【正文】 引擎板的Crossbar芯片進(jìn)行轉(zhuǎn)發(fā)。此外傳統(tǒng)的生成樹等技術(shù)為了避免環(huán)路的發(fā)生，會采用阻斷一條鏈路的方式，而IRF2可以通過跨設(shè)備聚合等特性，讓原本“Activestandby”的工作模式，轉(zhuǎn)變成為負(fù)載分擔(dān)的模式，從而提高整網(wǎng)的運行效率。一旦Master設(shè)備故障，系統(tǒng)會迅速自動選舉新的Master，以保證通過系統(tǒng)的業(yè)務(wù)不中斷，從而實現(xiàn)了設(shè)備級的1：N備份。讓網(wǎng)絡(luò)更可靠：IRF的高可靠性體現(xiàn)在鏈路級、協(xié)議級和設(shè)備級三個方面。H3C的S10508系列交換機(jī)支持業(yè)界先進(jìn)的虛擬化技術(shù)IRF2（第二代智能彈性架構(gòu)），本次方案采用的2臺核心交換機(jī)可以通過IRF2技術(shù)將2臺設(shè)備虛擬化為1臺。3. 易于擴(kuò)展按照“核心－邊緣架構(gòu)”的設(shè)計原則，核心模塊應(yīng)避免部署訪問控制策略（如ACL、路由過濾等），保證核心模塊業(yè)務(wù)的單純性與松耦合，便于下聯(lián)功能模塊擴(kuò)展時，不影響核心業(yè)務(wù)，同時可以提高核心模塊的穩(wěn)定性。否則，一旦核心模塊出現(xiàn)異常而不能及時恢復(fù)的話，會造成整個平臺業(yè)務(wù)的長時間中斷，影響巨大。核心交換區(qū)的主要功能是完成各服務(wù)器功能分區(qū)、辦公局域網(wǎng)、外聯(lián)網(wǎng)之間數(shù)據(jù)流量的高速交換，是廣域/局域縱向流量與服務(wù)功能分區(qū)間橫向流量的交匯點。對網(wǎng)絡(luò)的核心層，必須提供高性能、高可靠的網(wǎng)絡(luò)結(jié)構(gòu)，本次建議分別在公安網(wǎng)及互聯(lián)網(wǎng)增加2臺高端的萬兆核心交換機(jī)S10508作為整個消防總隊的核心交換系統(tǒng)。5. 安全性也是需要考慮的一個因素，交換機(jī)應(yīng)該可以根據(jù)端口、MAC地址/IP地址等指標(biāo)，用來拒絕或限制1～4層的網(wǎng)絡(luò)訪問，還應(yīng)對組播、廣播和泛洪控制等常見的安全威脅有一定的處理能力。4. Web管理界面。鏈路聚合技術(shù)可以實現(xiàn)不同端口的負(fù)載均衡，同時也能夠互為備份，保證鏈路的冗余性。因此設(shè)計接入層設(shè)備時，應(yīng)參考如下條例：。本方案設(shè)計擬對現(xiàn)有樓層全部接入交換機(jī)進(jìn)行替換升級。接入層：直接與用戶終端連接，上行通過雙千兆光纖與網(wǎng)絡(luò)核心設(shè)備互聯(lián)。同時要考慮來自外部和內(nèi)部的威脅，最重要的是制定一套嚴(yán)密的安全策略。這就要求計算機(jī)網(wǎng)絡(luò)的開發(fā)具有良好的易用性，真正成為工作的得力助手。它可以減少故障排除時間，優(yōu)化網(wǎng)絡(luò)性能，節(jié)省開支，創(chuàng)造效益。為了使網(wǎng)絡(luò)能可靠地運行，在方案中一方面要選用高品質(zhì)的產(chǎn)品，把故障率降降到最低；另一方面，要使用系統(tǒng)容錯技術(shù)，從而使停機(jī)損失率降到最低。先進(jìn)性當(dāng)今世界，通信和計算機(jī)技術(shù)的發(fā)展日新月異。在一個復(fù)雜的大型網(wǎng)絡(luò)系統(tǒng)里，必然有多個廠商的硬件及軟件，為了保證用戶的網(wǎng)絡(luò)系統(tǒng)具有互操作性、可用性、可靠性、可擴(kuò)充性、可管理性，應(yīng)建立一個開放式，遵循國際標(biāo)準(zhǔn)的網(wǎng)絡(luò)系統(tǒng)。4. 安全方面：最近幾年，陸續(xù)的進(jìn)行過改造，數(shù)據(jù)中心及網(wǎng)絡(luò)邊界安全狀況較好，但在網(wǎng)絡(luò)接入層存在ARP病毒攻擊，環(huán)路等現(xiàn)象時有產(chǎn)生，導(dǎo)致網(wǎng)絡(luò)訪問速率較低，或網(wǎng)絡(luò)訪問不穩(wěn)定等情況。目前的網(wǎng)絡(luò)沒有明確的接入層、匯聚層及核心層，也沒有規(guī)劃單獨的數(shù)據(jù)中心區(qū)域，日常維護(hù)過程中，對單設(shè)備的操作容易引起整網(wǎng)的震蕩。省消防總隊局域網(wǎng)絡(luò)于2002年左右建設(shè)完成，至今已運行超過10年，現(xiàn)有網(wǎng)絡(luò)的設(shè)備性能及組網(wǎng)架構(gòu)已不能滿足正常辦公的應(yīng)用需求，隨著業(yè)務(wù)需求不斷發(fā)展以及信息化技術(shù)的不斷進(jìn)步，越來越多的企事業(yè)單位通過信息化來完成其業(yè)務(wù)的部署，體驗到了信息化帶來的效率的極大提升。數(shù)據(jù)中心的整合：應(yīng)用系統(tǒng)將深度融合，數(shù)據(jù)高度集中，在數(shù)據(jù)大集中的過程中，原有分散建設(shè)的各自獨立的異構(gòu)系統(tǒng)需要進(jìn)行整合，需要有一套標(biāo)準(zhǔn)化的技術(shù)和協(xié)議對整合后的平臺進(jìn)行規(guī)范，有利于后續(xù)業(yè)務(wù)的發(fā)展和擴(kuò)張。其次本次建設(shè)中還需更換總隊視頻會議系統(tǒng)華為MCU 8650服務(wù)器，增加一臺錄播服務(wù)器，實現(xiàn)對電視電話會議和視頻培訓(xùn)的錄像功能。由于總隊機(jī)關(guān)辦公大樓2002年建設(shè)時，使用的是多模光纖網(wǎng)絡(luò)，因此本次升級改造首先需要拆除原有的多模光纖網(wǎng)絡(luò)環(huán)境，然后新建單模光纖網(wǎng)絡(luò)，并重新制作光纖配線架。其網(wǎng)絡(luò)系統(tǒng)設(shè)備使用已達(dá)到12年，遠(yuǎn)遠(yuǎn)超過了國家規(guī)定設(shè)備報廢年限，且在一定程度上滿足不了總隊機(jī)關(guān)辦公的需求。為了進(jìn)一步完成部消防局部署的信息化建設(shè)任務(wù)，完善總隊機(jī)關(guān)信息中心建設(shè)，湖南省消防總隊擬于2014年對總隊機(jī)關(guān)辦公大樓進(jìn)行網(wǎng)絡(luò)系統(tǒng)升級改造，主要涉及5樓、8樓、11樓、13樓、16樓的cisco等品牌交換機(jī)、視頻會議系統(tǒng)華為MCU8650服務(wù)器及UPS不間斷供電電源。原樓層配線間至各房間的網(wǎng)線保留繼續(xù)使用。并同時對總隊原有華為MCU 8650服務(wù)器進(jìn)行系統(tǒng)版本升級和會議控制軟件升級，升級后的原有設(shè)備將作為備機(jī)使用。在這樣的數(shù)據(jù)大集中后，最大的挑戰(zhàn)是隨之帶來的風(fēng)險的大集中，如何保障集中后數(shù)據(jù)訪問的可靠、數(shù)據(jù)訪問的安全？這不僅僅只需考慮網(wǎng)絡(luò)，還有數(shù)據(jù)的備份和恢復(fù)，訪問的安全控制等。隨著業(yè)務(wù)量的不斷提高，如何通過信息化技術(shù)來提高辦事效率的核心競爭力，是現(xiàn)所有網(wǎng)絡(luò)管理人員重點關(guān)注的問題。2. 核心采用1臺CISCO設(shè)備，運行時間超過10年，產(chǎn)品功能受限。5. 整個網(wǎng)絡(luò)管理都是通過人工方式對點對排除，效率較低，此外無法有效的預(yù)知網(wǎng)絡(luò)存在的風(fēng)險，隱患較大。以避免造成用戶在網(wǎng)絡(luò)使用上的局限性。我們的方案要適應(yīng)新技術(shù)發(fā)展的潮流，滿足用戶對新應(yīng)用的需求，并保證網(wǎng)絡(luò)系統(tǒng)在若干年內(nèi)不落伍，適應(yīng)飛速發(fā)展的科學(xué)技術(shù)。可管理性隨著網(wǎng)絡(luò)規(guī)模和復(fù)雜程度的增加，管理和故障排除就越來越困難。我們的方案將提供先進(jìn)而完善的網(wǎng)絡(luò)管理。安全性 安全性設(shè)計是網(wǎng)絡(luò)設(shè)計中最重要的方面之一，每個單位都有秘密數(shù)據(jù)資源需要保護(hù)。GB/T503142000 《智能建筑設(shè)計標(biāo)準(zhǔn)》JGJ/T1692 《民用建筑電氣設(shè)計規(guī)范》ISQ/IEC1180195 《信息技術(shù)互聯(lián)國際標(biāo)準(zhǔn)》ISO/IEC 9126:1991 GB/T 162601996 信息技術(shù)軟件產(chǎn)品質(zhì)量特性及使用指南ISO 90003:1997 質(zhì)量管理和質(zhì)量保證標(biāo)準(zhǔn) 第三部分ISO 90011994 在計算機(jī)軟件開發(fā)、供應(yīng)、安裝和維護(hù)中的應(yīng)用指南ISO/IEC 122071995 信息技術(shù) 軟件生存周期過程GB 93861988 計算機(jī)軟件測試文件編制規(guī)范GB/T 125041990 計算機(jī)軟件質(zhì)量保證計劃規(guī)范YD/T 18002008 信息安全運行管理系統(tǒng)總體架構(gòu)GB/T 210502007 網(wǎng)絡(luò)交換機(jī)安全技術(shù)要求ISO 7498 OSI 七層參考模型IEEE 快速以太網(wǎng)標(biāo)準(zhǔn)規(guī)范IEEE 千兆位以太網(wǎng)標(biāo)準(zhǔn)規(guī)范IEEE 虛擬網(wǎng)絡(luò)標(biāo)準(zhǔn)規(guī)范本次湖南省消防總隊公安網(wǎng)網(wǎng)絡(luò)整體設(shè)計中，采用層次化、模塊化的網(wǎng)絡(luò)設(shè)計結(jié)構(gòu)，并嚴(yán)格定義各層功能模型，不同層次關(guān)注不同的特性配置。設(shè)計采用48端口全千兆交換機(jī)。接入層的設(shè)計目標(biāo)如下：管理接入網(wǎng)絡(luò)的終端設(shè)備。同樣為48口交換機(jī)，但是支持的VLAN數(shù)量差別很多，有的支持64個，有的可高達(dá)256個。3. QoS功能。Web界面配置和管理起來非常方便，易于操作，對網(wǎng)管來說大大減輕了配置的工作量。通過上述分析，本次方案設(shè)計在樓層接入交換機(jī)部署H3C S5120S52PEI，可以很好滿足上述特性要求，在物理連接方面，設(shè)計采用雙鏈路與核心交換機(jī)互聯(lián)。H3C S10500是杭州華三通信技術(shù)有限公司面向數(shù)據(jù)中心設(shè)計的核心交換產(chǎn)品，采用先進(jìn)的CLOS多級多平面交換架構(gòu)，提供業(yè)界最高的交換性能和最豐富的軟件特性。核心交換區(qū)必須具備高速轉(zhuǎn)發(fā)的能力，同時還需要有很強(qiáng)的擴(kuò)展能力，以便應(yīng)對未來業(yè)務(wù)的快速增長。核心交換機(jī)的建設(shè)需要如下：1. 高可靠網(wǎng)絡(luò)架構(gòu)層面，采用雙核心設(shè)計，兩臺設(shè)備進(jìn)行冗余，并通過虛擬化技術(shù)進(jìn)行橫向整合，將兩臺物理設(shè)備虛擬化為一臺邏輯設(shè)備，并實現(xiàn)跨設(shè)備的鏈路捆綁，所各分區(qū)的交換機(jī)IRF相配合，實現(xiàn)端到端IRF部署。核心交換機(jī)的選型是按如下標(biāo)準(zhǔn)考慮的：高可靠設(shè)計傳統(tǒng)單點設(shè)計，一旦一個部件出現(xiàn)問題，整個核心將癱瘓，給整網(wǎng)帶來不可挽回的損失，其可靠性無法得到保障。IRF2可以帶來以下好處：讓網(wǎng)絡(luò)更簡單：網(wǎng)絡(luò)簡化需要解決網(wǎng)絡(luò)結(jié)構(gòu)的簡化，網(wǎng)絡(luò)業(yè)務(wù)的簡化，以及管理維護(hù)的簡化這三方面的問題。鏈路級：成員設(shè)備之間的物理端口支持聚合功能，IRF系統(tǒng)和上、下層設(shè)備之間的物理連接也支持聚合功能，這樣，通過多鏈路備份提高了鏈路的可靠性。相比傳統(tǒng)的二層生成樹技術(shù)和三層的VRRP技術(shù)，其收斂時間從N秒級縮短到毫秒級。同時，從設(shè)備本身的穩(wěn)定可靠性來分析，目前高端設(shè)備設(shè)計時，主流的架構(gòu)是CLOS架構(gòu)。這種架構(gòu)限制了設(shè)備的可靠性和性能。通過上述分析，湖南省消防總隊公安網(wǎng)核心層設(shè)計部署2臺核心交換機(jī)S10508,2臺設(shè)備之間部署IRF2 虛擬冗余系統(tǒng)。H3C S5120SEI支持豐富的ARP防御功能，實現(xiàn)用戶合法性檢查功能和ARP報文有效性檢查功能，ARP限速，避免大量ARP報文對CPU進(jìn)行沖擊等。提供靈活的對列調(diào)度算法，可以同時基于端口和隊列進(jìn)行設(shè)置。本次網(wǎng)絡(luò)改造設(shè)計，推薦部署一套智能網(wǎng)絡(luò)管理軟件。所包含的主要功能有：操作員登錄管理管理員通過制定登錄安全策略約束操作員的登錄鑒權(quán)，實現(xiàn)操作員登錄的安全性，通過訪問控制模板約束操作員可以登錄的終端機(jī)器的IP地址范圍，避免惡意嘗試另人密碼進(jìn)行登錄的行為存在，通過密碼控制策略，約束操作員密碼組成要求，包括密碼長度、密碼復(fù)雜性要求、密碼有效期等，以約束操作員定期修改密碼，并對密碼復(fù)雜性按要求設(shè)置。提供豐富的查詢條件，管理員可以審計任何操作員的歷史操作記錄，界定網(wǎng)絡(luò)操作錯誤的責(zé)任范圍。網(wǎng)絡(luò)自動發(fā)現(xiàn)可以通過設(shè)置種子的簡易方式、路由方式、ARP方式、IPSec VPN、網(wǎng)段方式等五種自動發(fā)現(xiàn)方式自學(xué)習(xí)網(wǎng)絡(luò)資源及網(wǎng)絡(luò)拓?fù)洌詣幼R別包括：路由器、交換機(jī)、安全網(wǎng)關(guān)、存儲設(shè)備、監(jiān)控設(shè)備、無線設(shè)備、語音設(shè)備、打印機(jī)、UPS、服務(wù)器、PC在內(nèi)的多種類型網(wǎng)絡(luò)設(shè)備；多種自動發(fā)現(xiàn)方式自動識別多種設(shè)備類型網(wǎng)絡(luò)手工管理可以手工添加、刪除網(wǎng)絡(luò)設(shè)備，可以批量導(dǎo)入、導(dǎo)出網(wǎng)絡(luò)設(shè)備，批量配置Telnet、SNMP參數(shù)，以及批量校驗Telnet參數(shù)等輔助功能；網(wǎng)絡(luò)視圖管理支持IP視圖、設(shè)備視圖、自定義視圖、下級網(wǎng)絡(luò)管理視圖等多種管理視圖，用戶可以從不同角度實現(xiàn)整個網(wǎng)絡(luò)的管理；網(wǎng)絡(luò)設(shè)備的管理從任何一種網(wǎng)絡(luò)視圖入口，都可以實現(xiàn)對網(wǎng)絡(luò)設(shè)備的管理，包括：支持對設(shè)備的管理/去管理、接口的管理/去管理、設(shè)備的詳細(xì)信息顯示和接口詳細(xì)信息顯示、設(shè)備和接口實時告警狀態(tài)、設(shè)備和接口的實時性能狀態(tài)、實時檢測存在故障的設(shè)備等，用戶可以方便的實現(xiàn)所有設(shè)備的管理；設(shè)備及業(yè)務(wù)管理系統(tǒng)的集成管理支持對H3C、CISCO、華為等主要廠家設(shè)備的管理，支持手工添加設(shè)備廠商、設(shè)備系列及設(shè)備型號；支持設(shè)備面板管理的動態(tài)注冊機(jī)制，實現(xiàn)與各廠家設(shè)備管理系統(tǒng)的有效集成；支持拓?fù)涠ㄎ弧CL、VLAN、QoS等業(yè)務(wù)管理系統(tǒng)的集成，實現(xiàn)設(shè)備資源的統(tǒng)一管理.網(wǎng)絡(luò)設(shè)計架構(gòu)參考公安網(wǎng)，全網(wǎng)分為2層，即核心與接入，按功能區(qū)域網(wǎng)，分為數(shù)據(jù)中心及網(wǎng)絡(luò)出口區(qū)，改造后的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖如下： 互聯(lián)網(wǎng)網(wǎng)絡(luò)設(shè)備選型接入層：提供網(wǎng)絡(luò)的第一級接入功能，完成簡單的二、三層交換，安全、QoS都位于這一層。接入層通常用VLAN、包過濾等提供基本的安全性，保護(hù)局域網(wǎng)段免受網(wǎng)絡(luò)內(nèi)外的攻擊。2. 鏈路聚合可以讓交換機(jī)之間的鏈路帶寬有非常好的伸縮性，使鏈路的帶寬成倍增長。一個有QoS功能的接入層交換機(jī)就能夠解決這種情況。WEB管理界面只是網(wǎng)管的一部分內(nèi)容，目前大型網(wǎng)絡(luò)都是由統(tǒng)一的智能管理軟件進(jìn)行統(tǒng)一的管理。核心層：網(wǎng)絡(luò)的骨干，必須能夠提供高速數(shù)據(jù)交換和路由快速收斂，要求具有較高的可靠性、穩(wěn)定性和易擴(kuò)展性等。 互聯(lián)網(wǎng)核心交換機(jī)設(shè)計核心層是網(wǎng)絡(luò)的重中之重，本章節(jié)對核心網(wǎng)絡(luò)設(shè)計進(jìn)行詳細(xì)說明。因此，可靠性是衡量核心交換區(qū)設(shè)計的關(guān)鍵指標(biāo)。2. 高速傳輸本次網(wǎng)絡(luò)設(shè)計容量應(yīng)保證未來10年內(nèi)的業(yè)務(wù)擴(kuò)展，S10508 支持10G，100G交換能力，可平滑升級，保障網(wǎng)絡(luò)的高速傳輸。虛擬化技術(shù)交換機(jī)虛擬化技術(shù)是當(dāng)前網(wǎng)絡(luò)中比較先進(jìn)的網(wǎng)絡(luò)技術(shù)，通過虛擬化技術(shù)的引入，簡化原有網(wǎng)絡(luò)核心的配置和結(jié)構(gòu)，并且能夠提高網(wǎng)絡(luò)的可靠性，網(wǎng)絡(luò)利用率和鏈路帶寬等。此外，相比傳統(tǒng)網(wǎng)絡(luò)生成樹+VRRP的部署方式，啟用IRF2以后，二層不再需要配置生成樹，也不再需要復(fù)雜的生成樹多實例的規(guī)劃，三層不再需要配置VRRP，不再需要復(fù)雜的路由規(guī)劃和大量的IP地址消耗，從而簡化了網(wǎng)絡(luò)業(yè)務(wù)。設(shè)備級：IRF系統(tǒng)由多臺成員設(shè)備組成，Master設(shè)備負(fù)責(zé)系統(tǒng)的運行、管理和維護(hù)，Slave設(shè)備在作為備份的同時也可以處理業(yè)務(wù)。因此，IRF技術(shù)能夠輕易的將設(shè)備的核心交換能力、用戶端口的密度擴(kuò)大數(shù)倍，從而大幅度提高單臺設(shè)備的性能。CLOS架構(gòu)與傳統(tǒng)的crossbar 架構(gòu)的主要區(qū)別如下：Crossbar+共享緩存CLOS多級交換結(jié)構(gòu)1，單平面交換；2，交換矩陣和控制統(tǒng)一，即引擎承擔(dān)了交換和控制雙重功能；1，多塊交換網(wǎng)板共同完成流量交換2，控制和交換硬件分離轉(zhuǎn)發(fā)能力受限于交換網(wǎng)片的交換能力和PCB單板制造工藝，單引擎達(dá)到1TB以上就很難提升。此外引擎1＋1冗余，也使得Crossbar交換網(wǎng)只能是1＋1的冗余，冗余能力無法做的更高。其軟件特性及產(chǎn)品性能都不能滿足業(yè)務(wù)的應(yīng)用?？蛻舳颂峁〨uest Vlan功能，使得為被授權(quán)的訪問端只能接入訪問特定的資源，并且會采取相應(yīng)的策略。 網(wǎng)絡(luò)管理軟件設(shè)計同樣，建議在互聯(lián)網(wǎng)網(wǎng)絡(luò)中部署一套H3C 智能網(wǎng)絡(luò)管理平臺。H3C公司全球技術(shù)服務(wù)部H3C公司擁有國內(nèi)網(wǎng)絡(luò)廠商最龐大的原廠服務(wù)平臺, ，完成客戶檔案、維護(hù)經(jīng)驗案例、備件庫存、產(chǎn)品發(fā)布等信息的共享，形成覆蓋全國地市級城市的技術(shù)服務(wù)體系?？蛻艨梢酝ㄟ^H3C客戶服務(wù)熱線提交關(guān)于H3C產(chǎn)品的技術(shù)支持、備件、培訓(xùn)、續(xù)保服務(wù)購買等方面的問題，服務(wù)人員將按照規(guī)定時間要求向客戶提供解決方案。H3C技術(shù)支持中心擁有高素質(zhì)的服務(wù)隊伍，所有人員具有本科以上學(xué)歷并且通過高級網(wǎng)絡(luò)專家認(rèn)證，80%具有5年以上大型網(wǎng)絡(luò)服務(wù)經(jīng)驗。H3C培訓(xùn)中心充分理解客戶不同層次的需求，不僅提供一系列標(biāo)準(zhǔn)的培訓(xùn)服務(wù)，而且可以針對客戶的特殊需求提供定制培訓(xùn)服務(wù)。服務(wù)承諾工程驗收