市宽带ip网建设方案

XX市宽带IP网络 方案 气瓶 现场处置方案 .pdf气瓶 现场处置方案 .doc见习基地管理方案.doc关于群访事件的化解方案建筑工地扬尘治理专项方案下载 2000年9月前言网捷网络公司非常荣幸能为XX市宽带网提供解决方案。针对XX市的实际情况，我们推出了全面采用FOUNDRY公司产品组成的解决方案，利用屡获大奖的BigIron8000第三层交换机、BigIron4000第三层交换机和FastIron交换路由器，组成一套可以在现有光纤系统上提供高速传输的网络系统。FOUNDRY公司的系列产品在国内外均已大量使用并深获好评，相信也能在XX市的使用中发挥其一贯的稳定可靠、易用易管理、高性能的特点，保障XX市宽带网络的连续运行。本方案采用的骨干设备是FOUNDRYBigIron8000，每台有8个网络模块插槽。接口模块有有多种类型可选，根据实际需要加以配置。本方案采用的边缘设备是BigIron4000，每台有4个网络模块插槽。本方案采用的楼域用户接入设备主要是FOUNDRYFastIron工作组交换机。骨干节点和边缘节点之间用千兆以太网连接。可以提供高速的TCP/IP，NOVELLIPX，WINDOWSNT，WINDOW98/95网络互通。目录第1章项目描述............................................错误!未定义书签。项目概况.................................................错误!未定义书签。建设范围.................................................错误!未定义书签。营运级宽带网络...........................................错误!未定义书签。第2章XX市宽带网解决方案..................................错误!未定义书签。主干技术.................................................错误!未定义书签。设备选型.................................................错误!未定义书签。网络主干设备的系统结构................................错误!未定义书签。交换结构（SwitchingFabric）................................错误!未定义书签。阻塞与非阻塞配置...................................错误!未定义书签。采用何种方式实现第3层和第4层的处理.........................错误!未定义书签。系统容量.....................................................错误!未定义书签。关键部件冗余设计.............................................错误!未定义书签。缓冲技术.....................................................错误!未定义书签。系统结构的技术寿命...........................................错误!未定义书签。选型结论..................................................错误!未定义书签。市宽带网组网方案..........................................错误!未定义书签。网络拓扑结构...........................................错误!未定义书签。骨干节点...............................................错误!未定义书签。边缘节点...............................................错误!未定义书签。接入层节点.............................................错误!未定义书签。用户接入...............................................错误!未定义书签。方案特点..................................................错误!未定义书签。全部第三层功能的主干交换网络结构.............................错误!未定义书签。完善的接入安全性.............................................错误!未定义书签。与业务相关的网络设计.........................................错误!未定义书签。良好的网络隔离能力...........................................错误!未定义书签。完善的设备安全性.............................................错误!未定义书签。良好的网络稳定性.............................................错误!未定义书签。良好的网络扩展性.............................................错误!未定义书签。良好的可管理性...............................................错误!未定义书签。服务质量保证.................................................错误!未定义书签。第3章业务描述............................................错误!未定义书签。用户接入INTERNET..........................................错误!未定义书签。用户局域网高速互连.......................................错误!未定义书签。企业用户VLAN组网.....................................错误!未定义书签。企业用户IPVPN组网...................................错误!未定义书签。用户建立网站及其访问控制.................................错误!未定义书签。用户隔离与基本认证.......................................错误!未定义书签。第4章网络管理............................................错误!未定义书签。网管中心的设置和职责.....................................错误!未定义书签。节点维护管理终端......................................错误!未定义书签。网管中心的功能...........................................错误!未定义书签。第1章项目描述1项目概况市电信根据自己的技术和资源优势，决定建立一个高带宽、高速率的信息传输网，为用户提供数据运载服务及信息服务。网络覆盖全市的各个区，可以为用户提供以IP为基础的新的数据业务，如宽带接入、电子商务、视频传输、多点广播、视频点播、协同设计、桌面会议电视、远程医疗、远程教育的各种信息服务。XX市宽带IP城域网可为用户提供以下服务：利用该项目网络的带宽优势，提供保证质量的多媒体应用。为分散经营的企业集团建立虚拟专用网，以便统一管理其资产、物资、资金、市场、人事等。高中、职业高中、初中、 小学 小学生如何制作手抄报课件柳垭小学关于三违自查自纠报告小学英语获奖优质说课课件小学足球课教案全集小学语文新课程标准测试题 、幼儿园为服务对象、建立普通教育或义务教育专用网。向家庭用户、机关团体提供多媒体形式的信息查询、国际联网、视频点播等信息服务。2建设范围XX市宽带IP城域网由3个骨干节点、15边缘节点和多个接入节点组成，覆盖XX市各区县。3营运级宽带网络根据XX市宽带网的要求，本网定位为营运级的宽带网络。本网络是一个IP网络，以顺应数据网络的发展趋势，提供对绝大部分IP业务的直接支持。本网络又必须是一个宽带网络，以满足网络数据流量的迅速增长，提供大容量高速传输的能力，符合其服务平台的角色。本网络还必须是一个服务性营运级的网络，以区别于供企业自用为主的企业级网络，而在可靠性、服务质量QoS、业务类别方面有较高保障，从而对公众提供丰富、易用、可靠的服务，并对二级服务网络提供可靠连接。由于IP协议和IP数据在网络上会越来越普及，本网络应该可以很好地支持TCP/IP协议，在时机成熟时，可以方便地转成全宽带IP网。因此，本项目将是一个以TCP/IP协议为基础、具有大容量高速传输能力的、可靠稳定保证服务质量的营运级宽带网络。第2章XX市宽带网解决方案1主干技术在充分研究了目前国际网络界对城域网设计所采用的各种网络主干技术,并充分考虑到技术发展的主流和趋势后,我们建议XX市宽带网络采用以千兆以太网或POS为核心层链路、以千兆以太网为核心层与边缘层连接而组成的网络主干。2设备选型XX市宽带IP网的主要用户对象是企业用户和家庭用户。家庭用户接入宽带IP网主要用于访问Internet。企业用户主要通过宽带IP网进行不同营业场所的互联。此外，也可通过宽带IP网访问Internet。企业用户长期使用电信的租用线路（即电路）连接内部网络，并且通过电信连接INTERNET。他们的使用习惯值得尊重。这类用户关心的是网络的安全性和服务质量。由于用户数众多，为保证全网的安全性和性能，同时保护企业用户在网上传输的性能的安全性，保证他们有承诺的带宽可以利用，对设备选型必需仔细比较和 分析 定性数据统计分析pdf销售业绩分析模板建筑结构震害分析销售进度分析表京东商城竞争战略分析 。如第一章所述，网络设备必需既支持虚拟局域网技术，以提供透明的链路通道；又必须支持大多数网络协议，提供网络服务，开展网络应用。这就决定了所有设备必须是可以工作在第二层或第三层的，具有每层对应的安全控制功能，如第二层的MAC过滤功能，第三层的访问列表控制功能等。为保证给与用户所购买的带宽，除了采用各种服务质量机制和带宽管理机制进行带宽管理外，设备必须提供全线速的交换和路由能力，有足够大的MAC地址表和路由表。为保证网络的安全性，设备本身必须支持各种安全机制，确保设备本身不会被轻易入侵。下面就骨干节点设备、边缘节点设备和接入设备的选型进行阐述。2.1网络主干设备的系统结构网络主干设备即骨干节点设备的系统结构直接决定了设备的性能和功能水平。这犹如先天很好的一个婴儿和一个先天不足的婴儿，即便后天成长条件完全相同，他们的能力依然有相当大的差别。因此，深入了解设备的系统结构设计，客观认知设备的性能和功能，这对正确选择设备极有帮助，下面将从七个方面进行讨论。交换结构（SwitchingFabric）随着网络交换技术不断的发展，交换结构在网络设备的体系结构中占据着极为重要的地位。为了便于理解，这里仅简述三种典型的交换结构的特点：共享总线。由于近年来网络设备的总线技术发展缓慢，所以导致了共享总线带宽低，访问效率不高；而且，它不能用来同时进行多点访问。另外，受CPU频率和总线位数的限制，其性能扩展困难。它适用于大部分流量在模块本地进行交换的网络模式。共享内存。其访问效率高，适 合同 劳动合同范本免费下载装修合同范本免费下载租赁合同免费下载房屋买卖合同下载劳务合同范本下载 时进行多点访问（MULTICAST）。共享内存通常为DRAM和SRAM两种，DRAM速度慢，造价低，SRAM速度快，造价高。共享内存方式对内存芯片的性能要求很高，至少为整机所有端口带宽之和的两倍（比如设备支持32个千兆以太网端口，则要求共享内存的性能要达到64Gbps）。交换矩阵（Crossbar）。由于ASIC技术发展迅速，目前ASIC芯片间的转发性能通常可达到1Gbps，甚至更高的性能，于是给交换矩阵提供了极好的物质基础。所有接口模块（包括控制模块）都连接到一个矩阵式背板上，通过ASIC芯片到ASIC芯片的直接转发，可同时进行多个模块之间的通信；每个模块的缓存只处理本模块上的输入/输出队列，因此对内存芯片性能的要求大大低于共享内存方式。总之，交换矩阵的特点是访问效率高，适合同时进行多点访问，容易提供非常高的带宽，并且性能扩展方便，不易受CPU、总线以及内存技术的限制。目前大部分的专业网络厂商在其第三层核心交换设备中都越来越多地采用了这种技术。2.1.2阻塞与非阻塞配置阻塞与非阻塞配置是两种截然不同的设计思想，它们各有优劣。在选型时，一定要根据实际需求来选择相应的网络设备。阻塞配置。该种设计是指：机箱中所有交换端口的总带宽，超过前述交换结构的转发能力。因此，阻塞配置设计容易导致数据流从接口模块进入交换结构时，发生阻塞；一旦发生阻塞，便会降低系统的交换性能。例如，一个交换接口模块上有8个千兆交换端口，其累加和为8Gbps，而该模块在交换矩阵的带宽只有2Gbps。当该模块满负荷工作时，势必发生阻塞。采用阻塞设计容易在千兆/百兆接口模块上提高端口密度，十分适合连接服务器集群（因为服务器本身受到操作系统、输入/输出总线、磁盘吞吐能力，以及应用软件等诸多因素的影响，通过其网卡进行交换的数据不可能达到网卡吞吐的标称值）。非阻塞配置。该设计的目标为：机箱中全部交换端口的总带宽，低于或等于交换结构的转发能力，这就使得在任何情况下，数据流进入交换结构时不会发生阻塞。因此，非阻塞设计的网络设备适用于主干连接。在主干设备选型时，只需注意接口模块的端口密度和交换结构的转发能力相匹配即可。当要构造高性能的网络主干时，必须选用非阻塞配置的主干设备。采用何种方式实现第3层和第4层的处理众所周知，每一次网络通信都是在通信的机器之间产生一串数据包。这些数据包构成的数据流可分别在第3、4层进行识别。在第3层（NetworkLayer，即网络层，以下简称L3），数据流是通过源站点和目的站点的网络地址被识别。因此，控制数据流的能力仅限于通信的源站点和目的站点的地址对，实现这种功能的设备称之为路由器。路由器在网络中占据着核心的地位。传统路由器是采用软件实现路由功能，其速度慢，且价格昂贵，往往成为网络的瓶颈。随着网络技术的发展，路由器技术发生了革命，路由功能由专用的ASIC集成电路来完成。现在这种设备被称之为第三层交换机或叫做交换式路由器。第4层（TransportLayer即传输层，以下简称L4），通过数据包的第4层信息，设备能够懂得所传输的数据包是何种应用。因此，第4层交换提供应用级的控制，即支持安全过滤和提供对应用流施加特定的QoS策略。传统路由器具有阅读第4层报头信息的能力（通过软件实现），与第三层交换机（或交换式路由器）采用专用的ASIC集成电路相比，设备的性能几乎相差了两个数量级，因此，传统路由器无法实现第4层交换。值得指出的是：网络主干设备的系统结构在设计上分成两大类：集中式和分布式。即便两者都采用了新的技术，但就其性能而言，仍存在着较大的差异。集中式所谓集中式，顾名思义，L3/L4数据流的转发由一个中央模块控制处理。因此，L3/L4层转发能力通常为3M－4Mpps，最多达到15Mpps。分布式将L3/L4层数据流的转发策略设置到接口模块上，并且通过专用的ASIC芯片转发L3/L4层数据流，从而实现相关控制和服务功能。L3/L4层转发能力可达40Mpps至100Mpps，甚至180Mpps。系统容量由于网络规模越来越大，网络主干设备的系统容量也成为选型中的重要考核指标。建议重点考核以下两个方面：物理容量各类网络协议的端口密度，如千兆以太网、快速以太网，尤其是非阻塞配置下的端口密度。逻辑容量路由表、MAC地址表、应用数据流表、访问控制列表（ACL）大小，反映出设备支持网络规模大小的能力（先进的主干设备必须支持足够大的逻辑容量，以及非阻塞配置设计下的高端口密度。）关键部件冗余设计人们已经普遍认同处于关键部位的网络设备不应存在单点故障。为此，网络主干设备应能实现如下三方面的冗余。电源和机箱风扇冗余控制模块冗余控制模块冗余功能应提供对主控制模块的“自动切换”支持。如：备份控制模块连续次没有听到来自主控制模块的 汇报 关于vocs治理的情况汇报每日工作汇报下载教师国培汇报文档下载思想汇报Word下载qcc成果汇报ppt免费下载 ，备份模块将进行初始化并执行硬件恢复。另外，各种模块均可热插拔。交换结构冗余如果网络主干设备忽略交换结构的冗余设计，就无法达到设备冗余的完整性。因此，要充分考虑网络主干设备的可靠性，应该要求该设备支持交换结构冗余。此外，交换结构冗余功能也应具有对主交换结构“自动切换”的特性。缓冲技术缓冲技术在网络交换机的系统结构中使用的越来越多，也越来越复杂。任何技术的使用都有着两面性，如过大的缓冲空间会影响正常通信状态下，数据包的转发速度（因为过大的缓冲空间需要相对多一点的寻址时间），并增加设备的成本。而过小的缓冲空间在发生拥塞时又容易丢包出错。所以，适当的缓冲空间加上先进的缓冲调度算法是解决缓冲问题的合理方式。对于网络主干设备，需要注意几点：每端口是否享有独立的缓冲空间，而且该缓冲空间的工作状态不会影响其它端口缓冲的状态。模块或端口是否设计有独立的输入缓冲、独立的输出缓冲，或是输入/输出缓冲。是否具有一系列的缓冲管理调度算法，如RED、WRED、RR/FQ、WERR/WEFQ。系统结构的技术寿命所选择的网络主干设备，其系统结构应能满足用户的功能需求，并具有足够长的技术生命周期。换言之，要避免通过硬件补丁的办法（不断增加新的硬件单元对系统结构中存在的不足进行补偿，或彻底更换新设备的方式），才能满足用户1至2年内不断增长的功能需求。业界有很多设备的系统结构是第2层交换的设计概念，需要通过增加第3层的硬件模块才能实现第3层或第3/4层交换的功能，而且第3/4层数据包的转发能力远低于第2层交换的转发能力。另外，短期内还可能出现用新产品来替代原有产品的情况，这对用户的投资保护十分不利。选型结论基于上述考虑，我们为XX市宽带IP网骨干节点了提供业界最先进的FOUNDRYBigIon8000系列交换机。8000采用的三层交换技术基于特殊的交换方式设计，每个模块都可以进行分布式路由和交换，没有其他厂家所必需的超级引擎或CPU处理模块，每个接口模块都采用共享内存设计，有利于广播和组播性能的提高，同时避免了线头阻塞，提供模块上的本地交换能力，每个模块的吞吐率为32Gbps，是真正的无阻塞设计。8000的背板采用256Gbps交叉矩阵，连接每个模块，可以实现真正的全线速第二层和第三层交换。每个模块可以热插拔，电源可以最多配置四个，所有的交换和路由功能通过ASIC芯片完成，交换能力达96Mpps。8000的系统设计技术已经在业界得到了无数大奖，在实验室和实际应用环境中得到了充分的考验，被证明是成熟稳定而先进的。边缘节点的设备选型有两种方案，即FOUNDRYBigIron4000或FastIronII交换机。BigIron4000具有128Gbps的交换背板和48Mpps的第三层交换能力。系统设计与8000完全一样。FastIronII具有32Gbps的交换能力，吞吐量为23Mpps。对于接入层节点的楼域交换机，我们建议采用FOUNDRYFastIron工作组交换机。FastIron具有G的交换容量。每个端口具有2个优先级队列，每一个都是相互独立配置并由交换矩阵提供服务，这样可以防止低优先级数据的冲击而导致高优先级队列包的延迟或丢失。FastIron还具备基本的第三层服务功能。市宽带网组网方案网络拓扑结构BigIron4000BigIron4000BigIron4000BigIron4000BigIron4000BI4000BI4000BI4000BI4000BI4000省163/169网BigIron8000广饶BI8000网关设备BigIron8000BigIron8000西城东城BI8000BI8000BigIron4000BigIron4000BigIron4000BigIron4000BigIron4000BigIron4000BigIron4000BigIron4000BigIron4000BigIron4000BI4000BI4000BI4000BI4000BI4000BI4000BI4000BI4000BI4000BI4000FastIronWorkgroupFastIronWorkgroupFastIronWorkgroupFastIronWorkgroupFastIronWorkgroupFWSFWSFWSFWSFWS参见附图。骨干节点为3个骨干层节点各选用一台FOUNDRYBigIron8000，每台BigIron8000配置两块冗余备分的管理模块，并配置冗余的直流电源。在东城，每个管理模块上配备2个长距千兆以太网端口。在每个管理模块上各选一个千兆端口捆绑在一起，以2Gbps的速率连接西城。然后再各选一个千兆端口进行捆绑，连接广饶。每个管理模块上还有4个1000BaseLx端口，可以用于连接距离较近的边缘节点，如胜利模块局。另外还配置了一块24口100BaseTx模块和一块10BaseFx模块用于连接本地用户。在广饶，每个管理模块上配备3个长距千兆以太网端口。在每个管理模块上各选一个千兆端口捆绑在一起，以2Gbps的速率连接东城。然后再各选一个千兆端口进行捆绑，连接西城。由于大王模块局距离较远，也需要通过长距千兆端口进行连接。每个管理模块上还有4个1000BaseLx端口，可以用于连接距离较近的边缘节点。另外还配置了一块24口100BaseTx模块模块和一块10BaseFx模块用于连接本地用户。在西城，每个管理模块上配备3个长距千兆以太网端口。在每个管理模块上各选一个千兆端口捆绑在一起，以2Gbps的速率连接东城。然后再各选一个千兆端口进行捆绑，连接广饶。由于河口模块局距离较远，也需要通过长距千兆端口进行连接。每个管理模块上还有4个1000BaseLx端口，可以用于连接距离较近的边缘节点，包括民营园、黄河口、长安集团、钻井和辛店。另外还配置了一块24口100BaseTx模块和一块24口100BaseFx模块用于本地连接。在BigIron8000上还可以根据需要配置ATM模块和POS模块。边缘节点在每个边缘节点，选用FOUNDRYBigIron4000。BigIron4000配置一个管理模块，并配置冗余的直流电源。在大王模块局、孤岛、仙河，配置一块24口100BaseTx和一块24口100BaseFx模块，用于用户接入。在管理模块上配置一个长距千兆以太网端口，用于节点之间的互连。河口模块局的BigIron4000管理模块上配置了3个长距千兆以太网端口，用于连接西城、孤岛和仙河。配置一块24口100BaseTx和一块24口100BaseFx模块，用于用户接入。对于胜利、民营园、黄河口、长安集团、钻井和辛店，在管理模块上配置2个1000BaseLx端口，用于连接网络核心的BigIron8000交换机。配置一块24口100BaseTx和一块24口100BaseFx模块，用于用户接入接入层节点在接入层节点，楼域交换机采用了FastIron工作组交换机，有24个10/100M自适应接口，并配备了2口100BaseFX上行接口，连接到网络边缘节点。用户接入家庭用户通过楼内的双绞线，以10/100M速率连接到楼域交换机上。企业用户需要高速连接时，可以把企业自己的交换机通过光纤直接连接到最近的边缘节点。对于DDN、ADSL等其他接入方式，其局端汇聚设备可以采用10/100/100M端口连接到宽带IP骨干网。网关设备XX市宽带IP网采用私有IP地址为网络设备进行编址。在同Internet进行连接时，需要进行地址转换。地址转换有两种情形：普通用户访问Internet时，对用户的源地址进行动态转换。向Internet提供信息服务的服务器需要保持服务器的私有地址同合法IP地址之间的静态对应关系。提供这类地址转换功能的网关设备在业界比较多，最着名的是CheckPoint公司的FireWall-1防火墙产品。FireWall-1不仅提供简单的地址转换功能，还能为全网提供防火墙安全保护，以及详尽的安全状况记录。为了提高网络出口处的吞吐量，避免网关设备成为数据传输的瓶颈，Foundry公司提供了4-7层交换机ServerIron对防护墙进行负载均衡处理。ServerIron最多可以支持32台防护墙同时工作。因此，XX市宽带IP网可以根据实际的网络流量，平滑地增加网络出口处的吞吐量。InternetTheServerIron城域网FastIronBackboneThe方案特点全部第三层功能的主干交换网络结构所有核心层和边缘层产品都支持第二层和第三层功能。不仅可以进行VLAN的划分，还可以进行高速的路由转发。VLAN可以根据端口、子网和网络协议进行划分。支持各种常用的网络协议和路由协议。由于每个设备都支持无阻塞的第二层或第三层交换，在交换结构中，可以达到非常好的性能。也意味着可以减少繁琐的拥塞管理和服务质量管理工作。第二层意味着可以支持域网络协议无关的链路服务，用户可以是IP网络、IPX网络或WINDOWSNT网络，用户不需要改变他们已有的网络协议和网络地址。第三层意味着可以支持以IP为主要协议的网络应用，尤其是需要与其他地域互连时，由于网络链路的复杂性和多样性，要进行网络互连，必须采用高层网络协议。第二层服务可以为本地的企业用户服务。第三层则可以为跨地域连接时提供服务，例如与上级网络的连接，同一企业在全省范围的连接等。完善的接入安全性由于每个设备都可以支持第二层和第三层交换，因此可以提供第二层和第三层的安全控制能力。第二层安全控制能力可以提供端口地址过滤、端口地址锁定等功能。端口地址过滤允许交换机根据预先设定的过滤规则，允许或禁止某些第二层数据包进出交换机，也就是对上网用户的网卡MAC地址进行检查后才能上网，不符合规则的用户将被拒绝上网。第三层安全控制能力可以提供访问控制列表能力，允许交换机根据预先设定的规则，允许或者禁止某些第三层数据（IP或IPX包）进出交换机。与业务相关的网络设计网络骨干是业务最集中的地方或是数据转发的枢纽地，为此，网络设计需要保证骨干的可靠性。网络骨干节点之间采用环形拓扑，两节点之间的光路出现故障时，不会影响节点间的通讯。此外，由于采用了跨模块的TROUNKGROUP技术，单个端口或模块的故障不会影响节点间通讯。冗余备份的管理模块保证了骨干交换机的不间断运行。边缘节点与骨干节点之间的连接同样采用TROUNKGROUP技术，无论出现光路、端口还是模块故障，都不会造成通讯中断。上述网络核心在IP路由设计中，也有很大的好处。OSPF作为本网的首选路由协议，需要一个AREA0作为核心区域，所与其他的区域需要和核心区域有物理的联系，否则就要用到虚拟连接的技术，虚拟连接对于其中的传输驿站有比较大的性能压力，对于路由的分配和控制管理都非常不方便。如果选择上述网络核心作为OPSF的核心区域AREA0，把边缘层作为一个个独立的区域，则它们都是直接连接到AREA0上的，不需要使用虚拟连接，整个路由域只有2层，显得比较有层次，软件配置和将来可能的扩充都会比较容易。用户的接入宽带IP网时，必须采用静态路由，保证用户内部网与城域网相对隔离和独立。用户的路由设备不会参与城域网的路由计算，避免因为用户设备的原因导致全网路由波动频繁，影响路由性能。良好的网络隔离能力企业用户比较关心的问题是网络的安全性问题，他们不希望内部数具有被窃取的可能，这就使得网络必须提供类似电路的隔离功能。在城域网的建设中，采用的比较多的是VLAN技术，即虚拟局域网技术。在VLAN技术出现以前，以太网交换技术属于网络的第二层，所有的端口都属于同一个广播域，也就是每个端口都可以收到广播信息，不管它愿不愿意。在大型的网络环境中，广播包不可避免地会引起带宽的浪费，而在TCP/IP，IPX，WINDOWS环境下，广播包的使用更是不可或缺。为了解决这个问题，VLAN技术应运而生。VLAN把一部分端口模拟成为一个虚拟的广播域，VLAN的所有广播都只会在本域内发送，不会超出广播域，进一步，VLAN内的所有数据都只能被同一VLAN的成员接收，而不会被非本VLAN成员接收。不同的VLAN之间不能相互通信，必须通过路由设备进行转发。如果把每个企业用户划到每个不同的VLAN内，企业用户之间就不可能相互通信，这就实现了逻辑隔离。企业用户只通过某台设备上的一个特定端口访问网络，因此每个企业用户连接到网络的路径都是独立的，相互之间没有任何关系。与第二层的VLAN技术相类似的还有第三层的VPN虚拟专用网技术。VPN适合于在类似于因特网这样的公网上传输私有数据。通过隧道技术和数据加密技术，用户可以控制自己的数据安全。加密手段可以在用户的路由设备上实现，也可以在专门的设备上实现。隧道技术可以在用户的路由设备上实现。由于XX市城域网属于宽带IP网，完全可以支持VPN功能。我们建议VPN功能由用户自行实现，或者租用XX电信的设备，但目前网络上尚未配置。完善的设备安全性FOUNDRY的设备具有良好的安全性：·多重访问控制。FOUNDRY产品具有多冲击别的访问控制，允许系统管理员完成配置管理，同时保护系统面授非法的配置修改。用户分为三种级别：超级用户、只读用户、普通用户。超级用户具有最大权限，普通用户只能配置接口参数，并使用显示参数命令。只读用户只能阅读配置，没有任何更改权利。·通过访问控制列表，可以禁止或允许对FOUNDRY设备的远程管理。·本地用户或RADIUS、TACACS+口令认证。·通过身份验证，可以禁止或允许TELNET访问，必要时，可以关闭TELNET服务。·通过SYSLOG功能，把系统事件纪录并保存下来。良好的网络稳定性网络的稳定性体现在当网络发生链路或设备失效时，网络能在短时间内恢复正常。对于一个运行级网络来说，稳定性与性能一样重要。设备稳定性除设备的性能指标外，主要指设备的平均无故障时间（MBTF）。本方案涉及的设备MBTF如下：MTBFforFastIron：单电源-43,400小时MTBFforBigIron4000：机箱加单电源-36,500小时MTBFforBigIron8000：机箱加4个电源–32,400小时链路稳定性体现在两个层次：第二层稳定性和网络层稳定性。第二层稳定性表示物理链路的收敛时间。FOUNDRY产品在运行第二层交换功能时，使用最小生成树算法来保持每个VLAN。一般的最小生成树算法需要至少30秒时间进行生成树的收敛15秒侦听，15秒学习），而FOUNDRY独有的IRONSPAN技术可以在4秒内实现生成树。FOUNDRY的第二层功能缺省打开了IRONSPAN功能。第三层稳定性体现在路由的收敛时间。本网络采用OSPF标准协议，可以在30秒内实现全网路由收敛。实际上，OSPF在监测到路由波动时，缺省只需等5秒钟再进行路由计算，计算工作在5秒内即可完成，因此基本上是在10秒以内完成路由收敛。如有必要，还可以调整时间。良好的网络扩展性本方案采用的BigIron4000和BigIron8000都是机架式设备，目前只用了部分插槽，剩余未用的插槽可供今后网络扩展之用。FastIron工作组交换机可以堆叠，并可以采用TRUNK技术把多条物理链路当作1条逻辑链路使用，根据业务的发展可以相应地增加端口或升级上行链路。良好的可管理性所有FOUNDRY产品都支持三种网络管理方式：命令行、WEB和IRONVIEW网管软件。FOUNDRY的命令行与CISCO的命令行非常类似，都是简单易用，并有帮助功能，可以进行所有的配置工作。WEB浏览器管理则采用图形界面，直观而简洁。IRONVIEW网管软件可以单独运行在WINDOWSNT平台上，也可以与HPOPENVIEW，SUNNETMANAGER配套使用。FOUNDRY产品支持标准的网路管理协议：简单网络管理协议（SNMP）和远程监控协议（RMON）。通过SNMP，网管人员可以远程进行设备状态纪录，设备维护，设备告警，设备启动等操作，实现全面管理。RMON可以详细记录每个端口的流量情况，如输入输出的字节数、数据包数。以此为基础，可以实现基于流量的统计和计费。服务质量保证IronClad服务质量是优先级的延伸，可以提供更好的灵活性和流量控制能力。采用FOUNDRYIronCladQoS，可以配置四种服务质量队列：0-尽力传递，1-低优先级，2-高优先级，3-最高优先级。可以对数据包进行分类，分类后分配到对应的队列。分类的方法有：输入端口IP源和目的地址第四层源和目的信息静态MAC内容AppleTalk端口号基于VLANq标记IPTOS映射可选的队列模式IronCladQoS允许选择下列队列模式之一：限制–高级别队列优于低级别队列可调的加权平均队列—加权平均队列将被用来进行在四个队列间轮流提供服务。承诺的带宽（CAR）–在满负荷情况下，提供已承诺的带宽。可配置的带宽比例对于加权平均队列，可以指定每个队列可接收的最小带宽使用比例。第3章业务描述3.1用户接入InternetXX市宽带IP网建成之后，可以实现10Mbps以太网到户，住宅用户不但可以访问XX市宽带网上的网站，还可以访问Internet。用户之间还可以共享文件和资源，或者联网玩游戏，充分享受在信息高速公路上遨游的乐趣。用户接入通过楼内的单元交换机FastIron。单元交换机再通过100Mbps以太网汇接到最近的接入节点。接入节点的网络设备是BigIron4000交换机。为了实现用户隔离，采用一户一个VLAN的方式。每个VLAN从单元交换机FastIron上的用户接入端口开始，终止在接入节点的BigIron4000上。FastIron交换机的上联端口同BirIron4000上的100M端口都运行协议。这样，在BigIron4000的一个100M端口上，可以终结楼内所有用户的VLAN。如下图所示。在BigIron4000的100M端口上，为每一个VLAN建立一个虚拟的逻辑子接口(称为VirtualEthernet接口，简称VE)，用于完成IP路由功能。在通常情况下，每个VLAN上的VE接口和用户的联网设备需要占用一个IP子网，用户的缺省网关指向VE上的IP地址。为了节省网络地址空间，简化网络设备配置，BigIron4000支持多个VE接口使用同一个IP地址，而所有的楼内用户都位于同一个IP子网内。如下图所示。此时，这些用户由于分处不同的VLAN而实现了物理隔离，同时又保留了IP层的互通性。为了进一步减少使用的VLAN数量和配置的工作量，并节省IP地址，FOUNDRY在BigIron和FastIron上实现了一个特殊的功能，称为上联交换端口(UplinkSwitchPort,检查USP)。参见下图：BigIron4000FastIronWorkgroup25User1User2所有连接在FastIron上的用户都属于同一个VLAN和同一个IP子网。为了实现用户间的相互隔绝，将FastIron的上联端口(在本方案中，即两个100BaseFx端口)的USP功能打开。这时，来自一个用户的广播数据包和未知单址数据包都只送网上联端口，而不会分发到其他端口上面。用户虽然属于同一VLAN和IP子网，但不能直接进行通讯。采用USP技术时，可以大大减少所需VLAN的数量。例如，可以把同一幢楼内的用户都划入同一个VLAN。同时还减少了所需IP子网的数目，减少了网络配置的工作量。通过采用DHCP技术，住宅用户可以自动获得IP地址、缺省网关地址，简化用户设备的配置。FOUNDY交换机支持DHCPAssistant技术，可以根据用户所在的不同VLAN，通知DHCP服务器为用户分配相应的IP子网地址。2用户局域网高速互连XX宽带IP网可以为企业用户提供局域网互连业务，实现企业中心机构同分支机构之间的连接。同企业租用专线相比，费用更低，速率更高，并且可以保留企业用户的原有网络结构和IP地址规划不变。3.2.1企业用户VLAN组网企业用户可以通过VLAN互连。VLAN工作在OSI网络参考模型的第二层，不同VLAN之间的数据彼此完全隔离，从而保证了用户数据的安全性。采用VLAN技术进行网络互联为企业组网提供了极大的灵活性。企业可以自行选择网络协议，自行规划使用网络地址，无需网络运行商的协助，从而也减少了网管中心对网络的维护和配置工作量。FOUNDRY公司的网络产品支持集成交换路由(IntegratedSwitchRouting)。在同一端口上可以支持多个VLAN，每个VLAN可以根据实际需要，或者以路由方式工作，或者以交换方式工作。这样，在一个主要以路由方式进行工作的宽带城域网上，可以灵活的为企业用户建立起单独的VLAN，提供透明局域网服务。以金融证券行业用户用户为例。这些用户目前基本上都已经购买了路由器，通过DDN、帧中继线路进行了互连。改用宽带IP网进行互联时，用户可以申请一个VLAN，并将现有的路由器接入此VLAN，就可以实现互连。用户可能需要修改路由器上接入VLAN的那个以太网端口的IP地址，因为此时所有路由器连接VLAN的端口都在同一个IP子网内。不过路由器后面用户内部设备的IP地址都不用改变。参见下图。VLAN由于路由器不转发广播包，因此进入宽带IP网的数据流都是有用的，这样就合理利用了带宽资源，此时路由器之间的维护数据为路由协议信息和VLAN信息。由于传统路由器的数据包转发性能较低，用户可以采用高性能的第三层交换机来取代路由器，进行高速网络互联。如果企业的网络规模不大，也可以直接将各分支机构内的第二层交换机或Hub同城域网直接相连。但这种方法存在潜在的隐患，用户有可能有意无意地在VLAN上引发广播风暴。为此需要在VLAN上运行SpanningTree算法来检测和防止环路，同时在同用户连接的交换机端口上对广播包的速率进行限制。用户所在VLAN同城域网其他部分是完全隔离的，用户连接在VLAN上的设备的IP地址也是由用户自行规划和使用的。如果用户需要访问城域网或Internet上的资源，首先需要向XX电信申请能够访问城域网IP服务的网络端口(例如，采用前一节所述的用户Internet接入端口)，并申请在城域网的IP地址空间内的IP地址。然后由支持NAT的网关设备将用户数据包内的企业内部地址转换成城域网地址，实现对城域网内网站资源的访问；并进一步经由城域网的Internet网关，访问Internet上的资源。3.2.2企业用户IPVPN组网企业用户也可以采用IPVPN的方式进行局域网互连。用户在各个分支机构放置VPN网关设备。该设备采用前面所述的用户访问Internet的方式接入城域网，每台网关设备都被分配一个城域网IP地址空间内的IP地址。从城域网的角度看来，每台网关设备同住宅用户家里的PC机没有什么区别。网关设备之间通过IP隧道协议，将用户网内的IP数据包封装在城域网的IP数据包内送往城域网，由城域网对这些数据包进行通常的转发。从网关设备的角度看来，相互之间形成了一条点到点的虚拟通道。网关设备采用IPSEC协议对用户数据包进行加密，放置数据被城域网上其他用户窃取或篡改。IPVPN由企业用户在网络的边缘发起，自行构建加密隧道，自己掌握加密口令。3用户建立网站及其访问控制如果未做特别的限定，每个申请了Internet接入服务的用户都可以在自己的计算机上建立网站，供其他城域网用户访问。对于个人用户，这是非常方便灵活的一项服务，用户可以自由建立自己的Web网站、FTP服务器、BBS服务器，运行CGI程序等，促进XX城域网上网络资源的极大丰富。对于比较关心网络安全性的用户，XX电信可以在其接入端口上设置ACL，防止对网站服务器的非法访问。如果网站需要被Internet上的用户浏览，XX电信需要在连接Internet的网关设备上，将该网站的城域网IP地址静态地映射为一个合法的IP地址。为了保证网络安全，网关设备通常还需要对该网站进行防火墙检查。4用户隔离与基本认证所有申请Internet接入的用户都位于单独一个VLAN内，彼此隔离，只能在第三层以上进行互通。申请VLAN服务的企业同其他VLAN以及城域网的其他部分是完全隔离的。采用IPVPN方式组网的企业同城域网其他部分是隔离的。第4章网络管理除了命令行以外，FOUNDY所有产品都内含HTTP服务器功能，支持通过WEB浏览器直接管理设备，这使得管理的复杂性大大降低，同时又使得远程管理和维护变得非常方便，我们在外地也可以通过IP网络管理到所有的FOUNDRY产品，服务的响应时间和服务质量也因此会令人满意。FOUNDRY还有一个专门的网管软件：FOUNDRYIRONVIEW。这是一个专门用于管理FOUNDRY产品的专用软件，可以图形化地显示FOUNDRY产品的前后视图。IRONVIEW可以直观地进行IP、IPX和APPLETALK的协议的配置，路由协议的配置，VLAN的配置和显示，服务质量方面的的配置，访问控制列表的配置，设备安全性方面的配置等，同时可直观显示设备的运行状态，每个端口的流量情况等，设备运行软件和配置和保存等。IRONVIEW可以运行在NT或SUN、HP平台上的HPOPENVIEW之上。1网管中心的设置和职责1.1节点维护管理终端FOUNDRY设备维护终端可通过本地和远端两种方式接入节点，以实现对节点的配置及运行状态、业务情况的监视和控制。两种接入方式均支持安全认证机制。本地接入将一个文本接口装置(例如一个VT100终端)连接到一个节点就可以对节点进行本地监控。远端接入远端接入可通过Telnet(IETFRFC854)实现。Telnet是一个基于TCP/IP(IETFRFC793和IETFRFC791)传输协议的远程终端工业标准，通过它可以字符方式对网络进行远程管理。安全认证机制维护人员使用的节点维护终端，其安全和认证机制与MMS工作站上所用的完全相同。每个管理员都有自己的UserlD和密码，他们具有不同的网络管理权。网管中心的组成FOUNDRYIRONVIEW为有效地管理网络提供了所有必要的网管能力。IRONVIEW应用可提供如下管理功能：故障管理配置管理计费管理性能管理安全管理FOUNDRYIRONVIEW可支持图形化的用户接口，有彩色图、菜单、帮助屏幕、在线文档和多窗口。多窗口允许网络操作者同时运行多个应用。2网管中心的功能网管中心应具有配置管理、性能管理、故障管理、计费管理及安全管理五大功能。配置管理1〕网络结构的管理网络节点、中继线的增加、扩容、删除和更改；网络节点插板、端口和冗余结构的配置；网络节点访问口令的设置和更改。2〕网络业务的配置性能管理1〕可以实时连续地收集网络运行的相关数据，监视网络拥塞，设备失效的情况，可用数字和图形的方式显示网络运行的各种情况以及重要程度，需要时可发布指令到各节点，进行网络控制。2可从相关节点收集以下业务量数据，进行统计、分类、记录归挡。并形成报告向上一级中心报告和提示系统管理员。使用这些信息为网络扩容和建设提供规划设计依据。故障管理1〕能实时监视故障信息，并对其统计分析，低层网管设备应把重要的故障信息报告给高层网管中心。2〕可形成节点、中继线及用端口的告警产生、告警内容和告警清除的统计报告。3〕可设置和实施各种环回测试，端到端测试。4〕所有交换节点设备和接设备都具有可检测到板级及端口的功能，并能够进行检测。网络交换机不停地在运行系统测试程序以保证网络的正确运行。当侦测出交换机有故障时，会产生告警并实时送到FOUNDRYIRONVIEW。FOUNDRYIRONVIEW随即修改状态图以反映此故障：如果该故障影响了用户服务，为重大故障，故障点的颜色即从绿色变为红色；如果该故障不影响用户服务，为轻微故障，则故障点的颜色从绿色变为黄色。发现故障时，交换机将设法纠正：如果故障部件有冗余备份，则备份部件被启动。若故障影响用户连接，则交换机自动将这些连接自动迂回。FOUNDRYIRONVIEW系统提供告警及告警统计信息告警生产后，被送到FOUNDRYIRONVIEW的事件管理器。事件管理器是一个应用程序，负责按时间顺序显示所有告警。事件管理器中的每一条记录包括：告警时间，告警源，告警级别及告警内容。除告警外，事件管理器也记录网络中发生的所有事件。FOUNDRY网管系统提供强大的计费管理功能。计费管理分为三级：原始计费数据收集，记费系统(BillingSystem)是一台专用的计算机，用于产生记费记录。记费系统用SQL程序从数据库中提取记费数据，并将它们转换成记费格式，通常是AMA格式。记费系统同时也缓存有用户信息，如用户姓名，单位，地址和电话等。将记费信息和用户信息结合在一起，记费系统产生每个月寄给用户的帐单。随着CoS/QoS和Multicast等第三（网络）层增强服务的引入，对服务提供商来讲，一套能同时产生、集成、合并和处理细致的IP统计信息的解决方案或系统是至关重要的，有了这套系统，服务提供商不但可实现灵活的IPAccounting(IP计费)和Billing(收费)，而且可以实现网络的规划和对网络的监控。FOUNDDRYIRONVIEW并不能直接生成账单,真正实时的计费系统由于专用价格都很高，比如PORTAL，SOLECT，BELLE等。FOUNDRYIRONVIEW也不是一个系统管理软件，可以管理到网络上的任何设备，它只是用来管理FOUNDRY产品，系统管理软件有IBMTIVOLI和CA的UNICENTER。目前我们不建议采用实时计费系统和系统管理软件，因为投资实在太大，回报期太长，可以在业务开展到一定规模，确实有需要时考虑购买。