实战干货：某金融单位外联区，同城汇聚区割接方案

湖北江汉联盟武汉分公司作为省会的规模最大，业务最全，门店最多的分公司，一直作为着湖北省内其他地州市分公司的标杆存在。由于该分公司业务量大，现有的外联区、同城汇聚区相关设备（路由器、交换机、防火墙）已经比较老旧，现拟将武汉分公司的外联区、同城汇聚区的网络设备进行更换，并针对网络架构进行升级改造。

所以，总部为武汉分公司提供如下设备：

1、两台迪普FW1000A防火墙；

2、两台H3C S5560交换机；

3、两台H3C MSR 5660路由器；

4、两台华为NE20E-S4路由器；

用于重建该二级分行的同城汇聚区和外联业务区

割接过程

上图中，新的同城汇聚路由器与核心之间的互联链路，互联IP地址重新规划，不利旧老路由器与核心的互联地址了。这样，新的路由器可以提前与核心做好连接。不仅可以有充足的时间检查H3C路由器与Cisco交换机之间的链路双工、速率协商，也有足够的时间检查同城汇聚路由器与核心之间OSPF邻居的建立，从而规避了不同厂商设备之间链路对接双工、速率协商的风险。

外联区业务改动很大，但新的防火墙、路由器、交换机都不是大型设备，在机柜资源充足的情况下可以提前上架，做好内部连接。

在这里需要注意的点是Cisco ASA5520到DPTech FW1000GA-E的配置翻译，主要是防火墙的NAT、安全策略和业务路由。地址呢？这个是重新规划的互联地址，倒是不算在配置翻译里面。

外联区做好内部连接并测试通过后，规划两条连线到核心交换机。

在核心交换机上写好对外联防火墙的配置（互联地址VRRP和静态路由）

外联路由器的NAT、接口及路由配置必须提前做好并且确保无误

在割接开始前，必须保证核心交换机上到防火墙的接口关闭！

割接开始后，关闭核心到老防火墙的接口

开启核心到新防火墙的接口，并转移外联单位的线缆到新路由器上

如果此时防火墙和核心之间的链路畅通，且业务正常

经过测试正常后，视为割接完成

此时需要保证新的外联区稳定运行一周后再下架老设备

如果出现问题需要回退，则直接在核心上拆除到新防火墙的接口，开启核心到老防火墙的接口，将外联下行线路转移回到路由器，即可完成回退操作。

再说一下同城汇聚区的割接

先上架两台新的同城汇聚区路由器，与核心交换机之间重新规划接口和IP地址

建立好OSPF邻居

割接开始后，转移下行线缆到新的同城汇聚路由器上即可

但要注意，同城汇聚路由器必须提前写好到下联的配置

回退时，直接把线缆转移回去即可

在这里需要注意的问题是：

1、同城汇聚路由器连接分支单位使用的是单模光纤，此时需要注意该接口需要关闭速率自协商；

2、根据工勘的结果，MSTP专线的单模光纤是从机柜顶部延伸下来，到达20U位置的MSTP汇聚光电协转。因老设备Cisco 2811只有电口，所以从MSTP光电协转到Cisco 2811还有一段双绞线连接，这一段的长度是可控的。但是，新的同城汇聚路由器（华为NE20E-S4）只有光口。那么从柜顶光纤配线架下来的这条单模光纤的长度是否能拉倒17U以下的位置并且能顺利连接到路由器上，就需要提前查看了。如果不能确定这条单模光纤长度足够，则需要重新布放一条。

下面请看完整方案

第一章：前言

1.1、项目背景

湖北江汉联盟武汉分公司作为位省会的规模最大，业务最全，门店最多的分公司，一直作为着湖北省内其他地州市分公司的标杆存在。由于该分公司业务量大，现有的外联区、同城汇聚区相关设备（路由器、交换机、防火墙）已经比较老旧，现拟将武汉分公司的外联区、同城汇聚区的网络设备进行更换，并针对网络架构进行升级改造。

1.2、文档目的

本文档用于湖北江汉联盟武汉分公司外联区，同城汇聚区网络升级改造实施指导性方案文档。用于该项目的详细规划和设计之用，为实施工艺的编写提供理论支撑，并作为该项目工程实施的指导性文件之一。

1.3、实施范围

1.4、实施目标

顺利完成湖北江汉联盟武汉分公司外联区，同城汇聚区网络升级改造，业务上线，网络稳定运行。

第二章：网络架构

2.1、割接前拓扑

网络割接现状：

• 同城汇聚区，单台路由器（主机名HBWH-MAN-DR，型号Cisco 2811）上联两台核心交换机，下联一条联通MSTP专线与各个分支站点互联；
• 同城汇聚路由器与核心交换机运行OSPF，进程ID为100，区域为Area 0，同城汇聚路由器与所有分支行站点运行OSPF，进程ID为100，区域为Area 1；
• 外联区防火墙（主机名HBWH-EXT-AF）只与核心-2互联，核心-1为该区域的温备，配置单点接口与防火墙互联，核心与防火墙之间配置静态路由，核心上做静态路由重分发进OSPF内；
• 外联区路由器（主机名HBWH-EXT-DR）与防火墙互联，配置静态路由。

2.2、割接后拓扑（预期目标）

改造后的预期目标

• 同城汇聚区路由器更换为两台华为NE20E-S4，与核心交换机配置FullMesh全互联接口，并运行OSPF路由协议，OSPF进程ID为100，区域为Area 0；
• 在没有第二条MSTP专线的情况下，同城汇聚路由器-1为在线机，与分支站点上联接入路由器互联，同城汇聚路由器-2为温备机，配置与路由器-1相同的下联配置。当路由器-1出现故障时，可以将MSTP专线转移到路由器-2上。
• 外联区防火墙更换为两台迪普DPTECH-FW1000GE-E防火墙，配置静默双机，与核心-1和核心-2互联，核心交换机上配置VRRP协商的互联地址与防火墙互联；
• 新增两台外联区交换机（HBWH-EXT-CS01/02，型号H3C s5560）交换机配置为IRF堆叠，与外联区路由器（HBWH-EXT-DR01/02，型号H3C MSR5660）交叉互联并运行OSPF Area 0；
• 外联区防火墙与核心交换机之间为静态路由，外联区交换机与防火墙之间为静态路由，在核心交换机、外联交换机上配置静态路由重分发进OSPF内。

第三章：实施规划

3.1、设备安装规划

3.2、设备命名及软件版本

3.3、设备连接规划

3.4、IP地址规划

3.4.1、Loopback地址

3.4.2、设备互联地址

3.4.3、业务地址

利旧

3.5、路由规划

• 核心交换机（HBWH-COR-CS01/02）与同城汇聚路由器（HBWH-MAN-DR01/02）之间运行OSPF路由协议，OSPF进程ID为100，区域为Area 0
• 同城汇聚路由器（HBWH-MAN-DR01/02）与分支站点上联接入路由器之间运行OSPF路由协议，OSPF进程ID为100，区域为Area 1，Area 1设置为完全NSSA；
• 在同城汇聚路由器（HBWH-MAN-DR01/02）上配置区域间路由聚合，将Area 1的路由聚合为/19的大段发布到Area 0内；
• 核心交换机与外联区防火墙使用静态路由；静态路由需聚合为掩码长度不超过/24的网段；
• 外联区交换机对外联区防火墙上写静态路由10.0.0.0/8与21.0.0.0/8；
• 核心交换机和外联交换机上把静态路由重分发进OSPF内；
• 核心交换机-2重分发静态到OSPF内时，加大Cost值为1000；
• 外联交换机与外联路由器之间运行OSPF路由协议，进程ID为200，区域为Area 0；
• 外联路由器上重分发静态路由，直连路由（外联区转换后地址）到OSPF内；
• 所有OSPF的网络类型均为P2P，使用Loopback 0的地址作为Router-ID，且接口Cost值均保持默认值，参考带宽为默认值。

3.6、管理服务及冗余规划

电源冗余：本次项目实施中使用的防火墙设备都使用了冗余电源的设备，电源模块支持双路供电和不同的工作模式，电源工作模式采用全冗余模式。在设备电源连接时应保证同一设备的冗余电源连接到不同的供电回路上。

风扇冗余：

本次项目实施中使用的设备基本都采用了风扇冗余设计，主要实现以下冗余功能：

一组风扇中的其中一个风扇故障时，其他组风扇的转速不会增加；

一组风扇中的多个风扇故障时，其他组风扇的转速会迅速增加到100%；

当一组风扇被拔出时，系统一旦检测到，其他组风扇的转速会增加到100%；

当多组风扇被拔出，并且在2分钟内没有被插回或替换，系统将会自动重启，故当更换风扇（支持热插拔）时，请在2分钟内完成。

3.7、设备初始化规划

SNMP规划：

SNMP版本：v2c、v3

SNMP团体名：hbjhlmAdmin（读/写）

SNMP源地址：10.134.113.0/24，ACL白名单，ACL 2103

NTP主地址：

NTP副地址：

设备访问NTP源地址：交换机/路由器，Loopback 0，防火墙：Inside/Trust接口地址

Syslog地址：

设备访问SysLog源地址：交换机/路由器，Loopback 0，防火墙：Inside/Trust接口地址

AAA服务器地址：10.113.134.18/19

设备访问AAA源地址：交换机/路由器，Loopback 0，防火墙：Inside/Trust接口地址

其他说明：

1、设备的远程管理方式使用带内管理的方式，管理地址用Loopback 0地址；

2、远程管理的协议，使用SSH Version 2；

3、设备初始化的登录用户名为：jiege，密码为jiege@2020，该用户名和密码仅用于网络建设阶段和调试阶段，网络即将交付时，该登录用户禁用；

4、SNMP权限：读写（RW），团体名：xxxx，版本v2c和v3共存，trap接收地址x.x.x.x，端口UDP162

5、Syslog服务器的地址是x.x.x.x

6、NTP服务器的地址是x.x.x.x

7、网络设备开启LLDP，开启Tracert

8、关闭不必要的服务器（FTP、Http、Telnet）

9、配置白名单的ACL，对VTY接口设置登录源地址限制（具体ACL见脚本）

10、关闭交换机上未使用的接口。

3.8、人员组织

第四章：实施方案

4.1、实施原则

• 1)在不影响现有网络系统正常运行的情况下，进行新设备的上架、调试、测试工作。安装和切换工作中，尽量不修改除外联区防火墙、交换机、路由器及同城汇聚路由器以外设备的配置，方便回退。
• 2)在切换过程中采用平滑切换的原则，尽量将业务中断的时间降到最低，同时保障回退的可操作性

4.2、时间安排

割接时间暂定于2013年11月18日，20:00开始

4.3、实施准备

工具准备：笔记本电脑，Console线，CRT软件（仅限SecureCRT或Xshell），螺丝刀，上架卡扣和上架螺丝，机架托盘

耗材准备：单模光纤及多模光纤（长度以工勘为准），扎带若干

4.4、实施步骤