兩網(wǎng)融合的背景

鐵路信息化通信網(wǎng)絡(luò)當前存在著多張覆蓋全路的數(shù)據(jù)承載網(wǎng)絡(luò)，包括數(shù)據(jù)通信網(wǎng)、綜合計算機網(wǎng)(TMIS網(wǎng)絡(luò))、客票網(wǎng)、CTC/TDCS(鐵路調(diào)度指揮信息管理系統(tǒng))等。

其中，數(shù)據(jù)通信網(wǎng)近兩年已基本完成了網(wǎng)絡(luò)的升級改造，主要承載路局視頻會議、綜合視頻監(jiān)控、5T系統(tǒng)、工務(wù)雨量、旅客信息服務(wù)、辦公自動化、事故救援查詢平臺、物聯(lián)網(wǎng)、軟交換等業(yè)務(wù)，通過MPLS VPN技術(shù)實現(xiàn)多業(yè)務(wù)之間的隔離，升級改造后的數(shù)據(jù)通信網(wǎng)帶寬資源豐富，網(wǎng)絡(luò)可靠性及業(yè)務(wù)承載體驗進一步提升，具備從路局到沿線車站的大帶寬綜合承載綜能力。

而另外一張網(wǎng)絡(luò)：綜合計算機網(wǎng)(TMIS網(wǎng)絡(luò))，主要承載包括運輸、客運、貨運、機務(wù)、工務(wù)、電務(wù)、車輛、局辦、工會、安監(jiān)、人事、勞衛(wèi)、計劃、財務(wù)等各專業(yè)業(yè)務(wù)口的生產(chǎn)與辦公應(yīng)用系統(tǒng)，各路局綜合計算機網(wǎng)普遍存在帶寬不足、帶寬擴容受限、網(wǎng)絡(luò)覆蓋范圍不足等問題，網(wǎng)絡(luò)帶寬及服務(wù)質(zhì)量遠遠不能滿足鐵路信息化發(fā)展的需要。

綜上所述，將“數(shù)據(jù)通信網(wǎng)”、“綜合計算機網(wǎng)”進行兩網(wǎng)融合，可充分利用數(shù)據(jù)通信網(wǎng)的網(wǎng)絡(luò)資源，實現(xiàn)資源的優(yōu)化配置，解決綜合計算機網(wǎng)絡(luò)帶寬等問題。

兩網(wǎng)融合需求分析

在鐵總發(fā)布的《鐵路局綜合計算機網(wǎng)與數(shù)據(jù)通信網(wǎng)融合技術(shù)方案》中，要求綜合計算機網(wǎng)與數(shù)據(jù)通信網(wǎng)的融合，需要對原有綜合計算機網(wǎng)局域網(wǎng)交換機進行升級改造，同時在鐵路局機關(guān)、各匯聚點(原分所)、車站、段、動車所等處增加用戶邊緣路由器(CE)、防火墻，保證兩網(wǎng)融合的數(shù)據(jù)安全，其中數(shù)據(jù)通信網(wǎng)VPN300將作為綜合計算機網(wǎng)業(yè)務(wù)承載并采用MPLS VPN實現(xiàn)不同業(yè)務(wù)之間的安全隔離。同時因為兩網(wǎng)融合的網(wǎng)絡(luò)覆蓋面廣，涉及區(qū)域環(huán)境復(fù)雜，所以需要滿足易運維、穩(wěn)定可靠、可平滑過渡等要求：

• 易運維：由于數(shù)據(jù)通信網(wǎng)和綜合計算機網(wǎng)的網(wǎng)絡(luò)覆蓋面廣，且兩張網(wǎng)絡(luò)分別由路局電務(wù)處和信息處運維管理，因此，兩網(wǎng)融合需要解決網(wǎng)絡(luò)易運維，且運維界面清晰的問題，網(wǎng)絡(luò)故障時要能夠清晰定界，快速發(fā)現(xiàn)問題解決問題;
• 穩(wěn)定可靠：在大多數(shù)的小型車站，機房環(huán)境往往較差，兩網(wǎng)融合所增加的網(wǎng)絡(luò)設(shè)備需要能夠適應(yīng)較差的機房環(huán)境，尤其是設(shè)備的工作溫度、防塵能力具有較高的要求;
• 平滑過渡：數(shù)據(jù)通信網(wǎng)、綜合計算機網(wǎng)都是基于IP技術(shù)構(gòu)建的網(wǎng)絡(luò)，兩張網(wǎng)絡(luò)在過渡階段會同時存在，兩張網(wǎng)絡(luò)業(yè)務(wù)要互聯(lián)互通必須進行路由互引，而路由互引之后，將存在路由環(huán)路，如何避免環(huán)路將是網(wǎng)絡(luò)過渡時需要重點解決的問題;此外，跨路局的業(yè)務(wù)都需要統(tǒng)一從路局出口，如何在融合的網(wǎng)絡(luò)上實現(xiàn)這一業(yè)務(wù)目標尤為關(guān)鍵。

華為兩網(wǎng)融合解決方案及價值

首先需要滿足《鐵路局綜合計算機網(wǎng)與數(shù)據(jù)通信網(wǎng)融合技術(shù)方案》中兩網(wǎng)的融合，華為采用Sx7系列交換機對綜合計算機網(wǎng)絡(luò)的交換機進行升級改造;在鐵路局機關(guān)、各匯聚點(原分所)、車站、段、動車所等處設(shè)置的綜合計算機網(wǎng)局域網(wǎng)采用NE系列路由器作為用戶邊緣路由器接入數(shù)據(jù)通信網(wǎng);采用下一代防火墻NGFW設(shè)備USG6000系列防火墻進行邏輯隔離，實現(xiàn)對局域網(wǎng)的安全防護;

針對兩網(wǎng)融合安全問題，華為采用立體防護、多維度審計的解決方案，對兩網(wǎng)做到多重安全防護，為鐵路的網(wǎng)絡(luò)安全做到全方位、立體式、整體化的信息防護體系。

• 對于已知威脅，部署下一代防火墻，與用戶認證系統(tǒng)對接，實現(xiàn)基于應(yīng)用、用戶、時間的多維度全面安全防護，實現(xiàn)邊界隔離。通過下一代防火墻開啟AV功能，對網(wǎng)絡(luò)流量進行檢測和處理，實現(xiàn)反病毒擴散。發(fā)現(xiàn)針對信息網(wǎng)的攻擊入侵行為、DDOS攻擊，及時采取措施。
• 針對未知威脅，部署安全沙箱設(shè)備，通過信譽掃描、實時行為分析、大數(shù)據(jù)關(guān)聯(lián)等本地和云端技術(shù)，分析和收集軟件的靜態(tài)及動態(tài)行為，憑借獨有的行為模式庫技術(shù)，沙箱根據(jù)分析情況給出精確的檢測結(jié)果，對“灰度”流量實時檢測、阻斷和報告呈現(xiàn)，同時與防火墻形成有效聯(lián)動，有效避免未知威脅攻擊的迅速擴散和鐵路局核心信息資產(chǎn)損失。

在滿足兩網(wǎng)安全融合后還要滿足兩網(wǎng)融合中整體網(wǎng)絡(luò)易運維、穩(wěn)定可靠、可平滑過渡的難題和需求：

可視化精準運維，兩網(wǎng)融合運維責任界面清晰

通常在網(wǎng)絡(luò)部署完后，業(yè)務(wù)割接前，采用免儀表測量技術(shù)，驗收融合網(wǎng)絡(luò)。華為采用業(yè)界成熟的標準RFC2544，直接在網(wǎng)管上對割接前網(wǎng)絡(luò)吞吐量、時延、丟包等性能進行測量，確認新網(wǎng)絡(luò)的性能是否滿足計算機網(wǎng)各種業(yè)務(wù)要求，避免割新網(wǎng)絡(luò)不能滿足業(yè)務(wù)的性能要求，也免去了采用儀表進站測量。

業(yè)務(wù)正常運行后，采用可視化、“傻瓜化”監(jiān)控網(wǎng)絡(luò)運行質(zhì)量。在計算機網(wǎng)的CE設(shè)備之間，通過IP FPM功能，采用真實業(yè)務(wù)報文檢測進行端到端測量，支持點到多點、多點到多點，提供10-6 精度的丟包性能測量，主動全面感知全網(wǎng)業(yè)務(wù)質(zhì)量，確保兩網(wǎng)融合出現(xiàn)故障后快速判斷是哪張網(wǎng)的問題，理清信息部門和通信部門的問題責任界面，快速運維。

雙平面架構(gòu)，保證網(wǎng)絡(luò)業(yè)務(wù)高可靠運行

方案整體網(wǎng)絡(luò)采用雙平面架構(gòu)，采用雙節(jié)點雙鏈路冗余，保證任何設(shè)備或鏈路故障，能得到恢復(fù)。部署硬件BFD 3.3ms，加快故障檢測時間，另外采用硬件BFD，不需要占用CPU資源，避免CPU處理在業(yè)務(wù)擁塞時發(fā)包延遲甚至混亂。交換機、防火墻、CE設(shè)備以及和PE設(shè)備之間的鏈路和節(jié)點，配置IP FRR或IGP FC倒換技術(shù)，確保業(yè)務(wù)快速倒換。

在設(shè)備可靠性方面，設(shè)備采用NP架構(gòu)確保CPU故障不影響轉(zhuǎn)發(fā)，設(shè)備支持主要板件如主控交換冗余，支持NSF、NSR、ISSU等。

此外，針對大量小型車站，采用工業(yè)路由器，可在-40℃至65℃的溫度范圍內(nèi)穩(wěn)定可靠運行，解決小型車站由于機房條件不好造成的設(shè)備故障率高的問題。

完善割接方案，確保兩網(wǎng)平滑融合

華為針對兩網(wǎng)融合的特點，設(shè)計了完善的割接方案，已經(jīng)在實驗室成功鏡像驗證，為后續(xù)各路局成功平滑改造提供堅實的基礎(chǔ)。

總結(jié)

華為憑借RFC2544、IPFPM等系列技術(shù)，為路局兩網(wǎng)融合提供清晰的運維界面，快速實現(xiàn)兩張網(wǎng)絡(luò)故障定界，免儀器儀表便捷測量網(wǎng)絡(luò)帶寬及丟包率、時延等關(guān)鍵指標;為路局小型車站打造工業(yè)路由器，設(shè)備體積小易安裝，-40℃~65℃寬溫工作，可在小型車站無空調(diào)的機房長期穩(wěn)定運行。