【正文】 接入層節(jié)點(diǎn)，樓域交換機(jī)采用了 FastIron 工作組交換機(jī)，有 24 個(gè) 10/100M 自適應(yīng)接口，并配備了 2口 100BaseFX 上行接口，連接到網(wǎng)絡(luò)邊緣節(jié)點(diǎn)。企業(yè)用戶需要高速連接時(shí)，可以把企業(yè)自己的交換機(jī)通過(guò)光纖直接連接到最近的邊緣節(jié)點(diǎn)。 網(wǎng)關(guān)設(shè)備XX 市寬帶 IP 網(wǎng)采用私有 IP 地址為網(wǎng)絡(luò)設(shè)備進(jìn)行編址。地址轉(zhuǎn)換有兩種情形：普通用戶訪問(wèn) Inter 時(shí)，對(duì)用戶的源地址進(jìn)行動(dòng)態(tài)轉(zhuǎn)換。提供這類(lèi)地址轉(zhuǎn)換功能的網(wǎng)關(guān)設(shè)備在業(yè)界比較多，最著名的是 CheckPoint 公司的FireWall1 防火墻產(chǎn)品。為了提高網(wǎng)絡(luò)出口處的吞吐量，避免網(wǎng)關(guān)設(shè)備成為數(shù)據(jù)傳輸?shù)钠款i，F(xiàn)oundry 公司提供了 47 層交換機(jī)ServerIron 對(duì)防護(hù)墻進(jìn)行負(fù)載均衡處理。因此，XX 市寬帶IP 網(wǎng)可以根據(jù)實(shí)際的網(wǎng)絡(luò)流量，平滑地增加網(wǎng)絡(luò)出口處的吞吐量。不僅可以進(jìn)行 VLAN 的劃分，還可以進(jìn)行高速的路由轉(zhuǎn)發(fā)。支持各種常用的網(wǎng)絡(luò)協(xié)議和路由協(xié)議。也意味著可以減少繁瑣的擁塞管理和服務(wù)質(zhì)量管理工作。第三層意味著可以支持以 IP 為主要協(xié)議的網(wǎng)絡(luò)應(yīng)用，尤其是需要與其他地域互連時(shí)，由于網(wǎng)絡(luò)鏈路的復(fù)雜性和多樣性，要進(jìn)行網(wǎng)絡(luò)互連，必須采用高層網(wǎng)絡(luò)協(xié)議。第三層則可以為跨地域連接時(shí)提供服務(wù)，例如與上級(jí)網(wǎng)絡(luò)的連接，同一企業(yè)在全省范圍的連接等。第二層安全控制能力可以提供端口地址過(guò)濾、端口地址鎖定等功能。第三層安全控制能力可以提供訪問(wèn)控制列表能力，允許交換機(jī)根據(jù)預(yù)先設(shè)定的規(guī)則，允許或者禁止某些第三層數(shù)據(jù)（IP 或 IPX 包）進(jìn)出交換機(jī)。20 / 34網(wǎng)絡(luò)骨干節(jié)點(diǎn)之間采用環(huán)形拓?fù)?，兩?jié)點(diǎn)之間的光路出現(xiàn)故障時(shí)，不會(huì)影響節(jié)點(diǎn)間的通訊。冗余備份的管理模塊保證了骨干交換機(jī)的不間斷運(yùn)行。上述網(wǎng)絡(luò)核心在 IP 路由設(shè)計(jì)中，也有很大的好處。如果選擇上述網(wǎng)絡(luò)核心作為OPSF 的核心區(qū)域 AREA 0，把邊緣層作為一個(gè)個(gè)獨(dú)立的區(qū)域，則它們都是直接連接到 AREA 0 上的，不需要使用虛擬連接，整個(gè)路由域只有 2 層，顯得比較有層次，軟件配置和將來(lái)可能的擴(kuò)充都會(huì)比較容易。用戶的路由設(shè)備不會(huì)參與城域網(wǎng)的路由計(jì)算，避免因?yàn)橛脩粼O(shè)備的原因?qū)е氯W(wǎng)路由波動(dòng)頻繁，影響路由性能。在城域網(wǎng)的建設(shè)中，采用的比較多的是 VLAN 技術(shù)，即虛擬局域網(wǎng)技術(shù)。在大型的網(wǎng)絡(luò)環(huán)境中，廣播包不可避免地會(huì)引起帶寬的浪費(fèi)，而在 TCP/IP，IPX，WINDOWS 環(huán)境下，廣播包的使用更是不可或缺。VLAN把一部分端口模擬成為一個(gè)虛擬的廣播域，VLAN 的所21 / 34有廣播都只會(huì)在本域內(nèi)發(fā)送，不會(huì)超出廣播域，進(jìn)一步，VLAN 內(nèi)的所有數(shù)據(jù)都只能被同一 VLAN 的成員接收，而不會(huì)被非本 VLAN 成員接收。如果把每個(gè)企業(yè)用戶劃到每個(gè)不同的 VLAN 內(nèi)，企業(yè)用戶之間就不可能相互通信，這就實(shí)現(xiàn)了邏輯隔離。與第二層的 VLAN 技術(shù)相類(lèi)似的還有第三層的 VPN虛擬專用網(wǎng)技術(shù)。通過(guò)隧道技術(shù)和數(shù)據(jù)加密技術(shù)，用戶可以控制自己的數(shù)據(jù)安全。隧道技術(shù)可以在用戶的路由設(shè)備上實(shí)現(xiàn)。我們建議VPN 功能由用戶自行實(shí)現(xiàn)，或者租用 XX 電信的設(shè)備，但目前網(wǎng)絡(luò)上尚未配置。 多重訪問(wèn)控制。用戶分為三種級(jí)別：超級(jí)用戶、只讀用戶、普通用戶。只讀用戶只能閱讀配置，沒(méi)有任何更改權(quán)利。 通過(guò)訪問(wèn)控制列表，可以禁止或允許對(duì)FOUNDRY 設(shè)備的遠(yuǎn)程管理。 本地用戶或 RADIUS、TACACS+ 口令認(rèn)證。 通過(guò)身份驗(yàn)證，可以禁止或允許 TELNET 訪問(wèn)，必要時(shí)，可以關(guān)閉 TELNET 服務(wù)。 通過(guò) SYSLOG 功能，把系統(tǒng)事件紀(jì)錄并保存下來(lái)。對(duì)于一個(gè)運(yùn)行級(jí)網(wǎng)絡(luò)來(lái)說(shuō)，穩(wěn)定性與性能一樣重要。本方案涉及的設(shè)備 MBTF 如下：MTBF for FastIron：?jiǎn)坞娫?43,400 小時(shí)MTBF for BigIron 4000：機(jī)箱加單電源 36,500 小時(shí)MTBF for BigIron 8000：機(jī)箱加 4 個(gè)電源 – 32,400小時(shí)鏈路穩(wěn)定性體現(xiàn)在兩個(gè)層次：第二層穩(wěn)定性和網(wǎng)絡(luò)層穩(wěn)定性。FOUNDRY產(chǎn)品在運(yùn)行第二層交換功能時(shí)，使用最小生成樹(shù)算法來(lái)保持每個(gè) VLAN。FOUNDRY 的第二層功能缺省打開(kāi)了IRONSPAN 功能。本網(wǎng)絡(luò)采用OSPF 標(biāo)準(zhǔn)協(xié)議，可以在 30 秒內(nèi)實(shí)現(xiàn)全網(wǎng)路由收斂。如有必要，還可以調(diào)整時(shí)間。 FastIron 工作組交換機(jī)可以堆疊，并可以采用TRUNK 技術(shù)把多條物理鏈路當(dāng)作 1 條邏輯鏈路使用，根據(jù)業(yè)務(wù)的發(fā)展可以相應(yīng)地增加端口或升級(jí)上行鏈路。FOUNDRY的命令行與 CISCO 的命令行非常類(lèi)似，都是簡(jiǎn)單易用，并有幫助功能，可以進(jìn)行所有的配置工作。IRONVIEW 網(wǎng)管軟件可以單獨(dú)運(yùn)行在 WINDOWS NT 平臺(tái)上，也可以與 HP OPENVIEW，SUN NETMANAGER 配套使用。通過(guò) SNMP，網(wǎng)管人員可以遠(yuǎn)程進(jìn)行設(shè)備狀態(tài)紀(jì)錄，設(shè)備維護(hù)，設(shè)備告警，設(shè)備啟動(dòng)等操作，實(shí)現(xiàn)全面管理。以此為基礎(chǔ)，可以實(shí)現(xiàn)基于流量的統(tǒng)計(jì)和計(jì)費(fèi)。采用FOUNDRY IronClad QoS，可以配置四種服務(wù)質(zhì)量隊(duì)列： 0盡力傳遞，1低優(yōu)先級(jí)，2 高優(yōu)先級(jí)，3 最高優(yōu)先級(jí)。分類(lèi)的方法有：?輸入端口 ? IP 源和目的地址? 第四層源和目的信息 ? 靜態(tài) MAC內(nèi)容? AppleTalk端口號(hào) ?基于VLAN? ? IP TOS 映射可選的隊(duì)列模式IronClad QoS 允許選擇下列隊(duì)列模式之一：? 限制 – 高級(jí)別隊(duì)列優(yōu)于低級(jí)別隊(duì)列? 可調(diào)的加權(quán)平均隊(duì)列—加權(quán)平均隊(duì)列將被用來(lái)進(jìn)行在四個(gè)隊(duì)列間輪流提供服務(wù)。24 / 34可配置的帶寬比例對(duì)于加權(quán)平均隊(duì)列， 可以指定每個(gè)隊(duì)列可接收的最小帶寬使用比例。 用戶之間還可以共享文件和資源，或者聯(lián)網(wǎng)玩游戲，充分享受在信息高速公路上遨游的樂(lè)趣。單元交換機(jī)再通過(guò) 100Mbps 以太網(wǎng)匯接到最近的接入節(jié)點(diǎn)。為了實(shí)現(xiàn)用戶隔離，采用一戶一個(gè) VLAN 的方式。 FastIron 交換機(jī)的上聯(lián)端口同 BirIron 4000 上的 100M 端口都運(yùn)行 協(xié)議。如下圖所示。 BigIron 401 2345 6789 1011213 14151617 181920Consle7Link8Activty5Link6Activty3Link4Activty1Link2Activty 7Link8Activty5Link6Activty3Link4Activty1Link2Activty123456789101121314151617181920FastIron Wrkgoup12345 678FDX10Link /Acti /t 9 1012134156FDX10Link /Acti /t 17 8192021234FDX10Link /Acti /tPower ConsleLinkActvty LinkActvity FastIron Wrkgoup12345 678FDX10Link /Acti /t 9 1012134156FDX10Link /Acti /t 17 8192021234FDX10Link /Acti /tPower ConsleLinkActvty LinkActvity 10 20 VLAN 10 VLAN 20 VLAN 40 VLAN 30 40 30 26 / 34在通常情況下，每個(gè) VLAN 上的 VE 接口和用戶的聯(lián)網(wǎng)設(shè)備需要占用一個(gè) IP 子網(wǎng)，用戶的缺省網(wǎng)關(guān)指向 VE上的 IP 地址。如下圖所示。為了進(jìn)一步減少使用的 VLAN 數(shù)量和配置的工作量，并節(jié)省 IP 地址，F(xiàn)OUNDRY 在 BigIron 和 FastIron 上實(shí)現(xiàn)了一個(gè)特殊的功能，稱為上聯(lián)交換端口(Uplink Switch Port,檢查 USP)。為了實(shí)現(xiàn)用戶間的相互隔絕，將FastIron 的上聯(lián)端口(在本方案中，即兩個(gè) 100BaseFx端口)的 USP 功能打開(kāi)。用戶雖然屬于同一 VLAN 和 IP 子網(wǎng)，但不能直接進(jìn)行通訊。例如，可以把同一幢樓內(nèi)的用戶都劃入同一個(gè) VLAN。通過(guò)采用 DHCP 技術(shù)，住宅用戶可以自動(dòng)獲得 IP 地址、缺省網(wǎng)關(guān)地址，簡(jiǎn)化用戶設(shè)備的配置。 用戶局域網(wǎng)高速互連用戶局域網(wǎng)高速互連XX 寬帶 IP 網(wǎng)可以為企業(yè)用戶提供局域網(wǎng)互連業(yè)務(wù)，實(shí)現(xiàn)企業(yè)中心機(jī)構(gòu)同分支機(jī)構(gòu)之間的連接。 企業(yè)用戶企業(yè)用戶 VLAN 組網(wǎng)組網(wǎng)企業(yè)用戶可以通過(guò) VLAN 互連。采用 VLAN 技術(shù)進(jìn)行網(wǎng)絡(luò)互聯(lián)為企業(yè)組網(wǎng)提供了極大的靈活性。FOUNDRY 公司的網(wǎng)絡(luò)產(chǎn)品支持集成交換路由(Integrated SwitchRouting)。這樣，在一個(gè)主要以28 / 34路由方式進(jìn)行工作的寬帶城域網(wǎng)上，可以靈活的為企業(yè)用戶建立起單獨(dú)的 VLAN，提供透明局域網(wǎng)服務(wù)。這些用戶目前基本上都已經(jīng)購(gòu)買(mǎi)了路由器，通過(guò) DDN、幀中繼線路進(jìn)行了互連。用戶可能需要修改路由器上接入 VLAN 的那個(gè)以太網(wǎng)端口的 IP 地址，因?yàn)榇藭r(shí)所有路由器連接VLAN 的端口都在同一個(gè) IP 子網(wǎng)內(nèi)。參見(jiàn)下圖。由于傳統(tǒng)路由器的數(shù)據(jù)包轉(zhuǎn)發(fā)性能較低，用戶可以采用高性能的第三層交換機(jī)來(lái)取代路由器，進(jìn)行高速網(wǎng)絡(luò)互聯(lián)。但這種方法存在潛在的隱患，用戶有可能有意無(wú)意地在 VLAN上引發(fā)廣播風(fēng)暴。用戶所在 VLAN 同城域網(wǎng)其他部分是完全隔離的，用戶連接在 VLAN 上的設(shè)備的 IP 地址也是由用戶自行規(guī)劃和使用的。然后由支持 NAT 的網(wǎng)關(guān)設(shè)備將用戶數(shù)據(jù)包內(nèi)的企業(yè)內(nèi)部地址轉(zhuǎn)換成城域網(wǎng)地址，實(shí)現(xiàn)對(duì)城域網(wǎng)內(nèi)網(wǎng)站資VLAN29 / 34源的訪問(wèn)；并進(jìn)一步經(jīng)由城域網(wǎng)的 Inter 網(wǎng)關(guān)，訪問(wèn)Inter 上的資源。用戶在各個(gè)分支機(jī)構(gòu)放置 VPN 網(wǎng)關(guān)設(shè)備。從城域網(wǎng)的角度看來(lái)，每臺(tái)網(wǎng)關(guān)設(shè)備同住宅用戶家里的 PC 機(jī)沒(méi)有什么區(qū)別。從網(wǎng)關(guān)設(shè)備的角度看來(lái)，相互之間形成了一條點(diǎn)到點(diǎn)的虛擬通道。IP VPN 由企業(yè)用戶在網(wǎng)絡(luò)的邊緣發(fā)起，自行構(gòu)建加密隧道，自己掌握加密口令。對(duì)于個(gè)人用戶，這是非常方便靈活的一項(xiàng)服務(wù)，用戶可以自由建立自己的 Web 網(wǎng)站、FTP 服務(wù)器、BBS 服務(wù)器，運(yùn)行 CGI 程序等，促進(jìn) XX 城域網(wǎng)上網(wǎng)絡(luò)資源的極大豐富。如果網(wǎng)站需要被 Inter 上的用戶瀏覽，XX 電信需要在連接 Inter 的網(wǎng)關(guān)設(shè)備上，將該網(wǎng)站的城域網(wǎng) IP 地址靜態(tài)地映射為一個(gè)合法的 IP 地址。30 / 34 用戶隔離與基本認(rèn)證用戶隔離與基本認(rèn)證所有申請(qǐng) Inter 接入的用戶都位于單獨(dú)一個(gè)VLAN 內(nèi)，彼此隔離，只能在第三層以上進(jìn)行互通。采用 IP VPN 方式組網(wǎng)的企業(yè)同城域網(wǎng)其他部分是隔離的。FOUNDRY 還有一個(gè)專門(mén)的網(wǎng)管軟件：FOUNDRY IRONVIEW。IRONVIEW 可以直觀地進(jìn)行 IP、IPX 和APPLETALK 的協(xié)議的配置，路由協(xié)議的配置， VLAN的配置和顯示，服務(wù)質(zhì)量方面的的配置，訪問(wèn)控制列表的配置，設(shè)備安全性方面的配置等，同時(shí)可直觀顯示設(shè)備的運(yùn)行狀態(tài)，每個(gè)端口的流量情況等，設(shè)備運(yùn)行軟件和配置和保存等。 網(wǎng)管中心的設(shè)置和職責(zé)網(wǎng)管中心的設(shè)置和職責(zé) 節(jié)點(diǎn)維護(hù)管理終端節(jié)點(diǎn)維護(hù)管理終端 FOUNDRY 設(shè)備維護(hù)終端可通過(guò)本地和遠(yuǎn)端兩種方式接入節(jié)點(diǎn)，以實(shí)現(xiàn)對(duì)節(jié)點(diǎn)的配置及運(yùn)行狀態(tài)、業(yè)務(wù)情況的監(jiān)視和控制。本地接入 將一個(gè)文本接口裝置( 例如一個(gè) VT100 終端)連接到一個(gè)節(jié)點(diǎn)就可以對(duì)節(jié)點(diǎn)進(jìn)行本地監(jiān)控。 Tel 是一個(gè)基于 TCP/IP(IETFRFC793 和IETFRFC791)傳輸協(xié)議的遠(yuǎn)程終端工業(yè)標(biāo)準(zhǔn)，通過(guò)它可以字符方式對(duì)網(wǎng)絡(luò)進(jìn)行遠(yuǎn)程管理。每個(gè)管理員都有自己的 UserlD 和密碼，他們具有不同的網(wǎng)絡(luò)管理權(quán)。IRONVIEW 應(yīng)用可提供如下管理功能： 故障管理 配置管理 計(jì)費(fèi)管理 性能管理 安全管理 FOUNDRY IRONVIEW 可支持圖形化的用戶接口，有彩色圖、菜單、幫助屏幕、在線文檔和多窗口。 網(wǎng)管中心的功能網(wǎng)管中心的功能網(wǎng)管中心應(yīng)具有配置管理、性能管理、故障管理、計(jì)費(fèi)管理及安全管理五大功能。2〕 網(wǎng)絡(luò)業(yè)務(wù)的配置? 性能管理1〕 可以實(shí)時(shí)連續(xù)地收集網(wǎng)絡(luò)運(yùn)行的相關(guān)數(shù)據(jù)，33 / 34監(jiān)視網(wǎng)絡(luò)擁塞，設(shè)備失效的情況，可用數(shù)字和圖形的方式顯示網(wǎng)絡(luò)運(yùn)行的各種情況以及重要程度，需要時(shí)可發(fā)布指令到各節(jié)點(diǎn)，進(jìn)行網(wǎng)絡(luò)控 制。并形成報(bào)告向上一級(jí)中心報(bào)告和提示系統(tǒng)管理員。? 故障管理1〕 能實(shí)時(shí)監(jiān)視故障信息 ，并對(duì)其統(tǒng)計(jì)分析，低層網(wǎng)管設(shè)備應(yīng)把重要的故障信息報(bào)告給高層網(wǎng)管中心。3〕 可設(shè)置和實(shí)施各種環(huán)回測(cè)試，端到端測(cè)試。1. 網(wǎng) 絡(luò)交 換 機(jī)不 停 地在 運(yùn) 行 系 統(tǒng) 測(cè) 試 程 序 以 保證網(wǎng)絡(luò)的正確運(yùn)行。 FOUNDRY IRONVIEW 隨即修改狀態(tài)圖以反映此故障：如果該故 障影響了用戶服務(wù)， 為重大故障，故障點(diǎn)的顏色即從綠色變?yōu)榧t 色； 如果該故障不影響用戶服務(wù)，為輕微故障， 則故障點(diǎn)的顏色從綠色變?yōu)辄S色。 若故障影響用戶連接，則交換機(jī)自動(dòng)將這些 連接自動(dòng)迂回。 事件管理器是一個(gè)應(yīng)用程序， 負(fù)責(zé)按時(shí)間順序顯示所有告警。除告警外，事件管理器也記錄網(wǎng)絡(luò)中發(fā)生的所有事34 / 34件。計(jì)費(fèi)管理分為三級(jí)：原始計(jì)費(fèi)數(shù)據(jù)收集，記費(fèi)系統(tǒng) (Billing System) 是一臺(tái)專用的計(jì)算機(jī)，用于產(chǎn)生記 費(fèi)記錄。記費(fèi)系統(tǒng)同時(shí)也緩存有用戶信息，如用戶姓名，單位，地址和電話等。隨著