【文章內(nèi)容簡(jiǎn)介】 邊緣的路由，核心的交換。MPLS/VPN 的實(shí)現(xiàn)過(guò)程：客戶(hù)的邊界路由器 CE 連接到 MPLS 的 PE 路由器，通過(guò) MPLS 內(nèi)部創(chuàng)建的 VPN，客戶(hù)的數(shù)據(jù)被封裝并透明地傳送到其它的CE 路由器。CE 路由器向 VPN 廣播包含它下屬節(jié)點(diǎn)的所有設(shè)備的路由表。一個(gè) MPLS/VPN 網(wǎng)絡(luò)由一些分離的站點(diǎn)組成，這些站點(diǎn)通過(guò) MPLS 服務(wù)提供商的骨干網(wǎng)絡(luò)互聯(lián)。在每一個(gè)站點(diǎn)有一個(gè)或多個(gè) CE 路由器，每個(gè) CE 連接一個(gè)或多個(gè) PE 路由器。相關(guān)聯(lián)的 PE 之間使用 MPBGP（Border Gateway ProtocolMultiprotocol）協(xié)議通信。VPN 的 IP 地址范圍獨(dú)立定義，任意兩個(gè) VPN 的 IP 地址集可以有重疊。在同一個(gè) VPN 專(zhuān)網(wǎng)中使用的 IP 地址必須是一個(gè)單獨(dú)地址集。每個(gè) CE 與它直接相連的 PE 路由可達(dá)。另外，在所有 VPN 中的 PE 路由器的 IP 地址不能重復(fù)。 MPLS 支持的路由協(xié)議MPLS 內(nèi)部（PCPC、PCPE 或 PEPE 之間）的路由通過(guò)標(biāo)準(zhǔn)的第三層路由協(xié)議來(lái)實(shí)現(xiàn)，如：OSPF、BGP 等。第三層路由協(xié)議維護(hù)的信息將用于給相鄰節(jié)點(diǎn)分配標(biāo)簽。MPLS 與用戶(hù)之間（PE 與 CE 之間）的路由協(xié)議可以是：OSPF、ISIS、RIP 、BGP 或靜態(tài)路由。22 / 79MPLS 骨干網(wǎng)內(nèi)部的路由協(xié)議，即 PEPPE 的 IGP 路由協(xié)議可以是 OSPF或 ISIS。為傳送用戶(hù) VPN 的路由信息，在對(duì)應(yīng)的 PE 之間使用 MPBGP 路由協(xié)議。從用戶(hù)的觀點(diǎn)看，雖然要穿過(guò)服務(wù)提供商管理的 VPN 通道，但用戶(hù)看到的是 CE 之間直接互聯(lián)，并通過(guò) CE 將每一個(gè)站點(diǎn)的用戶(hù)內(nèi)部路由器連接起來(lái)。服務(wù)提供商的 MPLS 網(wǎng)絡(luò)對(duì)用戶(hù)是透明的，看不到內(nèi)部的結(jié)構(gòu)，也看不到 MPLS網(wǎng)內(nèi)部傳輸?shù)穆酚?。?子 政 務(wù) 外 網(wǎng)專(zhuān) 網(wǎng) 系 統(tǒng) VPNCECE CE站 點(diǎn) A 站 點(diǎn) B站 點(diǎn) C用 戶(hù) 所 看 到 的 VPN網(wǎng) 絡(luò)從服務(wù)提供商的角度看，其 MPLS 網(wǎng)絡(luò)與用戶(hù)網(wǎng)絡(luò)比較是非常不同的。每個(gè)用戶(hù)只有一個(gè) VPN，而一個(gè)服務(wù)提供商可以有多個(gè) VPN。服務(wù)提供商只能管理每個(gè) VPN 在 MPLS 骨干網(wǎng)中的通道，它看不到由 VPN 組成的專(zhuān)網(wǎng)的內(nèi)部結(jié)構(gòu)。23 / 79電 子 政 務(wù) 外 網(wǎng)MPLS骨 干 網(wǎng)專(zhuān) 網(wǎng) 10站 點(diǎn) A服 務(wù) 提 供 商 所 看 到 的 網(wǎng) 絡(luò)PE1 PE3 PE2CECE CECECE CEBGPBGP BGPVPN 10 VPN 10VPN 10VPN 15 VPN 15 VPN 15專(zhuān) 網(wǎng) 10站 點(diǎn)專(zhuān) 網(wǎng) 10站 點(diǎn) B專(zhuān) 網(wǎng) 15站 點(diǎn) A 專(zhuān) 網(wǎng) 15站 點(diǎn) A專(zhuān) 網(wǎng) 15站 點(diǎn) BPE 路由器分別為每個(gè) VPN 維護(hù)一張路由表，表中有其直接相連的 VPN 站點(diǎn)的路由信息，并且與相應(yīng) VPN 相關(guān)的 PE 之間交換這些路由信息。 MPLS VPN 同 VLAN 接入映射在各個(gè)接入節(jié)點(diǎn)，為節(jié)省 PE 路由器的接入端口和線路，同時(shí)又保障可以實(shí)現(xiàn)多個(gè) VPN 專(zhuān)網(wǎng)接入 MPLS，我們建議通過(guò) 2 層交換機(jī)作為 VPN 專(zhuān)網(wǎng)接入的物理設(shè)備。2 層交換機(jī)通過(guò) Trunk 與 PE 路由器連接。在 2 層交換機(jī)上為接入的不同VPN 專(zhuān)網(wǎng)劃分不同的 VLAN，通過(guò) VLAN 接入不同的 VPN 專(zhuān)網(wǎng)。在 MPLS 的PE 路由器上，不同的 VPN 通道穿過(guò) Trunk 與 2 層交換機(jī)上的 VLAN 連通。在 XX 市電子政務(wù)外網(wǎng)中 MPLS/VPN 對(duì)應(yīng) VLAN 的實(shí)現(xiàn)機(jī)制如下圖所示：24 / 79EtherntEtherntVLAN1VLAN2VLAN3 VLAN VLAN1VLAN2VLAN3 VLAN資 源 共 享專(zhuān) 網(wǎng) 公 共 服 務(wù)專(zhuān) 網(wǎng) 部 門(mén) 業(yè) 務(wù)專(zhuān) 網(wǎng) 部 門(mén) 業(yè) 務(wù)專(zhuān) 網(wǎng) x部 門(mén) 業(yè) 務(wù)專(zhuān) 網(wǎng) y資 源 共 享專(zhuān) 網(wǎng)公 共 服 務(wù)專(zhuān) 網(wǎng) 部 門(mén) 業(yè) 務(wù)專(zhuān) 網(wǎng) x部 門(mén) 業(yè) 務(wù)專(zhuān) 網(wǎng)資 源 共 享專(zhuān) 網(wǎng) 公 共 服 務(wù)專(zhuān) 網(wǎng)VLAN aping部 門(mén) 業(yè) 務(wù)專(zhuān) 網(wǎng) 部 門(mén) 業(yè) 務(wù)專(zhuān) 網(wǎng) x部 門(mén) 業(yè) 務(wù)專(zhuān) 網(wǎng) y通過(guò) Trunk（ ）將不同 VLAN 映射到不同的 MPLS VPN 中來(lái)實(shí)現(xiàn)不同的 VPN 專(zhuān)網(wǎng)接入。VLAN 規(guī)劃為加強(qiáng)網(wǎng)絡(luò)管理的系統(tǒng)性，便于對(duì)用戶(hù)的管理與維護(hù)，增加用戶(hù)的安全性，需進(jìn)行 VLAN 的劃分。對(duì)于 VLAN 的劃分，我們建議，VLAN 編號(hào)以 Site 基準(zhǔn)，即 VLAN 號(hào)在一個(gè) Site 內(nèi)是唯一的，并且，統(tǒng)一的 VLAN 編號(hào)法有助于消除歧意和有助于排錯(cuò)。建議 VLAN 劃分如下：? VLAN1VLAN99，用于設(shè)備管理或保留；? VLAN100VLAN299，用于資源共享專(zhuān)網(wǎng)；25 / 79? VLAN300VLAN399，用于公共服務(wù)專(zhuān)網(wǎng)；? VLAN400VLAN499，用于業(yè)務(wù)專(zhuān)網(wǎng)；? 其余 VLAN 保留； MPLS/VPN 優(yōu)勢(shì)在 XX 電子政務(wù)外網(wǎng)建設(shè)中，XX 市不同的政府部門(mén)之間業(yè)務(wù)承載在同一張物理網(wǎng)絡(luò)之上，出于安全性的考慮，必須采用技術(shù)手段進(jìn)行安全隔離，而不同部門(mén)之間的部分資源又需要進(jìn)行受控互訪進(jìn)行共享，所以隔離和互訪是政務(wù)網(wǎng)建設(shè)中的必然需求。目前業(yè)界主要的隔離與互訪技術(shù)主要包括 MPLS VPN、傳統(tǒng)的VLAN+ACL、IP TUNNEL VPN 技術(shù)，ACL+VLAN 方式可以實(shí)現(xiàn)隔離、受控互訪，部門(mén)之間的隔離采用 VLAN 方式，受控互訪采用 ACL 進(jìn)行控制，但每增加一個(gè)新的 VLAN 或是業(yè)務(wù)系統(tǒng)都要對(duì)以前所有業(yè)務(wù)系統(tǒng)的配置進(jìn)行修改，可擴(kuò)展性和維護(hù)性較差。在靈活性、QOS 等方面，VPN 方式也明顯優(yōu)于ACL+VLAN，所以建議在政務(wù)網(wǎng)中采用 VPN 技術(shù)。當(dāng)然 VPN 技術(shù)又主要分為IP Tunnel VPN 和 MPLS VPN 技術(shù)，IP Tunnel VPN 同樣是每增加一個(gè)節(jié)點(diǎn)，都需要修改原有的 N 個(gè)節(jié)點(diǎn)的配置。所以，采用 IP Tunnel VPN 組建的 VPN 也存在嚴(yán)重的可擴(kuò)展性問(wèn)題，當(dāng)網(wǎng)絡(luò)規(guī)模擴(kuò)大時(shí)，隧道的建立及維護(hù)難度急劇增大，相應(yīng)的，對(duì)設(shè)備的性能壓力也急劇增大。如果考慮 VPN 之間的互通，這復(fù)雜度更大，所以，IP Tunnel VPN 只適合于組建規(guī)模有限，拓?fù)浜?jiǎn)單的 VPN。MPLS VPN 是采用自動(dòng)建立 LSP(標(biāo)簽轉(zhuǎn)發(fā)隧道) 實(shí)現(xiàn) VPN 報(bào)文在共網(wǎng)中的轉(zhuǎn)發(fā)，采用 MPBGP 協(xié)議實(shí)現(xiàn) VPN 私網(wǎng)路由信息的擴(kuò)散。從而大大減少了單個(gè)節(jié)點(diǎn)的配置工作量，MPLS VPN 便于維護(hù)。同時(shí)，不同于 IP Tunnel VPN 中VPN 的隔離依靠手工配置實(shí)現(xiàn)，由于采用了動(dòng)態(tài)協(xié)議實(shí)現(xiàn) VPN 隧道(即 LSP)的建立及 VPN 私網(wǎng)路由的擴(kuò)散，在增加新的節(jié)點(diǎn)時(shí)，不需要對(duì)原有節(jié)點(diǎn)的配置進(jìn)行修改。所以，相對(duì)于其他 VPN 技術(shù)，采用 MPLS 技術(shù)組建的 VPN 具有更好的可維護(hù)性及可擴(kuò)展性，MPLS VPN 更適合于組建較大規(guī)模的復(fù)雜的 VPN 網(wǎng)絡(luò)，MPLS VPN 的這些優(yōu)點(diǎn)已經(jīng)是它成為政務(wù)網(wǎng)上 IP VPN 的主流技術(shù)。所以在 XX 電子政務(wù)外網(wǎng)的規(guī)劃過(guò)程中，結(jié)合網(wǎng)絡(luò)可擴(kuò)展、維護(hù)等方面的26 / 79考慮，建議采用 MPLS VPN 技術(shù)實(shí)現(xiàn)在一個(gè)電子政務(wù)平臺(tái)之上，承載多個(gè)系統(tǒng)業(yè)務(wù)，并實(shí)現(xiàn)安全隔離。 快威實(shí)施 MPLS VPN 技術(shù)的優(yōu)勢(shì)快威科技具有豐富的規(guī)劃、實(shí)施大型 MPLS VPN 的技術(shù)實(shí)力和經(jīng)驗(yàn)積累。先后成功規(guī)劃和實(shí)施了江西省電子政務(wù)網(wǎng) MPLS VPN、浙江省電子政務(wù)網(wǎng)浙、XX 市數(shù)字城管 MPLS VPN 網(wǎng)絡(luò)、浙江省公安廳二級(jí)網(wǎng) MPLS VPN、河南網(wǎng)通寬帶 IP 網(wǎng)和 DCN 網(wǎng) MPLS VPN 的規(guī)劃和實(shí)施。27 / 796 XX 電子政務(wù)網(wǎng)解決方案 網(wǎng)絡(luò)建設(shè)原則根據(jù) XX 市電子政務(wù)網(wǎng)項(xiàng)目的具體情況，在系統(tǒng)設(shè)計(jì)中應(yīng)遵循以下原則：? 標(biāo)準(zhǔn)化及開(kāi)放性采用的設(shè)備應(yīng)符合國(guó)際通用標(biāo)準(zhǔn)，任何一臺(tái)設(shè)備都可用符合該標(biāo)準(zhǔn)的其他廠家的設(shè)備所替換；開(kāi)放的網(wǎng)絡(luò)可以讓用戶(hù)自由地選擇不同廠家的產(chǎn)品，不受原有廠家的限制。最大程度地保護(hù)用戶(hù)的利益。要求網(wǎng)絡(luò)的設(shè)計(jì)一定要基于國(guó)際標(biāo)準(zhǔn)，使用標(biāo)準(zhǔn)的通信協(xié)議。讓不同廠家的設(shè)備能夠在同一個(gè)網(wǎng)絡(luò)上同時(shí)運(yùn)行；規(guī)劃設(shè)計(jì)以及采用的設(shè)備應(yīng)是開(kāi)放的，應(yīng)能夠保證其他廠家設(shè)備的接入；在一個(gè)復(fù)雜的大型網(wǎng)絡(luò)系統(tǒng)里，必然共存著多個(gè)廠商的硬件和軟件產(chǎn)品。網(wǎng)絡(luò)系統(tǒng)的目標(biāo)就是要通過(guò)不同廠商的硬件設(shè)備和計(jì)算機(jī)軟件的互聯(lián)，從而實(shí)現(xiàn)網(wǎng)絡(luò)信息及設(shè)備資源的共享。為了保證用戶(hù)的網(wǎng)絡(luò)系統(tǒng)具有互操作性、可用性、可靠性、可擴(kuò)充性、可管理性，應(yīng)建立一個(gè)開(kāi)放的，遵循國(guó)際標(biāo)準(zhǔn)的網(wǎng)絡(luò)系統(tǒng)。? 可擴(kuò)展性規(guī)劃設(shè)計(jì)以及采用的設(shè)備應(yīng)具有一定的可擴(kuò)展性，網(wǎng)絡(luò)設(shè)計(jì)應(yīng)保證節(jié)點(diǎn)級(jí)的擴(kuò)展，以及滿(mǎn)足其它生產(chǎn)應(yīng)用接入對(duì)網(wǎng)絡(luò)的需求；隨著網(wǎng)絡(luò)用戶(hù)應(yīng)用規(guī)模的不斷擴(kuò)大，要求網(wǎng)絡(luò)能方便地?cái)U(kuò)充容量，支持更多的用戶(hù)和應(yīng)用。隨著通信技術(shù)的不斷發(fā)展，網(wǎng)絡(luò)要能平滑地過(guò)渡到新的技術(shù)和設(shè)備，保護(hù)用戶(hù)現(xiàn)有投資。由于企業(yè)內(nèi)部管理系統(tǒng)和對(duì)外業(yè)務(wù)的不斷發(fā)展，網(wǎng)絡(luò)系統(tǒng)必然隨之不斷擴(kuò)大。因此，目前的網(wǎng)絡(luò)設(shè)計(jì)必須為今后的擴(kuò)充留有足夠的余地，這樣才能最好地保護(hù)投資。除單個(gè)設(shè)備本身的擴(kuò)展能力之外，在網(wǎng)絡(luò)系統(tǒng)的設(shè)計(jì)過(guò)程中，還需要考慮整個(gè)網(wǎng)絡(luò)系統(tǒng)在未來(lái)幾年的擴(kuò)容能力和擴(kuò)容辦法。這樣才能既照顧到目前的應(yīng)28 / 79用需求，又能滿(mǎn)足今后整個(gè)計(jì)算機(jī)系統(tǒng)的發(fā)展需要?安全性安全在這里的含義不僅是指網(wǎng)絡(luò)系統(tǒng)本身的可靠安全、抗意外災(zāi)害、抗攻擊的能力，而且也要保證在網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)的保密性和安全性。從布線設(shè)計(jì)、網(wǎng)絡(luò)設(shè)計(jì)到應(yīng)用系統(tǒng)平臺(tái)的設(shè)計(jì)，在核心層、匯聚層、接入層等不同層次上都要確保數(shù)據(jù)的安全，做到線路防泄漏、防干擾、網(wǎng)絡(luò)具備完善的隔離措施和數(shù)據(jù)加密傳輸，在服務(wù)器平臺(tái)設(shè)計(jì)上防止非法訪問(wèn)，防止病毒破壞。形成一整套安全保障協(xié)防體系。應(yīng)提供足夠的措施防止受到外部用戶(hù)和黑客的非法訪問(wèn)、攻擊和破壞。同時(shí)，要保證在采取安全措施后，不影響公安應(yīng)用系統(tǒng)的正常運(yùn)行；?可靠性保證數(shù)據(jù)傳輸?shù)目煽啃?，?yīng)有備用或冗余手段。在發(fā)生網(wǎng)絡(luò)設(shè)備故障時(shí)，備用或冗余手段應(yīng)能保證公安系統(tǒng)的正常運(yùn)行。網(wǎng)絡(luò)節(jié)點(diǎn)中的關(guān)鍵硬件網(wǎng)絡(luò)產(chǎn)品的選用需具有很高的可靠性，較高的MTBF（平均無(wú)故障時(shí)間 Mean Time Between Failures）值；全對(duì)稱(chēng)各處理器的硬件體系結(jié)構(gòu)，能夠做到任意一個(gè)處理器和網(wǎng)絡(luò)接口模塊出現(xiàn)故障都不會(huì)影響其他模塊，所有的功能部件(電源、系統(tǒng)總線、處理器模塊、網(wǎng)絡(luò)接口模塊等)均可以熱插拔和冗余熱備份。除硬件的容錯(cuò)外，網(wǎng)絡(luò)設(shè)備還應(yīng)具備軟件故障隔離和軟件的熱備份和熱啟動(dòng)等，這樣才能保證網(wǎng)絡(luò)運(yùn)行的萬(wàn)無(wú)一失。為了防止局部的故障引起整個(gè)信息系統(tǒng)的癱瘓，要避免網(wǎng)絡(luò)出現(xiàn)單點(diǎn)失效。在骨干通信信道上要提供備份鏈路，提供冗余路由。在主要通信設(shè)備上要提供冗余配置，保證不會(huì)由于局部模塊的故障影響整個(gè)設(shè)備的運(yùn)行。?高性能網(wǎng)絡(luò)的設(shè)計(jì)方案不但要保證理論上可行，更重要的是實(shí)際上可用。要充分考慮到應(yīng)用系統(tǒng)的具體情況，最好地滿(mǎn)足需求。迅速地處理通信數(shù)據(jù)，需要網(wǎng)絡(luò)設(shè)備支持高速通信鏈路，提供高數(shù)據(jù)吞吐能力。29 / 79當(dāng)今世界，通信技術(shù)和計(jì)算機(jī)技術(shù)的發(fā)展日新月異。方案應(yīng)適應(yīng)新技術(shù)發(fā)展的潮流，既兼顧了技術(shù)上的成熟性，同時(shí)也保證了系統(tǒng)的先進(jìn)性。所選設(shè)備無(wú)論在硬件設(shè)備還是軟件功能上，都在網(wǎng)絡(luò)界處在領(lǐng)先地位。?QOS 保證流量?jī)?yōu)化避免視頻會(huì)議等高帶寬應(yīng)用過(guò)度消耗廣域網(wǎng)上寶貴的帶寬資源。網(wǎng)絡(luò)系統(tǒng)的建設(shè)應(yīng)本著高起點(diǎn)，統(tǒng)一全面規(guī)劃，便于日常維護(hù)工作，又要為將來(lái)的擴(kuò)展與新技術(shù)的融合打下基礎(chǔ)，因此，我們提出以下詳細(xì)設(shè)計(jì)原則來(lái)指導(dǎo)網(wǎng)絡(luò)的具體設(shè)計(jì)。網(wǎng)絡(luò)流量?jī)?yōu)化將有助于提高網(wǎng)絡(luò)帶寬的利用率，尤其對(duì)于骨干網(wǎng)上寶貴的帶寬資源。視頻、語(yǔ)音、數(shù)據(jù)集成的多媒體應(yīng)用，一方面為客戶(hù)的基礎(chǔ)網(wǎng)絡(luò)帶來(lái)了更多的增值應(yīng)用，為用戶(hù)提供更加簡(jiǎn)便、靈活的信息交流，同時(shí)，也大大增加了網(wǎng)絡(luò)上的信息流量。隨著應(yīng)用需求的提高，對(duì)帶寬的要求將進(jìn)一步提高。因此，對(duì)于象視頻會(huì)議這樣高帶寬的應(yīng)用，進(jìn)行網(wǎng)絡(luò)流量的優(yōu)化顯得尤其重要?易維護(hù)要保證網(wǎng)絡(luò)能正常穩(wěn)定運(yùn)行，要求網(wǎng)絡(luò)維護(hù)人員可以方便地對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程控制和配置；并且網(wǎng)絡(luò)設(shè)備要能夠進(jìn)行熱插拔，方便進(jìn)行日常維護(hù)。?適應(yīng)性強(qiáng)網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜，設(shè)備多樣，同時(shí)針對(duì)企業(yè)的業(yè)務(wù)特點(diǎn)，連接的方式和種類(lèi)很多。因此需要在網(wǎng)絡(luò)設(shè)計(jì)的初始對(duì)所有可能接入的業(yè)務(wù)做出底層的數(shù)據(jù)流向分析，而且要考慮如何用成熟的技術(shù)來(lái)滿(mǎn)足具體業(yè)務(wù)的應(yīng)用特點(diǎn)，因此需要網(wǎng)絡(luò)設(shè)備支持“標(biāo)準(zhǔn)化”的網(wǎng)絡(luò)協(xié)議，QOS，Traffic 管理和多種類(lèi)型的組網(wǎng)方式以及各種標(biāo)準(zhǔn)的接口類(lèi)型。?可管理性良好的組織和管理對(duì)于 XX 市電子政務(wù)網(wǎng)的主干數(shù)據(jù)網(wǎng)的正常運(yùn)轉(zhuǎn)和高效使用有很大幫助。網(wǎng)絡(luò)應(yīng)該能夠提供方便，靈活，有力的管理系統(tǒng)，讓使用者可以有效地控制和管理整個(gè)網(wǎng)絡(luò)。隨著網(wǎng)絡(luò)規(guī)模的擴(kuò)大和系統(tǒng)復(fù)雜程度的增加，網(wǎng)絡(luò)的管理、監(jiān)控和維護(hù)，30 / 79以及網(wǎng)絡(luò)故障的診斷和排除變得越來(lái)越復(fù)雜。為了使網(wǎng)絡(luò)系統(tǒng)易于管理和維護(hù)，本方案將提供先進(jìn)而完善的網(wǎng)絡(luò)管理系統(tǒng)。這樣，既方便網(wǎng)絡(luò)管理員的工作，減輕了勞動(dòng)強(qiáng)度，也提高了網(wǎng)絡(luò)系統(tǒng)的管理程度。 設(shè)計(jì)要求 可靠性和自愈能力包括鏈路冗余、模塊冗余、設(shè)備冗余、路由冗余等要求。? 鏈路冗余在主干連接(主干設(shè)備之間及其與匯接設(shè)備之間的連接)具備可靠的線路冗余方式。主線路切換到備份線路的時(shí)間應(yīng)小于 30s,這種高速的網(wǎng)絡(luò)自愈特性應(yīng)可以保證不會(huì)引起業(yè)務(wù)的瞬間質(zhì)量惡化，更不會(huì)引起業(yè)務(wù)的中斷。