XX校園智慧網(wǎng)絡(luò)建設(shè)骨干網(wǎng)絡(luò)方案先進(jìn)性與可行性

XX校園智慧網(wǎng)絡(luò)建設(shè)骨干網(wǎng)絡(luò)方案先進(jìn)性與可行性校園骨干網(wǎng)絡(luò)本方案兩臺(tái)高性能數(shù)據(jù)中心交換機(jī)JJN18007，采用虛擬化技術(shù)實(shí)現(xiàn)虛擬化管理，兩臺(tái)核心設(shè)備通過(guò)一體化板卡的擴(kuò)充實(shí)現(xiàn)統(tǒng)一的數(shù)據(jù)表項(xiàng)、統(tǒng)一的管理地址、統(tǒng)一的設(shè)備配置等單臺(tái)邏輯設(shè)備的對(duì)外特征。區(qū)域匯聚交換機(jī)與雙核心之間采用20G雙鏈路冗余鏈接，區(qū)域內(nèi)的樓棟匯聚交換機(jī)通過(guò)千兆雙光纖的方式匯聚到區(qū)域交換機(jī)上。核心層一直被認(rèn)為是所有流量的最終承受者和匯聚者，承擔(dān)校園網(wǎng)骨干的高速數(shù)據(jù)交換。所以對(duì)核心層的設(shè)計(jì)以及網(wǎng)絡(luò)設(shè)備的要求十分嚴(yán)格，要求核心交換機(jī)擁有較高的性能及可靠性。否則隨著信息化建設(shè)的進(jìn)一步深化，特別是隨著學(xué)校內(nèi)部資源平臺(tái)的不斷完善和豐富，核心交換機(jī)將無(wú)法滿(mǎn)足這些建設(shè)需求。XX高等專(zhuān)科學(xué)校中心機(jī)房作為園區(qū)核心層的中心，將承擔(dān)學(xué)校骨干的高速數(shù)據(jù)交換，同時(shí)為未來(lái)我校構(gòu)建基于云服務(wù)架構(gòu)的智慧校園提供支撐，所以核心交換機(jī)一方面要滿(mǎn)足高性能的要求，另一方面要求支持云計(jì)算特性；通過(guò)比較在此方案核心層的設(shè)計(jì)中，采用兩臺(tái)高性能的核心交換機(jī)作為核心設(shè)備，構(gòu)成雙核心結(jié)構(gòu)，實(shí)現(xiàn)雙機(jī)熱備,負(fù)載均衡，設(shè)備支持OSPF協(xié)議以及虛擬化協(xié)議（將兩臺(tái)設(shè)備虛擬層一臺(tái)設(shè)備）以達(dá)到核心任意一臺(tái)設(shè)備發(fā)生故障都能保證網(wǎng)絡(luò)正常運(yùn)行的目的，這一切對(duì)用戶(hù)都是透明的，因此為用戶(hù)網(wǎng)絡(luò)的正常運(yùn)用提供的有利的保障。同時(shí)核心交換機(jī)支持?jǐn)?shù)據(jù)中心虛擬化功能的特性：FCoE、CEE、TRILL等技術(shù)。各個(gè)匯聚節(jié)點(diǎn)采用雙線(xiàn)路方式連接到兩臺(tái)核心設(shè)備上，保證可靠性。1.1.1.2核心區(qū)域架構(gòu)設(shè)計(jì)改造總體來(lái)講本方案設(shè)計(jì)的核心交換機(jī)需要滿(mǎn)足一下幾個(gè)要求：高性能高端交換機(jī)性能和端口密度的提升會(huì)受到其硬件的限制，而虛擬化技術(shù)系統(tǒng)的性能和端口密度是虛擬化技術(shù)內(nèi)部所有設(shè)備性能和端口數(shù)量的總和。因此，虛擬化技術(shù)能夠輕易的將設(shè)備的核心交換能力、用戶(hù)端口的密度擴(kuò)大數(shù)倍，從而大幅度提高單臺(tái)設(shè)備的性能。此外傳統(tǒng)的生成樹(shù)等技術(shù)為了避免環(huán)路的發(fā)生，會(huì)采用阻斷一條鏈路的方式，而虛擬化技術(shù)可以通過(guò)跨設(shè)備鏈路聚合等特性，讓原本“Active-standby”的工作模式，轉(zhuǎn)變成為負(fù)載分擔(dān)的模式，從而提高整網(wǎng)的運(yùn)行效率。高可靠鏈路級(jí)：虛擬化技術(shù)設(shè)備之間的物理端口支持鏈路聚合，虛擬化技術(shù)系統(tǒng)和上、下層設(shè)備之間的物理連接也支持聚合功能，這樣，通過(guò)多鏈路備份提高了鏈路的可靠性。協(xié)議級(jí)：虛擬化技術(shù)提供實(shí)時(shí)的協(xié)議熱備份功能，負(fù)責(zé)將協(xié)議的配置信息備份到其他所有的成員設(shè)備，從而實(shí)現(xiàn)協(xié)議可靠。設(shè)備級(jí)：虛擬化技術(shù)系統(tǒng)由多臺(tái)成員設(shè)備組成，Master設(shè)備負(fù)責(zé)系統(tǒng)的運(yùn)行、管理和維護(hù)，Slave設(shè)備在作為備份的同時(shí)也可以處理業(yè)務(wù)。一旦Master設(shè)備故障，系統(tǒng)會(huì)迅速自動(dòng)選舉新的Master,以保證通過(guò)系統(tǒng)的業(yè)務(wù)不中斷，從而實(shí)現(xiàn)了設(shè)備級(jí)的備份。相比傳統(tǒng)的二層生成樹(shù)技術(shù)和三層的VRRP技術(shù)，其收斂時(shí)間從N秒級(jí)縮短到毫秒級(jí)。高性能硬件模塊采用高性能硬件模塊實(shí)現(xiàn)，進(jìn)行設(shè)備機(jī)箱見(jiàn)得快速檢測(cè)和設(shè)備間數(shù)據(jù)高度轉(zhuǎn)發(fā)，不依賴(lài)交換機(jī)CPU和內(nèi)存資源，適用于大規(guī)模的網(wǎng)絡(luò)，無(wú)軟件升級(jí)方式帶來(lái)的弊端。超過(guò)10公里的虛擬化技術(shù)虛擬交換引擎板卡配置光接口，最遠(yuǎn)可實(shí)現(xiàn)超過(guò)10（可以支持到10-100公里）公里的虛擬化，實(shí)現(xiàn)7*24小時(shí)的不間斷網(wǎng)絡(luò)服務(wù)。為云計(jì)算數(shù)據(jù)中心提供基礎(chǔ)支持未來(lái)XX高等專(zhuān)科學(xué)校如果需要建立基于云服務(wù)的校園網(wǎng)，核心設(shè)備支持云計(jì)算對(duì)網(wǎng)絡(luò)設(shè)備的技術(shù)要求。實(shí)施云計(jì)算第一步是對(duì)服務(wù)器進(jìn)行虛擬化，虛擬化后個(gè)虛擬機(jī)之間的數(shù)據(jù)交互管理需要VEPA技術(shù)進(jìn)行支持；同時(shí)存儲(chǔ)和網(wǎng)絡(luò)融合后需要交換機(jī)支持FCoE技術(shù)；跨區(qū)的虛擬機(jī)遷移，需要設(shè)備支持TRILL技術(shù)。核心交換機(jī)虛擬化示意圖在傳統(tǒng)網(wǎng)絡(luò)中，為了增強(qiáng)網(wǎng)絡(luò)的可靠性，在核心層部署兩臺(tái)交換機(jī)，所有匯聚層交換機(jī)都有兩條鏈路分別連接到兩臺(tái)核心層交換機(jī)。為了消除環(huán)路，在匯聚層交換機(jī)和核心層交換機(jī)上配置MSTP協(xié)議阻塞一部分鏈路;為了提供冗余網(wǎng)關(guān)，在核心層交換機(jī)上配置VRRP協(xié)議。接入層匯聚層核心層接入層匯聚層核心層傳統(tǒng)網(wǎng)絡(luò)拓?fù)鋫鹘y(tǒng)網(wǎng)絡(luò)存在的缺陷如下所示：網(wǎng)絡(luò)拓?fù)鋸?fù)雜，管理困難。為了增加可靠性，設(shè)計(jì)了一些冗余鏈路，使得網(wǎng)絡(luò)中出現(xiàn)環(huán)路，不得不配置MSTP協(xié)議消除環(huán)路，實(shí)際應(yīng)用中可能由于鏈路流量比較大導(dǎo)致BPDU報(bào)文丟失,MSTP拓?fù)湔袷?，影響網(wǎng)絡(luò)的正常運(yùn)行。故障恢復(fù)時(shí)間一般在秒級(jí)。如VRRP協(xié)議,狀態(tài)為master的交換機(jī)發(fā)生故障，處于backup狀態(tài)的交換機(jī)至少要等3秒鐘才會(huì)切換成master。生成樹(shù)協(xié)議為了消除環(huán)路，需要把一些鏈路阻塞，沒(méi)有利用這些鏈路的帶寬，造成資源浪費(fèi)。為了解決傳統(tǒng)網(wǎng)絡(luò)的這些問(wèn)題，提出一種把兩臺(tái)物理交換機(jī)組合成一臺(tái)虛擬交換機(jī)的新技術(shù)，稱(chēng)為VSU,全稱(chēng)是VirtualSwitchUnit，即虛擬交換單元。如圖1.2所示，把傳統(tǒng)網(wǎng)絡(luò)中兩臺(tái)核心層交換機(jī)用VSU替換，VSU和匯聚層交換機(jī)通過(guò)聚合鏈路連接。在外圍設(shè)備看來(lái)，VSU相當(dāng)于一臺(tái)交換機(jī)。vsu核心層匯聚層VSL接入層VSU組網(wǎng)應(yīng)用示意圖（物理視圖）核心層匯聚層VSuvsu核心層匯聚層VSL接入層VSU組網(wǎng)應(yīng)用示意圖（物理視圖）核心層匯聚層VSuVSU組網(wǎng)應(yīng)用示意圖（邏輯視圖）和傳統(tǒng)網(wǎng)絡(luò)相比，本方案兩臺(tái)JJ核心交換機(jī)RG-N18007,VSU虛擬化的優(yōu)勢(shì)有：簡(jiǎn)化管理兩臺(tái)交換機(jī)組成VSU以后，管理員可以對(duì)兩臺(tái)交換機(jī)統(tǒng)一管理，而不需要連接到兩臺(tái)交換機(jī)分別進(jìn)行配置和管理。簡(jiǎn)化網(wǎng)絡(luò)拓?fù)銿SU在網(wǎng)絡(luò)中相當(dāng)于一臺(tái)交換機(jī)，通過(guò)聚合鏈路和外圍設(shè)備連接，不存在二層環(huán)路，沒(méi)必要配置MSTP協(xié)議，各種控制協(xié)議是作為一臺(tái)交換機(jī)運(yùn)行的，例如單播路由協(xié)議，VSU作為一臺(tái)交換機(jī)，減少了設(shè)備間大量協(xié)議報(bào)文的交互，縮短了路由收斂時(shí)間。故障恢復(fù)時(shí)間縮短到毫秒級(jí)VSU和外圍設(shè)備通過(guò)聚合鏈路連接，如果其中一條成員鏈路出現(xiàn)故障，切換到另一條成員鏈路的時(shí)間是50到200毫秒。VSU和外圍設(shè)備通過(guò)聚合鏈路連接，既提供了冗余鏈路，又可以實(shí)現(xiàn)負(fù)載均衡，充分利用所有帶寬。在2臺(tái)核心交換機(jī)之間通過(guò)虛擬化引擎互聯(lián)，實(shí)現(xiàn)萬(wàn)兆虛擬化核心。1.1.1.3極簡(jiǎn)網(wǎng)絡(luò)核心認(rèn)證設(shè)計(jì)先進(jìn)性與可行性本方案通過(guò)核心采用雙N18K，實(shí)現(xiàn)大二層核心認(rèn)證系統(tǒng)。通過(guò)這樣的集中認(rèn)證+統(tǒng)一網(wǎng)關(guān)，改變整個(gè)無(wú)線(xiàn)網(wǎng)絡(luò)部署方式。有線(xiàn)、無(wú)線(xiàn)設(shè)備在網(wǎng)絡(luò)核心層集中認(rèn)證后，部署方式更簡(jiǎn)單，更靈活，更適合持續(xù)擴(kuò)展，同時(shí)用戶(hù)體驗(yàn)到更快上網(wǎng)速率。統(tǒng)一網(wǎng)關(guān)部署在網(wǎng)絡(luò)核心層，網(wǎng)關(guān)性能大幅提升，無(wú)線(xiàn)網(wǎng)絡(luò)部署時(shí)，不再擔(dān)心性能瓶頸問(wèn)題。統(tǒng)一認(rèn)證、統(tǒng)一安全策略后，不存在與多套認(rèn)證系統(tǒng)對(duì)接問(wèn)題，方便管理。Internet CERNETIIIIIIIIII認(rèn)m^ACIIInternet CERNETIIIIIIIIII認(rèn)m^ACIIIIIIIIIIIIAPII合II夕!i宿舍區(qū)教學(xué)匿 戶(hù)外區(qū)域!主要優(yōu)勢(shì):統(tǒng)一認(rèn)匹続一安全策略（不存在與多套認(rèn)證系統(tǒng)対接冋題r右便管埋通過(guò)集中認(rèn)證+統(tǒng)一網(wǎng)關(guān)r改變無(wú)線(xiàn)網(wǎng)絡(luò)部善方式宀■理腿:狷魚(yú)更確「更靈活’更適合持裁展r同隼中認(rèn)證時(shí)用戶(hù)體驗(yàn)到更快上網(wǎng)速率-主要優(yōu)毎：網(wǎng)關(guān)?提升匸丿”雄網(wǎng)絡(luò)部署時(shí)”不再擔(dān)心2**r性鬧豳問(wèn)題方案部署后，最大可承載90000雙棧終端同時(shí)在線(xiàn)，1000個(gè)/S終端快速上線(xiàn)，完全滿(mǎn)足未來(lái)10年的網(wǎng)絡(luò)演進(jìn),在網(wǎng)絡(luò)使用的高峰期，用戶(hù)上網(wǎng)仍不受影響，仍能獲得高速認(rèn)證的超快體驗(yàn)。原因是：Newton交換機(jī)通過(guò)軟硬件處理機(jī)制，能夠屏蔽非法認(rèn)證報(bào)文，保護(hù)認(rèn)證服務(wù)器免受攻擊，保障用戶(hù)上網(wǎng)認(rèn)證體驗(yàn)。

業(yè)內(nèi)領(lǐng)先的防護(hù)機(jī)制＜保障用戶(hù)最快上網(wǎng)認(rèn)證速率InternetSN匚網(wǎng)営CERNETNewton交換機(jī)翩屏嗣謎認(rèn)證報(bào)文.尿護(hù)認(rèn)證館器免受攻擊”探障用戶(hù)上tflt認(rèn)證Hi驗(yàn)InternetSN匚網(wǎng)営CERNET洽標(biāo)準(zhǔn)瀏覽需認(rèn)證抿文「戰(zhàn)行道過(guò)：汨匕法認(rèn)訕報(bào)義.被屏蔽丈截；yOUKU

優(yōu)BS伍Internet&Explorer"' i. j目痢使用' i. j目痢使用BRAS的扁平化方案尚未實(shí)現(xiàn)1.1.1.4校園出口系統(tǒng)先進(jìn)性與可行性校園網(wǎng)出口區(qū)作為校園網(wǎng)的邊界，主要負(fù)責(zé)承擔(dān)邊界網(wǎng)絡(luò)的數(shù)據(jù)轉(zhuǎn)發(fā)、流量控制、安全防護(hù)、安全審計(jì)等功能。校園網(wǎng)出口區(qū)分層功能如下圖所示：實(shí)名制訪(fǎng)問(wèn)記錄r p :遠(yuǎn)程接入層丨 邊界連接層 :日志審計(jì)層iI 防護(hù)、安全審計(jì)等功能。校園網(wǎng)出口區(qū)分層功能如下圖所示：實(shí)名制訪(fǎng)問(wèn)記錄r p :遠(yuǎn)程接入層丨 邊界連接層 :日志審計(jì)層iI I I I:遠(yuǎn)程用戶(hù)接人安全陽(yáng)護(hù)層高進(jìn)能NAT/路由選路多鏈路負(fù)載與備份智能DNS解析：高并發(fā)處理性能:統(tǒng)一認(rèn)證管理QU2§攻擊防御病毒/木馬/異常流量阻斷網(wǎng)絡(luò)性能保障:識(shí)別校園網(wǎng)應(yīng)用：基于用戶(hù)應(yīng)用的葦寬限制:數(shù)據(jù)統(tǒng)汁_1 團(tuán)形化查詢(xún)界面j高效率檢索II I出口區(qū)功能表邊界連接層處于邊界網(wǎng)的最外端，是邊界網(wǎng)中的數(shù)據(jù)交換基礎(chǔ)平臺(tái)，此平臺(tái)主要由邊界網(wǎng)中的路由器來(lái)。邊界連接層需要考慮以下三個(gè)方面。邊界連接部署高性能的多功能網(wǎng)關(guān)來(lái)實(shí)現(xiàn)NAT轉(zhuǎn)發(fā)。智能路由選路校園網(wǎng)用戶(hù)在訪(fǎng)問(wèn)屬于不同ISP提供的信息資源時(shí),邊界連接層需要智能的根據(jù)用戶(hù)訪(fǎng)問(wèn)的信息資源，選擇不同的ISP（不同的廣域網(wǎng)鏈路）來(lái)進(jìn)行訪(fǎng)問(wèn)。從而避免訪(fǎng)問(wèn)路徑跨越了不同ISP網(wǎng)絡(luò)，確保資源訪(fǎng)問(wèn)效率最大化。多鏈路負(fù)載通過(guò)ISP線(xiàn)路、教育網(wǎng)線(xiàn)路分別連接至Internet、Cernet。為了提高出口帶寬的整體利用率，同時(shí)提供鏈路冗余備份，邊界連接層必須提供多鏈路負(fù)載均衡與備份功能。出于對(duì)網(wǎng)絡(luò)出口的性能和可靠性考慮，向多個(gè)運(yùn)營(yíng)商同時(shí)租用多條互聯(lián)網(wǎng)線(xiàn)路的情況在國(guó)內(nèi)是非常普遍的。但是，對(duì)于擁有兩條或兩條以上的互聯(lián)網(wǎng)鏈路的用戶(hù)，如何既保證多條鏈路帶寬被充分利用不被浪費(fèi)，又保證對(duì)內(nèi)對(duì)外訪(fǎng)問(wèn)所選擇的路徑是最快速的最優(yōu)的，安全網(wǎng)關(guān)必須支持多鏈路負(fù)載均衡技術(shù)，對(duì)多個(gè)ISP鏈路的可用性和性能進(jìn)行監(jiān)督，對(duì)雙向數(shù)據(jù)流進(jìn)行智能路徑選擇，從而保證用戶(hù)擁有最佳的互聯(lián)網(wǎng)接入體驗(yàn)。安全防護(hù)安全防護(hù)，是出口網(wǎng)絡(luò)設(shè)計(jì)中必不可少的內(nèi)容。針對(duì)出口網(wǎng)絡(luò)中所部署的安全防護(hù)，主要有以下三個(gè)方面：報(bào)文過(guò)濾通過(guò)訪(fǎng)問(wèn)控制列表（ACL）實(shí)現(xiàn)了靈活的各種粒度的報(bào)文過(guò)濾，包括：標(biāo)準(zhǔn)ACL、擴(kuò)展ACL。審計(jì)系統(tǒng)部署一套日志審計(jì)系統(tǒng)，實(shí)現(xiàn)以下功能：Flow流日志：源IP、目的IP、源端口、目的端口、流起始時(shí)間、結(jié)束時(shí)間、接受字節(jié)數(shù)，發(fā)送字節(jié)數(shù)等關(guān)鍵信息出口NAT日志：經(jīng)過(guò)NAT轉(zhuǎn)換前的源IP地址、源端口，經(jīng)過(guò)NAT轉(zhuǎn)換后的源IP地址、源端和運(yùn)營(yíng)計(jì)費(fèi)平臺(tái)無(wú)縫對(duì)接，將用戶(hù)認(rèn)證上網(wǎng)信息和出口日志結(jié)合起來(lái)，實(shí)現(xiàn)快速的用戶(hù)上網(wǎng)信息統(tǒng)計(jì)和違規(guī)用戶(hù)定位。滿(mǎn)足公安部82號(hào)令要求。1.1.2運(yùn)營(yíng)管理平臺(tái)建設(shè)內(nèi)容運(yùn)營(yíng)管理平臺(tái)建設(shè)，主要考慮建設(shè)統(tǒng)一的認(rèn)證運(yùn)營(yíng)系統(tǒng)，實(shí)現(xiàn)有線(xiàn)無(wú)線(xiàn)統(tǒng)一認(rèn)證，統(tǒng)一計(jì)費(fèi)。安全運(yùn)營(yíng)管理系統(tǒng)設(shè)計(jì)基于標(biāo)準(zhǔn)的RADIUS協(xié)議開(kāi)發(fā)的認(rèn)證計(jì)費(fèi)管理系統(tǒng)。要求支持現(xiàn)

在網(wǎng)絡(luò)身份認(rèn)證所有的方式，例如：有線(xiàn)802.1X的準(zhǔn)入方式、無(wú)線(xiàn)802.1X的準(zhǔn)入方式、有

線(xiàn)的web準(zhǔn)入方式、無(wú)線(xiàn)的web準(zhǔn)入方式，遠(yuǎn)程vpn的接入方式。在同一個(gè)平臺(tái)上實(shí)現(xiàn)了所有接入方式的認(rèn)證、接入控制、計(jì)費(fèi)、日志管理，和對(duì)外統(tǒng)一接口等。降低用戶(hù)的投資成本，使得管理效率得到了很大的提升。高校的信息化建設(shè)首要滿(mǎn)足的是教學(xué)業(yè)務(wù)更好的開(kāi)展，而不是以盈利為第一目標(biāo)，因此業(yè)務(wù)的運(yùn)營(yíng)也主要集中在校內(nèi)資源和服務(wù)管理的層面。在滿(mǎn)足教學(xué)業(yè)務(wù)的基礎(chǔ)上要求校園網(wǎng)建設(shè)遵循高標(biāo)準(zhǔn)。打造信息