31
Коммутаторы доступа осуществляют питание оконечного
оборудования, по технологии Power over Ethernet до 30 Вт/порт.
В качестве свитчей уровня доступа используются устройства HP
5130–48G–PoE+–4SFP+ EI HP 5130 EI. На Рисунке 4 представлены
основные модели коммутатора:
Рис.4–Модели коммутатора HP 5130 EISwitchSeries
Основные характеристики коммутатора представлены в Таблице2
[26]:
Таблица 2
Характеристики коммутатора HP 5130 EI SwitchSeries
тип
коммутатор
Порты 100MbE
нет
32
Продолжение таблицы 2
тип
коммутатор
Порты 1GbE
в зависимости от модели:
24 x 1GbE – RJ–45
48 x 1GbE – RJ–45
8 x 1GbE – RJ–45
в зависимости от модели:
24 x 1GbE – SFP
тип
коммутатор
Порты 10GbE
стандартно:
4 x 10GbE – SFP+
Управление
Web–based GUI
sFlow
LLDP
SNMP
RMON
ISSU
DLDP
L2 коммутация
да
L3 маршрутизация
да
Высокая доступность
Multiple Spanning Tree
IRF
SmartLink
Стекирование
да
33
Продолжение таблицы 2
тип
коммутатор
Безопасность
DHCP protection
SNMPv3
RADIUS/HWTACACS
MAC–based authentication
SSHv2
Dynamic ARP protection
HTTPS
ACLs
SSL
Поддержка PoE
да
Система электропитания
в зависимости от модели:
Фиксированный БП
Отказоустойчивый блок питания,
дублирование по схеме 1+1, с горячей
заменой
Размеры
Высота: 44 мм (1U)
Ширина: 440 мм (19")
в зависимости от модели:
Глубина: 160 мм
Глубина: 360 мм
Глубина: 420 мм
Глубина: 460 мм
Форм–фактор
1U Rackmount
В коммутаторах серии HP 5130 EI SwitchSeries в стек IRF
объединяются 9 шасси, осуществляется поддержка протокола RIP и
статической маршрутизации уровня 3, присутствует поддержка
34
виртуализации, путем объединения в одно логическое устройство до 9
физических коммутаторов.
Модернизация сетей обеспечивается функцией программных сетей
(SDN) с поддержкой OpenFlow 1.3.
Устройства способны осуществлять приоретизацию траффика,
основываясь на его принадлежности определенному физическому порту
или VLAN–у или при удовлетворении набору условий, описанных в
отдельных ACL (AccessControlList).
Функции приоритизации трафика и предотвращения перегрузок
включают в себя следующее: очередь на основе приоритетов (SP),
кольцевой список c весовыми коэффициентами (WRR), взвешенное
произвольное раннее обнаружение (WRED), а также SP+WRR и
назначение политик для трафика с применением технологии Committed
Access Rate (CAR) и учетом пропускной способности [27].
Доступ к CLI, Web–интерфейсу и MIB осуществляется по
протоколам SSHv2, HTTPS и SNMP v1, v2c или v3. Кроме того
применяются функции защиты DHCP, IP SourceGuard, Dynamic ARP
Protection и RADIUS/HWTACAS.
На каждом коммутаторе доступа настроены VLAN, в соответствии с
таблицей VLAN (Таблица 3).
Таблица 3
Распределение VLAN
Наименование
системы
Диапазон
VLAN
Диапазон IP
адресов
Шлюз
Транзитный
сегмент между
ядром сети и
маршрутизатором
500
192.168.32.0/30
192.168.32.1
35
Уровень ядра обеспечивает высокоскоростной обмен информацией
между уровнем доступа, серверной фермой, WAN–сегментом и узлом
Интернет.
В качестве устройства уровня ядра сети выступают два коммутатора,
HP 5920AF–24XG, устанавливаемые в коммуникационных стойках и
соединенные друг с другом посредством DAC–кабелей, образующих
единую логическую коммутирующую линию. Сами коммутаторы
являются один логическим устройством, поскольку объединены в стек с
использованием технологии IRF.
Каждый коммутатор доступа, маршрутизатор подключается к обоим
коммутаторам ядра сети. Подключение осуществляется с применением
технологии EtherChannel. Все EtherChannel каналы настраиваются в
транковом режиме.
Продолжение таблицы 3
Наименование
системы
Диапазон
VLAN
Диапазон IP
адресов
Шлюз
Рабочие станции
персонала
502
172.20.2.0/23
172.20.2.1
Пользователи
беспроводной
локальной
вычислительной
сети
503
172.20.4.0/23
172.20.4.1
Гостевой сегмент
504
72.20.6.0/23
172.20.6.1
Сегмент
телефонии
505
172.20.8.0/23
172.20.8.1
…
…
…
…
36
Стек коммутаторов ядра сети является корневым (root)
коммутатором топологии протокола RSTP. Значения приоритета на
коммутаторах ядра выставлено в значение 4096. С целью защиты своего
положения, как корневого коммутатора, на всех транковых портах,
соединяющих коммутатор ядра, с коммутаторами доступа, серверной
фермой активируется функционал защиты положения корневого
коммутатора root–guard. Данный функционал блокирует пакеты BPDU с
лучшим значением идентификатора коммутатора (bridge ID), тем самым
гарантирует стабильное местоположение центральной точки протокола
RSTP[28].
На коммутаторе ядра сети настраивается количество SVI
интерфейсов, в соответствии с таблицей VLAN.
Switch Virtual Interface – виртуальный интерфейс коммутатора,
который обеспечивает процессы на третьем уровне сетевой модели OSI
для VLAN, с которой связан. Интерфейс SVI создан для каждой VLAN,
для которой требуется маршрутизация ресурсами коммутатора (см.
Таблица 3– Распределение VLAN).
Между коммутаторами ядра и маршрутизатором WAN–сегмента
настроен протокол маршрутизации OSPF. В рамках OSPF процесса,
маршрутизатор WAN–сегмента получает префиксы сетей,
присоединенных к коммутаторам ядра.
Для обеспечения информационной безопасности все отношения
соседства аутентифицируются с применением пароля.
Коммутаторы HP 5130–48G–PoE+–4SFP+ EI также выступают в
качестве коммутаторов серверного сегмента. На коммутаторах серверного
сегмента настроены VLAN, 510, 511, 512.
Для сетевого взаимодействия устройств, расположенных в сегментах
WAN и DMZ установлен маршрутизатор HP MSR3044. Данный
маршрутизатор связывается с ядром ЛВС двумя гигабитными линиями
связи, агрегированными в один канал с помощью протокола LACP.
37
На маршрутизаторе для обеспечения распространения информации о
сетях в филиалах настроен протокол динамической маршрутизации OSPF.
Для объединения всех площадок в единую сеть используется
протокол ADVPN. Схема организации сети МЦРКПО представлена на
Рисунках 5 и 6.
Рис. 5 – Организация системы передачи данных МЦРКПО
Для обеспечения качества связи голосовых вызовов настроена
приоритезация трафика. Наивысший приоритет прохождения трафика в
локальных сегментах филиалов и между филиалами по VPN–каналам
присвоен сегментам проводной и беспроводной телефонии. К ним
относятся VLAN с номерами 105, 191, 205, 291, 305, 391, 405, 491, 505,
591.
Кроме того, повышенным (по отношению к обычному
пользовательскому Интернет–трафику) приоритетом прохождения
38
обладает трафик VPN–туннелей, объединяющих филиалы. Для данного
вида трафика выделена статически полоса пропускания[1].
39
Рис. 6 – Организация сети МЦРКПО
40
Управление, настройка и конфигурация активного сетевого
оборудования производится с помощью интерфейса командной строки
через консоль, по протоколу SSH.
На Рисунке 8 представлены основные сервера организации и
сервисы для работы с ними. Мониторинг серверов и сетевого
оборудования выполняется в системе Nagios (Рис. 7).
Рис. 7 – Система мониторинга Nagios