纸上得来终《SD-WAN在互联网出入口收敛场景下的实战案例》

2024-06-28 09:41:53 Jinyu
先来一份档案背景:项目合同额3500W+;企业类别:某大型国有企业;网络背景:该企业原在全国有北方、华中、华东、西南、西北五个区域汇聚点,全国分支机构按照区域划分通过MV或MSTP专线就近接入5个区域中心,包含异地灾备(本次不讨论灾备),同时各个分支结构都有自己的互联网出口;

客户痛点(也是很多企业的痛点):因为互联网出口众多,暴露面防不胜防,在HW专项行动中被攻破出局,同时各个分支机构管理人员参差不齐,甚至有的机构出现只有使用无人管理的情况,带宽使用成本、硬件设备成本连年攀高,分支机构也由原来的几十家发展到一百多家,总部无法实现对分支机构网络出口调整也做不到对分支机构出口的统一监管和资源调度,带宽利用率无法充分发挥,无法做到全国一张网,每年各个分支机构还要产生相应的运维服务费用,导致成本不断增加,网络安全挑战越来越大,业务部门体验越来越差。
建设需求:在充分利旧的原则下,将目前只有5个汇聚节点的广域网升级为在每个省会城市都有接入点的MPLS高速带宽企业骨干网;服务商选择在南北各一处区域建设两个吞吐量在15-20G的互联网出口满足全国分支机构互联网访问需求,各分支单位不再保留互联网出口,总部保留互联网出口,同时南北两区域中心要按照等保2.0三级标准进行建设,全国一张网,带宽资源充分利用,可通过技术手段优先保障业务流量,部分业务互访较大的省份之间可以直接发起互访,原则上北方单位走北方出口,南方单位走南方出口,同时两个出口互为备用避免单点故障。
现状结构:

图片

提供方案:首先当前企业广域网传统架构面临着诸多困境,同时也是该企业所面临的困境:

图片

     给客户推荐使用SD-WAN解决方案来实现该企业广域网的整体升级重构,将SD-WAN技术应用于企业广域网场景,用于连接广阔地理范围的分支网络、数据中心、互联网应用及云服务,帮助企业降低广域网投入、提高管理运维效率、加固广域网安全,同时能够实现全国一张网,完成网络资源调度架构重组,实现总部监管,降低分支机构运维人员工作量,提升对企业业务的支撑效率。

图片

整体项目建设方案目标:

图片

方案整体设计架构说明:

根据客户需求及建设目标,本项目总体采用网形组网结构,二个互联网出口数据中心(一级节点)加总部作为互联网访问汇聚节点,各二级节点(本次接入的二、三级单位)访问互联网可以通过二个数据中心或总部(一级节点)做流量中转,也可以通过MPLS-VPN广域网进行直接的业务互访,从而减轻总部压力。

   一、二级节点间通过MPLS-VPN骨干网实现互联互通,并采用“Full-Mesh”组网模型。另外,为实现对广域专网的统一、智能、灵活的管理与监控,需建设网络管控平台,部署网络监控平台与SD-WAN控制平台,与各节点进行对接,建立管控隧道(EVPN)。

   本次项目建设范围为一级节点三个(北方节点、南方节点、总部)互联网出口、二级节点(60家二级单位、80家三级单位)。后续,可基于本次项目建设模式与经验,实现广域网的快速扩展与复制应用到四级五级单位(四、五级单位接入组网模式需要根据具体情况制定)。

项目整体技术架构逻辑示意图:

图片

      一级节点侧(南北方数据中心)架构图设计:

图片

二级节点(二、三级单位) 侧架构设计:

图片

南北区域中心互为保障:

流量收敛:各区域单位所有互联网访问流量统一通过广域接入网收敛至区域/数据中心,通过区域/数据中心实现流量出局,区域/数据中心自身互联网流量本地出局;
保障机制:当某个区域中心互联网访问出现故障时,本区域内区域单位互联网流量将就近从其它区域中心出局

图片

    业务流量走向示意图:

图片

 SD-WAN带来的服务体验:

图片

智能选路:

图片

总结:在网络安全形势愈演愈烈的环境下,面对多分支机构,灵活广域网组网,一站式安全管理网络等需求场景,SD-WAN无疑提供了一套成熟的解决方案。减少互联网暴露面不仅是国家的安全导向,同时也是大型企业必须要走的路径,SD-WAN提供了安全可靠的减小互联网暴露面的方案,无论是大型企业、中小型企业都可以使用,可以自建SD-WAN组网,也可以通过运营(POP)的方式实现自身SD-WAN网络的组网建设。


我要咨询