美国极进网络公司计算机网络系统设计方案

美国极进网络公司计算机网络系统设计方案内容摘要：

径式主机流工作方式，而是最新的 LPM最长匹配的转发方式。 一般的捷径式三层主机流转发模式的工作机制是为每一个目的地址建立转发表项，这些表项安装在 CAM 中。 这种工作机制在目标地址不多的情况下是合理的。 比如同时访问的目标地址不大于 256K，尽管在大多数情况下，目的地址少于256K。 但是在最近一二年，这个情况已经变了。 其原因是网络病毒的大量出现。 网络病毒的一个特点是使用地址扫描方式查找宿主机。 目的是随可变的。 由于合法的 IPv4 地址共有 40 亿个。 因此 256K 被轻易突破。 这就导致这类三层交换机在受到病毒攻击情况下不堪一。 而 Extreme 的交换机采用最长匹配工作机制，其 TCAM 硬件交换内存 足以容纳下所有的 FIB 转发表项，任何数据包的转发均可由 ASIC 在一个时钟内找到转发下一跳，而无需 CPU 的干预。 这项技术带来的好处为：  新一代的转发技 术使交换机不受病毒或攻击的影响。 确保无中断运行  具备天然预防新一类攻击的能力 Extreme 公司的 BlackDiamond 8810 全新一代万兆路由交换机采用新一代模块化多线程操作系统 ExtremeWare XOS。 ExtremeWare XOS 支持动态内核加载（ KLM），采用独立进程内存保护运行模式，支持对称多处理（ SMP）和标准POSIX API 及 XML 技术。 通过使用模块化多线程操作系统 ExtremeWare XOS，BlackDiamond 8810 设备可以提供更多的可靠性、拓展性和安全性能力，如：  无中断切换（ Hitless Failover）。 设备 主从管理模块之间的切换不会导致已有数据流传输的中断。  无中断软件升级（ Hitless Software Upgarde）。 无须重新启动设备 及实现软件版本的升级与新版本软件启用。  动态停止 /重启模块。 在某个模块出现的故障的情况下， 设备将自动进行故障模块的单独重新启动。  进程和线程的自动重启动。 系统中某个进程或线程出现故障时不会影响到其他进程和线程的运行。 在无须整台设备重新启动的前提下，设备能够自实现对故障进程的重启动。  DoS 攻击的自动检测和预防  支持 软件模块下载，无中断在线功能扩充。 无须中断设备的运行，即能完成系统软件中某个功能模块的升级。  POSIX API 和 XML 技术保证了用户的个性化功能扩展 网络交换设备选型 接入交换机 传统的网络设计方案中，接入层设备一般都采用二层交换机，随着企业网上应用的多样化和复杂化，使用二层交换机作为接入设备已经不能很好地满足现代企业对网络的要求： 1) 首先，网络安全方面，二层交换机因为不识别 IP 层次的信息，所以无法根据 IP 地址或应用进行访问控制列表的控制。 尤其是目前网络病毒日益泛滥，可以说访问控制列表的功能是必 不可少的。 二层交换机对网络病毒的扩散和攻击无能为力。 此外，在二层交换机上无法阻止某 VLAN 中的非法 DHCP server 为其它主机分配非法 IP 地址。 2) 网络 QoS 方面，支持 IP 语音和 IP 视频等协作应用必需三层交换。 二层交换机因为不识别 IP 层次的信息，所以也无法根据 IP 地址或应用进行 QoS 方面的保护。 尤其是如果一个网络中既有 Inter 浏览、 FTP 等传统应用，又运行VOIP、视频等对 QoS 要求比较高的应用，二层交换机无法去保证 QoS。 另为，二层交换机仅支持二层的 优先级，无法识别三层 IP 包中 的 QoS（ ToS 或IP DiffServ）信息，不能将二层和三层的 QoS 进行衔接，因此无法做到端到端的 QoS。 3) 在做组播业务时，由于二层交换机上的每个用户都是通过 VLAN 上联到上一级的设备，因此在做复制时要每个 VLAN 复制一次极有可能造成端口的缓存分配溢出或端口阻塞。 4) 如果使用二层设备，一些本来可以在本地路由的数据流量占据了宝贵的主干带宽。 像一些 IP 电话的流量本来可以由本地完成的路由非要绕一圈到上一级再兜回来，占用了两级设备之间的宝贵带宽，还造成数据的延迟。 这无疑给网络的稳定、可靠带来一定的 隐患。 基于以上考虑，以及三层交换机成本的下降，在 XXXXX 计算机网络设计方案中，我们推荐采用极进网络公司的 48 口千兆 SummitX450a48t 作为楼层桌面接入交换机，以满足现代企业网建设对可靠性、安全以及网络的整体传输能的要求。 Extreme 公司的 summit X450 系列三层交换机是为了满足高安全、多业务承载、高性能的网络环境所开发的新一代三层智能交换机，具备传统二大容量、高性能等优点，同时还具有领先的安全特性，进一步加强了企业网络对边缘接入层面的安全控制能力。 用户可以根据需要来订 制自身的安全策略并部署在此交换机上。 Summit 系列交换机支持基于硬件的 ACL 处理方式，这样可以在提供细致的安全控制的同时保证线速数据包的传输能力。 summit 系列交换机上还已预先设定了很多安全功能，如 CPU 防攻击能力、防流量攻击病毒的能力、防组播、广攻击的能力；使交换机够智自动阻 断 或 隔 离 内 外 部 的 攻 击 和 网 络 病 毒。 SummitX450 系列交换机与BlackDiamond8800 核心交换一致，采用模块化操作系统和 LPM 最长匹配包转发机制 ，从而大大提高了设备抗击扫描攻的能力，解决了由于流表溢出导致CPU 使用率升高所带来的问题。 Summit 系列交换机上还支持全面用户接入控制技术：  支持 web based Network Login 和 IEEE 用户接入认证功能， 支持单端口多用户的接入认证。 在避免了 IP 地址盗用出现的不 可管理性的同 时，还保证了只有合法用户才能接入到网络。 通过将用户动态分配到不同的 VLAN 的方式，最终可以实现对用户可以使用的网络资源的分配与控制。  支持 MAC 锁定和 MAC 限制功能。 通过使用该功能，可以保证只有合法的终端设备才可以接入到网络。  支持 ARP Disable Learning 功能。 通过在接入层交换机上使用该功能，可以强制终端用户必须使用 DHCP 动态获得地址才能接入网络，任何非 DHCP 方式配置地址的设备 无 法通过交换机接入网络，这样就可以在利用 DHCP 便宜性的同时避免了因部分用户静态配置 IP 地址所带来的网络误用问题。 通过 Extreme 公司的安全解决方案，可以为用户提供一个比较全面的接入层控制解决方案。 SummitX450 交换机具备多层堆叠能力，实际方案设计中我们根据每个楼层信息点需求配置相应的交换堆叠单元数。 每个配备一两口万兆接口模块，分别上联至 两个核心交换机，提供冗余的中继连接。 具体情况参考设备配置清单。 网络冗余设计 电子应用需求的高涨，要求网络像公共交换电话一样高度可靠。 容错能力和冗余性已经成为区分网络设备的关键因素。 即使在网络组件发生意外故障，以及进行计划内网络升级和变动时，高可用性网络都必须能够保持正常运行。 冗余性在这两种情况下为网络提供了保护能力。 通过消除单一故障点，络设计人员可以为关键事务型应用构建高度容错的网络。 但是，高可用性不仅仅要求冗余的硬件。 网络还必须拥有智能，可以实现最优的冗余组件利用率。 网络软件必须考虑网元故障对第二 层和第三层协议的影响，因为正是第二层和第三层协议实现了网络内部的通信。 在此设计方案中，极进网络针对物理层、第二和三协议综合设计，为关键事务型应用同时提供了高度容错的网络所要求的硬件冗余和软件智能。 物理冗余 方案中配备的 机箱式核心交换机的所有关键组件都进行了冗余设计。 这种冗余性包括电源冗余和交换阵列冗余。  双负载电源 ：极进网络 的 BlackDiamond 机箱交换机配有负载分担的多个电源。 每个电源都拥有足够的容量，可以为整个机箱供电，但在正常运行过程中，每台电源都分别提供一半的所需电流。 作为一个选项， Extreme 的Summit 可堆叠交换机可以连接到 SummitRPS 冗余电源上，冗余电源提供了类似于 BlackDiamond 机箱交换机电源的备份功能。 每台 SummitRPS 可以为最多两台 Summit 交换机提供冗余电源支持。  冗余交换引擎 ： 交换引擎是交换机运行的基本单元，因为它处理端口之间的报文流量。 由于交换引擎对交换机的运行非常关键，因此 BlackDiamond交换机设计了完全冗余的交换引擎。 Extreme 冗余交换引擎的一个独特功能是，在正常运行过程中，两个交换引擎都是完全活动的，交换机同时使用主引擎和备用引 擎处理数据流量。 这种方法的优点是，交换机一直使用备用交换引擎。 如果主引擎发生故障，备用可以立即接管任务 ,其导致的中断时间为零。  热插拔： BlackDiamond 中的所有模块，包括交换阵列，都可以带电热插拔。 因此用户不需重新引导或重新设置交换机，就可以更模块而且换一个模块不会影响任何其它模块的操作。 在交换机组件发生故障或换机配置变化时，可带电热插拔的组件使得网络仍能继续运行。 第二层冗余 物理和机械冗余对构建可靠的网络非常关键，但硬件组的可靠性只是一个开端。 极进网络 交换机还包括多种增强了第二层 容错能力的特性。  链路聚合 :链路聚合 (或负载分担 )是另一种提高了可靠性和性能的第二层冗余特性。 Extreme 的链路聚合基于的 标准。 这种功能允许把多达 8 条物理链路合成一条逻辑链路。 链路聚合的主要优点是，如果物理链路发生故障或从服务中移出，它可以提供不到一秒的超快速故障切换能力。 链路聚合还具有另外一个好处，可以全面利用最多八条链路的带宽，因为流量分布到所有链路中。 这一特点同时提高了网络的性能和可靠。 您还可以在各种算法中进行选择，把流量分布到多条链路中。 可以基于端口、第二层到第四层会话地址 信息或循环标准分布流量。  生成树和快速生成树 ： 生成树是业内标准第二层协议，它可用于不同品牌交换机之间的互联互通。 在交换机启动生成树协议时，每个端口都处在下述两种模式中的一种模式下，即转发模式和阻塞模式。 在生成树中的链路断开时，将计算新的生成树，交换机端口将按需改变状态，创建恢复全部连接的新的生成树。 生成树的主要局限性是收敛慢。 在链路故障之后，网络可能需要 30 秒收敛， Extreme 的基于 标准的快速生成树技术可以将收敛时间缩短为 13 秒。 此外，它没有有效地利用带宽，因为阻塞的链路不能用来承载流量。 相 比之后，作为真正路由技术的第三层交换则全面利用了网络带宽。 基于这些原因， Extreme Networks 建议客户采用其它技术提供容错能力，如在相应的地方采用第三层路由协议、链路聚合或 Extreme 备用路由器协议 (ESRP)。  Extreme 备份路由器协议（ ESRP） ： ESRP 是 Extreme 独有的一种功能，它提供了第二层和第三层冗余的统一实现。 这消除了冗余交换机 /路由器实现技术最常见的问题，即通常要求单独的第二层和第三解决方案，如生成树和 VRRP。 可以在没有起路由的情况下使用 ESRP 的第二层冗余，作为生成 树的有效替代方案，因为其故障切换时间在 26 秒之间，要远远快于生成树。 本文后面更加详细地介绍了 ESRP，可以在纯第二层环境中使用ESRP，或者与第三层交换一起使用 ESRP。  EAPS 50ms 链路收敛时间（业界最快） ： Extreme 公司作为以太网技术的先行者，提出了基于以太网的小于 50ms 的链路保护技术 EAPS。 EAPS 技术是一种将以太网高效地运行在环形物理拓扑的解决方案。 EAPS 支持快速的失效恢复 (约 50 毫秒 )，提供多个 VLAN 的保护，并支持多个环的互连扩展。 EAPS 实现基于 已有的硬件实现，能够同二层交换机集成。 在实际网络环境中，常见的星形拓朴可分解成多个 EAPS 环。 EAPS 与目前的其它以太网的保护技术比有以下的明显优势：  基于标准的以太技术，不需专有的硬件；  支持高带宽连接（ 1G~10Gbps）  50ms 切换时间，满足严格的实时业务通信要求；  实现成本低 综合考虑， EAPS 并非所有厂家支持，在实际方案实施中，在全极进网络设备环境下优先选用 EAPS 技术，同时通过 STP/FSTP 与其它品牌交换机互联互通，提供二层冗余中继连接。 第三层冗余 主机直接连接到核心交换机， 无论是连接一台还是同时连接两台核心交换机，其默认网关都将设置为核心交换机之一（假定为核 1）。 然而，如果该核心交换机失败，服务器就会因为默认网关不可用而不能与其它 IP 子网的 PC 通信。 因此，需要一种机制，使得当当前的默认网关（核心交换机 1）失50ms 保护 败时，另一台核心交换机（核心交换机 2）能自动充当默认网关，服务器不需要改变默认网关设置就可进行跨子网的络通信。 这种第三层容错也称为虚拟冗余路由器或备用路由器。 目前有多种解决方案来协调路由器故障切换，包括 Extreme 备用路由器协议(ESRP)、虚拟路由器冗余协议 (VRRP)和热备份路由协议 (HSRP)。 Extreme 支持VRRP 和 ESRP。 这些方法是把两台或多台路由器作为单一的虚拟路由器操作，并采用单一的 IP 和。