石油化工企業(yè)寬帶小區(qū)解決方案

/石油化工企業(yè)寬帶小區(qū)解決方案

隨著人民生活水平的不斷提高，信息化的不斷普及,石油化工企業(yè)的職工對于信息化的需求也越來越多,大部分石油化工企業(yè)選擇了自建寬帶小區(qū)的方式，提高人們的生活質(zhì)量，豐富廣大職工的業(yè)余文化生活。

目前石油化工企業(yè)普遍采用包月收取月租的方式,但由于傳統(tǒng)寬帶小區(qū)網(wǎng)絡(luò)在安全性以及運營能力上的問題，使得寬帶小區(qū)投資回收周期很長。主要表現(xiàn)在：無法防止非法用戶接入,一個用戶可用HUB或者代理的方式接入大量非法用戶；不能提供按時長、按帶寬、按流量等靈活計費方式滿足不同用戶的需求，固定費用的包月方式將大量的低上網(wǎng)需求的用戶屏蔽在外，減少了企業(yè)的應(yīng)得收入。?

為解決石油、石化企業(yè)寬帶小區(qū)問題,華為提出了“可管理、可運營、可增值”的寬帶網(wǎng)絡(luò)解決方案.

寬帶小區(qū)網(wǎng)絡(luò)建設(shè)原則：?

可運營性:小區(qū)寬帶網(wǎng)絡(luò)需要向大量用戶提供不同類型的服務(wù)，網(wǎng)絡(luò)應(yīng)提供良好的業(yè)務(wù)管理能力，支持對寬帶用戶的接入管理、身份認(rèn)證、帶寬許可、地址管理和服務(wù)質(zhì)量（QＯS）,并針對不同的業(yè)務(wù)提供靈活的計費方式,確保網(wǎng)絡(luò)的可運營特性。?

可管理性：網(wǎng)絡(luò)要能夠?qū)崿F(xiàn)統(tǒng)一的網(wǎng)管,接入交換機(jī)具備遠(yuǎn)程維護(hù)能力,可實現(xiàn)統(tǒng)一的網(wǎng)絡(luò)業(yè)務(wù)調(diào)度和管理。

開放性與可增值性:組網(wǎng)技術(shù)選擇必須符合相關(guān)國際標(biāo)準(zhǔn)及國內(nèi)標(biāo)準(zhǔn)，確保網(wǎng)絡(luò)的開放性和互連互通，同時小區(qū)寬帶要建設(shè)成完整統(tǒng)一、組網(wǎng)靈活、易擴(kuò)充的彈性網(wǎng)絡(luò)平臺,能夠隨著需求變化，充分留有擴(kuò)充余地，能針對不同的用戶需求提供豐富的寬帶增值業(yè)務(wù),使網(wǎng)絡(luò)可持續(xù)贏利。?

安全可靠性：設(shè)計應(yīng)充分考慮整個網(wǎng)絡(luò)的穩(wěn)定性,支持網(wǎng)絡(luò)節(jié)點的備份和線路保護(hù)，提供網(wǎng)絡(luò)安全防范措施.

寬帶小區(qū)網(wǎng)絡(luò)構(gòu)建體系：?

網(wǎng)絡(luò)的總體構(gòu)建結(jié)構(gòu)設(shè)計為星型分層次結(jié)構(gòu)，采用核心層、匯聚層、接入層的三層網(wǎng)絡(luò)結(jié)構(gòu).?

在核心層采用一臺ＱｕidwayS８016做為核心交換機(jī)，S８０16的核心部件的冗余設(shè)計保證網(wǎng)絡(luò)的可靠性，下行鏈路采用千兆光纖鏈路，在各個小區(qū)中心則采用ＭA5２00E做為匯聚設(shè)備，各個小區(qū)內(nèi)則根據(jù)樓棟的數(shù)量和各個單元的居民的數(shù)量和布線情況采用QuidwaｙS30２６、20２6、2403H、201６、200８(以太網(wǎng))和MA５10０AＤSL、３0２6ＶVDＳL(提供電話線接入方式組網(wǎng)，對于較為老的小區(qū)較為適用)實現(xiàn)小區(qū)居民的接入.

中心的Iｎtｅｒneｔ的出口則根據(jù)業(yè)務(wù)量的大小和實際的廣域網(wǎng)線路選擇QｕidｗaｙNE05或QuiｄwaｙR3６８0E,對于網(wǎng)絡(luò)的如DＨＣP、ＤＮS、ｍail、視頻VOD等服務(wù)器群則建議通過千兆的方式和核心交換機(jī)進(jìn)行互聯(lián),使得用戶在使用網(wǎng)絡(luò)時能夠得到及時的業(yè)務(wù)響應(yīng)；對于整個網(wǎng)絡(luò)設(shè)備的管理則在網(wǎng)絡(luò)中心設(shè)置一臺網(wǎng)管工作站,安裝華為的Ｑuidview網(wǎng)管軟件對全網(wǎng)的設(shè)備進(jìn)行統(tǒng)一的管理,而對于網(wǎng)絡(luò)中用戶的認(rèn)證、授權(quán)和計費則可以通過華為的ＣAMＳ－綜合訪問管理系統(tǒng)完成對小區(qū)用戶的認(rèn)證、授權(quán)和計費。方案特點：

１.高可靠性：做為寬帶小區(qū)的核心,網(wǎng)絡(luò)核心的可靠性對于整個網(wǎng)絡(luò)的可用性和對用戶的持續(xù)使用的重要性是不言而喻的，華為的QｕｉdｗayＳ801６設(shè)備本身提供主控引擎的熱備份,接口單元則提供接口和單板的熱插拔、電源系統(tǒng)采用4+1的備份方式從供電上保證了設(shè)備的動力無憂這些都從設(shè)備本身提供了可靠性的保證;?

2。高性能的交換能力：做為寬帶小區(qū)網(wǎng)絡(luò)的核心,為小區(qū)內(nèi)用戶提供線速、無阻塞的交換機(jī)能力是保障小區(qū)用戶能夠得到良好業(yè)務(wù)服務(wù)的保障，華為的ＱuidwayS８016采用業(yè)界性能最優(yōu)的網(wǎng)絡(luò)處理器，提供１２８G的背板帶寬，9６Ｍpps的包轉(zhuǎn)發(fā)能力，同時該設(shè)備提供基于包的硬件轉(zhuǎn)發(fā)特性使得在滿配置的情況下,可以實現(xiàn)所有端口無阻塞的線速交換，更加適合寬帶小區(qū)中流量2０/80現(xiàn)象以及流量流向不規(guī)則的情況。?

3。完善的安全管理機(jī)制：提供AＣL功能，對用戶的訪問目的地址進(jìn)行限制，保護(hù)網(wǎng)上重要的資源不被非法攻擊.對用戶進(jìn)行二層的隔離和三層受控互訪,充分保證網(wǎng)絡(luò)的安全。防止IP地址盜用。做為核心交換機(jī)，ＱuidwayS8016還提供了專用的NAT板,它最大支持并發(fā)會話數(shù)12８k，NAＴ板的數(shù)量可以按NＡT容量需求靈活配置；支持基本地址轉(zhuǎn)換、網(wǎng)絡(luò)地址端口號轉(zhuǎn)換,支持普通TCP、UＤP應(yīng)用，支持、ALG應(yīng)用，支持如ＯICＱ、RealＰl(wèi)ay等流行的網(wǎng)上應(yīng)用,滿足網(wǎng)絡(luò)訪問Iｎｔernｅt的安全需求。?

4.靈活的計費方式：通過華為交換機(jī)和華為ＣAMＳ之間的配合,可以根據(jù)用戶的業(yè)務(wù)級別實現(xiàn)業(yè)務(wù)優(yōu)先級調(diào)度，實現(xiàn)業(yè)務(wù)的QOＳ功能。可以提供基于時段的流量統(tǒng)計或連接時間統(tǒng)計，提供靈活合理的用戶計費方式，用戶可在網(wǎng)上自主選擇和更改計費方式.?

ＭA5200E是華為公司針對以太網(wǎng)商用化而設(shè)計的IP接入產(chǎn)品，該產(chǎn)品采用先進(jìn)的網(wǎng)絡(luò)處理技術(shù)和交換式總線技術(shù)，具有強(qiáng)大的硬件轉(zhuǎn)發(fā)能力和靈活的協(xié)議處理能力。同時為適應(yīng)運營、管理的要求，ＭA５200E加強(qiáng)了用戶管理、計費等方面的處理，使之既有以太網(wǎng)接入經(jīng)濟(jì)、成熟的特色，又有電信級的用戶管理和運營能力，適用于寬帶小區(qū)的網(wǎng)絡(luò)建設(shè).

5.不同業(yè)務(wù)的精細(xì)管理：對于不同業(yè)務(wù)的帶寬需求不同，MA5２00E可以對用戶的業(yè)務(wù)流進(jìn)行有效的流量識別和控制,同時還可以對每個端口下接入的用戶數(shù)量進(jìn)行控制，保證了對業(yè)務(wù)的有效區(qū)分的管理和使用網(wǎng)絡(luò)者的控制。

6.支持多種用戶認(rèn)證方式:MＡ52００Ｅ除了提供802．1X之外,還提供VLＡN、VＬAN＋ＷEB和PPPoE多種接入方式，可以充分滿足固定用戶和便攜移動用戶的需求。

下面對VLAＮ、VLAN+WEB和ＰＰPoE接入方式進(jìn)行簡要的介紹.?

采用PPＰOＥ虛擬撥號的用戶接入方式:用戶需要在其客戶端安裝PPＰOＥ軟件,使用時從客戶端(ＰＣ終端）發(fā)起PPP連接,PPP連接通過以太網(wǎng)在MＡ5２00E上進(jìn)行解析后從PPP呼叫中提取相應(yīng)的用戶信息（用戶名以及密碼），將用戶信息傳遞給華為的ＣＡＭS服務(wù)器上對用戶進(jìn)行認(rèn)證鑒權(quán),并依據(jù)用戶情況為用戶動態(tài)分配合法的IP地址,實現(xiàn)INTERＮET接入。同時CAMS服務(wù)器對用戶實施計費，計費可采用時長、流量等多種計費方式,滿足不同資費政策的需求。

采用PPPＯE方式解決以太網(wǎng)接入同樣需要安裝客戶端軟件，會造成安裝、維護(hù)難度增強(qiáng)的問題；同時采用PPＰOE方式時，在客戶端上IＰ數(shù)據(jù)會經(jīng)過PPPOE、PPP層協(xié)議處理，增加了相應(yīng)的協(xié)議開銷,造成有效的通信流量的降低。采用VＬAN直接用戶接入方式：采用這種接入方式時，每個用戶分配一個VLＡN端口，ＭA５20０Ｅ依據(jù)此ＶLAN再加上用戶的IP地址以及MAC地址相捆綁,同時配合用戶所需的業(yè)務(wù)制定的用戶策略（用戶帶寬的需求、分配IP地址數(shù)目等）實現(xiàn)對用戶實現(xiàn)用戶的接入管理、帶寬分配以及用戶的計費等.?

這種接入認(rèn)證方式的特點是最終用戶“零客戶端”，即用戶終端不需進(jìn)行任何操作,只要安裝好網(wǎng)卡,插入網(wǎng)線即可使用;同時采用該接入方式,網(wǎng)絡(luò)中傳輸?shù)木鶠闃?biāo)準(zhǔn)的以太網(wǎng)數(shù)據(jù)幀，避免了采用PPＰOE方式時的網(wǎng)絡(luò)傳輸效率下降等問題.

采用VＬAN＋WEB認(rèn)證的用戶接入方式：采用VLAN方式減少了客戶端的安裝、維護(hù)的工作量,同時提高了網(wǎng)絡(luò)的傳輸效率，采用這種接入方式相對于PＰＰOE接入方式而言，由于減少了用戶名以及密碼的驗證過程，因此比較適合與終端相對固定的用戶,如：政府機(jī)關(guān)、居民用戶等,但對于流動性較多、較強(qiáng)的用戶，VLAN方式就顯得捉襟見肘了.

針對與這個問題，華為提出了ＶLAN＋WEＢ的認(rèn)證方式有效地解決了用戶帳號的流動問題，VLAN＋WEB認(rèn)證指的是通過VＬAN接入的用戶首先通過登錄門戶網(wǎng)站，輸入用戶名和密碼進(jìn)行身份認(rèn)證后,從而獲得用戶訪問權(quán)限的過程。

當(dāng)用戶采用ＶLAN方式開機(jī)時,先通過DＨCＰ過程來獲得IP地址，得到ＩP地址后,ＭＡ5200E把用戶的權(quán)限設(shè)為未認(rèn)證用戶，此時用戶只能訪問免費站點和門戶網(wǎng)站。當(dāng)用戶想訪問外部站點時，必須先訪問門戶網(wǎng)站，進(jìn)行登錄。用戶在登錄過程中，輸入用戶名和密碼，用戶信息被發(fā)送到ＣAＭS認(rèn)證服務(wù)器進(jìn)行認(rèn)證，認(rèn)證通過后,MA5２00E根據(jù)認(rèn)證結(jié)果提供用戶使用的權(quán)限,通知用戶并開始計費.當(dāng)用戶結(jié)束訪問時，需要在門戶網(wǎng)站上點擊注銷按鈕，發(fā)送注銷消息。MA５200Ｅ根據(jù)注銷消息改變用戶權(quán)限,并停止計費.

采用VLAＮ＋WＥB的接入方式相對單純的VLＡN接入方式其主要特點:

一個用戶端口內(nèi),不同用戶擁有不同的權(quán)限：采用VLAN＋WEＢ的認(rèn)證方式時，一個用戶端口內(nèi)(一個用戶家中）,不同的用戶可以擁有不同的訪問權(quán)限，例如:家中父母的訪問權(quán)限較高，而子女的訪問權(quán)限較低,避免了各類不良站點對用戶侵蝕。?

用戶的帳號可以流動，提高了服務(wù)的滿意度：用戶的帳號可以在同一個WEＢ服務(wù)器的管轄范圍內(nèi)中的任意端口進(jìn)行上網(wǎng),大大方便了用戶的使用。

對于上述兩套方案來說,同樣都面臨這網(wǎng)絡(luò)的管理的問題，從整個網(wǎng)絡(luò)的管理上來說，整個小區(qū)的管理面臨著下述的問題:?

?設(shè)備覆蓋范圍擴(kuò)大:寬帶小區(qū)的建設(shè)使得部分設(shè)備不能放在機(jī)房,而是放在的小區(qū)中的居民樓中，使得網(wǎng)絡(luò)的維護(hù)范圍從原來的機(jī)房擴(kuò)大為網(wǎng)絡(luò)覆蓋的所有小區(qū)；?

?設(shè)備數(shù)量多，而且分布的點多、面廣，使得設(shè)備維護(hù)量急劇增加；

為了解決上述管理問題，在整個網(wǎng)絡(luò)的管理上，華為提供了華為集群管理協(xié)議ＨGMＰ（HuａweiGroupMaｎａgｅｍｅｎtPｒotoｃｏl)對整個網(wǎng)絡(luò)進(jìn)行統(tǒng)一的管理,即通過一個公有的IP地址就可以實現(xiàn)對匯聚層、接入層交換機(jī)進(jìn)行集群管理，有效的節(jié)省IP地址資源.通過華為的ＱuidviewLＡNMａnaｇer中提供的QuiｄｖiewStackmanager、HＧＭＰＭanagｅr可以實現(xiàn)對網(wǎng)絡(luò)的配置、管理、維護(hù)，即在中心就可以完成對各層次設(shè)備的包括端口、協(xié)議等的配置,通過網(wǎng)管對端口進(jìn)行開放或關(guān)閉，通過網(wǎng)管提供的交換機(jī)端口的環(huán)回測試對交換機(jī)進(jìn)行遠(yuǎn)程的維護(hù)，做到了網(wǎng)管員不出門便可完成對網(wǎng)絡(luò)的管理、維護(hù)。同時華為提供的網(wǎng)管Quｉdｖiew、安全管理及計費系統(tǒng)CＡMS都提供中文化的管理界面和手冊，便于網(wǎng)管員進(jìn)行學(xué)習(xí)和操作.?

管理功能是可運營IP網(wǎng)絡(luò)的重要組成部分。能否支持完善、有效可靠的用戶管理，將是這個網(wǎng)絡(luò)能否有效運營的關(guān)鍵。華為MA520０E支持完善的管理功能，除了提供傳統(tǒng)的網(wǎng)絡(luò)設(shè)備的管理之外,還提供包括安全管理以及用戶業(yè)務(wù)管理。實例2在一個規(guī)模較大的企業(yè)中，其下屬有多個二級單位，在各單位的孤立網(wǎng)絡(luò)進(jìn)行互連時,出于對不同職能部門的管理、安全和整體網(wǎng)絡(luò)的穩(wěn)定運行,我們進(jìn)行了VLAN的劃分。

第一步子網(wǎng)分析

該網(wǎng)絡(luò)系統(tǒng)由三部分組成：公司、二級單位1、二級單位2，初始為三部分各自獨立，未形成統(tǒng)一的網(wǎng)絡(luò)環(huán)境，故各網(wǎng)絡(luò)系統(tǒng)的運行采用的是以交換技術(shù)為主的方式。?

三網(wǎng)主干均采用的是千兆以太網(wǎng)技術(shù),起點的高定位為企業(yè)的信息應(yīng)用帶來了高速、穩(wěn)定、符合國際標(biāo)準(zhǔn)的網(wǎng)絡(luò)平臺.公司中心交換機(jī)采用的是Ciｓｃo的Cａt(yī)ａｌyst6５０6，帶有三層路由的引擎使得企業(yè)網(wǎng)具有將來升級的能力；同時各二級單位的中心交換機(jī)采用的亦是Cｉscｏ的Catalｙst4０06；各二級、三級交換機(jī)則采用的是Cisco的Catalyst3５0０系列，主要因為Cａｔａlyst35０0系列交換機(jī)的高性能和可堆疊能力。?

現(xiàn)三部分應(yīng)公司的要求聯(lián)網(wǎng)，網(wǎng)絡(luò)的互連仍采用千兆帶寬,但因三網(wǎng)均采用了千兆以太網(wǎng)技術(shù),為了不在主干形成瓶頸,因此各子網(wǎng)的互連采用Tｒunk技術(shù)，即雙千兆技術(shù),使網(wǎng)絡(luò)帶寬達(dá)到4G,如此既增加了帶寬,又提供了鏈路的冗余,提高了整體網(wǎng)絡(luò)的高速、穩(wěn)定、安全運行性能。?

但亦由于網(wǎng)絡(luò)規(guī)模的擴(kuò)大化，信息流量的加大，人員的復(fù)雜化等原因，為企業(yè)網(wǎng)絡(luò)的安全性、穩(wěn)定性、高效率運行帶來了新的隱患。由此引發(fā)了VLAN的劃分.

對于VＬAＮ的劃分，應(yīng)公司的需求,我們對各ＶLAN的IＰ地址分配為：

?經(jīng)理辦子網(wǎng):192.1６８。1．0-—１92．1６8．2。0/22網(wǎng)關(guān)：192.1６8.1。1;

財務(wù)子網(wǎng)：１９２．168.3.0——192.16８．5.0/22網(wǎng)關(guān)：192.168。３.1；?

供銷子網(wǎng):19２。168。6．0——192.168。８。0/２２網(wǎng)關(guān)：192．１68.6．１；

?信息中心子網(wǎng):1９2。168．７.０/2４網(wǎng)關(guān)：19２。１6８。7.1；

服務(wù)器子網(wǎng)：１92.１68。１00．０/2４網(wǎng)關(guān)：192．１6８。10０．1

?其余子網(wǎng)：192。168．８.0——1９2.168.9。0/22網(wǎng)關(guān)：１９2.168．8.１；?

第二步系統(tǒng)分析

?對于Cisｃo的產(chǎn)品劃分，VＬAＮ主要是基于兩種標(biāo)準(zhǔn)協(xié)議：ISL和８０2.1Q。在我們這里，因為所采用的均是Ｃiｓｃo的網(wǎng)絡(luò)設(shè)備,故在進(jìn)行VLAN間的互連時采用ISL的協(xié)議封裝，該協(xié)議針對Ciscｏ網(wǎng)絡(luò)設(shè)備的硬件平臺在信息流的處理、多媒體應(yīng)用的優(yōu)化進(jìn)行了合理有效的優(yōu)化。對于不同產(chǎn)品的VLＡN互連,我們在后面會提到。

?

網(wǎng)絡(luò)拓?fù)鋱D

由于本案例中關(guān)于VＬAＮ的劃分?jǐn)U展了各個交換機(jī)，所以交換機(jī)之間的連接都必須采用Truｎk的方式。經(jīng)理辦和供銷子網(wǎng)代表了ＶＬAN劃分中的兩種問題-—擴(kuò)展交換機(jī)VLAＮ的劃分和端口VLAN的劃分：

?在經(jīng)理辦虛網(wǎng)中，對于一個交換機(jī)擴(kuò)展多個VＬAN的時候，前面提到了該交換機(jī)與其上層交換機(jī)間必須采用Trunk方式連接，但在供銷的虛網(wǎng)劃分中,在二級單位1中的供銷獨立于一個LAＮ交換機(jī)Cataｌyｓｔ3５4８，所以在這里，Catalysｔ3５４８與二級中心交換機(jī)Catalyst４00６只需采用正常的交換式連接即可,對于此部分供銷VLＡN的劃分,只要在Ｃatａlｙst4０06上針對與Ｃatalysｔ３548連接的端口進(jìn)行劃分即可。也就是前面提到的基于端口的VLAN的劃分。

第三步路由列表

?做完了VＬAN之間的連接后,因為兩個Ｃａt(yī)ａlyst４０0６與主中心交換機(jī)Cａt(yī)alyst６5０６間采用的是雙光纖通道式連接，屏蔽了Catalyst４０6與Caｔａｌysｔ６50６間的線路故障的產(chǎn)生,所以要對整體網(wǎng)絡(luò)的路由進(jìn)行基于Catalｙst６5０６的集中式管理。我們在主中心交換機(jī)Cａt(yī)alｙst65０６上設(shè)置了VLAＮ路由：?

經(jīng)理辦虛網(wǎng):192.1６8.1．1/22；??財務(wù)虛網(wǎng)：19２。１68.３．1/22；

供銷虛網(wǎng)：192．１68。6。1/22；??信息中心虛網(wǎng):1９2。１68.7.1/24；?

其余虛網(wǎng)：19２。1６8。8。1/22；??接下來，在中心交換機(jī)上設(shè)置路由協(xié)議RＩP或OSPＦ,并指定網(wǎng)段192。16８。0.０.在全局配置模式下執(zhí)行如下命令:??ｒouterrｉp?

nｅtwork1９2．１68．0。0?

注意事項

?1.在這里需要注意的是:因為整個公司的網(wǎng)絡(luò)系統(tǒng)的VLＡN的劃分是作為一個整體結(jié)構(gòu)來設(shè)計的，所以為了保持VLＡN列表的一致性，例如當(dāng)二級單位１的ＶLＡN有所變化時,VLAN列表也會有所變化,這時就需要該Ｃatａlyst４00６對整體網(wǎng)絡(luò)的其他部分進(jìn)行廣播，以達(dá)到VLAN的列表的一致性。所以在設(shè)置VTP（VLANTｒunｋPｒoｔocol）時要注意，要將VTＰ的域作為一個整體,即:ＶＴP類型分別為Servｅｒ和Clｉent。

2.有些企業(yè)建網(wǎng)較早，所選用的網(wǎng)絡(luò)設(shè)備為其他的廠商的產(chǎn)品,而后期的產(chǎn)品又不能與前期統(tǒng)一，這樣在ＶLAＮ的劃分中就會遇到些問題。??例如:在Cisｃｏ產(chǎn)品與3Coｍ產(chǎn)品的混合網(wǎng)絡(luò)結(jié)構(gòu)中劃分VLAN，對于Ｃisco網(wǎng)絡(luò)設(shè)備的Ｔrunｋ的封裝協(xié)議則必須采用8０２。1Q，以達(dá)到與3Com的通訊。雖然兩者之間可以建立VＬAN的正常劃分,和正常的應(yīng)用，但由于交換機(jī)都具有自學(xué)習(xí)的能力，以致兩者之間的協(xié)調(diào)配合較差。當(dāng)兩者之間的連接發(fā)生變化時，必須在Cｉsco交換機(jī)上使用命令(clearcｏunteｒ)進(jìn)行清除,方可達(dá)到