建设背景
1、移动互联网时代
互联网从PC互联跨入移动互联时代，移动终端井喷式的发展，互联网的访问流量90%由移动端产生，基于移动端的流量需求出现指数级的增长。
2、成熟的4G网络
国内三大运营商（移动、电信、联通）在国内部署大量的4G基站，为移动端提供高达100M的移动带宽，高速的4G网络为互联网的网页浏览、视频直播、电子商务、移动办公、移动商务提供稳定的基石
3、成熟的移动端应用
国内以微信、支付宝、快手、抖音等杀手级的引用将移动互联网引入深水区，为4G网络提供了优质的内容源，进一步推动移动端的流量消费。
4、物联网组网需求
移动互联网即将进入万物互联时代、智能AI网络时代，对移动网络的组网呈现百花齐放，更灵活、更定制化的组网需求涌现。
移动组网模式
1、传统移动组网的局限
传统移动组网分为公网组网和APN组网
2、公网组网
国内三大运营商（移动、电信、联通）为个人用户提供SIM直接接入到互联网的移动组网方式，目前只能由运营商来主导销售，代理商仅做销售渠道，无法参与到网络接入、网络运营、网络管理。
3、专网组网（APN网络）
专网组网是移动运营商为企事业单位提供移动网络的VPN专用网络，通过GRE/L2TP网络隧道方式，将企事业单位的SIM流量全部转向企事业单位的边界路由器，由企事业单位边界路由器完成流量的下一跳。
APN网络的两种应用模型
1、企业内部组网
APN隧道将SIM卡流量传送到企业的边界路由器后，边界路由器通常由两种流量转发方式，转发到内部专网和转发到互联网
2、APN网络的转发内部专网
边界路由器转发流量到内部专网，比较典型的模式为移动公交、移动警务、移动办公等，SIM卡的流量访问企事业单位的内部服务器。
3、APN网络的转发到互联网
边界路由器转发流量到互联网，比较典型的模式为淘宝网的流量卡和大流量的4G路由器应用，将运营商APN网络流量转发到互联网。
建设APN定向流量平台意义
1、运营商的体制限制
在移动互联网背景下，移动物联网、移动上网的需求井喷，市场需要更灵活、更定制化的移动组网需求，运营商存在网络无法个性化、业务开通审批周期长、产品定价周期长等限制。
2、建设个性化的APN网络
千企千面，移动互联网需要更个性化的组网需求，为物联网、移动办公、移动上网、移动商务、移动定向视频提供秒级开通业务。
3、建设基于SAAS的APN承载网络
基于移动运营商的APN平台之上搭建APN SAAS平台，从而为企业节省搭建专业APN网络平台的时间和精力，为企业提供APN网络运营支撑能力。
4、建设大流量的APN流量平台
4G移动互联网时代，由于它的移动性，极大的分流了传统光纤家宽的流量，使人随时随地高速访问互联网，人对流量的需求将持续增加，移动运营商对APN流量相对公网流量存在价格优势，APN流量是公网流量的60%成本，大的APN流量池将是一个巨大的流量金库。
APN定向流量平台模式
1、API模式
采用主流运营商物联网管理平台的API来进行SIM卡管理和定期流量查询。
特点：没有自己的接入网络，完全依赖运营商。
优点：投资小，见效快，投入一台或者多台管理服务器即可。
缺点：门槛低，极易被模仿，很容易被超越，缺少核心竞争力。
2、网络接入模式
采用边界路由、接入BRAS、VPN接入路由、AAA认证计费系统来完成接入承载网络建设，达到与主流运营商完全媲美的系统。
特点：完全拥有自己的接入网络，可以接入多家运营商，业务自行定制。
优点：门槛高、存在一定的技术复杂性，有自己的接入承载网。
缺点：投资大，需要更多的设备、技术人员来支撑承载网。
3、推荐平台模式
建议参照主流运营商的APN网络建设模式来建设APN定向流量平台。
APN定向流量平台需求一
1、APN网络承载网的需求
建设自有的APN网络并提供互联网出口，从而实现APN网络的完全控制和个性化定制需求。
建设内容包括：
A、APN边界路由器
B、APN网络接入BRAS
C、APN网络的VPN转发路由
D、AAA认证记账系统
E、用户上网实名和访问日志系统
F、APN BOSS业务系统
G、基于微信的SIM卡自服务系统
H、SAAS模式APN接入管理系统
APN定向流量平台需求二
1、SIM卡用户的QoS
针对SIM卡用户可以进行QoS带宽控制，根据业务模型进行带宽下发，可以将用户带宽切片到K级别。
2、流量控制
针对SIM卡用户可以进行流量限额经营，支撑市场销售各种定额套餐的流量卡。
3、DPI协议分流
针对移动流量进行DPI分析，为流量出口进行协议分流，从而为定向内容提供有竞争力的方案
4、大数据分析
针对移动流量进行大数据分析，在经营流量管道的同时，深度挖掘管道上的内容价值，实现多维度的经济效益。
APN定向流量平台需求三
1、SIM卡的实名认证和网监日志
针对SIM卡用户可以身份证级别的实名认证，响应国家的网络安全等级并同时建设网监日志系统，以达到安全用网、合法用网，杜绝黄赌毒网络。
2、SIM卡的身份认证
针对SIM卡用户进行身份认证（IMEI号、MSISDN号、ICCID号、IP地址等）。
3、SIM卡的计费
针对SIM卡可以提供包天、包月、包年流量套餐计费，提供流量限额计费，提供时长计费等灵活的计费策略。
4、SIM卡的定向IP计费
针对SIM卡可以提供定向IP计费，对中小微型企业提供APN转售业务。
APN定向流量平台需求四
1、APN网络SAAS服务
提供一套APN的SAAS服务平台，为政府、事业单位、移动互联网企业提供SAAS方式的APN网络平台。
2、APN网络的微信自服务
针对合作的企业的客户提供可定制化的SIM卡微信自服务平台。
3、APN网络的API服务
针对一些物联网设备提供商（比如车载物联网设备、共享物联网设备）提供REST API，提供APN网络集成服务。
APN网络典型组网拓扑
1、终端：插入SIM卡的终端，可以是手机、笔记本、4G路由器等，根据客户不同的需求选用不同的终端。
2、联通GGSN：移动信令网到互联网的边界路由器, 客户通过WCDMA接入到GGSN，GGSN判断是VPN用户，向指定的LNS发起L2TP/GRE连接。
3、联通AAA服务器：负责对SIM的客户域名、SIM卡进行身份鉴权认证、计费。
4、专线：通常采用运营商的光纤专线或者互联网，此专线将运营商的GGSN和客户的边界路由器设备连接起来。
5、客户侧边界路由器（LNS）：需支持L2TP/GRE协议，要与GGSN建立L2TP/GRE隧道。
6、企业AAA服务器：用于认证、授权，实现对拨号用户名、密码和IP地址的管理，此服务器为可选配置，用于提高网络的安全性。
7、企业内网和互联网：APN用户最终访问的企业内网或者转发到互联网上
APN网络协议GRE流程
移动终端的拨号呼叫流程如下：
1、客户拨号经过SGSN，通过STP协议请求到达移动网络与互联网的边界网关GGSN
2、GGSN访问运营商AAA，检查域名
3、根据域名，运营商AAA将认证请求漫游转发到用户AAA，由用户AAA进行身份认证
4、运营商AAA或者用户AAA为客户分配IP地址
6、客户流量通过GRE隧道达到企业GRE边界路由，GRE隧道组网时已经建立
7、客户成功访问专网，或者由专网到互联网
APN网络协议L2TP流程
移动终端的拨号呼叫流程如下：
1、客户拨号经过SGSN，通过STP协议请求到达移动网络与互联网的边界网关GGSN
2、GGSN访问运营商AAA，检查域名
3、GGSN根据域名向企业侧的LNS发起L2TP隧道请求，此时GGSN作为LAC身份参与网络
4、客户与LNS建立PPP连接
5、访问客户AAA，安全验证
6、专网为客户分配IP地址
7、客户成功访问专网，或者由专网到互联网
APN网络协议IPoE流程
移动终端的拨号呼叫流程如下：
1、客户拨号经过SGSN，通过STP协议请求到达移动网络与互联网的边界网关GGSN
2、GGSN访问运营商AAA，检查域名和用户身份，并分配用户IP（每用户固定IP）
4、GGSN根据域名将认证成功的用户流量转发到企业侧GRE隧道边界路由器
5、企业侧IPoE BRAS根据IP地址作为用户名和密码向用户AAA发起身份认证
6、AAA可以下发QoS策略、流量限额策略、下一跳路由策略，IPoE BRAS根据这些策略将流量导向下一跳路由
7、客户成功访问专网，或者由专网到互联网
APN网络协议L2TP交互时序图
备注：
1、LAC在APN网络中对应的就是GGSN
2、LAC的Radius Server对应到APN网络中就是运营商的AAA
3、LNS在APN网络中对应的就是企业侧的LNS边界路由器
4、LNS的Radius Server对应到APN网络中就是企业的AAA
APN网络协议AAA交互时序图
备注：
1、在APN网络中，User对应为移动终端
2、在APN网络中，NAS对应为GGSN或者LNS或者IPoE BRAS
3、在APN网络中，Radius对应为运营商侧的AAA或者企业侧的AAA
APN网络虚拟运营商组网比较
| 序号 | 功能 | GRE+AAA | L2TP+AAA | GRE+IPoE+AAA |
| 1 | 申请难度 | 困难 | 容易 | 容易 |
| 2 | 认证传送 用户名携带ICCID号 | 是 | 是 |
否 可通过固定IP查询用户ICCID号 |
| 3 | 记账传送 用户名携带ICCID号 | 是 | 是 |
否 可通过固定IP查询用户ICCID号 |
| 4 | 组网复杂度 | 简单 | 简单 | 复杂 |
| 5 | 带宽QoS控制 | 不行 | 可以 | 可以 |
| 6 | 实名认证 | 困难 | 困难 | 容易 |
| 7 | 定向IP分流 | 不行 | 可以 | 可以 |
方案选择：
1、推荐采用GRE+IPoE+AAA认证方案。
2、该方案各移动运营商支持最成熟、申请快捷、可迅速开展业务。
3、其次可以采用L2TP+AAA方案，该方案在实名认证方面还是需要借助行为设备来完成。
APN网络虚拟运营商组网方案
APN网络虚拟运营商组网说明
组网说明：
1、虚商与主流运营商网络对接方案走GRE+IPoE+AAA认证接入
协议流程模型参见本PPT第14页
2、虚商与企业侧网络对接方案走GRE隧道接入
协议流程模型参见本PPT第12页，企业侧可不必部署AAA系统。
3、虚商的IPoE BRAS的认证和计费
协议流程模型参见本PPT第16页，按照RADIUS协议标准来进行认证计费。
4、主流运营商SIM卡业务申请开卡注意点
A、申请单上请填写为GRE隧道模式
B、申请单上请填写IP地址为每用户固定IP，以配合IPoE认证识别用户
C、申请开通企业域名的时候，要求运营商任意用户名和密码均可以拨号
APN网络虚拟运营商组网对外服务
1、互联网流量卡业务
类似主流运营商的移动公网业务
2、APN定向流量卡业务
类似主流运营商的APN专网业务
3、APN网络的SAAS服务
类似主流运营商的物联网平台业务
4、流量大数据分析服务
根据APN网络内的流量进行大数据分析服务
5、4G链路备份服务
根据移动的网络的便捷性，为分支机构企业提供链路备份服务
APN网络虚拟运营商组网收入预估
| 序号 | 业务 | 数量 | 销售额 | 利润 |
| 1 | 互联网流量卡业务 | 10W SIM卡 |
200W/月 2400W/年 |
10%利润 240W/年 |
| 2 |
APN定向流量卡业务 (物联网卡业务) |
20W SIM卡 |
100W/月 1200W/年 |
10%利润 120W/年 |
| 3 | APN网络SAAS服务 | 20公司 |
100W/公司/年 2000W/年 |
60%利润 1200W/年 |
| 4 | 合计 | 1560W/年 | ||
APN网络虚拟运营商组网收入预估
| 序号 | 业务 | 数量 | 销售额 | 利润 |
| 1 | 互联网流量卡业务 | 5W SIM卡 |
100W/月 1200W/年 |
10%利润 120W/年 |
| 2 |
APN定向流量卡业务 (物联网卡业务) |
10W SIM卡 |
50W/月 600W/年 |
10%利润 60W/年 |
| 3 | APN网络SAAS服务 | 20公司 |
10W/公司/年 200W/年 |
60%利润 120W/年 |
| 4 | 合计 |
|
2000w/年 | 300w/年 |
一期侧重网络侧建设：
1、虚商GRE边界路由器
2、IPoE BRAS网络接入网关
3、虚商企业侧GRE边界路由器
4、AAA认证计费系统
5、用户上网实名和访问日志系统
APN网络虚拟运营商组网二期建设
二期侧重运营侧建设：
1、虚商APN BOSS业务系统
2、基于微信的SIM卡自服务系统
3、 SAAS模式APN接入管理系统
4、开放式REST API接口系统
5、双机安全备份系统
