【正文】 ess Concentrator (Cisco Catalyst 2924MXL LAN switches):? MSN2924A? MHMG2924A? MDX2924A? MNS2924A? MXA2924A? MLZ2924A? MSTJ2924A所有 VPN Access Concentrator 2924MXL 都是 100MbaseT 以太網(wǎng)交換機(jī)，通過 GE 鏈路連接到 7500 系列路由器上。MDX7507ARouter……….VLAN 1xxVLAN 109Logically function as pointtopoint linksRouter at customer site16 / 69實(shí)現(xiàn)A、VLAN TrunkTrunk 是交換機(jī)之間或交換機(jī)和路由器之間的點(diǎn)到點(diǎn)鏈路，trunk 在整個網(wǎng)絡(luò)內(nèi)承載multiVLAN 的流量。每一個 VPN 對應(yīng)一個或多個 VRFs(VPN routing/forwarding instance)。但是，一個用戶 site 只可以和一個 VRF 相關(guān)聯(lián)。VPN 路由信息的傳播通過下述的方法進(jìn)行工作：? 當(dāng)一條從 CE 處學(xué)習(xí)到的 VPN 路由被 inject 到 BGP 中時，一些 VPN route target munities 屬性被賦于它；其中主要包括 routetarget 屬性，該屬性決定這些 route 將被 export 到哪些 VRF。然后，PE 通過加上一個 8 字節(jié)的 RD(route distinguisher)將它轉(zhuǎn)換成為一個 VPNIPv4 的前綴。BGP 實(shí)體之間的通信有兩種可能，AS 內(nèi)的 iBGP 和 AS 間的 EBGP，PEPE 和PERR(route reflector)之間為 iBGP，PECE 之間為 EBGP。當(dāng)一個源 PE 路由器從 CE 路由器處得到一個 IP 包，它使用從目標(biāo) PE 路由器學(xué)到的 label 將該 IP 包發(fā)送出去。 商業(yè) Inter 接入模塊結(jié)構(gòu)城域網(wǎng)的這一部分主要包括用于向用戶提供商業(yè) Inter 接入服務(wù)的設(shè)備和鏈路。每個單獨(dú)的 2924 交換機(jī)的 100M 以太網(wǎng)端口定義為獨(dú)立的 VLAN，在 7500 路由器上的 FE 端口上，為每個 access VLAN 定義一個 subinterface。為了向用戶提供商業(yè) Inter 接入功能，需要進(jìn)行以下幾個步驟的配置： 在 Commercial Inter Access Concentrator 上分配一個 100M 以太網(wǎng)端口； 通過 FEtoFiber 單模光纖轉(zhuǎn)換器將該端口延伸到用戶端； 在 Commercial Inter Access Concentrator 上為該端口分配一個VLAN； 在 7500 路由器的 FE 端口上生成一個 subinterface，將該 subinterface聯(lián)系到這個 VLAN 上； 為這一段鏈路分配 IP 地址； 在 7500 路由器上為用戶的 work 作靜態(tài)路由；實(shí)現(xiàn)MDX7507A Router……….VLAN 2xxVLAN 201Logically function as pointtopoint linksRouter at customer siteActing as Area Border Router(route summarization happened here)20 / 69因?yàn)?access VLAN 可以看作是 pointtopoint 連接，我們只需要為這段鏈路分配一個/30 的子網(wǎng)。建議采用前者，因?yàn)檫@樣可以作路由聚合，減少網(wǎng)絡(luò)開銷。小區(qū)駐地設(shè)備假定為一臺路由器或一臺以太網(wǎng)交換機(jī)，用戶在自己家里通過一臺PC 和一個以太網(wǎng)卡上 Inter。這種結(jié)構(gòu)下小區(qū)路由器必須配置100M 以太網(wǎng)接口另一種方式是小區(qū)通過 Switch 或 Hub 和 6509 相連，這種結(jié)構(gòu)下，6509 的下聯(lián)端口和用戶相享一個廣播域，用戶的廣播包會影響 6509 的性能。后者則實(shí)現(xiàn)簡單，成本更低。如果只需要對用戶進(jìn)行粗粒度的計(jì)費(fèi)，還可以在 6509 的接口上設(shè)置 CAR 以限制小區(qū)總體接入帶寬，以租用線路的方式向用戶提供服務(wù)。 政府上網(wǎng)接入模塊結(jié)構(gòu)城域網(wǎng)的這一部分主要包括用于深圳市政府的用關(guān)部門接入 Inter 的設(shè)備和鏈路。物理上，MJG6509A 通過 long haul 千兆以太網(wǎng)光纖接到黃木崗 MHMG7513A 路由上，下面的圖描述了這 3 臺路由器如何連接，提供政府機(jī)關(guān)上網(wǎng)以及其它服務(wù)：MHMG7513ARouterMJG6509R1ARouting EngineMJG6509R2ARouting EngineMAN Backbone………. ………. ……….IPVPN Services Broadband Inter ServicesVLAN 1VLAN 101 VLAN 1xx VLAN 301 VLAN 3xx VLAN 302 VLAN 3xx23 / 69實(shí)現(xiàn)政府上網(wǎng)接入模塊的邏輯結(jié)構(gòu)使得可以向政府機(jī)關(guān)及部門提供靈活的服務(wù)，同樣的Access concentrator 可以提供高速 Inter 接入或 IPVPN 服務(wù)。 主機(jī)托管模塊結(jié)構(gòu)城域網(wǎng)的這一部分主要包括用于通過城域網(wǎng)提供主機(jī)托管服務(wù)的設(shè)備和鏈路。當(dāng) HSRP 在網(wǎng)段上使用時，它提供一個虛擬的 MAC 地址和一個 IP 地址，做成 HSRP 的路由器共享這兩個地址。VLAN 2MDG6509R1ARouting EngineMDG6509R2ARouting EngineMDX12022AVLAN 3MDG6509R1BRouting EngineMDG6509R2BRouting EngineMHMG12022AVLAN 1VLAN 11VLAN 12VLAN 13Server Hosting VLANManagementVLAN25 / 69四、設(shè)備互連 遠(yuǎn)程連接一共有 20 個單模光纖連接，用于連接 13 個點(diǎn)(site)。其中一個例外是 VLAN 1,因?yàn)榭赡苡性S多不互連的 Catalyst 交換機(jī)，因此可能有許多不規(guī)則數(shù)量的 VLAN 1 用于管理 VLAN。 本地連接注：參見圖 3a――圖 3g。對于一個包含 4 臺路由器的 HSRP 組，需要 4+1 個 IP 地址和 MAC 地址。每臺 6509 LAN 交換機(jī)含有 2 臺內(nèi)嵌的路由器，下圖以一個節(jié)點(diǎn)為例說明主機(jī)托管模塊的邏輯結(jié)構(gòu)：24 / 69實(shí)現(xiàn)為了使主機(jī)托管 VLAN 具有盡可能大的可用性，在該模塊采用 cisco HSRP (Hot Standby Routing Protocol)。三臺路由器之間通過 VLAN1 互聯(lián)。政府上網(wǎng)接入模塊只包含 1 部設(shè)備：MJG6509A盡管只有一臺設(shè)備，MJG6509A 包括 1 個 LAN 交換機(jī)和 2 個內(nèi)嵌式路由器。不同的小區(qū)接入網(wǎng)從不同的 IP 地址塊中分配 IP 地址。實(shí)現(xiàn)正如撥號接入用戶，小區(qū) Inter 用戶也需要經(jīng)過論證才能訪問 Inter，論證通過后，還需要對用戶的訪問進(jìn)行計(jì)費(fèi)。這兩種結(jié)構(gòu)下，小區(qū)的 IP 地址分配都是按地址塊進(jìn)行，當(dāng)小區(qū)用戶增加需要增加 IP地址時，分配另一塊 IP 地址給小區(qū)，前者在路由器上作路由，后者通過對 6509 的相關(guān)端口設(shè)置 Secondary IP 地址來實(shí)現(xiàn)。商業(yè) Inter 接入模塊部分包括以下設(shè)備：Community Inter Access Concentrators:? MSN6509A? MHMG6509A? MDX6509A? MNS6509ACatalyst 6509 以太網(wǎng)交換機(jī)的每個 100M 端口被配置單獨(dú)的 VLAN，一個 100M 端口通過 FEtoFiber 單模光纖轉(zhuǎn)換器延伸到用戶駐地，該段地址的分配從骨干網(wǎng)的 IP 塊中分配。在 7500 上要做 IGP 的 address summarization，這樣防止過多的 external route 進(jìn)入 MAN 的骨干。在用戶駐地，用戶需要提供一個具有 100M 以太網(wǎng)接口的路由器，用于接入城域網(wǎng)。它們的區(qū)別在于使用的 VLAN 編號不一樣。商業(yè) Inter 接入模塊部分包括以下設(shè)備：Access Router (Cisco 7500 series routers):? MSN7507A? MHMG7513A? MDX7507A? MNS7507A? MXA7507A? MLZ7507A? MSTJ7507A? MSK7507ACommercial Inter Access Concentrator (Cisco Catalyst 2924MXL LAN switches):? MSN2924B? MHMG2924B? MDX2924B? MNS2924B? MXA2924B? MLZ2924A19 / 69? MSTJ2924B? MSK2924B注： 7500 路由器作為一個接入平臺同時起 IPVPN 功能和商業(yè) Inter 接入功能。當(dāng) labeled IP 包在核心骨干部分傳遞時，其基于 label switching 或 traffic engineered path 進(jìn)行，一個用戶的 IP 包在核心穿行時，攜帶了 2 層 label：? 第一層 label 指示到正確的目標(biāo) PE 路由器；? 第二層 label 給目標(biāo) PE 路由器指示，到哪一個其連接的 site 鏈路。IP 包經(jīng)過 MPLS 標(biāo)簽交換到其目標(biāo)地址，其選路的基礎(chǔ)是 VRF 路由表和 VRF CEF 表。用于生成 VPNIPv4 前綴的 RD(route distinguisher)由 PE 路由器的 VRF 配置命令指定。比如，某一個 VRF 的import routetarget 列表指明 routetarget munities A、B 和 C，這樣，每一個 MPiBGP 的 update 中 munities 屬性的 routetarget 中有 A 或 B 或 C 的 route 將被import 到該 VRF 中。數(shù)據(jù)包的路由和交換由 VRF 路由表和單獨(dú)的 CEF 表所控制，每一個 VPN 對應(yīng)一個路由表和一個 CEF 表，這樣可以防止 packet 被交換到不關(guān)聯(lián)的端口上去，同時也防止不關(guān)聯(lián)的端口的 packet 被交換到該 VPN 中。一個 VRF 包括一個 IP 路由表、一個 CEF(cisco express forwarding)表、幾個相關(guān)聯(lián)的端口、和一些控制路由的規(guī)則和參數(shù)。在本次城域網(wǎng)工程中，使用 IEEE 作為 interVLAN 的 trunk 封包技術(shù)。2924MXL 上的每個 100M 端口被映射到一個單獨(dú)的 VLAN 上，7500 路由器上為每個VLAN 建立一個 subinterface。實(shí)現(xiàn)深圳 IP 城域網(wǎng)和 163 網(wǎng)之間運(yùn)行 BGP 路由協(xié)議，下面是 MHMG12022A 的 Sample Configuration：router bgp 65001 no synchronization work mask neighbor remoteas 123 neighbor description “ Gbps links to HB 163 Backbone” neighbor version 4 neighbor filterlist 1 in neighbor filterlist 10 outip aspath accesslist 1 deny ^*ip aspath accesslist 10 permit ^$ip route null 0ip route 城域網(wǎng)的邊界路由器不從 163 路由器學(xué)習(xí)任何 Inter 路由，所有 IP 城域網(wǎng)不知道的路由都通過缺省路由送至 163 網(wǎng)絡(luò)。Core Area163 BackboneDXLZHMGXANSSN STJ14 / 69在廣東省 163 擴(kuò)容工程結(jié)束后，這種連接將改變。配置如下：Tagswitching advertisetags for 1Accesslist 1 permit // loopback 0 address of MSN7507AAccesslist 1 permit // loopback 0 address of MHMG7513AAccesslist 1 permit // loopback 0 address of MDX7507AAccesslist 1 permit // loopback 0 address of MNS7507AAccesslist 1 permit // loopback 0 address of MXA7507AAccesslist 1 permit // loopback 0 address of M