多校區(qū)高校高可靠核心網(wǎng)絡(luò)功能架構(gòu)的優(yōu)化與實現(xiàn)

羅郁

（長安大學(xué)信息與網(wǎng)絡(luò)管理處 陜西省西安市 710064）

1 引言

近年來，在線學(xué)習(xí)、高清視頻等高流量應(yīng)用在學(xué)習(xí)生活中用得越來越多，校園網(wǎng)的流量規(guī)模在飛速增長，用戶對網(wǎng)絡(luò)質(zhì)量的要求也在逐年提升。這些都對校園網(wǎng)的建設(shè)提出了更高的要求和挑戰(zhàn)。提高網(wǎng)絡(luò)性能，除了及時更換老舊設(shè)備、提高鏈路帶寬之外，對網(wǎng)絡(luò)的功能架構(gòu)進行調(diào)整和優(yōu)化，也是重要途徑之一。

核心網(wǎng)絡(luò)是核心節(jié)點相互連接所構(gòu)成的網(wǎng)絡(luò)，它的運行情況直接決定了一個網(wǎng)絡(luò)所能提供服務(wù)質(zhì)量的上限。提升核心網(wǎng)絡(luò)的性能能夠顯著提升網(wǎng)絡(luò)的整體性能。如果核心網(wǎng)絡(luò)的節(jié)點性能不好，節(jié)點之間鏈路，或者出口鏈路發(fā)生阻塞或中斷，都會對整個校區(qū)的網(wǎng)絡(luò)造成極大的影響。

當(dāng)前高校普遍具有多個校區(qū)。通常，各校區(qū)網(wǎng)絡(luò)組成局域網(wǎng)，出口分別部署了防火墻等安全設(shè)備，校區(qū)間以裸光纖相連。用戶上網(wǎng)流量通過各自校區(qū)出口設(shè)備訪問互聯(lián)網(wǎng)資源，校區(qū)間網(wǎng)絡(luò)互訪由各自的核心交換機進行路由訪問控制。校園網(wǎng)的核心網(wǎng)絡(luò)就是由各校區(qū)核心交換機以及出口設(shè)備構(gòu)成的。提高校園網(wǎng)的性能和可靠性，首先要提高核心網(wǎng)絡(luò)的性能和可靠性。

本文以作者所在高校網(wǎng)絡(luò)優(yōu)化為例，分析了網(wǎng)絡(luò)中存在的問題，提出了對網(wǎng)絡(luò)功能架構(gòu)進行優(yōu)化的方案以及實現(xiàn)過程。

2 網(wǎng)絡(luò)現(xiàn)狀

本校具有南北兩個主校區(qū)，核心網(wǎng)絡(luò)包含南北校區(qū)的兩個核心交換機（N18K、S12510X）和兩個出口設(shè)備（M9000），兩個校區(qū)的核心交換機以裸光纖相連。每個校區(qū)的出口設(shè)備上都連接有多個運營商鏈路，可為冗余互備。如圖1所示。

在這個網(wǎng)絡(luò)架構(gòu)中，出口設(shè)備充當(dāng)了防火墻和邊界路由的角色。由于教育網(wǎng)只在南校區(qū)接入，如果北校區(qū)的用戶想要訪問教育網(wǎng)資源，數(shù)據(jù)流到達北校區(qū)的核心交換機后，核心交換機根據(jù)策略路由將其指到南校區(qū)的核心交換機，再由南校區(qū)的出口訪問教育網(wǎng)。如果要訪問的是其他互聯(lián)網(wǎng)資源，核心交換機則直接將流量指到各自的出口設(shè)備上，由出口設(shè)備決定其從哪條鏈路訪問互聯(lián)網(wǎng)。

在這個核心網(wǎng)絡(luò)中，存在有幾個問題。首先，北校區(qū)的核心交換機上選路依賴策略路由，核心交換機通過策略路由將訪問教育網(wǎng)的流量指向南校區(qū)核心交換機。除此之外，由于一些歷史遺留問題，核心交換機上還存在大量其他的策略路由。由于策略路由條目眾多，占用了交換機的資源，對核心交換機的性能造成了一定影響。其次，盡管每個校區(qū)的出口設(shè)備都接入了多個運營商網(wǎng)絡(luò)，鏈路可以互為冗余備份，但由于每條鏈路的剩余帶寬都不算太多，一旦有鏈路出現(xiàn)故障，其他出口的帶寬無法滿足該校區(qū)的總流量需求，會嚴重影響用戶的上網(wǎng)體驗。在很多時候，只能采取在核心交換機上手動將部分流量指到另一個校區(qū)的辦法，但手動操作有一定的滯后性，難免影響到部分用戶對網(wǎng)絡(luò)的使用。

3 優(yōu)化方案

圖1

圖2

針對該網(wǎng)絡(luò)存在的問題，優(yōu)化要點有兩個。其一，是減少核心交換機的策略路由數(shù)量，以提高核心交換機的性能。其二，是充分利用出口設(shè)備的負載均衡功能，當(dāng)鏈路出現(xiàn)故障，可以自動切換到備用鏈路上，提高網(wǎng)絡(luò)的可靠性。

核心交換機的主要功能在于數(shù)據(jù)交換，當(dāng)其不再承擔(dān)過多的選路任務(wù)時，可有效地提高設(shè)備性能。核心交換機在取消了策略路由后，校內(nèi)通訊依據(jù)OSPF 學(xué)習(xí)到的路由，通過查詢路由表進行轉(zhuǎn)發(fā)。互聯(lián)網(wǎng)流量通過缺省路由指向各自校區(qū)的出口設(shè)備。

由于核心交換機不再進行選路，相應(yīng)的任務(wù)就移交給了選路功能更為強大的出口設(shè)備來完成。出口設(shè)備M9000具有負載均衡功能。負載均衡技術(shù)可將網(wǎng)絡(luò)流量分擔(dān)給多條鏈路，同時也可實現(xiàn)鏈路的選擇。

為了讓出口設(shè)備的選路可以包含校區(qū)間的鏈路，需要在兩個校區(qū)的出口設(shè)備之間增加一條直連鏈路。利用南北校區(qū)核心交換機之間的互連鏈路，可為兩個出口設(shè)備之間開通一條邏輯直連鏈路，作為校區(qū)互訪以及北校區(qū)訪問教育網(wǎng)資源的通道。同時，這條邏輯鏈路也可作為備用鏈路，當(dāng)某個出口中斷服務(wù)時，出口設(shè)備的負載均衡功能會自動將該校區(qū)的流量通過備用鏈路分流到另一個校區(qū)，從而提高了整體網(wǎng)絡(luò)的可靠性。如圖2所示。

表1

表2

表3

4 方案實現(xiàn)

在具體實施中，在南校區(qū)的核心交換機和出口設(shè)備之間新增一條物理鏈路，與原本的物理鏈路做鏈路聚合，一來增加帶寬，二來提高鏈路的可靠性。兩個出口設(shè)備之間，新增一條邏輯鏈路，作為校區(qū)之間互訪的鏈路，同時作為出口備用鏈路。

4.1 信息規(guī)劃

4.1.1 VLAN 和IP 地址規(guī)劃

如表1所示。

4.1.2 設(shè)備互連端口規(guī)劃

如表2所示。

4.2 配置內(nèi)容

4.2.1 出口設(shè)備間開通直連邏輯鏈路

4.2.1.1 北校區(qū)出口設(shè)備與核心交換機N18K 互連鏈路變更

（1）北校區(qū)出口設(shè)備與核心交換機互連鏈路配置。

北校區(qū)出口設(shè)備與核心交換機之間兩條鏈路相連，互連鏈路采用二層鏈路聚合，鏈路類型為trunk，允許相關(guān)vlan 通過。

并且同一設(shè)備上的互連端口分布于不同的業(yè)務(wù)板卡。

（2）兩校區(qū)核心交換機互連鏈路配置變更。

互連鏈路允許兩校區(qū)出口設(shè)備的互連vlan 通過。

（3）出口設(shè)備互連地址配置。

兩校區(qū)出口設(shè)備創(chuàng)建互連vlan 及三層接口，配置互連IP 地址。

在互連vlan 接口下，配置ip last-hop hold，保證數(shù)據(jù)流量源進源出。

（4）出口設(shè)備安全策略配置。

將原本互連的接口加入原本的安全域。

將新增的互連接口加入trust 安全域，新增互連鏈路本質(zhì)屬于校內(nèi)鏈路，保證后期業(yè)務(wù)安全策略簡單明了。

兩校區(qū)出口設(shè)備之間新增通信鏈路，目前只有北校區(qū)用戶訪問教育網(wǎng)資源流量，安全策略已包括本部分流量，無其他安全策略需要增加。如表3所示。

4.2.1.2 南校區(qū)出口設(shè)備與南校區(qū)核心交換機S12510X 互連鏈路變更

表4

表5

表6

如表4所示。

4.2.1.3 兩校區(qū)出口設(shè)備互連配置

如表5所示。

4.2.2 北校區(qū)出口設(shè)備負載均衡配置

（1）新增去往南校區(qū)出口設(shè)備的鏈路資源池；

（2）新增去往教育網(wǎng)的資源列表；

（3）新增負載均衡策略，將去往教育網(wǎng)的資源池負載指向新增的鏈路資源池。如表6所示。

4.2.3 核心交換機路由變更

將原本啟用的基于全局的、端口的PBR 全部刪除。

5 結(jié)語

網(wǎng)絡(luò)流量的快速增長，為校園網(wǎng)建設(shè)提出更多要求和挑戰(zhàn)。從本校的網(wǎng)絡(luò)實際情況出發(fā)，科學(xué)規(guī)劃，通過對核心網(wǎng)絡(luò)架構(gòu)的調(diào)整，對部分功能進行了遷移，節(jié)點配置進行了更改，以較小的代價完成了對網(wǎng)絡(luò)的優(yōu)化，提高了整體網(wǎng)絡(luò)的質(zhì)量和可靠性。