异地园区网设计与建设初探

杨冬武

（中航工业航空动力机械研究所 湖南 412002）

0 引言

由于单位新建办公区域，必然产生已有网络与新建网络连接和协同工作的问题，异地园区网设计与建设应该从物理、逻辑、安全三个方面着手，并根据自身的需求和特点综合考虑、权衡利弊、突出重点，以保证已有和新建园区网能够满足用户日益提高的网络性能需求。

1 物理架构设计

物理架构设计是网络设计的基础，一旦设计建成较难更改，且网络硬件产品更新周期较快，因此在资金允许的情况下网络核心和骨干应尽量采用较高性能的产品，以备今后的网络扩展和升级。

异地园区网的物理设计可以把两个园区网的物理架构设计成相同模式，并通过中间链路连接，也可以在已有园区网的基础上对新的园区网进行物理架构设计，再通过中间链路连接。

传统的园区网物理架构是以核心交换机为中心，一方面通过汇聚交换机连接服务器，另一方面通过汇聚交换机连接楼层接入交换机，再通过接入交换机连接用户终端。

核心交换机是园区网的整网核心，目前往往采用将两台物理核心交换机通过虚拟化技术虚拟为一台的方式来提高核心交换机的性能、带宽和稳定性。

由于用户终端对数据交换的要求和接入交换机性能都不断提高，同时为减少不必要的中间数据交换环节，新建园区网可以选择楼层接入交换机通过光纤直连核心的模式进行数据交换，为提高链路带宽和稳定性，核心和核心之间、核心和楼层交换机之间往往采用链路聚合模式，即可以把两个10G的单链路聚合成一个20G的双链路，如果需求较高可以进行40G甚至80G的链路聚合，而目前市场上能提供的光模块最高带宽为10G。聚合链路中任意一条单链路断开网络不会中断，且聚合的单条物理链路之间可以对流量进行负载分担。

异地园区网物理设计如图1所示：

图1 异地园区网物理设计

2 逻辑架构设计

逻辑架构设计是异地园区网设计的关键，关系到园区网建成后的逻辑结构和核心交换机的运行模式，进而影响整个园区网的性能和扩展性，异地园区网的逻辑架构设计可参考以下三种模式，并根据园区网自身的特点权衡利弊，合理选择。

2.1 物理单核心架构

物理单核心架构是指在两个异地园区网中选择其中一个作为整网核心，另一个园区网作为核心的一部分进入接入。所有的策略、路由、网关都配置在物理核心交换机上，另一园区网的核心交换机实际上只是作为整网的汇聚交换机与物理核心交换机互连。

物理单核心架构的优点是在已有园区网的基础上新建另一物理区域的园区网比较容易，可以不改变已有园区网的拓扑结构和核心配置，在不中断正常业务的情况下，直接扩展新建新的园区网，然后把两个物理网络进行连接，使新建园区网成为已有园区网的一个子网，或者把核心调整部署在新建园区网一边，使已有园区网成为新建园区网的一个子网。由于整网在拓扑结构上没有实质的变化，因此对正常的业务工作影响较小。

物理单核心架构的缺点也非常明显：

（1）整网依赖于物理上的单核心，一旦核心交换机宕机或出现故障将导致整网瘫痪或无法提供网络服务，因此物理单核心架构在逻辑上也是单核心。

（2）由于所有VLAN的网关都存在于核心交换机上，而作为接入子网的一边没有自己的核心交换机，这就导致接入子网的所有数据交换，即使是子网内部的数据交换都必须绕到核心再返回，使异地园区网互连链路上增加了大量不必要的数据包，增加了链路负担，降低了网络性能和效率。

物理单核心架构两个异地园区网之间可以采用二层网络协议进行连接，因此可以在两个物理网络之间安装加密机进行中间链路的信息安全保护。

物理单核心架构如图2所示：

图2 物理单核心架构

2.2 逻辑单核心架构

逻辑单核心架构是将两个异地园区网物理上的核心交换机通过虚拟化技术在逻辑上虚拟为一台，通过虚拟化技术连接的两个物理交换机配置完全相同，这样两个园区网在逻辑上成为一个整体，共用一个核心，所有的策略、路由、网关都配置在这个逻辑核心上，每个VLAN在整个园区网内都是唯一的，两地物理交换机的互连端口采用链路聚合的方式进行连接，链路带宽是聚合的物理链路带宽的叠加，这样部署的优点是：

（1）由于两台物理交换机的互连端口采用链路聚合的方式进行连接，使整网核心在网络带宽和性能上都有成倍的提高。

（2）任意一台物理核心交换机宕机或出现故障，另一物理核心交换机仍能作为整网核心提供网络服务，逻辑上的核心交换机能够正常运行，因为逻辑单核心架构在物理上实际是双核心。

（3）对网络用户影响最小，用户可以在两个异地园区网之间任意改变物理位置而不用修改IP地址，即同一VLAN可以存在于两个异地园区网的任何物理位置。

（4）有利于在已有园区网的基础上异地新建园区网，因为在逻辑上新建的园区网与已有园区网为同一网络，核心交换机策略、VLAN划分和用户IP都不用做任何修改，而新增VLAN在两个物理区域都能使用。

（5）由于配置策略完全相同，中间链路断开后两地的物理核心交换机将独自成为各自园区网的逻辑核心，不会影响两个异地园区网的正常使用。

逻辑单核心架构的缺点是由于两个异地园区网的物理核心交换机之间采用虚拟化技术连接，这就要求中间链路为透明的两层网络连接，而不能使用较为安全的三层网络安全协议连接，给中间链路连接的不可控区域带来一定的安全隐患。

尽管从性能、稳定性、健壮性、可扩展性、方便用户等方面考虑，逻辑单核心架构是较为理想的选择，但如果园区网与互联网物理隔离的保密单位两个异地园区网之间的物理链路存在不可控区域，则必须在两个物理区域之间安装密码机进行数据传输加密，而密码机一般采用三层网络安全协议，这就导致两地核心交换机之间无法使用虚拟化技术，因此对于信息安全要求较高的单位，两个互连的异地园区网之间如果存在不可控区域则不能采用逻辑单核心的架构。

逻辑单核心架构如图3所示：

图3 逻辑单核心架构

2.3 逻辑双核心架构

逻辑双核心架构是指在两个异地园区网内分别建立各自的核心交换机，在各自的核心交换机上建立自己的VLAN网关、路由和配置，两个园区网在物理上是一个整体，可以互连互通，相互交换数据，而在逻辑上是两个独立的网络，

逻辑双核心架构的优点是：

（1）即使中间的互连链路断开两个物理网络都能正常运行，业务工作不受影响，因为逻辑双核心架构在物理上也是双核心。

（2）由于VLAN网关存在于异地园区网各自的核心交换机上，两个物理网络内部的数据交换只在本网内部进行，减少了中间互连链路的上不必要的数据流量。

（3）可以两个物理园区网同步建设，并各自建立自己的核心，建成后再通过物理链路互连，也可以在已有园区网的基础上在另一物理区域新建园区网，然后将新老核心互连，在物理上成为一个网。

（4）逻辑双核心架构的两个物理核心之间不需要使用虚拟化技术进行逻辑上的虚拟整合，因此两个异地园区网之间可以采用三层网络安全协议进行互连，即可以使用密码机对互连链路上的数据通信进行加密保护。

逻辑双核心架构的缺点是：由于同一VLAN的网关只能存在于一个核心交换机上，因此同一VLAN不能同时存在于两个不同的物理区域，用户要在两个物理区域之间变更位置则必须修改IP地址。

逻辑双核心架构如图4所示：

图4 逻辑双核心架构

综合考虑以上三种异地园区网的逻辑设计模式，对于网络安全要求较高的保密单位，如两个异地园区网之间存在不可控区域则应采用逻辑双核心架构的设计模式。

3 网络安全设计

对于保密单位来说，信息安全是网络存在的前提，既要在异地园区网中为用户提供协同、高效的网络运行环境，又要保证整网的信息安全，这就需要对两个异地网络特别是中间连接链路进行全面考虑、综合防护。

如果两个异地园区网之间存在不可控区域，则中间连接链路必须使用加密机进行连接。

园区网内部应采用防火墙进行有效的数据访问控制，防火墙应设置于核心交换机、汇聚交换机和密码机之间，以对服务器、用户终端和异地区域之间的接口流量数据进行端到端的访问控制。

异地园区网网络安全设计如图5所示：

图5 异地园区网网络安全设计

4 结束语

2010年6月，IEEE 802.ba 40G/100G标准发布，以太网跨入40G/100G时代，新建园区网的核心及骨干带宽能达到10G以上，如果异地园区网之间存在不可控区域，考虑到网络安全的因素，应采用逻辑双核心模式并在异地区域之间安装加密机，而目前加密机所支持的最高网络带宽为1G，必然成为异地园区网互连的瓶颈，进而影响核心及整网的性能。未来，随着支持更高网络带宽加密机的推出有望解决这一问题。

[1]谢希仁.计算机网络（第2版）.北京：电子工业出版社，1999.4[2]杭州华三通信技术有限公司.新一代网络建设理论与实践.北京：电子工业出版社，2011.10

[3]（美）赫斯.虚拟化技术实战.北京：人民邮电出版社，2012.3

[4]孙丽丽、王伟峰.网络存储与虚拟化技术.北京：北京航空航天大学，2013.9