【文章內(nèi)容簡介】 XXXXX 大學網(wǎng)絡(luò)改造項目 機密文件 12 展。利用 IRF 技術(shù)，用戶可以將多臺設(shè)備通過堆疊接口連接起來組成一個聯(lián)合設(shè)備（ Fabric），并將這些設(shè)備看作單一設(shè)備進行管理和使用，降低了管理成本，同時實現(xiàn)按需購買、平滑擴容，在網(wǎng)絡(luò)升級時最大限度地保護已有投資。同時 S5600 支持萬兆上聯(lián)最大程度的提高了匯聚層與核心交換機之間的帶寬擴展需求。 在接入層， 接入層是直接與用戶相連的設(shè)備，因此，在實際的 應用的過程當中我們建議采用華為 3Com E050/E026 產(chǎn)品，由于樓內(nèi)布線采用千兆銅纜布線，所以建議通過在 E050/E026 上配置千兆電接口與樓內(nèi)核心交換機 S5600 進行鏈接，這樣將會進一步擴大帶寬。華為 3Com E050/E026 具有 48/24 個固定的 10/100M 自適應以太網(wǎng)接口， 2 個擴展插槽，背板容量 ，包轉(zhuǎn)發(fā)率 可以實現(xiàn)所有端口的線速轉(zhuǎn)發(fā)，支持各種類型的上行接口，支持堆疊 。 華為 E 系列接入層交換機具有強大的業(yè)務(wù)特性，可以支持 256 個標準的 VLAN， VLAN ID 均可 達 4096 個 并能夠提供強大的業(yè)務(wù)功能：如 認證 、動態(tài) ACL、動態(tài) Vlan、防止 Proxy 等功能。 支持 認證，其高性價比的特性可滿足用戶對于強業(yè)務(wù)、高性價比的組網(wǎng)要求 用戶認證、計費管理： 出口處采用 華為 3Com 專業(yè)用戶認證計費設(shè)備 MA5200 作為全網(wǎng)出口計費設(shè)備，MA5200 具有強大的認證功能，可以實現(xiàn)按流量計費、支持多種計費策略，同時可以實現(xiàn)監(jiān)控全網(wǎng)的出口流量，同時其旁掛式的方式大大提高了網(wǎng)絡(luò)的安全性，避免了在出口產(chǎn)生流量瓶頸的問題， 本次組網(wǎng)采用 CAMS 綜合管理軟件實行全網(wǎng)的用戶認證 和計費管理。詳細介紹參加第三章。 網(wǎng)管平臺 ： 為提高網(wǎng)絡(luò)管理的效率，減輕網(wǎng)絡(luò)維護的壓力，本次組網(wǎng)采用 Quidview 網(wǎng)管系統(tǒng)進行全網(wǎng)設(shè)備的統(tǒng)一管理。 Quidview 網(wǎng)絡(luò)管理軟件是華為 3Com 公司對數(shù)據(jù)通信設(shè)備如路由器、交換機等進行統(tǒng)一管理和維護的網(wǎng)管產(chǎn)品，位于網(wǎng)絡(luò)解決方案的管理層，能夠?qū)崿F(xiàn)網(wǎng)元管理和網(wǎng)絡(luò)管理的功能。 Quidview 網(wǎng)絡(luò)管理軟件基于靈活的組件化結(jié)構(gòu)，包括網(wǎng)元管理平臺、廣域網(wǎng)管理系統(tǒng)、局域網(wǎng)管理系統(tǒng)、資源管理系統(tǒng)等，用戶可以根據(jù)自己的管理需要和網(wǎng)絡(luò)情況靈活選擇自己需要的組件，真正實現(xiàn)“按需建 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學網(wǎng)絡(luò)改造項目 機密文件 13 構(gòu)” 。 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學網(wǎng)絡(luò)改造項目 機密文件 14 3．網(wǎng)絡(luò)業(yè)務(wù)設(shè)計 地址分配解決方式 的選擇 根據(jù) XXXXX 大學 的用戶特點，考慮到網(wǎng)絡(luò)中心的維護工作量，這里我們建議采用動態(tài) DHCP 的方式進行 IP 地址分配。 考慮到 IP 地址的管理比較繁瑣，在實際的應用的過程當中建議可以與 CAMS 配合，實現(xiàn) IP 地址分配至用戶的方式進行 IP 地址的管理。 S5600匯聚層 交換機萬兆的 支持 從網(wǎng)絡(luò)的整體結(jié)構(gòu)上我們可以看出整個網(wǎng)絡(luò)的設(shè)計是采用核心萬兆環(huán)網(wǎng)，核心與匯聚、匯聚與接入之間均采用千兆的方式，接入與最終用戶之間采用百兆的方式進行互通，整個網(wǎng)絡(luò)的瓶頸在核心與匯聚 之間的連接存在瓶頸，隨著網(wǎng)絡(luò)接入用戶的不斷擴大，匯聚與接入之間可以采用萬兆的方式進行互聯(lián)。華為 3 S5600 匯聚層交換機，交換容量 192/240G，包轉(zhuǎn)發(fā)率 66/102Mpps 可支持 2 個萬兆接口上行 ，用戶無需任何投資，可以直接購買 10GE 模塊 ，可直接插到匯聚層 S5600 交換機上就可以實現(xiàn)萬兆帶寬的升級，原上聯(lián) GE 接口可以作為下聯(lián)接口用。 整體組網(wǎng)如下所示： XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學網(wǎng)絡(luò)改造項目 機密文件 15 核心與匯聚層之間 直接采用萬兆的帶寬將匯聚層存在的帶寬瓶頸問題徹底解決，S5600 匯聚層萬兆交換機可為用戶提前做好萬兆升級的準備，減少用戶投資。 XXXXX大學 解決方案特點： 華為 XXXXX 大學 教育網(wǎng)組網(wǎng)解決方案的優(yōu)點有以下幾點： 完全的分布式的處理方式 S8500 為用戶提供完全的分布式的處理方式， XXXXX 大學 的校園網(wǎng)內(nèi)部的數(shù)據(jù)量是非常大的，因此主交換機是否能夠做到線速關(guān)系到整個網(wǎng)絡(luò)的是否會發(fā)生擁塞。華為 S8512 背板交換容量 夠做到所有 GE 接口的雙向的線速，華為公司的 S8512的性能指標是經(jīng)過完整的測試，而業(yè)界廠家在指標宣稱上面往往與給最終提供給用戶的不一致。而用戶又由于測試儀器的 限制無法確認實際配置的性能，這一點在 華為公司是絕對不會出現(xiàn)的。 再次 ,分布式的轉(zhuǎn)發(fā)，對于 S8500 路由查找是非常有益的補充。因為 S8500 的路由查找模式為最長匹配。這樣就可以避免校園網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件來攻擊中心交換機，因為這種攻擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的 IP 地址，來不 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學網(wǎng)絡(luò)改造項目 機密文件 16 斷消耗主控處理板的 CPU 處理能力，直到徹底使主控處理板的 CPU 喪失處理能力，整個機器癱掉。但是 S8500 是根據(jù)最長匹配來查找路由的，是針對網(wǎng)斷進行路由的。所以當攻擊者進行攻擊時， S8512 只能造成該接口板的業(yè)務(wù)能力處理下降，但是對于整機沒有多大影響。這是我們 選則 S8500 的作為核心交換的非常重要的原因。 S8500 具有良好的互通性， S8500 支持標準的路由協(xié)議，包括 OSPF、 BGP ISIS、RIP 等路由協(xié)議，在實際的開局中與 Foundry、思科、 Exreme 等多種廠家均能夠?qū)崿F(xiàn)互通，在華南理工大學、山東大學等用戶都得到實際的應用驗證。 核心交換機先進的體系架構(gòu)設(shè)計 網(wǎng)絡(luò)的背板技術(shù)經(jīng)歷了共享式、緩存式等發(fā)展， Crossbar 技術(shù)被公認為最為完美的一種設(shè)計方式，華為 3Com公司 S8505交換機采用背板采用分布式 Crossbar的技術(shù)，整機的轉(zhuǎn)發(fā)不存在任何的瓶頸問題，同時， S8505 可實現(xiàn)背板容量的平滑升級，除背板采用 Crossbar 的方式，在接口板上，華為 3Com 公司 S8505 萬兆核心交換機采用分布式 Crossbar 的技術(shù)，即在每個業(yè)務(wù)單板上面也同樣采用 Crossbar 的技術(shù)，端口與端口之間的轉(zhuǎn)發(fā)均有可直達的端到端轉(zhuǎn)發(fā)通道，使得端口之間的轉(zhuǎn)發(fā)不存在在任何瓶頸，大大提高了核心交換機的整機轉(zhuǎn)發(fā)性能。 基于流攻擊的防止。 華為 3 所采用產(chǎn)品 S8500、 S5600 等三層轉(zhuǎn)發(fā)模式均為最長路由匹配技術(shù)。這樣就可以避 免校園網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件進行的一些基于流的共計，因為這種攻擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的 IP 地址，來不斷消耗主控處理板的CPU 處理能力，直到徹底使主控處理板的 CPU 喪失處理能力，整個機器癱掉。 S8500是根據(jù)最長匹配來查找路由的，是針對網(wǎng)斷進行路由的。所以當攻擊者進行攻擊時，不會造成 S8500 業(yè)務(wù)能力處理下降，對于整機沒有影響影響。這是我們選則 S8500 的作為核心交換的非常重要的原因。 匯聚層強大的 IRF擴展性能 S5600 可以支持強大的 IRF 特性，可以擴大匯聚層與核心層之間的 帶寬以及可靠 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學網(wǎng)絡(luò)改造項目 機密文件 17 性， 其相關(guān)技術(shù)如下： 路由的熱備份 相對于傳統(tǒng)的設(shè)備組網(wǎng)， IRF 提供了真正的單播路由協(xié)議和組播路由協(xié)議的熱備份。并且用戶不需要花一半的投資專門用在備份設(shè)備上面， IRF 中 所有的設(shè)備都實際參與業(yè)務(wù)運行。 IRF 是在提供業(yè)務(wù)的同時進行備份。 DRR 實現(xiàn)了路由協(xié)議熱備份的技術(shù)，做到了同一個 fabric 中各個 unit 上路由信息的嚴格同步，并且在其中一個或多個 unit 出現(xiàn)故障的時候，其它 unit 可以照常運行并迅速接管故障 unit 的功能，此時，域內(nèi)路由協(xié)議不會隨之出現(xiàn)中斷，二 /三層轉(zhuǎn)發(fā)流量和業(yè)務(wù)也不會出現(xiàn)中斷， 從而實現(xiàn)了真正意義上的不中斷路由協(xié)議、不中斷業(yè)務(wù)的故障保護和設(shè)備切換功能。 U n i t 1O S P FR I P備份信息U n i t 2U n i t 3 U n i t 4U n i t 1O S P FR I PU n i t 2U n i t 3 U n i t 4???備份信息 IRF 的分布式彈性路由 鏈路的備份 分布式的聚合技術(shù)進一步消除了聚合設(shè)備單點失效的問題，提高了聚合鏈路的可用性。由于聚合成員可以位于系統(tǒng)的不同設(shè)備上，這樣即使某些成員所在的設(shè)備整個 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學網(wǎng)絡(luò)改造項目 機密文件 18 出現(xiàn)故障，也不會導致聚合鏈路完全失效，其它正常工作的 unit 會繼續(xù)管理和維護剩下的聚合端口的狀態(tài)。這對于核心交換系統(tǒng)和要求高質(zhì)量服務(wù)的網(wǎng)絡(luò)環(huán)境意義重大。 分布式鏈路聚合（ DLA） DLA 技術(shù)允許 IRF 網(wǎng)絡(luò)核心外的其他交換機等設(shè)備以多宿主的方式接入 IRF 網(wǎng)絡(luò)核心，極大提高了全網(wǎng)的可用性。通過多條聚合鏈路流向 IRF 網(wǎng)絡(luò)核心的流量將均勻分布在聚合鏈路上，當某一條聚合鏈路失效時， DLA 能夠?qū)⒘髁孔詣又匦路植嫉狡溆嗑酆湘溌芬詫崿F(xiàn)鏈路的彈性備份和提高網(wǎng)絡(luò)可靠性。 高性能 由于 IRF 設(shè)備是由多個支持 IRF 特性的單機設(shè)備堆疊而成的， IRF 設(shè)備的交換容量和端口數(shù)量就是 IRF 內(nèi)部所有單機設(shè)備交換容量和端口數(shù)量的總和。因此， IRF 技術(shù)能夠通過多個單機設(shè)備 的堆疊，輕易的將設(shè)備的核心交換能力、用戶端口的密度擴大數(shù)倍，從而大幅度提高了設(shè)備的性能。 IRF 數(shù)據(jù)報文 數(shù)據(jù)報文 鏈路故障 IRF XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學網(wǎng)絡(luò)改造項目 機密文件 19 擴展性 IRF 技術(shù)最大支持八臺設(shè)備的堆疊，用戶可以按照自身的需要購買 IRF 交換機。由于業(yè)務(wù)的需要，如果用戶需要擴展網(wǎng)絡(luò)的容量，只需要堆疊更多的 IRF 交換機，就可以達到擴容的目的。 IRF 技術(shù)極大的保護了用戶以前的投資，提高用戶的投資效率。 分布式設(shè)備管理 支持 IRF 技術(shù)的多臺設(shè)備可以被看成是一臺統(tǒng)一的設(shè)備來管理。 用戶將一個 fabric 當成一臺整體設(shè)備進行管理 高效的配置管理 IRF 技術(shù)最多可以連接 8 臺設(shè)備組成一個 fabric，無論是管理特性、還是轉(zhuǎn)發(fā)特性，在用戶看來， fabric 就像是一臺設(shè)備在運行。組成 fabric 的每臺設(shè)備具有相同的橋 MAC 地址，單一管理 IP 地址和三層轉(zhuǎn)發(fā)地址。用戶無論通過何種方式（ console口、 tel、 snmp）連接到 fabric 內(nèi)的一臺設(shè)備上，對 fabric 的配置只需要執(zhí)行一次， fabric 內(nèi)的所有設(shè)備都將得到配置。 1 2 3 4 IRF XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學網(wǎng)絡(luò)改造項目 機密文件 20 軟件版本升級 相對于以前的簡單堆疊，對堆疊體內(nèi)多臺單機進行軟件升級的操作將要執(zhí)行多次，而 IRF 交換機，通過 WEB 網(wǎng)管，用戶只需要執(zhí)行一次操作，就可以實現(xiàn) fabric內(nèi)所 有 unit 的軟件的自動升級。 設(shè)備的熱插拔 組成 fabric 的設(shè)備可以任意的插入和拔出，而不會影響當前 fabric 的正常運行。 當一臺設(shè)備通過堆疊線接入到一個正在運行的 fabric 內(nèi)，原有的 fabric 就會檢測到新的設(shè)備，同時驗證新設(shè)備是否可以加入到 fabric，如果驗證通過，新加入的設(shè)備將會得到原有的全局配置信息和轉(zhuǎn)發(fā)信息，同時將自己設(shè)備特有的配置和轉(zhuǎn)發(fā)信息散發(fā)到 fabric 內(nèi)，經(jīng)過短暫的信息交互后，新加入的設(shè)備就可以參與轉(zhuǎn)發(fā)了。而這個過程絲毫沒有影響原有設(shè)備轉(zhuǎn)發(fā)過程。當然，這個過程也可以是兩個現(xiàn)有的 fabric進行合并，現(xiàn)有的轉(zhuǎn)發(fā)不會受到影響。 當從 fabric 斷開一臺或者多臺 unit，和該設(shè)備相關(guān)的配置、轉(zhuǎn)發(fā)信息將被從剩余的設(shè)備內(nèi)刪除，從而不會造成轉(zhuǎn)發(fā)失敗。 同時，分離出去的 unit 可能會自己形成一個新的 fabric，由于 fabric 內(nèi)所有的配置都是相同的，如果原來配置有