【文章內(nèi)容簡(jiǎn)介】 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 12 展。利用 IRF 技術(shù)，用戶可以將多臺(tái)設(shè)備通過堆疊接口連接起來組成一個(gè)聯(lián)合設(shè)備（ Fabric），并將這些設(shè)備看作單一設(shè)備進(jìn)行管理和使用，降低了管理成本，同時(shí)實(shí)現(xiàn)按需購買、平滑擴(kuò)容，在網(wǎng)絡(luò)升級(jí)時(shí)最大限度地保護(hù)已有投資。同時(shí) S5600 支持萬兆上聯(lián)最大程度的提高了匯聚層與核心交換機(jī)之間的帶寬擴(kuò)展需求。 在接入層， 接入層是直接與用戶相連的設(shè)備，因此，在實(shí)際的 應(yīng)用的過程當(dāng)中我們建議采用華為 3Com E050/E026 產(chǎn)品，由于樓內(nèi)布線采用千兆銅纜布線，所以建議通過在 E050/E026 上配置千兆電接口與樓內(nèi)核心交換機(jī) S5600 進(jìn)行鏈接，這樣將會(huì)進(jìn)一步擴(kuò)大帶寬。華為 3Com E050/E026 具有 48/24 個(gè)固定的 10/100M 自適應(yīng)以太網(wǎng)接口， 2 個(gè)擴(kuò)展插槽，背板容量 ，包轉(zhuǎn)發(fā)率 可以實(shí)現(xiàn)所有端口的線速轉(zhuǎn)發(fā)，支持各種類型的上行接口，支持堆疊 。 華為 E 系列接入層交換機(jī)具有強(qiáng)大的業(yè)務(wù)特性，可以支持 256 個(gè)標(biāo)準(zhǔn)的 VLAN， VLAN ID 均可 達(dá) 4096 個(gè) 并能夠提供強(qiáng)大的業(yè)務(wù)功能：如 認(rèn)證 、動(dòng)態(tài) ACL、動(dòng)態(tài) Vlan、防止 Proxy 等功能。 支持 認(rèn)證，其高性價(jià)比的特性可滿足用戶對(duì)于強(qiáng)業(yè)務(wù)、高性價(jià)比的組網(wǎng)要求 用戶認(rèn)證、計(jì)費(fèi)管理： 出口處采用 華為 3Com 專業(yè)用戶認(rèn)證計(jì)費(fèi)設(shè)備 MA5200 作為全網(wǎng)出口計(jì)費(fèi)設(shè)備，MA5200 具有強(qiáng)大的認(rèn)證功能，可以實(shí)現(xiàn)按流量計(jì)費(fèi)、支持多種計(jì)費(fèi)策略，同時(shí)可以實(shí)現(xiàn)監(jiān)控全網(wǎng)的出口流量，同時(shí)其旁掛式的方式大大提高了網(wǎng)絡(luò)的安全性，避免了在出口產(chǎn)生流量瓶頸的問題， 本次組網(wǎng)采用 CAMS 綜合管理軟件實(shí)行全網(wǎng)的用戶認(rèn)證 和計(jì)費(fèi)管理。詳細(xì)介紹參加第三章。 網(wǎng)管平臺(tái) ： 為提高網(wǎng)絡(luò)管理的效率，減輕網(wǎng)絡(luò)維護(hù)的壓力，本次組網(wǎng)采用 Quidview 網(wǎng)管系統(tǒng)進(jìn)行全網(wǎng)設(shè)備的統(tǒng)一管理。 Quidview 網(wǎng)絡(luò)管理軟件是華為 3Com 公司對(duì)數(shù)據(jù)通信設(shè)備如路由器、交換機(jī)等進(jìn)行統(tǒng)一管理和維護(hù)的網(wǎng)管產(chǎn)品，位于網(wǎng)絡(luò)解決方案的管理層，能夠?qū)崿F(xiàn)網(wǎng)元管理和網(wǎng)絡(luò)管理的功能。 Quidview 網(wǎng)絡(luò)管理軟件基于靈活的組件化結(jié)構(gòu)，包括網(wǎng)元管理平臺(tái)、廣域網(wǎng)管理系統(tǒng)、局域網(wǎng)管理系統(tǒng)、資源管理系統(tǒng)等，用戶可以根據(jù)自己的管理需要和網(wǎng)絡(luò)情況靈活選擇自己需要的組件，真正實(shí)現(xiàn)“按需建 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 13 構(gòu)” 。 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 14 3．網(wǎng)絡(luò)業(yè)務(wù)設(shè)計(jì) 地址分配解決方式 的選擇 根據(jù) XXXXX 大學(xué) 的用戶特點(diǎn)，考慮到網(wǎng)絡(luò)中心的維護(hù)工作量，這里我們建議采用動(dòng)態(tài) DHCP 的方式進(jìn)行 IP 地址分配。 考慮到 IP 地址的管理比較繁瑣，在實(shí)際的應(yīng)用的過程當(dāng)中建議可以與 CAMS 配合，實(shí)現(xiàn) IP 地址分配至用戶的方式進(jìn)行 IP 地址的管理。 S5600匯聚層 交換機(jī)萬兆的 支持 從網(wǎng)絡(luò)的整體結(jié)構(gòu)上我們可以看出整個(gè)網(wǎng)絡(luò)的設(shè)計(jì)是采用核心萬兆環(huán)網(wǎng)，核心與匯聚、匯聚與接入之間均采用千兆的方式，接入與最終用戶之間采用百兆的方式進(jìn)行互通，整個(gè)網(wǎng)絡(luò)的瓶頸在核心與匯聚 之間的連接存在瓶頸，隨著網(wǎng)絡(luò)接入用戶的不斷擴(kuò)大，匯聚與接入之間可以采用萬兆的方式進(jìn)行互聯(lián)。華為 3 S5600 匯聚層交換機(jī)，交換容量 192/240G，包轉(zhuǎn)發(fā)率 66/102Mpps 可支持 2 個(gè)萬兆接口上行 ，用戶無需任何投資，可以直接購買 10GE 模塊 ，可直接插到匯聚層 S5600 交換機(jī)上就可以實(shí)現(xiàn)萬兆帶寬的升級(jí)，原上聯(lián) GE 接口可以作為下聯(lián)接口用。 整體組網(wǎng)如下所示： XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 15 核心與匯聚層之間 直接采用萬兆的帶寬將匯聚層存在的帶寬瓶頸問題徹底解決，S5600 匯聚層萬兆交換機(jī)可為用戶提前做好萬兆升級(jí)的準(zhǔn)備，減少用戶投資。 XXXXX大學(xué) 解決方案特點(diǎn)： 華為 XXXXX 大學(xué) 教育網(wǎng)組網(wǎng)解決方案的優(yōu)點(diǎn)有以下幾點(diǎn)： 完全的分布式的處理方式 S8500 為用戶提供完全的分布式的處理方式， XXXXX 大學(xué) 的校園網(wǎng)內(nèi)部的數(shù)據(jù)量是非常大的，因此主交換機(jī)是否能夠做到線速關(guān)系到整個(gè)網(wǎng)絡(luò)的是否會(huì)發(fā)生擁塞。華為 S8512 背板交換容量 夠做到所有 GE 接口的雙向的線速，華為公司的 S8512的性能指標(biāo)是經(jīng)過完整的測(cè)試，而業(yè)界廠家在指標(biāo)宣稱上面往往與給最終提供給用戶的不一致。而用戶又由于測(cè)試儀器的 限制無法確認(rèn)實(shí)際配置的性能，這一點(diǎn)在 華為公司是絕對(duì)不會(huì)出現(xiàn)的。 再次 ,分布式的轉(zhuǎn)發(fā)，對(duì)于 S8500 路由查找是非常有益的補(bǔ)充。因?yàn)?S8500 的路由查找模式為最長匹配。這樣就可以避免校園網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件來攻擊中心交換機(jī)，因?yàn)檫@種攻擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的 IP 地址，來不 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 16 斷消耗主控處理板的 CPU 處理能力，直到徹底使主控處理板的 CPU 喪失處理能力，整個(gè)機(jī)器癱掉。但是 S8500 是根據(jù)最長匹配來查找路由的，是針對(duì)網(wǎng)斷進(jìn)行路由的。所以當(dāng)攻擊者進(jìn)行攻擊時(shí)， S8512 只能造成該接口板的業(yè)務(wù)能力處理下降，但是對(duì)于整機(jī)沒有多大影響。這是我們 選則 S8500 的作為核心交換的非常重要的原因。 S8500 具有良好的互通性， S8500 支持標(biāo)準(zhǔn)的路由協(xié)議，包括 OSPF、 BGP ISIS、RIP 等路由協(xié)議，在實(shí)際的開局中與 Foundry、思科、 Exreme 等多種廠家均能夠?qū)崿F(xiàn)互通，在華南理工大學(xué)、山東大學(xué)等用戶都得到實(shí)際的應(yīng)用驗(yàn)證。 核心交換機(jī)先進(jìn)的體系架構(gòu)設(shè)計(jì) 網(wǎng)絡(luò)的背板技術(shù)經(jīng)歷了共享式、緩存式等發(fā)展， Crossbar 技術(shù)被公認(rèn)為最為完美的一種設(shè)計(jì)方式，華為 3Com公司 S8505交換機(jī)采用背板采用分布式 Crossbar的技術(shù)，整機(jī)的轉(zhuǎn)發(fā)不存在任何的瓶頸問題，同時(shí)， S8505 可實(shí)現(xiàn)背板容量的平滑升級(jí)，除背板采用 Crossbar 的方式，在接口板上，華為 3Com 公司 S8505 萬兆核心交換機(jī)采用分布式 Crossbar 的技術(shù)，即在每個(gè)業(yè)務(wù)單板上面也同樣采用 Crossbar 的技術(shù)，端口與端口之間的轉(zhuǎn)發(fā)均有可直達(dá)的端到端轉(zhuǎn)發(fā)通道，使得端口之間的轉(zhuǎn)發(fā)不存在在任何瓶頸，大大提高了核心交換機(jī)的整機(jī)轉(zhuǎn)發(fā)性能。 基于流攻擊的防止。 華為 3 所采用產(chǎn)品 S8500、 S5600 等三層轉(zhuǎn)發(fā)模式均為最長路由匹配技術(shù)。這樣就可以避 免校園網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件進(jìn)行的一些基于流的共計(jì)，因?yàn)檫@種攻擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的 IP 地址，來不斷消耗主控處理板的CPU 處理能力，直到徹底使主控處理板的 CPU 喪失處理能力，整個(gè)機(jī)器癱掉。 S8500是根據(jù)最長匹配來查找路由的，是針對(duì)網(wǎng)斷進(jìn)行路由的。所以當(dāng)攻擊者進(jìn)行攻擊時(shí)，不會(huì)造成 S8500 業(yè)務(wù)能力處理下降，對(duì)于整機(jī)沒有影響影響。這是我們選則 S8500 的作為核心交換的非常重要的原因。 匯聚層強(qiáng)大的 IRF擴(kuò)展性能 S5600 可以支持強(qiáng)大的 IRF 特性，可以擴(kuò)大匯聚層與核心層之間的 帶寬以及可靠 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 17 性， 其相關(guān)技術(shù)如下： 路由的熱備份 相對(duì)于傳統(tǒng)的設(shè)備組網(wǎng)， IRF 提供了真正的單播路由協(xié)議和組播路由協(xié)議的熱備份。并且用戶不需要花一半的投資專門用在備份設(shè)備上面， IRF 中 所有的設(shè)備都實(shí)際參與業(yè)務(wù)運(yùn)行。 IRF 是在提供業(yè)務(wù)的同時(shí)進(jìn)行備份。 DRR 實(shí)現(xiàn)了路由協(xié)議熱備份的技術(shù)，做到了同一個(gè) fabric 中各個(gè) unit 上路由信息的嚴(yán)格同步，并且在其中一個(gè)或多個(gè) unit 出現(xiàn)故障的時(shí)候，其它 unit 可以照常運(yùn)行并迅速接管故障 unit 的功能，此時(shí)，域內(nèi)路由協(xié)議不會(huì)隨之出現(xiàn)中斷，二 /三層轉(zhuǎn)發(fā)流量和業(yè)務(wù)也不會(huì)出現(xiàn)中斷， 從而實(shí)現(xiàn)了真正意義上的不中斷路由協(xié)議、不中斷業(yè)務(wù)的故障保護(hù)和設(shè)備切換功能。 U n i t 1O S P FR I P備份信息U n i t 2U n i t 3 U n i t 4U n i t 1O S P FR I PU n i t 2U n i t 3 U n i t 4???備份信息 IRF 的分布式彈性路由 鏈路的備份 分布式的聚合技術(shù)進(jìn)一步消除了聚合設(shè)備單點(diǎn)失效的問題，提高了聚合鏈路的可用性。由于聚合成員可以位于系統(tǒng)的不同設(shè)備上，這樣即使某些成員所在的設(shè)備整個(gè) XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 18 出現(xiàn)故障，也不會(huì)導(dǎo)致聚合鏈路完全失效，其它正常工作的 unit 會(huì)繼續(xù)管理和維護(hù)剩下的聚合端口的狀態(tài)。這對(duì)于核心交換系統(tǒng)和要求高質(zhì)量服務(wù)的網(wǎng)絡(luò)環(huán)境意義重大。 分布式鏈路聚合（ DLA） DLA 技 術(shù)允許 IRF 網(wǎng)絡(luò)核心外的其他交換機(jī)等設(shè)備以多宿主的方式接入 IRF 網(wǎng)絡(luò)核心，極大提高了全網(wǎng)的可用性。通過多條聚合鏈路流向 IRF 網(wǎng)絡(luò)核心的流量將均勻分布在聚合鏈路上，當(dāng)某一條聚合鏈路失效時(shí)， DLA 能夠?qū)⒘髁孔詣?dòng)重新分布到其余聚合鏈路以實(shí)現(xiàn)鏈路的彈性備份和提高網(wǎng)絡(luò)可靠性。 高性能 由于 IRF 設(shè)備是由多個(gè)支持 IRF 特性的單機(jī)設(shè)備堆疊而成的， IRF 設(shè)備的交換容量和端口數(shù)量就是 IRF 內(nèi)部所有單機(jī)設(shè)備交換容量和端口數(shù)量的總和。因此， IRF 技術(shù)能夠通過多個(gè)單機(jī)設(shè)備的堆疊，輕易的將設(shè)備的核心交換能力、用戶端口的密度擴(kuò)大數(shù)倍， 從而大幅度提高了設(shè)備的性能。 IRF 數(shù)據(jù)報(bào)文 數(shù)據(jù)報(bào)文 鏈路故障 IRF XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 19 擴(kuò)展性 IRF 技術(shù)最大支持八臺(tái)設(shè)備的堆疊，用戶可以按照自身的需要購買 IRF 交換機(jī)。由于業(yè)務(wù)的需要，如果用戶需要擴(kuò)展網(wǎng)絡(luò)的容量，只需要堆疊更多的 IRF 交換機(jī)，就可以達(dá)到擴(kuò)容的目的。 IRF 技術(shù)極大的保護(hù)了用戶以前的投資，提高用戶的投資效率。 分布式設(shè)備管理 支持 IRF 技術(shù)的多臺(tái)設(shè)備可以被看成是一臺(tái)統(tǒng)一的設(shè)備來管理。 用戶將一個(gè) fabric 當(dāng)成一臺(tái)整體設(shè)備進(jìn)行管理 高效的配置管理 IRF 技術(shù)最多可以連接 8 臺(tái)設(shè)備組成一個(gè) fabric，無論是管理特性、還是轉(zhuǎn)發(fā)特性，在用戶看來， fabric 就像是一臺(tái)設(shè)備在運(yùn)行。組成 fabric 的每臺(tái)設(shè)備具有相同的橋 MAC 地址，單一管理 IP 地址和三層轉(zhuǎn)發(fā)地址。用戶無論通過何種方式（ console口、 tel、 snmp）連接到 fabric 內(nèi)的一臺(tái)設(shè)備上，對(duì) fabric 的配置只需要執(zhí)行一次， fabric 內(nèi)的所有設(shè)備都將得到配置。 1 2 3 4 IRF XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 20 軟件版本升級(jí) 相對(duì)于以前的簡(jiǎn)單堆疊，對(duì)堆疊體內(nèi)多臺(tái)單機(jī)進(jìn)行軟件升級(jí)的操作將要執(zhí)行多次，而 IRF 交換機(jī)，通過 WEB 網(wǎng)管，用戶只需要執(zhí)行一次操作，就可以實(shí)現(xiàn) fabric內(nèi)所有 unit 的軟件的自動(dòng)升級(jí)。 設(shè)備的熱插拔 組成 fabric 的設(shè)備可以任意的插入和拔出，而不會(huì)影響當(dāng)前 fabric 的正常運(yùn)行。 當(dāng)一臺(tái)設(shè)備通過堆疊線接入到一個(gè)正在運(yùn)行的 fabric 內(nèi)，原有的 fabric 就會(huì)檢測(cè)到新的設(shè)備，同時(shí)驗(yàn)證新設(shè)備是否可以加入到 fabric，如果驗(yàn)證通過，新加入的設(shè)備將會(huì)得到原有的全局配置信息和轉(zhuǎn)發(fā)信息，同時(shí)將自己設(shè)備特有的配置和轉(zhuǎn)發(fā)信息散發(fā)到 fabric 內(nèi)，經(jīng)過短暫的信息交互后，新加入的設(shè)備就可以參與轉(zhuǎn)發(fā)了。而這個(gè)過程絲毫沒有影響原有設(shè)備轉(zhuǎn)發(fā)過程。當(dāng)然，這個(gè)過程也可以是兩個(gè)現(xiàn)有的 fabric進(jìn)行合并，現(xiàn)有的轉(zhuǎn)發(fā)不會(huì)受到影響。 當(dāng)從 fabric 斷開一臺(tái)或者多臺(tái) unit，和該設(shè)備相關(guān)的配置、轉(zhuǎn)發(fā)信息將被從剩余的設(shè)備內(nèi)刪除，從而不會(huì)造成轉(zhuǎn)發(fā)失敗。 同時(shí)，分離出去的 unit 可能會(huì)自己形成一個(gè)新的 fabric，由于 fabric 內(nèi)所有的配置都是相同的，如果原來配置有