《高品质IP城域网解决方案——H3C.ppt》由会员分享，可在线阅读，更多相关《高品质IP城域网解决方案——H3C.ppt（54页珍藏版）》请在三一办公上搜索。
1、高品质IP 城域网解决方案,政府技术部,汇报提纲,高品质城域网的需求分析几种主要技术分析比较满足需求的解决方案建议RPR城域网应用案例,需求分析,整网线速的带宽需求满足的业务突发特性，为将来新型业务发展提供足够的带宽，确保在未来35年网络基础设施不过时。电信级的高可靠需求骨干网作为全网的核心必须能够提供极高的可靠性；为保证视讯等业务畅通，拓扑故障收敛速度必须实现满足毫秒级的故障倒换。完善的QoS需求语音、视频等数据流的特殊性决定了对网络QoS的要求特别敏感，特别是对于报文延时、抖动的要求很高，否则造成话音中断、监控画面的停顿、马赛克等现象。灵活简便的扩展需求骨干网络必须能够灵活方便的进行扩展，
2、可以很方便地进行接入网点扩展、根据业务变化进行网点接入归属调整等等。,多媒体组播的需求未来视讯等多媒体业务的部署要求骨干网能够支持可控组播。安全的需求根据业务特点实现隔离与互通，达到全网安全可控。可管理、可维护的需求设备管理维护是否简单方便，决定着网络能否通畅运行和降低日后无形成本的关键。技术先进性的需求确保采用的技术具有一定的先进性，且利于后续发展的标准性。,需求分析,VOIP IP视频 关键应用系统 组播,拓扑结构 MPLS VPN部署,端到端QOS 高可靠性 高安全性,SLA,99.999%,城域网的现状业务驱动网络,业务驱动网络,汇报提纲,高品质城域网的需求分析几种主要技术分析比较满足
3、需求的解决方案建议RPR城域网应用案例,技术分析比较,技术分析,当前三个主要的城域网技术：光城域网技术利用光传输网络直接承载IP/Ethernet，为上层的业务提供更有效的承载。IP城域网技术IP城域网指利用路由器组网，核心、汇聚节点之间利用POS端口互连。城域以太网技术城域以太网指利用 L2/L3交换机组网，节点之间利用裸光纤互连。,技术比较分析,传统SDH环网技术,优势1、可以提供10G环2、具有电信级可靠性标准3、能够比较方便的进行网络接入扩展，需要考虑端口扩展能力4、管理复杂，可维护性弱，需要专门的网管设备和人才不足1、无QoS保障技术，只能依赖路由接入汇聚设备完成2、带宽在节点间点到
4、点的链路中固定分配并保留；处理纯IP业务时，缺乏动态、公平分配带宽的机制；3、不支持组播。广播和组播报文将分成多个单播完成，浪费带宽；4、通常为实现保护机制，50%的带宽将保留，未能提供灵活的选择机制。5、不太适合IP传输，不支持组播，只能依赖接入和汇聚设备完成6、10G POS端口价格昂贵；7、需要单独配置传输管理平台，需要专门的维护人才，维护成本较高。,比较适合已经自备或者希望租用运营商SDH网络的用户,传统的SDH网络原来纯粹是为TDM服务的，其接口主要是E1/E3/STM1等，为接入网、交换机等设备提供点到点的互连，通过IP over SDH技术等方式也能提供数据业务，满足企业分支机构
5、间的专线互连等应用。,MSTP环网技术,技术比较分析,优势MSTP技术是一种过渡的技术方案，是对SDH技术的有限改进，它折衷解决了既需要传输TDM业务，又需要处理数据业务时的矛盾，适合支持以TDM业务为主的混合型业务。不足1、处理开销复杂和业务延时问题2、带宽与效率问题，为实现保护机制，50%的带宽将保留3、不支持组播。广播和组播报文将分成多个单播完成，浪费带宽；4、QoS保障问题，没有针对IP宽带业务提供相应的QoS保障技术，缺乏动态、公平分配带宽的机制：5、主要实现二层功能，缺少三层功能；6、业务更改较难，业务开通时间长；7、需要单独配置传输管理平台，需要专门的维护人才，维护成本较高。,M
6、STP比较适合已经铺设大量SDH网的运营公司,多业务传送平台(MSTP)由SDH/SONET改造而来。,IP城域网与城域以太网,技术比较分析,POS技术的缺点:只支持点到点连接，端口消耗大；POS端口价格贵；增加新平台需添加新接口或设备。,以太网的优势：带宽的灵活配置速率快速提供较高的灵活性提供多样服务承载协议丰富,城域以太网存在的缺陷：整网存在成为大局域网的危险，整网变成广播域。易受病毒影响，在整网传播。不能提供端到端的QoS保障。保护机制的自愈时间长，缺少有效的故障隔离的能力。城域以太网交换机组网通常采用双归形组网，浪费光纤资源。维护工作量加大,传统的城域以太网,技术比较分析,MAC in
7、 MAC：将用户的以太网数据帧再封装一个运营商的以太网帧头，形成两个MAC地址。其中用户的MAC地址存储在运营商的以太网帧中，核心网并不清楚，只根据运营商的MAC地址转发流量。PBT：在MAC in MAC封装的基础上，只需要作少量改动，关掉以太网的生成树和MAC学习功能，增强一些 OAM功能，利用现有以太网硬件就可以提供新的转发功能，将无连接的以太网改造为面向连接的隧道技术，提供具有类似SDH可靠性和管理能力的硬QoS和电信级性能的专用以太网链路，这就是所谓的PBT技术。PBT只是为用户提供了数据传送通道，存在下列问题：1、PBT的本质还是二层Ethernet技术，只适合运营商二层网络，不适
8、合行业专网的三层网络；2、PBT是一种点到点的技术，对点到多点业务，就会存在N平方问题，需要建立大量连接，增加管理难道，大量消耗设备资源；PBT在部署上必须采用网络资源管理系统，增加网络部署成本；3、PBT是一种新技术，在业界还没有应用案例，可实施性还没有得到有效验证。,PBT,技术比较分析,技术比较分析,RPR弹性分组环技术,以数据业务为主的，适合采用RPR技术组网,RPR（Resilient Packet Ring）是一种基于数据的媒体访问控制（MAC）的技术，集成了环形拓扑结构快速恢复性能和以太网高效、简单和低成本等优点。能嵌入MSTP并和MPLS、DWDM等技术结合在一起提供宽带多业务
9、平台。,RPR技术的特点环路带宽共享：限制数据流仅能在环上的源和目标之间的部分进行双向流动。公平分配：分布式的公平控制算法来实现各节点带宽的动态公平分配，保证各节点高优先级业务的传送，并实现低优先级业务的公平接入和带宽分配。50ms快速保护和恢复：不需要专门的保护带宽，充分利用环上的所有带宽。服务质量保障：可以对业务进行分级处理，保证环上重要和实时的业务。支持单播、组播和广播：在RPR环路上根据节点的RPR MAC地址完成单播、组播和广播数据业务的传送。维护简单方便,技术对比分析,技术比较分析,PBT技术本质上是二层Ethernet技术，其特点如表格中“Ethernet”所示。,技术比较分析,
10、技术对比分析,汇报提纲,高品质城域网的需求分析几种主要技术分析比较满足需求的解决方案建议RPR城域网应用案例,高品质IP 城域网解决方案,高品质IP 城域网解决方案,可靠组网,设备可靠链路可靠协议可靠,MPLS VPN,MPLS VPN实现各部门的纵向隔离和横向受控互访,端到端QOS,整网端到端QOS部署确保关键业务的服务质量,精细化管理,精细化管理降低网络故障风险，为网络优化提供科学依据,立体安全性,应用层安全防护确保关键数据可靠统一的安全管理设备自身安全防御,城域网方案建议,解决方案:万兆RPR城域网,10G RPR环网,SR8800,SR8800,SR8800,SR8800,SR8800
11、,SR8800,S7500E,S7500E,S7500E,S9512,S9512,S5600,S3600,数据中心,S3600,S3600,解决方案:RPR,城域网方案建议,故障自愈,Wrap绕回方式，在故障边节点处自动环回。特点：速度快，基本无数据丢失，缺点是浪费带宽。,H3C的IP环网综合两种倒换方式的优点，采取两者相结合的方式，先Wrapping后Steering，达到最优的保护性能。,A,B,C,D,E,F,A,B,C,D,E,F,A,B,C,D,E,F,正常情况下数据传送,故障顺利立即启用Wrap方式的保护,拓扑结构稳定后切换到Steering方式,Steering抄近方式，更改拓扑
12、，重新计算路由。特点：速度慢，带宽利用高，但可能有数据丢失。,链路正常时业务按照A-B-C-D转发。,高效的带宽利用,目的地址剥离：单播报文在目的点被剥离空间复用机制：非重叠复用和重叠复用两种带宽自动分配：RPR-Fa公平算法无冗余带宽：外环和内环互为备份，故障自愈无需类似APS的50%冗余带宽。广播和多播的支持：环上仅有一个拷贝，中间节点接收的同时传递到下一个节点，有源节点负责剥离。,非重叠复用独占最大带宽,重叠复用共享最大带宽,共享,空间复用机制,A,B,C,D,E,A,B,C,D,E,解决方案:RPR,城域网方案建议,公平算法 RPR-fa,A,B,C,D,拥塞,带宽共享，为提高带宽利用
13、率，建立公平机制 公平算法是全局的、基于整个环网级别的 通过监测流量、反压机制实现 带宽管理可保证高优先级数据和控制无阻塞 可通过设置节点的权重，实现加权公平,解决方案:RPR,城域网方案建议,即插即用节点删除,说明：将A、C接口的光纤断开，环将在A、C两处环回（B的两侧也将环回），业务不间断。将A、C之间光纤直接连接好，WTR之后，两处环回将消除，环恢复双环结构，环上节点的拓朴信息中不再有B节点。,A,B,C,D,E,A,B,C,D,E,解决方案:RPR,城域网方案建议,即插即用节点加入,说明：准备好需加入节点B，启动正常，将A、C接口的光纤断开，环将在A、C两处环回，业务不间断。将AB光纤
14、、BC光纤连接好，WTR之后，两处环回将消除，环恢复双环结构，环上节点的拓朴信息中有B节点增加，可以看到A到C的业务经由B转发。,A,B,C,D,E,A,B,C,D,E,解决方案:RPR,城域网方案建议,解决方案:万兆,城域网带宽方案建议,一、实际业务流量模型对带宽需求 1PPS=(64+20)8=672bps 汇聚节点采用普通的600Kpps的设备,接入节点采用240Kpps的设备，线速情况，那么目前19个汇聚节点，28个接入节点所对骨干网的带宽需求为：（19*600+28*240)*672=12.08Gbps 如后续100个接入节点全部接入骨干后对骨干的带宽需求为：（19*600+100*
15、240)*672=23.60Gbps 因此，骨干网采用10G，实际带宽到达20G，既可满足目前需求，也可满 足后续扩容需求。,二、商务成本考虑 到今天为止，万兆的商务仅比千兆多出8左右,三、现状及带宽趋势 目前，光纤相当于已经部好，带宽千兆万兆均可 带宽趋势目前是千兆桌面，万兆骨干。,城域网路由规划示意图,RPR环网,SR88,SR88,SR88,SR88,SR88,SR88,S9512,S9512,数据中心,AREA 1,AREA 0,AREA 2,AREA 5,AREA 3,AREA 4,解决方案:路由,解决方案QoS规划,城域网Qos 方案建议,RPR作为当前城域网最先进的技术，基于电信
16、级应用要求设计，在QoS方面有先天的优势：吞吐量达到万兆级，完全保障正常带宽，且能轻松应对突发带宽；RPR芯片用硬件实现业务优先级等级区分（A0、A1、B0、B1、C），QoS处理不占用RPR设备CPU资源，开启QoS丝毫不影响数据的正常高速转发性能；50ms保护倒换机制，保证链路中断后快速自愈，视频、语音业务的中断与恢复在50ms内完成，人类感官无法察觉，数据业务几乎无丢包；具有硬件的带宽预留机制，保障企业关键业务的畅通无阻；具有先进的流控与反压机制，具备虚拟输出队列机制；,10G（10000M）,3G,3G,3G,A,B,C,3Gbps，绝大部分时间有保证，最小不小于1Gbs；,3Gbps
17、，绝对保障，不会超过也不会少于此值；,特别！最大限度利用带宽，平时可达到3Gbps，周末带宽充足时甚至能达到10Gbps；,RPR QoS,城域网QoS规划,解决方案QoS规划,城域网的QOS示意图,1、根据ACL对报文进行流分类，打上相应的IP Precedence标记。,2、入环时SR88将报文的IP Precedence映射为RPR服务类型，并根据服务类型进行带宽保证。,3、过环时SR88根据报文的服务类型进行带宽保证。,4、下环时SR88根据报文的IP Precedence进行队列调度。,数据中心,SR88,SR88,SR88,SR88,SR88,SR88,S95,S95,RPR,3、
18、过环时SR88根据报文的服务类型进行带宽保证。,4、下环时SR88根据报文的IP Precedence进行队列调度。,视频服务器,视频业务,数据业务,其他业务,解决方案QoS规划,#SR88上配置IP-Precedence与RPR Class的映射关系，映射关系见表格：rpr cos-precedence-map ip 2 1 2 2 2 0 0 2 2,配置举例SR88 QoS,解决方案QoS规划,#SR8800上配置RPR接口各服务级别的保证带宽：interface Rpr10GE6/1/1 rpr rate-limiter high ringlet0 50 rpr rate-limite
19、r high ringlet1 50 rpr rate-limiter medium ringlet0 600 rpr rate-limiter medium ringlet1 600 rpr rate-limiter low ringlet0 200 rpr rate-limiter low ringlet1 200,配置举例SR8800的 QoS,解决方案QoS规划,网络可靠性分析1,数据中心,客户端,SR88,SR88,SR88,SR88,SR88,SR88,S95,S95,RPR,视频服务器,X,1、当RPR骨干环某段链路出现故障时，RPR环首先采取WRAP处理，在最短的时间内实现故障
20、保护，使业务不中断，然后采取Steering处理，通过重新计算，保证报文转发的最优路径，使时延达到最低。,正常状态下数据流,WRAP处理后数据流,Steering处理后数据流,解决方案可靠性,网络可靠性分析2,数据中心,客户端,SR88,SR88,SR88,SR88,SR88,SR88,S95,S95,RPR,视频服务器,X,2、所有业务数据都要经过数据中心的链路，因此这部分链路的故障冗余需要特别考虑，提供链路备份机制。为了避免环路，需要起用RRPP/MSTP特性。在主链路正常时，备链路将被SmartLink协议block掉，一旦主链路发生故障，SmartLink将启动备用链路，从而业务数据始
21、终能够到达数据中心。,主用链路,备用链路,MSR,解决方案可靠性,网络可靠性分析3,数据中心,接入节点客户端,SR88,SR88,SR88,SR88,SR88,SR88,S95,S95,RPR,X,3、骨干环网上的SR88设备所有关键硬件均采取冗余设计，如果主引擎故障，所有业务可以通过GR（完美重启）技术迅速切换到备用引擎上，达到毫秒级的丢包和时延，用户几乎无法感知业务中断；4、数据中心的核心交换机设备：所有关键硬件均采取冗余设计，如果主引擎故障，所有业务可以通过GR（完美重启）技术迅速切换到备用引擎上，达到毫秒级的丢包和时延，用户几乎无法感知业务中断；5、接入设备支持双电源、双风扇，电源和风
22、扇发生故障时可迅速切换；而且支持模块热插拔，模块发生故障时可带电更换，保证业务不中断；,X,X,MSR,解决方案可靠性,网络可靠性分析4,数据中心,税所客户端,MSR,SR88,SR88,SR88,SR88,SR88,SR88,S9512,S9512,RPR,6、向骨干环连接的光纤缺乏冗余机制，如果该光纤中断，将造成基层单位业务中断，此处存在故障隐患！,X,解决方案可靠性,由关键点安全转向面向业务的安全保障,填空式、补丁式的安全没有目标、没有规划、没有成功问题层出不穷，网管疲于奔命,体系化安全明确目标、明确规划问题明确、响应迅速,面向业务的安全保障：分析业务流程，制定针对性安全规划,关键点安全
23、：分析安全的脆弱点并在关键点部署安全产品,解决方案安全防护,安全渗透网络技术框架,智能,全局,深度,基础安全,状态检测,应用识别,内容识别,威胁识别,集成安全特性的网络产品,集成,集成网络特性的安全产品,网络产品与安全产品的集成,产品间安全特性的分工协作,基于安全策略的分工协作,协作,统一基础安全管理,统一身份认证与授权,流量分析与行为识别,统一威胁与策略管理,解决方案安全防护,安全城域网典型部署建议,深度安全防御：网络中心部署IPS，实现应用层安全防护。立体安全防御：核心和汇聚层设备主要配置防止攻击：根桥伪装攻击、TCN攻击、路由源伪装攻击、设备控制权攻击接入层设备主要配置防止攻击：MAC表
24、攻击、DHCP DOS攻击、CPU恶意冲击；ARP欺骗攻击、MAC/IP地址欺骗攻击、DHCP服务器欺骗攻击、根桥伪装攻击、TCN攻击、路由源伪装攻击；设备控制权攻击智能安全管理系统：统一威胁和策略管理综合访问认证管理系统流量统计分析系统,解决方案安全防护,接入层,核心层,汇聚层,安全城域网典型部署,SR8812,S5600,S5600,S3600,核心设备启用以下安全特性：OSPF 路由认证SSH、SNMPv3、SFTPTelnet终端限制,三层接入设备启用以下安全特性：端口MAC地址数限制OSPF/RIP路由认证ARP入侵检测（ARP、DHCP限速）DHCP Snooping Trust&
25、Option 82SSH、SNMPv3Telnet终端限制,汇聚设备启用以下安全特性：STP根保护和BPDU保护TC-BPDU报文处理机制OSPF/RIP路由认证SSH、SNMPv3Telnet终端限制,二层接入设备启用以下安全特性：端口MAC地址数限制STP根保护和BPDU保护TC-BPDU报文处理机制SSH、SNMPv3Telnet终端限制DHCP Snooping Trust,CAMS,iNode,TP2400,解决方案安全防护,RPR安全规划,10G（10000M）,Tunnel1,Tunnel2,Tunnel3,办公业务，流量大，路由策略安全性要求高；,视频业务，流量大，支持组播，带
26、宽要求高；,其他业务，流量复杂，有病毒蠕虫风险；,网络实际上是一张综合业务承载网，业务量较大且较复杂，不仅要传送数据业务、视频会议业务，同时也要承载各部门办公业务的流量，各类业务有着不同的特点：语音/视频业务对QoS要求高，低时延、低抖动，IP报文基本上是从视频终端发往中心节点。由于流量简单，不会出现病毒、蠕虫等带来的异常报文。办公业务对QoS要求高，要求带宽有保障，报文基本上都是从办公终端流向数据中心节点。征管业务流量不稳定，依照办税时间流量有突发情况；Internet业务对QoS要求相对较低，但是报文情况复杂，经常会遭到病毒、蠕虫等攻击。报文的流向也没有规律。,解决方案安全防护,RPR安全
27、示意图,2、入环时SR88将报文的IP Precedence映射为RPR服务类型，并根据服务类型进行带宽保证。,数据中心,客户端,SR88,SR88,SR88,SR88,SR88,SR88,S9512,S9512,RPR,视频服务器,视频业务,征管业务,其他业务,解决方案安全防护,解决用户终端接入安全问题,非法用户拒绝入网,身份认证,接入请求,你是谁？,你安全吗？,你可以做什么？,解决方案安全防护,端点准入防御解决方案的技术优势,用户终端安全管理,用户接入身份管理,网络资源访问控制,EAD 解决方案,单点防御,解决方案安全防护,汇报提纲,高品质城域网的需求分析几种主要技术分析比较满足需求的解决
28、方案建议RPR城域网应用案例,NE40,NE40,NE40,NE40,核心层,汇聚层,接入层,PE,GE,P,P,P,GE,GE,GE,GE,FE/GE,FE/GE,FE/GE,FE/GE,P,PE,PE,PE,PE,PE,PE,PE,PE,PE,PE,PE,NE40,NE40,NE40,NE40,NE40,NE40,NE40,NE40,NE80,NE80,NE80,NE80,RPR,天津电子政务网RPR/MPLS/MPLS管理,上海第二医科大学校园网,GE,上海教育科研网,上海科技网,中国电信,GE,GE,西院(网络中心),东院,西院(科研楼),接入交换机,接入交换机,接入交换机,核心部分采
29、用先进的RPR环网技术，把校区连为一体，为促进校园信息化奠定坚实的基础，提供高效的带宽利用、丰富的业务支持和高安全、高可靠能力，满足上海第二医科大学对信息交互、电子办公、网络教学、远程医疗等业务开展的需求。,陕西西安教育高速城域网,2*GE,GE,16*FE,GE,省教育厅,咸阳轻工学院,GE,GE,16*FE,N*FE,西工大 NE80,交大西区 NE80,GE,N*FE,交大校区 NE80,2*GE,GSR12008,网络出口,山西省政府电子政务城域、省干网络,临汾,运城,晋城,吕梁,长治,晋中,阳泉,忻州,朔州,大同,155M,NE40-8,地市IP城域网,2.5G RPR,省政府,省委
30、,NE40-8,NE40-8,大南门,太原市政府城域网,NE40,NE40,NE08E,NE08E,NE20,AR28-31,AR28-31,AR28-31,AR28-31,局委办节点,局委办节点,山西省政府电子政务外网全网采用1台NE80，13台NE40-8，近40台AR28-31构建高带宽、高性能MPLS VPN电子政务网络基础平台。其中核心骨干层网络采用：1台NE80,2台NE40-8构建2.5G RPR；太原市政府机构汇聚节点采用5台NE40；每地市部署NE40/NE20/NE08E以155M POS链路高速上联，保证全省电子政务网络的高带宽。,广西南宁市政监控系统城域网,山西电信城域
31、网,EAD端点准入防御案例用友集团,6506,6500,6500,CAMS,DHCP,NE05,病毒/补丁服务器,6500,6500,S3600,3050C,3050C,服务器群DMZ,接入层设备与CAMS、客户端配合实现EAD,TippingPoint 系列部分客户,TippingPoint 系列部分获奖情况,Frost and Sullivan 2005 Network Security Infrastructure Protection Entrepreneurial Company of the YearTippingPoint was named the 2005 Network S
32、ecurity Infrastructure Protection Entrepreneurial Company of the Year by Frost&Sullivan.,Information Security Magazine2004 Product of the YearTippingPoint was selected by Information Security Magazine as 2004 Product of the Year for Intrusion Prevention Systems.,IDG Network Awards 2004 WinnerTipping
33、Point is the winner of the Network Protection Product of the Year from IDG and TechW.The prestigious IDG awards recognize the very best in the industry and reward companies for innovative and effective use of networking technology.,SC Magazine Best BuyTippingPoint was selected by SC Magazine as a Be
34、st Buy in their group test of intrusion prevention products.,Common Criteria CertificationTippingPoint is the first Intrusion Prevention System(IPS)to obtain all four government-validated protection profiles:analyzer,sensor,scanner and system.,SANS Trusted ToolTippingPoints Intrusion Prevention Syst
35、em has been selected as a Trusted Tool by the SANS Institute,the worlds premier security research and training organization.,NSS Gold AwardTippingPoints Intrusion Prevention System is the first and only product to win the coveted NSS Gold Award in the IPS space.,eWeek Labs Analysts Choice AwardTippi
36、ngPoints IPS ably handled both real and staged attacks on eWEEK Labs test network,attached to the Internet for nearly a week.,The Tolly Group Up To SpecPerformance and security benchmark.TippingPoints IPS demonstrated 100%security accuracy at 2 Gbps.,是目前唯一获得ICSA认证的千兆级IPS厂家，最大时延仅84us,X505获Info Security Products Guide 2006年度最佳产品奖,X505获Security Week Brazi 2006年度最佳产品奖,广西电信安全宽带部署方案,流量清洗中心,FW,NE 20,琅东电信大楼,民族电信大楼,城域网核心层,PE,CHINANET,GSR,12416,一枢纽,CHINANET,GSR,12416,二枢纽,10,GE,后台支撑系统,IPS,新增GSR,新增GSR,CN2,CN2,CHINANET/CN2,防DDOS攻击状态防火墙P2P流量控制防病毒攻击虚拟补丁服务防黑客攻击安全免疫数字疫苗绿色上网防网络钓鱼动态特征库更新增值,杭州华三通信技术有限公司,
