1 设计原则

各业务系统的安全运行，对网络系统的可靠性提出了很高的要求。因此在网络的设计实施中必须对网络的可靠性进行详尽的考虑和设计。两台核心交换机之前采用一对万兆光模块互联实现虚拟化。

此次网络项目中，核心交换机与接入交换机之间为双链路互联，通过虚拟化技术，将两台设备虚拟成一台设备，在简化网络拓扑的同时，即方便的网络管理，也避免了二层环路的发生，在具体的部署过程中，为实现链路的快速切换以及保障网络的稳定性，可综合端口聚合、链路单向检测等技术。

2  高可靠的核心架构

   核心层采用虚拟化的方式部署，简化了网络环境，也方便了网络的管理。

2.1三平面安全保障机制设计

提供完善的安全防护机制，可从控制、管理、转发三平面全面保障网络的安全：在控制平面，内置协议报文攻击识别模块，防止TCN、ARP等协议报文攻击，OSPF/BGP/IS-IS路由协议采用MD5验证，防止非法路由更新报文导致的网络瘫痪；在管理平面，SNMPv3网管协议，SSH V2，基于802.1x、AAA/Radius的用户身份认证以及分级的用户权限管理保证了设备管理的安全性；在转发平面，支持IP、VLAN 、MAC和端口等多种组合精细绑定；支持uRPF单播反向路径转发，防止非法流量访问网络，采用最长匹配逐包转发机制，有效抵御病毒的攻击。虚拟化平台 S7500E还支持内置的高性能防火墙、异常流量清洗等模块，将专业的安全融入到交换机之中。

2.2  第二代智能弹性架构

面向园区网横向业务整合的需求，核心交换机支持第二代智能弹性架构技术，将多台高端设备虚拟化为一台逻辑设备，是业界首款支持4框虚拟化的核心交换机产品，在可靠性、分布性和易管理性方面具有强大的优势，主要体现在三个方面：

可靠性：通过专利的路由热备份技术，在整个虚拟架构内实现控制平面和数据平面所有信息的冗余备份和无间断的三层转发，极大的增强了虚拟架构的可靠性和高性能，同时消除了单点故障，避免了业务中断；

分布性：通过分布式跨设备链路聚合技术，实现多条上行链路的负载分担和互为备份，从而提高整个网络架构的冗余性和链路资源的利用率；

易管理性：整个弹性架构共用一个IP管理，简化网络设备管理，简化网络拓扑管理，提高运营效率，降低维护成本。

2.3  基于开放架构的多业务融合

核心交换机采用开放应用架构（OAA），将传统园区网核心交换机的L2至L3的报文转发的简单功能，重新定义为集成L2至L7的深度业务感知，有线无线一体化，有源无源一体化，IPv4/IPv6一体化，网络流量分析与管控等多业务于一体的多业务承载平台。

支持防火墙模块、IPS模块、负载均衡等安全控制模块，可以将安全保护功能扩展到交换机的每个端口；支持虚拟防火墙功能，可以为VPN用户提供网络防火墙的租用服务。实现了网络业务和安全业务的无缝融合。

核心交换机集成无线控制模块，实现有线无线一体化解决方案。无线控制模块提供丰富的业务能力，包括精细的用户控制管理、完善的RF管理及安全机制、快速漫游、超强的QoS和对IPv6的支持等；无线控制模块通过与安全策略服务器的联动，实现对无线接入用户的端点准入防御，提高了整网的安全性。

2.4  全面的IPv6解决方案

IPv6作为下一代网络的基础协议以其特有的技术优势得到广泛的认可，核心交换机全面支持IPv6协议族，支持IPv6静态路由、RIPng、OSPFv3、IS-ISv6、BGP4+等IPV6路由协议，支持丰富的IPv4向IPv6过渡技术，包括：IPv6手工隧道、6to4隧道、ISATAP隧道、GRE隧道、IPv4兼容自动配置隧道等隧道技术，保证IPv4向IPv6的平滑过渡。

3  双归属链路的智能负载分担

以太网链路聚合简称链路聚合，它是将多个物理以太网端口聚合在一起形成一个逻辑上的聚合组，使用链路聚合服务的上层实体把同一聚合组内的多条物理链路视为一条逻辑链路。

链路聚合可以实现数据流量在聚合组中各个成员端口之间分担，以增加带宽。同时，同一聚合组的各个成员端口之间彼此动态备份，如果当其中一第链路故障后，所有的数据报文可以通过另一条链路继续传输，提高了连接可靠性。

 分层 CAR智能流量调度技术

普通CAR技术：CAR 作为流量监管的技术，就是对流量进行控制，通过监督进入网络的流量速率，对超出部分的流量进行“惩罚”，使进入的流量被限制在一个合理的范围之内，以保护网络资源和用户的利益。

CAR 技术原理：采用令牌桶控制流量，当令牌桶中存有令牌时，可以允许报文取令牌进行传输；当令牌桶中没有令牌时，报文必须等到桶中生成了新的令牌后才可以继续发送。这就限制了报文的流量不能大于令牌生成的速度，达到了限制流量，同时允许突发流量通过的目的。例如可以限制 HTTP 报文不能占用超过 50%的网络带宽。如果发现某个连接的流量超标，流量监管可以选择丢弃报文，或重新配置报文的优先级。

分层CAR技术：相比单层 CAR，分层CAR 是一种更灵活的流量监管策略，用户可以在为每个流单独配置单层 CAR 动作的基础上，再通过分层 CAR（第二次 CAR）对多个业务的流量总和进行限制，实现带宽的二次分配。那么，分层 CAR 对已经做过普通 CAR 的各业务流是如何处理的呢？

首先，分层CAR 的处理对象是：普通CAR 处理后的，且动作选择为continue 的报文。

因为只有经过了普通 CAR 处理后，报文才有红绿颜色之分；并且只有选择了 continue，而不是 pass 或者 discard，因为这两个都做就直接对报文转发走了，或者丢弃了，没有机会进入分层CAR 的二次令牌发放过程。

其次，分层CAR 的令牌发放遵循两个原则：第一、先给绿色和未着色报文发放，后给红色报文发放；第二，在第一原则基础上，对红绿报文，均按照各业务普通CAR的配置顺序进行发放，直到发完为止。