1.1 复杂的企业网络框架、架构和模型
CCNP ROUTE （642-902）学习指南
本节介绍融合网络（converged network）及其中的各种数据流。为满足这种网络的需求，Cisco制定了智能信息网（Intelligent Information Network，IIN）策略，并开发了面向服务的网络架构（Service-Oriented Network Architecture，SONA）以引导企业网转向IIN。本节将介绍这两个主题。
本节还将概述Cisco企业级架构，并介绍传统的层次网络模型和企业复合网络模型（Enterprise Composite Network Model）。
1.1.1 融合网络中的数据流
融合网络指的是在同一个网络中同时传输数据、语音和视频数据流。在网络中，语音和视频像其他应用数据一样进行传输。
融合网络传输各种类型的数据流，其中包括如下数据流。
- 语音和视频数据流：这样的数据流包括IP电话、视频广播和视频会议。
- 语音应用数据流：与语音相关的应用（如呼叫中心）生成的数据流。
- 关键任务数据流：对组织来说至关重要的应用生成的数据流，如金融公司的证券交易程序生成的信息、医院的病历等。
- 交易数据流：诸如电子商务等应用生成的信息。
- 路由协议数据流：网络中运行的路由协议生成的数据，如路由信息协议（RIP）、开放最短路径优先协议（OSPF）、增强型内部网关路由协议（EIGRP）、中间系统到中间系统协议（IS-IS）和边界网关协议（BGP）。
- 网络管理数据流：包括有关网络及其设备的状态的信息。
注意：
出于完整性考虑，本章介绍了IS-IS，但本书不会更深入地介绍它。
对网络的要求随其传输的数据流类型有很大的不同，尤其是在安全性和性能方面。例如语音和视频的性能需求包括固定带宽、低延迟和低抖动（延迟的差异），而交易数据流要求高度的安全性和可靠性，但对带宽的要求相对较低。语音应用（如IP电话）也要求极高的可靠性和可用性，因为用户期望摘下IP电话时能够听到“拨号音”，就像传统电话一样。视频数据流经常是IP多播，这要求在网络中启用多播功能。为满足这些数据流需求，融合网络使用服务质量（QoS）来确保语音和视频数据流优先于基于Web的数据流得到传输。
通过采用多种安全策略可最大限度地减少甚至消除网络安全威胁，如严格的访问控制和身份验证、入侵防御和检测以及使用加密来保护数据流。在所有网络中，安全都是重要主题，而在无线网络中安全更为重要。
1.1.2 Cisco IIN和SONA框架
为满足当今和未来网络的需求，Cisco提出了包含IIN在内的远景规划，IIN是一种解决网络如何同业务和业务优先级集成的策略。Cisco SONA是一个架构框架，演示了如何组建集成系统，并提供了有关如何让企业网转向IIN的指南。
1．Cisco IIN
IIN包括下述功能。
集成一直以来在很大程度上处于松散状态的网络资源和信息资产：现代融合网络集成了语音、视频和数据，要求IT部门（以及传统上负责其他技术的部门）将IT基础设施同网络更紧密地关联起来。
跨越多个产品和基础设施层的智能：将每个网络组件内置的智能延伸到整个网络，实现端到端的智能。
网络积极地提供服务和应用：通过新增的智能，IIN让网络能够积极地管理、监控和优化在整个IT环境中提供的服务和应用。
IIN不仅仅向用户提供基本的连接性、带宽和对应用的访问，还提供端到端的功能和集中的统一控制，这有助于提高业务的透明性和敏捷性。
凭借IIN，Cisco正帮助组织应对新的IT挑战，如部署面向服务的架构、Web服务和虚拟化（将在下面的列表项目“阶段2”介绍）。IIN技术远景提供了一种不断发展的方法，它由三个阶段组成，在每个阶段都可根据需要在基础设施中增加功能。这3个阶段如下。
阶段1——集成传输：将数据、语音和视频合并到一个IP网络中，从而实现安全的网络融合。通过将数据、语音和视频传输集成到单个基于标准的模块化网络中，组织可以简化网络管理工作，提高整个企业的效率。网络融合还为支持一类新IP应用打下了坚实的基础，这些应用是通过Cisco统一通信（Cisco Unified Communication）解决方案提供的。
注意：
“Cisco统一通信”是2006年3月提出的，它是以前被称为“Cisco IP通信”产品的统称。这包括呼叫控制、语音会议、语音邮件、客户中心、IP电话、视频电话、视频会议、富媒体客户端和语音应用产品。
阶段2——集成服务：通过融合网络基础设施，可以集中和共享IT资源（这被称为虚拟化（virtualization）），从而灵活地满足组织不断变化的需求。集成服务有助于合并共用的元素，如存储设备和数据中心服务器。通过扩展这种虚拟化概念使其涵盖服务器、存储和网络元件，组织可以透明地使用其所有资源，且效率更高。同时，业务持续性也将得到改善，因为在本地系统出现故障时，IIN中的共享资源可以提供所需的服务。
阶段3——集成应用：该阶段致力于让网络能够识别应用，从而优化应用的性能并更有效地向用户提供网络应用。凭借其面向应用的联网（Application-Oriented Networking，AON）技术，Cisco已进入IIN的第三个阶段。除诸如内容缓存、负载均衡和应用级安全等功能外，Cisco AON还通过在现有网络中集成智能应用消息处理、优化和安全，让网络能够简化应用基础设施。
2．Cisco SONA框架
Cisco SONA框架提供了让企业网络转向IIN的指南。通过使用SONA框架，企业可以优化应用、业务流程和资源以加强IT对业务的影响，从而改善灵活性及提高效率。
SONA框架利用广泛的服务、经过实践检验的架构以及Cisco及其合作伙伴的经验，帮助企业实现其业务目标。
图1.1所示的SONA框架说明了集成系统如何通过标准化和虚拟化来支持动态、灵活的架构，从而提高运营效率。在这种框架中，通过网络将所有的IT基础设施连接起来，以充分发挥其作用。
SONA框架概述了下述三层。
网络基础设施层：在这一层，通过融合网络将所有IT资源互联起来。IT资源包括服务器、存储设备和客户端。网络基础设施层指出了这些资源位于网络的什么地方，这包括园区、分支机构、数据中心、广域网（WAN）、城域网（MAN）和远程工作人员。这层旨在提供随时随地的连接性。
交互式服务层：使得能够通过联网的基础设施将资源高效地分配给应用和业务流程。这层包含的服务有：
- 语音和协同服务；
- 移动服务；
- 安全和身份服务；
- 存储服务；
- 计算机服务；
- 应用程序联网服务；
- 网络基础设施虚拟化；
- 服务管理；
- 自适应管理服务。
- 应用层：这层包含业务应用和协同应用，其目标是利用交互式服务层来满足业务需求和提高效率。
注意：
读者可访问SONA主页，其网址为http://www.cisco.com/go/sona。
例如，在包含分支机构的组织中，可这样划分SONA的三层。
网络基础设施层指的是物理基础设施，即在整个企业网络中部署的网络、服务器、客户端和存储设备。
交互式服务层指的是基于网络的功能，它们让应用和业务流程能够使用资源，这包括应用提供、实时通信、管理、移动性、安全性和虚拟化。
应用层指的是企业软件，它们通常以分布式方式满足组织流程和数据传输需求。
1.1.3 Cisco网络模型
本节介绍Cisco网络模型。首先介绍Cisco企业架构，然后介绍层次网络模型，最后介绍企业复合网络模型。
1．Cisco企业架构
Cisco开发了一个企业级架构，以帮助公司保护、优化和扩展支持业务流程的基础设施。如图1.2所示，该架构可用于集成整个网络——园区、数据中心、分支机构、远程办公人员和WAN，让员工能够安全地访问所需的工具、流程和服务。
Cisco企业园区架构将智能交换和路由的核心基础设施与紧密集成的效率改善技术结合在一起，后者包括IP通信、移动性和高级安全性。该架构采用富有弹性的多层设计、冗余硬件和软件功能以及在出现故障时自动重新配置网络路径，向企业提供了高可用性。IP多播功能优化了带宽的使用，而QoS功能确保实时数据流（如语音、视频和关键任务数据）不会丢弃或延迟。集成的安全性可防范蠕虫、病毒和其他网络攻击（包括交换机端口级攻击）的影响。例如，Cisco企业级架构加强了对安全标准的支持，如基于端口的网络接入控制标准IEEE 802.1x以及可扩展的身份验证协议（Extensible Authentication Protocol，EAP）。它还提供了这样的灵活性，即可以添加IP安全（IPSec）和多协议标签交换（MPLS）虚拟专用网（VPN）、身份和接入管理及虚拟局域网（VLAN），以便将接入层分成多个部分。这些功能有助于改善性能和安全性，同时降低费用。
Cisco企业数据中心架构是一种内聚的自适应网络架构，在满足融合、业务持续和安全需求的同时，支持新出现的面向服务的架构、虚拟化和按需计算，让职员、供应商和客户能够安全地访问应用和资源，能够简化管理工作并提供管理效率，同时极大地降低了开销。冗余的数据中心以同步和异步的方式复制数据和应用，以提供备份。网络和设备支持服务器和应用进行负载均衡，以最大限度地提高性能。这种架构让企业扩大时无需对基础设施做重大的修改。
Cisco企业分支机构架构让企业能够扩展总部的应用和服务（如安全性、IP通信和高级应用）的覆盖范围，以覆盖数千个远程站点和用户或少量的分支机构。Cisco在分支机构中的一系列集成服务路由器（ISR）中集成了安全性、交换、网络分析和缓存功能以及融合的语音和视频服务，让企业无需购买新的路由器就能够部署新的服务。这种架构让用户能够随时随地地安全地访问语音、关键任务数据和视频应用。在所有分支机构，都支持高级路由、VPN、冗余的WAN链路、应用内容缓存和本地IP电话呼叫处理功能，且具有极高的弹性。一个经过优化的网络利用WAN和LAN来降低流量及节省带宽和运营开支。企业可以轻松地让分支机构能够集中配置、监控和管理远程站点的设备，其中包括AutoQoS等工具，它用于对设备进行配置，使其对拥塞和带宽问题进行处理，以免它们影响网络的性能。
Cisco企业远程工作人员（teleworker）架构让企业能够通过标准的宽带接入服务，向远程小型或家庭办公室安全地提供语音和数据服务，从而为企业提供弹性的上班时间解决方案，为员工提供灵活的工作时间。通过集中管理，最大限度地降低了IT支持费用。集成的安全和基于身份的网络服务让企业能够将园区安全策略延伸到远程办公人员。员工可通过始终可用的VPN安全地登录网络，并从单个平台访问得到授权的应用和服务。通过安装IP电话，能够以更划算的方式访问提供语音和统一消息服务的中央IP通信系统，从而进一步提高生产率。
Cisco企业WAN架构通过单个Cisco统一通信网提供语音、视频和数据服务，让企业能够以更划算的方式扩大其跨越的地理区域。QoS、细粒度的服务等级和广泛的加密方案有助于确保安全地将高质量的语音、视频和数据服务提供给公司的各个站点，让员工不管身处何方都能高效地工作。通过使用中央-分支或全互联拓扑，在第2层或第3层WAN上建立多服务VPN（使用IPSec和MPLS）确保了数据流传输的安全。
2．Cisco层次网络模型
传统上，在网络设计中使用包含三层的层次模型，它提供了模块化框架，从而提高了设计的灵活性，并有助于实现和故障排除。层次模型将网络或网络中的模块划分成接入层、集散层和核心层，如图1.3所示。各层的功能介绍如下。
- 接入层：该层让用户能够接入到网络设备。在园区网中，接入层通常包含交换型LAN设备，它们的端口被连接到工作站和服务器。在WAN环境中，接入层位于远程站点或远程办公人员的家中，使得能够通过各种WAN技术访问公司网络。
- 分发层：在园区环境中，该层包含布线室，并使用交换机分离工作组及隔离网络问题。在园区网的边缘，分发层聚集了大量的WAN连接，并提供基于策略的连接性（即实现公司的策略）。
- 核心层（也被称为骨干）：核心层是一个高速骨干，被设计成以尽可能快的速度交换分组。核心层对于提供连接性至关重要，它必须提供高可用性，并能快速适应变化。
层次模型可应用于包含任何连接性类型的网络，如LAN、WAN、无线LAN（WLAN）、MAN和VPN。
例如，图1.4说明了用于企业园区的层次模型，而图1.5说明了用于WAN环境的层次模型。
对于小型网络来说，层次模型很有用，但对当今的大型复杂网络来说，其可扩展性不佳。下一节将介绍的企业复合网络模型提供了更佳的模块性和功能。
3．Cisco企业复合网络模型
Cisco制定了一套有关安全的最佳实践，向网络设计人员和管理员为支持网络应用和已有的网络基础设施正确地部署安全解决方案提供了蓝图。该蓝图名为SAFE，其中包括企业复合网络模型，网络专业人员可以使用它来分析和描述任何现代企业网。与层次模型相比，这种模型支持的网络更大，并详细阐明了网络中的功能边界。
注意：
读者可以访问SAFE蓝图的主页，其网址为http://www.cisco.com/go/safe。
企业复合网络模型首先将网络划分成三个功能区域，如图1.6所示。
对这些功能区域描述如下。
企业园区：该功能区域包含组建高度健壮的层次园区网所需的模块，接入、分发和核心原则也适用于这些模块。
企业边缘：该功能区域聚合了企业网边缘上各种网络元件的连接性，包括到远程站点、Internet和远程用户的连接性。
服务提供商边缘：该区域并不是由组织实现的，而用于提供到服务提供商的连接性，如Internet服务提供商（ISP）、WAN提供商和公共交换电话网（PSTN）。
如图1.7所示，这些功能区域都包含各种网络模块，而这些模块可以包含层次模型中的核心层、分发层和接入层的功能。
企业园区功能区域包含下述模块。
- 楼宇模块：包含接入交换机和终端用户设备（包括PC和IP电话）。
- ** 楼宇分发模块**：包含分发层多层交换机，用于将工作组连接到核心模块。
- 核心模块：也被称为骨干，在楼宇模块之间以及楼宇模块和服务器群、边缘集散模块之间提供高速连接。
- 边缘分发模块：这是功能区域企业园区和企业边缘之间的分界点。该模块向通过Internet或WAN访问园区的所有分支机构和远程工作人员提供连接性。
- 服务器群：表示园区的数据中心。
- 管理模块：提供网络管理功能，包括监控、日志、安全及企业内部的其他管理功能。
图1.8表明，楼宇模块、楼宇分发模块和核心模块分别对应于层次模型的接入层、分发层和核心层；该图还表明，多幢楼宇可对应于多组楼宇模块和楼宇分发模块，其中每组这样的模块都连接到核心模块。
功能区域“企业边缘”通过边缘分发模块将功能区域“企业园区”和“服务提供商边缘”连接起来，该功能区域有下列4个模块组成。
- 电子商务模块：包括组织提供电子商务功能（如在线订购）所需的服务器、网络设备等。
- 企业Internet模块：为组织提供Internet接入以及将来自外部用户的数据流传输到VPN和远程接入模块。
- VPN和远程接入模块：端接VPN数据流和外部用户的拨号连接。
- WAN模块：为使用各种WAN技术的远程站点提供连接性。
功能区域“服务提供商边缘”包含下列3个模块。
- ISP模块：表示Internet连接。在图1.7中，有两个这样的模块，这表示企业以双宿方式连接到两家ISP。
- PSTN模块：表示所有非永久性连接，包含通过模拟电话、手机和综合业务数字网（ISDN）建立的连接。
帧中继/异步传输模式（ATM）模块：表示所有到远程站点的永久性连接，包括通过帧中继、ATM、专线、电缆、数字用户线（DSL）、MPLS和无线桥接。
>注意：
有关网络设计的更详细信息，请参阅Cisco Press出版的图书《Authorized Self-Study Guide: Designing for Cisco Internetwork Solutions (DESGN)》第二版。
在网络设计阶段，将制订实施计划，这将在下一节详细介绍。