民航空管寬帶網優化改造研究

戴 元

(東北空管局通信網絡中心計算機室，遼寧 沈陽 110043)

民航空管寬帶網優化改造研究

戴 元

(東北空管局通信網絡中心計算機室，遼寧 沈陽 110043)

文章對民航東北空管局寬帶網系統存在的問題進行分析，探討如何對網絡進行優化和改造，使之不斷適應新的發展需要。

網絡改造；網絡安全；OSPF

（一）引言

民航東北空管局通信網絡中心于 2000年起開展寬帶業務，網絡初期規模不大，近幾年寬帶用戶數量快速增長，導致網絡處于超負荷運轉狀態。用戶網速慢、容易掉線等問題不斷增多，網絡運行質量不斷下降。因此，如何對網絡進行有效的優化改造，使之成為一個安全、可靠、穩定、架構合理、易于管理、能夠適應未來發展需要的寬帶網絡，是文章重點研究的問題。

（二）網絡現狀及分析

網絡采用星型結構設計，覆蓋東塔、桃仙、長青三個園區，初期設計規模為500用戶。核心層采用兩臺華為MA 5200交換機，實現用戶認證和授權。匯聚層采用三臺華為6503交換機，用于匯聚各園區網絡。接入層采用多臺華為5100 DSLAM交換機，用于連接寬帶用戶終端。出口層采用一臺CISCO PIX 535防火墻，分別連接電信和聯通兩個不同運營商，網絡出口帶寬共計200M。

隨著近幾年寬帶業務的快速發展，用戶數量目前已超過2000人，原有網絡已無法滿足需要，主要表現在以下幾個方面：

1.網絡核心設備處理能力不足，長期處于超負荷運轉狀態。

2.網絡骨干設備之間均采用百兆線路連接，帶寬資源嚴重不足，存在傳輸瓶頸。

3.網絡管理人員由于缺少有效的監測和控制手段，無法對P2P流量和私接路由器等現象進行有效控制。

4.出口防火墻承擔安全防護、地址轉換和路由選擇等多項任務，負擔較重，且存在單點故障隱患，一旦發生故障，將影響到整個網絡的正常運行。

5.部分設備端口數量已基本飽和，擴展能力不足，無法滿足未來的發展需要。

6.網絡維護人員缺少必要的監視手段，無法在第一時間獲取整個網絡的運行狀態，增加了處理故障、定位故障的難度。

7.用戶設備與網絡設備使用同一網段，一旦遭受網絡攻擊，將影響整個網絡。

（三）網絡優化改造目標及策略

1.網絡優化改造目標

從調整網絡結構、提高帶寬利用率、優化網絡配置、改善網絡安全等多方面入手，將網絡改造成一個安全、可靠、穩定、架構合理、易于管理的寬帶網絡，消除潛在隱患，使之適應未來的發展需要。

2.網絡優化改造策略

（1）將網絡結構改造為雙星型結構，對核心設備、骨干鏈路采用冗余設計，確保單個設備、鏈路出現故障時，整個網絡仍能夠繼續平穩運行。

（2）在核心交換機與各園區的匯聚層設備之間運行OSPF動態路由協議，以提高網絡的可靠性和穩定性。

（3）將網絡骨干鏈路帶寬提升到千兆，滿足寬帶用戶對未來網絡高帶寬的需求，解決網絡內部瓶頸。

（4）網絡優化改造應從實際出發，在增加新設備時充分考慮對舊設備的投資保護，盡量避免擱置設備情況的發生，最大限度保護投資。

（5）整個網絡應便于管理、配置和調整，網絡出現故障時，管理人員能夠快速定位故障、排除故障。

（6）按照分區防護和分層防護原則將網絡劃分為不同的安全區域，結合各種安全保護因素，有效地增加系統的安全防護縱深，全面提高網絡安全防護能力。

（7）網絡的優化改造應充分考慮到網絡的擴展能力，最大限度滿足未來的發展需要。

（四）網絡優化改造方案

1.改造核心設備

新增兩臺高性能交換機作為全網的核心設備，用于連接各園區匯聚層設備、出口防火墻及BRAS設備，實現全網的數據交換和路由選擇。為確保設備在發生故障時能在最短時間內恢復，建議為兩臺核心交換機配置雙引擎、雙電源，最大限度避免因單點故障引起的網絡癱瘓。同時，通過在網絡中采用VRRP 技術，實現網絡的自動備份和負載均衡，提高網絡的安全性和可靠性。

2.提高網絡帶寬

將網絡主干線路改造為雙鏈路，通過 STP技術實現鏈路冗余管理，確保當主用鏈路出現故障時，能夠自動切換到備份鏈路，確保網絡不間斷運行。為解決網絡內部瓶頸，建議將主干線路帶寬提升至千兆，對于個別無法實現千兆連接的鏈路，可以考慮采用多條百兆鏈路捆綁的方式盡可能提高帶寬。

3.改造網絡出口

將網絡出口帶寬由現在的200M提高至600M，以緩解網絡外部壓力。原有 PIX 535防火墻由于端口數量有限，已無法滿足現有業務需要。建議新購置兩臺高性能防火墻替代原有設備，分別連接兩個運營商，實現冗余備份。在核心交換機上配置策略路由，根據用戶訪問目標網站的源地址，自動選擇相應的網絡出口，實現網絡自由擇路功能。

4.規劃網絡地址

按照簡單、連續、可管理等原則，對全網的網絡地址重新進行規劃，減少網絡負荷。為網絡設備與用戶設備分別劃分不同的網絡地址段，并采用VLSM技術，有效提高網絡地址的利用效率。網絡地址的規劃還應充分考慮未來網絡發展的需要，預留相應的網絡地址段，為以后的網絡擴展打下良好的基礎。

5.管理網絡流量

增加一臺業務監控網關，旁掛在兩臺核心交換機上，與出口防火墻進行聯動，實現對 P2P流量和私接路由器現象的有效控制，確保帶寬能夠得到充分利用。部署認證計費系統，實現對寬帶接入用戶的安全認證、授權和計費管理。根據不同的接入方式，為用戶配置相應的計費策略、安全控制策略和流量控制策略，合理分配寬帶資源，提高網絡的使用效率。

6.增加監控手段

建立網絡監控系統，對全網核心設備的 CPU利用率、內存利用率、吞吐量、端口的丟包率等重點指標加以監控，使網絡管理人員能夠實時了解全網設備、鏈路的運行狀態。通過預先設定的告警閾值，對檢測出的重要事件進行預警，為網絡管理人員快速采取應對措施提供依據，從而提高網絡運維的整體水平。

7.提高網絡安全防護全能力

為提高網絡的安全性和穩定性，建議在接入層設備配置靜態路由，然后將靜態路由重分布到OSPF路由中。同時，在每個接入層設備上采用二層隔離技術，即每個下聯端口都只能與上行端口通信，而下聯端口之間不允許互相通信，使被隔離端口之間不會產生單播、廣播和組播，從而有效控制廣播風暴產生的可能性，避免終端用戶間的病毒傳播，提高網絡安全綜合防護能力。

8.加強網絡行為管理

根據《中華人民共和國計算機信息系統安全保護條例》、《中華人民共和國計算機信息網絡國際聯網管理暫行規定》等法律法規的有關要求，對網內用戶的上網行為進行記錄、控制和管理，使網絡的使用更加有序、可控，防止非法、反動、不健康等言論內容在網絡中傳播，最大限度減少網絡安全所帶來的損失。

（五）結束語

本文分析了民航東北空管局通信網絡中心寬帶網系統運行中存在的問題，提出了網絡優化改造方案。相信經過有計劃、有針對性的網絡改造后，可以有效提升網絡的運行能力，提高系統的安全性和可靠性，消除潛在隱患，從而為東北空管局通信網絡中心更好地開展寬帶業務打下堅實的基礎。

[1]謝金星,邢文訓,王振波.網絡優化[M].北京:清華大學出版社,2009.

[2]劉芳.網絡流量監測與控制[M].北京:北京郵電大學出版社,2009.

[3]湯銘潭,唐叔湛.城域與社區寬帶網規劃概論[M].北京:中國建筑工業出版社，2010.

[4]李文璟,王智立.網絡管理原理及技術[M].北京:人民郵電出版社,2008.

TN915.08

A

1008-1151(2011)04-0050-02

2011-01-18

戴元（1979－），男，民航東北地區空中交通管理局通信網絡中心計算機室工程師。