Технические условия построения отказоустойчивого решения
На уровне доступа отказоустойчивость обеспечивается связыванием коммутаторов доступа в стек. При этом выход из строя отдельного коммутатора или обрыв одного из восходящих к ядру сети каналов не приводит к выходу из строя модуля доступа. Пользователи, подключенные к этому модулю, сохраняют возможность работы в сети.
На уровне распределения отказоустойчивость обеспечивается наличием оптических каналов от каждого коммутатора ядра до каждого узла распределения. Выход из строя любого канала или каналообразующего оборудования не приводит к отказу так как сетевое оборудование автоматически задействует резервный маршрут. На уровне ядра сети отказоустойчивость обеспечивается резервированием процессорных модулей (SUP 720-3B) и блоков питания коммутатора ядра Cisco 6509. Отказ одного из процессорных модулей либо выход из строя одного блока питания не приводят к прекращению функционирования ядра сети. При наличии двух независимых фидеров питания, подключенных к отдельным блокам питания коммутатора ядра, достигается устойчивость к отказу при отключении питания по одному из фидеров. На уровне серверных подключений отказоустойчивость достигается соединением двух Ethernet-портов сервера (Dual-Home) к двум отдельным модулям 1000BaseT коммуатора ядра. Отказ одного из портов или обрыв одного из соединений не прерывают доступность сервера в сети.
Применение технологии Cisco StackWise в этажных коммутаторах увеличивает отказоустойчивость, упрощает эксплуатацию и повышает эффективность работы стекируемых коммутаторов. Технология Cisco StackWise позволяет объединять до 9 коммутаторов серии Cisco Catalyst 3750 в составе единого коммутационного блока с пропускной способностью 32 Гбит/с.
Структура и функционирование узлов ЛВС Предприятия
1. Активное сетевое оборудования уровней ядра и распределения
Активное сетевое оборудование уровней ядра и распределения представляет собой высокопроизводительные коммутаторы, способные функционировать на сетевом уровне модели OSI (третий уровень модели OSI, далее L3), обеспечивающие коммутацию высокоскоростных каналов связи и поддерживать обслуживание достаточного количества виртуальных локальных сетей (VLAN). На узлах уровня ядра сети применяются коммутаторы L3 модульного исполнения, конфигурация которых предусматривает равномерную нагрузку на оба центра маршрутизации и автоматическое переключение нагрузки на один из них при выходе из строя другого. На узлах уровня распределения допускается применение коммутаторов L3 с фиксированной конфигурацией. Выбор конкретной модели коммутатора произведён исходя из технической целесообразности и требований подсистемы безопасности.
Основные характеристики оборудования уровней ядра и распределения:
• неблокируемая коммутирующая архитектура; • коммутация на третьем уровне модели ISO/OSI (L3) с поддержкой протокола IP; • поддержка технологии виртуальных сетей по стандарту IEEE 802.1Q и приоритезации по стандарту IEEE 802.1p; • поддержка технологии Rapid STP (IEEE 802.1w) с возможностью реализации не менее 128-ми экземпляров связующего дерева; • объединение каналов по технологии IEEE 802.3ad(Link Aggregation); • поддержка протокола управления SNMP версий 1, 2 и 3 с расширением RMON (не менее 4-х групп); • поддержка протокола NTP; • поддержка технологии локального зеркалирования портов (SPAN); • поддержка не менее 4000 MAC адресов; • поддержка не менее 255 VLAN; • интеграция в систему управления ЛВС; • обеспечение требований подсистемы информационной безопасности.
2. Активное сетевое оборудование уровня доступа
Активное сетевое оборудование уровня доступа представляет собой коммутаторы, обеспечивающие подключение к сети конечных пользователей. Учитывая то, что иерархическая трехуровневая модель предполагает разделение узлов сети по функциональному признаку, допускается реализация нескольких функциональных уровней на одной физической единице оборудования. В данном случае, допускается включение пользователей непосредственно в коммутаторы как уровня доступа, так и уровня распределения. Поэтому оборудование вышестоящих по иерархии узлов предусматривает наличие запасных портов и запас производительности для подключения конечных пользователей. Предпочтение отдается коммутаторам, функционирующим на канальном уровне модели OSI (второй уровень модели OSI, далее L2). Проектом допускается использование имеющегося активного оборудования, установленного на узлах существующей сети, при условии выполнения в полном объеме требований к сети.
Основные характеристики оборудования уровня доступа:
• неблокируемая коммутирующая архитектура; • поддержка технологии виртуальных сетей по стандарту IEEE 802.1Q и приоритезации по стандарту IEEE 802.1p; • поддержка технологий Rapid STP (IEEE 802.1w) с возможностью реализации не менее 128-ми экземпляров связующего дерева; • объединение каналов по технологии IEEE 802.3ad(Link Aggregation); • поддержка протокола управления SNMP версий 1, 2 и 3 с расширением RMON (не менее 4-х групп); • поддержка протокола NTP; • поддержка технологии локального зеркалирования портов (SPAN); • поддержка необходимого количества VLAN; • интеграция в систему управления ЛВС; • обеспечение требований подсистемы информационной безопасности.
3. Активное сетевое оборудование уровня серверного комплекса
Конфигурация коммуникационных узлов сети, обслуживающих площадки, на которых размещаются серверы, предусматривает обеспечение для таких площадок максимальной отказоустойчивости по оборудованию и линиям связи. Для достижения этой цели предлагается использование активного сетевого оборудования L2 и L3 в качестве коммутаторов уровня серверного комплекса.
4. Виртуальные локальные сети
В настоящее время сеть Предприятия содержит около 40 виртуальных локальных сетей (VLAN), построенных с использованием технологии IEEE 802.1Q. Количество VLAN может увеличиваться соответственно росту числа оборудованных компьютерами рабочих мест на предприятии, что было учтено при определении состава и конфигураций предлагаемого активного сетевого оборудования центров коммутации и маршрутизации всех уровней иерархии. Предполагается распределение виртуальных локальных сетей (VLAN) на основании функциональной структуры предприятия и территориального расположения подразделений. Нумерация виртуальных локальных сетей производится в соответствии с принятыми на предприятии правилами, соглашениями и практикой.
5. IP-адресация
При проектировании сети предполагается применение зарегистрированных IANA (Internet Assigned Numbers Authority) диапазонов IP-адресов (RFC1918, 3-я глава) для использования в частных сетях и в соответствии с принятыми на предприятии стандартами.
6. Подсистема обеспечения безопасности
Подсистема обеспечения безопасности предлагаемого решения отличается следующими особенностями: • система спроектирована согласно существующих правил, норм и рекомендаций по информационной безопасности предлагаемых технических решений; • сегменты сети с повышенными требованиями безопасности подключаются к общезаводской сети посредством межсетевых шлюзов, на которых устанавливается начальная конфигурация, обеспечивающая работу этих участков только с указанными сервисами; • системы спроектирована на основе оборудования и решений фирмы Cisco; • на всех активных устройствах устанавливается самая последняя версия ПО со всеми выпущенными к настоящему времени SP и заплатками; • настройка активных устройств будет произведена с учетом обеспечения максимальной безопасности этих устройств на предмет предотвращения изменения конфигурации злоумышленниками;
Предлагаемое решение подразумевает установку комплексов фильтрации трафика ASA5550, рассчитанных на гигабитную пропускную способность (1200 Мб/с) на всех точках уровня распределения. Для централизованного управления предлагается к использованию Cisco Security Manager. Для установки этого продукта предполагается использовать один из серверов.
Для обеспечения аутентификации пользователей при доступе к сетевым ресурсам предлагается к использованию программно-аппаратный комплекс CSACS-Engine. В качестве дальнейшего развития системы безопасности можно предложить: • установку по второму устройству фильтрации Cisco ASA5550 к имеющимся для обеспечения отказоустойчивости; • внедрение решения Cisco SIMS для мониторинга событий безопасности, их агрегации, корреляции.
7. Подсистема мониторинга и управления ЛВС
Для управления локальной коммутируемой сетью, построенной на базе коммутаторов Cisco Catalyst, предлагается программное решение CiscoWorks2000 LAN Management Solution, которое включает в себя программные продукты: Cisco View, Resource Manager Essentials, Traffic Director, Campus Manager, Content Flow Monitor, Device Fault Manager. Эти программные продукты с новейшими веб-технологиями предназначены для удалённой настройки, администрирования, контроля состояния, локализации неисправностей ЛВС. CiscoWorks LAN Management Solution состоит из следующих программных компонентов: • Campus Manager (CM) – для обнаружения и управления L2/L3 коммутаторами, конфигурирования и управления VLAN и ATM LANE, а также определения подключения пользователей и IP телефонов. • Device Fault Manager (DFM) – обеспечивает в режиме реального времени обнаружение и определение причин сбоев сетевого оборудования. • Internet Performance Monitor (IPM) – для анализа, оптимизации производительности и отладки неисправностей сетевых соединений. • Resource Manager Essentials – для управления критичными сетевыми ресурсами через сеть Интернет с использованием веб-интерфейса. Предоставляет набор инструментов для поиска и устранения неисправностей в сети, сбора детализированных отчетов, централизованного обновления программного обеспечения и конфигураций устройств, управления и конфигурации VPN, CallManager и др. • CiscoView (Common Services) – графическое средство управления устройствами. • CiscoWorks Management Server – общее управление интеграцией со сторонними системами сетевого управления, контролем административного доступа и сервисами для всего семейства решений CiscoWorks.
Основные возможности: • возможность управления сетью из любой точки в любое время через сеть Интернет с использованием веб-интерфейса; • стандартный браузер в качестве пользовательского интерфейса; • автоматическое составление карты сети; • многоуровневый контроль административного доступа. • отслеживание изменений топологии для сети.
Открытый дизайн CiscoWorks позволяет быстро обновлять программные продукты для удовлетворения новых требований и потребностей пользователей. Дополнительные функциональные «встраиваемые» (drop-in) модули, которые будут выпускаться по мере необходимости, обеспечат расширение и совершенствование функциональных возможностей CiscoWorks. Одна из функций CiscoWorks, Cisco Management Connection, обеспечивает возможность интеграции средств сетевого управления других производителей с использованием веб-технологий. Эта возможность широко используется Cisco и более чем 30 компаниями, включая Computer Associates, Hewlett-Packard, Sun Microsystems и Tivoli Systems для создания общих связей между CiscoWorks и ПО других разработчиков.
Характеристики кабельной сети
Магистральная кабельная система корпоративной сети Предприятия призвана обеспечивать физическую связь активного оборудования всех типов и уровней в соответствии с требованиями и схемой реализации этих требований. Для каналов передачи данных с пропускной способностью 1 Гбит/с и 100Мбит/с в качестве среды передачи данных предлагается применить (в зависимости от используемого оборудования и длинны трассы) одномодовый (9/125) или многомодовый (50/125 мкм) оптоволоконный кабель. При проектировании магистральной кабельной подсистемы применён принцип унификации оборудования, т. е. подсистема содержит наименьшее возможное число наименований компонентов. Предполагается максимально использовать существующие магистральные линии связи, проложенные на территории, при условии выполнения в полном объеме требований к магистральным каналам. Кроме того, предполагается прокладка дополнительных магистральных соединений, необходимых для выполнения в полном объеме требований к сети. Предлагаемая магистральная кабельная подсистема имеет возможность последующего развития, перехода на новые виды оборудования и стандарты передачи данных.
