園區網技術方案建議書(編輯修改稿)

　

【文章內容簡介】 區網內部的 IP 地址 建議使用私網 IP 地址，在邊緣網絡通過 NAT 轉換成公網地址后接入公網 。 23 ? 匯聚交換機下接入的網段可能有很多，在規劃的時候需要考慮路由是可以聚合的，這樣可 以減少核心網絡的路由數目 。 DHCP規劃 園區網中辦公網絡建議使用 DHCP，每個 DHCP 網段應保留部分靜態 IP 供服務器等設備使用 。 DHCP園區部署基本架構 ? 在園區數據中心或服務器區部署獨立的 DHCP Server。 ? 在匯聚層網關部署 DHCP Relay 指向 DHCP Server 統一分配地址 。 ? DHCP 園區內一般通過 VLAN分配地址， 如有特殊要求，在接入交換機部屬 Option82，由 接入交換機 提供的 Option82 信息分配地址 。 圖 31 DHCP園區部署基本架構 DHCP部署基本原則 ? 固定 IP 地址段和動態分配 IP 地址段保持連續。 ? 按照業務區域進行 DHCP 地址的劃分，便于統一管理及問題定位。 ? DHCP 需要跨網段獲得 IP 地址時，啟動 DHCP Relay 功能。 ? 啟動 DHCP 安全功能，禁止非法 DHCP Server 的架設和非法用戶的接入 。 DNS規劃 DNS服務器的角色劃分 ? Master 服務器：主服務器 作為 DNS 的管理服務器，可以增加、刪除、修改域名， 修改的信息可以同步到 Slave服務器， 一般部署 1 臺。 24 ? Slave 服務器：從服務器 從 Master 服務器獲取域名信息，采用多臺服務器形成集群的方式，統一對外提供DNS 服務，一般采用基于硬件的負載均衡器提供服務器集群的功能。一般部署 2臺從服務器。 ? Cache 服務器：緩存服務器 用于 緩存內部用戶的 DNS請求結果，加快后續的訪問。一般部署在 Slave服務器上。 DNS服務器的 IP地址 ? Master 服務器：采用企業內網地址。 ? Slave 服務器：分配企業私網地址， 并在負載均衡器上分配一個虛擬的企業內網地址。 Inter 域名地址有兩種方案： ? 一種是在防火墻上做 NAT 映射，把 Slave 服務器的虛擬地址映射為一個公網 IP 地址，用于外部 Inter 用戶的訪問。 ? 另一種是在鏈路負載均衡設備上通過智能 DNS 為外部 Inter 用戶提供服務 。 DNS可靠性設計 眾多內部用戶發送 DNS 請求，被均勻分擔到 Slave DNS1 和 DNS2。當 Slave DNS1 服務器故障后，所有的 DNS 請求被分發給 Slave DNS2。最終 DNS 服務器必須與外部 DNS通訊。 Master 服務器，建議放置在 DMZ 區域，并在同區內部建立 Slave DNS 服務器 。 如只對內提供服務的 DNS 服務器，可以作為二級的 DNS 服務器，放入其他非 DMZ 區域。 當所有的 Slave DNS 都故障后，用戶發送的 DNS 請求無響應。用戶就切換到備 DNS，由 Master DNS 處理所有的請求。 25 圖 32 園區 DNS規劃 二層設計 概述 建議采用 如 圖 33 所示 的網絡分層，匯聚層作為網關，接入層做透傳轉發。 這種設計方法下，接入層作為二層轉發，需要部署破環協議。 26 圖 33 二層設計組網圖 STP STP 體系目前有三種協議可用，他們是 STP（ ） 、 RSTP()和MSTP()。 在一些老的設備上默認 啟用 STP。由于 STP 的收斂速度慢，所以在一些后來生產的設備上，都 默認啟用 RSTP 或者 MSTP。 具體 選用 哪 一種生成樹 協議，還要看網絡的具體拓撲情況。 首先要明確什么時候需要部署 STP， 運行 STP 的首要條件就是網絡中存在冗余鏈路。接下來，才要考慮選用哪種 STP 協議。針對存在 的 三種 STP 協議，需要進行如下考慮： ? 一些比較老的交換機可能不支持 RSTP 或者 MSTP，在有這些設備存在的網絡中，就現實情況而言，還是應該啟用 STP 協議。如果資金允許， 可以 將 不支持 RSTP 或MSTP 的設備 換掉， 因為 采用 RSTP、 MSTP 可以提升 網絡的性能。 ? 在設備都支持 RSTP 協議的情況下，當網絡中僅存在一個 VLAN 時，建議采用 RSTP，這樣可以充分發揮 RSTP 的優勢，加速網絡的收斂。另外，如果網絡中存在多個VLAN，并且各個 VLAN 在拓撲上保持一致，也就是說在 trunk 鏈路上各個 VLAN的配置相同，也建議使用 RSTP。 ? 基于上一條描述的條件，當網絡中存在多個 VLAN，但是他們在 trunk 鏈路上的配置并不一致時，就要采用 MSTP 啟用多個生成樹實例。 網絡部署 STP 時，給出下列建議： 27 ? 根橋和備份根橋的選擇 根橋的選擇合適與否直接影響著網絡的性能。在一個合理根橋設置的網絡中，會加快網絡的收斂，數據報文會經過更短的路徑到達目的地。基于此目的，應本著兩點原則進行根橋的選擇 ： ? 根橋和備份根橋應進行手動選擇，不應該讓網絡自動選擇。手動選擇可以達到網絡的最優化。 ? 優選二層網絡的核心設備作為根橋或 備份根橋。這里的核心包括處理性能上的優異和網絡拓撲位置上的核心層。數據網絡的核心通常意味著距離服務器或者路由器更 近甚至直連，把根橋放在這個位置就意味著縮短了客戶端到服務器或者路由器的平均距離。 當設置一臺交換機為根橋或者備份根橋之后，用戶不能再修改交換機的優先級。并且同一臺交換機不能既作為根橋，又作為備份根橋。 ? 路徑開銷 的規劃 路徑開銷（ PathCost）是一個端口量，反映了本端口所連接網絡的開銷。該值越低，表示這個端口所在的鏈路帶寬越大。在一個 STP 網絡中，某端口到根橋累計的路徑開銷就是通過所經過的各個橋上的各端口的路徑開銷累加而成，這個值叫做根路徑開銷（ RootPathCost）。 根路徑開銷的值直接影響著根 端口的選擇。在一臺交換機上所有使能 STP 協議的端口中，根路徑開銷最小的就會成為根端口。 因此，根路徑開銷的設計也直接影響著數據的轉發。 端口 的 路徑開銷 也是生成樹計算的重要依據， 在 MSTP 中，在 不同 MSTI 上為同一端口 配置 不同的路徑開銷值， 可以 使不同 VLAN 的流量沿不同的物理鏈路轉發，實現 按 VLAN 的負載 分擔功能。 ? MSTP 域和實例 的規劃 對于屬于同一 個 域 內 的所有設備 ，應遵循以下幾條配置原則： ? 域名必須一致 。 ? 域修訂等級必須一致 。 ? 域內 VLAN 和 MSTI 的映射關系必須一致。 ? 每個 VLAN 只能對應一個 MSTI，即同一 VLAN 的數據只能在一個 MSTI 中傳輸；而一個 MSTI 可能對應多個 VLAN。 ? 與終端相連的端口建議配置為邊緣端口。 RRPP RRPP（ Rapid Ring Protection Protocol） 是一個專門應用于以太網環的二層協議，來源于EAPS 協議（ RFC3619），該協議提供最快 50 毫秒的保護性能。該協議在 中的位置和 STP 相同。 RRPP 協議報文采用硬件廣播轉發，而非 STP 的逐跳處理 。 與 STP 協議相比， RRPP 協議有如下特點： ? 拓撲收斂速度快，收斂時間最小可達 50 毫秒。 ? 收斂時間與環網 上節點數無關，與網絡規模無關 。 說 明 28 RRPP部署注意事項 ? 在 固定的單環和主環 /子環拓撲模型 上部署。 ? 子環要固定連接到主環上， 支持 1 級子環。 ? 網絡完整時，阻斷端口 是主節點從端口， 根據網絡拓撲，規劃從端口。 ? RRPP 環上端口不建議配置風暴抑制功能，避免因為丟棄 RRPPHello 報文導致廣播風暴 ， 誤操作或者其他異常情況可能導致廣播風暴，影響整網業務 。 ? RRPP 環內新增節點時，必須在新增節點先配置 RRPP 控制 VLAN。如果沒有提前配置控制 VLAN，而數據 VLAN 已經打開的情況下， RRPP 會因為 Hello 報 文中斷導致廣播風暴。 ? 每個環都必須使用唯一的控制 VLAN，如果主環下掛接大量子環，會占用大量VLAN， 配置前做好網 絡的 VLAN 規劃。 RRPP的應用場景和注意點 RRPP 協議應用于對保護性能要求較高的簡單二層以太網絡，支持固定的單環、主環 /子環拓撲模型。 在華為公司的二層協議的定位中， RRPP 正被更優秀的 SEP（ Smart Ether Protection）協議替代 。 SEP SEP 支持各種類型的復雜組網，例如： 支持與 STP、 RSTP、 MSTP、 RRPP 協議混合組網，支持任意拓撲且支持拓撲查看。通過查 看拓撲可快速找出阻塞端口。當有故障產生，可快速定位故障出現的位置，從而提高了可維護性。 SEP 支持多種阻塞端口選擇策略，從而靈活地實現了流量負載分擔，收斂時間在 50ms 以內。 SEP 協議具有環網協議基本的快速保護性能： ? 拓撲收斂速度快 。 ? 收斂時間與環網上節點數無關 ，與網絡規模無關。 SEP的局限性和應用限制 SEP 是我司私有協議，不能和其他公司設備直接對接。 SEP 協議具備較強的混合組網能力，從一定程度上解決了這個問題 。 SEP的應用場景和注意點 SEP 協議應用于對保護性能要求較高的二層以太網絡，可以支持復雜拓撲模型，是華為公司目前主推的快速環網保護協議。典型場景包括四種： ? SEP 單環 說 明 29 ? SEP 多環 ? SEP 通過普通 edge 端口與 STP 混合組網 30 ? SEP 通過 noneighboredge 端口與 STP 混合組網 31 CSS/iStack 園區網絡一般分層部署，大型園區網絡分為接入層、匯聚層和核心層。為保證可靠性，部署雙上行鏈路，不可避免鏈路冗余，需要部署破環協議，隨著網絡規模的不斷擴大，xSTP 協議收斂時間慢，可用性差，由此引出新的解決方案，即 CSS/iStack 技術。 為了提高園區網的可靠性，在接入層推薦采用 iStack（堆疊）技術，即多臺交換機堆疊在一起，選舉出一臺換機做為主交換機，一臺交換機為備交換機，剩下的交換機稱為從交換機。主交換機是整個堆疊系統中的控制中心。堆疊中每一臺交換機都同時具備成為主交換機或者備交換機的能力。 iStack 中多臺交換機作為一個整體對外體現為一臺邏輯設備，共用一個管理 IP 地址和一個 MAC 地址，且組建方便。堆疊的運維費用低，空間占用小， 綠色節能 。 核心層采用 CSS（集群）技術 ，匯聚采用 CSS 或 iStack 技術 ，即將兩臺交換機通過專用的堆疊電纜連 接起來，選出一臺為主交換機，一臺為備交換機，對外呈現為一臺邏輯交換機。 CSS/iStack 技術在網絡擴容時，保護已有網絡規劃不變，擴容方便簡單，擴容的同時，將兩臺物理設備虛擬為一臺設備，簡化了設備的配置和管理。多臺設備間冗余、備份，提高系統的可靠性。 不同網絡層級之間建立 EthTrunk，支持跨成員端口聚合，消除了 EthTrunk 在單臺交換機上的單點故障。具有很高的可用性。 Ethtrunk 是物理層協議，是將 — 組物理接口捆綁在一起作為一個邏輯接口來增加帶寬的一種方法 。通過在兩臺設備之間建立鏈路聚合組，可以提供更高的通訊帶寬和更高的可靠性。鏈路聚合不僅為設備間通信提供了冗余保護，而且不需要對硬件進行升級。 EthTrunk 的負載分擔模式 分為手工負載分擔模式和靜態負載分擔模式。 CSS/iStack技術代替傳統的 MSTP+VRRP 組網，克服了網絡復雜時 MSTP 收斂時間過長、網絡拓撲不穩定的弊端。 圖 34 CSS/iStack拓撲圖 對可靠性要求較高的企業 ，推薦使用 CSS/iStack 技術，無需部署破環協議，網絡拓撲簡單，帶寬利用率高，網絡可靠性高。 32 路由設計 路由概述 建議采用匯聚交換機作為路由和交換的分界點。 圖 35 路由交換分界點設計 這種設計方法有如下的優點： ? 路由配置簡單 只需要在 2 臺匯聚 /核心交換機上 配置路由。 大量的接入交換機只做二層交換，配置簡單。便于采用接入交換機的“自動配置”功能， 減少配置維護工作量。 ? 擴展性好 在同一個匯聚 /核心交換機下的服務器擴容方便，并且隨著業務的變化 不需要更改網絡的配置，即插即用 。 IGP設計 IGP協議選擇 由于園區網內部可能存在不規則區域，且路由節點不是特別多，建議使用 OSPF 路由協議 。 每個業務部門區域作為一個單獨的 OSPF 區域 。 33 OSPF規劃 ? 規劃合理的 RouteID RouteID 建議采用 Loopback 接口 IP 地址 。 ? OSPF 核心區域規劃 出口路由器和核心交換機作為 OSPF 的 Area0， 出口路由器作為