专栏名称: 天億网络安全

全面介绍网络安全相关知识、安全建设方案、分享网络安全行业法律法规及相关政策等内容，一个学习网络安全知识、技术、业务交流的全国性平台。

等保2.0（三级）核心交换机如何实现链路聚合、冗余、堆叠、热备份

天億网络安全 · 公众号 · · 2019-11-13 17:30

正文

请点击上面 一键关注！

内容来源：数据中心运维管理

前言

网络安全等级保护2.0（三级）中， 安全通信网络 层面， 8.1.2.1 网络架构 控制点， 测评项： e) 应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性。 此项解读： 应有关键网络设备、安全设备和关键计算设备的硬件冗余（主备或双活）和通信线路冗余。

等保2.0三级对网络要求双链路、热备，今天给大家介绍核心交换机链路聚合、冗余、堆叠、热备份等这些功能，这些功能非常重要，决定了核心交换机在实际应用中的性能、效率、稳定性等。

一、链路聚合

是将两个或更多数据信道结合成一个单个的信道，该信道以一个单个的更高带宽的逻辑链路出现。链路聚合一般用来连接一个或多个带宽需求大的设备，例如连接骨干网络的服务器或服务器群。它可以用于扩展链路带宽，提供更高的连接可靠性。

1、举例

公司有2层楼，分别运行着不同的业务，本来两个楼层的网络是分开的，但都是一家公司难免会有业务往来，这时我们就可以打通两楼之前的网络，使具有相互联系的部门之间高速通信。

如下图：

如上图所示，SwitchA和SwitchB通过以太链路分别都连接VLAN10和VLAN20的网络，且SwitchA和SwitchB之间有较大的数据流量。

用户希望SwitchA和SwitchB之间能够提供较大的链路带宽来使相同VLAN间互相通信。同时用户也希望能够提供一定的冗余度，保证数据传输和链路的可靠性。

创建Eth-Trunk接口并加入成员接口，实现增加链路带宽，2台交换机分别配置Eth-Trunk1 分别将需要通信的3条线路的端口加入Eth-Trunk1，设置端口 trunk ，允许相应的vlan通过；这样两楼的网络就可以正常通信了。

2、实现配置步骤

在SwitchA上创建Eth-Trunk1并配置为LACP模式。 SwitchB配置过程与SwitchA类似，不再赘述

system-view

[HUAWEI] sysname SwitchA

[SwitchA] interface eth-trunk 1

[SwitchA-Eth-Trunk1] mode lacp

[SwitchA-Eth-Trunk1] quit

配置SwitchA上的成员接口加入Eth-Trunk。 SwitchB配置过程与SwitchA类似，不再赘述

[SwitchA] interface gigabitethernet 0/0/1

[SwitchA-GigabitEthernet0/0/1] eth-trunk 1

[SwitchA-GigabitEthernet0/0/1] quit

[SwitchA] interface gigabitethernet 0/0/2

[SwitchA-GigabitEthernet0/0/2] eth-trunk 1

[SwitchA-GigabitEthernet0/0/2] quit

[SwitchA] interface gigabitethernet 0/0/3

[SwitchA-GigabitEthernet0/0/3] eth-trunk 1

[SwitchA-GigabitEthernet0/0/3] quit

在SwitchA上配置系统优先级为100，使其成为LACP主动端

[SwitchA] lacp priority 100

在SwitchA上配置活动接口上限阈值为2

[SwitchA] interface eth-trunk 1

[SwitchA-Eth-Trunk1] max active-linknumber 2

[SwitchA-Eth-Trunk1] quit

在SwitchA上配置接口优先级确定活动链路

[SwitchA] interface gigabitethernet 0/0/1

[SwitchA-GigabitEthernet0/0/1] lacp priority 100

[SwitchA-GigabitEthernet0/0/1] quit

[SwitchA] interface gigabitethernet 0/0/2

[SwitchA-GigabitEthernet0/0/2] lacp priority 100

[SwitchA-GigabitEthernet0/0/2] quit

二、链路冗余

为了保持网络的稳定性，在多台交换机组成的网络环境中，通常都使用一些备份连接，以提高网络的效率、稳定性，这里的备份连接也称为备份链路或者冗余链路。

三、交换机的堆叠

通过专有的堆叠电缆连接起来，可将多台交换机堆叠成一台逻辑交换机。该逻辑交换机中的所有交换机共享相同的配置信息和路由信息。当向逻辑交换机增加和减少单体交换机时不会影响其性能。

叠加的交换机之间通过两条环路连接起来。交换机的硬件负责将数据包在双环路上做负载均衡。环路在这里充当了这个大的逻辑交换机的背板的角色，在双环路都正常工作时，数据包在这台逻辑交换机上的传输率为32Gbps。

当一个数据帧需要传输时，交换机的软件会进行计算看哪条环路更可用，然后数据帧会被送到该环路上。如果一条堆叠电缆出故障，故障两端的交换机都会侦测到该故障，并将受影响的环路断开，而逻辑交换机仍然可以以单环的状态工作，此时的数据包通过率为16Gbps。交换机的堆叠采用菊花链方式，连接的方式参考下图。

堆叠增加交换机端口与带宽的稳定性。

四、热备份（HSRP）

核心交换机是整个网络的核心和心脏，如果核心交换机发生致命性的故障，将导致本地网络的瘫痪，所造成的损失也是难以估计的。所以我们在选择核心交换机时，经常会看到有的核心交换机具有堆叠或热备份等功能。

对核心交换机采用热备份是提高网络可靠性的必然选择。在一个核心交换机完全不能工作的情况下，它的全部功能便被系统中的另一个备份路由器完全接管，直至出现问题的路由器恢复正常，这就是热备份路由协议.

实现HSRP的条件是系统中有多台核心交换机，它们组成一个“热备份组”，这个组形成一个虚拟路由器。在任意时刻，一个组内只有一个路由器是活动的，并由它来转发数据包，如果活动路由器发生了故障，将选择一个备份路由器来替代活动路由器，但是在本网络内的主机看来，虚拟路由器没有改变。所以主机仍然保持连接，没有受到故障的影响，这样就较好地解决了核心交换机切换的问题。

为了减少网络的数据流量，在设置完活动核心交换机和备份核心交换机之后，只有活动核心交换机和备份核心交换机定时发送HSRP报文。如果活动核心交换机失效，备份核心交换机将接管成为活动核心交换机。如果备份核心交换机失效或者变成了活跃核心交换机，将由另外的核心交换机被选为备份核心交换机。

当某台接入层交换机到主核心交换机的线路出现故障，切换至备机，数据流走向

当接入层交换机1上联至核心交换机A的数据链路出现故障，导致接入层交换机1的数据链路切换至核心交换机B，但在切换期间接入层交换机1分丢6个数据包，如上图所示。

当服务器与核心交换机A之间主链路出现故障（如线路、网卡等），服务器主网卡切换至备用网卡上时，会丢6个数据包，但当主链路恢复以后，服务器会自动从备用网卡切换至主网卡，而这次切换时数据包不会丢失。具体终端访问服务器的数据流走向如下图。

等保2.0（三级）核心交换机 如何实现 链路聚合、冗余、堆叠、热备份

正文

请到「今天看啥」查看全文

等保2.0（三级）核心交换机如何实现链路聚合、冗余、堆叠、热备份