汽车厂建设方案.docx

杭州汽车整车厂建设方案锐捷网络汽车整车厂建设方案杭州天网电子技术有限公司2011.04目录1汽车厂网络需求分析32汽车厂网络建设方案42.1、核心层设计42.2、汇聚层设计52.3、接入层设计63方案特点74产品介绍84.1、多业务IPv6核心路由交换机RG-S780084.2、双协议栈多层交换机RG-S3760E134.3、安全接入交换机RG-S2300171汽车厂网络需求分析汽车厂的网络建设在规划设计时，应遵从以下原则：可用性：满足汽车整车厂建设的各种业务需求。提供高带宽和高质量的传输通道，支持多种业务的高速、高效传输。先进性：所选用的组网技术和网络产品应是先进、成熟的，已经在国内外被广泛使用，其网络产品支持最新的国际标准和国内外有关的规范要求；符合计算机、网络通讯技术的最新发展潮流。可靠性：汽车整网的网络传输平台必须是一个能够提供724小时的可用性和强壮的冗余性与容错性的信息传输网络。网络要求具有很好的稳定性和可靠性，并有一定的备份手段和机制。兼容性：整个网络能够提供丰富的业务接口类型，可支持多种业务的传输。同时，网络还要具有很好的兼容性，网络采用的协议和设备接口符合相关的国际标准和规范。扩展性：考虑到将来信息化的飞速发展，因此网络平台可支持灵活的链路及路由备份。并可以根据业务和需求的变更，随时调整关键应用网络带宽、网络架构等。易维护性：网络易于安装、操作，易于系统管理员的快速维护和快速故障诊断。2汽车厂网络建设方案整网的网络部署采用扁平化的三层网络架构：接入层、汇聚层和核心层，汽车厂的网络建设将采用先进的、成熟的网络技术和网络产品，建设一个快速稳定、安全、易管理的宽带多业务网络传输平台：2.1、核心层设计网络核心层是数据传输的中心，不仅要保证7*24小时的稳定运行，各种应用服务器的数据能够被稳定可靠的传输，同时，还要协调各功能子网之间，功能子网和互联网资源之间的数据流量和访问策略，在提供信息服务的同时，保证网络中心自身的安全。在网络的可靠性和稳定性保障方面，网络核心设计采用2台核心交换机互为容错备份，并在核心交换机中采用关键模块冗余设计（如双电源冗余等），启用OSPF、VRRP、RSTP、MSTP协议等技术；完善的全网架构，核心层双链路交换系统设计最大程度上避免单点故障，是一种高级别交换完全冗余的容错方案，这样即使其中一条链路断线或一个主干交换机发生故障，都能在用户觉察不到的极短的时间内启用备份恢复数据传递，从而保证网络系统的高可靠性、稳定性的运行。根据可靠性、稳定性、扩展性、性能上的分析，网络核心建议选用2台高性能的锐捷全模块化IPv6骨干路由交换机RG-S7806，两台核心设备之间采用双链路千兆链接，提供高速通道。RG-S7806，拥有6个槽位，提供管理模块冗余，支持万兆、千兆和百兆模块线速转发。RG-S7606交换机高达1.6T的背板带宽，900G交换容量和670Mpps的二/三层包转发速率可为用户提供高速无阻塞的线速交换，强大的交换路由功能、为学校网络用户提供超强的数据处理能力。同时RG-S7806支持负载均衡、冗余备份、QOS、ACL、NAT、策略路由、防DDOS攻击、非法数据包检测、数据加密、防源IP欺骗、防IP扫描等强大的功能，同时板卡支持分布式处理和热插拔，是汽车厂核心交换机的理想选择。2.2、汇聚层设计从性能，安全和扩展角度综合考虑，在汇聚层部署2台双协议栈多层交换机RG-S3760E-24，均通过双归千兆链路连接两台核心层交换机RG-S7806。RG-S3760E-24拥有4个光电复用的千兆端口，高达49.6Gbps的交换容量支持所有端口线速转发，为用户边缘网络提供灵活的部署方案。同时RG-S3760E系列交换机硬件支持IPv4/IPv6双协议栈多层线速交换和功能特性，为IPv6网络之间的通信提供了丰富的Tunnel技术，并提供了丰富而完善的路由协议，以适合大型网络多种路由和多业务的需要。RG-S3760E-24系列交换机在提供高性能、多业务的同时，其内在的安全防御机制和用户管理能力，更可有效防止和控制病毒传播和网络攻击，控制非法用户接入和使用网络，保证合法用户合理化使用网络资源，充分保障网络安全、网络合理化使用和运营。RG-S3760E-24系列以高性能、高安全、多业务、易用性特性为大型网络汇聚和中型网络核心提供了IPv4/IPv6的多层交换、端到端的服务质量、灵活丰富的安全措施和基于策略的网管，最大化满足高速、安全、多业务的下一代企业网需求。所有汇聚交换机与核心交换机之间全部运行动态路由协议OSPF，实现路由的冗余备份和负载均衡。极大的提高网络的运行性能。2.3、接入层设计接入层采用全千兆智能接入交换机S2328G，在提供高性能和高带宽的同时，还能提供智能的流分类、以及完善的端到端的QoS服务质量，并可以根据网络的实际使用环境，实施灵活多样的安全控制策略，有效防止和控制病毒传播和网络攻击，控制非法用户接入和使用网络，保证合法的用户合理化地使用网络资源，充分保障了网络高效安全、网络合理化使用和运营。RG-S2300系列是锐捷网络为构架安全稳定的网络推出的基于新一代硬件架构的安全智能交换机，充分融合了网络发展需要的高性能、高安全、多业务、易用性特点，为用户提供全新的技术特性和解决方案。RG-S2300系列的ARP检测功能有效遏制了网络中日益泛滥的ARP网关欺骗和ARP主机欺骗的现象，保障了用户的正常上网。无论在动态分配IP环境下，还是静态分配IP环境下，均可实现自动绑定工作，大大的节省了人力成本，降低了管理开销。而配合ARP速率监控可以控制端口ARP报文发送的速率，防止恶意利用扫描工具进行ARP泛洪占据网络带宽，导致网络拥塞的攻击行为。根据网络实际使用环境，对进入交换机的报文识别并采取通过/丢弃的措施（ACL)，RG-S2300系列可实施灵活多样的安全控制策略，有效防止和控制病毒传播和网络攻击，拒绝非法用户使用网络，保证合法用户合理使用网络资源，充分保障网络安全和网络合理化使用和运营。同一配线间的接入交换机RG-S2300均通过千兆双绞线线连接汇聚三层交换机上，在汇聚层设备上为每个VLAN启用网关。3方案特点 全冗余网络结构，无单点故障，保证业务高可用性； 核心设备部署双引擎，实现引擎冗余备份，保证网络高稳定、高可靠性； 设备支持专用的ARP网关欺骗防范功能，配置简单实用，可有效防止静态或动态分配IP网络中网关被欺骗的现象； 设备支持精细的带宽控制，实现细化的服务级别，业务提供能力强； 规模建设，有利于降低户均施工成本，并能灵活的实现更大范围的网络覆盖； 设备支持VPN、MPLS VPN等先进特性，满足未来5-10年网络应用，并能实现和分支汽车厂可靠安全互联；4产品介绍4.1、多业务IPv6核心路由交换机RG-S7800RG-S7800系列交换机是锐捷网络推出的以业务为核心、面向下一代网络的万兆骨干路由交换机，提供大容量、高密度、模块化体系架构，完全满足城域以太网、下一代IPv6网络、大型企业园区网的各种需求。产品基于锐捷网络自主知识产权的RGOS操作系统，在提供稳定、可靠、安全的高性能L2/L3层交换服务基础上，具有强大组播、基于策略的QOS、有效的安全管理机制和电信级的高可靠设计，同时进一步融合MPLS VPN、IPv6、网络安全络等多种网络业务，提供不间断转发、不间断升级、优雅重启、环网保护、双机虚拟化等多种高可靠技术，满足现代网络的多种业务承载融合和业务灵活分类、分流的组网需求。可以根据用户的需求灵活配置，构建弹性可扩展的现代IP网络。RG-S7800系列交换机作为锐捷网络的高端产品之一，强大的交换路由功能、安全智能技术可同锐捷各系列交换机配合，为用户提供完整的端到端解决方案，是小型网络核心和大型网络骨干交换机的理想选择。全兼容、模块化系列产品RG-S7800系列交换机目前提供S7806、S7804、S7804R三款模块化产品，可以满足不同规模企业不同网络层次的应用需求，同时这些模块化机架式交换机采用统一的硬件和软件平台，完全兼容的线卡，以及与锐捷面向十万兆平台的高端产品RG-S8600系列、RG-S9600系列相同的软件版本，可以适应不断发展的企业网络，充分保护用户的投资。IPv6的全面支持全面支持IPv6协议族及编址结构，支持ND（邻居发现）、ICMPv6、Path MTU Discovery、DNSv6、DHCPv6等IPv6特性。全面支持IPv6静态路由、RIPng、OSPFv3、IS-ISv6、BGP4+等IPV6单播路由协议，支持MLD v1/v2、MLD Snooping、PIM-SM/DMv6、PIM-SSMv6等IPv6组播特性，为用户提供完善的IPv4/IPv6解决方案。支持丰富的IPv4向IPv6过渡技术，包括：IPv6手工隧道、6to4隧道、ISATAP隧道、IPv4 over IPv6 隧道等隧道技术，保证IPv4网络向IPv6网络的平滑过渡。支持丰富的IPv6管理特性，支持SNMP v6、Ping /Traceroute v6、IPv6 TACACS+/ RADIUS、Telnet/SSH v6、NTP v6，满足纯IPv6网络设备管理的需要。虚拟化技术支持VSU（Virtual Switch Unit）即虚拟交换单元，能将传统网络中两台核心层交换机用VSU替换，VSU和汇聚层交换机通过聚合链路连接，将多台物理设备虚拟为一台逻辑上统一的设备，使其能够实现统一的运行，从而达到减小网络规模、提升网络高可靠性的目的。IPFIX流量透明化方案RG-S7800系列交换机在业内率先支持最新一代国际流量监控标准IPFIX（IP Flow Information Export）。符合国际标准发展趋势。结合锐捷流量分析系统，IPFIX技术可以对对网络中的所有流量进行统计分析和异常检测，输出各种丰富的网络流量分析报表，包括：流量使用报表、历史报表、接口报表、可解析的主机地址、流量分析、变量显示等信息，能够帮助管理员在网络异常行为发生时快速分析出网络中存在的问题，为网络容量规划、网络应用监控以及故障诊断等提供客观准确的决策依据，实现真正的网络流量可视化。电信级的高可靠性设计l 无单点故障设计RG-S7800采用无源背板避免机箱出现单点故障；所有关键器件，如引擎、电源、风扇和Crossbar等均采用冗余设计；双引擎切换时实现万兆数据业务不中断转发，有效保证网络稳定。所有单板和电源模块支持热插拔功能，并且对其它单板上运行的业务无影响。l 弹性以太网技术RG-S7800支持RERP技术（快速以太网环保护协议），融合了SDH故障自愈的高可靠性与以太网的经济性、高带宽等优势，在RERP网络上扩展支持IPv4/v6路由协议、MPLS功能，可以保障万兆线速业务情况下小于50ms的故障切换时间，保证语音、视频等实时业务不受网络收敛影响。RG-S7800支持REUP技术，在扩展支持IPv4/v6路由协议、MPLS功能的情况下，保证双链路上联网络拓扑的业务毫秒级快速切换。l 路由协议的高可靠保障RG-S7800支持OSPF/IS-IS/BGP的优雅重启技术（Graceful Restart），提供毫秒级的切换时间；支持ECMP/WCMP，可帮助用户使用多条链路，不仅增加了传输带宽，并且可以无时延无丢包地备份失效链路的数据传输，实现流量的负载均衡及冗余备份；支持动态路由协议、跨板端口聚合、虚拟路由冗余协议（VRRP）等保护机制，有效保证全网高速可靠运行。高性能MPLS业务处理RG-S7800系列产品全面支持MPLS功能，支持标准的MPLS标签交换功能、基于BGP/MPLS VPN的三层VPN功能、基于Martini的点到点二层VPN功能以及基于VPLS的点到多点二层VPN功能。RG-S7800系列产品支持高性能的MPLS业务处理，硬件支持MPLS标签的万兆线速处理，不存在处理的瓶颈，满足大规模MPLS网络核心设备高性能的需求。设备级安全体系-CSS安全体系CSS安全体系，全面融合网络安全特性，智能保护核心设备和网络。l 安全监控NFPP（Network Foundation Protection Policy）基础安全保护策略，采用基于网络威胁的安全处理模式，联动网络攻击检测和网络攻击防护。在网络攻击即将到来的时候自动下发安全策略硬件隔离攻击源头。l 安全防护CPP（CPU Protect Policy）技术，业界领先的硬件CPU保护技术，CPP技术对发往CPU的IPv4/IPv6等多层协议报文自动进行流区分和流限速，避免异常报文对CPU的攻击和资源消耗，保证核心设备在IPv4/IPv6三层网络、二层网络环境中核心设备CPU稳定运行。基于SPOH技术提供标准、扩展、MAC、时间、专家级、ACL80、基于Vlan一系列ACL技术，支持IPv4/IPv6双栈下的ACL功能。在配置数千条ACL的情况下，同样实现万兆线速数据转发。最长匹配（LPM）三层交换技术，将静态方式、动态方式学习到的IPv4/v6路由直接以网段形式存储于硬件转发表，一个目的网段使用一个转发表项，而不明目的网段IP地址的数据包直接通过硬件缺省路由转发，极大地节约硬件存储空间，避免了存储溢出导致CPU利用率过高问题，保障设备的正常运行。RG-S7800采用硬件方式提供多种安全防护能力，例如防DDOS攻击、非法数据包检测、防扫描、防源IP地址欺骗等等，避免了传统软件实现方式对整机性能的影响。支持广播报文抑制，有效控制非法广播流量对设备造成冲击。支持IPv4/v6、VLAN 、MAC和端口等多种组合绑定方式，提高用户接入控制能力。l 安全管理RG-S7800系列支持用户分级管理，不同级别的用户拥有不同的配置权限；支持安全的SNMPv3网管协议；支持安全的远程登录SSH V2；支持受限IP地址方式的Telnet登录。支持IEEE 802.1x、AAA/Radius、TACACS，对用户身份进行合法性认证；l 安全隔离RG-S7800系列支持OSPF、RIPv2 及BGPv4 报文的明文及MD5密文认证；支持MPLS VPN、VPWS等VPN功能，保证路由信息的隔离。支持IGMP源端口检查、源IP检查、IGMP过滤等功能，可有效控制非法组播源，提高网络安全。通过PVLAN（端口保护）隔离用户之间信息互通，不必占用VLAN资源。端口MAC地址锁、MAC地址过滤、端口MAC地址接入数量限制功能可以屏蔽非法主机的接入和非法数据包进入网络。扩展的路由技术l 基于每个SVI接口的default route配置基于SVI接口的缺省路由优先级比基于整机的缺省路由优先级高，所以，当需要为缺省路由设置备份线路的时候可以使用该功能很好地实现。ECMP/WCMP（Equal-Cost Multipath Routing/ Weight-Cost Multipath Routing）在拥有多条不同链路到达同一目的地址的网络环境中，如果使用传统的路由技术，发往该目的地址的数据包只能利用其中的一条链路，其它链路处于备份状态或无效状态，并且在动态路由环境下相互的切换需要一定时间，而等值多路径路由协议（ECMP）和权重多路径路由协议（WCMP）可以在该网络环境下同时使用多条链路，不仅增加了传输带宽，并且可以无时延无丢包地备份失效链路的数据传输。l 基于目的IP地址的策略路由在拥有多条不同链路到达同一目的地址的网络环境中，使用基于目的IP地址的策略路由可以在多条链路间实现等值负载均衡和相互备份。l 策略路由在拥有多条不同链路到达同一目的地址的网络环境中，策略路由功能可基于数据包的源IP地址、目的IP地址、协议字段、TCP/UDP源端口号、TCP/UDP目的端口号等特征进行多条出口链路间的灵活选择和相互备份。4.2、双协议栈多层交换机RG-S3760ERG-S3760E系列是锐捷网络推出的一款全面支持IPv6的机架式多层交换机系列产品。该系列产品为IPv4网络的建设、IPv4向IPv6网络过渡、以及IPv6网络的建设和通信提供了最直接和最方便灵活的技术实现和方案保障。RG-S3760E系列交换机硬件支持IPv4/IPv6双协议栈多层线速交换和功能特性，为IPv6网络之间的通信提供了丰富的Tunnel技术，并提供了丰富而完善的路由协议，以适合大型网络多种路由和多业务的需要。RG-S3760E系列交换机在提供高性能、多业务的同时，其内在的安全防御机制和用户管理能力，更可有效防止和控制病毒传播和网络攻击，控制非法用户接入和使用网络，保证合法用户合理化使用网络资源，充分保障网络安全、网络合理化使用和运营。RG-S3760E系列交换机为方便大型网络使用和不同管理员的管理习惯，提供了多种形式的管理工具如SNMP、Telnet、Console口等。RG-S3760E系列交换机以高性能、高安全、多业务、易用性特性为大型网络汇聚和中型网络核心提供了IPv4/IPv6的多层交换、端到端的服务质量、灵活丰富的安全措施和基于策略的网管，最大化满足高速、安全、多业务的下一代企业网需求。高性能IPv4/IPv6双栈协议多层交换l 高背板带宽为所有的端口提供非阻塞性能；l 硬件支持IPv4/IPv6双协议栈多层线速交换，硬件区分和处理IPv4、IPv6协议报文，支持多种Tunnel隧道技术（如手工配置隧道、6to4隧道和 ISATAP隧道等等，可根据IPv6网络的需求规划和网络现状，提供灵活的IPv6网络间通信方案；l 双协议栈的支持和处理，使得无需改变网络架构，即可将现有网络无缝地升级为下一代IPv6方案；l 丰富完善的路由性能和超大容量路由表资源可满足大型网络动态路由需要；l 基于LPM硬件路由转发方式使得RG-S3760E系列不仅适用于大型网络环境，而且可防御各种网络病毒的侵袭，保障所有报文线速转发，有效保证了设备的安全性。l 支持Multi-VRF功能，可以在BGP/MPLS VPN组网应用中承担多个VPN实例的CE功能，减少用户设备的投入。灵活完备的安全控制策略l 具有的多种内在机制可以有效防范和控制病毒传播和黑客攻击，如预防Dos攻击、防黑客IP扫描机制、端口ARP报文的合法性检查、多种硬件ACL策略等，还网络一片绿色；l 业界领先的硬件CPU保护机制：特有的CPU保护策略（CPP技术），对发往CPU的数据流，进行流区分和优先级队列分级处理，并根据需要实施带宽限速，充分保护CPU不被非法流量占用、恶意攻击和资源消耗，保障了CPU安全，充分保护了交换机的安全；l 硬件实现端口或交换机整机与用户IP地址和MAC地址的灵活绑定，严格限定端口上的用户接入或交换机整机上的用户接入问题；l 专用的硬件防范ARP网关和ARP主机欺骗功能，有效遏制了网络中日益泛滥的ARP网关欺骗和ARP主机欺骗的现象，保障了用户的正常上网；l SSH（Secure Shell）和SNMPv3可以通过在Telnet和SNMP进程中加密管理信息，保证管理设备信息的安全性，防止黑客攻击和控制设备；l 控制非法用户使用网络，保证合法用户合理化使用网络，如多元素绑定、端口安全、时间ACL、基于数据流的带宽限速等，满足企业网、校园网加强对访问者进行控制、限制非授权用户通信的需求。强大的多应用支持能力l 支持各种单播和组播动态路由协议，可适应不同的网络规模和需要进行大量多播服务的环境，实现网络的可扩展和多业务应用；l 支持IGMPv1/v2/v3全部版本，适应不同组播环境，满足组播安全应用的需要；l 支持丰富的路由协议如等价路由、权重路由等丰富的三层特性和业务特性，满足不同网络链路规划下的通信需要。完善的QoS策略l 以DiffServ标准为核心的QoS保障系统，支持802.1P、IP TOS、二到七层流过滤、SP、WRR等完整的QoS策略，实现基于全网系统多业务的QoS逻辑；l 具备MAC流、IP流、应用流等多层流分类和流控制能力，实现精细的流带宽控制、转发优先级等多种流策略，支持网络根据不同的应用、以及不同应用所需要的服务质量特性，提供服务。高可靠性l 支持生成树协议802.1d、802.1w、802.1s，完全保证快速收敛，提高容错能力，保证网络的稳定运行和链路的负载均衡，合理使用网络通道，提供冗余链路利用率；l 支持VRRP虚拟路由器冗余协议，有效保障网络稳定；l 支持RLDP，可快速检测链路的通断和光纤链路的单向性，并支持端口下的环路检测功能，防止端口下因私接Hub等设备形成的环路而导致网络故障的现象。l 支持BFD，为各上层协议如路由协议，MPLS等提供一种快速检测两台路由设备之间转发路径连通状态的方法，大大减少了上层协议在链路状态变化时的收敛时间。方便易用易管理l RG-S3760E系列交换机灵活复用的千兆接口形式，可灵活满足需要多个千兆链路上链、或多个千兆服务器的连接，方便用户灵活选择和网络扩展；l 网络时间协议保证交换机时间的准确性，并与网络中时间服务器时间统一化，方便日志信息和流量信息的分析、故障诊断等管理；l Syslog方便各种日志信息的统一收集、维护、分析、故障定位、备份，便于管理员网络维护和管理；l CLI界面，方便高级用户配置和使用；绿色环保设计l S3760E-24、S3760E-24-DC交换机采用无风扇静音设计，大大降低了功耗和噪声；S3760E-24P、S3760E-48、S3760E-48P、S3760E-48-DC采用涡轮变速风扇设计，在低温情况下，风扇自动降低转速，降低功耗和噪声。4.3、安全接入交换机RG-S2300RG-S2300系列是锐捷网络为满足构建高安全、多业务支持、易管理，网络量身定制的以太网交换机。灵活的端口形态为网络架构提供方便，也为未来网络扩展提供投资保护。支持混合堆叠，方便用户增加端口密度。通过实施多种多样的安全策略，有效防止和控制网络病毒的扩散。更可提供基于硬件的IPv6 ACL，方便未来网络的升级扩展。高级QoS机制适应网络中多业务的顺利开展，为服务质量提供保证。支持802.1x认证，控制非法用户使用网络，保障网络的合法使用。支持RADIUS协议，实现网络运营和计费，实现网络的运维。RG-S2300系列包括RG-S2328G和RG-S2352G两款，为各类型网络提供无阻塞线速转发和网络安全策略。高带宽和高扩展性l RG-S2300系列提供高达19.2G的背板带宽，实现所有端口线速转发。并提供固化2个千兆Combo口（2个千兆SFP光口和2个10/100/1000M电口复用），灵活实现千兆上联。更可提供2个扩展Combo口为未来网络扩展提供投资保护。l 通过堆叠可在不改变网络拓扑的情况下扩展端口密度，通过混合堆叠，在现有网络端口密度情况下，灵便根据实际情况扩展多个24口或者48口设备。安全控制策略l 通过锐捷安全计费管理平台SAM，不仅可实现用户账号、密码、MAC地址、IP地址、交换机IP、交换机端口等六大元素之间的灵活任意绑定，有效确认用户身份的合法性和唯一性，更能通过交换机特色硬件动态绑定，保障用户身份始终一致性，避免了用户恶意篡改身份信息进行非法攻击等行为；l ARP检测功能有效遏制了网络中日益泛滥的ARP网关欺骗和ARP主机欺骗的现象，保障了用户的正常上网。无论在动态分配IP环境下，还是静态分配IP环境下，均可实现自动绑定工作，大大的节省了人力成本，降低了管理开销。而配合ARP速率监控控制端口ARP报文发送的速率，防止恶意利用扫描工具进行ARP泛洪占据网络带宽，导致网络拥塞的攻击行为；l 支持DHCP snooping，只允许信任端口的DHCP响应，防止未经管理员许可私自架设DHCP Server，扰乱IP地址的分配和管理，影响用户的正常上网的行为；并在DHCP监听的基础上，通过动态监测ARP和检查源IP，有效防范DHCP动态分配IP环境下的ARP主机欺骗和源IP地址的欺骗；l 面对日趋热烈的IPv6应用，S2600系列交换机支持基于硬件的IPv6 ACL，即使在IPv4网络内有IPv6用户，也可轻松在网络边缘实现对IPv6用户的访问控制，既可允许网络内IPv4/IPv6用户并存，也可以对IPv6用户的访问权限进行控制，比如限制对网络敏感资源的访问等