【文章內(nèi)容簡介】 下所示： 主樓節(jié)點主要負責保衛(wèi)處、自動化所、理化樓、計算中心、金物樓、管理樓、文法樓 7 個點的接入，完 成各節(jié)點之間的相互訪問，其三層互通由主樓中心節(jié)點S8505 三層交換機完成互通。 整體組網(wǎng)說明： 解決方案網(wǎng)絡(luò)分為三個層次，核心層、匯聚層、接入層。為實現(xiàn)校區(qū)內(nèi)的高速互聯(lián)，核心層由圖書館節(jié)點、主樓節(jié)點構(gòu)成，對于這兩個節(jié)點的接入是采取二層的組網(wǎng)方式，其匯聚層的減少大大降低了網(wǎng)絡(luò)當中在匯聚層有可能會產(chǎn)生流量瓶頸的問題。對于實驗樓與綜合樓的接入可以考慮到這兩個節(jié)點處信息點數(shù)量較少，可能存在的流量相對較少，建議采用 S6506R 核心交換機作為該節(jié)點的核心設(shè)備，同時與主樓、圖書館處的核心交換機 S8505 相又構(gòu)成了三層的網(wǎng) 絡(luò)。 園區(qū)骨干網(wǎng)的組網(wǎng)主要是在主樓、圖書館、綜合樓、實驗樓四個節(jié)點構(gòu)成環(huán)行網(wǎng)絡(luò)采用動態(tài)路由協(xié)議 OSPF，環(huán)網(wǎng)的構(gòu)成進一步大大提高了網(wǎng)絡(luò)的可靠性，同時華為 S8505 萬兆交換機其 750G 背板容量進一步滿足大型節(jié)點高數(shù)據(jù)量轉(zhuǎn)發(fā)的特點完全滿足骨干節(jié)點的需求，整個改造后的 ATM 網(wǎng)絡(luò)與校園網(wǎng)核心交換機之間采用 10GE 的帶寬相連大大擴大的原有的帶寬，原校園網(wǎng)核心交換機 CB9000可進一步使用 S8512 替換，同樣采用 10GE 接口與改造后的 ATM 網(wǎng)相連進一步擴大骨干網(wǎng)的帶寬。進而提升整網(wǎng)的可靠性以及高帶寬性，對于未來業(yè)務(wù)的擴 展有更好的支持。 以太網(wǎng)核心交換機改造組網(wǎng)描述 網(wǎng)絡(luò)運行問題分析： 目前北京科技大學網(wǎng)絡(luò)的整體運行較慢，以太網(wǎng)目前的核心網(wǎng)絡(luò)組網(wǎng)如下圖所示： 原因分析： 核心出口串連引起擁塞， 從目前的核心出口部分可以看出，在出口部分有設(shè)備：防火墻、計費主機、出口路由器三個設(shè)備，均為百兆因此上行流量在經(jīng)過每一臺設(shè)備的時候都會產(chǎn)生不同程度的帶寬浪費因此實際上真正出口的流量將無法達到百兆的線速帶寬，因此將會產(chǎn)生一定的出口流量的影響，因而將會進一步影響出口的帶寬。計費主機部分因為要處理大量的計費、認證信息將會進一步影響帶寬 。由于出口防火墻為軟件防火墻，其處理的速度依賴于主機的性能以及軟件平臺的處理因此在防火墻處也同樣存在這嚴重的帶寬瓶頸。 核心設(shè)備 CB9000 的帶寬瓶頸 由于根據(jù)前期的用戶反映在 CB9000 以上測試帶寬的可以達到很高，但在CB9000 以下測試出口帶寬無法超過 30M 的帶寬，在核心交換機 CB9000 上可能會存在嚴重的瓶頸，從整個組網(wǎng)結(jié)構(gòu)上來分析，不難看出 CB9000 其承擔著科技樓內(nèi)部的三層交換以及出口流量的接入，同時還承擔著學生宿舍區(qū)的出口流量的接入、辦公樓出口流量的接入以及原 ATM 網(wǎng)的出口流量的接入因此其承擔的 流量非常大，從目前看來 CB9000 核心交換機的轉(zhuǎn)發(fā)性能已經(jīng)無法滿足整個校園網(wǎng)核心的要求，再加上對于原有的 ATM 網(wǎng)進行改造以后也無法實現(xiàn)萬兆的接入，改造核心勢在必行！ 改造后的校園核心網(wǎng)絡(luò)： 由于改造后 Cer 的出口為 100M 出口再加上 Iner（網(wǎng)通運營商）出口總帶寬已經(jīng)完全超過 100M 帶寬因此出口路由器以及防火墻等設(shè)備接口需要更新進一步擴大出口帶寬減少網(wǎng)絡(luò)瓶頸。其整體組網(wǎng)圖如下所示： 如圖所示，改造后核心交換機采用 S8512 核心交換機作為整個校園網(wǎng)絡(luò)的核心交換機，出口路由器以及防火墻均采用千兆 GE 方式進行組網(wǎng)，考慮到要與改造后的 ATM 網(wǎng)相連建議核心交換機通過 10GE 接口分別與改造后的 ATM 網(wǎng)的圖書館節(jié)點、主樓節(jié)點相連進而進一步擴大主干的帶寬。同時考慮到網(wǎng)絡(luò)中心處安全性的要求可以在核心采用一臺 S5024 作為服務(wù)器群的接入交換機同時可以形成ZDM（?；饏^(qū)）進而提高網(wǎng)絡(luò)的可靠性，計費系統(tǒng)的帶寬要求進一步提高，以防止其成為全網(wǎng)的帶寬瓶頸。核心交換機 S8512 其強大的性能完全可以承擔北京科技大學整個校園網(wǎng)的核心交換機，背板容量 ,包轉(zhuǎn)發(fā)率 432Mpps，其豐富的接口類型以及高密度的單板完全可為用戶提供 強大的擴展空間。 Eudemon200 專業(yè)防火前其強大的性能以及豐富的業(yè)務(wù)特性可以配合華為 S5024實現(xiàn) DMZ區(qū)進而提高網(wǎng)絡(luò)中心的可靠性， Eudemon200 可提供千兆光纖接口，同時可提供千兆線速 NAT 轉(zhuǎn)換。出口路由器 NE05 包轉(zhuǎn)發(fā)率高達 同時可提供豐富的業(yè)務(wù)特性如： IPV策略路由、 IPsec、 L2tp、 MPLS VPN 等滿足用戶的不同需求。對于原有的 CB9000 核心交換機可以采用的將其下移至作為科技樓的匯聚層交換機，這樣對于科技樓內(nèi)部的三成互訪完全可以直接在 CB9000 匯聚層交換機上來完成， 進一步減少網(wǎng)絡(luò)核心交換機 S8512 的壓力以提高整個網(wǎng)絡(luò)的網(wǎng)絡(luò)帶寬。 接入層設(shè)計方案 此次接入層建議采用華為 3 公司 E050/E026SI 接入層交換機作為學校的接入層交換機。 E050/E0260SI 接入層交換機具有固定的 48/24 個 10/100M 自適應的以太網(wǎng)接口同時具有兩個擴展插槽，支持各種類型的上行接口，支持堆疊，所有端口全部實現(xiàn)速轉(zhuǎn)發(fā)。華為 E 系列接入層交換機具有強大的業(yè)務(wù)特性，可以支持 256/128 個標準的 VLAN，并能夠提供強大的業(yè)務(wù)功能：如 認證、 IP地址綁定、動態(tài) ACL、 動態(tài) Vlan、防止 Proxy 等功能。 整體設(shè)計說明 北京科技大學網(wǎng)絡(luò)建設(shè)是要求從北京科技大學實際的應用出發(fā)，考慮到整體校園網(wǎng)數(shù)量大、上網(wǎng)時間集中、突發(fā)流量較大等因素，華為 3 在實際的在建網(wǎng)的過程當中遵循了以下幾點要求： 萬兆核心節(jié)點交換機 S8500：因北京科技大學校園網(wǎng)流量較大因此在建設(shè)的過程當中，應當充分考慮到核心交換機的交換性能，以及轉(zhuǎn)發(fā)性能，華為 3 S8512 萬兆核心交換機具有 14 個插槽， 12 個業(yè)務(wù)插槽，具有強大的可擴展性。S8512 全分布式的處理方式，所有端口線速轉(zhuǎn)發(fā)，背板容量 ，包轉(zhuǎn)發(fā)率432Mpps，最大可以支持 290GE 的線速轉(zhuǎn)發(fā)，可以為用戶提供強大的三層交換功能。 S8505 萬兆核心交換機對于圖書館、主樓等節(jié)點完全可以滿足用戶的需求，其 750G 的背板容量以及豐富的接口單板完全可以滿足未來業(yè)務(wù)擴展的需求。同時對于萬兆接口、 IPv6 等新技術(shù)均支持。 千兆核心節(jié)點交換機 S6506R：對于綜合樓、實驗樓等相對信息點數(shù)量較少的節(jié)點可以采用 S6506R 核心千兆交換機作為節(jié)點設(shè)備，華為 3S6506R 核心交換機背板容量 128G，包轉(zhuǎn)發(fā)率 48Mpps 完全可以滿足節(jié)點的要求，同時考慮到后期節(jié)點數(shù)量有可能會進一步擴大，華為 S6506R 有 6 個業(yè)務(wù)插槽可支持高密度 GE接口板，完全可以滿足用戶的擴展需求。對于未來主干的升級，華為 S6506R 可平滑升級到萬兆骨干，因此用戶無需對于該節(jié)點的進一步擴展而擔心。 出口路由器：考慮到北京科技大學的公網(wǎng)出口有兩個，用戶根據(jù)不同的目的IP 地址而選擇不同的出口線路；因此要求出口路由器具有強大的策略路由的功能，以及基于硬件的 ACL 列表功能，華為 NE05 高端路由器，具有強大的路由功能以及業(yè)務(wù)功能；最多可以支持 20 萬條 BGP 路由；每塊接口板可以支持 5K 條策略，完全滿足復雜的骨干網(wǎng)節(jié)點以及大型局域網(wǎng)的出口路由的需求?？芍С謴姶蟮牟呗月酚晒δ?，支持硬件的 ACL 列表，支持 IPV6 技術(shù)。 接入層交換機：華為 E 系列接入層交換機是針對教育行業(yè)特點量身定做的交換機，具有豐富的業(yè)務(wù)特性，其強大的業(yè)務(wù)特性以及高性能完全可以滿足用戶的需求，針對北京科技大學校園網(wǎng)的建設(shè)可以采用 E026－ SI 24口交換機和 E050 48口交換機靈活堆疊滿足不同信息點的需求。 千兆硬件防火墻：考慮到原出口防火墻為軟件防火墻，其在網(wǎng)絡(luò)當中將會存在嚴重的瓶頸，因此在此次 網(wǎng)絡(luò)的改造過程當中建議將出口部分的防火墻進行改造，采用 Eudemon200 應將防火墻取代原出口部分的軟件防火墻以進一步提高出口部分的處理能力，華為 Eudemon200 硬件防火墻采用專業(yè)的硬件 ASIC 芯片實現(xiàn)出口數(shù)據(jù)的硬件的處理，而不會因為業(yè)務(wù)的繁忙而影響其處理性能，從而到大大提高了整個網(wǎng)絡(luò)的安全性以及高性能性。 網(wǎng)管平臺。華為 QuidView系列產(chǎn)品支持統(tǒng)一的網(wǎng)管平臺，通過華為 Quidview網(wǎng)管軟件可以對全網(wǎng)設(shè)備實施從網(wǎng)元到拓撲、故障等系列特性實施及時、專業(yè)的管理。 業(yè)務(wù)流量說明 業(yè)務(wù)流量流程如下圖 所示： 不同用戶訪問公網(wǎng)：用戶在訪問不同的網(wǎng)站的時候，出口路由器將會根據(jù)用戶的目的 IP 地址來做不同的策略路由器，選擇不同的運營商來進行公網(wǎng)的訪問，出口路由器根據(jù)用戶的訪問策略進行策略路由，如圖所示：不同的 ISP 用戶（網(wǎng)通、 Cer）在經(jīng)過 NE05 的時候， NE05 會根據(jù)用戶所在的 ISP 服務(wù)商來做策略路由，將用戶送到自己選擇的出口線路上。 校內(nèi)三層互訪：對于同在一個校園內(nèi)部的學生之間的互訪可以直接通過局域網(wǎng)的內(nèi)部交換機來完成內(nèi)部之間的互訪，如圖三層互訪示意圖所示：對于同屬于一個匯聚層交換機 S6506R 下的用 戶，兩個用戶之間的互訪可以直接在匯聚層交換機 S650R 上來完成，而對于跨匯聚層交換機的用戶只見的額互訪可以通過核心交換機 S8512 來完成， S8512 強大的三層交換功能完全可以勝任任何突發(fā)流量以及高集中用戶上網(wǎng)時段的三層交換，為用戶提供高速高帶寬的用戶接入。 基于流攻擊的防止。華為 3 所采用產(chǎn)品 NE0 S851 S6503 等三層轉(zhuǎn)發(fā)模式均為最長路由匹配技術(shù)。這樣就可以避免校園網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件進行的一些基于流的共計，因為這種攻擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的 IP 地址，來不斷消耗主控處理 板的 CPU 處理能力，直到徹底使主控處理板的 CPU 喪失處理能力，整個機器癱掉。 S8512 是根據(jù)最長匹配來查找路由的，是針對網(wǎng)斷進行路由的。所以當攻擊者進行攻擊時，不會造成 S8512 業(yè)務(wù)能力處理下降，對于整機沒有影響影響。這是我們選則 S8512 的作為核心交換的非常重要的原因。 華為北京科技大學解決方案特點： 華為北京科技大學教育網(wǎng)組網(wǎng)解決方案的優(yōu)點有以下幾點： 完全的分布式的處理方式 S8512 為用戶提供完全的分布式的處理方式，北京科技大學的校園網(wǎng)內(nèi)部的數(shù)據(jù)量是非常大的，因此主交換機是否能夠做 到線速關(guān)系到整個網(wǎng)絡(luò)的是否會發(fā)生擁塞。華為 S8512 背板交換容量 夠做到所有 GE 接口的雙向的線速，華為公司的 S8512 的性能指標是經(jīng)過完整的測試，而業(yè)界廠家在指標宣稱上面往往與給最終提供給用戶的不一致。而用戶又由于測試儀器的限制無法確認實際配置的性能，這一點在華為公司是絕對不會出現(xiàn)的。針對用戶要求在實際的組網(wǎng)方面采用戶為的 12GE 接口板提供高速的雙向的線速的速率，完全不會產(chǎn)生帶寬瓶頸。 再次 ,分布式的轉(zhuǎn)發(fā)，對于 S8512 路由查找是非常有益的補充。因為 S8512的路由查找模式為最長匹配。這樣就可以避免校 園網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件來攻擊中心交換機，因為這種攻擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的IP 地址，來不斷消耗主控處理板的 CPU 處理能力，直到徹底使主控處理板的 CPU喪失處理能力，整個機器癱掉。但是 S8512 是根據(jù)最長匹配來查找路由的，是針對網(wǎng)斷進行路由的。所以當攻擊者進行攻擊時， S8512 只能造成該接口板的業(yè)務(wù)能力處理下降，但是對于整機沒有多大影響。這是我們選則 S8512 的作為核心交換的非常重要的原因。 對于新特性的業(yè)務(wù)支持力度 IPv6 數(shù)據(jù)通信的技術(shù)的發(fā)展的迅速的，所以在北京科技大學的 校園網(wǎng)的建設(shè)的過程當中應當充分考慮到網(wǎng)絡(luò)的延續(xù)性以及網(wǎng)絡(luò)對于未來新業(yè)務(wù)的支持力度，如：IPv6 技術(shù)，隨著 Inter 網(wǎng)的迅速的發(fā)展，目前國內(nèi)的 IP 地址的數(shù)量越來越不夠使用，這就迫使我們需要進一步擴大 IPv6 的協(xié)議的支持，目前各高校正在學校內(nèi)部的部分局域網(wǎng)實驗 IPv6 的技術(shù)，再如： MPLS VPN 的技術(shù)目前好多的運營商都在興建自己的 VPN 線路。在北京科技大學的建網(wǎng)的過程當中希望能夠考慮到網(wǎng)絡(luò)的延續(xù)性以及相關(guān)的技術(shù)的支持性，以便于網(wǎng)絡(luò)的建設(shè)的發(fā)展。傳統(tǒng)的路由設(shè)備在增加新的業(yè)務(wù)特性的時候，必須通過更換單板等硬 件升級的方式來實現(xiàn)，這樣對于用戶來說，是一筆極大的浪費。華為公司充分考慮到用戶的相關(guān)的需求，因此 NE05 的核心交換機對于新業(yè)務(wù) MPLS VPN、 IPv6 等技術(shù)均可支持。 量身定做的校園網(wǎng)內(nèi)部服務(wù)器的負載均衡： 北京科技大學的校園網(wǎng)絡(luò)的建設(shè)是一個全新的網(wǎng)絡(luò)建設(shè)，因此在實際的建設(shè)的過程當中希望能夠考慮的網(wǎng)絡(luò)的應用以及相關(guān)的業(yè)務(wù)特性，如：內(nèi)部的服務(wù)