河南油田通信網(wǎng)絡(luò)升級(jí)改造方案設(shè)計(jì)

馬鋒

（河南石油勘探局通信公司 河南 南陽 473083）

隨著光纖入戶步伐的加快和寬帶網(wǎng)絡(luò)技術(shù)日新月異的發(fā)展，人們對網(wǎng)絡(luò)的需求也由語言變?yōu)閷?shù)據(jù)、圖像、語音的綜合需求，利用網(wǎng)絡(luò)實(shí)現(xiàn)多媒體通信、高速INTERNET接入、IP電話、視頻點(diǎn)播、網(wǎng)上求醫(yī)等已成為人們生活的一部分。如何對原來網(wǎng)絡(luò)進(jìn)行升級(jí)改造，提升網(wǎng)絡(luò)的業(yè)務(wù)能力，做到安全可靠、技術(shù)先進(jìn)、經(jīng)濟(jì)實(shí)用，適應(yīng)人們之所需的目標(biāo)是業(yè)界探索的重點(diǎn)目標(biāo)。下面將介紹本人從實(shí)際工作中設(shè)計(jì)出河南油田通信網(wǎng)絡(luò)升級(jí)改造方案。

1 研究背景

1.1 油田通信網(wǎng)絡(luò)現(xiàn)狀

油田轄區(qū)內(nèi)共有住戶3萬余戶，住宅小區(qū)近30個(gè)。建有3個(gè)通信站、9個(gè)模塊局，以各個(gè)通信站和模塊局為中心，采用以太網(wǎng)技術(shù)組建了大部分住宅小區(qū)計(jì)算機(jī)網(wǎng)絡(luò)，采用以太網(wǎng)技術(shù)和ADSL技術(shù)組建了部分住宅小區(qū)計(jì)算機(jī)網(wǎng)絡(luò)。采用以太網(wǎng)技術(shù)組建的計(jì)算機(jī)網(wǎng)絡(luò)始建于2001年，以各個(gè)通信站和模塊局為中心，通過光纜到小區(qū)，光纜到樓，在小區(qū)和各個(gè)住宅樓設(shè)置網(wǎng)絡(luò)交換機(jī)，實(shí)現(xiàn)了桌面10/100 Mpbs速率，小區(qū)干線百兆速率的接入。小區(qū)的匯聚交換機(jī)以百兆速率接入核心交換機(jī)，多臺(tái)交換機(jī)連接時(shí)采用級(jí)聯(lián)方式，樓棟接入層交換機(jī)大多為二層以下的“傻瓜”交換機(jī)，用戶隔離功能弱，容易造成廣播風(fēng)暴，影響網(wǎng)絡(luò)速度。油田的ADSL寬帶接入系統(tǒng)是在2002年建成投運(yùn)，在各個(gè)通信站和模塊局設(shè)有ADSL接入設(shè)備DSLAM，分別通過百兆光纖匯聚到通信大樓的核心交換機(jī)上，再接入INTERNET。該系統(tǒng)是基于IP組網(wǎng)方式，并與油田的辦公LAN實(shí)現(xiàn)了聯(lián)網(wǎng)。

目前住宅小區(qū)建設(shè)的計(jì)算機(jī)網(wǎng)絡(luò)信息機(jī)房通過2個(gè)1G通道與internet連接。在信息機(jī)房內(nèi)配置出口路由器、核心交換機(jī)、流量控制系統(tǒng)、日志系統(tǒng)等；其中路由器為華為NE40，NAT板最大轉(zhuǎn)換速率為千兆級(jí)，核心交換機(jī)2臺(tái)，2臺(tái)交換機(jī)均為千兆級(jí)交換機(jī)。整個(gè)網(wǎng)絡(luò)系統(tǒng)無認(rèn)證系統(tǒng)和網(wǎng)管系統(tǒng)，對用戶和設(shè)備的管理均為人工方式，用戶開戶，靠綁定用戶IP地址與MAC地址，人工操作輸入。

網(wǎng)絡(luò)現(xiàn)狀組網(wǎng)拓?fù)鋱D如圖1所示。

1.2 存在問題

1）網(wǎng)絡(luò)平臺(tái)落后，系統(tǒng)配置不完善

目前通信公司網(wǎng)絡(luò)2臺(tái)核心交換機(jī)均為千兆級(jí)別，且設(shè)備老化嚴(yán)重，性能較差，數(shù)據(jù)轉(zhuǎn)發(fā)能力低；2臺(tái)核心交換機(jī)均為單鏈路上聯(lián)路由器和下聯(lián)匯聚交換機(jī)，容易造成網(wǎng)絡(luò)單鏈故障，影響大面積用戶使用網(wǎng)絡(luò)。

系統(tǒng)中無網(wǎng)管系統(tǒng)、認(rèn)證系統(tǒng)等，設(shè)備的管理采用人工本地處理，效率低，發(fā)現(xiàn)故障滯后，且管理人員不能清楚的知道網(wǎng)絡(luò)的當(dāng)前使用狀況，缺乏網(wǎng)絡(luò)管理信息；用戶控制采用IP和MAC綁定方式，對用戶身份的合法性無法確認(rèn)，無法精細(xì)的進(jìn)行網(wǎng)絡(luò)隔離，容易造成廣播風(fēng)暴影響用戶業(yè)務(wù)。網(wǎng)絡(luò)安全系統(tǒng)配置較弱，抗網(wǎng)絡(luò)風(fēng)險(xiǎn)能力較差。流控系統(tǒng)配置單一，對流量限制功能較差，無法完全對用戶上網(wǎng)速率進(jìn)行動(dòng)態(tài)分配，造成部分用戶大量搶占帶寬，影響其他用戶正常使用網(wǎng)絡(luò)。

圖1 網(wǎng)絡(luò)現(xiàn)狀組網(wǎng)拓?fù)鋱DFig.1 Internet network topology

2）網(wǎng)絡(luò)出口相關(guān)設(shè)備缺少，出口干線帶寬緊張。

目前通信公司的網(wǎng)絡(luò)通過2個(gè)1G通道與internet連接，而在出口設(shè)備配置上僅配了1臺(tái)路由器，且NAT板最大也是千兆級(jí)，性能低，處理能力差；未配緩存設(shè)備，使INTERNET上的信息無法在本地存儲(chǔ)，造成多用戶訪問同一個(gè)信息時(shí)，均要出局，占用干線帶寬，使干線帶寬利用率減低，造成干線擁擠。

3）匯聚層、接入層網(wǎng)絡(luò)交換設(shè)備配置低。

4）網(wǎng)絡(luò)設(shè)備不統(tǒng)一，型號(hào)繁雜，無法實(shí)現(xiàn)統(tǒng)一網(wǎng)管。

當(dāng)前通信公司的網(wǎng)絡(luò)設(shè)備從核心層到匯聚層、接入層，網(wǎng)絡(luò)設(shè)備有思科、華為、中興等多個(gè)廠商的產(chǎn)品，且同一個(gè)廠商的產(chǎn)品有些不具有網(wǎng)管功能，同時(shí)網(wǎng)絡(luò)中心也未配網(wǎng)管系統(tǒng)，無法實(shí)現(xiàn)遠(yuǎn)程設(shè)備和用戶管理、診斷、維護(hù)。

2 建設(shè)目標(biāo)

更新升級(jí)通信公司現(xiàn)有網(wǎng)絡(luò)平臺(tái)，由千兆平臺(tái)升級(jí)為萬兆網(wǎng)絡(luò)平臺(tái)，更新整合路由、防火墻、核心交換設(shè)備；新建緩存系統(tǒng)；新建認(rèn)證、網(wǎng)絡(luò)管理系統(tǒng)等。升級(jí)改造小區(qū)匯聚層、樓棟接入層設(shè)備，實(shí)現(xiàn)網(wǎng)絡(luò)遠(yuǎn)程管理，提高網(wǎng)絡(luò)管理水平。

3 方案設(shè)計(jì)

根據(jù)計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)發(fā)展趨勢和油田計(jì)算機(jī)網(wǎng)絡(luò)的現(xiàn)狀及存在的問題，采用成熟的網(wǎng)絡(luò)構(gòu)架[1]，升級(jí)改造現(xiàn)有的網(wǎng)絡(luò)系統(tǒng)，實(shí)現(xiàn)網(wǎng)絡(luò)平滑對接，系統(tǒng)整體升級(jí)。

3.1 網(wǎng)絡(luò)構(gòu)架

網(wǎng)絡(luò)建設(shè)采用分層思想，分接入層、匯聚層、核心層[2]三個(gè)層次，新建網(wǎng)絡(luò)核心與原有網(wǎng)絡(luò)平滑對接，實(shí)現(xiàn)網(wǎng)絡(luò)整體升級(jí)。網(wǎng)絡(luò)組網(wǎng)拓?fù)鋱D如圖2所示。

圖2 網(wǎng)絡(luò)組網(wǎng)拓?fù)鋱DFig.2 Internet network topology

核心層：主要實(shí)現(xiàn)網(wǎng)絡(luò)內(nèi)部之間和與Internet之間的流量高速轉(zhuǎn)發(fā)和可靠連接；在網(wǎng)絡(luò)出口實(shí)現(xiàn)從網(wǎng)絡(luò)層防護(hù)到應(yīng)用層防護(hù)的一體化防護(hù)；實(shí)現(xiàn)流量的分析和控制，及INTENET數(shù)據(jù)本地化，提高網(wǎng)絡(luò)速率；通過認(rèn)證和網(wǎng)管系統(tǒng)，實(shí)現(xiàn)用戶授權(quán)管理和設(shè)備遠(yuǎn)程管理、維護(hù)。

匯聚層：主要實(shí)現(xiàn)核心設(shè)備和與接入設(shè)備之間的流量高速轉(zhuǎn)發(fā)，提供可靠、穩(wěn)定、安全的高速數(shù)據(jù)轉(zhuǎn)發(fā)。

接入層：主要實(shí)現(xiàn)接入設(shè)備和與匯聚設(shè)備之間的流量高速轉(zhuǎn)發(fā)并提供高密度的用戶端口。

3.2 核心層設(shè)計(jì)

針對油田網(wǎng)絡(luò)的現(xiàn)狀和問題，本次網(wǎng)絡(luò)核心層的設(shè)計(jì)主要是更新出口路由器為防火墻[3]、更新核心交換機(jī)、新建緩存系統(tǒng)、認(rèn)證和網(wǎng)管系統(tǒng)等。

1）萬兆防火墻

系統(tǒng)設(shè)計(jì)：將現(xiàn)有路由器更換為2臺(tái)萬兆防火墻，作為到Internet的出口，上行方向采用GE與中國電信，中國網(wǎng)通運(yùn)營商網(wǎng)絡(luò)相連，使用NAT方式實(shí)現(xiàn)企業(yè)網(wǎng)用戶的Internet接入；下行方向與2臺(tái)核心交換機(jī)之間采用10GE線路相連，保證鏈路的高可靠性。

功能：用于實(shí)現(xiàn)與Internet之間的流量高速轉(zhuǎn)發(fā)，提供可靠、穩(wěn)定、安全的高速Internet連接。同時(shí)在網(wǎng)絡(luò)出口實(shí)現(xiàn)從網(wǎng)絡(luò)層防護(hù)到應(yīng)用層防護(hù)的一體化防護(hù)，對蠕蟲木馬、間諜程序、病毒、垃圾郵件等數(shù)據(jù)驅(qū)動(dòng)式攻擊進(jìn)行有效防御，同時(shí)也提供防止利用TCP/IP協(xié)議漏洞或缺陷發(fā)起的攻擊，具備將防火墻、防病毒、IDP、反垃圾郵件、VPN、內(nèi)容過濾等等[4]，大量的安全應(yīng)用功能企業(yè)可以使用較低的成本同時(shí)擁有多種網(wǎng)絡(luò)安全模塊，大大降低了企業(yè)在網(wǎng)絡(luò)安全方面的總體花費(fèi)。

2）核心交換機(jī)

系統(tǒng)配置：將現(xiàn)有千兆核心交換機(jī)（作為小區(qū)匯聚交換機(jī)利舊使用）更換為2臺(tái)萬兆核心交換機(jī)，分別通過10GE線路與出口防火墻互聯(lián)，并采用2GE鏈路捆綁方式與匯聚交換機(jī)互聯(lián)。設(shè)備本身采用雙主控板及雙電源冗余配置，提供設(shè)備的可靠性。

功能：兩臺(tái)萬兆核心交換機(jī)作為河南油田網(wǎng)絡(luò)的數(shù)據(jù)轉(zhuǎn)發(fā)核心；主要實(shí)現(xiàn)網(wǎng)絡(luò)內(nèi)部之間和與Internet之間的流量高速轉(zhuǎn)發(fā)，提供可靠、穩(wěn)定、安全的高速數(shù)據(jù)轉(zhuǎn)發(fā)；兩臺(tái)核心交換機(jī)之間采用CSS集群技術(shù)，實(shí)現(xiàn)雙機(jī)熱備和負(fù)載分擔(dān)[5]；提高鏈路帶寬和鏈路冗余。

3）緩存系統(tǒng)

系統(tǒng)設(shè)計(jì)：新建1套緩存系統(tǒng)，通過10GE接口與系統(tǒng)連接。

功能：緩存加速具備以下功能：P2P緩存加速、在線視頻緩存加速、HTPP緩存加速。通過對對出網(wǎng)流量進(jìn)行分析、調(diào)度，引導(dǎo)用戶訪問本地資源，降低出口流量，減少出口帶寬壓力，提高用戶互聯(lián)網(wǎng)體驗(yàn)，增加互聯(lián)網(wǎng)帶寬利用率的目的。

4）認(rèn)證、網(wǎng)管系統(tǒng)

系統(tǒng)設(shè)計(jì)：配置認(rèn)證系統(tǒng)1套，包括服務(wù)器1臺(tái)、終端設(shè)備1臺(tái)及軟件，在網(wǎng)絡(luò)核心側(cè)掛BRAS設(shè)備，利用BRAS和Radius認(rèn)證方式[6]，對接入用戶動(dòng)態(tài)分配帶寬，實(shí)現(xiàn)接入用戶的認(rèn)證、計(jì)費(fèi)和管理。配置網(wǎng)管系統(tǒng)1套，包括服務(wù)器1臺(tái)、終端設(shè)備1臺(tái)及軟件，實(shí)現(xiàn)對企業(yè)資源、業(yè)務(wù)、用戶的統(tǒng)一管理以及智能聯(lián)動(dòng)。

功能：通過認(rèn)證系統(tǒng)，對用戶的認(rèn)證信息進(jìn)行認(rèn)證，根據(jù)認(rèn)證結(jié)果對用戶進(jìn)行相應(yīng)的授權(quán)，并根據(jù)計(jì)費(fèi)規(guī)則對用戶進(jìn)行計(jì)費(fèi)管理。通過網(wǎng)管系統(tǒng)，提供靈活的開放網(wǎng)管平臺(tái)，在網(wǎng)絡(luò)資源管理的基礎(chǔ)上實(shí)現(xiàn)了拓?fù)洹⒐收?、性能、配置、安全等管理功能，而且還可以作為其他業(yè)務(wù)管理組件的承載平臺(tái)，共同實(shí)現(xiàn)管理的深入融合聯(lián)動(dòng)。軟件通過流程向?qū)У姆绞礁嬖V用戶如何使用功能，為用戶提供了精細(xì)化的管理。同時(shí)對網(wǎng)絡(luò)流量、接入認(rèn)證角色等進(jìn)行智能分析，自動(dòng)調(diào)整網(wǎng)絡(luò)控制策略，全方位保證企業(yè)網(wǎng)絡(luò)安全

5）日志系統(tǒng)

系統(tǒng)設(shè)計(jì)：在通信公司網(wǎng)絡(luò)機(jī)房配置1套網(wǎng)絡(luò)行為管理系統(tǒng)，包括硬件和軟件，通過多路透明橋接部署在防火墻與核心交換之間，對所有的上網(wǎng)行為進(jìn)行記錄和流控，該系統(tǒng)為10G平臺(tái)，支持萬兆流量的穿透、分析和策略管理。支持上行10G、下行10G的處理性能。

功能：對于內(nèi)網(wǎng)寬帶用戶訪問各種網(wǎng)頁的行為進(jìn)行細(xì)致的訪問控制，有效管理用戶上網(wǎng)，同時(shí)對P2P軟件進(jìn)行有效管控，并且對P2P行為嚴(yán)重吞噬帶寬資源的問題，提供流量控制功能。網(wǎng)絡(luò)訪問控制功能，可以基于用戶/用戶組、基于時(shí)間段、基于不同的目標(biāo)行為進(jìn)行靈活權(quán)限控制。

具有完善的訪問記錄和監(jiān)控功能能夠有效防止信息通過Internet泄漏，對于BBS、論壇發(fā)帖，根據(jù)關(guān)鍵字進(jìn)行過濾，能全面記錄發(fā)布的內(nèi)容；內(nèi)網(wǎng)寬帶用戶訪問的URL地址、網(wǎng)頁標(biāo)題、甚至整個(gè)網(wǎng)頁內(nèi)容，能夠完全監(jiān)控和記錄等。針對不同的用戶、用戶組，通過數(shù)據(jù)簡單的勾選，即可完成差異化的行為記錄功能，對于寬帶用戶每天的各種行為日志記錄，可滿足公安部82號(hào)令存儲(chǔ)至少60天的要求。

3.3 網(wǎng)絡(luò)匯聚、接入層設(shè)計(jì)

1）匯聚層設(shè)計(jì)

系統(tǒng)設(shè)計(jì)：更換小區(qū)現(xiàn)有匯聚交換機(jī)（利舊作為接入層使用），選用千兆匯聚交換機(jī)作為網(wǎng)絡(luò)的匯聚設(shè)備，通過GE鏈路與接入設(shè)備互聯(lián)，并采用2GE鏈路捆綁方式與2臺(tái)核心交換機(jī)互聯(lián)（利用已有光纜資源）。

功能：主要實(shí)現(xiàn)核心設(shè)備和與接入設(shè)備之間的流量高速轉(zhuǎn)發(fā)，提供可靠、穩(wěn)定、安全的高速數(shù)據(jù)轉(zhuǎn)發(fā)。支持二層和基本三層功能，通過鏈路冗余，實(shí)現(xiàn)業(yè)務(wù)負(fù)載分擔(dān)。匯聚設(shè)備具備冗余電源、鏈路聚合等實(shí)用功能，并支持豐富路由協(xié)議，規(guī)劃實(shí)施負(fù)載分擔(dān)增強(qiáng)了網(wǎng)絡(luò)的適應(yīng)性和可靠性，保障了網(wǎng)絡(luò)的全天候穩(wěn)定運(yùn)行。支持核IPv4、IPv6雙協(xié)議棧，面向下一代網(wǎng)絡(luò)的平滑過渡；匯聚GE/10G帶寬，適應(yīng)萬兆骨干，千兆接入的發(fā)展趨勢保證核心網(wǎng)絡(luò)的數(shù)據(jù)交換帶寬。

2）接入層設(shè)計(jì)

系統(tǒng)設(shè)計(jì)：更換小區(qū)現(xiàn)有接入層交換機(jī)為網(wǎng)管型交換機(jī)，通過已有100 M鏈路接入?yún)R聚層交換機(jī)。

系統(tǒng)配置：主要實(shí)現(xiàn)接入設(shè)備和與匯聚設(shè)備之間的流量高速轉(zhuǎn)發(fā)并提供高密度的用戶端口。

3.4 輔助系統(tǒng)設(shè)計(jì)

1）核心層設(shè)備放置于通信公司機(jī)房，利舊已有機(jī)柜空間及供電接地系統(tǒng)。

2）匯聚層、接入層設(shè)備為更換，利舊已有機(jī)柜空間及供電接地系統(tǒng)。

4 結(jié)束語

本設(shè)計(jì)采用三層網(wǎng)絡(luò)構(gòu)架，設(shè)計(jì)中用防火墻替代路由器，更新核心交換機(jī)，建立了緩存、認(rèn)證和網(wǎng)管系統(tǒng)，充分利用原有的網(wǎng)絡(luò)資源，提高了性能價(jià)格比，實(shí)現(xiàn)對原網(wǎng)絡(luò)升級(jí)改造，進(jìn)而提升網(wǎng)絡(luò)的業(yè)務(wù)能力，適應(yīng)了網(wǎng)絡(luò)的發(fā)展方向，滿足了業(yè)界對網(wǎng)絡(luò)升級(jí)改造的三大目標(biāo)——安全可靠、技術(shù)先進(jìn)、經(jīng)濟(jì)實(shí)用。本設(shè)計(jì)建成后，經(jīng)過了三個(gè)月測試運(yùn)行，萬兆網(wǎng)絡(luò)平臺(tái)，緩存、認(rèn)證、網(wǎng)絡(luò)遠(yuǎn)程管理系統(tǒng)完全達(dá)到了系統(tǒng)設(shè)計(jì)要求，在網(wǎng)絡(luò)升級(jí)改造中上述方案是一個(gè)值得參考的設(shè)計(jì)方案。

[1]陳原子，徐習(xí)東.基于并行冗余網(wǎng)絡(luò)的數(shù)字化變電站通信網(wǎng)絡(luò)構(gòu)架[J].電力自動(dòng)化設(shè)備，2011（1）:105-108.CHEN Yuan-zi，XU Xi-dong.Communication network structure of digital substation based on parallel redundancy[J].Electric Power Automation Equipment，2011（1）:105-108.

[2]謝希仁.計(jì)算機(jī)網(wǎng)絡(luò)[M].6版.北京：電子工業(yè)出版社，2013.

[3]王玉堂.霧里看花，如何選擇真正的萬兆防火墻[J].信息安全與通信保密，2011（1）:40-41.WANG Yu-tang.Have a blurred vision，how to choice the real gigabit firewall[J].Information Security and Communications Privacy，2011（1）:40-41.

[4]徐振明，秦智，韓斌.組網(wǎng)工程[M].西安：西安電子科技大學(xué)出版社，2006.

[5]鄧杰，易小年.基于雙核心交換機(jī)熱備實(shí)現(xiàn)網(wǎng)絡(luò)及系統(tǒng)容災(zāi)[J].湖南電力，2006（s1）:62-65.DENG Jie，YI Xiao-nian.Based on the dual core switches heat disaster for realization of network and system[J].Hunan Electric Power，2006（s1）:62-65.

[6]陳琛，王賓，楊陽.城域數(shù)據(jù)網(wǎng)BRAS熱備技術(shù)和組網(wǎng)方案研究[J].郵電設(shè)計(jì)技術(shù)，2013（7）:72-74.CHEN Chen，WANG Bin，YANG Yang.Research on a realtime standby technique of BRAS in metropolitan area network and its networking solution[J].Designing Techniques of Posts and Telecommunications，2013（7）:72-74.