教育強(qiáng)區(qū)信息化的阿喀琉斯之踵
隨著教育信息化的發(fā)展越來(lái)越深入，教學(xué)、科研機(jī)構(gòu)對(duì)于更多網(wǎng)絡(luò)資源的需求，以及數(shù)字化管理的需要，引發(fā)了數(shù)字化校園的建設(shè)高潮。同時(shí)校園數(shù)字化又促進(jìn)了教學(xué)科研水平的提高與信息的共享。南山區(qū)目前是深圳市的教育、文化中心，不僅匯集了深圳市的主要高等院校，還有數(shù)量眾多的教育教學(xué)機(jī)構(gòu)。雖然各教育單位自身的信息化水平較高，但是目前并沒(méi)有形成一個(gè)互聯(lián)互通、信息共享、統(tǒng)一部署、統(tǒng)一管理的格局，這種現(xiàn)狀不僅與南山區(qū)教育強(qiáng)區(qū)的形象并不符合，而且猶如阿喀琉斯之踵一般潛在制約著南山區(qū)教育的發(fā)展。因此，建設(shè)一張覆蓋全區(qū)教育教學(xué)機(jī)構(gòu)的信息網(wǎng)絡(luò)已經(jīng)迫在眉睫。
中興通訊的網(wǎng)絡(luò)建設(shè)整體處方
南山區(qū)電子政務(wù)外網(wǎng)采用萬(wàn)兆以太網(wǎng)技術(shù)構(gòu)建，具有豐富的光纖資源，并且萬(wàn)兆以太網(wǎng)絡(luò)技術(shù)的應(yīng)用已經(jīng)十分成熟，因此本次教育信息網(wǎng)絡(luò)依然采用萬(wàn)兆以太技術(shù)。在業(yè)務(wù)層面，利用MPLS VPN把政務(wù)外網(wǎng)業(yè)務(wù)和教育信息網(wǎng)業(yè)務(wù)安全隔離。
由于考慮到原有政務(wù)外網(wǎng)2臺(tái)核心交換機(jī)的負(fù)載壓力已經(jīng)很大，承載了較多的業(yè)務(wù)，因此需要在區(qū)委核心機(jī)房另外增加1臺(tái)核心交換機(jī)，負(fù)責(zé)街道新增匯聚交換機(jī)業(yè)務(wù)的匯聚，并與原有2臺(tái)核心形成流量負(fù)載分擔(dān)和冗余備份，增強(qiáng)核心層的安全性；同時(shí)，為今后其他業(yè)務(wù)的上線提供預(yù)留的設(shè)備容量和板卡槽位。
各街道新增匯聚層萬(wàn)兆路由交換機(jī)和原有的交換機(jī)采用2GE鏈路互聯(lián)，采用兩種冗余備份方式，第一：采用策略路由實(shí)現(xiàn)熱備份，同時(shí)實(shí)現(xiàn)負(fù)載均衡，分擔(dān)流量；第二：開(kāi)啟VRRP協(xié)議進(jìn)行冷備份。互為備份提高匯聚層的安全性和可靠性，解決原有的單點(diǎn)故障的隱患。新增街道匯聚交換機(jī)采用4芯光纖上行到區(qū)委新增核心交換機(jī)，萬(wàn)兆鏈路作為主鏈路，再采用一條千兆光纖作為備用鏈路。今后其他應(yīng)用系統(tǒng)網(wǎng)絡(luò)上線需要時(shí)，在街道辦事處再增加1臺(tái)匯聚交換機(jī)構(gòu)成環(huán)網(wǎng)，同時(shí)街道匯聚交換機(jī)到區(qū)委核心交換機(jī)增加為雙萬(wàn)兆鏈路互聯(lián)。
在24所學(xué)校各新增一臺(tái)核心路由交換機(jī)，實(shí)現(xiàn)各學(xué)校的統(tǒng)一管理與部署。一些老、舊的接入層交換機(jī)也進(jìn)行替換，特別是在接入層交換機(jī)建議支持ACL功能，增強(qiáng)接入網(wǎng)絡(luò)的安全性。
建議在匯聚層，即每個(gè)街道辦各增加1臺(tái)萬(wàn)兆MPLS路由交換機(jī)，采用萬(wàn)兆鏈路上行到區(qū)委新增的核心交換機(jī)上，光纖采用各街道辦事處到區(qū)委的24芯光纖中的4芯。本次推薦采用中興通訊ZXR10 T64G萬(wàn)兆MPLS路由交換機(jī)，該款設(shè)備采用基于多處理器分布式處理機(jī)制和Crossbar空分交換結(jié)構(gòu)的體系結(jié)構(gòu)，具備480Gbps的交換容量和357Mpps包轉(zhuǎn)發(fā)率；關(guān)鍵模塊均采用1:1冗余備份；可提供10GE、GE、FE等各種豐富的接口模塊，并全面支持IPv4、IPv6、MPLS、NAT、組播、QoS、帶寬控制。全面支持二、三層MPLS VPN；持VRRP/STP/RSTP/MSTP/LACP多種網(wǎng)絡(luò)可靠性保護(hù)技術(shù)。組網(wǎng)方案如下圖所示：
圖1 南山區(qū)教育信息網(wǎng)整體拓?fù)鋱D
圖2 教育信息網(wǎng)數(shù)據(jù)分流方式
方案閃光點(diǎn)：
1、數(shù)據(jù)網(wǎng)絡(luò)對(duì)MPLS的支持：MPLS VPN業(yè)務(wù)部署方案
對(duì)于南山教育信息網(wǎng)絡(luò)，建議采用三層MPLS VPN技術(shù)，在這個(gè)統(tǒng)一網(wǎng)絡(luò)上，可以劃分出多個(gè)MPLS VPN，每個(gè)VPN承載一種應(yīng)用業(yè)務(wù)，這樣就實(shí)現(xiàn)了對(duì)不同業(yè)務(wù)的分離以及實(shí)施不同的優(yōu)先級(jí)和Qos策略。建議采用教育局核心交換機(jī)、區(qū)委新增核心交換機(jī)作為P設(shè)備，街道作為PE設(shè)備，各學(xué)校核心交換機(jī)作為CE設(shè)備，具體規(guī)劃如下圖：
圖3 MPLS VPN流量規(guī)劃
CE作為客戶邊緣設(shè)備，是客戶站點(diǎn)中連接骨干網(wǎng)絡(luò)的路由器或者交換機(jī)；VPN 業(yè)務(wù)的由PE設(shè)備實(shí)現(xiàn)。為了將一個(gè)VPN 的路由與其它VPN 的路由進(jìn)行分離，PE為每個(gè)VPN 生成了一個(gè)分離的路由／轉(zhuǎn)發(fā)實(shí)例（VRF）。PE 路由器為每個(gè)有CE 路由器連接的VPN 生成一個(gè)VRF 表。任何屬于VPN 的客戶和站點(diǎn)只能訪問(wèn)這個(gè)VPN的VRF 表。用戶接入MPLS VPN后，每個(gè)VPN用戶站點(diǎn)提供一個(gè)或多個(gè)CE與骨干網(wǎng)的PE連接，將連結(jié)PE-CE的物理接口、邏輯接口、甚至L2TP/IPSec隧道綁定到VRF上。在BGP/MPLS三層VPN網(wǎng)絡(luò)中，通過(guò)VPN的Route Target屬性來(lái)控制VPN路由信息在各Site 之間的發(fā)布和接收。VPN Export Route Target和Import Route Target的設(shè)置相互獨(dú)立，并且可以通過(guò)設(shè)置多個(gè)值，可以實(shí)現(xiàn)靈活的VPN間的互訪控制，通過(guò)這種方式可靈活的實(shí)現(xiàn)教育網(wǎng)用戶對(duì)于公共政務(wù)網(wǎng)資源的訪問(wèn)。
CE上啟用靜態(tài)路由協(xié)議或RIP,OSPF,BGP等動(dòng)態(tài)路由協(xié)議，并將相關(guān)的本地VPN路由信息傳送到PE上，PE根據(jù)VPN配置將路由信息映射到不同的VRF表中，打上標(biāo)識(shí)，并通過(guò)IBGP協(xié)議與其他PE交換VPN路由信息。
IP數(shù)據(jù)包從CE設(shè)備發(fā)送至PE設(shè)備，PE設(shè)備根據(jù)VPF信息為數(shù)據(jù)包打上內(nèi)網(wǎng)標(biāo)簽(用于標(biāo)示VPN)，再打上外網(wǎng)標(biāo)簽（用于MPLS網(wǎng)絡(luò)的標(biāo)簽交換），發(fā)送給P設(shè)備，P設(shè)備根據(jù)外網(wǎng)標(biāo)簽進(jìn)行轉(zhuǎn)發(fā)，在倒數(shù)第二跳時(shí)彈出外網(wǎng)標(biāo)簽，到達(dá)目的PE后，該P(yáng)E根據(jù)自己的VRF轉(zhuǎn)發(fā)表項(xiàng)確定轉(zhuǎn)發(fā)端口，去掉內(nèi)網(wǎng)標(biāo)簽，將IP數(shù)據(jù)報(bào)文發(fā)給相應(yīng)的CE。
在組建BGP/MPLS VPN 網(wǎng)絡(luò)時(shí)，在每個(gè)PE 路由器上必須運(yùn)行MP-BGP ( MPLS VPN 中PE之間使用MP-BGP）在PE 之間進(jìn)行VPN 路由的學(xué)習(xí)和通告，MP-BGP繼承了BGP 協(xié)議要求在同一個(gè)路由域中運(yùn)行IBGP 的對(duì)等體之間進(jìn)行全連接以在路由域內(nèi)通告BGP 路由，當(dāng)VPN 中的PE 數(shù)量很大時(shí)，這種IBGP 全連接的數(shù)量會(huì)很大，有嚴(yán)重的N 平方問(wèn)題和可擴(kuò)展性問(wèn)題，為了改善這種狀況，可以使用路由反射器來(lái)解決；但本次項(xiàng)目PE數(shù)量較少，無(wú)需指定路由反射器。
2、 數(shù)據(jù)網(wǎng)絡(luò)對(duì)IPV6的支持
隨著國(guó)家教育部組織全國(guó)100所重點(diǎn)院校接入CERNET2網(wǎng)絡(luò)，高校校園網(wǎng)首先推行向IPv6網(wǎng)過(guò)渡已是必然的趨勢(shì)。而學(xué)校積極主動(dòng)地應(yīng)對(duì)IPv6，有利于提升學(xué)校的應(yīng)用水平和科研水平，并為IPv6的真正大規(guī)模部署做好必要的技術(shù)儲(chǔ)備。現(xiàn)有的IPv4網(wǎng)絡(luò)是一個(gè)巨大的網(wǎng)絡(luò)，只有是保護(hù)已有投資基礎(chǔ)上的IPv6部署才是一個(gè)好的部署方案。網(wǎng)絡(luò)中的不同設(shè)備分別在不同的層次上。在部署IPv6時(shí)，要避免對(duì)已有的設(shè)備浪費(fèi)，避免影響已有的用戶和網(wǎng)絡(luò)，保護(hù)已有投資。IPv6的業(yè)務(wù)是影響IPv6應(yīng)用的一個(gè)重要因素。在部署IPv6設(shè)備時(shí)，要保證已有的IP業(yè)務(wù)，使得其平滑的過(guò)渡到IPv6的網(wǎng)絡(luò)中。另外，在開(kāi)發(fā)IPv6的設(shè)備的同時(shí)，應(yīng)該開(kāi)展IPv6業(yè)務(wù)的研究。IPv6和IPv4間良好的過(guò)渡機(jī)制也會(huì)方便IPv6的部署。在開(kāi)發(fā)和研究IPv6的設(shè)備時(shí)，應(yīng)該提供完善的過(guò)渡機(jī)制，盡可能的方便IPv4和IPv6之間的訪問(wèn)。根據(jù)上述因素，對(duì)IPv6的部署應(yīng)該從邊緣開(kāi)始逐步過(guò)渡到核心，要提供平滑的網(wǎng)絡(luò)過(guò)渡策略。因此，建議本次教育信息的核心、匯聚設(shè)備支持IPv6，以及v4／v6過(guò)渡策略。
根據(jù)本次南山區(qū)教育信息網(wǎng)的具體情況以及業(yè)務(wù)規(guī)劃，對(duì)IPV6的部署可遵循如下原則：
采取逐步過(guò)渡的策略，初期可考慮小范圍部署IPv6試驗(yàn)網(wǎng)，將IPv6試驗(yàn)網(wǎng)直接接入核心交換機(jī)，在IPv6網(wǎng)絡(luò)和現(xiàn)有的IPv4網(wǎng)絡(luò)之間通過(guò)核心交換機(jī)實(shí)現(xiàn)雙棧路由，實(shí)現(xiàn)兩個(gè)網(wǎng)絡(luò)的互通。
教育信息網(wǎng)中考慮到各過(guò)渡方式的優(yōu)缺點(diǎn)，建議采用IPv4/IPv6雙棧過(guò)渡策略。用戶接入重點(diǎn)采用雙棧方式，在初期也可采用隧道方式，然后逐漸過(guò)渡到雙棧方式。
中興通訊作為國(guó)內(nèi)最大的通訊設(shè)備提供商和方案提供商為IPv6網(wǎng)絡(luò)提供了全面的解決方案。
根據(jù)教育網(wǎng)的實(shí)際情況，中興通訊給出如下幾種IPv6實(shí)驗(yàn)網(wǎng)解決方案：
根據(jù)上面的分析，中興通訊推薦先建IPv6實(shí)驗(yàn)網(wǎng)后改造整個(gè)網(wǎng)絡(luò)的建網(wǎng)思路。
•建網(wǎng)思路：
這種實(shí)驗(yàn)網(wǎng)的主要目的是驗(yàn)證網(wǎng)絡(luò)過(guò)渡中可能的幾種應(yīng)用，同時(shí)驗(yàn)證教育的各種業(yè)務(wù)移植是否有問(wèn)題。應(yīng)當(dāng)首選以路由器為主要設(shè)備進(jìn)行組網(wǎng)；一方面路由器以網(wǎng)絡(luò)處理器或通用CPU為硬件平臺(tái)，具有靈活升級(jí)的能力，便于校園網(wǎng)業(yè)務(wù)的隨時(shí)開(kāi)發(fā)隨時(shí)升級(jí)。另一方面，路由器功能齊全，接口豐富，便于驗(yàn)證各種應(yīng)用。中興通訊推出2種方案。
方案1 :簡(jiǎn)單實(shí)用，投資小，適合普通院校計(jì)劃投資資金較少的項(xiàng)目。可滿足1000以下用戶的接入如下圖：
圖4 IPv6實(shí)驗(yàn)網(wǎng)解決方案 1
方案2 : 增加匯聚層，由匯聚交換機(jī)完成IPv6用戶之間互訪的路由交換。適合稍大型的IPv6實(shí)驗(yàn)網(wǎng)的建設(shè)。比如：IPv6網(wǎng)絡(luò)實(shí)驗(yàn)樓，實(shí)驗(yàn)區(qū)等。可滿足1000－5000用戶的接入如下圖：
圖5 IPv6實(shí)驗(yàn)網(wǎng)解決方案 2
如圖：本實(shí)驗(yàn)網(wǎng)方案可以實(shí)現(xiàn)以下幾種數(shù)據(jù)的交互。
•本地IPv6用戶通過(guò)IPv6實(shí)驗(yàn)網(wǎng)絡(luò)訪問(wèn)外部IPv6用戶
方案說(shuō)明：普通的IPV6包轉(zhuǎn)發(fā)功能，只需要在GER上起普通的IPv6協(xié)議，完成IPv6的數(shù)據(jù)包轉(zhuǎn)發(fā)。
•本地IPv6用戶通過(guò)ipv4網(wǎng)絡(luò)訪問(wèn)外部ipv4用戶
方案說(shuō)明：GER起NAT-PT功能，實(shí)現(xiàn)內(nèi)部IPv6用戶通過(guò)v4網(wǎng)絡(luò)訪問(wèn)外部ipv4用戶。
•本地IPv6用戶通過(guò)IPv4網(wǎng)絡(luò)訪問(wèn)外部IPv6孤島用戶
方案說(shuō)明：通過(guò)在GER路由器上配置６to４BGP隧道，或直接通過(guò)配手工配置（６in 4 ）的隧道, 或在GER上配GRE 隧道，均可實(shí)現(xiàn)，看實(shí)際應(yīng)用需求。
•外部ipv4用戶通過(guò)v4網(wǎng)絡(luò)訪問(wèn)內(nèi)部IPv6站點(diǎn)
方案說(shuō)明：GER起NAT-PT功能，實(shí)現(xiàn)內(nèi)部IPv6用戶通過(guò)v4網(wǎng)絡(luò)訪問(wèn)外部ipv4用戶。
•外部IPv6孤島用戶通過(guò)v4網(wǎng)絡(luò)訪問(wèn)內(nèi)部IPv6站點(diǎn)
方案說(shuō)明：通過(guò)在GER路由器上配置６ｔｏ４隧道，或直接通過(guò)配手工配置（６in 4 ）的隧道, 或在GER上配GRE 隧道，均可實(shí)現(xiàn)，看實(shí)際應(yīng)用需求。
•外部IPv6用戶通過(guò)v6網(wǎng)絡(luò)訪問(wèn)內(nèi)部IPv6站點(diǎn)
方案說(shuō)明：普通的IPV6包轉(zhuǎn)發(fā)功能，只需要在GER上起普通的IPv6協(xié)議，完成IPv6的數(shù)據(jù)包轉(zhuǎn)發(fā)
•本校園網(wǎng)IPv4用戶通過(guò)IPv6網(wǎng)絡(luò)訪問(wèn)外部IPv6用戶。
方案說(shuō)明： 本校園網(wǎng)IPv4用戶訪問(wèn)外部IPv6用戶，可以在GER路由器上起NAT-PT業(yè)務(wù)，
•本校園網(wǎng)IPv4用戶和IPv6實(shí)驗(yàn)網(wǎng)用戶之間實(shí)現(xiàn)互訪。
圖6 IPv6實(shí)驗(yàn)網(wǎng)功能描述
針對(duì)南山教育信息網(wǎng)的路由規(guī)劃方案
路由協(xié)議部署建議
基于對(duì)于南山教育信息網(wǎng)絡(luò)和路由協(xié)議分析，中興通訊建議南山教育信息網(wǎng)絡(luò)使用OSPF的路由協(xié)議進(jìn)行規(guī)劃。OSPF非常適于中型、大型網(wǎng)絡(luò)的組網(wǎng)，擴(kuò)展性好，也是當(dāng)今網(wǎng)絡(luò)規(guī)劃中被廣泛使用的設(shè)計(jì)方法。
下面是南山教育信息網(wǎng)絡(luò)路由的設(shè)計(jì)方案。
1、采用OSPF區(qū)域分層設(shè)計(jì)思想，教育局核心到街道匯聚交換機(jī)劃分為OSPF骨干區(qū)域（BACKBONE）。
2、非骨干OSPF區(qū)域包含：每個(gè)街道辦與其下面連接的各學(xué)校核心設(shè)備。其中，area1為教育局的局域網(wǎng)，8個(gè)街道辦分別為area2- area9。
