多層交換：讓路由器“智能”起來

當(dāng)今世界，網(wǎng)絡(luò)化程度越來越高，人與設(shè)備之間的通信方式日新月異、種類繁多。其中的一些通信類型已經(jīng)為大家所熟知，如IP語音（VoIP）、數(shù)字圖像、組播、視頻點(diǎn)播、對等文件共享、遠(yuǎn)程視頻會(huì)議等等。不過，所有這些應(yīng)用都有一個(gè)共同的特點(diǎn)，即對網(wǎng)絡(luò)帶寬的需求可以用“貪得無厭”一詞來形容。 

從長遠(yuǎn)來看，帶寬本身總是不夠用的。因此，網(wǎng)絡(luò)基礎(chǔ)設(shè)施背后的智能“設(shè)備”，即交換機(jī)和路由器必須承擔(dān)起以智能化的方式跟上帶寬需求腳步的艱難任務(wù)。像視頻和數(shù)字X-光這樣的應(yīng)用總是要求更大、更智能化的“傳輸管道”，而VoIP應(yīng)用則要求低延遲或響應(yīng)時(shí)間以及一致的傳送速率。上世紀(jì)90年代中期，隨著傳統(tǒng)交換機(jī)的沒落，人們開始競相發(fā)展速度更快、智能化程度更高的交換機(jī)和路由器。硅谷的一群天才們看到了這一市場機(jī)會(huì)，由此，在一種稱為“多層交換路由”新概念的基礎(chǔ)上發(fā)明了網(wǎng)絡(luò)硬件及其相關(guān)的軟件。與當(dāng)時(shí)僅基于軟件的路由器相比，這些新的“智能”交換機(jī)/路由器能夠提供更快的速度和更短的延遲，同時(shí)能夠?qū)⒍喾N網(wǎng)絡(luò)設(shè)備的功能結(jié)合在一起。 

原來，當(dāng)需要增加網(wǎng)絡(luò)帶寬時(shí)，網(wǎng)絡(luò)管理員往往通過對網(wǎng)絡(luò)進(jìn)行重新設(shè)計(jì)來避免路由器發(fā)生瓶頸。服務(wù)器經(jīng)常不通過路由器，重新安裝在離用戶更近的地方。在大型企業(yè)中，用戶通常被劃分為通過路由器實(shí)現(xiàn)互連的一些較小的網(wǎng)絡(luò)（子網(wǎng)）。這種劃分通常是按照地域、運(yùn)行的應(yīng)用類型、需要的數(shù)據(jù)量和安全方面的因素來進(jìn)行。例如，財(cái)務(wù)部門經(jīng)常被全部布置在自己的群組中，這樣做的原因在于為了有效地保護(hù)公司的財(cái)務(wù)記錄，而不是考慮到所使用的帶寬。而VoIP電話也經(jīng)常被放置在自己的網(wǎng)絡(luò)之中，其原因在于這樣可以繞過傳統(tǒng)路由器的瓶頸。 

當(dāng)計(jì)算機(jī)需要與自己本地網(wǎng)絡(luò)之外的其他計(jì)算機(jī)進(jìn)行通信時(shí)，為了將數(shù)據(jù)包發(fā)送到群組外面，它們必須先將數(shù)據(jù)包發(fā)送到離自己最近的路由器。路由器提供公司與互聯(lián)網(wǎng)之間的連接和安全邊界，以及公司內(nèi)部群組之間的連接（內(nèi)部網(wǎng)）。 

傳統(tǒng)的路由器只有在絕對必要時(shí)才使用，如通過廣域網(wǎng)連接遠(yuǎn)程辦公室、連接到互聯(lián)網(wǎng)或隔離公司中具有高帶寬要求的群組。傳統(tǒng)的路由器很貴，現(xiàn)在仍是如此，而且與最初的設(shè)計(jì)相比并沒有重大的進(jìn)展，使用的組件與一臺標(biāo)準(zhǔn)PC的類似，并使用多個(gè)接口卡運(yùn)行專用的軟件。 


 

　　問題所在：核心路由器“瓶頸” 



 

　　解決方案：將網(wǎng)絡(luò)功能與多層交換路由器有機(jī)結(jié)合在一起


與之相比，多層交換路由器將傳統(tǒng)路由器的所有功能集中在一個(gè)專用集成電路（ASIC）上。ASIC比傳統(tǒng)路由器的CPU便宜，而且通常分布在多個(gè)網(wǎng)絡(luò)端口上?，F(xiàn)在，典型的交換機(jī)/路由器可能在一臺設(shè)備中包括50個(gè)ASIC，可以支持?jǐn)?shù)以百計(jì)的接口。另外，新的ASIC允許智能交換機(jī)/路由器在所有的端口上以最快的速度轉(zhuǎn)發(fā)數(shù)據(jù)，而不管網(wǎng)絡(luò)流量是什么類型，可以說，它們是以實(shí)際接口速度（經(jīng)常稱為線速）轉(zhuǎn)發(fā)數(shù)據(jù)。目前，市場上針對企業(yè)局域網(wǎng)（LAN）的新型交換機(jī)/路由器中可在單一個(gè)接口上以每秒鐘萬兆位的帶寬（OC-192）轉(zhuǎn)發(fā)數(shù)據(jù)。 

走出舊時(shí)代，邁進(jìn)交換新天地 

由于使用一種集中式的架構(gòu)，所以傳統(tǒng)路由器一般缺乏可擴(kuò)展能力。對于傳統(tǒng)路由器，到達(dá)路由器的所有數(shù)據(jù)包必須被送到一個(gè)區(qū)域進(jìn)行處理，這樣，您擁有的接口數(shù)量越多，系統(tǒng)的負(fù)載越重，從而造成資源的過度占用。這大大限制了網(wǎng)絡(luò)所提供的服務(wù)，如VoIP。 

當(dāng)一個(gè)使用集中式架構(gòu)的路由器需要處理的流量超出自己的處理能力時(shí)，它就會(huì)開始丟棄數(shù)據(jù)包。而當(dāng)網(wǎng)絡(luò)應(yīng)用或計(jì)算機(jī)收不到響應(yīng)信息時(shí)，它們會(huì)發(fā)送更多的數(shù)據(jù)包，試圖恢復(fù)會(huì)話。這樣，情況變得更糟，因?yàn)楹苋菀讓?dǎo)致交叉會(huì)話過載。這種情況下，過載的路由器會(huì)根據(jù)應(yīng)用、用戶的優(yōu)先級或網(wǎng)絡(luò)目的/源地址有選擇性地丟棄數(shù)據(jù)包。很明顯，我們需要一種新的方法來滿足流量增長的要求。 

多年以來，傳統(tǒng)路由器的處理速度已經(jīng)出現(xiàn)了很大的增長，但仍不足以跟上強(qiáng)大應(yīng)用的腳步。例如，它們現(xiàn)在每秒鐘可以轉(zhuǎn)發(fā)將近100萬個(gè)數(shù)據(jù)包。但考慮一個(gè)每秒鐘能夠發(fā)送1,488,000個(gè)數(shù)據(jù)包（pps），同時(shí)以1,488,000 pps的速度接收數(shù)據(jù)包的千兆以太網(wǎng)接口， 2千兆以太網(wǎng)端口就能夠輕易使系統(tǒng)過載。與此形成對比的是，多層交換機(jī)/路由器以線速轉(zhuǎn)發(fā)數(shù)據(jù)包，并且，交換ASIC以分布式的方式存在，允許整個(gè)系統(tǒng)高效地輸送流量。 

這些新交換機(jī)/路由器使用一種新的網(wǎng)絡(luò)設(shè)計(jì)和管理模式。在實(shí)現(xiàn)線速轉(zhuǎn)發(fā)的今天，阻塞點(diǎn)可以被有效地消除，用戶距數(shù)據(jù)的距離可以更遠(yuǎn)，而且不必?fù)?dān)心性能的下降。我們前面例子中提到的股票交易商現(xiàn)在可以連接到與自己相距數(shù)個(gè)樓層或數(shù)百英里遠(yuǎn)的服務(wù)器或網(wǎng)絡(luò)數(shù)據(jù)，具體距離取決于交換機(jī)/路由器所支持的接口類型以及所使用的銅纜或光纖類型。此外，新的IP和優(yōu)化的以太網(wǎng)路由器更易于管理，管理人員僅需花費(fèi)很少的時(shí)間來使網(wǎng)絡(luò)與新的應(yīng)用保持同步。像網(wǎng)捷網(wǎng)絡(luò)的BigIron機(jī)箱式系列產(chǎn)品，它們能夠簡單地傳輸所有來自應(yīng)用的流量，同時(shí)，可以添加更多的模塊來滿足容量和速度增加的要求。 

為確定網(wǎng)絡(luò)流量的類型和容量，當(dāng)今的ASIC中內(nèi)置了新的數(shù)據(jù)包采樣技術(shù)，以提供對整個(gè)系統(tǒng)流量的監(jiān)控。RFC 3176或sFlow現(xiàn)在已經(jīng)成為日益普及的方法，為企業(yè)和服務(wù)供應(yīng)商提供對網(wǎng)絡(luò)中所有應(yīng)用流量的實(shí)時(shí)監(jiān)視——說明流量所需的帶寬、流量的去向等等。可以說，sFlow允許大型企業(yè)更好地監(jiān)控跨多個(gè)部門的網(wǎng)絡(luò)資源的使用狀況；在大學(xué)中可以識別網(wǎng)絡(luò)中非法的無線和有線應(yīng)用，并在網(wǎng)絡(luò)性能受到影響之前發(fā)現(xiàn)和制止拒絕服務(wù)（DoS）攻擊?，F(xiàn)在，對于那些對安全性非常重視的企業(yè)來說，RFC 3176正快速成為必備的要求。 

多層交換機(jī)/路由器的功能與傳統(tǒng)的路由器和交換機(jī)毫無差別，它們只是將分散的局域網(wǎng)（LAN）和城域網(wǎng)（WAN）功能集中在一個(gè)單一設(shè)備中。它們可在同組的用戶之間實(shí)現(xiàn)本地交換（即第2層交換），于不同組的用戶間實(shí)現(xiàn)路由（即第3層交換或路由），同時(shí)為應(yīng)用提供安全特性和特殊服務(wù)（即第4層交換）。 

采用路由器來保護(hù)網(wǎng)絡(luò) 

在路由器中使用安全過濾通常非常必要——甚至全世界的政府都建議這樣做。路由器之所以成為理想的安全“檢查點(diǎn)”，是因?yàn)樗鼈兪蔷W(wǎng)絡(luò)的入口和出口。在路由器上創(chuàng)建被稱為訪問控制列表（ACL）的復(fù)雜規(guī)則以后，路由器將根據(jù)這套規(guī)則來檢查每一數(shù)據(jù)包。例如，這些規(guī)則可以只允許特殊的授權(quán)用戶訪問公司的數(shù)據(jù)。 

對于傳統(tǒng)路由器，根據(jù)安全規(guī)則檢查數(shù)據(jù)包是一個(gè)費(fèi)時(shí)的過程。當(dāng)路由器找到每一數(shù)據(jù)包中的第3層和第4層信息以后，它必須將這些信息與規(guī)則進(jìn)行比較。而啟用安全過濾功能一直都是一場“惡夢”，它會(huì)使路由器的速度變慢。因此，當(dāng)對性能的影響太大時(shí)，就需要使用特殊的設(shè)備來分擔(dān)工作負(fù)載。 

即使是多層交換路由器，它們在執(zhí)行這一功能（同時(shí)保持線速性能）時(shí)也會(huì)面臨挑戰(zhàn)。當(dāng)啟用安全功能時(shí)，部分新型交換機(jī)/路由器的速度也會(huì)慢下來。不過，大多數(shù)新型的交換機(jī)/路由器已經(jīng)將這些安全策略集成到硬件上，因而，即使在啟用ACL的情況下，也能夠提供線速轉(zhuǎn)發(fā)性能。 

使用多層交換機(jī)/路由器進(jìn)行安全和流量分析正在變得日益流行，主要是因?yàn)樵O(shè)備廠商將這種技術(shù)內(nèi)置于多層交換機(jī)/路由器中。越來越多的網(wǎng)絡(luò)設(shè)備被整合到同一設(shè)備中。您不再需要獨(dú)立的硬件來監(jiān)視流量或安全的某些方面，這可以為我們的網(wǎng)絡(luò)用戶帶來極大的好處。