校校通工程深化设计方案.doc
《校校通工程深化设计方案.doc》由会员分享,可在线阅读,更多相关《校校通工程深化设计方案.doc(55页珍藏版)》请在三一办公上搜索。
1、朝阳区教育“校校通”工程深化设计方案(网络中心)v3.10(三层)北京北控电信通信息技术有限公司2006年2月目 录一.网络中心深化设计31.业务网深化设计方案31.1业务网应用需求分析31.2业务流量需求分析31.3分层的网络设计方案51.4网络拓扑结构图91.5原有设备的利旧101.6原有网络的割接121.7IP地址路由规划深化设计121.8交换设备以及计算机系统时间同步142.安全系统深化设计方案152.1安全系统需求分析152.2防火墙系统深化设计162.3网络入侵检测系统深化设计172.4网络漏洞扫描系统深化设计182.5网络防病毒系统深化设计182.6朝阳区教育信息网网络安全拓扑图
2、193.服务器存储系统的深化设计203.1需求分析203.2服务器的安装与功能分配213.3服务器集群的配置253.4存储系统的深化设计523.5数据备份系统的安装与配置543.6服务器存储系统结构拓扑图55一. 网络中心深化设计1. 业务网深化设计方案1.1 业务网应用需求分析根据朝阳区教育“校校通”工程建设的总体规划,建成后的朝阳区教育信息网是一个覆盖全区所有教育单位的,能够实现全区资源共享、互连互通的网络,该网络的基础是一个利用光纤搭建的基于SDH技术的多业务传送平台(MSTP),我们将其称之为底层传送网或者简称为传送网。而业务网(IP网)是承载于传送网基础之上的数据网络,因此业务网的建
3、设与传送网的业务走向和网络结构有密切的关系。在传送网的建设规划中,以教委信息中心为全部网络的业务发起和终结主节点,传送网的骨干层有五个核心节点,利用10G带宽的链路构建核心主干网络,全部的业务在教委信息中心落地。所以在业务网的建设中网络中心就设置在教委的信息中心,这样教委的信息中心便要承担整个朝阳教育信息网的数据分析、业务处理和安全防护的重担。兼具传送网的骨干层核心节点和业务网网络中心为一身的教委信息中心注定成为本次业务网建设中的重中之重。1.2 业务流量需求分析我们根据以往校园网建设经验,并结合本工程的具体需求首先对朝阳教育信息网业务网的流量需求作如下分析。朝阳教育信息网业务流量主要分为两个
4、方面:一方面为网络内部的FTP服务、VOD视频点播、视频会议、资源库调用、远程教学、内部监控、内部公文传递等业务应用,这是相对主要的业务流量。另一方面,Internet互联网出口的浏览查询应用,与市教育信息网内网和区信息平台的公文传递、资源调用等应用,这是相对次要的业务流量。1.2.1 外网流量需求分析针对上述需求,我们首先分析处于次要地位的互联网浏览、上传下载数据以及电子邮件等业务的流量。建设Internet出口目的是为网络用户提供必要的互联网浏览和查询功能,出现大容量的数据上传、下载的机会相对较少,因此根据以往的经验,通过200M带宽的链路连接Internet就可以满足需要。朝阳教委与区政
5、府的公共信息平台之间的流量主要是些日常的公文传递,不会占用大量的带宽,所以在区公共信息平台出口上的流量也不会太大,而与市教育信息网内网的数据流量主要是些资源的调用,这部分流量的带宽由市教育信息网统一安排。1.2.2 内网流量需求分析目前朝阳区教育信息网上的应用大致分为:网站发布、社会教育、学校及学生家长沟通、FTP服务、系统内部的电子邮件、教育管理信息库CMIS、网络视频会议、网络视频教学系统、IP电话应用(VOIP)、视频点播、资源库调用等,我们对以上流量进行分析,将这些流量按照学校通过教委网络中心的流量、学校之间直接流量来分类。现有的应用中,以一个标准学校为例,将每个应用的流量走向情况分析
6、如下:现有应用通过教委的流量学校之间流量网站发布/社会教育及学校及学生家长沟通流量大流量较小教委FTP服务流量大无系统内部的电子邮件流量大流量较小学校的FTP服务无流量大教育管理信息库CMIS流量大流量较小网络视频会议系统流量大流量大分校与主校之间交流无流量较大视频点播系统流量大流量较小IP电话系统流量大流量大学校的资源库应用系统无流量大教委的资源库应用系统流量大无从上表分析,我们可以看出在朝阳区教育信息网中,对于目前网络而言,大部分的数据流量都是由学校到教委之间的流量,学校与学校之间的流量相对较少,然而随着网络规模的扩大,各种应用的深入。学校与学校之间的业务流量将近一步增大,所以在业务网络的
7、设计中在考虑网络中心设备的高硬件性能、高可靠性的同时必须兼顾今后网络的可扩展性需求。1.3 分层的网络设计方案根据以上对业务网的需求的分析,并依据高可靠性、高实用性、高可扩展性、高安全性等网络设计原则。我们将朝阳区的业务网设计为典型的三层网络拓扑结构,既将业务网分为核心层、汇聚层、和接入层。其中核心层的主要功能是实现数据的高速交换和转发,其选型和设计任务的重点是设备的冗余能力、链路可靠性和高速的交换能力。汇聚层的主要任务是提供对核心层设备的访问,汇总接入层的数据,并负责选择到不同目的地的最佳路径,利用汇聚层设备的路由功能可以将那些学校之间的数据流量直接转发,不必再经由核心层设备处理从而大大减轻
8、了核心层设备的压力。其设计的重点是设备的高密度接入能力和强大的二、三层交换、路由处理能力。由于本次工程中所有数据业务都要经由教委信息中心落地,所以我们将把汇聚层设备和核心层设备都部署在教委的信息中心,信息中心就成为业务网的网络中心。接入层就是具体接入学校,设备的选择主要考虑交换机支持的 802.1Q VLAN数量,以及端口的转发能力。业务网的建设,分为出口网络、核心网络、汇聚网络、接入网络。其中核心网络又包括主核心交换区块、关键应用服务器网络区块、大流量数据应用服务器区块、网管网络区块等。1.3.1 出口网络设计根据用户需求,朝阳区教育信息网的出口设计为两部分,一部分指的是上连到北京市教育信息
9、网(内网)和通过北京教育信息网上连到国际互联网(Internet),另一部分是指连接到朝阳区政府公用信息平台。即朝阳区教育信息网有三个出口,分别为:1、 北京市教育信息网(内网)2、 通过北京教育信息网上连到国际互联网(Internet)3、 朝阳区政府公用信息平台主要出口为北京市教育信息网(内网)和Internet,辅助和备份出口为朝阳区政府公用信息平台出口(即连接到朝阳区信息办的链路)。三个出口均连接到出口网络中的利旧设备Cisco4003交换机上(网络割接之前可用性能相近交换机替代)。具体出口连接建议说明如下:一、 北京市教育信息网出口(内网,Internet)1、朝阳区教育信息网到北京
10、市教育信息网的出口为两条千兆物理链路,市教委会放置两台设备在朝阳信息中心:Cisco 7609Sup720Cisco Catalyst 4506 Sup V 。朝阳上连的设备为Cisco7609 Sup720,具体端口1000Base-SX和1000Base-T都可以,有2个。2、建议到北京市教育信息网内网的流量和Internet出口流量的线路分开连接,即:一个端口为北京市教育信息网(内网)端口,另一个端口为Internet出口端口,Internet流量的质量根据朝阳教育信息网的需求,由市教委统一的带宽管理设备进行管理,从而保证朝阳区的Internet带宽需求。这样一来对于朝阳教育信息网来说可
11、以很好的区分到北京市教育信息网内网的流量和Internet(其他外网)的流量,从而更加便于对业务流量的分类和监管。3、由于朝阳教育信息网所用的IP地址为市教育信息网分配的合法IP,所以朝阳教育信息网到北京市教育信息网(内网,Internet)的两条千兆链路不需要进行NAT。但为保证朝阳教育信息网内部安全,建议在到北京市教育信息网(内网,Internet)的两条千兆出口链路上分别放置两台Quidway Secpath1000F千兆防火墙,对朝阳教育信息网内网进行保护。二、 朝阳区政府公用信息平台从朝阳信息中心的传输网设备OpCity8930上下业务,即传输网设备与出口交换机Cisco4003相连
12、,为了安全保证,在传输设备与Cisco4003之间放置专用NAT(MA5200)设备及千兆防火墙。1.3.2 核心网络设计主核心交换区块:由两台核心交换机S8512组成,两台核心路由交换机之间通过link-aggregation(端口聚合)技术绑定两条10G链路,从而构建了双万兆带宽网络核心交换平台。两台核心交换机分别以两条双千兆绑定链路与汇聚层设备Cisco6506相连。两台主核心交换机负责整个业务网的数据交换工作,为了保障网络中心核心设备的正常运行,我们将通过主核心设备双机冗余,主要路由交换板卡、电源均采用冗余备份的方式配置,以提高设备的可靠性。在两台核心路由交换机上运行VRRP虚拟路由协
13、议,当任何一台核心路由交换机发生故障时,另一台核心路由交换机立即接管所有的工作。VRRP协议是一种热备份路由协议,应用于双机热备,其工作原理为:VRRP协议将系统中两台路由交换机组成VRRP组,该组拥有一个虚拟缺省网关地址。在任何时刻,一个组内只有控制虚拟网关地址的路由交换机是活动的(master),并由它来转发数据包,如果活动路由交换机发生了故障,将选择另一个优先权较低的冗余备份路由交换机(backup)来替代活动路由交换机。由于网络内的终端配置的是VRRP虚拟网关地址,因此在它们看来,虚拟路由交换机没有改变。所以主机仍然保持连接,没有受到网络中单点故障的影响,这样就较好地解决了路由交换机切
14、换的问题。提高了核心交换区块的可靠性。关键应用服务器区块:主要由SAN网络存储系统备份系统和服务器集群系统组成,在原投标方案中我们建议利用教委已有的CISCO6509充当该区块的主交换机,由于该CISCO6509现正在负责原有网络的连接任务,所以在工程实施过程中可以租用或借用其他同级别的交换机代替。关键应用服务器区块通过本区块的主交换机利用两条千兆链路上连主核心交换区块,以起到链路冗余备份和负载分担的功能,提高网络的可靠性。该区块的功能和配置将在服务器存储设备的实施章节有详细描述。网管网络区块:主要负责整个网络的管理和监护,它采用带外管理与带内管理混合的模式,通常带内管理组网比较简单、灵活,但
15、却要占用承载业务流量的带宽。带外管理不占用承载业务的带宽,网管网络和其他网络设备之间独立成网,该区块的主交换机由利旧的CISCO4006担当,(因为同样的原因该交换机正在使用中,所以也必须考虑替代问题。)而主要网管软件采用华为3COM的iManager Quidview网管系统进行网络管理,对于网络中心的其他网管子系统如:传输设备管理、网络设备管理、数字同步网管理、入侵检测子系统、网络防病毒子系统、漏洞扫描子系统、时间同步子系统等,分别采用其各自的管理软件进行全网相应的管理。非华为公司的设备如CISCO6509等设备可由CISCO自带的Works2000网管软件管理,对于整个业务网的状态监控、
16、流量分析可采用一些不区分设备类型的基础网管软件,如Sniffer等来监控。网管系统中的网络设备管理子系统将实时监控整个网络中心的设备以及网络状况,可在第一时间检测到故障。并发出报警讯息,便于网管人员快速准确的排除故障。大流量应用服务器负责提供应用教学资源,该区块由若干服务器集群组成,这些服务器集群分别通过两条千兆光纤或者电口链路直接与核心交换机相连。以起到链路冗余备份的功能提高网络的可靠性。1.3.3 汇聚网络设计将两台利旧的CISCO6506交换机配置在网络中心的核心层与接入层之间充当汇聚层设备,利用其高密度的千兆光纤接口连接由底层传送设备下来的20个GE端口,两台Cisco6506之间采用
17、双千兆链路绑定的方式配置成带宽达到2G的链路,每台cisco6506通过两条双千兆绑定链路分别以UPLINK方式上连两台核心交换机8512,这样在核心层与汇聚层之间形成总带宽达到8G的交换链路,以进一步提高网络的性能和增加网络的可靠性,同时满足由接入层访问数据中心的总带宽不得小于6Gbps的招标要求。Cisco 6506交换机主要用于将接入层的数据进行汇聚并负责分发,或是上传到核心层中或是转发到其他接入层站点,以起到承上启下的数据传输作用和路由分发功能。因此它不但要提供高密度高带宽的接口,还要具备高性能的多层交换能力,能够将一些不需要访问核心层的数据流量通过汇聚层设备转发,这样既提高了网络的效
18、能,又减轻了对核心层网络设备的压力。但由此对Cisco 6506交换机的要求将大幅提升,原有的低速引擎已经不能满足新的性能需求,必须对其进行升级改造。 汇聚层交换设备与传送网的MSTP设备相连,担负着传送网上的数据业务落地的重任。该区块主要设备为传送网的MSTP设备OPCITY 8930,它通过20条千兆光纤链路分别与两台汇聚交换机相连。根据交流,甲方提出要在学校上连教委信息中心的网络带宽中预留2M的安全监控端口,和10M的考试监控端口以及相应的视频带宽,这些需要在传送网技术方面做相应的时隙划分、和端口预留等工作我们将在传送网深化设计方案中给予具体描述。1.3.4 接入网络设计接入层交换机可根
19、据校园网建设的实际情况分为三层交换机和二层交换机,对于有三层交换机的学校可以根据学校的应用情况启动三层路由功能,将网络风暴控制在学校内部,而通过静态路由的方式访问核心层,对于拥有二层交换机的学校,据我们调研学校并不多,可考虑更换三层设备作为接入交换机,或者每个学校作为一个VLAN通过默认网关访问核心层。1.4 网络拓扑结构图(注:本网络拓扑图仅为结构示意图,具体设备和连接方式以实际情况为准。)1.5 原有设备的利旧根据客户要求对原有设备进行利旧,我们在网络中心业务网的深化设计方案中已经对利旧设备的用途做了详细描述,现就这些设备的现状和需要升级或者添加的功能模块做一下说明。朝阳区现有可利旧的设备
20、包括一台思科6509,两台思科6506和一些思科4000系列的三层交换机。下表是主要可利旧设备的清单目前主要可利旧设备清单型号描述数量信息中心核心节点交换机WS-C6509-1300AC=Catalyst 6509 Chassis w/ 1300W AC Power Supply1WS-X6K-S2Catalyst 6500 Supervisor Engine-2, 2GE1WS-X6408A-GBICCatalyst 6000 8-port GE, Enhanced QoS (Req. GBICs)2WS-G54861000BASE-LX/LH long haul GBIC (singlem
21、ode or multimode)6WS-G5484=1000BASE-SX 6朝阳教委核心节点交换机WS-C6506-1000AC=Catalyst 6506 Chassis w/ 1000W AC Power Supply1WS-X6K-S2Catalyst 6500 Supervisor Engine-2, 2GE1WS-X6408A-GBICCatalyst 6000 8-port GE, Enhanced QoS (Req. GBICs)2WS-G54871000Base-ZX extended reach GBIC(singlemode)1WS-G54861000BASE-LX/L
22、H long haul GBIC (singlemode or multimode)7WS-G5484=1000BASE-SX 1广播局核心节点交换机WS-C6506-1000AC=Catalyst 6506 Chassis w/ 1000W AC Power Supply1WS-X6K-S2Catalyst 6500 Supervisor Engine-2, 2GE1WS-X6408A-GBICCatalyst 6000 8-port GE, Enhanced QoS (Req. GBICs)1WS-G54871000Base-ZX extended reach GBIC(singlemod
23、e)2WS-G54861000BASE-LX/LH long haul GBIC (singlemode or multimode)6WS-G5484=1000BASE-SX 0在深化设计方案中思科6509用来连接关键服务器区的20台应用服务器,所以至少需要20个GE端口,而目前6509只有16个GE端口,所以需要增加一块8个GE端口的板卡。两台6506用作汇聚层交换机,分别连接由骨干传输设备下来的20个GE端口,同时分别利用两条双千兆链路上连核心交换机。而现在两台6506上只有24个GE端口,因此也需要增加三块8GE端口的板卡。另外一个需要注意的问题是三台思科设备的引擎都是低速的引擎,而作为
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 校校通 工程 深化 设计方案
链接地址:https://www.31ppt.com/p-2756197.html