智能性边缘交换机学习笔记

　　边缘交换机还是比较常用的，于是我研究了一下智能性边缘交换机的实际应用，在这里拿出来和大家分享一下，希望对大家有用。如果网络的边缘交换机设备将QoS、速率限制、ACL、PBR及sFlow集成到硬件芯片上，使得这些智能不致影响到基本二层、三层的线速转发性能，那么端到端的智能网络才得以大规模开展，从而使得整个网络不仅拥有全局的连接能力，也同时拥有全局的网络智能。

　　从过去到现在，网络的设计理念一直存在着几种不同的思路。就透通与智能这两个重点来看，侧重程度的不同就影响到网络的设计：透通强调连接能力、简单管理、价格低廉;智能强调控管和增值能力，因此多数复杂程度较高，成本也相对较高。其实设计并无高下，只取决于用户的实际需求与经费预算而已。

　　因此，网络架构可以是全二层的架构，不过扩展度较差;也可以是全三层的架构，不过价格较高;而大多的规划会在两者之间取得一定的平衡，这就产生了两种不同的架构——折叠式骨干网络架构与分散式骨干网络架构。其中，折叠式骨干将智能收缩到上层的汇聚设备上，而在下层的接入设备则只强调透通与线速。单从智能控管的角度来看，这是一种集中式的设计。

　　这两种架构在网络边缘上存在着重大差异。折叠式骨干多以二层交换作为边缘，而分散式骨干多以三层交换作为边缘。如果简单地以交换或路由来判定网络的智能，当然三层交换优于二层交换。但是由于愈来愈多的业务在同一张网上开通，网络的智能问题不再单纯地以二层/三层来判定，更多时候，执行QoS的能力、提供指定接入速率的能力、ACL(访问控制列表)的安全屏蔽能力、网络流量统计与监控能力以及策略路由(PBR)的支持能力，都可以更有效地来判定网络的智能。因此，有了这样一个概念，不管是折叠式骨干中的边缘交换机二层交换设备， 是分散式骨干中的边缘三层交换设备，在众多厂家的二层、三层交换设备中，用户可以依据自己业务上的实际需要做出更为明确的选择。

　　执行QoS的能力

　　在多媒体业务中，数据、语音、图像对时延、抖动、掉包的要求不尽相同。为了更好地执行多媒体业务，用户最好在数据包中加入相应的QoS标记，边缘交换机或者读取QoS并加以执行，或者对于不可信任的来源，采取重行分类、重行标记QoS并加以执行的方式。QoS在过去有二层的CoS(服务等级)或三层的IP Precedence(IP优先等级)的做法，而现在则强调差分服务(DiffSew)的支持能力。因此，边缘交换机在端到端的QoS支持上，作为QoS的入站点或出站点，扮演着极为关键的角色。对DiffSew提供硬件支持能力是交换机关键功能之一。

　　指定接入速率的能力

　　固然千兆以太网的普及使得骨干有较为充裕的带宽，但这种资源不是取之不尽、用之不竭的。而且采取使用者付费以管制边缘带宽的有效使用是最为可行的手段，因此，在边缘交换机的接口上，不但要提供十兆、百兆的设定能力，更要提供基于端口、优先等级、VLAN、ACL分类的速率限制能力，而且最好是入站或出站均能执行速率限制，范围由256k一直到千兆，粒度则以硬件芯片能以硬件处理的范围为宜，一般而言在256k左右。　应用智能交换机情况调查

　　这里必须特别强调，硬件处理是希望边缘交换机设备不会因为启动速率限制而影响其线速转发数据包的能力，这一点对边缘交换机设备来讲是很重要的性能指标。有了完整的速率限制功能，而又不影响网络的性能指标，才能有效地管理网络的带宽资源。

　　ACL的安全屏蔽能力

　　在网络中，ACL不但可以让网络管理者用来制定网络策略，对个别用户或特定的数据流进行允许或者拒绝的控制，也可以用来加强网络的安全屏蔽。从简单的Ping to Death攻击、TCP Sync攻击，一直到更多样化更复杂的黑客攻击，ACL都可以起到一定的屏蔽作用。ACL有标准ACL及扩展ACL(Extended ACL)两种，不论边缘是二层交换机还是三层交换机，最好都具备支持标准ACL及扩展ACL的能力，才能将网络的安全屏蔽及策略执行能力分散到网络的边缘。

　　跟速率限制一样，网络设备不但应该能执行完整的ACL功能，包括进站及出站，同时也必须强调由硬件处理的能力。如此，才能在启动ACL的同时，不会影响到二层或三层交换设备线速转发数据包的能力。

　　策略路由支持能力

　　一般路由不管是透过RIP、OSPF、BGP，还是MPLS标记协议，多是由目的地址来决定路由路径，因此无法对网络流量进行有效分流，或是对网络流量制定策略。 然而，策略路由能力在现今多样化的网络环境中有时是必要的功能之一。简单举例来说，在大型网络运营商(NSP)的环境中，不同的用户需要被连接到不同的Internet 运营商(ISP)中;或者在校园网中，作为教学研究的用户必须被连接到高速的网络出口，而宿舍网络的用户则通常被导引到较低速的出口，如此分流才不致影响到校园网的科研性能，同时经由适当的分流，高速/低速出口均能分配到相应的流量，从而使得带宽的应用得到有效分配。

　　想要达到这种分流的效果，一般路由是无法做到的，唯有透过策略路由(PBR)，将源地址进行分类，并且制定其下一跳出口的IP地址才能达成，而这也是策略路由有别于一般路由之处：基于源地址信息执行路由选径，而不基于目的地址信息执行路由选径。策略路由能做的不仅是依用户的类别进行路由选径及分流，更进一步，它也可以做到依业务的类别来指定路由或分流。其具体做法就是在进行分类时，不只看第三层的IP地址，更进一步看第四层的IP端口号，不同的业务导引到不同的路由。比如对所有端口号80的HTTP数据流进行分类，并将其导引到特定的四层Web交换机或缓存服务器上，从而透过Web缓存机制，使得用户的Web响应时间得到大幅度提升，而且网络出口的重复流量也得到大幅度缓解。以上的例子都只是策略路由的部分功能而已，实际上它的功能远超过这些，策略路由因为可以直接在网络下端设备指定，再透过中间设备的一般路由，到达指定的上端设备出口，因此，它并不多是在中间的汇聚设备上启动，更多时候为了更有效地分流效果，策略路由将在接入设备上启动。跟ACL一样，在需要策略路由的网络设备上，不但要有完整而多样化的策略路由支持功能，同时必须强调有硬件处理能力，才能在启动的同时，仍然享有三层交换线速转发的能力。

　　网络流量统计与监控能力

　　流量统计与监控在网络建设中已经成为重要的一环。一个很简单的思路就是，如果你无法看到网络的整体流量，又如何能够管理整个网络?如果我们在提供高效能带宽的同时，也能充分掌握网络的流量信息，便可随时调节网络的资源与策略，使得网络运行顺畅，也使得网络故障的排除变得简单而快速。所以在网络中，再提供一套完整的、覆盖全网的、实时的网络监控系统，就像是在纵横交错的高速公路网上处处加装监视摄像头一般，让交管人员采取有效的分流手段，同时也可透过完整的统计资料，对路由进行扩容及规划提供重要的参考。　流量监控与统计在过去因为受限于既有技术，多数只能以SNMP、RMON、RMON v2等技术实现部分功能，而且对网络的带宽占用或网络设备的资源开销造成相当程度的影响，所以通常无法覆盖全网，无法实时监控，无法在百兆、千兆甚至万兆端口等高速网络上执行，这些都使得全网的监控与统计无法达到令人满意的表现。

　　最近又有NetFlow及sFlow(RFC3176)基于流的流量监控与统计技术，出现在比较高端的网络设备上，包括骨干、边缘、二层设备、三层设备。这两种技术基本上提供比较完整的流量信息，不过两者之间依然有所区别：NetFlow更扩及IPX及AppleTalk，同时提供更多的信息，包括VLAN统计、MAC地址统计、BGP共同体统计等信息，因此从统计及计费的角度来看，NetFlow可以提供更令人信服的资料，但相对的开销及成本也高;从统计及监控的角度来看，sFlow提供更多的信息，对于流量分布的分析、流量的未来趋势、异常流量的监测、故障的发现与排除都可以在相对较低的开销及成本下，通过硬件芯片以线速方式达成，sFlow因此可以直接内建在边缘的二层或三层交换设备上提供覆盖全网、实时网络监控的功能。对整体网络而言，这实在是相当吸引人的增值功能。

　　同前面所说的功能一样，sFlow流量统计与监控功能也必须是硬件处理，才能不影响到网络设备既有的二层或三层交换线速性能。在组网的设计理念上，不管是采用集中式的折叠式骨干，从而强调采用透通的二层交换设备作为边缘接入设备;或者是采用分散式骨干，从而强调采用智能的三层交换设备作为边缘接入设备，其智能都不应仅限于交换或路由能力的考虑，或是只强调线速交换或线速路由的能力，毕竟这一部分已经是业界的标准，几乎所有厂家的二层交换，三层路由设备都可以达到。随着宽带网络、宽带业务、多媒体应用的发展，用户更应该关心的是端对端的网络智能，以及硬件芯片的集成能力。如果在边缘交换机设备(不论是二层交换或三层路由交换设备)上，都极大程度地将服务质量(QoS)、速率限制(Rating Limiting)、访问控制列表(ACL)、策略路由(PBR)及流量监控(sFlow)集成到硬件芯片上，使得这些智能不会影响到基本二层、三层的线速转发性能，那么端到端的智能网络才能得以大规模开展，从而使得整个网络不仅拥有全局的连接能力(Connectivity)，也同时拥有全局的网络智能(Control)。有了这样的概念，在众多的边缘交换设备上，用户才可以对不同的产品有更清楚的定位与选择。