公司網(wǎng)絡割接方案說明

...wd......wd......wd...XX公司網(wǎng)絡建設建設工程網(wǎng)絡割接方案1、公司網(wǎng)絡建設總體要求1.1工程概況為了解決當前網(wǎng)絡建設在網(wǎng)絡性能、業(yè)務承載、運維效率等方面的瓶頸和問題，真正實現(xiàn)全公司一張網(wǎng)的網(wǎng)絡建設絡布局，公司在2014年啟動了網(wǎng)絡建設建設工作。按照公司統(tǒng)一要求，XX公司目前已實現(xiàn)覆蓋共計100個站點的網(wǎng)絡建設。截止2016年1月，XX網(wǎng)絡建設改造工作現(xiàn)已經(jīng)基本完成，初步建成了利用光傳輸網(wǎng)，以10GE鏈路為主、覆蓋全公司系統(tǒng)100個節(jié)點的高速數(shù)據(jù)通信絡平臺，實現(xiàn)了核心區(qū)域網(wǎng)狀連接、各區(qū)域內雙星型上聯(lián)的網(wǎng)絡架構。據(jù)調研，公司現(xiàn)有各個業(yè)務，沒有啟動MPLSVPN，故各個業(yè)務路由和數(shù)據(jù)之間，沒有進展邏輯隔離，共用網(wǎng)絡的帶寬和其他資源。與網(wǎng)絡不同，新建的網(wǎng)絡建設將采用MPLSVPN組網(wǎng)技術，各個業(yè)務承載在相應的獨立VPN中隔離運行，通過路由策略和QoS進展區(qū)分。總之，本次割接工作總體方案即將現(xiàn)有全省業(yè)務從現(xiàn)有網(wǎng)絡割接至網(wǎng)絡建設的獨立VPN中運行。1.2割接原那么安全第一原那么本次割接技術難度大，原有網(wǎng)絡構造將發(fā)生巨大變化，風險大，所有方案和操作要安全第一，先易后難、先試點再推廣、先一般業(yè)務再重要業(yè)務。二、方便回退原那么所有操作留有余地，不輕易刪除原有配置，保證任何操作能快速回退。三、提前準備原那么不影響業(yè)務的準備操作要按照時間點提前完成，比方跳纖，設備IP分配，新建鏈路的協(xié)議建設等等，保證割接的檢修時間充足，留有處理問題和驗證業(yè)務的時間。分工協(xié)作原那么本次割接難度大，任務重，風險高，需要各單位組密切配合，共同完成。公司網(wǎng)絡現(xiàn)狀2.1XX公司網(wǎng)絡建設改造方案圖1.1XX公司網(wǎng)絡建設網(wǎng)絡架構建成后的XX公司網(wǎng)絡建設采用MPLSVPN組網(wǎng)技術，根據(jù)VPN劃分方案，以后XX省內的信息內網(wǎng)業(yè)務、視頻業(yè)務、語音業(yè)務、IMS業(yè)務將逐步過渡到網(wǎng)絡建設。2.2網(wǎng)絡現(xiàn)狀現(xiàn)有網(wǎng)絡采用分層的拓撲構造，分為2個核心節(jié)點、15個骨干節(jié)點。公司配置2臺XX設備作為核心設備，XX節(jié)點配置1臺XX設備作為核心設備，每個骨干層節(jié)點上配置2臺XX設備作為骨干設備。XX節(jié)點骨干設備分別采用1條622M鏈路+1條155M鏈路和公司核心PE設備互聯(lián)，采用1條155M鏈路和節(jié)點XX核心PE設備互聯(lián)，鏈路之間保持冗余和獨立。公司配置2臺XX核心交換機、2臺XX硬件防火墻和2臺核心PE設備之間采用口字形方式連接實現(xiàn)服務器區(qū)業(yè)務的接入。節(jié)點配置2臺XX硬件防火墻和2臺骨干PE設備之間采用口字形方式連接，實現(xiàn)節(jié)點與上級公司之間業(yè)務的交互。信息廣域現(xiàn)況如以以下圖：2.2.1XXXX業(yè)務現(xiàn)狀目前，各節(jié)點和上級公司直屬單位信息內網(wǎng)業(yè)務、營銷業(yè)務等多個業(yè)務均通過上級公司XXXX上聯(lián)至公司。圖2.2-2上級公司XXXX業(yè)務拓撲圖2.2.2XXXX業(yè)務現(xiàn)狀現(xiàn)有各節(jié)點XXXX業(yè)務情況如下：表2.2-1XXXX業(yè)務情況表以XXXX公司為例，節(jié)點信息內網(wǎng)業(yè)務拓撲圖如下：圖2.2-3XXXX公司信息內網(wǎng)業(yè)務拓撲圖綜上所述，各節(jié)點的2臺XXXX設備作為各節(jié)點信息內網(wǎng)、XXXX業(yè)務、XXXX工單業(yè)務至上級公司的出口。本期工程假設進展信息內網(wǎng)割接，需要考慮XXXX上承載的XXXX業(yè)務和XXXX工單業(yè)務的割接方案。2.3XXXX現(xiàn)狀2.3.1上級公司XXXX系統(tǒng)拓撲圖XXXX業(yè)務各節(jié)點通過信息內網(wǎng)和傳輸專線上聯(lián)至上級公司，據(jù)了解，上級公司至節(jié)點業(yè)務使用信息內網(wǎng)通道，傳輸通道作為備用通道。圖2.3-1XX省XXXX系統(tǒng)網(wǎng)絡拓撲圖2.3.2節(jié)點XXXX系統(tǒng)拓撲圖各節(jié)點XXXX業(yè)務通過信息內網(wǎng)和傳輸專線上聯(lián)至上級公司，據(jù)了解，僅傳輸專線通道承載XXXX會議業(yè)務〔少數(shù)節(jié)點采用信息內網(wǎng)〕。圖2.3-2XXXX市公司XXXX系統(tǒng)網(wǎng)絡拓撲圖2.4XXXX工單業(yè)務現(xiàn)狀XXXX工單業(yè)務僅覆蓋在各個節(jié)點。現(xiàn)在XXXX工單業(yè)務無獨立通道，包含在信息內網(wǎng)業(yè)務中。3、網(wǎng)絡割接方案由于現(xiàn)有網(wǎng)絡上節(jié)點XXXX包含地區(qū)信息內網(wǎng)業(yè)務、XXXX工單業(yè)務和XXXX業(yè)務。本次信息內網(wǎng)割接后各節(jié)點放置的XXXX路由器將不再使用，為了不影響XXXX業(yè)務，本次割接方案需考慮XXXX業(yè)務、XXXX工單業(yè)務的割接方案。XXXX工單業(yè)務屬于內網(wǎng)業(yè)務，需將XXXX工單業(yè)務IP地址調整至各節(jié)點內網(wǎng)中。3.1信息內網(wǎng)割接方案3.1.1上級公司割接方案上級公司原有的XXXXA和XXXXB與公司信息CE1與CE2已具備鏈路，在現(xiàn)有信息CE1和CE2上對信息內網(wǎng)業(yè)務進展配置可以實現(xiàn)信息內網(wǎng)業(yè)務，在割接過程中如需回退，那么在信息CE上調整路由優(yōu)先級，并在PE上修改MED使原信息內網(wǎng)業(yè)務仍流經(jīng)原公司鏈路。割接前拓撲圖如下所示：圖3.1-1XX上級公司信息內網(wǎng)割接前示意圖3.1.2上級公司割接步驟第一步：按照上級公司信息內網(wǎng)割接拓撲進展設備連接，并打上臨時標簽，同時保持上級公司信息CE與公司PE設備互聯(lián)鏈路不動，上級公司信息內網(wǎng)割接拓撲如下所示：〔工程中心〕圖3.1-2XX上級公司信息內網(wǎng)割接示意圖第二步：參照搜資內容〔割接相關設備新增的互聯(lián)端口信息〕，在上級公司相關設備〔、XXXX〕信息VPN業(yè)務所使用的端口，做出相應配置，綁定到信息VPN實例，并通過路由本地優(yōu)先級控制使信息內網(wǎng)業(yè)務流仍經(jīng)過原公司鏈路，本地優(yōu)先級越高越優(yōu)，公司鏈路本地優(yōu)先級CE1500、CE2100，修改新增鏈路學到的路由本地優(yōu)先級為CE180CE250；公司回程路由通過AS-PATH控制，越少越優(yōu)，公司鏈路發(fā)布路由的AS-PATH5467654676，修改新增鏈路發(fā)布路由的AS-PATH5467654676。在省調PE及備調PE上做路由匯總和路由過濾，只發(fā)送被允許的匯總路由至公司；〔工程中心、信息內網(wǎng)割接組〕上級公司PE1-RR設備()配置：配置互聯(lián)端口地址，并綁定相應VPN實例：interfaceGigabitEthernet3/2/1ipbindingvpn-instancespiipaddress10.228.240.13255.255.255.252bgp協(xié)議配置：bgp64600ipvpn-instancespiaddress-familyipv4unicastpeer10.228.240.13as-number54676peer10.228.240.13allow-as-looppeer10.228.240.13substitute-aspeer10.228.240.13soo54676:54918上級公司CE設備(XXXX)配置：1.配置互聯(lián)端口地址，并綁定相應VPN實例：interfaceGigabitEthernet2/0/6ipbindingvpn-instancespiipaddress10.228.240.14255.255.255.2522.bgp協(xié)議配置：bgp54676peer10.228.240.14as-number64600#ipv4-familyunicastundosynchronizationnetwork10.8.251.146255.255.255.255network10.42.0.0255.255.252.0network10.227.128.0255.255.128.0network10.228.0.0255.254.0.0network10.240.0.0255.255.0.0import-routedirectpeer10.228.240.14route-policylocalimportpeer10.228.240.14route-policyas-pathexportroute-policyas-pathpermitnode10applyas-path5467654676route-policylocalpermitnode10applylocal-preference80ospf協(xié)議配置：ospf100router-id10.8.251.145filter-policyip-prefixspi-denyimportimport-routebgppermit-ibgpcost10type1route-policyspi-gwarea0.0.0.0network10.8.232.880.0.0.3network10.6.21.1120.0.0.7route-policyspi-gwpermitnode10if-matchip-prefixspi-ip#ipip-prefixspi-ipindex10permit10.0.0.08greater-equal8less-equal8ipip-prefixspi-ipindex20permit20.0.0.08greater-equal8less-equal8ipip-prefixspi-ipindex21permit21.0.0.08greater-equal8less-equal8ipip-prefixspi-ipindex22permit22.0.0.08greater-equal8less-equal8ipip-prefixspi-ipindex23permit23.0.0.08greater-equal8less-equal8ipip-prefixspi-ipindex24permit24.0.0.08greater-equal8less-equal8ipip-prefixspi-ipindex25permit25.0.0.08greater-equal8less-equal8ipip-prefixspi-ipindex26permit26.0.0.08greater-equal8less-equal8ipip-prefixspi-denyindex10deny10.0.0.08greater-equal8less-equal8ipip-prefixspi-denyindex20permit0.0.0.00less-equal32黑洞路由：iproute-static10.227.128.0255.255.128.0NULL0preference200iproute-static10.228.0.0255.254.0.0NULL0preference200iproute-static10.240.0.0255.255.0.0NULL0preference200省調RRXXXXRR路由過濾配置：aclnumber2001descriptionspiaclrule1permitsource10.6.22.1160.0.0.3rule2permitsource10.8.17.240.0.0.3rule3permitsource10.42.0.00.0.3.255rule4permitsource10.227.128.00.0.127.255rule5permitsource10.228.0.00.1.255.255rule6permitsource10.8.222.880.0.0.3rule7permitsource10.8.251.1450rule8permitsource10.8.251.1460rule9permitsource10.240.0.00.0.255.255rule10permitsource10.8.232.880.0.0.3rule100denybgp64600address-familyvpnv4peer10.8.252.12route-policyspiexportpeer10.8.252.14route-policyspiexport第三步：在上級公司CE上查看VPNv4路由表，確保能看到節(jié)點信息VPN的路由，修改新增鏈路路由優(yōu)先級為CE1700CE2600、不增加AS-PATH使信息業(yè)務流量經(jīng)過新增鏈路，同時測試信息內網(wǎng)業(yè)務功能是否正常，如正常，那么進展下一步，如不正常，那么斷開上級公司PE與信息CE之間鏈路并檢查相關設備配置，重復第三步直到業(yè)務內網(wǎng)功能正常；〔工程中心、信息內網(wǎng)割接組〕1.bgp協(xié)議配置：bgp54676ipv4-familyunicastundosynchronizationpeer10.228.240.14route-policylocalimportroute-policylocalpermitnode10applylocal-preference700圖3.1-3XX上級公司信息內網(wǎng)割接后示意圖第四步：割接完成，將臨時標簽換成正式標簽，并標準整理新增鏈路?！补こ讨行摹?.1.3節(jié)點割接方案根據(jù)公司要求，本次割接后網(wǎng)絡建設節(jié)點出口將不再保存防火墻。節(jié)點信息內網(wǎng)割接方案采用將兩臺XXX9508〔XXXX公司為Cisco6500〕上聯(lián)至F3016的通道割接至兩臺市公司新增CE1與CE2，使用信息內網(wǎng)VPN，以XXXX公司信息內網(wǎng)為例，割接示意圖如下：(根據(jù)科信部意見，本期割接后，防火墻假設需保存可自行安排)圖3.1-4XXXX公司信息內網(wǎng)割接前方案一示意圖在割接過程中如需回退，那么在shutdown掉S9508至新增CE之間鏈路，刪除S9508上ospf進程中的Area0區(qū)域，使原信息內網(wǎng)業(yè)務仍經(jīng)過原節(jié)點XXXX。3.1.4節(jié)點信息內網(wǎng)割接步驟圖3.1-6XXXX公司信息內網(wǎng)割接前示意圖第一步：按照節(jié)點割接拓撲準備跳線，并打上臨時標簽，同時保持節(jié)點信息內網(wǎng)設備(S9508)與原節(jié)點XXXX設備互聯(lián)鏈路不動，新增鏈路測試端口up之后，shutdown掉新增鏈路連接的端口；〔各節(jié)點現(xiàn)場工作組〕圖3.1-7XXXX公司信息內網(wǎng)割接示意圖第二步：參照搜資內容〔割接相關設備新增的互聯(lián)端口信息〕，找到各節(jié)點相關設備信息VPN業(yè)務所使用的端口，做出相應配置，綁定到信息VPN實例；〔工程中心、信息內網(wǎng)割接組、各節(jié)點現(xiàn)場工作組〕各節(jié)點IP地址在節(jié)點CE上做路由匯總，對于準入系統(tǒng)使用的1.228等地址段，超出公司規(guī)定范圍，有兩種種解決方案：一在所有節(jié)點部署準入服務器，保證1.228等地址段只需要在節(jié)點內通信，二，更改1.228等節(jié)點21地址段，符合公司最新IP地址標準。推薦是用方案二?！残畔染W(wǎng)割接組〕節(jié)點PE〔〕設備配置：配置互聯(lián)端口地址，并綁定相應VPN實例：interfaceGigabitEthernetx/x/xipbindingvpn-instancespiipaddressx.x.x.xx.x.x.xbgp協(xié)議配置：bgp54916ipvpn-instancespiaddress-familyipv4unicastpeerx.x..x.xas-number54676peerx.x..x.xallow-as-looppeerx.x.x.xsubstitute-aspeerx.x.x.xsoo54916:54916節(jié)點CE〔〕設備配置：1.配置互聯(lián)端口地址，并綁定相應vpn實例：interfaceGigabitEthernetx/x/xipbindingvpn-instancespiipaddressx.x.x.xx.x.x.x2.bgp協(xié)議配置：bgp54676ipvpn-instancespiaddress-familyipv4unicastpeerx.x.x.xas-number54676peerx.x.x.xroute-policylocalimportpeerx.x.x.xroute-policymedexportroute-policymedpermitnode10applycost100route-policylocalpermitnode10applylocal-preference5003.ospf協(xié)議配置：ospf100import-routebgppermit-ibgpcost10type1area0.0.0.0networkx.x.x.xx.x.x.x4.黑洞路由：iproute-staticx.x.x.xx.x.x.xNULL0preference200節(jié)點現(xiàn)網(wǎng)設備〔S9508〕配置：1.配置互聯(lián)端口地址：interfaceVlan-interfacexxxipaddressx.x.x.xx.x.x.x2.ospf協(xié)議配置：ospf100area0.0.0.0networkx.x.x.xx.x.x.x第三步：斷開原有S9508至XXXX之間鏈路，開啟shutdown掉的新增鏈路連接接口，同時測試信息內網(wǎng)業(yè)務功能是否正常，如正常，那么進展下一步，如不正常，那么復原原有S9508至XXXX之間鏈路shutdown新增鏈路連接接口，并檢查相關設備配置，重復第三步直到業(yè)務內網(wǎng)功能正常；〔工程中心、各節(jié)點現(xiàn)場工作組、信息內網(wǎng)業(yè)務組〕節(jié)點現(xiàn)網(wǎng)設備〔S9508〕配置：1.OSPF協(xié)議配置：ospf100router-id10.228.249.57import-routebgppermit-ibgpcost10type1圖3.1-8XXXX公司信息內網(wǎng)割接后示意圖第四步：割接完成，將臨時標簽換成正式標簽，并標準整理新增鏈路?！哺鞴?jié)點現(xiàn)場工作組〕3.2XXXX系統(tǒng)割接方案3.2.1上級公司割接方案將公司網(wǎng)絡建設放置在XX的兩臺視頻CE1和視頻CE2上聯(lián)至上級公司本部PE1和PE2，實現(xiàn)XXXX業(yè)務整體割接，對應至視頻VPN。在割接過程中如需回退，那么在信息CE上調整路由優(yōu)先級，并在PE上修改MED使原視頻指揮業(yè)務仍流經(jīng)原公司鏈路。割接前示意圖如下所示：圖3.2-1上級公司應急指揮割接前示意圖3.2.2上級公司割接方案步驟第一步：按照上級公司應急指揮割接拓撲進展設備連接，并打上臨時標簽，同時保持上級公司視頻CE與公司PE設備互聯(lián)鏈路不動，上級公司應急指揮割接拓撲如下所示；〔工程中心、會議電視割接組〕圖3.2-2上級公司應急指揮割接示意圖第二步：參照搜資內容〔割接相關設備新增的互聯(lián)端口信息〕，在上級公司相關設備〔、NE20E〕視頻VPN業(yè)務所使用的端口，做出相應配置，綁定到信息VPN實例，并通過路由本地優(yōu)先級控制使應急指揮業(yè)務流仍經(jīng)過原公司鏈路，優(yōu)先級越高越優(yōu)，公司鏈路本地優(yōu)先級CE1300、CE2100，修改新增鏈路學到的路由本地優(yōu)先級為CE180CE250；公司回程路由通過as-path控制，越少越優(yōu)，公司鏈路發(fā)布路由的AS-PATH5467354673，修改新增鏈路發(fā)布路由的AS-PATH5467354673。在CE上做路由匯總，在省調和備調RR上做路由過濾，只發(fā)送被允許的匯總路由至公司；〔工程中心、會議電視割接組〕第三步：在上級公司CE上查看VPNv4路由表，確保能看到節(jié)點應急指揮VPN的路由，修改路由優(yōu)先級為CE1700CE2600、不增加AS-PATH使應急指揮業(yè)務流量經(jīng)過新增鏈路，同時測試應急指揮業(yè)務功能是否正常，如正常，那么進展下一步，如不正常，那么斷開上級公司PE與視頻CE之間鏈路并檢查相關設備配置，重復第三步直到視頻應急指揮業(yè)務功能正常；〔工程中心、視頻會議割接組〕圖3.2-3上級公司應急指揮割接后示意圖第四步：割接完成，將臨時標簽換成正式標簽，并標準整理新增鏈路。〔工程中心〕3.2.3節(jié)點割接方案將市公司應急S5700上聯(lián)到XXXX的通道割接至市公司新增CE1與CE2，使用視頻VPN。以XXXX公司為例，在割接過程中如需回退，那么在shutdown掉S5700至新增CE之間鏈路，使原信息內網(wǎng)業(yè)務仍經(jīng)過原節(jié)點XXXX。割接示意圖如下：圖3.2-4XXXX公司應急指揮割接示意圖各節(jié)點XXXX系統(tǒng)現(xiàn)有通道采用信息內網(wǎng)通道或者傳輸專線的方式，拓撲構造大致相近，在本期XXXX系統(tǒng)割接實施之前，各節(jié)點需將現(xiàn)有信息內網(wǎng)的XXX9508〔XXXX公司為Cisco6500〕連接至應急NE20，同時需保證該地區(qū)內現(xiàn)有的XXXX業(yè)務已匯總至S5700，才能保證應急業(yè)務割接的順利進展。3.2.4節(jié)點割接步驟圖3.2-5XXXX公司應急指揮割接前示意圖第一步：按照節(jié)點應急指揮割接拓撲準備跳線，并打上臨時標簽，同時保持節(jié)點應急指揮設備(S5700)與傳輸主干網(wǎng)鏈路不動，新增鏈路測試端口up之后，shutdown掉新增鏈路連接的端口，節(jié)點應急指揮割接拓撲如下所示；〔各節(jié)點現(xiàn)場工作組、會議電視割接組〕圖3.2-6XXXX公司應急指揮割接示意圖第二步：參照搜資內容〔割接相關設備新增的互聯(lián)端口信息〕，找到各節(jié)點相關設備視頻VPN業(yè)務所使用的端口，做出相應配置，綁定到信息VPN實例；〔工程中心、各節(jié)點現(xiàn)場工作組、會議電視割接組〕節(jié)點PE〔〕設備配置：配置互聯(lián)端口地址，并綁定相應VPN實例：interfaceGigabitEthernetx/x/xipbindingvpn-instancespiipaddressx.x.x.xx.x.x.xbgp協(xié)議配置：bgp54914ipvpn-instancespiaddress-familyipv4unicastpeerx.x..x.xas-number54673peerx.x..x.xallow-as-looppeerx.x.x.xsubstitute-aspeerx.x.x.xsoo54673:54914節(jié)點CE〔〕設備配置：1.配置互聯(lián)端口地址，并綁定相應vpn實例：interfaceGigabitEthernetx/x/xipbindingvpn-inst