【文章內(nèi)容簡介】 雙隊列的保證，保證實施業(yè)務的抖動和時延只有鏈路間的Qos能力公平算法環(huán)上各個節(jié)點流量通過公平算法共享所有鏈路沒有公平算法，可能出現(xiàn)某些鏈路被獨占的情況全連接、擴展能力即插即用，拓撲自動發(fā)現(xiàn)，具備良好的擴展能力；環(huán)上所有節(jié)點全連接，增加節(jié)點后，新增節(jié)點和其他所有節(jié)點全連接。鏈路的可靠性大大增加。如果某設備失效，RPR節(jié)點可以進入pass_through狀態(tài)，仍然可以保證整個環(huán)路的連接每臺設備只和相鄰設備連接，可靠性差不；不具備即插即用的能力二層多播能力二層支持多播，多播的處理在二層芯片完成，不占用接口和交換芯片處理能力需要占用接口和交換芯片處理能力業(yè)務能力很好地適應數(shù)據(jù)業(yè)務、語音業(yè)務、視頻業(yè)務主要適應數(shù)據(jù)業(yè)務. 組建路由型核心網(wǎng)現(xiàn)在網(wǎng)絡和網(wǎng)絡設備都有融合的趨勢。路由器和交換機也存在共同的特點，例如都具有三層轉(zhuǎn)發(fā)的能力。但是從目前來看，路由器和交換機還是還是有較大的差別，不能做到完全取代。下面作一個具體的對比分析：l 從路由器和三層交換機目前采用的主流技術來看，雖然都實現(xiàn)了三層的路由的功能，但是它們?nèi)龑愚D(zhuǎn)發(fā)機制有著較大的差異：路由器采用的逐包查找路由表，進行網(wǎng)絡地址最長匹配的路由方式，即采用的是逐包路由轉(zhuǎn)發(fā)，由于路由表是由動態(tài)路由協(xié)議實時維護，動態(tài)路由協(xié)議能夠自動拓撲發(fā)現(xiàn)，完全依據(jù)拓撲結構構建和刷新路由表；三層交換機采用的是Cache技術實現(xiàn)IP地址的精確匹配，利用了報文相關性，在首次完成路由后，相關數(shù)據(jù)保存到Cache中，對后續(xù)報文要做的工作就是在Cache中進行精確匹配，如命中則直接轉(zhuǎn)發(fā)，這就是所謂“一次路由，多次轉(zhuǎn)發(fā)”，報文相關性意味著一段時間內(nèi)有很多源/目的地址都相同的報文，這些相關報文構成流，從宏觀來看，三層交換機的轉(zhuǎn)發(fā)不再是基于單個報文的路由轉(zhuǎn)發(fā)，而是基于流匹配的轉(zhuǎn)發(fā)。l 路由器和三層交換機轉(zhuǎn)發(fā)機制的不一樣直接導致這兩類設備對網(wǎng)絡惡劣環(huán)境有不同的適應能力：路由器具有很強的抗網(wǎng)絡動蕩的能力，在網(wǎng)絡動蕩的情況下也可以保持線速的轉(zhuǎn)發(fā)；而交換機在網(wǎng)絡動蕩的情況下，轉(zhuǎn)發(fā)能力將急劇下降甚至癱瘓。例如‘紅碼病毒’就可以模擬網(wǎng)絡動蕩對交換機進行攻擊，而路由器具備天然的抵御“紅碼病毒”的能力，可有效改善網(wǎng)絡的安全特性，提升網(wǎng)絡的健壯性。l 三層交換機和路由器的路由能力也有較大的差異，三層交換機套片支持的網(wǎng)絡路由的能力較弱，支持的單播和多播的數(shù)目相對較少，支持的流分類的功能較弱，因此利用三層交換機套片通常不能構架出具備強大轉(zhuǎn)發(fā)能力的千兆比路由器產(chǎn)品。三層交換機套片實現(xiàn)的單播/多播路由轉(zhuǎn)發(fā)、流分類處理等都是通過Cache技術實現(xiàn)的，在轉(zhuǎn)發(fā)表項和流分類表項較多的情況下，Cache的效率將大大下降，不能滿足千兆比路由器在支持大量網(wǎng)絡路由和流分類情況下仍要達到線速轉(zhuǎn)發(fā)的要求。三層交換機和千兆比路由器路由能力差異的具體體現(xiàn)如支持的路由數(shù)，高端路由器支持的路由條數(shù)一般都可以在1M以上，而三層交換機通常支持256k、128k或64k。主干節(jié)點的設備通常要求較大容量的路由數(shù)。l QoS技術不同主要體現(xiàn)在隊列調(diào)度支持的隊列的數(shù)目和擁塞避免算法的支持上，總體上講，路由器需要支持的隊列數(shù)目較多，路由器可以做到1k、2k個隊列，交換機通常只提供幾個或幾十個隊列。路由器需要支持RED/WRED擁塞避免算法，而三層交換機通常不支持。l 業(yè)務的可持續(xù)支持能力三層交換機通常都是采用套片技術，不便于快速支持新業(yè)務，而且受到本身固有轉(zhuǎn)發(fā)機制的限制，也不可能充分支持某些新業(yè)務，例如MPLS VPN、IP QoS等等，路由器通常采取CPU和NP體系結構，微碼可編程，具備良好的業(yè)務擴展能力。l 對MPLS VPN業(yè)務支持能力的差異通常來講，業(yè)界高端路由器對MPLS VPN具備良好的支持，包括三層MPLS VPN和二層MPLS VPN。由于支持MPLS VPN對設備的路由能力具有較高的要求，特別是作為PE設備，要求路由多實體的能力和大容量的路由規(guī)模，交換機很難承擔該角色。l 流分類處理不同三層交換機是基于流CACHE方式的，可以簡單分類，同時由于處在網(wǎng)絡邊緣位置，也往往需要支持用戶和應用業(yè)務流的分類。而路由器的流分類通常采用IPCAM實現(xiàn)線速流分類，支持豐富的流分類，在實施豐富流規(guī)則的情況下仍然可以保持線速轉(zhuǎn)發(fā)。由于路由器和三層交換機的定位不同，還有許多相關技術的要求和實現(xiàn)情況也是不同的，如物理接口、用戶控制和安全特性、VPN支持能力、NAT支持能力等。三層交換機千兆比路由器實現(xiàn)機制流CACHE轉(zhuǎn)發(fā)，ASIC套片實現(xiàn)逐包轉(zhuǎn)發(fā)，CPU/ASIC/NP實現(xiàn)路由能力路由能力弱，路由條數(shù)通常為為256k、128k、64等k路由能力強，路由條數(shù)通常在1M以上網(wǎng)絡適應性抗網(wǎng)絡動蕩能力弱抗網(wǎng)絡動蕩能力強二層交換支持基于MAC地址和VLAN ID的二層交換基于MPLS VPN VPLS技術實現(xiàn)VLAN的透傳和交換三層轉(zhuǎn)發(fā)采用Cache技術實現(xiàn)數(shù)目較少的路由轉(zhuǎn)發(fā)表項，對于未匹配到Cache表項的包交送CPU處理采用分級快速查找算法實現(xiàn)上百萬個表項的路由轉(zhuǎn)發(fā)組播采用Cache技術實現(xiàn)組播查找；支持二層組播協(xié)議和三層組播協(xié)議。采用快速查找算法實現(xiàn)組播查找；支持三層組播協(xié)議流分類采用Cache技術通過全匹配實現(xiàn)流分類，對于未匹配到Cache表項的包交送CPU處理；影響線速轉(zhuǎn)發(fā)采用快速流分類算法，實現(xiàn)復雜的前綴匹配和范圍匹配操作；不影響線速轉(zhuǎn)發(fā)QoS支持二層QoS（）；支持隊列數(shù)目較少，簡單的WRR、優(yōu)先級隊列的調(diào)度算法；不支持或支持簡單的擁塞控制算法。支持基于DiffServ IP/MPLS QoS支持數(shù)目較多，實現(xiàn)較為復雜的隊列調(diào)度；支持實現(xiàn)復雜的RED/WRED等擁塞避免算法。安全特性支持基于VLAN的用戶的控制和管理；用戶接入的控制、驗證和鑒權；支持DOS攻擊檢測和SYN攻擊檢測支持包采樣、記錄、跟蹤；支持功能強大的DOS攻擊檢測和SYN攻擊檢測VPN對MPLS VPN的有限支持支持三層MPLS VPN支持二層MPLS VPN接口類型通常只支持GE、FE接口支持高速接口類型，包括GE、FE、ATM、PoS、RPR等網(wǎng)絡定位局域網(wǎng)、城域網(wǎng)接入層/匯聚層骨干網(wǎng)、城域網(wǎng)核心層、大型園區(qū)網(wǎng)成本價位成本較低成本較高. 中小學校園接入網(wǎng)現(xiàn)在各個學校的校園網(wǎng)建設沒有一個統(tǒng)一的模式，只能滿足基本的網(wǎng)絡聯(lián)通的需要，并不都能完全實現(xiàn)數(shù)字化中小學。目前比較典型的問題有：l 接入交換機采用非專業(yè)交換機，不能從網(wǎng)絡入口防止ARP攻擊等二層網(wǎng)絡攻擊，造成網(wǎng)絡攻擊泛濫，網(wǎng)絡不可用。l 直接通過核心交換機上聯(lián)到教育城域網(wǎng)，不能有效過濾非法流量，給教育局的核心交換機造成巨大的壓力。l 網(wǎng)絡設備不支持組播、QoS等特性，不能有效的進行視頻、語音數(shù)據(jù)流的傳播，不利用遠程教學的開展。l 不支持IPv6，不能連接上教育局的IPv6網(wǎng)絡。. 組網(wǎng)拓撲 校園網(wǎng)采用層次化的架構設計，根據(jù)網(wǎng)絡的規(guī)模，從運行管理的角度，分為網(wǎng)絡出口、核心和接入層次，采用星型結構，1000M主干，10/100M到桌面，整體結構如下圖所示：. 組網(wǎng)簡介核心層是全網(wǎng)數(shù)據(jù)交換和處理的樞紐，配置1臺具有高性能、高可靠和擴展能力強的高端路由交換機，該交換機需要支持IPv6，并且具有強大的功能來支持數(shù)字化中小學的多種業(yè)務。學校業(yè)務系統(tǒng)服務器、網(wǎng)管工作站通過雙絞線直接連接到中心交換機。接入層實現(xiàn)終端設備的接入，如辦公電腦、網(wǎng)絡打印機等，接入層采用二層交換機，接入層交換機分布式校內(nèi)各樓宇、樓層配置間內(nèi)，按照距離的不同，可以通過多模光纖或者雙絞線千兆速率連接到中心交換機。與區(qū)教育局網(wǎng)絡通過運營商的100M或者1000M線路互聯(lián)，為加強網(wǎng)絡間的安全隔離，之間增加1臺千兆防火墻，防火墻同時還實現(xiàn)NAT、訪問控制等功能。通過千兆防火墻增設DMZ區(qū)，實現(xiàn)學校對外信息的發(fā)布和共享。為了對設備進行管理，部署一套iMC智能管理中心，該軟件基于SOA架構，具備統(tǒng)一平臺、可擴展多種功能模塊?？梢凑諏W校不同的建設需求，部署不同的組件。. 核心網(wǎng)關鍵設備介紹. 城域網(wǎng)骨干路由器SR8800核心業(yè)務路由器（以下簡稱SR8800）是H3C公司面向企業(yè)網(wǎng)應用而推出的新一代核心業(yè)務路由器，該產(chǎn)品融合了H3C 自適應安全技術理念，將安全融入到網(wǎng)絡之中，集成了防火墻、安全網(wǎng)關、網(wǎng)絡流量分析等功能，解決了以往依賴單臺設備、單一功能、獨立部署的防護方式?？蓮V泛應用于行業(yè)網(wǎng)、大型園區(qū)網(wǎng)、IDC網(wǎng)絡的骨干位置。 H3C SR8800提供超強的路由處理能力、豐富的接口和高品質(zhì)業(yè)務，提供形式多樣的廣域網(wǎng)接口，滿足豐富的接入方式的需求。內(nèi)置高性能的業(yè)務處理引擎，能夠支持MPLS VPN業(yè)務的線速轉(zhuǎn)發(fā)，適用大型企業(yè)組建高性價比VPN業(yè)務網(wǎng)絡。u 強大的路由能力支持靜態(tài)路由、RIPv1/vOSPF、ISIS、BGPv4等標準路由協(xié)議。提供全分布式策略路由功能，可對網(wǎng)絡流量進行靈活的控制和調(diào)度，在復雜的網(wǎng)絡環(huán)境下仍能保持端口的線速轉(zhuǎn)發(fā)。u 完善的MPLS VPN功能 SR8800能夠?qū)崿F(xiàn)基于硬件的全分布式MPLS線速轉(zhuǎn)發(fā)，支持完善的L3 MPLS VPN 以及L2 VPN，可以面向大型的行業(yè)以及企業(yè)網(wǎng)絡提供VPN的端到端的解決方案。SR8800支持三種跨域的方式；提供多角色主機解決方案，可以通過在PE上配置策略路由，使來自CE的報文可以訪問多個VPN；提供分層PE的解決方案（HoPE），可以將PE的功能分布到多個PE設備上，多個PE承擔不同的角色，并形成層次結構，共同完成一個PE的功能。還可以支持嵌套VPN、MCE、VPN內(nèi)NAT，提供高品質(zhì)、安全和多層次的MPLS VPN解決方案。u 分布式的體系架構SR8800采用全分布式的體系架構設計，可以提供全分布式的IP/MPLS轉(zhuǎn)發(fā)。u 高可靠性設備級可靠性SR8800采用分布式結構和無源背板設計，支持雙主控交換板，電源系統(tǒng)采用1+1冗余熱備份，支持雙路電源輸入，所有單板支持熱插拔。通過虛擬冗余路由協(xié)議（VRRP），可以在設備故障時不間斷地與外界保持通信；鏈路級可靠性通過RPR等環(huán)網(wǎng)技術，具有故障自愈的功能，可以保障50毫秒以內(nèi)的倒換時間，確保音頻、視頻等實時業(yè)務不受影響。協(xié)議級可靠性通過優(yōu)雅重啟（GR），可以在路由器發(fā)生主備倒換時，不間斷的轉(zhuǎn)發(fā)IP報文； u 集成一體化組網(wǎng)強大的二層功能SR8800融合了以太網(wǎng)交換機的特性，支持以太網(wǎng)的交換處理，支持VLAN的劃分、端口聚合、端口綁定等二層功能是典型的路由交換一體化設備，扁平化了網(wǎng)絡結構，增強了網(wǎng)絡的可靠性。豐富的業(yè)務能力SR8800提供基于硬件形態(tài)的防火墻、VPN網(wǎng)關、NAT等業(yè)務，解決了以往依賴單臺設備、單一功能、獨立部署的防護方式，SR8800將安全融合到網(wǎng)絡之中。SR8800可以和華為3Com公司的Xlog配合，形成完善的網(wǎng)絡流量分析解決方案。通過對于網(wǎng)絡流量的采集和統(tǒng)計，可以在不改變網(wǎng)絡拓撲的情況下及時了解網(wǎng)絡當前的使用狀況以及網(wǎng)絡中各鏈路流量的變化，達到對于全網(wǎng)的流量監(jiān)控、服務質(zhì)量監(jiān)控，最終實現(xiàn)對于網(wǎng)絡的優(yōu)化使用。. 中小學校園網(wǎng)核心交換機一、豐富的業(yè)務，適應融合業(yè)務網(wǎng)絡發(fā)展趨勢l 全面的MPLS業(yè)務能力H3C S7500E所有產(chǎn)品均支持VRFLite特性，可以做為MCE設備使用；支持三層的MPLS VPN和二層的MPLS VPN（Martini、Kompella），可擴展支持VPLS技術；支持MPLS OAM特性，方便用戶的管理和維護；與H3C MPLS VPN Manager配合，實現(xiàn)圖形化的MPLS部署與維護。 l 線速的IPv4/IPv6業(yè)務能力H3C S7500E支持IPv4/IPv6雙協(xié)議棧,支持多種6to4隧道技術，支持IPv4/IPv6的組播技術，為用戶提供完善的IPv4/IPv6解決方案；H3C S7500E采用分布式體系架構，實現(xiàn)IPv4/IPv6業(yè)務的線速無阻塞轉(zhuǎn)發(fā)；H3C S7500E已經(jīng)通過了信息產(chǎn)業(yè)部的IPv6入網(wǎng)認證和IPv6 Ready第二階段金色認證，是成熟商用的IPv6產(chǎn)品。l 有線無線一體化，有源無源一體化H3C S7500E集成的無線控制模塊提供豐富的業(yè)務能力，包括精細的用戶控制管理、完善的RF管理及安全機制、快速漫游、超強的QOS和對IPV6的支持等；無線控制模塊通過與安全策略服務器的聯(lián)動，實現(xiàn)對無線接入用戶的端點準入防御，提高了整網(wǎng)的安全性。H3C S7500E是業(yè)界最高密度的以太網(wǎng)無源光網(wǎng)絡（EPON）設備，單臺最大可接入10240個FTTH用戶；H3C S7500E是高可靠的EPON系統(tǒng)，采用分布式體系結構、模塊化設計，主控板冗余熱備份、無源背板、冗余電源支持雙路供電，具有電信級可靠性。l 支持Portal認證H3C S7500E支持大容量的Portal認證功能，可以在數(shù)千用戶的局域網(wǎng)中做為EAD網(wǎng)關設備，為全網(wǎng)用戶提供EAD安全認證功能；可以在大中型的校園網(wǎng)中擔任匯聚/核心設備的同時，為學生宿舍區(qū)的認證計費提供Portal認證功能。二、靈活的配置，適應各種應用場景l(fā) 配線間融合業(yè)務網(wǎng)絡的最佳選擇H3C S7500E針對配線間的需求定制開發(fā)了SA板卡，單臺設備可以提供480個千兆線速接口和4個萬兆線速接口。H3C S7500E支持端點準入防御解決方案，解決終端安全問題；內(nèi)置2800W電源直接提供PoE功能，對IP語音和無線接入提供良好的支持。l 政府電力城域網(wǎng)邊緣和匯聚的最佳選擇H3C S7500E支持VRFLite特性，為用戶提供高可靠高性能的MCE設備；通過配置Salience VITurbo引擎，可以提供集中式MPLS業(yè)務功能，適合在城域網(wǎng)邊緣作為高性價PE設備使用；通過配置EA類板卡，可以提供分布式線速的MPLS業(yè)務功能，適合在城域網(wǎng)匯聚層作為高性能的PE使用。l IPv6網(wǎng)絡的最佳選擇H3C S7500E所有Salience VI引擎都可以提供