN UT用户使用IMSI卡（以及与IMSI卡对应的用户名和密码）进行RADIUS认证而获得IP 地址，这是由BGAN RADIUS系统的动态IP地址分配机制决定的。在这种IP地址不断变化的网络环境中，必须找到一种行之有效的动态IP地址的“翻译”机制，能够将动态IP地址“翻译”为IMSI号（或认证用户名），从而使访问控制策略能够被精细地指向并施加在特定的BGAN UT用户上，以达到控制其浏览互联网行为的目的。
为了有效地控制BGAN UT用户的互联网浏览行为，必须在PoP的Internet防火墙和核心交换机之间增加访问控制设备，即部署一种可编程的网络组件并对其进行恰当的扩展性改造（使其能够与M-BSS系统和BGAN RADIUS系统进行交互以生成动态）以设计开发和部署“黑白名单”服务控制系统。
所需要选择的可编程网络组件应该具有一组功能强大的管理工具和应用编程接口（API），以便于能够与现有的应用系统进行集成，从而完成大规模的访问服务控制部署，具体地说，可编程网络组件应该具有如下的一些特点：
①提供用于处理用户动态IP配置的API；
②提供用于处理用户流量配额管理的API；
③支持与M-BSS系统和BGAN RADIUS验证系统的集成；
④提供简单网络管理协议（SNMP）接口，用于用户流量情况的统计；
⑤提供用于HTTP 分类的API，支持内容过滤。
根据这些具体的技术要求，选择Cisco SCE 2000系列可编程网络服务控制应用套件（如：SCE 2020服务控制应用套件），将具有以上特点的可编程网络服务控制应用套件与M-BSS系统和RADIUS系统等进行互动，可以控制每个IMSI号（或用户名）的访问互联网的具体行为和数据流量，从而解决“黑白名单”服务控制问题。同时，更为今后的多业务（基础业务和增值业务）系统与服务控制策略系统（可以新建，也可以挂接在M-BSS系统之中）的整体集成预留了一个集成点。
BGAN互联网“黑白名单”服务控制系统的逻辑部署图如下所示：

以上讨论的是北京PoP的“黑白名单”服务控制系统，对香港PoP的“黑白名单”服务控制系统，可以采用类似的结构，再通过网络将北京和香港两地的服务控制系统的服务控制策略进行同步，这样就可以对通过香港PoP连接互联网的用户进行访问控制策略和流量控制策略的精细控制。

（2）对未来系统扩展性的技术考虑（BGAN全业务服务控制系统）
BGAN核心业务和增值业务必将随着MCN的发展而不断增长，为了适应这一趋势，必须建立一个可扩展的服务控制集成点进行统一的访问控制和流量统计。
可扩展的服务控制集成点不仅能够解决MCN当前面临的“黑白名单”服务控制问题，更为重要的是，随着MCN业务的持续不断发展，新型的BGAN增值业务应用系统将层出不穷。因此，除了对BGAN用户进行互联网浏览的服务控制之外，必将产生对其他MCN的BGAN增值业务应用系统进行服务控制的需求，以便进行访问控制、流量控制和对增值业务应用服务计费。
通过适当地调整服务控制集成点的位置，同时对“黑白名单”服务控制系统进行功能扩展，能够将BGAN核心业务系统（M-BSS系统和BGAN RADIUS系统等）和新型的BGAN增值业务应用系统（比如进行了BGAN适应性扩展后的CIDS系统、CMAIL系统和其他新增的BGAN增值业务系统等）的服务控制（访问控制和流量统计等）进行统一的分类和集成，对BGAN UT用户访问所有的BGAN业务应用系统进行服务控制。
因此，服务控制集成点在MCN BGAN今后的业务应用系统整体架构中位于极其重要的地位。通过对其进行功能扩展可以实现BGAN全业务服务控制，能够确保MCN对今后所有的业务应用系统进行有效的用户访问控制策略的实施、使用服务计费、流量控制和流量统计等控制和管理功能。
BGAN全业务服务控制系统的内部逻辑处理流程为：

需要说明的是，除了互联网浏览访问之外，MCN BGAN二期建设中的香港PCCW PoP没有其他BGAN业务应用系统，因此，本方案在讨论BGAN全业务服务控制系统方案时，主要是对北京PoP进行的。
BGAN全业务服务控制系统的逻辑部署图如下所示：
 

 【BGAN互联网“黑白名单”服务控制系统的组成部分】
（1） M-BSS系统部分
对M-BSS系统进行新增功能的设计开发，即在M-BSS核心系统中加入向SCE 2020服务控制应用套件发送初始的互联网服务控制策略的新功能，主要的新增功能如下所述：
① M-BSS“网上直通车”子系统与M-BSS核心系统的整合
M-BSS“网上直通车”子系统与M-BSS核心系统即相互联系又相对独立，为了将生成服务控制策略的权限开放给最终用户，须建立M-BSS“网上直通车”子系统与M-BSS核心系统之间的整合性功能接口，使得“网上直通车”能分发数据信息到核心系统。
② 互联网服务控制策略的设置
MCN的后台业务操作人员可对IMSI号和IMSI对应的认证用户名（一张IMSI卡可能对应多个不同权限的认证用户）进行互联网服务控制策略的设置、修改、查询和删除，后台业务操作人员在开卡新建用户数据或者修改用户数据时，可以根据用户的具体需求对不同的用户或者用户组进行互联网服务控制策略的设置。
与互联网服务控制策略相对应的数据信息结构如下：

这一部分功能是为了建立“黑白名单”初始的互联网服务控制策略的原始数据描述，而这种互联网服务控制策略是针对大多数BGAN网络用户的动态IP地址分配机制而设计的，是基于IMSI号和与IMSI号对应的认证用户名的互联网服务控制策略。上图中，“源主机IP”部分是留空的状态。
对于分配静态IP地址的情况（较少），后台业务操作人员可以通过M-BSS核心系统的前台操作界面直接在源主机IP地址中填上具体内容。
在另一方面，对以上的功能，最终用户通过“网上直通车”系统也可以完成。
功能扩展后的M-BSS系统实际上也是一个BGAN互联网服务控制策略的设置系统。
③ 互联网服务控制策略的分发
利用SCE 2020提供的API(支持C/C++和JAVA)，新增向SCE 2020服务控制应用套件（配置服务控制策略的组件，即SCE 2020和用户管理器）进行相关信息分发的功能模块，相应的数据信息结构的主要部分如下：

这种分发是为了在SCE 2020服务控制应用套件（配置服务控制策略的组件，即SCE 2020和用户管理器）中建立互联网服务控制策略。这种互联网服务控制策略是针对大多数BGAN网络用户的动态IP地址分配机制的，是基于IMSI号和与IMSI号对应的认证用户名的服务控制策略，“源主机IP”部分依然是留空状态，对于分配静态IP地址的情况（较少），在“源主机IP”中存留着由M-BSS核心系统分发的具体内容。
由于对安全性的考虑，M-BSS“网上直通车”子系统不直接向SCE 2020服务控制应用套件分发数据信息，必须通过M-BSS核心系统间接完成。
因此，M-BSS核心系统实际上还是一个BGAN互联网服务控制策略的分发系统。
④ 向BGAN RADIUS系统分发数据信息
新增向BGAN RADIUS系统分发BGAN UT用户相关认证信息的服务模块，数据信息的主要结构如下：

 这种信息分发主要是为了实现M-BSS核心系统与BGAN RADIUS系统进行互动。
后台业务操作人员在M-BSS核心系统中开卡新建用户数据或者修改用户数据（最终用户通过“网上直通车”系统可以修改用户数据）后，M-BSS核心系统将数据信息分发到BGAN RADIUS系统，设定的IMSI号和与之对应的用户名和认证密码等信息就能够自动地写入BGAN RADIUS系统数据库，这种同步功能的实现是这两个系统在一定意义上的应用集成。
由于对安全性的考虑，M-BSS“网上直通车”子系统不直接向BGAN RADIUS系统分发信息数据，必须通过M-BSS核心系统间接完成。

（2） BGAN RADIUS系统
对BGAN RADIUS系统进行新增功能的设计开发，用于接收和处理由M-BSS系统分发的BGAN UT用户的相关认证信息，还必须新增向SCE 2020服务控制应用套件（配置服务控制策略的组件，即SCE 2020和用户管理器）进行相关数据信息分发的功能模块。
① 新增接收和处理来自M-BSS核心系统分发的BGAN UT用户认证相关信息的服务模块，即接收具有如下结构的数据信息：

接着，BGAN RADIUS系统将这种数据信息写入其数据库的用户认证信息表内（IMSI号、认证用户名和认证密码等），完成BGAN RADIUS系统与M-BSS系统之间的认证用户信息的同步。
当由BGAN UT发出的认证请求到达BGAN RADIUS系统并通过认证后，BGAN RADIUS系统为BGAN UT动态地分配IP地址，然后BGAN RADIUS系统对以上结构的数据信息进行处理，即：由IMSI号结合认证用户名找出与之对应的IP地址，产生了具有如下结构的数据信息（即IP地址“翻译”的结果）：

② 根据SCE 2020服务控制应用套件（配置服务控制策略的组件，即SCE 2020和用户管理器）提供的API，新增由BGAN RADIUS系统向SCE 2020进行相关数据信息（即IP地址“翻译”的结果）分发的功能模块，数据信息结构的主要部分如下：

根据具有此结构的数据信息，当某个IP地址向SCE2020请求互联网服务时，SCE 2020的服务控制系统就能识别出与此IP对应的IMSI号以及使用此IMSI登录BGAN的用户身份，根据互联网服务控制策略作出允许与否等判断，从而实现对BGAN UT用户进行精确的互联网服务控制。
因此，这种数据信息分发是为了能够在SCE 2020服务控制应用套件（配置服务控制策略的组件，即SCE 2020和用户管理器）中生成有效的动态的互联网服务控制策略。

（3）SCE 2020服务控制应用套件的扩展性改造
SCE 2020服务控制应用套件有全面的收集、配置和管理工具，还具有用于解决应用方案集成的强大API 套件，可以有效和经济地设计和部署服务控制解决方案。
Cisco SCE 2020的相关组件包含了：SCA BB Console (Service Control Application for Broadband Console)宽带控制台、SCE（Service Control Engine，服务控制引擎）、SCMS-SM（Service Control Management Suite Subscriber Manager）用户管理器、SCMS-CM（Service Control Management Suite Collection Manager，数据采集服务器）。
其中， SCE 2020是必不可少的核心组件，SCA BB Console, SCMS-SM和SCMS-CM是可选的组件。确切地说，SCE 2020服务控制应用套件在SCE 2020上运行，而为其配备的SCA BB Console, SCMS-SM和SCMS-CM辅助性组件则有助于透明地将SCE 2020集成到现有的环境之中。
① SCA BB Console－宽带控制台
在Windows家族的操作系统平台上安装SCA BBConsole，这是基于GUI 的前端软件，后台管理人员操作SCA BBConsole的前端图形界面，通过SCA BB应用管理插件与SCE和SCMS-SM进行服务控制策略和流量控制策略的查询、修改和删除等操作，还可以操作SCA BBConsole通过应用管理插件由SCMS-SM（用户管理器）向SCE 2020分发用户级服务控制策略、流量控制策略和动态IP 地址与认证用户对应关系的调整信息。
SCA BBConsole还负责与SCMS-CM数据采集服务器进行交互，并且通过内置于 SCA BBConsole中的SCA Reporter（此软件也可以单独安装配置以运行）以实现相关统计报表和统计图形输出。
总之，SCA BB Console是便于用户使用的工具，使用基于GUI 的前端软件可以迅速地配置新的服务控制策略，开发和分发新的签名，以及查看报告和设备状态。它提供了一组全面的管理工具，可以有效、可靠地管理和运行任何规模的服务控制部署。无论一个解决方案包含少数几个设备，还是包含数百个设备，控制台应用都可以提供一个高效、便于使用的配置框架。

② SCE 2020－服务控制引擎
SCE 2020负责流量控制策略、流量采集和统计的具体实施，是SCE 2020服务控制应用套件不可缺少的核心组件。
SCE2020支持4Gbps的线速流量处理，对IP流量的应用级分类有利于实时分析和控制某个用户或用户组的内容服务，高级实时控制功能包括精确带宽整形、配额以及使用基于协议和状态的流量流分析的重导向功能。SCE 2020支持600多种协议，也可扩展到新的协议。
SCE2020具有非常灵活的可编程扩展性，可以完全按照实际需求开发服务控制系统，SCE 2020提供功能丰富的API，支持的编程语言有C/C++和JAVA。
同时，使用CISCO提供的编程语言SML（Service Management Language）还可对SCE 2020自身的功能进行扩展开发，即：利用SML编码生成服务控制应用（安装文件为PQI格式）。扩展开发的目的是为了能够在SCE 2020中直接或者间接（由SCMS-SM处理后再分发）地接收来自M-BSS系统和BGAN RADIUS系统分发来的数据信息，进而处理以生成用户级服务控制策略和流量控制策略。在另一方面，更深入的扩展开发还可以根据实际需要对SCE 2020进行必要调整而产生流量控制和检测的算法。
根据BGAN互联网“黑白名单”服务控制系统的实际需要，使用SML进行编码，经过编译之后生成PQI文件再将其部署到SCE 2020中立即生效。
BGAN互联网 “黑白名单”服务控制系统的访问控制策略和流量控制策略有两种产生机制，分述如下：
〖主动生成机制〗
Ⅰ)SCE 2020可以直接接收由M-BSS核心系统所分发的具有一定结构的数据信息，如下图所示：

对其中留空的“源主机IP”信息，SCE 2020需要BGAN RADIUS系统将BGAN UT的动态IP地址“翻译”的结果分发过来后再行填充，以在SCE 2020服务控制应用套件中形成有效的访问控制策略和流量控制策略。
Ⅱ)SCE 2020还可以直接接收由BGAN RADIUS系统分发的具有一定结构的数据信息，如下图所示：

Ⅲ)SCE 2020将具有以上Ⅰ)和Ⅱ)中结构的数据信息进行比对后，生成有效的动态IP地址与BGAN认证用户之间的对应关系，即生成动态的访问控制策略和流量控制策略，其数据信息的主要结构如下图所示：

经过以上三个步骤之后，经过功能扩展性改造的SCE 2020能与M-BSS核心系统和BGAN RADIUS系统进行实时的互动，从而在SCE 2020中生成动态访问控制策略和流量控制策略，并根据具体的访问控制算法对用户浏览互联网的行为加以精细地控制。
        这种动态访问控制策略和流量控制策略是随着BGAN UT请求BGAN RADIUS认证而产生的，也随着其断线请求处理的完成而消失。当BGAN UT发出的断线请求到达BGAN RADIUS系统并完成相关处理流程之后，SCE 2020直接接收由BGAN RADIUS系统分发的BGAN UT断线信息和具有一定结构的数据信息（与以上Ⅱ相似的结构），然后，SCE 2020采用与以上Ⅲ)中的类似方式删除符合条件的动态访问控制策略和流量控制策略。
〖被动接收机制〗
        使用SML开发服务控制应用（安装文件为PQI格式），部署在SCMS-SM用户管理器中，与部署在SCE 2020中与其对应的服务控制应用进行交互。由SCMS-SM用户管理器直接接收和处理由BGAN RADIUS系统和M-BSS核心系统分发而来的动态数据信息后，将生成的动态访问控制策略和流量控制策略再分发给SCE 2020，最后，SCE 2020根据服务访问控制算法对BGAN UT用户访问互联网的行为能够加以精细的控制。
③ SCMS-SM（用户管理器）
        SCM-SM用户管理器向SCE 2020分发含有IP 地址与IMSI号和认证用户名间映射关系的用户级动态访问控制策略和流量控制策略。在IMSI号（或认证用户名）对应的IP 地址不断变化的BGAN网络环境中，可以利用SCMS-SM用户管理器可以对每个BGAN UT用户访问互联网的各项访问请求加以控制。
如果选用SCMS-SM作为M-BSS系统、BGAN RADIUS系统和其他增值业务系统的服务控制集成点的核心系统，不仅能为快速开发BGAN互联网“黑白名单”服务控制系统提供一种较为简单的方法，能减少对MCN BGAN所有业务应用系统进行服务控制集成时的工作量，更为重要的是，将SCE 2020从生成访问控制策略和流量控制策略的复杂过程中解放出来，使其专注于服务控制策略的实施，提高了整个服务控制系统的性能和效率。
SCMS-SM生成具体的访问控制策略和流量控制策略的内在机制与SCE 2020的主动生成机制极其相似。
使用SML开发服务控制应用软件（安装文件为PQI格式），部署在SCMS-SM用户管理器和SCE 2020中，然后，SCMS-SM使用“推”模式（Push Mode）或“拉”模式(Pull Mode) 与SCE 2020进行数据信息的交互。
“推”模式，一旦有BGAN UT用户登录，SCMS-SM就主动地向SCE 2020分发数据信息；
“拉”模式，SCMS-SM接到来自SCE 2020的主动请求后，再向其分发数据信息。
通过这样的方式，SCMS-SM将其生成的动态访问控制策略分发给SCE 2020，SCE 2020再根据具体的访问控制算法对BGAN UT用户访问互联网的行为加以精细地控制。
另外，配额管理器（Quota Manager）是SCM-SM的可选组件，可以对BGAN UT用户进行流量配额的精细管理。
④ SCMS-CM（数据采集服务器）
SCMS-CM可以实时地收集从SCE 2020输出的BGAN UT用户浏览互联网的各种流量使用数据（RDR，Raw Data Record），SCMS-CM将从SEC收集的这些数据进行汇总后，将其保存在数据库或者文本文件中，SCA BBConsole与之进行交互后，通过内置于 SCA BBConsole中的SCA Reporter（也可以单独地安装运行）实现相关统计报表和统计图形输出。
SCMS-CM能够与任何SQL 数据库兼容，这种能力使其可以支持多种设计方式（包括集中式或者分布式收集）和多种冗余方式。当存储于数据库中时，SCA Reporter（预打包了超过100 个报告模板）可用于方便地生成关于网络活动和应用使用情况的多种报告。
可以利用SCMS-CM提供简单、有效的解决方案，也可以将SCE 2020与现有的使用管理、协调和数据采集解决方案集成在一起，这就为今后引入新的BGAN增值业务应用系统并进行进一步扩展性改造提供了可能。

【BGAN互联网“黑白名单”服务控制系统的实施部署】
（1） 在北京PoP部署BGAN互联网“黑白名单”服务控制系统
BGAN互联网“黑白名单”服务控制系统在北京PoP的架构如下图所示：

需要特别指出的是：
① 在上图中，可以将应用控制台、用户管理器和数据采集服务器省略，只使用SCE 2020完成BGAN互联网“黑白名单”服务控制系统的架构。但是，这样的架构在实际环境中实施后，SCE 2020的负荷较大，使用缺乏灵活和简便（统计数据和报表的获取复杂），另外，对SCE 2020进行扩展开发的工作量也会增大。
② 为了实现BGAN全业务服务控制系统，可以在上图中将SCE 2020的位置移动到路由器和交换机之间，同时将应用控制台、用户管理器和数据采集服务器的位置也作同样的移动。
事实上，SCE 2020的标准位置是位于接入用户的汇聚设备和应用服务系统区之间的，在这个位置部署SCE 2020，使得所有服务访问流量必须先经过SCE 2020，从而为BGAN全业务服务控制系统的实现提供了可能。
位于北京PoP的BGAN全业务服务控制系统的部署架构如下图所示：

同样，在上图中，也可以将应用控制台、用户管理器和数据采集服务器省略而只使用SCE 2020。但是，SCE 2020的负荷较大，使用缺乏灵活和简便（比如，统计数据和报表的获取复杂），另外，对SCE 2020进行扩展开发的工作量也会增大。

（2） 在香港PCCW PoP部署BGAN互联网“黑白名单”服务控制系统
BGAN互联网“黑白名单“服务控制系统在香港PCCW PoP的结构与其在北京PoP的结构非常类似，两者还通过BGAN专线网络实现京港两地的服务控制系统的服务控制策略和流量控制策略的同步。
另外，除了连接互联网之外，目前在香港PCCW PoP还没有其他的业务应用系统，因此，目前还没有必要在香港PCCW PoP实施BGAN全业务服务控制系统。
BGAN互联网“黑白名单”服务控制系统在香港PCCW PoP的部署架构如下图所示：

同样，上图中的应用控制台、用户管理器和数据采集服务器可以被省略，只使用SCE 2020即可，但是这样的架构在实际使用中也会存在上文所提及的一些弊端。

（3） SCE 2020设备热备份的部署模式
在北京PoP和香港PoP中部署的SCE 2020还能以热备份的模式进行部署。
要将SCE 2020以热备份方式进行部署，可在北京PoP和香港PCCW PoP中各配置2台SCE 2020，其中，一台为主设备，连接主链路，另一台为从设备，连接备份链路。主设备处理流经主链路的网络流量，同时，从设备将流经备份链路的网络流量转到主设备上去处理，然后再将经过处理后的网络流量转回到备份链路。因此，主设备实际上负责处理两条链路（主链路和备份链路）的网络流量。另外，两个SCE 2020以一定的时间间隔相互交换各种信息（如用户状态信息等），从而保证在出现故障后切换主、从设备时的最小信息丢失率。
当主设备发生故障时，这2个SCE 2020就交换他们的角色，即从设备变为主设备，主设备变为从设备，以故障转移的方式实现热备份。
在部署BGAN“黑白名单”访问控制系统时，北京PoP和香港PCCW PoP的SCE 2020设备热备份的结构如下图所示：

在部署BGAN全业务服务访问控制系统时，北京PoP的SCE 2020设备热备份的结构如下图所示：

【服务控制系统的开发和实施周期以及报价】
⑴ BGAN互联网“黑白名单“服务控制系统
①BGAN互联网“黑白名单“服务控制系统的设计开发和系统部署实施周期估算：
Ⅰ)需求调研、详细设计和概要设计：30天
Ⅱ)代码开发、单元测试和功能测试：60天
Ⅲ)系统部署实施、系统性能测试和系统压力测试：15天
       此周期为估算值，在需求确定和合同签订的基础上才能给出更为接近事实的开发周期值。

②BGAN互联网“黑白名单“服务控制系统的初步报价（北京和香港PoP各部署1个SCE 2020）

序 号	名   称	说   明	单价（人民币）	数量	小 计
1	SCE2020-4XGBE-MM	SCE2020服务控制引擎 （在北京PoP和香港PoP各安装1个）		2
	PWR-SCE-AC	Cisco Service Control Engine AC Power Supply		4
	CAB-SCE-AC-CH	Cisco Service Control Engine AC Power Cord, China		4
	SCE-SCOS-R3	Cisco SCOS Software Release 3.x		2
	SCA-BB-VO-R3	SCA View Only - V3.x		2
	SCA-BB-TC-XXX-R3	Cisco Service Control Application Tiered Control XXX表示支持的用户数量，比如：10K、50K、250K或者1M		2
	SCMS-CM	Service Control Collection Mgr (database s/w not included)		2
	SCMS-SM	Cisco Service Control Subscriber Manager		2
	CON-CSSPD-SCE2020	3年原厂保修服务		1
2	HP ProLiant DL580	用于安装用户管理器和数据采集服务器		1
	RHEL 5.0或Solaris 10	用于用户管理器和数据采集服务器的操作系统平台		1
	Sybase/MySQL/Oracle	用于用户管理器和数据采集服务器的数据库平台，在3种数据库中可任选一种。		1
3	NT-3012M 10/100/1000M自适应桥接式转换器。	支持2种类型的网络连接媒介，即：10/100/1000Base-TX UTP和1000Base-SX/LX光纤（北京和香港各安装4个）		8
	多模光纤跳线	多模光纤跳线（北京和香港各配置8根）		16
4	M-BSS系统新增功能的设计开发和测试	M-BSS系统与BGAN RADIUS系统以及M-BSS系统和SCE2020进行集成整合，以实现彼此间的互动； “网上直通车”与M-BSS核心系统的整合。		1
续    表
序 号	名   称	说   明	单价（人民币）	数量	小 计
5	BGAN RADIUS系统新增功能的设计开发和测试	BGAN RADIUS系统与M-BSS系统，BGAN RADIUS系统与SCE2020进行集成整合，以实现彼此间的互动。		1
6	SCE 2020服务控制应用套件的设计开发和测试	扩展SCE 2020的功能，使之能对每个BGAN UT用户进行服务控制，并且能与BGAN RADIUS系统和M-BSS系统进行互动，能将动态IP与服务控制策略进行捆绑，还可以对新型的数据业务服务（增值业务服务系统） 提供服务控制策略。		1
7	BGAN互联网“黑白名单”服务控制系统的部署和压力测试	SCE 2020部署、BGAN互联网“黑白名单“服务控制系统与M-BSS系统以及BGAN RADIUS系统的整合性安装部署和系统性能测试。		1
8	培训和技术服务费用	BGAN互联网“黑白名单“服务控制系统部署完成之后的技术培训费用和售后技术服务费用。		1
总 计：

 

〖几点说明〗
① 报价表中的具体价格数额需经过进行有关商务调研和洽谈后再行确定；
② 在上表的第1项的可编程网络组件产品的选择中，除了CISCO SCE 2020以外，还可以选择一些国产的产品，如：海达安全卫士防火墙、QQSG―网络服务控制管理系统等。这些产品也可以实现"黑白名单"服务控制系统，但是在性能和易用性上的表现不如CISCO SCE 2020；
③  考虑到服务控制系统的初期投入成本，上表仅列出了在北京和香港两地的PoP中各设置单个SCE 2020的情形，若考虑部署SCE 2020的设备热备份机制（“一步到位”或者“分期实施”），则需要在北京和香港两地各设置2台SCE 2020（共4台SCE 2020），再对与SCE 2020相关的其他设备或软件也作相应的增加即可；
④  在北京和香港的PoP中，应用控制台、用户管理器和数据采集服务器都是可选的，在同时选择这三者的情况下，可将应用控制台安装在一台PC机上，而将用户管理器和数据采集服务器安装在1台物理服务器上。
在预算允许的情况，也可分开将这两者分别安装在2台物理服务器上，与之相适应，北京PoP和香港PCCW PoP需要各增加配置1套操作系统（RHEL 5.0或Solaris 10）、1套数据库服务器(Sybase/MySQL/Oracle)；
而如果在考虑成本投入，还有一个可选的采购方案是：在北京PoP部署应用控制台、用户管理器和数据采集服务器，其中，用户管理器和数据采集服务器是否安装在一台物理服务器上可根据实际情况选择。另一方面，除SCE 2020之外，在香港PCCW PoP不部署任何SCE 2020的配套组件（应用控制台、用户管理器和数据采集服务器）；
⑤  数据库软件的选用，数据采集服务器支持Sybase、MySQL和Oracle，可以利用BGAN RADIUS系统现有的Oracle 10g数据库，也可以选用MySQL数据库的商业许可证版本MySQL Pro产品（与Sybase和Oracle相比较价格低一些），应根据实际情况作出灵活选择。
⑥  由于本文为技术方案简介，所以仅列出初步拟定的相关子项目、设备和功能子模块的说明，而且根据需求调研和相关研讨的进一步深入将极有可能对其作出调整。
⑵ BGAN全业务服务控制系统
BGAN全业务服务控制系统应根据MCN的BGAN业务发展趋势而进行符合MCN实际需求的设计、规划和建设，而由于目前尚未发生明确和具体的需求，此项报价留待进行充分调研后再行补充。
可以预见的是，BGAN互联网“黑白名单”服务控制系统的建设必将为BGAN全业务服务控制系统建立扎实的基础。