【文章內(nèi)容簡介】 應(yīng)用的不同，如有對時延敏感型應(yīng)用VoIP、VOD和時延非敏感應(yīng)用FTP等，要求網(wǎng)絡(luò)必須對不同的應(yīng)用提供不同的服務(wù)優(yōu)先級，這種保證措施不僅在網(wǎng)絡(luò)主干上可以實施，而且在網(wǎng)絡(luò)邊緣(指在接入層二層交換機上)一樣要求可以實施。根據(jù)不同的用戶類型、不同的應(yīng)用服務(wù)，可以劃分不同的用戶級別，根據(jù)級別提供不同的帶寬。 多媒體數(shù)據(jù)傳輸?shù)奶厥庑远嗝襟w應(yīng)用需要傳輸大量的實時語音和視頻信息,這些信息在多點之間傳送時,必須要保證收發(fā)端的實時性,因而不能采用存儲轉(zhuǎn)發(fā)式的非實時方式,而現(xiàn)有的網(wǎng)絡(luò)層和傳輸層的TCP/IP通信協(xié)議,主要支持點到點的數(shù)據(jù)通信,既不支持多媒體通信,也不支持多用戶通信，在現(xiàn)有的TCP/IP協(xié)議基礎(chǔ)上,需要增加必要的控制功能,使它適應(yīng)音頻、視頻連續(xù)媒體的傳輸要求。多媒體數(shù)據(jù)所傳輸?shù)氖菍崟r視頻和音頻等連續(xù)媒體信息,這些媒體信息之間通常存在嚴(yán)格的時間約束和同步控制的機制,基礎(chǔ)傳輸網(wǎng)絡(luò)必須支持流量控制,將信號在網(wǎng)絡(luò)傳輸中的延遲、抖動限制在一定的允許范圍內(nèi)。因此,通信網(wǎng)絡(luò)必須具有足夠的帶寬,網(wǎng)絡(luò)的吞吐率必須持續(xù)穩(wěn)定。 在千兆以太網(wǎng)的配套技術(shù)中，IEEE 、IEEE （RSVP）等關(guān)鍵協(xié)議的支持以及第三層交換機QoS技術(shù)的完善和發(fā)展，使千兆以太網(wǎng)對多媒體信息傳輸?shù)闹С稚线M(jìn)一步完善。216。 IEEE （共支持8級）來提供優(yōu)先級，使以太網(wǎng)能夠及時響應(yīng)客戶端對網(wǎng)絡(luò)發(fā)出的某個QoS（服務(wù)質(zhì)量）請求，該標(biāo)準(zhǔn)還界定了組播（Multicast）分組管理，保證以太網(wǎng)上的多媒體應(yīng)用需求。216。 IEEE 是以太網(wǎng)的一種流控機制。當(dāng)客戶終端向服務(wù)器發(fā)出請求后，自身系統(tǒng)或網(wǎng)絡(luò)產(chǎn)生擁塞時，它會向服務(wù)器發(fā)出一種暫停幀，以延緩服務(wù)器的數(shù)據(jù)傳輸。千兆設(shè)備對該機制的支持，補充了千兆以太網(wǎng)的控制功能。 技術(shù)措施在千兆以太網(wǎng)中采用的網(wǎng)絡(luò)應(yīng)用技術(shù)主要有Gigabit EtherChannel技術(shù)、第三層交換技術(shù)、負(fù)載均衡技術(shù)、Qos控制、IP Multicast技術(shù)等。以上技術(shù)的應(yīng)用特點分析如下： Gigabit EtherChannel技術(shù)Gigabit EtherChannel技術(shù)使關(guān)鍵的骨干網(wǎng)中繼線的吞吐量，隨骨干業(yè)務(wù)量的不斷增長可以成倍擴展，可以將八個千兆以太網(wǎng)鏈路合并到一個邏輯鏈路上，可以在設(shè)備之間實現(xiàn)16Gbps的吞吐量。利用Port Aggregation Protocol，業(yè)務(wù)量可以在物理鏈路上以最高效的方式自動進(jìn)行平衡，用戶可以利用新的多模塊通道（Channeling）特性，將同一個模塊或不同模塊上的端口合并到一個Gigabit EtherChannel鏈路上。同時，Gigabit EtherChannel技術(shù)提供了很好的彈性，如果Gigabit EtherChannel鏈路上的一個物理端口出現(xiàn)故障，該端口上的所有業(yè)務(wù)將被自動重定向，并平衡到其它端口上，重新定向不會中斷操作，保證最大骨干網(wǎng)吞吐量和可靠性。 第三層交換技術(shù)第三層交換技術(shù)（也稱為多層交換技術(shù)，或IP交換技術(shù)）是相對于傳統(tǒng)交換概念而提出的。多層交換技術(shù)是在網(wǎng)絡(luò)模型中的第三層實現(xiàn)了數(shù)據(jù)包的高速轉(zhuǎn)發(fā)。第三層交換的目的是擁有每秒數(shù)百萬個數(shù)據(jù)包的包交換吞吐量（而傳統(tǒng)的通用路由器的包交換吞吐量只有從10萬到100多萬bps），降低由于較高層次處理而導(dǎo)致的信息轉(zhuǎn)發(fā)瓶頸和性能價格比低等問題。第三層交換技術(shù)的關(guān)鍵如下：處理不同子網(wǎng)之間信息轉(zhuǎn)發(fā)時，除必要的路由操作，盡量利用二層交換（一次路由，多次交換）的功能在網(wǎng)絡(luò)中傳送信息，以實現(xiàn)信息的高速轉(zhuǎn)發(fā)。 采用ASIC專用處理硬件和改進(jìn)的體系結(jié)構(gòu)，解決傳統(tǒng)路由器因采用通用處理機和內(nèi)存程序所導(dǎo)致的處理時間長的問題。 虛擬局域網(wǎng)技術(shù)虛擬網(wǎng)（VLAN）是將一組物理上彼此分開的用戶和服務(wù)器邏輯地分成工作群組，這樣的邏輯劃分與物理位置無關(guān)。簡單地說，就是把一組用戶分配在一個單一的廣播域上，廣播流量只有其成員才能夠收到。參照OSI模型將虛擬網(wǎng)技術(shù)大致分成第二層（主要基于MAC層）虛擬網(wǎng)和第三層（主要基于網(wǎng)絡(luò)層協(xié)議）虛擬網(wǎng)這兩大類。( 1) 第二層虛擬網(wǎng)在第二層（MAC層）實現(xiàn)的虛擬網(wǎng)，主要依賴顯式標(biāo)志技術(shù)，通過始發(fā)交換機(Ingress Switch) 對傳統(tǒng)的MAC進(jìn)行封裝，在其中加入虛擬網(wǎng)標(biāo)識，使得其它交換機能夠了解到該幀所屬的VLAN，從而根據(jù)事先確定的虛擬網(wǎng)組建策略將它正確地傳輸?shù)竭m當(dāng)?shù)慕粨Q端口。由于可以依靠局域網(wǎng)交換機等硬件設(shè)備實現(xiàn)，因此具有速度快、延時小等好處，但又引起了諸如幀校驗、最大傳輸單元MTU(Maximum Transmission Unit)受限、交換機（尤其是異種廠商設(shè)備）之間交換VLAN信息困難等難題。(2) 第三層虛擬網(wǎng)依賴隱性標(biāo)志(ImplicitlyTagged)技術(shù)，通過第三層的協(xié)議信息來區(qū)別不同的虛擬網(wǎng)。由于這類方法傾向于用邏輯的而非物理的方法來劃分虛擬網(wǎng)，因此比較容易理解，方法本身也不復(fù)雜，但其實現(xiàn)牽涉了比較多的軟件處理，故而其處理速度不及上面所介紹的基于硬件的方法。第三層虛擬網(wǎng)劃分的依據(jù)主要是協(xié)議種類或地址信息等。虛擬網(wǎng)的劃分方式有四種常見的方法:216。 根據(jù)端口定義。216。 根據(jù)MAC地址定義。216。 根據(jù)網(wǎng)絡(luò)層定義。216。 根據(jù)IP地址定義三種方式用來實現(xiàn)VLAN之間的通訊216。 列表支持方式(Table Maintenance)216。 幀標(biāo)簽方式(Frame Tagging)。由此分析可知，要組建滿足客戶需求的高性能的計算機網(wǎng)絡(luò)離不開上述多種網(wǎng)絡(luò)應(yīng)用技術(shù)的綜合運用。 整體設(shè)計 網(wǎng)絡(luò)總體結(jié)構(gòu)計算機網(wǎng)絡(luò)拓?fù)鋱D(1) 局域網(wǎng)：陽曲人武部網(wǎng)絡(luò)計算機網(wǎng)絡(luò)分為內(nèi)、外隔離的兩套網(wǎng)絡(luò)。由于信息點數(shù)較少局域網(wǎng)部分只設(shè)計核心層，所有信息點直接匯接于核心交換機，方便進(jìn)行網(wǎng)絡(luò)擴展（如上圖所示）。核心層網(wǎng)絡(luò)是整個系統(tǒng)的核心，它提供一個高速的網(wǎng)絡(luò)通信平臺以及最重要的信息資源，由一個核心節(jié)點和高速網(wǎng)絡(luò)組成。核心層設(shè)備放置在綜合樓網(wǎng)絡(luò)中心機房。該設(shè)備具有第三層、第四層交換功能，可實現(xiàn)全線速的IP交換及QoS功能，各種數(shù)據(jù)流在這里集中交換和路由。公共服務(wù)器群、網(wǎng)管工作站、防火墻等設(shè)備直接和核心交換機相連。 產(chǎn)品選擇目前，網(wǎng)絡(luò)設(shè)備的生產(chǎn)廠商很多，如華為、NORTEL、3COM等。這些公司的網(wǎng)絡(luò)設(shè)備廣泛地使用在世界各地，占據(jù)著全球計算機網(wǎng)絡(luò)市場的絕大份額，而又以華為產(chǎn)品在業(yè)界占有領(lǐng)先地位。由于軍區(qū)對設(shè)備的限制，以及我公司對市場和產(chǎn)品性能的了解。因此我們推薦選取華為公司的產(chǎn)品組建陽曲人武部網(wǎng)絡(luò)計算機網(wǎng)絡(luò)。 設(shè)備配置 網(wǎng)絡(luò)設(shè)備依據(jù)對網(wǎng)絡(luò)需求的深入分析以及對主流網(wǎng)絡(luò)廠商產(chǎn)品的把握，我方案對網(wǎng)絡(luò)設(shè)備選型如下：216。 防火墻華賽USG2210216。 核心交換機―――――華為 5700上述所選產(chǎn)品技術(shù)參數(shù)完全能夠滿足需求。太原軍分區(qū)陽曲縣人武部網(wǎng)絡(luò)系統(tǒng)使用防火墻 usg2210 2臺 核心交換機華為 5700 2臺，樓層內(nèi)所有點都在此匯接。具體配置如下：基于實用性與經(jīng)濟性原則，考慮到綜合布線的前瞻性，接入層交換機提供的端口數(shù)基本按綜合布線點表的數(shù)據(jù)點數(shù)的全配置。接入層交換機可根據(jù)發(fā)展隨時增加。 VLAN的劃分 VLAN簡介為了便于管理，并提高網(wǎng)絡(luò)的效率和安全性，除了上述網(wǎng)絡(luò)的物理設(shè)計外，還需要對網(wǎng)絡(luò)進(jìn)行邏輯設(shè)計，即劃分虛擬網(wǎng)。虛擬網(wǎng)技術(shù)是將網(wǎng)絡(luò)中的物理基礎(chǔ)設(shè)施與網(wǎng)絡(luò)的邏輯基礎(chǔ)設(shè)施相分離，使得網(wǎng)管人員能方便而動態(tài)地建立和重構(gòu)虛擬網(wǎng)絡(luò)，以適應(yīng)部門機構(gòu)的協(xié)作與變動，方便網(wǎng)絡(luò)管理，降低管理的成本。虛擬網(wǎng)(VLAN)在邏輯上等于OSI七層模型的第二層的廣播域，它與具體的物理網(wǎng)及地理位置無關(guān)。在傳統(tǒng)的局域網(wǎng)環(huán)境中，整個網(wǎng)絡(luò)處于同一個廣播域中，這樣當(dāng)大量用戶發(fā)送廣播信息時容易形成廣播風(fēng)暴，使得整個網(wǎng)絡(luò)癱瘓。虛擬網(wǎng)技術(shù)把傳統(tǒng)的廣播域按照需要分割成各個獨立的廣播域，使網(wǎng)絡(luò)中廣播包消耗帶寬所占的比例大大降低，網(wǎng)絡(luò)的性能得到顯著的提高。在傳統(tǒng)的網(wǎng)絡(luò)技術(shù)中，網(wǎng)內(nèi)用戶的移動、刪除或增加都需要在物理上對網(wǎng)絡(luò)設(shè)備進(jìn)行設(shè)置，而在虛擬網(wǎng)環(huán)境中，網(wǎng)絡(luò)用戶的變更不需要重新對網(wǎng)絡(luò)設(shè)備進(jìn)行設(shè)置，也就是說虛擬網(wǎng)技術(shù)具有自適應(yīng)功能。另外，在傳統(tǒng)的網(wǎng)絡(luò)技術(shù)中，同一物理網(wǎng)段中的用戶在網(wǎng)絡(luò)層上很難實施安全措施，而在虛擬網(wǎng)絡(luò)環(huán)境中，我們可以通過劃分不同的虛擬網(wǎng)絡(luò)來控制處于同一物理網(wǎng)段中的用戶之間的通信。隨著局域網(wǎng)交換技術(shù)的普及，交換機平均端口價格的下降，已經(jīng)使虛擬網(wǎng)絡(luò)技術(shù)（VLAN）成為一種降低成本、增加帶寬的有效途徑。虛擬網(wǎng)是與地理位置無關(guān)的廣播域，是一組最終用戶的集合。這些用戶可能處在不同的物理LAN上，但他們之間可以象在同一個LAN上那樣收發(fā)自如，使用戶感覺不到地理位置的差異。VLAN是由軟件功能定義的廣播域，它與硬件定義的局域網(wǎng)網(wǎng)段不同，通過軟件控制，一個VLAN可以由跨越多個交換機的預(yù)先定義的組端口組成。VLAN最突出的優(yōu)點是它的操作對于現(xiàn)行的協(xié)議來說是透明的，在同一個交換機上能夠建立起彼此分割的多個廣播域，使得整個網(wǎng)絡(luò)對帶寬的利用得到優(yōu)化。VLAN提供了一種有效的手段用于優(yōu)化本地網(wǎng)絡(luò)帶寬，VLAN通過將用戶限制在相對較小的網(wǎng)段內(nèi)使得競爭網(wǎng)絡(luò)帶寬產(chǎn)生的碰撞降到最低范圍。阻隔網(wǎng)絡(luò)廣播是提高網(wǎng)絡(luò)效率的主要途徑。通過在支持VLAN的交換機上劃分不同的VLAN，可以方便、有效地阻隔廣播。在交換過程中，廣播信息只能在同一個VLAN中復(fù)制，無法跨越不同的VLAN，使網(wǎng)絡(luò)的交換性能得以提高。VLAN也能夠降低移動、增加和改變的費用，因為當(dāng)用戶在網(wǎng)絡(luò)內(nèi)改變位置時，VLAN成員間的關(guān)系依然保持，而且與子網(wǎng)或VLAN相關(guān)的服務(wù)不必重新配置。VLAN同時能夠增加LAN的安全性，因為只有屬于同一VLAN的成員之間才能互相通信。不同VLAN之間的通信則需通過外部路由器或交換機內(nèi)置的路由功能，從而可以利用路由器強有力的安全設(shè)施控制不同VLAN之間的通信。采用VLAN可以將邏輯基礎(chǔ)設(shè)施與物理基礎(chǔ)設(shè)施分開，實現(xiàn)在同一主干上同時傳送幾個不同VLAN的數(shù)據(jù)包，從而大大節(jié)省了建網(wǎng)所需的主干數(shù)目。另外通過支持VLAN的網(wǎng)絡(luò)管理軟件，管理員還能方便地動態(tài)建立和重構(gòu)VLAN，使得網(wǎng)絡(luò)變得更集中、更靈活、更易于管理。 VLAN的功能分析216。 控制網(wǎng)絡(luò)上的廣播風(fēng)暴216。 增加網(wǎng)絡(luò)的安全性216。 集中化的管理控制這就是在局域網(wǎng)交換機上采用VLAN技術(shù)的初衷，也確實解決了一些問題。但這種技術(shù)也引發(fā)出一些新的問題：隨著應(yīng)用的升級，網(wǎng)絡(luò)規(guī)劃/實施者可根據(jù)情況在交換式局域網(wǎng)環(huán)境下將用戶劃分在不同虛擬網(wǎng)上。但是虛擬網(wǎng)之間通信是不允許的，這也包括地址解析(ARP)封包。要想通信就需要用路由器橋接這些虛擬網(wǎng),這就是VLAN網(wǎng)的問題：不用路由器是嫌它慢，用交換器速度快但不能解決廣播風(fēng)暴問題，在交換器中采用虛擬網(wǎng)技術(shù)可以解決廣播風(fēng)暴問題，但又必須放置路由器來實現(xiàn)虛擬網(wǎng)之間的互通。形成了一個不可逾越的怪圈。這就是網(wǎng)絡(luò)的核心和樞紐路由器的問題。在這種網(wǎng)絡(luò)系統(tǒng)集成模式中，路由器是核心。路由器所起的作用是：216。 網(wǎng)段微化216。 網(wǎng)絡(luò)擁塞的控制216。 網(wǎng)絡(luò)的安全控制216。 子網(wǎng)(虛擬網(wǎng))間互連采用路由器作為網(wǎng)絡(luò)的核心所產(chǎn)生的問題是路由器增加了3層路由選擇的時間數(shù)據(jù)的傳輸效率低；增加、移動和改變節(jié)點的復(fù)雜性有增無減；路由器價格昂貴、結(jié)構(gòu)復(fù)雜；增加子網(wǎng)/虛擬網(wǎng)的互連意味著要增加路由器端口，投資也增大?！∫虼艘肓说谌龑咏粨Q的概念。利用三層交換機來替代路由器完成VLAN間的路由交換。 VLAN的劃分原則在太原軍分區(qū)陽曲縣人武部網(wǎng)絡(luò)計算機網(wǎng)絡(luò)建設(shè)中，為了易于管理和減少以太網(wǎng)上的廣播信息建議將網(wǎng)絡(luò)劃分VLAN進(jìn)行管理。建議按組織職能區(qū)域劃分VLAN。一般的計算機網(wǎng)絡(luò)可能有Windows95客戶機、WindowsNT服務(wù)器、NOVELL服務(wù)器、UNIX服務(wù)器和工作站。也就是說，同時可能有IP，IPX、NETBEUI等協(xié)議運行于網(wǎng)絡(luò)上，單網(wǎng)段網(wǎng)絡(luò)的規(guī)模即一個虛擬網(wǎng)的節(jié)點數(shù)最好應(yīng)限制在300個以內(nèi)。為獲得比較好的性能，一個VLAN中的用戶數(shù)為150左右。對于有些單位，由于其規(guī)模比較大，必須進(jìn)一步對這些單位按其邏輯進(jìn)行劃分以建立相應(yīng)的VLAN，劃分VLAN之后所帶來的問題是原來在一個VLAN中的名字服務(wù)現(xiàn)在因為要跨越VLAN而不能完全提供(通俗地說，用戶不能在Windows95的網(wǎng)絡(luò)鄰居中看到其它VLAN中的用戶)，因為由同一單位劃分出來的VLAN往往有比較多的聯(lián)系，為方便用戶，名字服務(wù)是需要的。這個問題可以通過在網(wǎng)絡(luò)中設(shè)立WINS服務(wù)解決，有關(guān)WINS技術(shù)的詳細(xì)介紹請參見Microsoft的相關(guān)資料。虛擬網(wǎng)的劃分要依據(jù)一定的原則，這些原則是對于那些相互之間聯(lián)系頻繁的節(jié)點，盡量劃分在一個網(wǎng)段，比如說可以按照職能單位來劃分虛擬網(wǎng)，對于較大的單位，可以進(jìn)一步細(xì)化。對于公共的服務(wù)器，盡量設(shè)置在對其訪問數(shù)據(jù)流量最大的VLAN中，對于專用的服務(wù)器，或者為多個VLAN用戶所經(jīng)常訪問的服務(wù)器，可以使用虛擬多宿主服務(wù)器技術(shù)，該技術(shù)使得一臺服務(wù)器同時存在于多個VLAN中。有下列技術(shù)可以實現(xiàn)虛擬多宿主服務(wù)器：216。 通過在服務(wù)器插入多個網(wǎng)卡216。 服務(wù)器使用支持VLAN Trunking技術(shù)（）建議陽曲人武部網(wǎng)絡(luò)以區(qū)域和職能單位為單位進(jìn)行劃VLAN, 即每個職能單位為一個獨立的VLAN，并可將每個職能單位及其專用信息服務(wù)器分別劃歸一個VLAN。公共服務(wù)器劃歸一個VLAN。所有交換設(shè)備劃分為一個管理VLAN。 VLAN劃分方法劃分VLAN的方式基本有四種：(1) 根據(jù)端口定義最初，許多VLAN廠商都利用交換機的端口來劃分VLAN成員。被設(shè)定的端口都在同一個廣播域中。例如，一個交換機的1，2，3，7，8端口被定義為虛擬網(wǎng)A，同一交換機的4，5，6端口組成虛擬網(wǎng)B。這樣做允許各端口之間的通訊，并允許共享型網(wǎng)絡(luò)的升級。但遺憾的是，這種劃分模式將虛擬網(wǎng)限制在了一臺交換機上。第二代端口VLAN技術(shù)允許跨越多個交換機的多個不同端口劃分VLAN，不同交換機上的若干個端口可以組成同一個虛擬網(wǎng)。按交換機端口來劃分網(wǎng)絡(luò)成員，其配置過程簡單明了。因此，迄今為止，仍然是最常用的一種方式。(2) 根據(jù)MAC地址定義按MAC地址定義的VLAN有其特有的優(yōu)勢。因為MAC地址是捆綁在網(wǎng)絡(luò)接口卡上的，所以這種