【正文】 易擴展、易管理且保證各業(yè)務(wù)的安全訪問的中心交換網(wǎng)絡(luò)極其重要 。福建 XXX 辦公自動化信息系統(tǒng)網(wǎng)絡(luò)方案應(yīng)采用分層的網(wǎng)絡(luò)設(shè)計；每個層次的設(shè)計所采用的設(shè)備本身都應(yīng)具足夠高的端口密度，為后續(xù)福建 XXX 辦公自動化信息系統(tǒng)網(wǎng)絡(luò)方案擴展奠定基礎(chǔ)。應(yīng)能支持負載均衡、 VLAN接入、認證計費等功能。功能的可擴展性是福建 XXX 辦公自動化信息系統(tǒng)網(wǎng)絡(luò)方案隨著發(fā)展提供增值業(yè)務(wù)的基礎(chǔ)。省市骨干設(shè)備要具備平滑升級到 10G 數(shù)據(jù)傳輸服務(wù)的能力。在升級過程中，必須保證業(yè)務(wù)不間斷，同時必須保證原模塊能正常使用，保護原有投資。 ? 可維護管理性：為方便網(wǎng)絡(luò)維護及管理，本次項目采用的 網(wǎng)管系統(tǒng)能夠?qū)崿F(xiàn)網(wǎng)絡(luò)拓樸顯示、 網(wǎng)絡(luò)狀態(tài)監(jiān)控、故障事件實時告警、網(wǎng)絡(luò)流量統(tǒng)計。在系統(tǒng)中，如采用第三方設(shè)備，網(wǎng)管系統(tǒng)能夠切有效管理到這些設(shè)備，能夠及時發(fā)現(xiàn)網(wǎng)絡(luò)瓶頸，降低網(wǎng)絡(luò)設(shè)備的故障時間 。 3. MPLS VPN 的的 方方 案案 設(shè)設(shè) 計計 . 定義說明 多協(xié)議標簽交換（ MPLS: Multiprotocol Label Switching）： 多協(xié)議標簽交換技術(shù)是將第二層交換和第三層路由結(jié)合起來的一種 L2/L3 集成數(shù)據(jù)傳輸技術(shù)。 虛擬專用網(wǎng)絡(luò)（ VPN: Virtual Private Network）： VPN 是在公用網(wǎng)絡(luò)設(shè)施基礎(chǔ)之上構(gòu)建的安全可靠的專用網(wǎng)絡(luò)。 服務(wù)提供 商骨干網(wǎng)（ Service Provider Backbone Network）： 在此文檔中指 MDCN三期工程的 MPLS骨干網(wǎng)，它可以承載多個互相隔離的專有應(yīng)用系統(tǒng)網(wǎng)絡(luò)。 客戶（ Customer） :在此文檔中指獨立的專有應(yīng)用網(wǎng)絡(luò)系統(tǒng)。 客戶邊界路由器（ CE: Customer Edge router）： 在客戶端的路有器，它通過一臺或多臺 PE 路有器連接到服務(wù)提供商網(wǎng)絡(luò)。 服務(wù)提供商邊界路由器（ PE: Provider Edge router）： 服務(wù)提供商網(wǎng)絡(luò)中的路由器，用來連接客戶邊界路由器。 服務(wù)提供商核心路 由器（ PC: Provider Core router， 也稱為： P）： 服務(wù)提供商網(wǎng)絡(luò)中用來連接 PE 路由器的路由器，但它本身不作為 PE 路由器。 . MPLS技術(shù) MPLS 技術(shù)是一種在開放的通信網(wǎng)上利用定長標簽引導數(shù)據(jù)高速傳輸和交換的網(wǎng)絡(luò)新技術(shù)。它是獨立于鏈路層和物理層的技術(shù)，能保證各種各樣的網(wǎng)絡(luò)互聯(lián)互通，使得各種不同的網(wǎng)絡(luò)數(shù)據(jù)傳輸技術(shù)在同一個 MPLS 平臺上統(tǒng)一起來。 MPLS的主要優(yōu)點在于減少了網(wǎng)絡(luò)的復雜性，兼容了現(xiàn)有各種主流網(wǎng)絡(luò)技術(shù)，大幅度降低了組網(wǎng)成本；在向用戶提供 IP 業(yè)務(wù)時能確保 QoS 和安全性。 MPLS 不但支 持流量工程，并且也是當前最有前景的支持 VPN 實現(xiàn)的技術(shù)。 MPLS 技術(shù)的成功之處在于它在無連接的 IP 網(wǎng)絡(luò)中引入了面向連接的機制，通過一個短的、固定長度的稱為“標簽”的標識符，利用標簽機制轉(zhuǎn)發(fā)分組。其核心思想是：邊緣的路由，核心的交換。 MPLS/VPN 的實現(xiàn)過程：客戶的邊界路由器 CE 連接到 MPLS 的 PE 路由器，通過 MPLS 內(nèi)部創(chuàng)建的 VPN，客戶的數(shù)據(jù)被封裝并透明地傳送到其它的 CE 路由器。CE 路由器向 VPN 廣播包含它下屬節(jié)點的所有設(shè)備的路由表。 一個 MPLS/VPN 網(wǎng)絡(luò)由一些分離的站點組成，這些站點通過 MPLS 服務(wù)提供商的骨干網(wǎng)絡(luò)互聯(lián)。在每一個站點有一個或多個 CE 路由器，每個 CE 連接一個或多個 PE 路 由 器 。 相 關(guān) 聯(lián) 的 PE 之 間 使 用 MPBGP （ Border Gateway ProtocolMultiprotocol）協(xié)議通信。 VPN 的 IP 地址范圍獨立定義，任意兩個 VPN 的 IP 地址集可以有重疊。在同一個 VPN 專網(wǎng)中使用的 IP 地址必須是一個單獨地址集。每個 CE 與它直接相連的PE 路由可達。另外，在所有 VPN 中的 PE 路由器的 IP 地址不能重復。 MPLS支持的路由協(xié)議 MPLS 內(nèi)部（ PCPC、 PCPE 或 PEPE 之間） 的路由通過標準的第三層路由協(xié)議來實現(xiàn)，如： OSPF、 BGP 等。第三層路由協(xié)議維護的信息將用于給相鄰節(jié)點分配標簽。 MPLS 與用戶之間（ PE 與 CE 之間）的路由協(xié)議可以是： OSPF、 ISIS、 RIP、BGP 或靜態(tài)路由。 MPLS 骨干網(wǎng)內(nèi)部的路由協(xié)議，即 PEPPE 的 IGP 路由協(xié)議可以是 OSPF 或ISIS。為傳送用戶 VPN 的路由信息，在對應(yīng)的 PE 之間使用 MPBGP 路由協(xié)議。 從用戶的觀點看，雖然要穿過服務(wù)提供商管理的 VPN 通道，但用戶看到的是 CE 之間直接互聯(lián)，并通過 CE 將每一個站點的用戶內(nèi)部路由器連接起來 。服務(wù)提供商的 MPLS 網(wǎng)絡(luò)對用戶是透明的，看不到內(nèi)部的結(jié)構(gòu)，也看不到 MPLS 網(wǎng)內(nèi)部傳輸?shù)穆酚伞? 服務(wù)提供商的網(wǎng)絡(luò)專網(wǎng)系統(tǒng) V P NCECE CE站點 A站點 B站點 C用戶所看到的 VP N 網(wǎng)絡(luò) 從服務(wù)提供商的角度看，其 MPLS 網(wǎng)絡(luò)與用戶網(wǎng)絡(luò)比較是非常不同的。每個用戶只有一個 VPN，而一個服務(wù)提供商可以有多個 VPN。服務(wù)提供商只能管理每個 VPN 在 MPLS 骨干網(wǎng)中的通道，它看不到由 VPN 組成的專網(wǎng)的內(nèi)部結(jié)構(gòu)。 服務(wù)提供商的網(wǎng)絡(luò)M PL S 骨干網(wǎng)專網(wǎng) 10 站點 A服務(wù)提供商所看到的網(wǎng)絡(luò)PE 1PE 3PE 2CECECECECECEB G PB G PB G PV P N 10V P N 10V P N 10V P N 15V P N 15V P N 15專網(wǎng) 10 站點 C專網(wǎng) 10 站點 B專網(wǎng) 15 站點 A專網(wǎng) 15 站點 A專網(wǎng) 15 站點 B PE 路由器分別為每個 VPN 維護一張路由表，表中有其直接相連的 VPN 站點的路 由信息，并且與相應(yīng) VPN 相關(guān)的 PE 之間交換這些路由信息。 . MPLS網(wǎng)絡(luò)設(shè)計 在充分了解 XXX 現(xiàn)狀的基礎(chǔ)上，我們針對福建 XXX 數(shù)據(jù)網(wǎng)的 MPLS VPN 建設(shè)工程提出的方案設(shè)計主要有如下內(nèi)容： 升級現(xiàn)有的 7500 系列路由器的 IOS 版本以支持 MPLS 應(yīng)用，注意相應(yīng)路由器 Flash 及內(nèi)存滿足要求即可。因此應(yīng)該做相應(yīng)的設(shè)備調(diào)查。 IGP 路由協(xié)議的設(shè)計和優(yōu)化，目前支持 MPLS 的 IGP 主要有兩種：OSPF、 ISIS。如果 DCN 目前未采用上述兩種 IGP，則必須進行路由協(xié)議的修改。路由優(yōu)化的目標是使 IGP 的層次區(qū)域分明，利于 路由策略的實施。 MPBGP 協(xié)議的設(shè)置， BGP 支持大量路由的運載和豐富的屬性定義。目前 MPLS RFC2547BIT 的 VPN 通過 BGP 來進行實現(xiàn)，因此必須配置BGP 協(xié)議。 MPLS VPN 中對路由器的定義：主要為 P、 PE、 CE 的定義。在 DCN 網(wǎng)絡(luò)中，所有的 7500/7206 系列路由器可以定義為 PE。 注意 MPLS VPN 中的 VRF、 RD、 RT 等命名方式的規(guī)范化，有利于網(wǎng)絡(luò)的管理和維護。 . IP 路由協(xié)議選擇 OSPF（ OpenShortestPathFirst）開放最短路徑優(yōu)先是 IETF 專為 Inter網(wǎng) 絡(luò)協(xié)議開發(fā)的內(nèi)部網(wǎng)關(guān)協(xié)議（ IGP）。該工作組成立于 1988 年，旨在設(shè)計基于最短路徑優(yōu)先（ SPF）算法的 IGP，以用于 Inter 中。當時， RIP 協(xié)議由于其跳數(shù)限制，路由包的廣播發(fā)送，路由收斂的速度等原因，已經(jīng)越來越不適應(yīng)Inter 的發(fā)展。 OSPF 屬于鏈路狀態(tài)協(xié)議的一種。運行 OSPF 的路由器會將 LSA（ Link State Advertisement）鏈路狀態(tài)通告通過 Multicast 的方式通告給和它處于同一層次（ Area）的所有路由器，而不是象 RIP， IGRP 等距離矢量協(xié)議那樣將路由表的全部或部 分只發(fā)送給起鄰居。 OSPF 路由器通過 LSA 的收斂，知道本層次的網(wǎng)絡(luò)拓撲，通過累加鏈路狀態(tài)信息，利用 SPF 算法計算到達每個節(jié)點的最短路徑。 當運行 OSPF 的路由器加電后，路由器向其相連的路由器發(fā)送 HELLO 信息包，以獲得相連的路由器的信息，同時告知自己的信息。通過 HELLO 信息包，同層次的路由器會選舉一個指定路由器（ Designed Router）和備份指定路由器（ Backup Designed Router）。由指定路由器向其它路由器發(fā)送 LSA 信息包。當路由器交換LSA 信息包后，路由器的鏈路狀態(tài)數(shù)據(jù)庫同步， 此時稱路由器鄰接（ adjacent）。由指定路由器發(fā)送 LSA 信息包，會大大地減少路由器之間的數(shù)據(jù)包流量。 路由器會定時的發(fā)送 LSA，同時當路由器發(fā)現(xiàn)對方的鏈路狀態(tài)數(shù)據(jù)庫和自己的鏈路狀態(tài)數(shù)據(jù)庫不同時，它會立即發(fā)送 LSA。我們知道在距離矢量路由協(xié)議中，如 RIP 或 IGRP，當線路或拓撲發(fā)生變化時，路由器由于防止路由循環(huán)，會等待一系列的定時器的定時，如更新計時器，無效計時器等等，這些造成路由器收斂時間的增加。而 OSPF 路由協(xié)議在發(fā)現(xiàn)有事件 (Event)發(fā)生時，立即發(fā)送 LSA，所以 OSPF 會比距離矢量協(xié)議收斂更快。 在 OSPF 路由協(xié)議中，每一個區(qū)域中的路由器都按照該區(qū)域中定義的鏈路狀態(tài)算法來計算網(wǎng)絡(luò)拓撲結(jié)構(gòu)，這意味著每一個區(qū)域都有著該區(qū)域獨立的網(wǎng)絡(luò)拓撲數(shù)據(jù)庫及網(wǎng)絡(luò)拓撲圖。對于每一個區(qū)域，其網(wǎng)絡(luò)拓撲結(jié)構(gòu)在區(qū)域外是不可見的，同樣，在每一個區(qū)域中的路由器對其域外的其余網(wǎng)絡(luò)結(jié)構(gòu)也不了解。這意味著OSPF 路由域中的網(wǎng)絡(luò)鏈路狀態(tài)數(shù)據(jù)廣播被區(qū)域的邊界擋住了，這樣做有利于減少網(wǎng)絡(luò)中鏈路狀態(tài)數(shù)據(jù)包在全網(wǎng)范圍內(nèi)的廣播，也是 OSPF 將其路由域或一個 AS劃分成很多個區(qū)域的重要