如何让边缘交换机设备的智能与性能兼顾

边缘交换机设备在组网中起着非常重要的作用，那么如何让边缘交换机设备的智能与性能兼顾呢？如果网络的边缘交换机设备将QoS、速率限制、ACL、PBR及sFlow集成到硬件芯片上，使得这些智能不致影响到基本二层、三层的线速转发性能，

那么端到端的智能网络才得以大规模开展，从而使得整个网络不仅拥有全局的连接能力，也同时拥有全局的网络智能。从过去到现在，网络的设计理念一直存在着几种不同的思路。就透通与智能这两个重点来看，侧重程度的不同就影响到网络的设计：透通强调连接能力、简单管理、价格低廉；智能强调控管和增值能力，因此多数复杂程度较高，成本也相对较高。其实设计并无高下，只取决于用户的实际需求与经费预算而已。

因此，网络架构可以是全二层的架构，不过扩展度较差；也可以是全三层的架构，不过价格较高；而大多的规划会在两者之间取得一定的平衡，这就产生了两种不同的架构——折叠式骨干网络架构与分散式骨干网络架构。其中，折叠式骨干将智能收缩到上层的汇聚设备上，而在下层的接入设备则只强调透通与线速。单从智能控管的角度来看，这是一种集中式的设计。

这两种架构在网络边缘上存在着重大差异。折叠式骨干多以二层交换作为边缘，而分散式骨干多以三层交换作为边缘。如果简单地以交换或路由来判定网络的智能，当然三层交换优于二层交换。但是由于愈来愈多的业务在同一张网上开通，网络的智能问题不再单纯地以二层/三层来判定，更多时候，执行QoS的能力、提供指定接入速率的能力、ACL（访问控制列表）的安全屏蔽能力、网络流量统计与监控能力以及策略路由（PBR）的支持能力，都可以更有效地来判定网络的智能。因此，有了这样一个概念，不管是折叠式骨干中的边缘二层交换设备， 是分散式骨干中的边缘三层交换设备，在众多厂家的二层、三层交换设备中，用户可以依据自己业务上的实际需要做出更为明确的选择。

执行QoS的能力

在多媒体业务中，数据、语音、图像对时延、抖动、掉包的要求不尽相同。为了更好地执行多媒体业务，用户最好在数据包中加入相应的QoS标记，边缘交换机设备或者读取QoS并加以执行，或者对于不可信任的来源，采取重行分类、重行标记QoS并加以执行的方式。QoS在过去有二层的CoS（服务等级）或三层的IP Precedence（IP优先等级）的做法，而现在则强调差分服务（DiffSew）的支持能力。因此，边缘交换机设备在端到端的QoS支持上，作为QoS的入站点或出站点，扮演着极为关键的角色。对DiffSew提供硬件支持能力是边缘交换机关键功能之一。

指定接入速率的能力

固然千兆以太网的普及使得骨干有较为充裕的带宽，但这种资源不是取之不尽、用之不竭的。而且采取使用者付费以管制边缘带宽的有效使用是最为可行的手段，因此，在边缘交换机的接口上，不但要提供十兆、百兆的设定能力，更要提供基于端口、优先等级、VLAN、ACL分类的速率限制能力，而且最好是入站或出站均能执行速率限制，范围由256k一直到千兆，粒度则以硬件芯片能以硬件处理的范围为宜，一般而言在256k左右。

应用智能边缘交换机设备情况调查

这里必须特别强调，硬件处理是希望边缘交换机设备不会因为启动速率限制而影响其线速转发数据包的能力，这一点对边缘交换机设备来讲是很重要的性能指标。有了完整的速率限制功能，而又不影响网络的性能指标，才能有效地管理网络的带宽资源。

ACL的安全屏蔽能力

在网络中，ACL不但可以让网络管理者用来制定网络策略，对个别用户或特定的数据流进行允许或者拒绝的控制，也可以用来加强网络的安全屏蔽。从简单的Ping to Death攻击、TCP Sync攻击，一直到更多样化更复杂的黑客攻击，ACL都可以起到一定的屏蔽作用。ACL有标准ACL及扩展ACL（Extended ACL）两种，不论边缘是二层交换机还是三层交换机，最好都具备支持标准ACL及扩展ACL的能力，才能将网络的安全屏蔽及策略执行能力分散到网络的边缘。跟速率限制一样，网络设备不但应该能执行完整的ACL功能，包括进站及出站，同时也必须强调由硬件处理的能力。如此，才能在启动ACL的同时，不会影响到二层或三层交换设备线速转发数据包的能力。

策略路由支持能力

一般路由不管是透过RIP、OSPF、BGP，还是MPLS标记协议，多是由目的地址来决定路由路径，因此无法对网络流量进行有效分流，或是对网络流量制定策略。 然而，策略路由能力在现今多样化的网络环境中有时是必要的功能之一。简单举例来说，在大型网络运营商（NSP）的环境中，不同的用户需要被连接到不同的Internet 运营商（ISP）中；或者在校园网中，作为教学研究的用户必须被连接到高速的网络出口，而宿舍网络的用户则通常被导引到较低速的出口，如此分流才不致影响到校园网的科研性能，同时经由适当的分流，高速/低速出口均能分配到相应的流量，从而使得带宽的应用得到有效分配。想要达到这种分流的效果，一般路由是无法做到的，唯有透过策略路由（PBR），将源地址进行分类，并且制定其下一跳出口的IP地址才能达成，而这也是策略路由有别于一般路由之处：基于源地址信息执行路由选径，而不基于目的地址信息执行路由选径。策略路由能做的不仅是依用户的类别进行路由选径及分流，更进一步，它也可以做到依业务的类别来指定路由或分流。其具体做法就是在进行分类时，不只看第三层的IP地址，更进一步看第四层的IP端口号，不同的业务导引到不同的路由。比如对所有端口号80的HTTP数据流进行分类，并将其导引到特定的四层Web交换机或缓存服务器上，从而透过Web缓存机制，使得用户的Web响应时间得到大幅度提升，而且网络出口的重复流量也得到大幅度缓解。以上的例子都只是策略路由的部分功能而已，实际上它的功能远超过这些，策略路由因为可以直接在网络下端设备指定，再透过中间设备的一般路由，到达指定的上端设备出口，因此，它并不多是在中间的汇聚设备上启动，更多时候为了更有效地分流效果，策略路由将在接入设备上启动。跟ACL一样，在需要策略路由的网络设备上，不但要有完整而多样化的策略路由支持功能，同时必须强调有硬件处理能力，才能在启动的同时，仍然享有三层交换线速转发的能力。

网络流量统计与监控能力

流量统计与监控在网络建设中已经成为重要的一环。一个很简单的思路就是，如果你无法看到网络的整体流量，又如何能够管理整个网络？如果我们在提供高效能带宽的同时，也能充分掌握网络的流量信息，便可随时调节网络的资源与策略，使得网络运行顺畅，也使得网络故障的排除变得简单而快速。所以在网络中，再提供一套完整的、覆盖全网的、实时的网络监控系统，就像是在纵横交错的高速公路网上处处加装监视摄像头一般，让交管人员采取有效的分流手段，同时也可透过完整的统计资料，对路由进行扩容及规划提供重要的参考。

流量监控与统计在过去因为受限于既有技术，多数只能以SNMP、RMON、RMON v2等技术实现部分功能，而且对网络的带宽占用或网络设备的资源开销造成相当程度的影响，所以通常无法覆盖全网，无法实时监控，无法在百兆、千兆甚至万兆端口等高速网络上执行，这些都使得全网的监控与统计无法达到令人满意的表现。