H3C-ADVPN方案PPT.ppt

,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,-,#,-,杭州华三通信技术有限公司,杭州华三通信技术有限公司,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,#,单击此处编辑母版标题样式,杭州华三通信技术有限公司,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,#,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,-,#,-,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,#,单击此处编辑母版标题样式,H3C ADVPN,方案交流胶片,AD VPN,基本概念,AD VPN,典型应用（海外）,AD VPN,案例,支持情况,目 录,ADVPN,基本概念,VAM,VPN Address Management,，,VPN,地址管理协议,VAM Server,VAM Server,是接受,DVPN,节点向其注册信息的服务器，负责管理、维护各,DVPN,节点的信息,HUB,Hub,是一种,VAM Client,，一个,VPN,网络的中心设备，它是路由信息交换的中心。在,Hub-Spoke,组网中，它也是数据转发的中心,SPOKE,Spoke,是一种,VAM Client,，通常是企业分支机构的网关设备，该节点不会转发收到的其它,DVPN,节点的数据,ADVPN,是一种,VPN,技术，包括,VAM,协议和,DVPN,隧道两部分,Hub,Routers,Hub1,Hub2,VAM,Servers,Spoke,Routers,Branch 1,Internet,Branch 2,Main,Backup,3,ADVPN,隧道技术,Hub,Routers,Firewalls,Hub1,Hub2,VAM,Servers,IMC IVM&BIMS Server,Spoke,Routers,Branch 1,Internet,AAA,Server,Core,Switches,Branch 2,Main,Backup,初始连接,VAM Client,（,Hub,和,Spoke,）向,VAM Server,发起连接，协商,VAM,控制协议报文加密、验证算法，以及密钥,注册阶段,VAM Client,利用,VAM,协议隧道向,VAM Server,注册，完成,VAM Client,和,VAM Server,间的双向认证，将,VAM Client,信息注册到,VAM Server,上,隧道建立,利用,VAM Client,在,VAM Server,注册的信息，完成,Client,之间安全数据转发隧道的建立，包括,Spoke,与,Hub,之间，以及,Spoke,之间的隧道,永久,IPsec,隧道,按需动态,IPsec,隧道,4,ADVPN,特点,ADVPN,继承了,IPsec,对通过,Session,转发的数据进行加密保护，保证通信的数据的安全性,支持,Hub-Spoke,和,Full-Mesh,组网结构,实现了对,OSPFv2,、,BGP,动态路由协议的支持,支持主备,+,双活组网，,支持动态地址组网,ADVPN,不但继承了传统,VPN,的各种优点，更重要的是解决了传统,VPN,目前普遍面临的问题。配置简单、网络规划简单、功能强大，比传统,VPN,更加符合目前以及未来的网络应用,5,ADVPN,优势,Hub,Routers,Firewalls,Hub1,Hub2,VAM,Servers,IMC IVM&BIMS Server,Spoke,Routers,Branch 1,Internet,AAA,Server,Core,Switches,Branch 2,Main,Backup,永久,IPsec,隧道,按需动态,IPsec,隧道,可动态，易扩容,支持动态路由协议，总部和分支之间可以运行动态路由如,BGP,、,OSPF,，若部署,BGP,的，可部署成动态,BGP,，即总部发布分支的网段路由，这样的好处是新增加分支，无需更改总部和其他分支设备配置，只添加新分支设备及配置即可，做到简单平滑扩容,既主备，又双活,若总部有两条运营商线路，分支设备既可以通过运营商,A,线路同总部,HUB1,建立隧道，同时跟运营商,B,线路同总部,HUB2,建立隧道，这两条隧道是双活状态，通过策略路由调整隧道优先级，同时是主备关系，若有一条线路,down,掉，可以快速切换成另一条隧道，做到双保险。,Ipsec,做不到这一点，,Ipsec,是单点隧道，一个分支只能跟总部一台设备建立隧道，是冷备份关系，故在链路切换时，存在速度等诸多缺陷，更不能做到双活,6,ADVPN,优势,Hub,Routers,Firewalls,Hub1,Hub2,VAM,Servers,IMC IVM&BIMS Server,Spoke,Routers,Branch 1,Internet,AAA,Server,Core,Switches,Branch 2,Main,Backup,永久,IPsec,隧道,按需动态,IPsec,隧道,支持,Full-mesh,组网,适应未来网络发展趋势，不仅实现总部,-,分支互访需求，为未来分支互访做好铺垫,灵活动态地址,使用,VAM(VPN Address Management),解决了对动态,IP,地址的支持，在同一个,VPN,内部构建隧道，事先不需要知道其他,Client,的任何信息，只需要配置自己的信息并指定相应的,Server,就完成了。所以使用动态,VPN,时用户只需配置一次，不管其他,Client,设备怎么更改也都能够进行互相通讯。用户也不用关心自己当前使用的,IP,地址是多少，更加适应现在动态,IP,地址的使用方式,7,AD VPN,基本概念,AD VPN,典型应用（海外）,AD VPN,案例,支持情况,目 录,Intelligent WAN solution wins and pipeline,2012,2013,2014,WIN,WIN,WIN,WIN,WIN,Ministry of Social Affairs and Health Finland,WIN,WIN,WIN,WIN,Adaman SWAN,目前正在支持的重大项目,DVPN$250K FOB Q1 FY13,National Oilwell Varco Branch Proj,（美国国民油井华高公司）,Products used:,IMC with BIMS module,8 x 6602 routers,250 x MSR20-10 routers,Architecture:,Three hub sites,each with two hub routers.Two VAM servers.Branch sites connect to region hub sites.Secure,site-to-site connectivity.IMC to reduce complexity and speed deployments,关键需求,:,分支网站连接到区域中心。安全,Spoke,之间可以互访,。,部署,IMC,来,降低复杂性,并提升速度,组网架构,:,三对,6602,做,HUB,，共用了六台，两台,6602,做,VAM server,，共中标八台,6602,，,250,台,MSR20-10,，以及,IMC,25,万美金,DVPN$270K FOB Q2 FY13,Department of Internal Trade Thai Rice Mill Proj,（国内贸易部,-,泰国,Rice Mill,项目）,Products used:,2 JC176A HP 6602 Router Chassis,760 JF812A HP MSR900 2-port FE WAN/4-port FE LAN Router,1 JF377AAE HP IMC Std S/W Pltfrm w/100-node E-LTU,1 JF381AAE HP IMC Std/Ent add 1000-node E-LTU and 2 JD377A HP 5500-24G EI Switch,Architecture:,The design includes 2xSR6602 in single location(for redundancy)and 760 of MSR900 router(one per branch).All of the equipment connect to broadband ADSL internet link,（两台,6602,设备既做,VAM Server,，又做,HUB,，,760,台,MSR900,放分支位置，通过,ADSL,线路连接到总部,HUB,）,关键需求：,客户需求在分支使用摄像头，但当前路由器不够，,cisco,给客户推荐方案是增加路由器，并租用更多线路，客户不想花更多钱去租线路，,HP,推荐方案是增加路由器，用原有的线路，使用,DVPN,，客户最终选择,HP,设备。,中标设备：,2,台,6602,，,760,台,MSR900,，,IMC,和,2,台,5500-24G,交换机。,27,万美金,DVPN-$400K FOB Q2 FY13,Andaman SWAN Government branch project,（安达曼,SWAN-,政府分支项目）,Products used:,HP 6608,HP 6604 and MSR30-20 Routers,HP IMC(+Core&Branch Switches),Andaman&Nicobar Islands,Government of India(Logo to be updated),Architecture:,For their WAN backbone they have selected HP-HP 6608 at core/hub,HP 6604 at Tier 1&2 locations and MSR30-20 at Tier 3 locations)The communication between Tier-1/2/3 and DC is IPsec and will be using DVPN for dynamic tunneling,40,万美金,中标设备,:,6608,，,6604,和,MSR30-20,，,IMC,（中心和分支交换机）,台数不明,组网架构：,HP6608,在中心做,HUB,，,6604,在一二级位置，,MSR30-20,在三级，使用,DVPN,，三级之间有互访需求,Banco do Brasil:Large Consumer Bank 20,000 routers,（巴西银行：,20000,台路由器大型银行）,-,项目交流阶段,Project Description:Current DMVPN customer with 20,000 locations using SLB on 6500 and 32 Cisco 7206s for hubs.Planning refresh of WAN,pure hub and spoke.,Key requirements:,Each branch requires dual SP connections with HQ,Cost effectively support 20,000 locations,Spoke to spoke is not a requirement,All encryption and equipment must be owned by bank(kept internal),Timeline:,Initial stages-SA is collecting additional information from client and positioning,HUB,Routers,DVPN Data Tunnel,DVPN Control Tunnel,Data Center,AAA/SNMP Servers,Firewalls,main,main,backup,backup,VAM,Servers,Branch,DVPN Spoke,Main link,DVPN Control Tunnels(2),DVPN Data Tunnels(2),Backup link,客户需求,:,1,、每个分支和总部有双向访问需求,2,、分支之间没有互访需求,3,、所有加密数据和设备都银行自己维护,Lidl:Large Retail Chain in Europe:10,200 routers,（欧洲大的零售连锁企业：,10200,台路由器规模）,-,目前重点支持项目,Project Description:Hierarchical network deployment with 9500 locations using MPLS and Internet.Planning refresh of WAN,hub and spoke/full-mesh,.,Key requirements:,Each branch requires connection to warehouse,Cost effectively support 9500 locations,Spoke to spoke is a requirement,Each warehouse requires connection to country HQ,Each Country HQ requires connection to International HQ,International,Headquarter,National,Headquarter,International,MPLS,Internet,Warehouses,Stores,National,MPLS,Standard,Country,Property,Office,关键需求,:,1,、每个分支都连接到,warehouse,2,、分支之间有互访需求,3,、每个,warehose,（仓库）都连接到国家总部,4,、每个国家都要求连到国际总部,AD VPN,基本概念,AD VPN,典型应用（海外）,AD VPN,引导案例,差异化,目 录,Hub Routers,Hub1,Hub2,VAM Servers,Main,Backup,EAD/UAM Server,IMC BIMS&IVM&UAM Server,Applications Servers,第三方杀毒服务器补丁升级服务器,FW1,FW2,HQ,CA Server,Portal,网关,Switch,Core Switch,DMZ,区,Spoke,Routers,Branch 1,Branch 2,Branch,Hub3,Hub4,ISP A,ISP B,弹性和扩展方案,SMB,方案,VAM Servers&,Hub,Routers,Hub1,Hub2,EAD/UAM Server,第三方杀毒服务器,补丁升级服务器,IMC BIMS&IVM&UAM Server,HQ,CA Server,FW1,FW2,Core Switch,ISP A,ISP B,Portal,网关,Spoke,Routers,Branch 1,Branch 2,多租户方案,Hub,Routers,Hub1,Hub2,VAM,Servers,Spoke,Routers,Branch,of Enterprise A,Internet,Core,Switches,Main,Backup,IMC IVM&BIMS,&UAM Server,Applications for Enterprise A,Applications for Enterprise B,Multi-Tenant,数据中心,Branch,of Enterprise B,Switch,FW1,FW2,Edge Router1,Edge Router2,双活,/,主备,VPN,方案,Hub1,Hub2,VAM Servers,Spoke Routers,Branch,A,MPLS,Core,Switches,Main,Backup,Applications Servers,Branch,B,HUB Routers,Internet,EAD/UAM Server,IMC BIMS&IVM&UAM Server,CA Server,FW2,FW1,Edge Routers,层次化方案,National Headquarter,International,MPLS,Internet,National MPLS,Core VPN,National VPN,International,spoke,&,National Hub&National VAM Server,International,Headquarter,National Spoke,International Hub,Routers,Hub1,Hub2,International VAM Servers,Main,Backup,EAD/UAM,Server,第三方杀毒服务器补丁升级服务器,FW1,FW2,Edge Router1,Edge Router2,IMC BIMS&IVM&UAM Server,CA Server,L3 Switch,Core Switch,华润万家全国门店网络拓扑,链路备份路由器,总部网络,总,部,各,个,大,超,市,核心路由器,MSR3010,MPLS,专线,服务器群,各区域分支,总,部,各,个,小,超,市,UTM Manager,网络管理平台,IMC BIMS,Ipsec VPN,区域大超市,区域大超市,MPLS,专线,区域小超市,区域小超市,MPLS,专线,Ipsec VPN,MSR900,MSR900,MSR900,MSR900,MSR20-20,MSR20-20,MSR20-20,MSR30-20,MSR900,MSR900,MSR20-20,MSR20-20,SR6616,MSR 50-40,MSR20-20,MSR30-20,MSR20-20,MSR 50-40,MSR 50-40,Ipsec VPN,备份,Ipsec VPN,备份,本次网络改造区域,-,华南区,网络管理中心,VPN,运行监测,配置自动下发,版本自动更新,集团局域网,H3C SR66,VPN Server,分支,1,VPN Client,分支,2,VPN Client,分支,N,VPN Client,分支,5,VPN Client,中国电信,总部,分支,3,VPN Client,中国联通,H3C,MSR900,H3C,MSR900,H3C,MSR900,H3C,MSR900,H3C,MSR20,H3C SR66,改造后网络拓扑,实施流程,用,U,盘将简单配置加载到分支设备（配置包括分支设备能连接到总部网管的配置信息）,分支设备自动连接总部网管，自动下发分支设备完整配置,配置更新实现自动化,版本实时、定时批量升级,Hub1,Hub2,Spoke1,Spoke2,Spoke N,Spoke N,Spoke1,Spoke2,总部,分支机构,分支机构,分支机构,分支机构,分支机构,分支机构,DVPN tunnel,DVPN tunnel,中国电信,中国联通,DVPN,隧道为双活,+,主备,改造后网络优点,组网优势,1:,双活,+,主备模式,两条链路为双活模式，提高链路利用率，分摊,HUB,设备压力，又互为主备，链路故障恢复及时,2:,隧道部署动态路由，可以动态感知网络故障，路由自动收敛，且收敛速度很快（,ms,级）,可将总部内地址引入到隧道,BGP,中发布给分支，当总部内链路故障，根据,BGP,路由收敛，分支即可感知,3:,弹性可扩展,DPD,检测,动态路由设计，后续扩容无需更改总部及各分支配置，只需将新的分支接入网络，即可跟总部,HUB,自动建立隧道，,DPD,隧道故障检测，确保隧道实时更新,4:,支持双方向的流量随时发起访问,部署完成后,Hub,同,Spoke,之间的,ADVPN,隧道自动建立，分支同总部之间业务可有任意一端随时发起业务访问,5:,分支互访可控方便,一个分支欲访问另一个分支，如果希望分支之间可以直接建立,ADVPN,隧道,Hub1,Hub2,Spoke1,Spoke2,Spoke N,Spoke N,Spoke1,Spoke2,总部,分支机构,分支机构,分支机构,分支机构,分支机构,分支机构,中国电信,中国联通,中断,DVPN tunnel,链路故障处理,AD VPN,基本概念,AD VPN,典型应用（海外）,AD VPN,案例,支持情况,目 录,ADVPN,隧道技术,传统,VPN,技术,DVPN,技术,IPsec VPN,不支持动态地址之间建立,IPsec VPN,支持动态地址之间建立,DVPN,隧道,IPsec hub-spoke,组网中,Hub,设备需要为每个,Spoke,设备单独配置,IPsec VPN,，配置复杂,DVPN Hub,设备配置简单，完成配置后支持不改变,Hub,设备配置的情况下动态增加新的,Spoke,设备,IPsec hub-spoke,组网中,Spoke,之间流量通过,Hub,设备转发，增加,Hub,设备处理负担,DVPN Spoke,设备之间支持动态建立,VPN,隧道并转发流量,不支持动态路由协议，需要手动配置，维护管理复杂,DVPN,支持动态路由协议，可以在,hub-spoke,或者,Spoke-Spoke,之间运行动态路由协议,L2TP VPN,不支持对流量进行加密和验证,支持对流量进行加密和验证，支持标准的加密算法：,DES,、,3DES,、,AES,；验证算法：,MD5,、,SHA,L2TP VPN,主要实现,PPP,用户的远程接入，对于其他链路类型不支持,DVPN,适用于各种链路类型，如：以太网、,ATM,、,PPP,等，以及各种类型网络接口；,GRE VPN,配置复杂，需要为每个对端配置,GRE,隧道,配置简单,不支持对数据流量进行安全保护,支持对数据流量进行加密和验证,不支持,NAT,穿越,DVPN,报文采用,UDP,封装，支持,NAT,穿越,BGP/MPLS VPN,配置复杂,配置简单,不支持对流量进行加密和验证,支持对流量进行加密和验证，支持标准的加密算法：,DES,、,3DES,、,AES,；验证算法：,MD5,、,SHA,不支持组播路由和组播流量转发,支持组播路由协议和转发组播流,SSL VPN,配置简单,配置简单,客户端之间无法通信,Spoke,之间可以通过,Hub,进行互通,27,HUB,：,SR66,、,MSR50,VAM Server,：,MSR50,、,MSR30,SPOKE,：,MSR201x,、,MSR301x,、,MSR93x,、,MSR2600-10/17,设备选型建议,SR66,系列和,MSR,系列支持,ADVPN,（,V5,）,Thanks!,交流,29,