【正文】 合對應(yīng)用系統(tǒng)的考慮，本次網(wǎng)絡(luò)建設(shè)的設(shè)計目標(biāo)是：高性能、高可靠性、高穩(wěn)定性、高安全性、易管理的萬兆骨干網(wǎng)絡(luò)平臺。我們遵循以下的原則進(jìn)行網(wǎng)絡(luò)設(shè)計：網(wǎng)絡(luò)建設(shè)應(yīng)始終貫徹面向應(yīng)用，注重實效的方針，堅持實用、經(jīng)濟的原則，建設(shè)的萬兆骨干網(wǎng)絡(luò)平臺，保護(hù)用戶的投資。網(wǎng)絡(luò)建設(shè)設(shè)計既要采用先進(jìn)的概念、技術(shù)和方法，又要注意結(jié)構(gòu)、設(shè)備、工具的相對成熟。不但能反映當(dāng)今的先進(jìn)水平，而且具有發(fā)展?jié)摿?，能保證在未來若干年內(nèi)占主導(dǎo)地位，保證貴校網(wǎng)絡(luò)建設(shè)的領(lǐng)先地位，采用萬兆以太網(wǎng)技術(shù)來構(gòu)建網(wǎng)絡(luò)主干線路。13 / 56在考慮技術(shù)先進(jìn)性和開放性的同時，還應(yīng)從系統(tǒng)結(jié)構(gòu)、技術(shù)措施、設(shè)備性能、系統(tǒng)管理、廠商技術(shù)支持及保修能力等方面著手，確保系統(tǒng)運行的可靠性和穩(wěn)定性，達(dá)到最大的平均無故障時間，銳捷網(wǎng)絡(luò)做為國內(nèi)知名品牌，網(wǎng)絡(luò)領(lǐng)導(dǎo)廠商，其產(chǎn)品的可靠性和穩(wěn)定性是一流的。為了保證骨干網(wǎng)絡(luò)平臺的健壯性和鏈路冗余性，建議網(wǎng)絡(luò)實施時在學(xué)校啟用千兆備份線路。在學(xué)校啟用物理鏈路冗余機制，保證任何一條線路出現(xiàn)故障后骨干網(wǎng)絡(luò)平臺的可用性。在網(wǎng)絡(luò)設(shè)計中，既考慮信息資源的充分共享，更要注意信息的保護(hù)和隔離，因此系統(tǒng)應(yīng)分別針對不同的應(yīng)用和不同的網(wǎng)絡(luò)通信環(huán)境，采取不同的措施，包括端口隔離、路由過濾、防 DDoS 拒絕服務(wù)攻擊、防 IP 掃描、系統(tǒng)安全機制、多種數(shù)據(jù)訪問權(quán)限控制等，銳捷網(wǎng)絡(luò)充分考慮安全性，針對的各種應(yīng)用，有多種的保護(hù)機制，如劃分 VLAN、IP/MAC 地址綁定（過濾） 、ACL、路由過濾、防DDoS 拒絕服務(wù)攻擊、防 IP 掃描、 認(rèn)證機制、SSH 加密連接等具體技術(shù)提升整個網(wǎng)絡(luò)的安全性。由于信息技術(shù)和人們對于新技術(shù)的需求發(fā)展都非常迅速，為了避免不必要的重復(fù)投資，我們必須選擇具有一定擴展能力的設(shè)備，能夠保證在網(wǎng)絡(luò)規(guī)模逐漸擴大的時候，不需要增加新的設(shè)備，而只需要增加一定數(shù)量的模塊就行。最好能夠做到在網(wǎng)絡(luò)技術(shù)進(jìn)一步發(fā)展，現(xiàn)有模塊不支持新技術(shù)的情況下，只需要更換相應(yīng)模塊，而不需要更換整個設(shè)備。為了適應(yīng)網(wǎng)絡(luò)結(jié)構(gòu)變化的要求，必須充分考慮以最簡便的方法、最低的投資，實現(xiàn)系統(tǒng)的擴展和維護(hù)。為了便于擴展，對于核心設(shè)備必須采用模塊化高密度端口的設(shè)備，便于將來升級和擴展。先進(jìn)的設(shè)備必須配合先進(jìn)的管理和維護(hù)方法，才能夠發(fā)揮最大的作用。全線采用基于 SNMP 標(biāo)準(zhǔn)的可網(wǎng)管產(chǎn)品，達(dá)到全程網(wǎng)管，降低了人力資源的費用，提高網(wǎng)絡(luò)的易用性、可管理性，同時又具有很好的可擴充性。第 4 章 網(wǎng)絡(luò)方案設(shè)計14 / 56 網(wǎng)絡(luò)拓?fù)湓O(shè)計局域網(wǎng)采用星型網(wǎng)絡(luò)拓樸結(jié)構(gòu)，星型拓樸結(jié)構(gòu)為現(xiàn)在較為流行的一種網(wǎng)絡(luò)結(jié)構(gòu)，它是以一臺中心處理機（通信設(shè)備）為主而構(gòu)成的網(wǎng)絡(luò)，其它入網(wǎng)機器僅與該中心處理機之間有直接的物理鏈路，中心處理機采用分時或輪詢的方法為入網(wǎng)機器服務(wù)，所有的數(shù)據(jù)必須經(jīng)過中心處理機。由于所有節(jié)點的往外傳輸都必須經(jīng)過中央節(jié)點來處理，因此，對中央節(jié)點的要求比較高。 優(yōu)點是網(wǎng)絡(luò)結(jié)構(gòu)簡單，易于維護(hù)，便于管理（集中式） ；每臺入網(wǎng)機均需物理線路與處理機互連，線路利用率低；處理機負(fù)載重（需處理所有的服務(wù)） ，因為任何兩臺入網(wǎng)機之間交換信息，都必須通過中心處理機；入網(wǎng)主機故障不影響整個網(wǎng)絡(luò)的正常工作。對該網(wǎng)絡(luò)支持的設(shè)備生產(chǎn)廠商有較好的技術(shù)支持。局域網(wǎng)內(nèi)的所有工作節(jié)點通過雙絞線與交換機相連形成一個星型網(wǎng)絡(luò)。辦公電腦建議采用品牌的商用機，商用機運行比較穩(wěn)定，而且比較耐用，運算速度較快，較適于開發(fā)使用。根據(jù)我們的設(shè)計，XX 大學(xué)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖如圖 1 所示。圖 1 XX 大學(xué)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖15 / 56 網(wǎng)絡(luò)設(shè)備選型： 核心：S10500 CLOS 多級多平面交換架構(gòu)采用先進(jìn)的 CLOS 多級多平面交換架構(gòu)，提供持續(xù)的帶寬升級能力。支持 40GE 和 100GE 以太網(wǎng)標(biāo)準(zhǔn)，充分滿足無阻塞園區(qū)網(wǎng)的應(yīng)用及未來發(fā)展需求。獨立的交換網(wǎng)板卡，控制引擎和交換網(wǎng)板硬件相互獨立，最大程度的提高設(shè)備可靠性，同時為后續(xù)產(chǎn)品帶寬的持續(xù)升級提供保證。采用了創(chuàng)新的硬件設(shè)計，通過全分布式的獨立控制引擎、檢測引擎、維護(hù)引擎為系統(tǒng)提供強大的控制能力和 50ms 的高可靠保障；分布式的控制引擎，所有業(yè)務(wù)板均提供強大的控制處理 系統(tǒng)，輕松處理各種協(xié)議報文及控制報文，并支持協(xié)議報文精細(xì)控制，為系統(tǒng)提供完善的抗協(xié)議報文攻擊的能力；分布式的檢測引擎，所有業(yè)務(wù)板都可以分布式的 BFD、OAM 等快速故障檢測，并與控制平面的協(xié)議實行聯(lián)動，支持快速保護(hù)切換和快速收斂，可以實現(xiàn) 50ms 的故障檢測，保障業(yè)務(wù)不中斷；分布式的維護(hù)引擎，智能化 CPU 系統(tǒng)支持電源智能管理，可以支持單板順序上下電（降低單板同時上電帶來的電源沖擊，提高設(shè)備壽命，降低電磁輻射，降低系統(tǒng)功耗），設(shè)備在線狀態(tài)檢查。（第二代智能彈性架構(gòu)）面向園區(qū)網(wǎng)橫向業(yè)務(wù)整合的需求，S10500 支持 IRF2（第二代智能彈性架構(gòu)）技術(shù)，將多臺高端設(shè)備虛擬化為一臺邏輯設(shè)備，在可靠性、分布性和易管理性方面具有強大的優(yōu)勢，主要體現(xiàn)在三個方面：：通過專利的路由熱備份技術(shù)，在整個虛擬架構(gòu)內(nèi)實現(xiàn)控制平面和數(shù)據(jù)平面所有信息的冗余備份和無間斷的三層轉(zhuǎn)發(fā)，極大的增強了虛擬架構(gòu)的可靠性和高性能，同時消除了單點故障，避免了業(yè)務(wù)中斷；：通過分布式跨設(shè)備鏈路聚合技術(shù)，實現(xiàn)多條上行鏈路的負(fù)載分擔(dān)和互為備份，從而提高整個網(wǎng)絡(luò)架構(gòu)的冗余性和鏈路資源的利用率；：整個彈性架構(gòu)共用一個 IP 管理，簡化網(wǎng)絡(luò)設(shè)備管理，簡化網(wǎng)絡(luò)拓?fù)涔芾恚?6 / 56高運營效率，降低維護(hù)成本。S10500 系列秉承 H3C 公司的開放架構(gòu)設(shè)計理念——開放應(yīng)用架構(gòu)（OAA）支持防火墻模塊、IPS 模塊、負(fù)載均衡等安全控制模塊，可以將安全保護(hù)功能擴展到交換機的每個端口；支持虛擬防火墻功能，可以為 VPN 用戶提供網(wǎng)絡(luò)防火墻的租用服務(wù)。實現(xiàn)了網(wǎng)絡(luò)業(yè)務(wù)和安全業(yè)務(wù)的無縫融合。支持用戶分級管理和口令保護(hù)，對登錄用戶進(jìn)行認(rèn)證，并且不同級別的用戶有不同的配置權(quán)限，用戶認(rèn)證方式包括：AAA 認(rèn)證、RADIUS 認(rèn)證等認(rèn)證方式等；支持 ，為用戶登錄提供安全加密通道；支持標(biāo)準(zhǔn)和擴展 ACL，可以對報文進(jìn)行過濾，防止網(wǎng)絡(luò)攻擊；支持控制平面的多級保護(hù)機制，防止 DoS / DDoS 攻擊；支持 uRPF 技術(shù)，防止基于源地址欺騙的網(wǎng)絡(luò)攻擊行為。S10500 系列集成無線控制模塊，實現(xiàn)有線無線一體化解決方案。無線控制模塊提供豐富的業(yè)務(wù)能力，包括精細(xì)的用戶控制管理、完善的 RF 管理及安全機制、快速漫游、超強的QoS 和對 IPv6 的支持等；無線控制模塊通過與安全策略服務(wù)器的聯(lián)動，實現(xiàn)對無線接入用戶的端點準(zhǔn)入防御，提高了整網(wǎng)的安全性。 IPv6 解決方案IPv6 作為下一代網(wǎng)絡(luò)的基礎(chǔ)協(xié)議以其特有的技術(shù)優(yōu)勢得到廣泛的認(rèn)可，S10500 系列全面支持 IPv6 協(xié)議族，支持 IPv6 靜態(tài)路由、RIPng、OSPFvISISvBGP4+等 IPV6 路由協(xié)議，支持豐富的 IPv4 向 IPv6 過渡技術(shù)，包括：IPv6 手工隧道、6to4 隧道、ISATAP隧道、GRE 隧道、IPv4 兼容自動配置隧道等隧道技術(shù)，保證 IPv4 向 IPv6 的平滑過渡。 匯聚：S5800V2高密萬兆接入 隨著用戶端帶寬不斷提高，交換機需要提供更高的轉(zhuǎn)發(fā)性能和萬兆端口擴展能力。S5820V252Q 支持 48 個 10G BaseT 端口及 4 個 40G QSFP 端口； S5820V252QF 和S5820V252QFU 支持 48 個 SFP+光口及 4 個 QSFP 端口；S5820V254QSGE 支持 4 個 SFP+光口及 2 個 QSFP 端口，每個 QSFP 端口均可通過轉(zhuǎn)接線纜轉(zhuǎn)換為 4 個線速轉(zhuǎn)發(fā)的 SFP+萬兆光口。因此，S5820V252Q/52QF/52QFU 交換機最大可支持 64 個萬兆端口，S5820V254QSGE 最大也可以支持 12 個萬兆端口，滿足了數(shù)據(jù)中心對高密萬兆接入的需求。17 / 56IRF2（第二代智能彈性架構(gòu)） 面對數(shù)據(jù)中心統(tǒng)一交換架構(gòu)的應(yīng)用需求，S5820V2 支持 IRF2（第二代智能彈性架構(gòu)）技術(shù)，將多臺設(shè)備虛擬化為一臺邏輯設(shè)備，在擴展性、可靠性、整體架構(gòu)和可用性方面具有強大的優(yōu)勢，主要體現(xiàn)在四個方面： 擴展性：IRF2 技術(shù)允許交換機利用互聯(lián)電纜實現(xiàn)多臺設(shè)備的擴展；具有即插即用、單一IP 管理，同步升級的優(yōu)點，同時大大降低系統(tǒng)擴展的成本。 可靠性：通過專利的路由熱備份技術(shù)，在整個 IRF2 組內(nèi)實現(xiàn)控制平面和數(shù)據(jù)平面所有信息的冗余備份和無間斷的三層轉(zhuǎn)發(fā)，極大的增強了 IRF2 組的可靠性和高性能，同時消除了單點故障，避免了業(yè)務(wù)中斷。 分布性：通過分布式鏈路聚合技術(shù)，實現(xiàn)多條上行鏈路的負(fù)載分擔(dān)和互為備份，從而提高整個網(wǎng)絡(luò)架構(gòu)的冗余性和鏈路資源的利用率。 可用性：通過標(biāo)準(zhǔn)的萬兆以太網(wǎng)接口實現(xiàn)智能彈性架構(gòu)，可以根據(jù)需求分配業(yè)務(wù)帶寬和系統(tǒng)連接帶寬，合理分配本地流量與上行流量；不僅可以實現(xiàn)機架內(nèi)、跨機架，甚至跨區(qū)域的遠(yuǎn)距離智能彈性架構(gòu)。VCF（縱向融合架構(gòu)） S5820V2 支持 VCF(縱向融合架構(gòu)）技術(shù)。VCF 支持將盒式設(shè)備作為遠(yuǎn)程接口板加入主設(shè)備系統(tǒng)，在縱向維度實現(xiàn)對系統(tǒng)的異構(gòu)擴展，用戶可以將整個系統(tǒng)看成單一的邏輯設(shè)備進(jìn)行統(tǒng)一管理和使用。VCF 可以為用戶帶來以下好處： 統(tǒng)一管理：VCF 架構(gòu)形成之后，連接到主設(shè)備就可以集中配置和管理架構(gòu)內(nèi)的所有成員，而不用物理連接到每臺成員設(shè)備上單獨配置。 統(tǒng)一安全策略：整網(wǎng)的安全策略只需在主設(shè)備上進(jìn)行配置，避免了對全網(wǎng)設(shè)備逐一配置所帶來的潛在策略沖突，并大幅降低了安全部署工作量。 簡化網(wǎng)絡(luò)層級：支持大規(guī)模的遠(yuǎn)程接口板擴展能力，傳統(tǒng)需要三層網(wǎng)絡(luò)架構(gòu)才能實現(xiàn)的組網(wǎng)結(jié)構(gòu)通過 VCF 可以簡化為二層組網(wǎng)，網(wǎng)絡(luò)的物理和邏輯層次更加簡單。 簡化業(yè)務(wù)：VCF 架構(gòu)中的各種業(yè)務(wù)配置基于單一邏輯設(shè)備進(jìn)行配置，這樣可以大幅簡化整網(wǎng)的 VLAN、IP、路由、MPLS VPN 等規(guī)劃注意事項。 方便維護(hù)：所有接入設(shè)備的配置和軟件版本均由主設(shè)備自動分配，新增設(shè)備的加入或離開時可以實現(xiàn)“熱插拔”和零配置，不影響其他設(shè)備的正常運行，整網(wǎng)的故障排除也是單點的。豐富的數(shù)據(jù)中心特性 S5820V2 系列交換機支持邊緣虛擬橋 EVB (Edge Virtual Bridging)，通過 VEPA (Virtual Ether Port Aggregator)模式實現(xiàn)將虛擬機 VM(Virtual Machine)產(chǎn)生的數(shù)據(jù)流量上傳至與服務(wù)器相連的物理交換機進(jìn)行處理。不僅實現(xiàn)了虛擬機之間的流量轉(zhuǎn)發(fā)，同時還解決了虛擬機與網(wǎng)絡(luò)之間的連接與管理邊界問題。18 / 56 FCoE 技術(shù)實現(xiàn)了在以太網(wǎng)中對 FC 報文的承載，使得 FC SAN 網(wǎng)絡(luò)和以太網(wǎng) LAN 網(wǎng)絡(luò)可共享同一網(wǎng)絡(luò)基礎(chǔ)設(shè)施，很好的解決了不同類型網(wǎng)絡(luò)共存所帶來的問題。S5820V2 系列交換機支持完整的 FCoE 及 FC 協(xié)議棧，所有的下行 SFP+端口均可以切換為 FCoE 端口，與支持FCoE 接口的存儲設(shè)施直接互通。部分款型的下行 SFP+端口還可以切換為 FC 端口與 FC SAN互通，實現(xiàn) FC SAN 網(wǎng)絡(luò)與以太網(wǎng)絡(luò)的完全融合，大大簡化了整網(wǎng)基礎(chǔ)設(shè)施。 TRILL（Transparent Interconnection of Lots of Links，多鏈路透明互聯(lián)）技術(shù)是一種改變傳統(tǒng)數(shù)據(jù)中心網(wǎng)絡(luò)構(gòu)建方式的創(chuàng)新技術(shù)，它將三層路由的穩(wěn)定可擴展高性能等優(yōu)點引入到適應(yīng)性強、但性能和組網(wǎng)范圍受限的二層交換網(wǎng)絡(luò)之中， 建立了一個靈活、易擴展的高性能二層網(wǎng)絡(luò)架構(gòu)。采用支持 TRILL 技術(shù)的 S5820V2 系列交換機是構(gòu)建大型的、高性能易擴展、并支持服務(wù)器虛擬機動態(tài)遷移的云數(shù)據(jù)中心網(wǎng)絡(luò)的理想選擇。 軟件定義網(wǎng)絡(luò)（Software Defined Network，SDN）是一種創(chuàng)新的網(wǎng)絡(luò)架構(gòu)體系。其核心技術(shù) Openflow 通過將網(wǎng)絡(luò)的控制層和數(shù)據(jù)轉(zhuǎn)發(fā)層進(jìn)行分離，大幅簡化了網(wǎng)絡(luò)的管理及維護(hù)難度，更為重要的是實現(xiàn)了網(wǎng)絡(luò)流量的靈活控制，為核心網(wǎng)絡(luò)及應(yīng)用的創(chuàng)新提供了良好的網(wǎng)絡(luò)平臺。 S5820V2 系列交換機支持 DCB （Data Center Bridging），并支持 ISSU（不中斷業(yè)務(wù)升級）、OAM（操作、管理和維護(hù)）及能效以太網(wǎng)（EEE），充分滿足了數(shù)據(jù)中心對設(shè)備高性能、易管理及綠色節(jié)能的需要。靈活的風(fēng)道方向選擇 為了更好的配合數(shù)據(jù)中心的風(fēng)道設(shè)計，H3C S5820V2 系列交換機為用戶提供了更靈活的風(fēng)道方案，在實現(xiàn)前后風(fēng)道的同時，用戶還可以通過選擇不同的風(fēng)扇框來實現(xiàn)不同的風(fēng)向（從前往后或者從后往前）。完善的安全控制策略 H3C S5820V2 系列交換機支持 AAA，RADIUS 認(rèn)證，支持用戶帳號、IP、MAC、VLAN、端口等用戶標(biāo)識元素的動態(tài)或靜態(tài)綁定；支持配合 H3C 公司的 iMC 平臺對在線用戶進(jìn)行實時的管理，及時的診斷和瓦解網(wǎng)絡(luò)非法行為。 H3C S5820V2 系列交換機提供增強的 ACL 控制邏輯，支持大容量的入端口和出端口ACL，并且支持基于 VLAN 的 ACL 下發(fā)，在簡化用戶配置過程的同時，避免了 ACL 資源的浪費。另外，S5820V2 系列交換機還將支持單播反向路徑查找技術(shù)（uRPF），原理是當(dāng)設(shè)備的一個接口上收到一個數(shù)據(jù)包時，會反向查找路徑來驗證是否存在從該接收接口到包中制定的源地址之間的路由，即驗證了其真實性，如果不存在就將數(shù)據(jù)包刪除，這樣我們就可以有效杜絕網(wǎng)絡(luò)中日益泛濫的源地址欺騙。多重可靠性保護(hù) H3C S5820V2 系列交換機具備設(shè)備級和鏈路級的多重可靠性保護(hù)。采用過