Настройка сети оператора связи начинается с пути абонента: доступ → BNG → граница → апстрим. Проверяют адрес, AAA, тариф и достижимость. Ниже последовательность для абонентского контура с условным IPoE-примером. Управление и внутренние сервисы проектируют отдельно. До команд фиксируют платформу, ПО, возврат и критерии испытаний.
С чего начать: планирование и адресация
Сначала составляют адресный план. Ошибка до запуска исправляется в проекте, после подключения требует миграции и окна работ, поэтому обычно дороже. Правка работающей конфигурации не всегда проста и безопасна.
В план входят пять пунктов.
- Диапазоны IPv4: приватные адреса по RFC 1918 (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) для внутренней инфраструктуры, публичные пулы для абонентов и сервисов;
- Пулы IPv6 и размеры делегируемых префиксов по политике адресных ресурсов и сценарию роста;
- VLAN и L2-домены с учетом услуг, изоляции и аппаратных таблиц, без общего норматива 100–200 сегментов;
- Точки агрегации абонентского трафика по узлам доступа;
- План резервирования каналов и оборудования на каждом уровне сети.
Схему держат в отдельном документе и обновляют при каждом изменении.
В 802.1Q обычные VLAN ID доступны от 1 до 4094 в конкретном L2-домене. Это не единый запас всей сети: число записей ограничивает платформа. IPv6-пулы и делегирование планируют заранее, проверяя пересечения и расширение.
Настройка ядра и маршрутизации
Настройка BGP-сессий с апстрим-провайдерами
BGP на границе обменивается маршрутами с апстримами по RFC 4271. Ядро не обязано получать full-view везде. Резерв проектируют по допустимому простою и независимости трасс. Два договора не устраняют общий отказ. Импорт и экспорт задают до включения соседства.
Конфигурация BGP на стороне оператора проходит по четырем шагам.
- Оформление ASN по отдельной политике RIPE NCC через собственный или sponsoring LIR;
- Подготовка разрешенных префиксов и документов владения или права анонса;
- Настройка eBGP-соседей, адресов, AFI/SAFI и параметров согласованной политики;
- Проверка фильтров импорта/экспорта, лимитов и поведения при отзыве маршрута.
Для своих префиксов публикуют ROA. ROV сопоставляет origin AS и длину входящего префикса с ROA, но не подтверждает весь AS_PATH. Задают политику Valid, Invalid, NotFound и отказа валидатора. Лимиты и RIB/FIB считают по таблице, IPv4/IPv6, соседям и росту. Число префиксов без даты не используют. Multipath и communities проверяют по платформе и политике партнера.
Внутренняя маршрутизация: OSPF или IS-IS
OSPF или IS-IS выбирают по областям, сходимости, функциям и опыту команды. Размер сети сам по себе не определяет протокол. Проверяют достижимость loopback и сервисных адресов, не импортируя всю интернет-таблицу в IGP.
- Разделение областей или уровней согласно топологии и требованиям маршрутизации;
- Согласование hello/dead и защиты соседства без произвольного уменьшения таймеров;
- Применение BFD по поддержке платформы с измерением обнаружения и общей сходимости;
- Фильтрация перераспределения и защита от петель при действительно нужной redistribution.
Порог сто маршрутизаторов не требует перехода с OSPF на IS-IS. Выбор проверяют моделированием изменений и отказов. Подбор сетевого оборудования связывают с RIB/FIB, пакетной нагрузкой, лицензиями и нужными функциями, а не с одним названием протокола.
Внешние фильтры проверяют на ошибочные анонсы, внутренние маршруты на обрыв канала и узла. Измеряют потерю трафика и восстановление, сохраняя результаты для сравнения после изменений.
Настройка сегментации и абонентского доступа
После ядра настраивают абонентский сегмент. Основной инструмент — VLAN (Virtual Local Area Network, IEEE 802.1Q), разделяющий трафик абонентов и услуг на канальном уровне.
Типовая схема сегментации абонентского доступа выглядит так.
- Отдельный VLAN на дом или подъезд;
- VLAN для интернет-доступа;
- VLAN для IPTV и VoIP-услуг;
- VLAN для гостевого доступа.
Q-in-Q разделяет C-VLAN и S-VLAN. Теоретические пары тегов не гарантируют миллионы изолированных услуг: действуют ограничения таблиц. Проверяют теги, MTU и доверие на каждом участке.
CGNAT рассчитывают по адресам, портам, сессиям и новым соединениям. Журнал связывает абонента, внешний IP, порт, протокол и время. Пул нельзя назначать как «десятки адресов» для любого масштаба. IPv6-политики проверяют отдельно.
Доверенный DHCP relay добавляет Option 82 с Circuit-ID/Remote-ID, сервер использует их при выдаче адреса. Это не самостоятельная защита от подмены MAC. На доступе проверяют доверенные порты, DHCP snooping, IP Source Guard и DAI там, где они поддержаны и нужны. RADIUS обслуживает AAA выбранной модели. Отказные политики задают явно: новые подключения и действующие сессии могут вести себя по-разному.
Условный пример IPoE: абонентский порт относится к C-VLAN 100, агрегация доставляет его к BNG, доверенный relay передает идентификатор подключения. DHCP выдает 172.16.100.10/24 со шлюзом 172.16.100.1. AAA связывает подключение с учетной записью и профилем 100 Мбит/с. IPv4 проходит CGNAT, журнал сохраняет внешнее соответствие во времени. Проверяют DHCP lease, AAA, маршрут, DNS и фактический shaping. Затем отключают relay/AAA и канал к BNG, проверяют установленную отказную политику и возврат. Адреса и VLAN условные, команды выбирают по своей платформе.
Интеграция с регуляторным оборудованием: ТСПУ и СОРМ
Порядок подключения ТСПУ и СОРМ в новой сети
После получения лицензии уточняют обязанности по статьям 46 и 64 закона «О связи» и установленный порядок внедрения. ТСПУ подключают по утвержденной схеме, мероприятия СОРМ согласуют с уполномоченным органом. Универсального требования немедленно поставить оба комплекса в разрыв нет. Зеркалирование и включение в линию являются разными схемами, их нельзя смешивать как одинаковые команды. Учитывают размещение, питание, каналы управления и испытания.
Для СОРМ проверяют АПК в конкретном исполнении, документы и источники данных. Биллинг, DHCP, AAA и трансляции связывают по проекту. DPI требуется не во всякой архитектуре. Сведения о фактах связи хранят три года по статье 64, содержание оценивают отдельно по пунктам 5 и 6 постановления №445. Это не срок для всех журналов любого сетевого устройства. Полноту и корреляцию проверяют тестовыми событиями.
Ввод и испытания отличаются от документа о соответствии изделия. Для накопления предусмотренный акт подписывают представители ФСБ, Роскомнадзора и оператора. Нарушения рассматривают по установленной процедуре. Технический отказ сам по себе не прекращает деятельность.
Мониторинг и резервирование
Финальный шаг настройки сети — мониторинг и резервирование. Без них сеть какое-то время работает штатно, но при первой аварии оператор теряет часы на поиск причины и абонентов на массовые обращения в поддержку.
Мониторинг включает четыре элемента.
- Защищенный SNMPv3 authPriv или иной поддерживаемый способ сбора метрик с контролем доступа;
- Контроль доступности интерфейсов и загрузки портов;
- Отслеживание температуры оборудования и ошибок CRC на линках;
- Контроль состояния BGP-сессий с автоматическим алертом при разрыве.
Алерты при критичных событиях уходят инженеру в мессенджер или SMS.
Резервирование включает четыре элемента.
- LACP для нескольких физических линий с проверкой распределения потоков и общей точки отказа;
- VRRP или другой поддерживаемый механизм шлюза с измерением переключения и доступности;
- MSTP для управления L2-петлями, с испытанием реального восстановления без обещания субсекундной сходимости;
- BFD для обнаружения отказов с учетом таймеров, нагрузки и последующей перестройки маршрутов.
Отключают кабель, коммутатор, питание и узел по отдельности. Для каждого сценария измеряют восстановление, потерю трафика, переподключения и события учета. Два агрегатора нужны по расчету риска, а не как общая норма. Период тестов устанавливает регламент. Перед изменением сохраняют проверенную конфигурацию и способ доступа для возврата.
Заключение
Последовательность настройки связывает адресный план, маршрутизацию, доступ, обязательные интеграции и испытания. Сквозной тест абонента выявляет ошибки, которые не видны по зеленому состоянию интерфейсов. Штатную работу и отказ проверяют на одинаковый набор критериев, сохраняя результаты и конфигурацию.
Проектная сверка адресов и политик снижает риск миграции работающих клиентов. Управление, OOB и внутренние сервисы требуют отдельной схемы разрешенных потоков. Их доступность проверяют независимо от абонентского интернета.
Оборудование для абонентского контура подбирают по сессиям, портам, пакетной нагрузке и испытанному резерву. План импортозамещения сетевого оборудования согласуют с совместимостью, поставкой и этапами ввода.