【文章內(nèi)容簡介】 下所示： 主樓節(jié)點(diǎn)主要負(fù)責(zé)保衛(wèi)處、自動化所、理化樓、計算中心、金物樓、管理樓、文法樓 7 個點(diǎn)的接入，完 成各節(jié)點(diǎn)之間的相互訪問，其三層互通由主樓中心節(jié)點(diǎn)S8505 三層交換機(jī)完成互通。 整體組網(wǎng)說明： 解決方案網(wǎng)絡(luò)分為三個層次，核心層、匯聚層、接入層。為實(shí)現(xiàn)校區(qū)內(nèi)的高速互聯(lián)，核心層由圖書館節(jié)點(diǎn)、主樓節(jié)點(diǎn)構(gòu)成，對于這兩個節(jié)點(diǎn)的接入是采取二層的組網(wǎng)方式，其匯聚層的減少大大降低了網(wǎng)絡(luò)當(dāng)中在匯聚層有可能會產(chǎn)生流量瓶頸的問題。對于實(shí)驗(yàn)樓與綜合樓的接入可以考慮到這兩個節(jié)點(diǎn)處信息點(diǎn)數(shù)量較少，可能存在的流量相對較少，建議采用 S6506R 核心交換機(jī)作為該節(jié)點(diǎn)的核心設(shè)備，同時與主樓、圖書館處的核心交換機(jī) S8505 相又構(gòu)成了三層的網(wǎng) 絡(luò)。 園區(qū)骨干網(wǎng)的組網(wǎng)主要是在主樓、圖書館、綜合樓、實(shí)驗(yàn)樓四個節(jié)點(diǎn)構(gòu)成環(huán)行網(wǎng)絡(luò)采用動態(tài)路由協(xié)議 OSPF，環(huán)網(wǎng)的構(gòu)成進(jìn)一步大大提高了網(wǎng)絡(luò)的可靠性，同時華為 S8505 萬兆交換機(jī)其 750G 背板容量進(jìn)一步滿足大型節(jié)點(diǎn)高數(shù)據(jù)量轉(zhuǎn)發(fā)的特點(diǎn)完全滿足骨干節(jié)點(diǎn)的需求，整個改造后的 ATM 網(wǎng)絡(luò)與校園網(wǎng)核心交換機(jī)之間采用 10GE 的帶寬相連大大擴(kuò)大的原有的帶寬，原校園網(wǎng)核心交換機(jī) CB9000可進(jìn)一步使用 S8512 替換，同樣采用 10GE 接口與改造后的 ATM 網(wǎng)相連進(jìn)一步擴(kuò)大骨干網(wǎng)的帶寬。進(jìn)而提升整網(wǎng)的可靠性以及高帶寬性，對于未來業(yè)務(wù)的擴(kuò) 展有更好的支持。 以太網(wǎng)核心交換機(jī)改造組網(wǎng)描述 網(wǎng)絡(luò)運(yùn)行問題分析： 目前北京科技大學(xué)網(wǎng)絡(luò)的整體運(yùn)行較慢，以太網(wǎng)目前的核心網(wǎng)絡(luò)組網(wǎng)如下圖所示： 原因分析： 核心出口串連引起擁塞， 從目前的核心出口部分可以看出，在出口部分有設(shè)備：防火墻、計費(fèi)主機(jī)、出口路由器三個設(shè)備，均為百兆因此上行流量在經(jīng)過每一臺設(shè)備的時候都會產(chǎn)生不同程度的帶寬浪費(fèi)因此實(shí)際上真正出口的流量將無法達(dá)到百兆的線速帶寬，因此將會產(chǎn)生一定的出口流量的影響，因而將會進(jìn)一步影響出口的帶寬。計費(fèi)主機(jī)部分因?yàn)橐幚泶罅康挠嬞M(fèi)、認(rèn)證信息將會進(jìn)一步影響帶寬 。由于出口防火墻為軟件防火墻，其處理的速度依賴于主機(jī)的性能以及軟件平臺的處理因此在防火墻處也同樣存在這嚴(yán)重的帶寬瓶頸。 核心設(shè)備 CB9000 的帶寬瓶頸 由于根據(jù)前期的用戶反映在 CB9000 以上測試帶寬的可以達(dá)到很高，但在CB9000 以下測試出口帶寬無法超過 30M 的帶寬，在核心交換機(jī) CB9000 上可能會存在嚴(yán)重的瓶頸，從整個組網(wǎng)結(jié)構(gòu)上來分析，不難看出 CB9000 其承擔(dān)著科技樓內(nèi)部的三層交換以及出口流量的接入，同時還承擔(dān)著學(xué)生宿舍區(qū)的出口流量的接入、辦公樓出口流量的接入以及原 ATM 網(wǎng)的出口流量的接入因此其承擔(dān)的 流量非常大，從目前看來 CB9000 核心交換機(jī)的轉(zhuǎn)發(fā)性能已經(jīng)無法滿足整個校園網(wǎng)核心的要求，再加上對于原有的 ATM 網(wǎng)進(jìn)行改造以后也無法實(shí)現(xiàn)萬兆的接入，改造核心勢在必行！ 改造后的校園核心網(wǎng)絡(luò)： 由于改造后 Cer 的出口為 100M 出口再加上 Iner（網(wǎng)通運(yùn)營商）出口總帶寬已經(jīng)完全超過 100M 帶寬因此出口路由器以及防火墻等設(shè)備接口需要更新進(jìn)一步擴(kuò)大出口帶寬減少網(wǎng)絡(luò)瓶頸。其整體組網(wǎng)圖如下所示： 如圖所示，改造后核心交換機(jī)采用 S8512 核心交換機(jī)作為整個校園網(wǎng)絡(luò)的核心交換機(jī)，出口路由器以及防火墻均采用千兆 GE 方式進(jìn)行組網(wǎng)，考慮到要與改造后的 ATM 網(wǎng)相連建議核心交換機(jī)通過 10GE 接口分別與改造后的 ATM 網(wǎng)的圖書館節(jié)點(diǎn)、主樓節(jié)點(diǎn)相連進(jìn)而進(jìn)一步擴(kuò)大主干的帶寬。同時考慮到網(wǎng)絡(luò)中心處安全性的要求可以在核心采用一臺 S5024 作為服務(wù)器群的接入交換機(jī)同時可以形成ZDM（?；饏^(qū)）進(jìn)而提高網(wǎng)絡(luò)的可靠性，計費(fèi)系統(tǒng)的帶寬要求進(jìn)一步提高，以防止其成為全網(wǎng)的帶寬瓶頸。核心交換機(jī) S8512 其強(qiáng)大的性能完全可以承擔(dān)北京科技大學(xué)整個校園網(wǎng)的核心交換機(jī)，背板容量 ,包轉(zhuǎn)發(fā)率 432Mpps，其豐富的接口類型以及高密度的單板完全可為用戶提供 強(qiáng)大的擴(kuò)展空間。 Eudemon200 專業(yè)防火前其強(qiáng)大的性能以及豐富的業(yè)務(wù)特性可以配合華為 S5024實(shí)現(xiàn) DMZ區(qū)進(jìn)而提高網(wǎng)絡(luò)中心的可靠性， Eudemon200 可提供千兆光纖接口，同時可提供千兆線速 NAT 轉(zhuǎn)換。出口路由器 NE05 包轉(zhuǎn)發(fā)率高達(dá) 同時可提供豐富的業(yè)務(wù)特性如： IPV策略路由、 IPsec、 L2tp、 MPLS VPN 等滿足用戶的不同需求。對于原有的 CB9000 核心交換機(jī)可以采用的將其下移至作為科技樓的匯聚層交換機(jī)，這樣對于科技樓內(nèi)部的三成互訪完全可以直接在 CB9000 匯聚層交換機(jī)上來完成， 進(jìn)一步減少網(wǎng)絡(luò)核心交換機(jī) S8512 的壓力以提高整個網(wǎng)絡(luò)的網(wǎng)絡(luò)帶寬。 接入層設(shè)計方案 此次接入層建議采用華為 3 公司 E050/E026SI 接入層交換機(jī)作為學(xué)校的接入層交換機(jī)。 E050/E0260SI 接入層交換機(jī)具有固定的 48/24 個 10/100M 自適應(yīng)的以太網(wǎng)接口同時具有兩個擴(kuò)展插槽，支持各種類型的上行接口，支持堆疊，所有端口全部實(shí)現(xiàn)速轉(zhuǎn)發(fā)。華為 E 系列接入層交換機(jī)具有強(qiáng)大的業(yè)務(wù)特性，可以支持 256/128 個標(biāo)準(zhǔn)的 VLAN，并能夠提供強(qiáng)大的業(yè)務(wù)功能：如 認(rèn)證、 IP地址綁定、動態(tài) ACL、 動態(tài) Vlan、防止 Proxy 等功能。 整體設(shè)計說明 北京科技大學(xué)網(wǎng)絡(luò)建設(shè)是要求從北京科技大學(xué)實(shí)際的應(yīng)用出發(fā)，考慮到整體校園網(wǎng)數(shù)量大、上網(wǎng)時間集中、突發(fā)流量較大等因素，華為 3 在實(shí)際的在建網(wǎng)的過程當(dāng)中遵循了以下幾點(diǎn)要求： 萬兆核心節(jié)點(diǎn)交換機(jī) S8500：因北京科技大學(xué)校園網(wǎng)流量較大因此在建設(shè)的過程當(dāng)中，應(yīng)當(dāng)充分考慮到核心交換機(jī)的交換性能，以及轉(zhuǎn)發(fā)性能，華為 3 S8512 萬兆核心交換機(jī)具有 14 個插槽， 12 個業(yè)務(wù)插槽，具有強(qiáng)大的可擴(kuò)展性。S8512 全分布式的處理方式，所有端口線速轉(zhuǎn)發(fā)，背板容量 ，包轉(zhuǎn)發(fā)率432Mpps，最大可以支持 290GE 的線速轉(zhuǎn)發(fā)，可以為用戶提供強(qiáng)大的三層交換功能。 S8505 萬兆核心交換機(jī)對于圖書館、主樓等節(jié)點(diǎn)完全可以滿足用戶的需求，其 750G 的背板容量以及豐富的接口單板完全可以滿足未來業(yè)務(wù)擴(kuò)展的需求。同時對于萬兆接口、 IPv6 等新技術(shù)均支持。 千兆核心節(jié)點(diǎn)交換機(jī) S6506R：對于綜合樓、實(shí)驗(yàn)樓等相對信息點(diǎn)數(shù)量較少的節(jié)點(diǎn)可以采用 S6506R 核心千兆交換機(jī)作為節(jié)點(diǎn)設(shè)備，華為 3S6506R 核心交換機(jī)背板容量 128G，包轉(zhuǎn)發(fā)率 48Mpps 完全可以滿足節(jié)點(diǎn)的要求，同時考慮到后期節(jié)點(diǎn)數(shù)量有可能會進(jìn)一步擴(kuò)大，華為 S6506R 有 6 個業(yè)務(wù)插槽可支持高密度 GE接口板，完全可以滿足用戶的擴(kuò)展需求。對于未來主干的升級，華為 S6506R 可平滑升級到萬兆骨干，因此用戶無需對于該節(jié)點(diǎn)的進(jìn)一步擴(kuò)展而擔(dān)心。 出口路由器：考慮到北京科技大學(xué)的公網(wǎng)出口有兩個，用戶根據(jù)不同的目的IP 地址而選擇不同的出口線路；因此要求出口路由器具有強(qiáng)大的策略路由的功能，以及基于硬件的 ACL 列表功能，華為 NE05 高端路由器，具有強(qiáng)大的路由功能以及業(yè)務(wù)功能；最多可以支持 20 萬條 BGP 路由；每塊接口板可以支持 5K 條策略，完全滿足復(fù)雜的骨干網(wǎng)節(jié)點(diǎn)以及大型局域網(wǎng)的出口路由的需求?？芍С謴?qiáng)大的策略路由功能，支持硬件的 ACL 列表，支持 IPV6 技術(shù)。 接入層交換機(jī)：華為 E 系列接入層交換機(jī)是針對教育行業(yè)特點(diǎn)量身定做的交換機(jī)，具有豐富的業(yè)務(wù)特性，其強(qiáng)大的業(yè)務(wù)特性以及高性能完全可以滿足用戶的需求，針對北京科技大學(xué)校園網(wǎng)的建設(shè)可以采用 E026－ SI 24口交換機(jī)和 E050 48口交換機(jī)靈活堆疊滿足不同信息點(diǎn)的需求。 千兆硬件防火墻：考慮到原出口防火墻為軟件防火墻，其在網(wǎng)絡(luò)當(dāng)中將會存在嚴(yán)重的瓶頸，因此在此次 網(wǎng)絡(luò)的改造過程當(dāng)中建議將出口部分的防火墻進(jìn)行改造，采用 Eudemon200 應(yīng)將防火墻取代原出口部分的軟件防火墻以進(jìn)一步提高出口部分的處理能力，華為 Eudemon200 硬件防火墻采用專業(yè)的硬件 ASIC 芯片實(shí)現(xiàn)出口數(shù)據(jù)的硬件的處理，而不會因?yàn)闃I(yè)務(wù)的繁忙而影響其處理性能，從而到大大提高了整個網(wǎng)絡(luò)的安全性以及高性能性。 網(wǎng)管平臺。華為 QuidView系列產(chǎn)品支持統(tǒng)一的網(wǎng)管平臺，通過華為 Quidview網(wǎng)管軟件可以對全網(wǎng)設(shè)備實(shí)施從網(wǎng)元到拓?fù)?、故障等系列特性?shí)施及時、專業(yè)的管理。 業(yè)務(wù)流量說明 業(yè)務(wù)流量流程如下圖 所示： 不同用戶訪問公網(wǎng)：用戶在訪問不同的網(wǎng)站的時候，出口路由器將會根據(jù)用戶的目的 IP 地址來做不同的策略路由器，選擇不同的運(yùn)營商來進(jìn)行公網(wǎng)的訪問，出口路由器根據(jù)用戶的訪問策略進(jìn)行策略路由，如圖所示：不同的 ISP 用戶（網(wǎng)通、 Cer）在經(jīng)過 NE05 的時候， NE05 會根據(jù)用戶所在的 ISP 服務(wù)商來做策略路由，將用戶送到自己選擇的出口線路上。 校內(nèi)三層互訪：對于同在一個校園內(nèi)部的學(xué)生之間的互訪可以直接通過局域網(wǎng)的內(nèi)部交換機(jī)來完成內(nèi)部之間的互訪，如圖三層互訪示意圖所示：對于同屬于一個匯聚層交換機(jī) S6506R 下的用 戶，兩個用戶之間的互訪可以直接在匯聚層交換機(jī) S650R 上來完成，而對于跨匯聚層交換機(jī)的用戶只見的額互訪可以通過核心交換機(jī) S8512 來完成， S8512 強(qiáng)大的三層交換功能完全可以勝任任何突發(fā)流量以及高集中用戶上網(wǎng)時段的三層交換，為用戶提供高速高帶寬的用戶接入。 基于流攻擊的防止。華為 3 所采用產(chǎn)品 NE0 S851 S6503 等三層轉(zhuǎn)發(fā)模式均為最長路由匹配技術(shù)。這樣就可以避免校園網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件進(jìn)行的一些基于流的共計，因?yàn)檫@種攻擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的 IP 地址，來不斷消耗主控處理 板的 CPU 處理能力，直到徹底使主控處理板的 CPU 喪失處理能力，整個機(jī)器癱掉。 S8512 是根據(jù)最長匹配來查找路由的，是針對網(wǎng)斷進(jìn)行路由的。所以當(dāng)攻擊者進(jìn)行攻擊時，不會造成 S8512 業(yè)務(wù)能力處理下降，對于整機(jī)沒有影響影響。這是我們選則 S8512 的作為核心交換的非常重要的原因。 華為北京科技大學(xué)解決方案特點(diǎn)： 華為北京科技大學(xué)教育網(wǎng)組網(wǎng)解決方案的優(yōu)點(diǎn)有以下幾點(diǎn)： 完全的分布式的處理方式 S8512 為用戶提供完全的分布式的處理方式，北京科技大學(xué)的校園網(wǎng)內(nèi)部的數(shù)據(jù)量是非常大的，因此主交換機(jī)是否能夠做 到線速關(guān)系到整個網(wǎng)絡(luò)的是否會發(fā)生擁塞。華為 S8512 背板交換容量 夠做到所有 GE 接口的雙向的線速，華為公司的 S8512 的性能指標(biāo)是經(jīng)過完整的測試，而業(yè)界廠家在指標(biāo)宣稱上面往往與給最終提供給用戶的不一致。而用戶又由于測試儀器的限制無法確認(rèn)實(shí)際配置的性能，這一點(diǎn)在華為公司是絕對不會出現(xiàn)的。針對用戶要求在實(shí)際的組網(wǎng)方面采用戶為的 12GE 接口板提供高速的雙向的線速的速率，完全不會產(chǎn)生帶寬瓶頸。 再次 ,分布式的轉(zhuǎn)發(fā)，對于 S8512 路由查找是非常有益的補(bǔ)充。因?yàn)?S8512的路由查找模式為最長匹配。這樣就可以避免校 園網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件來攻擊中心交換機(jī)，因?yàn)檫@種攻擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的IP 地址，來不斷消耗主控處理板的 CPU 處理能力，直到徹底使主控處理板的 CPU喪失處理能力，整個機(jī)器癱掉。但是 S8512 是根據(jù)最長匹配來查找路由的，是針對網(wǎng)斷進(jìn)行路由的。所以當(dāng)攻擊者進(jìn)行攻擊時， S8512 只能造成該接口板的業(yè)務(wù)能力處理下降，但是對于整機(jī)沒有多大影響。這是我們選則 S8512 的作為核心交換的非常重要的原因。 對于新特性的業(yè)務(wù)支持力度 IPv6 數(shù)據(jù)通信的技術(shù)的發(fā)展的迅速的，所以在北京科技大學(xué)的 校園網(wǎng)的建設(shè)的過程當(dāng)中應(yīng)當(dāng)充分考慮到網(wǎng)絡(luò)的延續(xù)性以及網(wǎng)絡(luò)對于未來新業(yè)務(wù)的支持力度，如：IPv6 技術(shù)，隨著 Inter 網(wǎng)的迅速的發(fā)展，目前國內(nèi)的 IP 地址的數(shù)量越來越不夠使用，這就迫使我們需要進(jìn)一步擴(kuò)大 IPv6 的協(xié)議的支持，目前各高校正在學(xué)校內(nèi)部的部分局域網(wǎng)實(shí)驗(yàn) IPv6 的技術(shù)，再如： MPLS VPN 的技術(shù)目前好多的運(yùn)營商都在興建自己的 VPN 線路。在北京科技大學(xué)的建網(wǎng)的過程當(dāng)中希望能夠考慮到網(wǎng)絡(luò)的延續(xù)性以及相關(guān)的技術(shù)的支持性，以便于網(wǎng)絡(luò)的建設(shè)的發(fā)展。傳統(tǒng)的路由設(shè)備在增加新的業(yè)務(wù)特性的時候，必須通過更換單板等硬 件升級的方式來實(shí)現(xiàn)，這樣對于用戶來說，是一筆極大的浪費(fèi)。華為公司充分考慮到用戶的相關(guān)的需求，因此 NE05 的核心交換機(jī)對于新業(yè)務(wù) MPLS VPN、 IPv6 等技術(shù)均可支持。 量身定做的校園網(wǎng)內(nèi)部服務(wù)器的負(fù)載均衡： 北京科技大學(xué)的校園網(wǎng)絡(luò)的建設(shè)是一個全新的網(wǎng)絡(luò)建設(shè)，因此在實(shí)際的建設(shè)的過程當(dāng)中希望能夠考慮的網(wǎng)絡(luò)的應(yīng)用以及相關(guān)的業(yè)務(wù)特性，如：內(nèi)部的服務(wù)