XX公司网络割接方案

1、仅供个人参考XX公司网络建设建设工程网络割接方案不得用于商业用途1、公司网络建设总体要求1.1工程概况为了解决当前网络建设在网络性能、 业务承载、运维效率等方面 的瓶颈和问题，真正实现全公司一张网的网络建设络布局，公司在 2014年启动了网络建设建设工作。按照公司统一要求，XX公司目前已实现覆盖共计100个站点的 网络建设。截止2016年1月，XX网络建设改造工作现已经基本完 成，初步建成了利用 光传输网，以10GE链路为主、覆盖全公司系 统100个节点的高速数据通信络平台，实现了核心区域网状连接、 各区域内双星型上联的网络架构。据调研，公司现有各个业务，没有启动MPLS VPN，故各个业务

2、路由和数据之间，没有进行逻辑隔离，共用网络的带宽和其他资源。 与网络不同，新建的网络建设将采用 MPLS VPN组网技术，各个业 务承载在相应的独立 VPN中隔离运行，通过路由策略和 QoS进行区 分。总之，本次割接工作总体方案即将现有全省业务从现有网络割接 至网络建设的独立VPN中运行。1.2割接原则一、安全第一原则本次割接技术难度大，原有网络结构将发生巨大变化，风险大， 所有方案和操作要安全第一，先易后难、先试点再推广、先一般业务 再重要业务。二、方便回退原则所有操作留有余地，不轻易删除原有配置，保证任何操作能快速 回退。三、提前准备原则不影响业务的准备操作要按照时间点提前完成， 比如跳纤

3、，设备 IP分配，新建链路的协议建立等等，保证割接的检修时间充足，留有 处理问题和验证业务的时间。四、分工协作原则本次割接难度大，任务重，风险高，需要各单位组密切配合，共同完成。2、公司网络现状2.1XX公司网络建设改造方案图1.1 XX公司网络建设网络架构建成后的XX公司网络建设采用MPLS VPN组网技术，根据VPN 划分方案，以后XX省内的信息内网业务、视频业务、语音业务、IMS 业务将逐步过渡到网络建设。22网络现状现有网络采用分层的拓扑结构，分为 2个核心节点、15个骨干 节点。公司配置2台XX设备作为核心设备，XX节点配置1台XX 设备作为核心设备，每个骨干层节点上配置2台XX设备

4、作为骨干设 备。XX节点骨干设备分别采用1条622M链路+ 1条155M链路和公 司核心PE设备互联，采用1条155M链路和节点XX核心PE设备 互联，链路之间保持冗余和独立。公司配置2台XX核心交换机、2台XX硬件防火墙和2台核心 PE设备之间采用口字形方式连接实现服务器区业务的接入。节点配 置2台XX硬件防火墙和2台骨干PE设备之间采用口字形方式连接， 实现节点与上级公司之间业务的交互。信息广域现况如下图：2.2.1 XXXX业务现状目前，各节点和上级公司直属单位信息内网业务、营销业务等多个业务均通过上级公司XXXX上联至公司。图2.2-2上级公司XXXX 业务拓扑图2.2.2 XXXX业

5、务现状现有各节点XXXX业务情况如下：表2.2-1 XXXX业务情况表以XXXX公司为例，节点信息内网业务拓扑图如下：图2.2-3XXXX公司信息内网业务拓扑图综上所述，各节点的2台XXXX设备作为各节点信息内网、 XXXX业务、XXXX工单业务至上级公司的出口。本期工程若进行 信息内网割接，需要考虑 XXXX上承载的XXXX业务和XXXX工 单业务的割接方案。2.3XXXX 现状XXXX业务各节点通过信息内网和传输专线上联至上级公司，据了解，上级公司至节点业务使用信息内网通道， 传输通道作为备用通 道。图2.3-1XX省XXXX系统网络拓扑图各节点XXXX业务通过信息内网和传输专线上联至上级

6、公司， 据了解，仅传输专线通道承载 XXXX会议业务（少数节点采用信息 内网）。图2.3-2XXXX市公司XXXX系统网络拓扑图2.4 XXXX工单业务现状XXXX工单业务仅覆盖在各个节点。现在 XXXX工单业务无独 立通道，包含在信息内网业务中。3、网络割接方案由于现有网络上节点XXXX包含地区信息内网业务、XXXX工 单业务和XXXX业务。本次信息内网割接后各节点放置的 XXXX路 由器将不再使用，为了不影响XXXX业务，本次割接方案需考虑XXXX业务、XXXX工单业务的割接方案。XXXX工单业务属于内网业务，需将XXXX工单业务IP地址调 整至各节点内网中。3.1信息内网割接方案上级公司

7、原有的 XXXXA 和XXXXB与公司信息CE1与CE2已 具备链路，在现有信息CE1和CE2上对信息内网业务进行配置可以 实现信息内网业务，在割接过程中如需回退，则在信息CE上调整路仅供个人参考由优先级，并在PE上修改MED使原信息内网业务仍流经原公司链路。割接前拓扑图如下所示：图3.1-1XX上级公司信息内网割接前示意图第一步：按照上级公司信息内网割接拓扑进行设备连接， 并打上 临时标签，同时保持上级公司信息CE与公司PE设备互联链路不动， 上级公司信息内网割接拓扑如下所示：（工程中心）图3.1-2XX上级公司信息内网割接示意图第二步：参照搜资内容（割接相关设备新增的互联端口信息）， 在上

8、级公司相关设备（、XXXX ）信息VPN业务所使用的端口，做 出相应配置，绑定到信息 VPN实例，并通过路由本地优先级控制使 信息内网业务流仍经过原公司链路， 本地优先级越高越优，公司链路 本地优先级CE1 500、CE2 100，修改新增链路学到的路由本地优先 级为CE1 80 CE2 50公司回程路由通过 AS-PATH控制，越少越优， 公司链路发布路由的AS-PATH 54676 54676,修改新增链路发布路由 的AS-PATH 54676 5467&在省调PE及备调PE上做路由汇总和路由 过滤，只发送被允许的汇总路由至公司；（工程中心、信息内网割接组）上级公司PE1-RR设备（）配置

9、：1.配置互联端口地址，并绑定相应 VPN实例：in terface GigabitEthernet 3/2/1不得用于商业用途仅供个人参考ip binding vpn-i nsta nee spi2.bgp协议配置:bgp 64600ip vpn-i nsta nee spiaddress-family ipv4 uni eastpeer as-nu mber 54676 peer allow-as-looppeer substitute-apeer soo 54676:54918上级公司CE设备(XXXX)配置：1.配置互联端口地址，并绑定相应 VPN实例:nterfaee Gigabit

10、Ethernet 2/0/6ip binding vpn-i nsta nee spiip address2.bgp协议配置:bgp 54676peer as-nu mber 64600ipv4-family un icastundo synchroni zatio nimport-route directpeer route-policy local import peer route-policy as-path exportoute-policy as-path permit node 10apply as-path 54676 54676route-policy local permi

11、t node 10apply local-prefere nee 803.ospf协议配置:ospf 100 router-idfilter-policy ip-prefix spi-deny importimport-route bgp permit-ibgp cost 10 type 1 route-policy spi-gwarean etworkn etworkroute-policy spi-gw permit node 10if-match ip-prefix spi-ip ip ip-prefix spi-ip in dex 10 permit 8 greater-equal 8

12、 less-equal 8ip ip-prefix spi-ip in dex 20 permit8 greater-equal 8 less-equalip ip-prefix spi-ip in dex 21 permit8 greater-equal 8 less-equalip ip-prefix spi-ip in dex 22 permit8 greater-equal 8 less-equal 8ip ip-prefix spi-ip in dex 23 permit8 greater-equal 8 less-equal 8ip ip-prefix spi-ip in dex

13、24 permit8 greater-equal 8 less-equal 8ip ip-prefix spi-ip in dex 25 permit8 greater-equal 8 less-equal 8 ip ip-prefix spi-ip in dex 26 permit 8 greater-equal 8 less-equal 8 ip ip-prefix spi-de ny in dex 10 deny 8 greater-equal 8 less-equal ip ip-prefix spi-de ny in dex 20 permit 0 less-equal 324黑洞路

14、由:ip route-staticNULLO prefere nee 200ip route-staticNULL0 prefere nee 200ip route-staticNULL0 prefere nee 200省调RRXXXXRR路由过滤配置:acl number 2001不得用于商业用途仅供个人参考description spi aclrule 1 permit sourcerule 2 permit sourcerule 3 permit sourcerule 4 permit sourcerule 5 permit sourcerule 6 permit sourcerule

15、7 permit source 0rule 8 permit sourcerule 9 permit sourcerule 10 permit sourcerule 100 denybgp 64600address-family vpnv4peer route-policy spi exportpeer route-policy spi export第三步：在上级公司 CE上查看VPNv4路由表，确保能看到节 点信息VPN的路由，修改新增链路路由优先级为 CE1 700 CE2 600 不增加AS-PATH使信息业务流量经过新增链路，同时测试信息内网 业务功能是否正常，如正常，则进行下一步，如

16、不正常，则断开上级 公司PE与信息CE之间链路并检查相关设备配置，重复第三步直到 业务内网功能正常；（工程中心、信息内网割接组） 1.bgp协议配置:bgp 54676不得用于商业用途仅供个人参考ipv4-family un icastundo synchroni zatio n peer route-policy local importroute-policy local permit node 10apply local-prefere nee 700图3.1-3XX上级公司信息内网割接后示意图第四步：割接完成，将临时标签换成正式标签，并规范整理新增 链路。（工程中心）根据公司要求，本次

17、割接后网络建设节点出口将不再保留防火墙。节点信息内网割接方案采用将两台XXX 9508（XXXX公司为Cisco 6500）上联至F3016的通道割接至两台市公司新增 CE1与CE2, 使用信息内网VPN，以XXXX公司信息内网为例，割接示意图如下： （根据科信部意见，本期割接后，防火墙若需保留可自行安排）图3.1-4XXXX公司信息内网割接后方案一示意图在割接过程中如需回退，则在 shutdown掉S9508至新增CE之 间链路，删除S9508上ospf进程中的Area0区域，使原信息内网业 务仍经过原节点XXXX。图3.1-6XXXX公司信息内网割接前示意图第一步：按照节点割接拓扑准备跳线

18、，并打上临时标签，同时保 持节点信息内网设备（S9508）与原节点XXXX设备互联链路不动，新增链路测试端口 up之后，shutdown掉新增链路连接的端口；（各节点现场工作组）图3.1-7XXXX公司信息内网割接示意图第二步：参照搜资内容（割接相关设备新增的互联端口信息），找到各节点相关设备信息 VPN业务所使用的端口，做出相应配置， 绑定到信息VPN实例；（工程中心、信息内网割接组、各节点现场 工作组）各节点IP地址在节点CE上做路由汇总，对于准入系统使用的1.228等地址段，超出公司规定范围，有两种种解决方案：一在所有 节点部署准入服务器，保证1.228等地址段只需要在节点内通信，二,

19、更改1.228等节点21地址段，符合公司最新IP地址规范。推荐是用 方案二。（信息内网割接组）节点PE （）设备配置：1.配置互联端口地址，并绑定相应 VPN实例:in terface GigabitEther net x/x/xip binding vpn-i nsta nee spiip addres2.bgp协议配置:bgp 54916ip vpn-i nsta nee spiaddress-family ipv4 uni eastpeer x.x.xx as-nu mber 54676 peer x.x.x.x allow-as-looppeer substitute-apeer so

20、o 54916:54916节点CE ()设备配置:1.配置互联端口地址，并绑定相应vpn实例:in terface GigabitEther net x/x/xip binding vpn-i nsta nee spiip address2.bgp协议配置:bgp 54676ip vpn-i nsta nee spiaddress-family ipv4 uni eastpeer as-nu mber 54676peer route-poliey loeal importpeer route-poliey med exportroute-poliey med permit node 10app

21、ly cost 100route-policy local permit node 10apply local-prefere nee 5003.ospf协议配置:ospf100import-route bgp permit-ibgp cost 10 type 1area n etwork4黑洞路由:ip route-staticNULLO prefere nee 200节点现网设备（S9508）配置:1.配置互联端口地址:in terface Vla n-i nterface xxxip address2.ospf协议配置:第三步：断开原有S9508至XXXX之间链路，开启shutdown掉

22、的新增链路连接接口，同时测试信息内网业务功能是否正常，如正常, 则进行下一步，如不正常，则还原原有S9508至XXXX 之间链路shutdown新增链路连接接口，并检查相关设备配置，重复第三步直到 业务内网功能正常；（工程中心、各节点现场工作组、信息内网业务 组）节点现网设备（S9508）配置：1.OSPF协议配置:ospf 100 router-idimport-route bgp permit-ibgp cost 10 type 1图3.1-8XXXX公司信息内网割接后示意图第四步：割接完成，将临时标签换成正式标签，并规范整理新增链路。（各节点现场工作组） 3.2 XXXX系统割接方案将公

23、司网络建设放置在 XX的两台视频CE1和视频CE2上联至 上级公司本部PE1和PE2,实现XXXX业务整体割接，对应至视频 VPN。在割接过程中如需回退，则在信息 CE上调整路由优先级，并 在PE上修改MED使原视频指挥业务仍流经原公司链路。割接前示 意图如下所示：图3.2-1上级公司应急指挥割接前示意图第一步：按照上级公司应急指挥割接拓扑进行设备连接， 并打上 临时标签，同时保持上级公司视频CE与公司PE设备互联链路不动， 上级公司应急指挥割接拓扑如下所示；（工程中心、会议电视割接组）图3.2-2上级公司应急指挥割接示意图第二步：参照搜资内容（割接相关设备新增的互联端口信息）， 在上级公司相

24、关设备（、NE20E）视频VPN业务所使用的端口，做 出相应配置，绑定到信息 VPN实例，并通过路由本地优先级控制使 应急指挥业务流仍经过原公司链路， 优先级越高越优，公司链路本地 优先级CE1 300、CE2 100，修改新增链路学到的路由本地优先级为 CE1 80 CE2 50;公司回程路由通过as-path控制，越少越优，公司链 路发布路由的 AS-PATH 54673 54673,修改新增链路发布路由的 AS-PATH 54673 54673在CE上做路由汇总，在省调和备调RR上做 路由过滤，只发送被允许的汇总路由至公司；（工程中心、会议电视割接组）第三步：在上级公司 CE上查看VPN

25、v4路由表，确保能看到节 点应急指挥VPN的路由，修改路由优先级为 CE1 700 CE2 600不增 加AS-PATH使应急指挥业务流量经过新增链路，同时测试应急指挥 业务功能是否正常，如正常，则进行下一步，如不正常，则断开上级 公司PE与视频CE之间链路并检查相关设备配置，重复第三步直到 视频应急指挥业务功能正常；（工程中心、视频会议割接组）不得用于商业用途仅供个人参考图3.2-3上级公司应急指挥割接后示意图第四步：割接完成，将临时标签换成正式标签，并规范整理新增 链路。（工程中心）将市公司应急S5700上联到XXXX的通道割接至市公司新增 CE1与CE2，使用视频VPN。以XXXX公司为

26、例，在割接过程中如 需回退，则在shutdown掉S5700至新增CE之间链路，使原信息内 网业务仍经过原节点XXXX。割接示意图如下：图3.2-4XXXX公司应急指挥割接示意图各节点XXXX系统现有通道采用信息内网通道或者传输专线的 方式，拓扑结构大致相近，在本期 XXXX系统割接实施之前，各节 点需将现有信息内网的 XXX 9508（XXXX公司为Cisco 6500连接 至应急NE20,同时需保证该地区内现有的XXXX 业务已汇总至S5700,才能保证应急业务割接的顺利进行。图3.2-5XXXX公司应急指挥割接前示意图第一步：按照节点应急指挥割接拓扑准备跳线，并打上临时标签， 同时保持节

27、点应急指挥设备（S5700）与传输主干网链路不动，新增链 路测试端口 up之后，shutdown掉新增链路连接的端口，节点应急指 挥割接拓扑如下所示；（各节点现场工作组、会议电视割接组）图3.2-6XXXX公司应急指挥割接示意图第二步：参照搜资内容（割接相关设备新增的互联端口信息），不得用于商业用途仅供个人参考找到各节点相关设备视频 VPN业务所使用的端口，做出相应配置, 绑定到信息VPN实例；(工程中心、各节点现场工作组、会议电视 割接组)节点PE ()设备配置：3. 配置互联端口地址，并绑定相应VPN实例：in terface GigabitEther net x/x/xip bindin

28、g vpn-i nsta nee spiip address4. bgp协议配置：bgp 54914ip vpn-i nsta nee spiaddress-family ipv4 uni eastpeer x.x.x.x as-nu mber 54673peer x.x.x.x allow-as-looppeer substitute-aspeer soo 54673:54914节点CE ()设备配置：1.配置互联端口地址，并绑定相应 vpn实例:in terfaee GigabitEther net x/x/xip binding vpn-i nsta nee spvv ip address2.bgp协议配置:bgp 54673ip vpn-i nsta nee spiaddress-family ipv4 uni eastpeeras-nu mber 5467peer route-policy local importpeer route-policy med exportroute-policy med permit node 10apply cost 100route-policy local permit node 10apply local-prefere nee 5003.ospf协议配置:ospf100i