民航河北空管分局OA辦公網(wǎng)絡(luò)可靠性改造方案設(shè)計(jì)與實(shí)現(xiàn)

劉彤

【摘 要】民航空管生產(chǎn)運(yùn)行管理信息系統(tǒng)，簡稱OA辦公網(wǎng)，是由民航局統(tǒng)一規(guī)劃、統(tǒng)一部署，各地獨(dú)立運(yùn)行的保障模式。網(wǎng)絡(luò)承載了公文處理、視頻監(jiān)控、電子值班、管制考勤、氣象預(yù)警和集中監(jiān)控等多項(xiàng)重要業(yè)務(wù)，另外很多信號傳輸系統(tǒng)的搭建都是基于OA網(wǎng)進(jìn)行的，因此OA網(wǎng)在民航空管安全管理和生產(chǎn)辦公中起著舉足輕重的作用。隨著分局的業(yè)務(wù)類型及用戶數(shù)量的不斷增加，網(wǎng)絡(luò)的可靠性、安全性體現(xiàn)的尤為重要。在最初的OA網(wǎng)設(shè)計(jì)中，所有節(jié)點(diǎn)都采用單一布置，網(wǎng)絡(luò)核心層無任何冗余設(shè)備，存在設(shè)備故障或線路中斷導(dǎo)致網(wǎng)絡(luò)癱瘓的隱患。對此，為保證OA網(wǎng)絡(luò)系統(tǒng)能夠長期穩(wěn)定運(yùn)行，故對原有網(wǎng)絡(luò)結(jié)構(gòu)進(jìn)行部分升級改造。

【關(guān)鍵詞】冗余；MSTP；可靠性；VRRP；光纖

中圖分類號： V243.1 文獻(xiàn)標(biāo)識碼： A 文章編號： 2095-2457（2018）13-0013-003

DOI：10.19694/j.cnki.issn2095-2457.2018.13.006

1 網(wǎng)絡(luò)現(xiàn)狀

河北空管分局OA辦公網(wǎng)絡(luò)，按照各個(gè)機(jī)房地理位置的不同，由若干接入層交換機(jī)以及核心層交換機(jī)、路由器、防火墻等設(shè)備共同組成。接入層交換機(jī)為用戶提供接入網(wǎng)絡(luò)的接口，數(shù)據(jù)流量經(jīng)接入層交換機(jī)傳輸至核心層交換機(jī)，并由核心層交換機(jī)完成安全防護(hù)和路由轉(zhuǎn)發(fā)。

在最初的OA網(wǎng)網(wǎng)絡(luò)結(jié)構(gòu)中，核心層僅有唯一一臺(tái)H3C S7503E核心交換機(jī)來完成數(shù)據(jù)流量的轉(zhuǎn)發(fā)，無任何備份冗余設(shè)備。由于核心層是整個(gè)網(wǎng)絡(luò)拓?fù)涞母咚僦鞲?，需要可靠迅速轉(zhuǎn)發(fā)大量數(shù)據(jù)流，因此核心層的可用性很關(guān)鍵。而核心層單一設(shè)備部署易導(dǎo)致網(wǎng)絡(luò)的單點(diǎn)故障，即一旦核心交換機(jī)出現(xiàn)故障將導(dǎo)致分局整個(gè)OA網(wǎng)癱瘓，將嚴(yán)重影響分局各項(xiàng)重要業(yè)務(wù)。為提升OA網(wǎng)的穩(wěn)定性，故做此次網(wǎng)絡(luò)升級改造。

2 網(wǎng)絡(luò)改造方案

2.1 方案設(shè)計(jì)

提高網(wǎng)絡(luò)可靠性最佳方案即增加冗余，額外增加一臺(tái)核心交換機(jī)與原核心交換機(jī)互為冗余備份。這樣，當(dāng)其中一臺(tái)設(shè)備出現(xiàn)問題時(shí)，冗余設(shè)備即可接管相應(yīng)業(yè)務(wù)，保證網(wǎng)絡(luò)的正常運(yùn)行。

方案一，新增加一臺(tái)核心交換機(jī)并作冷備份，一旦原核心交換機(jī)出現(xiàn)故障，人為干預(yù)，手動(dòng)切換線路，恢復(fù)網(wǎng)絡(luò)正常運(yùn)行。但該方案資源利用率低，響應(yīng)速度慢，無法自動(dòng)恢復(fù)，不符合分局對網(wǎng)絡(luò)性能的需求。

方案二，啟用VRRP和MSTP，兩臺(tái)核心交換機(jī)同時(shí)工作，當(dāng)主用設(shè)備出現(xiàn)故障時(shí)，可立刻自動(dòng)切換到備用設(shè)備，保證網(wǎng)絡(luò)的不間斷運(yùn)行，此次改造采用該方案。

2.2 VRRP介紹

VRRP（Virtual Router Redundancy Protocol，虛擬路由器冗余協(xié)議）是一種容錯(cuò)協(xié)議，它通過把幾臺(tái)路由設(shè)備聯(lián)合組成一臺(tái)虛擬的路由設(shè)備，并通過一定的機(jī)制來保證當(dāng)主機(jī)的下一跳設(shè)備出現(xiàn)故障時(shí)，可以及時(shí)將業(yè)務(wù)切換到其它設(shè)備，從而保持通訊的連續(xù)性和可靠性。使用VRRP協(xié)議優(yōu)勢在于，既不需要改變組網(wǎng)情況，也不需要在主機(jī)上配置任何動(dòng)態(tài)路由或者路由發(fā)現(xiàn)協(xié)議，就可以獲得更高可靠性的缺省路由。

VRRP工作原理

VRRP將可以承擔(dān)網(wǎng)關(guān)功能的一組路由器加入到一個(gè)備份組中，并共同虛擬出一臺(tái)路由器作為網(wǎng)關(guān)。由VRRP內(nèi)部選舉機(jī)制來決定承擔(dān)數(shù)據(jù)轉(zhuǎn)發(fā)任務(wù)的路由器，負(fù)責(zé)數(shù)據(jù)轉(zhuǎn)發(fā)的路由器被稱作Master路由器，其余路由器被稱作Backup路由器，局域網(wǎng)內(nèi)的主機(jī)只需將虛擬網(wǎng)關(guān)的IP地址設(shè)置為默認(rèn)網(wǎng)關(guān)即可。當(dāng)Master路由器不可用時(shí)，VRRP協(xié)議通過選舉產(chǎn)生新的Master路由器來提供動(dòng)態(tài)的故障轉(zhuǎn)移機(jī)制，實(shí)現(xiàn)內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)不間斷通信。利用VRRP建立備份鏈路，可極大提高網(wǎng)絡(luò)的安全性，能有限避免單一鏈路發(fā)生故障后網(wǎng)絡(luò)中斷問題出現(xiàn)。

如上圖所示，分局虛擬路由器的組網(wǎng)環(huán)境如下：VLAN 48構(gòu)成一個(gè)VRRP備份組，H3C7503E上VLAN 48接口IP地址設(shè)置為10.5.48.254，H3C7503E-S上VLAN 48接口IP地址設(shè)置為10.5.48.253，并將VLAN 48備份組虛擬IP地址設(shè)置為10.5.48.1。VLAN 48網(wǎng)段的主機(jī)利用10.5.48.1這個(gè)虛擬IP地址就能與外部網(wǎng)絡(luò)通信。具體工作機(jī)制如下：（1）根據(jù)優(yōu)先級的大小挑選Master設(shè)備：比較優(yōu)先級的大小，優(yōu)先級高者當(dāng)選Master，基于此機(jī)制，在交換機(jī)配置中直接將H3C7503E 在VLAN 48備份組中的優(yōu)先級設(shè)置為105，H3C7503E-S 在VLAN 48備份組中的優(yōu)先級未做設(shè)置即默認(rèn)100，前者高于后者，因此H3C7503E為Master，負(fù)責(zé)轉(zhuǎn)發(fā)流量，H3C7503E-S即為Backup。（2）同時(shí)H3C7503E-S作為備份路由器時(shí)隨時(shí)監(jiān)聽H3C7503E狀態(tài)。當(dāng)H3C7503E正常工作時(shí)，它會(huì)按時(shí)在VLAN 48這個(gè)VRRP組發(fā)送一個(gè)VRRP組播報(bào)文，以通知組內(nèi)H3C7503E-S，主路由器處于正常工作狀態(tài)；當(dāng)組內(nèi)的H3C7503E-S一段時(shí)間沒有收到來自H3C7503E主路由器的報(bào)文時(shí)，它會(huì)將自己轉(zhuǎn)為Master路由器。如果一個(gè)VRRP組里有多臺(tái)備份路由器時(shí)，短時(shí)間內(nèi)可能產(chǎn)生多個(gè)Master時(shí)，路由器會(huì)將收到的VRRP報(bào)文中的優(yōu)先級與本地優(yōu)先級做比較，從而選取優(yōu)先級高的路由器做Master。

VRRP報(bào)文結(jié)構(gòu)

VRRP通告報(bào)文發(fā)布范圍只限于同一局域網(wǎng)內(nèi)，而且只有Master路由器才可以周期性的發(fā)送VRRP通告報(bào)文。Backup路由器在收不到VRRP通告或收到優(yōu)先級為0的通告后將啟動(dòng)新的一輪VRRP選舉。VRRP報(bào)文封裝在IP報(bào)文中。下圖通過抓取協(xié)議報(bào)文，淺析VRRP報(bào)文格式：

各字段解釋如下：

Virtual Rtr ID（VRID）：虛擬路由器號（即備份組號），取值范圍1～255。此為VLAN 48備份組。

Priority：路由器在備份組中的優(yōu)先級，取值范圍0～255，數(shù)值越大表明優(yōu)先級越高。此處取值為105。

Addr Count：備份組虛擬IP地址的個(gè)數(shù)。此處取1代表每個(gè)備份組只有1個(gè)虛擬IP地址。

Adver Int：發(fā)送通告報(bào)文的時(shí)間間隔。此處默認(rèn)為1秒。

IP Address：備份組虛擬IP地址。此處代表VLAN 48備份組虛擬IP地址為10.5.48.1。

VRRP工作過程

備份組中的路由器根據(jù)優(yōu)先級確定自己在備份組中的角色。優(yōu)先級高的路由器成為Master路由器；優(yōu)先級低的成為Backup路由器。Master路由器定期發(fā)送VRRP通告報(bào)文，通知備份組內(nèi)的其他路由器自己工作正常；Backup路由器則啟動(dòng)定時(shí)器等待通告報(bào)文的到來。VRRP工作方式可分為搶占模式和非搶占模式。

在搶占模式下，一旦備份組內(nèi)的Backup路由器發(fā)現(xiàn)自己的優(yōu)先級比當(dāng)前Master路由器優(yōu)先級高，就會(huì)搶占Master角色，成為Master路由器，這樣原來的Master路由器會(huì)成為Backup角色。在非搶占模式下，只要Master路由器處于正常工作狀態(tài)下，備份組中的路由器始終保持Backup狀態(tài)，即使被配置了更高的優(yōu)先級，也不會(huì)成為Master路由器。而此次分局OA網(wǎng)改造是將每一個(gè)VLAN都創(chuàng)建了一個(gè)VRRP備份組，同時(shí)每個(gè)備份組內(nèi)的交換機(jī)被默認(rèn)設(shè)置為搶占模式，即H3C7503E通過優(yōu)先級設(shè)置配置為Master路由器，而H3C7503E-S配置為Backup路由器。如果H3C7503E-S沒有按時(shí)收到H3C7503E路由器發(fā)送來的VRRP通告報(bào)文，則認(rèn)為H3C7503E路由器已經(jīng)無法正常工作，此時(shí)H3C7503E-S路由器會(huì)轉(zhuǎn)換為Master角色，并對外發(fā)送VRRP通告報(bào)文。而當(dāng)H3C 7503E恢復(fù)正常時(shí)，H3C 7503E會(huì)搶占成為Master，使H3C 7503E自動(dòng)切回主用。

2.3 MSTP介紹

生成樹協(xié)議是一種二層管理協(xié)議，它通過選擇性的阻塞網(wǎng)絡(luò)中的冗余鏈路來消除二層環(huán)路，同時(shí)還能實(shí)現(xiàn)鏈路備份的目的。隨著網(wǎng)絡(luò)的不斷發(fā)展，生成樹協(xié)議也由最初的STP到RSTP，再到最新的MSTP。而MSTP既兼容了STP和RSTP的功能，也彌補(bǔ)了STP和RSTP的因局域網(wǎng)中所有VLAN共享一棵生成樹而無法實(shí)現(xiàn)VLAN間數(shù)據(jù)流量的負(fù)載均衡的缺陷。MSTP既可以快速收斂，又提供了數(shù)據(jù)轉(zhuǎn)發(fā)的多條冗余路徑從而實(shí)現(xiàn)VLAN數(shù)據(jù)的負(fù)載均衡。

BPDU介紹

（1）BPDU是交換機(jī)之間發(fā)送的用于構(gòu)建無環(huán)路拓?fù)涞南⒎Q為網(wǎng)橋協(xié)議數(shù)據(jù)單元。

（2）BPDU是二層報(bào)文。

（3）BPDU中包括用于計(jì)算生成樹的參數(shù)信息：Root Bridge ID（BID）即本交換機(jī)認(rèn)為的根橋ID；Root Path Cost 即本交換機(jī)認(rèn)為的根路徑開銷；Bridge ID 即本交換機(jī)的橋ID；Port ID即發(fā)送該BPDU的端口ID。

MSTP工作過程

（1）選舉根橋（RootBridge）

每個(gè)網(wǎng)絡(luò)只能有一個(gè)根橋，根據(jù)Bridge ID選擇根橋，Bridge ID由2字節(jié)的網(wǎng)橋優(yōu)先級（取值范圍0-65535，缺省32768）和6字節(jié)網(wǎng)橋的MAC地址組成。誰的優(yōu)先級小，則為根橋。如相同，則比較MAC地址，誰小誰為根橋。

（2）選舉根端口

計(jì)算出其他交換設(shè)備到根橋的最短路徑，為每個(gè)非根交換設(shè)備選舉一個(gè)根端口。

（3）每個(gè)網(wǎng)段選舉指定端口

每個(gè)網(wǎng)段通過該口連接到根橋，負(fù)責(zé)發(fā)送和接收該網(wǎng)段和根橋之間的流量，保證每個(gè)網(wǎng)段到達(dá)根橋只有一條通路，無環(huán)路。

（4）將所有根端口和指定端口設(shè)為轉(zhuǎn)發(fā)狀態(tài)。

（5）將其他端口設(shè)為阻塞狀態(tài)？。

2.4 具體實(shí)現(xiàn)

網(wǎng)絡(luò)拓?fù)鋱D如上，其中紅色虛線部分為新增加設(shè)備及相應(yīng)鏈路。

（1）選取設(shè)備

在網(wǎng)絡(luò)核心層增加一臺(tái)核心交換機(jī)，與原交換機(jī)形成備份。新設(shè)備與原設(shè)備在配電方面使用不同供電電源，以保證部分供電出現(xiàn)故障時(shí)不會(huì)使兩件設(shè)備同時(shí)斷電，造成網(wǎng)絡(luò)中斷。同時(shí)，為達(dá)到更好的兼容性，以及節(jié)省資金投入，通過比較，最終選擇了H3C S7503E-S型號交換機(jī)。該交換機(jī)為原S7503E的標(biāo)準(zhǔn)版，價(jià)格低于S7503E，但設(shè)備性能和S7503E相仿。

（2）搭建鏈路

新設(shè)備接線與原設(shè)備完全相同，同時(shí)新舊設(shè)備采用雙線互聯(lián)方式，以實(shí)現(xiàn)物理線路上的冗余備份。另外用光纖替換部分接入層和核心層的原雙絞線線纜，新設(shè)備與各接入層交換機(jī)之間全部使用光纖互聯(lián)，以保證設(shè)備間長距離傳輸時(shí)鏈路的穩(wěn)定性和可靠性，進(jìn)一步提升網(wǎng)絡(luò)帶寬，形成核心千兆，接入百兆的結(jié)構(gòu)。另一方面也消除了雷電對設(shè)備造成損壞的隱患。

（3）添加配置

（a）MSTP協(xié)議

H3C 7503E交換機(jī)配置

stp instance 0 root primary------配置根橋，指定H3C 7503E設(shè)備為整個(gè)CIST（CIST指連接網(wǎng)絡(luò)內(nèi)所有交換機(jī)的一棵完整的生成樹）的根橋

stp enable------啟用MSTP協(xié)議，默認(rèn)情況下，當(dāng)全局啟用了MSTP協(xié)議后，所有端口上的MSTP協(xié)議將處于開啟狀態(tài)

H3C 7503E-S交換機(jī)配置

stp instance 0 root secondary-----配置備份根橋，指定H3C 7503E-S設(shè)備為整個(gè)CIST（CIST指連接網(wǎng)絡(luò)內(nèi)所有交換機(jī)的一棵完整的生成樹）的備份根橋

stp enable------啟用MSTP協(xié)議，默認(rèn)情況下，當(dāng)全局啟用了MSTP協(xié)議后，所有端口上的MSTP協(xié)議將處于開啟狀態(tài)

功能實(shí)現(xiàn)：MSTP實(shí)現(xiàn)二層數(shù)據(jù)鏈路層的主備切換。當(dāng)H3C 7503E和H3C 7503E-設(shè)備均正常時(shí)，H3C 7503E端口狀態(tài)為轉(zhuǎn)發(fā)，H3C 7503E-S端口狀態(tài)為阻塞；當(dāng)H3C 7503E設(shè)備故障時(shí)，H3C 7503E端口狀態(tài)為阻塞，H3C 7503E-S端口狀態(tài)為轉(zhuǎn)發(fā)，即由H3C 7503E自動(dòng)切換至H3C 7503E-S上工作；當(dāng)H3C 7503E恢復(fù)正常時(shí)，H3C 7503E端口狀態(tài)為轉(zhuǎn)發(fā)，H3C 7503E-S端口狀態(tài)為阻塞，即又自動(dòng)切回H3C 7503E上工作。

（b）VRRP協(xié)議

H3C 7503E交換機(jī)配置

track 1 interface GigabitEthernet2/0/48------配置track 1關(guān)聯(lián)，直接關(guān)聯(lián)H3C 7503E交換機(jī)與防火墻級聯(lián)的端口2/0/48的物理狀態(tài)

#

interface Vlan-interface48

ip address 10.5.48.254 255.255.255.0------配置VLAN 48 接口IP地址為 10.5.48.254

vrrp vrid 48 virtual-ip 10.5.48.1------創(chuàng)建備份組VLAN 48，并配置備份組 VLAN 48虛擬IP地址為10.5.48.1

vrrp vrid 48 priority 105------設(shè)置H3C 7503E在VLAN 48備份組的優(yōu)先級為105，高于H3C 7503E-S 所采用的默認(rèn)的優(yōu)先級100，以保證H3C 7503E成為Master

vrrp vrid 48 track 1------通過監(jiān)視track 1關(guān)聯(lián)的物理端口2/0/48的狀態(tài)來實(shí)現(xiàn)主備快速切換功能

#

VLAN49、VLAN50、VLAN51、VLAN52和VLAN63網(wǎng)段同以上配置

H3C 7503E-S交換機(jī)配置

track 1 interface GigabitEthernet0/0/28------配置track 1關(guān)聯(lián)，直接關(guān)聯(lián)H3C 7503E交換機(jī)與防火墻級聯(lián)的端口0/0/48的物理狀態(tài)

#

interface Vlan-interface48

ip address 10.5.48.253 255.255.255.0------配置VLAN 48 接口IP地址為 10.5.48.253

vrrp vrid 48 virtual-ip 10.5.48.1------創(chuàng)建備份組VLAN 48，并配置備份組 VLAN 48虛擬IP地址為10.5.48.1

vrrp vrid 48 track 1------通過監(jiān)視track 1關(guān)聯(lián)的物理端口0/0/48的狀態(tài)來實(shí)現(xiàn)主備快速切換功能

#

VLAN49、VLAN50、VLAN51、VLAN52和VLAN63網(wǎng)段同以上配置

功能實(shí)現(xiàn)：為VLAN48、VLAN49、VLAN50、VLAN51、 VLAN52和VLAN63各創(chuàng)建一個(gè)備份組，并分別配置每個(gè)備份組的虛擬IP地址，然后通過設(shè)置H3C 7503E和H3C 7503E-S的優(yōu)先級，使H3C 7503E優(yōu)先級高于H3C 7503E-S，以保證H3C 7503E成為Master（主用），H3C 7503E-S為Backup（備用）。同時(shí)H3C 7503E-S作為備份路由器，會(huì)隨時(shí)監(jiān)聽H3C 7503E的狀態(tài)，當(dāng)H3C 7503E故障時(shí)，H3C 7503E-S會(huì)成為Master路由器，則H3C 7503E-S會(huì)自動(dòng)轉(zhuǎn)為主用；當(dāng)H3C 7503E恢復(fù)正常時(shí)，H3C 7503E會(huì)搶占成為Master，使H3C 7503E自動(dòng)切回主用。

2.5 方案驗(yàn)證

網(wǎng)絡(luò)結(jié)構(gòu)改造后，OA辦公網(wǎng)絡(luò)運(yùn)行正常。測試中，關(guān)閉核心層交換機(jī)H3C 7503E電源，H3C 7503E-S將立即自動(dòng)接管所有OA網(wǎng)絡(luò)中的流量轉(zhuǎn)發(fā)業(yè)務(wù)。用戶在經(jīng)歷短暫斷網(wǎng)（小于2秒）后，網(wǎng)絡(luò)即可恢復(fù)正常，用戶基本無感知。重新開啟H3C 7503E后，H3C 7503E又會(huì)自動(dòng)切換為主用，此切換過程不會(huì)造成斷網(wǎng)現(xiàn)象。

3 總結(jié)

可靠性是用來衡量計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)提供持續(xù)服務(wù)的能力，是所有網(wǎng)絡(luò)共同的基礎(chǔ)，一個(gè)穩(wěn)定的、容錯(cuò)的網(wǎng)絡(luò)環(huán)境是保證分局OA網(wǎng)用戶正常辦公的基本前提。此次在網(wǎng)絡(luò)核心模塊增加核心設(shè)備，增添鏈路冗余設(shè)計(jì)的改造重要性是不言而喻的，因?yàn)楹诵脑O(shè)備一旦出現(xiàn)問題，整個(gè)OA網(wǎng)絡(luò)就有可能會(huì)癱瘓，給單位帶來巨大的影響，所以在整個(gè)升級改造過程中，始終把穩(wěn)定放在第一位。改造前，科室進(jìn)行了多次協(xié)商，確定方案的可行性以及制定具體實(shí)施方案，同時(shí)對有可能出現(xiàn)的問題提前做好應(yīng)急預(yù)案，極大程度的保證了改造的順利實(shí)施。

此次改造不僅完成了預(yù)期目標(biāo)，提高了分局OA網(wǎng)絡(luò)的可靠性和穩(wěn)定性。同時(shí)在實(shí)施過程中，所有參與者也受益匪淺，從方案設(shè)計(jì)到設(shè)備部署，從系統(tǒng)理論到實(shí)際實(shí)施，都積累了寶貴的經(jīng)驗(yàn)，也鍛煉實(shí)操能力，這都為日后工作的開展打下了堅(jiān)實(shí)基礎(chǔ)。

【參考文獻(xiàn)】

[1]王達(dá).H3C交換機(jī)配置與管理完全手冊第二版.北京：中國水利水電出版社.2013-06.

[2]朱麟，劉源.H3C路由與交換實(shí)踐教程.電子工業(yè)出版社. 2018-02.

[3]杭州華三通信技術(shù)有限公司.H3C路由器典型配置指導(dǎo).北京：清華大學(xué)出版社.2013-11.