全光网络校园解决方案技术白皮书V5.0

声明免责声明虽然新华三集团试图在本资料中提供准确的信息,但不保证本资料的内容不含有技术性误差或印刷性错误,为此新华三集团对本资料中信息的准确性不承担任何责任。新华三集团保留在没有任何通知或提示的情况下对本资料的内容进行修改的权利。版权声明本白皮书著作权属于新华三技术股份有限公司所有。转载、摘编或以其他任何方式使用本白皮书的全部或部分内容的,应注明来源,违反上述声明者,著作权方将追究其相关法律责任。编写说明主编委员:程臻副主编委员:(按姓名拼音排序)曹敏傅嘉嘉顾伟平郭晓东黄翔霍晓宇李佳鹏李震林庆新刘丰秦尧宋毅君汪存友王耕汪卫国谢晓俊张毅婷郑炜郑晓兰朱晓波主编单位山东大学山西大学华中师范大学山西师范大学武汉理工大学太原理工大学湖北经济学院福州大学至诚学院新华三技术有限公司前言关于本书本书基于对高校校园网络的发展趋势和网络技术演进方向的洞察,提出了新代校园网络的建设思路。书中介绍了新华三全光校园网络的典型建设场景和方案建议,并对关键技术进行了详细介绍,最后展示全光网络解决方案的成功案例,向读者全面展现了新华三全光校园网络解决方案在高校网络升级/建设中的思考和实践经验。本书作为新华三全光校园网络解决方案的参考资料,经新华三工程师充分验证,旨在帮助客户快速构建张极简、智能、易维护的全光校园网络。读者对象本书适合教育行业相关的信息化从业人员、教育行业数字化转型的参与者或决策者,以及对高校网络解决方案感兴趣的读者。校园网络发展趋势2校园网络校园网络新需求当下各行业数字化转型已经进入关键时期当下各行业数字化转型已经进入关键时期。Gartner预测,到2025年,将有85%的企业和组织采用云优先原则,企业业务上云流量变化导致带宽需求激增,对网络联接产生更复杂的需求;IDC预测,到2025年,50%的企业将整合loT功能。企业内有线网、无线网、loT的多网合,更需要统的运维手段来简化网络运管,提升管理效率。传统园区网络面临带宽、运维等更高要求,全光网络以其更高带宽、大二层网络易于运维和扩容、超长传输、绿色低碳等优点,成为下代园区网络的最佳选项。目前业界主流看法认为,全光网络是指单模光纤为传输介质,使用以太交换设备或PON设备进行组网的网络,允许设备节点存在定的光电转换,由此全光网络分出了以太全光和PON(pas-siveopticalNetwork,无源光网络)两大类。与传统的铜缆网络相比,全光网络无论是在性能还是运维方面,都有明显的优势。传统铜缆网络存在传输性能弱、成本高、布线复杂等缺点,已逐渐承载不了各种新型网络应用,例如物联网、云服务、超高清视频、无线办公、数字孪生等带来的业务流量。过去十多年来过去十多年来,"光进铜退"工程在逐步推动铜缆网络的淘汰,各类相关政策纷纷出台,对全光网络建设的支持力度在不断加大。《2021政府工作报告》11中就曾提出,"加大5G网络和千兆光网建设力度,丰富应用场景"。工业和信息化部《"双千兆"网络协同发展行动计划(2021-2023)》2提出,"鼓励基础电信企业结合行业单位需求,在工业、交通、电网、教育、医疗、港口、应急公共服务等典型行业开展千兆虚拟专网建设部署"。3校园网络校园网络面临的挑战随着数字化随着数字化、智慧化校园的推进,校园网络所承载的数据流量越来越大。以校园VR(虚拟现实)为例,VR需要传输大量的数据以实现高质量的图像和流畅的用户体验。根据VR的不同体验级别,有不同的带宽需求。对于基本的VR体验,至少需要20Mbps的带宽。对于舒适的VR体验,需要100~200Mbps的带宽;对于极致的VR体验,则需要高达1Gbps以上的带宽。校园中人员多校园中人员多,终端数量多,对网络的要求高。校园内人员的身份多样,有职工、老师、学生、外院、访客等等,每种身份对应的网络访问权限是不样的;而不同身份的人员又会在校园内的不同地方、使用不同的终端接入校园网络,这给校园网络的接入认证管理及网络权限管理带来了挑战。根据调研结果,当前校园内人均拥有2.5个终端,而且每个终端平均每日在网时长达5.4小时,相应的访问数据也大量存在,所以要思考如何优先保障关键业务的高速访问。随着智慧校园的建设加快随着智慧校园的建设加快,智能化逐渐进入高校的各个业务领域,覆盖信息中心、后勤、安防等多个建设主体,涉及多个通过专用网络支撑的智能化业务系统,如教学类、科研类、行政财务类、安防类、生活服务类等。每个专网针对特定的用户群体和业务目标设计,虽然具有专网专用互不影响的好处,但也带来各种类型的专网出现重复建设、多头管理的问题。4传统网络架构传统网络架构,受限于普通的铜缆传输性能差,每百米就要增加网络设备,同时还需要增加弱电机房、空调等,这使得网络结构更加复杂、后期更难管理。而全光网络则结构相对简单,受益于光纤传输距离远、覆盖范围大的特点,光网络架构可以减少中继设备、弱电机房、空调的使用,从而减轻维护工作量。此外,随着校园网络越来越大,越来越复杂,运维的工作压力也越来越大。网络运维工作在信息中心整体工作中的占比也同步变高。工作方式也主要以故障驱动为主,智能化的运维手段和工具在校园的覆盖率比较低,面对日益增多的网络突发卡顿,wi-Fi不好用等问题缺乏有效手段。建设思路全光校园网络6在高校,网络就像人类的神经样,触达、链接到校园的每处,并且助推着高校从"信息化"向"数字化"、"智能化"的教育信息化更高形态进阶发展4)。在"光进铜退"进程加速的背景下,我们认为下代校园网的建设方向是基于新代信息技术演化生成的全光校园网络,其应具备链路光纤化、融合组网、配置自动化、业务精细化及运维智能化等典型特征。链路光纤化光纤作为传输介质,有传输距离远、速率高、衰减少、抗干扰能力强、生命周期长等特点,是提高网速的理想材质。·光纤传输距离远,可以轻松覆盖较大的范围。五类网线和六类网线的传输距离般为100米以内,而万兆光模块铺设单模光纤可以达到20公里的传输距离。·光纤的传输损耗非常低,被广泛用于较长距离和远程骨干网。例如,当距离为100米时,光纤信号损耗仅为原始信号强度的3%,而相同距离6A类铜缆网线的信号损耗大约为其原始信号强度的94%。铜缆的传输损耗也会随着信号频率的提高而迅速增加。·光纤传输速率高,单波传输速率可达400Gbps以上,是六类网线(1Gbps)的400倍以上。·光纤的抗干扰能力强,安全性更高。而普通的网线受电磁干扰的影响较大。·光纤的生命周期长,般可以使用30年无需更换,使用寿命是普通网线的3-4倍。在典型的中大型高校网络中,推荐万兆入室、千兆到桌面的带宽设计,般采用三层架构,即:核心层-汇聚层-接入层。在实际应用中,需要根据园区网络规模选择不同的网络层级结构。单校区核心层设备,般采用两台高性能核心交换机,双机方式提供高可靠性(M-LAG)。多校区之间核心交换机采用100G互联,并为将来升级更高带宽(比如400G)做出接口预留。7汇聚层设备,般采用高转发能力的汇聚交换机,双机方式提供高可靠性(M-LAG)。根据园区大小,汇聚层又分为区域汇聚、楼宇汇聚。如图所示,对于区域汇聚,核心层与汇聚层之间采用100G互联;对于楼宇汇聚,双40G链路聚合上行,并具备将来升级为100G的能力。典型组网拓扑图接入层设备般分为有线接入和无线接入。有线接入主要是指接入交换机,单机部署,10G链路上行连接楼宇汇聚设备;无线接入主要是指wi-Fi接入,通过2.5/10GE上联楼宇汇聚交换机或者接入交换机。在全光网络中,区别于传统的网线连接,网络设备之间采用光纤互联。光纤无法传输电信号,如何实现传统网络中的POE供电,即如何实现集中供电是全光网络中的个重要话题。传统方案通过网线实现POE供电最长的供电距离不超过100米,传统方案在面对超过100米的场景时采取的办法般是增加电源适配器,即本地供电。8全光方案,集中供电般有两种方式。第种是借助内嵌在交换机设备中的供电模块,或者是单独的PRS供电设备,单独走弱电供电线缆到受电交换机/受电AP。集中供电方式第二种是通过光电混合缆来实现集中供电,光电混合缆(也叫光电复合缆,photoelectriccom-positecable),是种适用于通信接入网系统的新型接入方式,它将输电铜线与光纤集合在起,可以次性同步解决宽带接入、设备用电、信号传输的问题。光电混合缆横截面示意图9光电混合缆具有较明显的优点:1.提供高带宽接入,同时解决网络建设中接入层设备用电问题;2.外径小,重量轻,传输距离比网线远,占用空间小;3.具有优越的弯曲性能和良好的耐侧压性能,施工方便。光电混合缆的选择需要考虑多方面的因素:·从光电混合缆外皮材质方面来看,分为PVC(聚氯乙烯)和LZSH(低烟无卤材料)。市面上网线多为PVC(聚氯乙烯)材质,燃烧时会产生有害气体(如:卤化氢、氧化碳等)。另种优良材质LZSH(低烟无卤材料),抗老化程度高,阻燃性能较好,燃烧时无毒烟,安全性更高,更为环保。所以对于无毒环保要求较高的场景,需要选择LZSH低烟无卤光电混合缆。·从光电混合缆的供电铜线的线径来看,分为0.4mm2、0.5mm2和1.o0mm2三种规格,这三种规格决定了光电混合缆的线径不同,即占用桥架的空间不同。同时最重要的是,不同的铜线线径决定了在不同受电功率等级下的最大供电距离不同,铜线越粗,在相同的供电功率下,传输距离越远。光电混合缆的使用,会因两端设备的光电接口不同而有所不同。常见的方式有三种,如下表。部署时,供电侧使用具备光电功能的光主机,受电侧使用具备光电功能的影终端或者光AP。不同类型的设备,对应上述三种不同类型的光电混合缆使用方式。在校园网络中,WLAN占据很重要的部分。而随着802.11协议不断演进,AP也进入到了光AP时代。技术演进回顾发展历程,初版802.11协议速率仅2Mbps,802.11b使用新的编码形式,将速率提升到11Mbpso802.11a利用新的5GHz频段,引入OFDM技术并采用64-QAM调制将无线速率提升到54Mbpso802.11g将802.11a的技术同步推广到2.4GHz频段,2.4GHz频段也能到达54Mbps的速率。802.11n作为个重大突破,MIMO技术被引入WLAN协议,同时采用更宽的40MHz带宽,下将WLAN速率提升到了600Mbps802.11ac继续进行突破,最大可用QAM-256调制,支持最大160MHz带宽,将速率提升10余倍到6.9Gbpso同时为提升多用户使用体验,引入MU-MIMO技术。802.11ax在前者基础上,作为个更高效的网络,引入OFDMA技术,同步采用1024-QAM调制,传输速率达到9.6Gbps,基本跨入了10Gbps的门槛,相较于初始版本协议速率已提升近万倍。wi-Fi协议标准的概述如下表所示。标准802.11n(wi-Fi4)802.11ac(wi-Fi5)802.11ax(wi-Fi6)802.11be(wi-Fi7)发布时间2009年2013年2020年2024年工作频段2.4GHz、5GHz5GHz2.4GHz、5GHz(wi-Fi6E6GHz)2.4GHz、5GHz、6GHz理论最大速率600Mbps6900Mbps9600Mbps46Gbps最大带宽40MHz160MHz160MHz320MHzMIMO4X48X88X8调制方式64-QAM256-QAM1024-QAM4096-QAM传输技术MIMO-OFDMDLMU-MIMOUL/DLMU-MIMO,OFDMAUL/DLMU-MIMO,OFDMA,Multi-AP,MLOwi-Fi7技术亮点wi-Fi7的关键字是EHT(ExtremelyHighThroughput),首要特征就是超高的吞吐。在传输速率方面,通过引入320MHz带宽,4K-QAM调制,MIMO16X16使得单链路最大理论速率达到46Gbpso频谱效率提升上,引入Multi-RU、混合自动重传请求(HARQ)、多AP协同等技术,让资源利用更合理更高效。干扰抑制方面,preamblepuncturing、协同OFDMA(C-OFDMA)、协同空间重用(CSR)、多链路同步信道接入等技术将被采用,使得AP间干扰更小,覆盖更均衡。针对可保障低时延,多AP联合传输(JXT)、动态链路切换、定时与同步、新接入类别等技术正在讨论与纳入中。1.320MHz信道2020年4月23日,FCC宣布,考虑允许将6GHz频段中的1200MHz频谱开放给免许可应用,最终投票表决通过了将6GHz(5.925-7.125)的新频段开放给了免许可应用,也就是wi-Fi的应用。随后,世界各国也积极推动将6G频段作为非授权频段给wi-Fi应用。新的6G频段共有1200MHz的带宽,可以提供59个20MHz信道带宽,29个40MHz带宽信道,14个80MHz信道带宽,7个160MHz和3个320MHz信道带宽,极大地缓解了当前wi-Fi频谱资源短缺问题。wi-Fi6E作为wi-Fi6新频段的扩展,工作在6G频段,目前已批量落地应用。目前已授权频谱如下,其中黄色部分为当前国内授权可用信道。wi-Fi7作为新代的通信标准,将工作在2.4G/5G/6G三个频段上,最大带宽320MHz。同时,为了对频谱的更加灵活应用,也包含240MHz带宽,以及160MHz+80MHz,160MHz+160MHz的带宽绑定。从频谱角度,在相同流数,相同编码的情况下,相比wi-Fi6的160MHz带宽,峰值理论吞吐直接提升了倍。随着硬件调制解调能力的不断提升,802.11随着硬件调制解调能力的不断提升,802.11be协议中加入了更高阶的调制方式4096-QAM。相较于wi-Fi6最高1024-QAM调制,每个符号最多承载10bit信息;4096-QAM调制,每个符号将最多承载12bit信息,信息承载量提升20%。1024-QAM与4096-QAM星座图对比3.MIMO16X16wi-Fi4最多能够支持MIMO4X4,wi-Fi5/6最多能够支持MIMO8X8,wi-Fi7将对传输的空间流数进行进步的提升,支持MIMO16X16。提升后,理论传输数率相比wi-Fi6会直接翻倍。MIMO16X16传输示意图在物理层,wi-Fi7结合320MHz大带宽、4096-QAM调制、MIMO16X16三个特性,达成了工作组在成立之初30Gbps的速率目标。将三个提升进行总和,理论速率的最大值达到了46Gbps4.Multi-RUwi-Fi6之前的wi-Fi标准主要采用的是OFDM(正交频分复用)调制方式,将信道切分为多个子载波,提升速率的同时有较强抗干扰能力,但单信道同时间内只能为同用户服务。wi-Fi6引入了正交频分多址(OFDMA)这成熟的4G蜂窝技术,子载波带宽更窄,增加RU的概念,单信道同时间内可以为多用户服务。但wi-Fi6中单个STA只能使用单个RU资源,缺乏些灵活性,wi-Fi7突破了这限制,允许单个STA同时占用多RU,并且不同尺寸的RU可以进行组合。基于实现复杂度与频谱资源利用效率的均衡,也会做些限制,小型RU(<20MHz)与大型RU(≥20MHz)只能组合相同类型的RU,不能将小型RU与大型RU进行组合。20MHz带宽Multi-RU举例大带宽Multi-RU举例以太全光组网方案和PON全光组网方案各有优势,而PON+以太全光网组合方案则实现了以太网交换机和PON设备的融合组网,可根据实际需要在不同的使用场景下灵活部署5)。PON+以太全光网组合方案典型组网图基于PON+以太全光网组合方案的典型组网如图所示。在该方案中,核心交换机通过安装OLT单板,将以太网和POL网络深度融合,并且集成安全、SDN、物联网等特性,适用于智慧校园、智慧医院、酒店等园区应用场景。该方案具有如下优势:·高带宽,通过全光互联,轻松实现超宽组网。·智能运维,光链路智能诊断,实时保障链路质量;光模块诊断分析,生命周期预测;网络自愈,无线可视保障;可以及时查看设备状态和键替换故障设备。·部署简单,所有设备即插即用,自动化上线。·融合组网,集中管控。以太全光网络和POL网络融合,由SDN统管理。PON以OLT板卡的形式和Leaf交换机进行整合,无需再使用单独的OLT设备。·有线网络架构双核心冗余设计,核心交换机支持IRF虚拟化技术,单台设备故障支持毫秒级切换。·极致体验,通过光纤入室满足高带宽的接入需求。在教学、宿舍等场景下可以部署多速率静音交换机、静音ONU,满足用户的网络使用体验。全光网络设备统一管理全光网络设备的融合管理体现在同平台下实现:·所有设备的纳管,包括BRAS、交换机(含OLT/ONU)、无线AC、无线AP的纳管。·VLAN、PON、路由等业务的统部署。·在同界面下可以体现ONU的上下线状态,光纤冗余口变化的响应等。有线和无线融合管理用张网络同时承载有线和无线,通过融合管理方式,简化管理和配置难度。对于有线用户和无线用户业务来说,相同的业务参数只需要设置次,比如认证、DHCPServer等参数,实现有线无线体化。网络服务统一管理对于AAA、DHcpserver等网络服务统管理,并可以在部署网络的时候,直接选择已经纳管的网络服务,控制器可以实现部分业务自动同步到AAA和DHcpserver,无需单独配置,确保了网络和服务的配置致,并简化了部署过程。多园区统一管理园区网络管理以Fabric为基本的逻辑单位,个Fabric对应个独立、完整的标准典型组网。同时在多个Fabric场景下,根据Fabric之间的业务拉通要求及策略随行能力需求,提出了隔离域的概念。在单隔离域内,业务可以拉通,可以策略随行;在不同隔离域之间,不做策略随行,这样可以减少对设备资源的消耗,提高整网用户承载性能。多Fabric之间通过单控制器管理,可以满足单园区多Fabric、多园区多Fabric、多隔离域多Fabric等多种用户组网需求。既可以做到各个园区网络服务集中管理,也可以做到定的自治,各个园区之间的业务按需拉通或者隔离,实现全网业务统管理,极大减少网络运维工作量,同时带来更多灵活性。采用AD-campus管控析智能融合系统,通过NETCONF方式自动发现设备,并下发初始配置,完成纳管。对于全光网络的部署来说,实现全光交换机的自动发现和纳管,可以显著提升部署效率,缩短开局时间。全光交换机自动化上线流程图在PON组网中,ONU数量较多,若采用手工方式上线,则工作量比较大。全光融合机框在插入OLT单板后,开启ONU自动绑定即可实现ONU自动注册并完成绑定。当ONU注册到OLT时,在ONU上行连接的OLT端口上,会按顺序自动生成ONU编号。例如OLT口为olt1/O1,ONU注册成功之后,ONU的编号为onu1/O1:1。第二个ONU的编号顺序递增为onu1/0A1:2以此类推。UNONU1user1nuItnu:2TPSTPUNONU2user2PON系统端口编号示意图在ONU自动上线后,再将ONU作为接入交换机,对ONU的UNI口进行VLAN配置,根据需要对连接AP的UNI口配置AP管理VLAN。光AP支持二层可达、三层可达两种组网,实现无线AP自动化上线。光AP可以通过静态、广播、组播、单播方式主动发现无线AC,采用与普通无线AP相同的流程自动在无线AC上线,与无线AC建立CAPWAP隧道。当使用PONAP(带wi-Fi功能的ONU)时,PONAP先按ONU的方式完成在OLT的自动化上线。获取本机地址后,按光AP的方式去主动发现AC,并与AC建立CAPWAP隧道。业务的精细化管控体现在两个方面:·对用户精细化授权,使用户在不同的接入场景下得到准确的权限,并基于准确的权限进行访问控制。·网随人动,策略随行,用户在同个接入场景中,用户的接入位置变化而权限不会变化,用户的访问策略也不会变化。有两种方式实现对计入用户或终端的精细化权限控制:·方式:通过使用IMC的EIA(EndpointIntelligentAccess)组件,作为AAA认证服务器,由EIA通过识别接入用户所处的5W1H场景,使用不同的接入策略,从而给用户终端下发不同授权。5w1H包括who(谁),whose(谁的设备),what(什么设备),when(什么时间),where(什么地点),How(什么方式)多维度覆盖各种接入场景,不同的接入场景可以定义不同的5W1H参数组合,并对应到不同的接入策略,下发不同授权。·方式二:通过使用IMIC的EIP(EndpointIntelligentprofiling)组件,实现自动识别终端类型及操作系统等信息,给用户终端下发不同授权。根据用户终端认证过程中携带的特征信息授权不同权限,终端识别内容如下:·基于终端OUIMAC,每个终端厂商都有自己的OUMAC,可以确定终端厂商,NAS设备会将终端MAC地址带给AAA,则AAA可以进行识别。·基于DHCP指纹,对于采用DHCP方式上线的终端,DHCPOption55携带请求参数列表选项,通过NAS设备将DHCP的option55携带在radius报文中带给AAA。·基于HTTPUserAgent指纹:属于HTTP请求报文头域的部分,用于携带终端访问web页面时所使用的操作系统(包括版本号)、浏览器(包括版本号)等信息。基于用户终端特征识别依赖于认证服务器上包含的终端的DHCP指纹库,因此,若认证服务器的DHCP指纹库中不包含待部署的物联网终端的DHCP指纹,需要网络管理员提取终端的DHCP指纹。基本概念传统网络中,用户根据所属VLAN获取地址,而网络设备需要按照用户接入位置部署VLAN,当用户接入位置变化时,往往需要重新进行接入认证,当接入位置变化导致接入VLAN变化时,还需要重新获取IP地址,不仅影响用户使用网络的体验,而且需要管理员根据IP地址的变化修改用户的访问策略。如何突破这瓶颈,实现网随人动、策略随行,是园区用户对网络的更高要求,这对于人员众多、终端众多的校园网尤为重要。网随人动网络资源跟随人和应用移动,用户在哪里接入、资源就下发到哪里。具体体现为用户移动时,IP地址段跟随,用户即使重新获取地址,也不会变化IP地址段,访问策略使用IP地址段方式匹配,则不需要管理员做更改。·策略随行用户在任意的位置上线都可以获得相同的权限。此时用户权限与用户所处VLAN、获取的IP地址均没有关系,仅依赖用户认证获得的授权。策略随行实现了真正的IP解耦,使得网络访问策略的部署与IP地址不再有绑定关系。实现方式全光园区使用BRAS作为用户网关,进行用户集中认证,流量集中控制。BRAS可以根据AAA服务器认证授权的用户组进行访问策略控制,使得用户在同台BRAS设备上认证上线后,跨端口跨VLAN迁移时,都可以实现用户授权用户组不变,则访问策略不变。BRAS上主要通过如下技术实现网随人动,策略随行。·用户接入认证方式BRAS上对于二层接入的用户,通过MAC地址作为用户唯标识,使BRAS可以在用户IP地址变化的时候也能识别用户,实现"网随人动,策略随行"。BRAS上的二层接入用户不区分有线用户和无线用户,可以实现四种认证方式,如下表所示。认证方式说明推荐使用用户IPOE认证需要提前采集用户终端信息注册账号。哑终端IPOEweb认证不需要提前采集用户终端信息,需要用户自行输入用户名和密码进行web认证。适合各类型可以浏览器操作或安装iNode客户端的用户上线认证使用,不区分有线和无线。访客IPOEWeb认证MAC快速认证为了避免在web认证阶段用户每次上线都需要手工输入认证信息带来的不便,通过基于MAC地址的快速认证功能,又称为无感知认证。普通用户802.1X认证由于无线用户使用802.1X认证时必须在无线AC上进行,才能为密钥协商获得动态key.而BRAS集中策略控制需要在BRAS也有用户认证信息。目前BRAS采用802.1X认证代理的方式,协助无线AC和AAA服务器完成802.1X认证,同时在BRAS上维护802.1X用户认证会话信息,以便进行集中访问策略控制。对安全性要求较高的用户·基于用户角色的IP地址分配BRAS采用基于用户角色的IP地址分配方式,可以实现用户迁移,IP地址段跟随。AAA服务器根据用户角色权限规划用户属于不同的user-group,授权不同的地址池、IPv6前缀等角色特有的信息。·IPOE用户漫游IPOE用户漫游,是指允许IPOE用户在多个指定的无线网络覆盖区域之间移动时,跨VLAN、跨接口、跨IRF成员设备,均无需重新认证,实现用户权限不变。同时,可通过漫游组限定用户的漫游范围。·基于组的策略BRAS上对用户通过MQc策略实现访问策略控制,匹配特征为用户认证时授权的user-group,实现用户授权user-group不变,则对应用户的访问策略不变。基于组的策略控制有两种方式,如下表所示。策略控制方式策略类型使用说明适用场景基于组和IP的策略控制入方向匹配目的地址为指定IP,源为特定user-group中的用户的流量,则用户授权user-group不变,策略无需改变,用户权限相同适用于南北向流量精细化管控场景,可以设置用户访问特定资源服务器或者特定外网地址的流量控制策略入方向匹配源为指定IP,目的为特定user-group中的用户的流量,则用户授权user-group不变,策略无需改变,用户权限相同基于组和组的策略控制入方向匹配user-group与user-group中的用户的流量,则用户授权user-group不变,策略无需改变,用户权限相同适用于东西向流量场景中,用户组到用户组的精细化管控。出方向匹配user-group与user-group中的用户的流量,则用户授权user-group不变,策略无需改变,用户权限相同光电运维智能化根据供电端和受电端的电压压降,计算得出光电混合缆铺设距离,并可以反推光纤衰减值。计算公式距离(米)=(PSE输出电压-PD输入电压)*横截面积/(PD受电功率/PD输入电压)/电阻率2PSE输出电压从光主机读取,PD输入电压从影终端读取,PD受电功率从影终端读取。PD输入电压=PSE供电电压+设备压降(设备压降按照2.4V计算)CAB-21AWG0.50.01724CAB-17AWG0.01831HYBRID-CABLE-1724故障判断PSE尾纤光纤熔接点光电混合缆光纤熔接点尾纤PD故障点1:①光纤插光模块没有插好②盘纤出现小角度弯折③电线在电源端子没有接好,或者受潮老化导致接触不良故障点2:①光纤熔纤存在较大损耗②盘纤出现小角度弯折故障点3(仅存在线缆接续时才有):①光纤熔纤存在较大损耗②电线在裸压端子没有接好,或受潮老化导致接触不良·如果计算的距离与实际距离存在较大差异,需要检查光电混合缆的铺设和电线连接部分是否存在问题。·如果计算的光纤衰减值与实际光路衰减值存在较大差异,需要检查光电混合缆的铺设和光纤熔接及连接部分是否存在问题。功耗可视,功耗偏差实时告警,基于多维度网络信息自动计算剩余供电能力,帮助用户掌握全局供电情况,包括:·基于设备,统计每个设备的整体功耗和每个在位单板的功耗数据曲线,可显示历史功耗记录。·基于全网,统计全网/区域设备功耗曲线,可显示历史功耗记录,并可以进行峰值/谷值/平均值的超限分析。·结合POE供电控制,体现全网多少POE剩余功耗可用于POE给摄像头供电,按照802.11at和802.11af两种标准计算。·配合AP设备的节能模式,能有效感知全网POE功能的变化,展现节能效果。全光网络方案中使用大量光模块,光模块不间断工作会导致性能下降、链路不稳定等问题。通过采集光模块的功率、温度、电压等数据,评估光模块的健康度得分,直观体现分级健康度光模块,并可以展示光模块详细历史数据,便于定位问题。温度:模块内MCU内置的sensor;D电压:模块MCUADC采样;D发射功率:模块MPD串联电阻采样M偏置电流:LDDriver镜像电流采样接收功率:驱动芯片内置ADC采样发送光功率健康度发送光功率健康度40%10-00偏置电流健康度30%10-00接收光功率健康度15%温度健康度10%10-100电压健康度电压健康度5%10-00光模块健康评估要素及权重基于指数平滑算法,参考新华三光模块故障处理的多年历史经验数据,对现网光模块的故障概率进行预测。端到端的网络保障基本概念网络切片定义了以下概念:·网络切片实例:在部署了网络切片功能的网络中,每个独立的虚拟网络称为个网络切片实例,每个虚拟网络均由唯的网络切片实例ID标识(sliceID)。·网络切片报文:基于DSCP/VLAN/VXLAN/SSID等特征信息,将普通报文和指定的网络切片实例ID绑定,转发时被标识出来的普通报文就可以在对应的网络切片实例中传输,这类通过指定的网络切片实例转发的报文称为网络切片报文。·网络切片通道:设备接口(对于有线设备来说是物理口,对于无线设备来说是射频空口)上用来转发网络切片报文的逻辑通道称为网络切片通道。网络切片通道也通过网络切片实例ID标识并关联网络切片实例。每个接口(对于有线设备来说是物理口,对于无线设备来说是射频空口)上可以创建多个网络切片通道,并为每个网络切片通道分配独立的调度队列,不同的网络切片通道的调度队列之间互不影响。技术原理如图所示,有线设备网络切片的具体实现机制如下:·设备根据已配置的报文类型与网络切片实例ID的绑定关系将特定的报文映射到出接口上对应的网络切片通道中转发。目前支持基于报文的DSCP值、VLAN值、VXLAN值、报文的入接口或报文所属的VSI信息,建立报文和网络切片实例ID的绑定关系。图中,按报文的入接口映射到不同的网络切片通道,对于同个切片中的报文,根据报文的优先级,进步映射到子切片。·出接口上每个网络切片通道可以指定保障不同的带宽,不同的网络切片通道之间采用不同的队列进行调度,互不干扰,因此可以保证业务的带宽资源。·每个网络切片通道内部,不同子切片之间采用不同的SP队列进行调度。网络切片报文(有线)工作过程如图所示,无线设备网络切片的具体实现机制如下:·设备根据已配置的报文类型与网络切片实例ID的绑定关系将特定的报文映射到Radio上对应的网络切片通道中转发。目前支持基于授权VLAN、MAC、SSID、应用等特征信息,建立报文和网络切片实例ID的绑定关系。图中,按报文的用户组授权VLAN映射到不同的网络切片通道,老师群组映射到切片通道1,学生群组映射到切片通道2。·Radio上每个网络切片通道可以指定保障不同的带宽,每个网路切片通道中的不同用户,使用智能带宽分配方式,分享该切片的带宽(默认是均分)。·同时,支持基于MAC的切片,可以实现单客户独享个切片,以实现对于VIP客户的网络隔离和带宽保障能力。网络切片报文(无线)工作过程全流程追踪用户接入上线旅程,关键事件可回放,无需翻找海量日志,告别"大海捞针"。端端到端用户接入旅程示意图无线接入ACACAAA汇聚/核心 AAA汇聚/核心无线接入(含1x过程)DHCP过程触发准入认证DHCP过程网关网关ARP交互DNS交互httpihttps(ippackets)网关ARP交互DNS交互触发权限认证无线接入光网络园区核心及出口触发权限认证认证服务接入、认证、DHCP交互、ARP交互、DNS解析是终端上线的基础,也是最容易出问题的地方,特别是概率性问题往往难以复现问题现象。在wi-Fi6/7AP上开发了关键协议快照功能,对所有无线终端上线报文做解析,将接入、认证、DHCP交互、ARP交互、DNS解析报文做解析,提取信息展示出来。BRAS认证支持在用户旅程中展示BRAS设备IPOE前域认证和后域认证的详情过程,包含DHCPv4/DHCPv6交互过程以及logout、补栈计费、删栈、漫游等。针对BRAS用户上线过程中的异常事件,可以提供详情的根因和建议,方便运维人员定位问题。全光校园网络典型场景场景特点教室般分为普通教室、多功能教室和计算机教室,普遍具有以下特点:计算机教室至少1个1个1个1个1个1个多个多个数十个·终端种类多,教学应用升级快,水平布线子系统多,有线至少需要8信息口。计算机教室至少1个1个1个1个1个1个多个多个数十个至少1个普通教室/多功能教室1个1个1个1个1个1个1个多个多个·wi-Fi6、AR/VR/3D教学对带宽需求变大,网络性能、上行质量保障要求高。·计算机教室承接学生PC同时访问外网的需求,多教室与外网交互纵向并发流量高,且计算机教室教学业务逐渐云化,横向和纵向流量增大,对网络性能、质量保障要求高。从流量模型看:·教学系统之间的联动以教室内部设备之间横向流量为主,交互持续且频繁。·教学内容如教学视频、课件文件等下载以数据中心到教室内终端纵向流量为主,且由于上课时间同步,具有多教室高并发、瞬时流量大等特点。·教室监控保存以教室内终端向数据中心方向为主。适用方案在教室场景下,我们推荐采用以太全光方案。采用光纤到教室组网方案,根光纤解决教室所有业务,教学楼楼栋弱电间放置1个全光汇聚交换机,通过光纤接到安装在教室信息箱中的全光接入交换机。教室终端通过接入交换机的以太网口接入,并通过POE给AP和摄像头供电。楼栋机房主机交换机光纤入室,满足智慧教室大流量业务模型教学区楼栋机房主机交换机光纤入室,满足智慧教室大流量业务模型学大屏视频监控楼栋全光交换机学生终端物联终端利用楼栋交换机满足多教室直播上课等东西向流量模型需求学大屏视频监控楼栋全光交换机学生终端物联终端利用楼栋交换机满足多教室直播上课等东西向流量模型需求走廊AP教室AP光纤到教室以太全光组网图场景特点宿舍场景业务普遍具备以下特点:·终端类型主要是个人电脑、手机、平板,无线接入多于有线接入。多个1个到多个多个·人员集中,高性能、高并发,每房间平均带宽200M以上。·无线网络利用率高,有线网络利用率平均低于30%。·弱电井空间有限,供电功率有限,部分楼体超长,桥架空间紧张,网络覆盖困难。从流量模型看:·宿舍基本是终端到教育专网或互联网的纵向流量,满足学生上网或访问教学资源需求。·少量物联终端经由AP实现宿舍无线局域网内的交互控制,宿舍之间横向流量需求比较小。·校方部署的无线物联网终端如智慧门锁、智慧水电表等也会共享楼层无线信号和上行带宽,但流量较小。·校方有线物联网终端不占用宿舍有线口。适用方案根据宿舍场景的终端、流量特点,推荐PON方案,分为光电混合缆入室、光纤入室和光纤到走廊三种方式;同时也可根据具体的应用场景选择以太全光方案。光电混合缆入室方案组网图中心机房或楼栋机房宿舍区主机光纤铺设一步到位,后续业务需求无需改造接入网络,可平滑升级更高带宽少量有线设备通过面板AP以太口接入(4/8个GE)中心机房或楼栋机房宿舍区主机光纤铺设一步到位,后续业务需求无需改造接入网络,可平滑升级更高带宽少量有线设备通过面板AP以太口接入(4/8个GE)手机手机宿舍PONAP宿舍PONAP宿舍PONAP宿舍PONAPOLT宿舍PONAP宿舍PONAP宿舍PONAP宿舍PONAP宿舍-光纤入室方案组网图利用楼层/走廊ONU在最后一跳为AP提利用楼层/走廊ONU在最后一跳为AP提供POE接入,降低施工复杂度宿舍宿舍APOLT楼层/走廊ONU宿舍AP宿舍AP宿舍AP宿舍AP宿舍AP宿舍AP宿舍AP宿舍-光纤入走廊方案组网图场景特点开放办公区般面积比较大,由多个办公位组成,接入终端数量多,扩展需求多,易出现私接、环路等问题,终端类型如下:开放办公区多个多个多个1个到多个1个到多个多个11~2个多个多个·云办公、视频会议等新型办公业务,高并发,低延时,对上行带宽要求高。·FTP、共享文件、院系或部门自有服务器等横向访问流量大,打印机横向访问频繁。从流量模型看:·办公应用主要为办公系统、教学系统,流量以终端到数据中心、教育专网、互联网的纵向流量为主。·横向流量主要为文件共享、本地服务器访问,但业务上云为未来趋势,本地横向流量会逐渐减少并最终消失。·打印机、传真机等横向访问般为同房间内(同AP或入室交换机内部),但流量较小。适用方案开发办公区的方案选择比较灵活,根据办公位的组合以及办公位所需的业务,可选用如下3种部署方案:楼栋机房办公区楼栋全光交换机老师PC物联扩展物联扩展老师PC物联扩展物联扩展打印机wi-Fi6APwi-wi-Fi6AP老师笔记本老师手机办公室交换机开放式办公区-光纤入室方案组网图物联扩展物联扩展楼栋全光交换机静音入室交换机静音入室交换机静音入室交换机静音入室交换机静音入室交换机机机wi-Fi6AP静音入室交换机开放式办公区-光纤到桌面方案组网图楼栋机房办公区楼栋全光交换机笔记本笔记本笔记本物联扩展物联扩展物联扩展6APwi-Fi6APWi-Fi6AP开放式办公区-纯无线办公方案组网图场景特点小型办公室场景主要是指校长室、财务室、教授办公室等,接入的终端个数少,接入的终端种类如下:独立办公室1个多个1个1个1~2个1个·需要承载的业务主要包括视频会议终端、无线接入、PC接入、IP话机、打印机/传真机等。·业务流量模型与开放办公区类似,但并发流量小。适用方案采用光纤入室方案,若有线终端个数不多,可以直接使用光口AP,利用AP上的以太网口满足少量有线终端接入需求;若有线终端个数较多,则使用影终端接入交换机入室,然后通过以太网口POE供电接AP,提供无线信号。小型办公室小型办公室电话会议终端光A机P移动终端笔记本独立办公室独立办公室办公主机机移动终端AP电话终端小型办公室组网图场景特点会议室接入的终端个数般比较少,接入的终端种类如下:会议室1个到多个1个1个到多个多个多个1个到多个1个·需要承载的业务主要包括视频会议终端、无线接入、PC接入等。•云办公、视频会议等新型办公业务,高并发,低延时,对上行带宽要求高。从流量模型看:·会议室的流量主要是以终端到数据中心、教育专网、互联网的纵向为主。适用方案光纤入室,室内部署台光接入交换机,由光接入交换机通过以太网口连接AP,并通过POE给AP供电。楼栋机房楼栋全光交换机会议室组网图办公主机办公主机会议大屏会议室会议大屏移动终端视频监控物联终端AP物联扩展AP物联扩展部署例全光校园网络光光影方案光影方案,是新华三全场景以太光方案的总称。在每个楼宇弱电间布置以太全光汇聚交换机,汇聚交换机(也叫光主机)通过光纤或者光电混合缆,入室接室内交换机(也叫影终端)或者室内AP,也可通过室内交换机的下行口接AP。光耀案光耀方案,是新华三全场景PON方案的总称。在中心机房部署OLT设备,每个楼宇弱电间布置分光器,下行分光进入室内,入室接ONU或者PONAP。分光器包括无源分光器和有源分光器两种类型,有源分光器下行为光电混合口,可以同时提供信号和供电。 全光网络方案核心产品新华三全光以太网交换机和PON网络产品款型丰富,下图为主推产品全家福。全光校园网络部署案例项目背景中南大学坐落于湖南长沙,是教育部直属的全国重点大学,也是教育信息化和智慧校园建设的先锋部队。中南大学信息化建设"五个"工程:有线无线张网、应用支撑集群、数据业务体化、办事服务站式、网安技术体系。身为大型高校,中南大学的用网需求自然不小。要在总计数百公顷的六大校区内为两百多栋建筑、数万师生、海量的各类业务和广泛分布的物联网设备提供网络支持并不是件容易的事,并且这张网络还要在高性能、灵活扩展的前提下满足校方对易运维、强管理的需求。因此,校方以新代高性能全光网为抓手,构建有线网、无线网、物联网、PON光网络融合的"张网",实现校园智慧化管理和便捷的信息化服务。方案概述·超宽互联,简化架构在中南大学6个校区之间规划了个互联及出口带宽均达双100Gb/S的高规格光通讯骨干环网,将万兆规格光纤接入每间宿舍,教室以及办公室区域。相对于传统网线传输,全光网络的优势不仅在于单股光纤的承载能力更高、衰减更小、传输距离更长,也在于以分光器为代表的众多网络节点设备均可采用纯物理方式运作,无需电源、更易于维护。并且,在全光网络极高的承载能力和新华三万兆PON交换机的配合下,未来的网络架构变更、节点新增和速率变化均异常简单,只需简单的设备部署或软件控制即可实现,极大降低了校方的网络运维成本。·体化管理,轻松运维更高的带宽、更灵活的组网、海量的设备和流量,意味着更多的管理需求、更大的工作量和更高的成本。在新华三基于SDN技术的智能运维能力加持下,中南大学的网络运维工作却变得更简单。通过部署基于SDN技术的新华三敏捷型交换机,中南大学可在网络管理中控室直观获得整个校园网络内外部的连接情况,也可根据管理需求,实现网络策略应需而变。AD-campus内置的大数据和人工智能平台,对网络瓶颈、故障发生原因以及潜在安全风险进行自动化的预测和预警,网络排障工作缩短至小时甚至分钟级别。作为国内高校领域内目前超大规模的光纤入室万兆网络,中南大学PON全光网络覆盖宿舍、教室以及办公室区域,光纤入室房间超13500间。项目背景随着教育信息化深层次的推进,智慧教室作为教育改革的支撑势在必行,本次项目力图打造套高速、可靠、融合的智慧教室网络,满足学校各类应用发展的需要。浙江大学原有网络面临着如下痛点:·管理复杂:多网并存,设备堆砌,统管理困难。·运维困难:线路杂乱,影响美观,故障点难发现。·体验极差:高带宽和多并发业务增加,智慧教学实时性得不到保障。方案概述本次项目新华三采用以太全光交换机组网,光纤入室实现高带宽接入需求,室内交换机采用24口无风扇静音设计,在实现智慧教室多个终端高速接入的同时,保障全校师生的良好互动体验。·超宽体验光纤入室,1G超宽接入,10G上行至汇聚,满足智慧教学带宽需求;静音承载,对教学零干扰。·简化管理多校区网络统纳管,多种网络设备统管控。·高效运维网络设备键部署,全光布线,光链路故障快速识别诊断。项目背景湖南师范大学(HunanNormaluniversity),简称"湖南师大",位于湖南省长沙市,入选首批国家"211工程"重点建设大学、国家"双流"建设高校。截至2022年12月,学校有7个校区,占地面积近3000亩,建筑面积131万平方米;有专任教师2160余人;在校学生4万余人,其中研究生13000余人,长短期国际学生近1200人。为加快智慧校园建设,学校亟待加强ICT硬件基础设施,全面提升学校数据中心算力及网络承载能力。方案概述湖南师范大学(简称"湖南师大")秉承"仁、爱、精、勤"的校训精神,落实立德树人根本任务,立足湖南,服务全国,面向世界,全力建设"创新师大、特色师大、开放师大、智慧师大、幸福师大"。为帮助师生创造智能、高效、便捷的学习环境,全面提升智慧教学应用体验,湖南师大积极探索网络基础设施升级与创新,本次携手新华三集团合力建设张面向未来、持续领先的全光校园网,助力学校智慧教育勇攀新高峰。·万兆入室通过万兆光纤入室,大幅提升接入带宽,同时减少传统网线使用,打破布线100米距离的限制,可达20公里级,汇聚集中,方便管理。·wi-Fi6全场景覆盖校园wi-Fi6全覆盖,单终端无线网速从改造前不足20Mbps,改造后网速带宽飙升到174.30Mb-PS,给师大师生学习、娱乐提供飞速网络体验。·准100G骨干改造前汇聚到核心带宽仅有双万兆,难以支撑师大智慧教室业务升级,改造后汇聚双40G到核心,从容应对各种业务接入,保障校园高速上网体验。项目背景北京化工大学(BeijinguniversityofchemicalTechnology),简称"北化"(BUCT),是中华人民共和国教育部直属的全国重点大学,是国家"双流"建设高校、985工程优势学科创新平台、211工程高校。本次项目本着"构建校园网全光新生态营造数字化育人新环境"6i的理念,为学校提供了宿舍区千兆到桌面,万兆骨干,核心40G,有线网和无线网分开的建设思路,为后续智慧校园信息化建设奠定良好的基础。方案概述本次项目涉及4栋学生公寓共计2500余间宿舍,当前宿舍区域无线暂未覆盖,由于无机房、无桥架、无弱电间,因此也是最复杂的类施工标准,要求高任务重。基于此,项目设计采用BRAS扁平化架构,宿舍区光纤入室加集中供电,部署2500余台光口面板AP,配合光电体化交换机,解决现网无线覆盖问题。·简化网络宿舍只需要运维BRAS、核心交换机、光纤直接入室,简化网络结构,光AP即插即用,减轻了客户运维压力。·wi-Fi6宿舍网络升级使用企业级光AP,解决ONT设备无线使用体验差,漫游效果差,无法统管理等众多"家用光猫"的问题。4个宿舍改为弱电间全楼接入汇聚集中放置,便于集中管理,解决弱电间缺少以及空间拥塞的问题。·全光入室全光接入交换机跳纤到其他楼层入室,占用空间小,解决弱电箱和理线架空间不足的问题。项目背景南京邮电大学学生宿舍等区域的承载网络建设时间早,网络桥架和线槽基本已经满载,无法承载新业务的扩展和高带宽的接入。多家运营商在南邮宿舍各自部署自家网络,学生宿舍上网数据不经过校园网,导致认证流程复杂、运维管理困难,给网络信息安全也带来了定的威胁。作为江苏省智慧校园示范校,南京邮电大学以其在通信行业的专业能力吸引了万千学子,如何为全体学生提供稳定、流畅、高速的网络成为未来智慧校园建设的首要任务。南京邮电大学在学生宿舍及教学楼区域采用全光技术进行承载网改造,全面落地EPON光网无线融合建设。方案概述新华三为南京邮电大学打造全光校园网,实现高带宽、高性价比、无源化的建设目标:超宽互联1比(24-32)不同的分光比,保证每个教室、宿舍拥有不低于300Mbps的总带宽。·有线无线体化管理核心交换机集成AC功能,支持最新的wi-Fi6AP,提供更高的速率和并发数,完成有线无线体化组网。·节省投资宿舍楼中间段分光器无源,中间层和接入层无需专门的安装环境,大量节省机房、供电和水平布线成本,并消除弱电间火险隐患。·简化运维全网只需运维BRAS、核心交换机、OLT,网络结构简化,ONU即插即用零配置上线,减轻校方运维压力。丰富的安全策略BRAS设备旁挂至核心交换机,对PC端和哑终端进行统准入控制,学生通过认证后,方可访问内网,极大减少网络安全隐患。项目背景西南石油大学,是国家"双流"建设高校和新中国创建的第二所石油本科院校。学校的网络设备至今上线运行超过10年,而线路使用年限已经接近20年。随着设备和线路的老化,校园内些区域开始出现由于线路老化导致网络访问不稳定、线路带宽无法满足部分使用场景需求、以及设备老化故障增多等问题。从2020年调研新校区网络建设方案开始,西南石油大学网信中心的老师们就已经确认了对新建网络采用全光网技术的建设思路。在对比多家解决方案提供商后,新华三集团成为老师们认为最好的选择之—。方案概述·超宽接入,有线无线体化,最大传输速率提升近3倍完成了光纤到寝室的改造,实现了物理链路带宽支持万兆接入。同时通过有线和无线的体化升级,无线全面支持wi-Fi6,最大传输速率提升了近3倍,并且采用WAP3而具有更高的安全性。·无源ODN,减少故障点,降低运维成本全光网通过分光器真正实现了"中间网络"无源连接,从运维的角度来说,减少了故障点,为网信中心运维工作节省了不少人力成本。·即插即用,网随人动,极简运维新华三通过创新的硬件平台,实现以太/PON两种光技术的完美融合,为复杂的校园网络实现即插即用、网随人动、终端管控、自动排障等极简运维体验。·扁平大二层架构,部署简易,运维方便扁平大二层网络架构,使得功能区分更清晰,部署更简易,大幅降低了学校在安装、施工、布线和设备管理方面的工作量,节省降低人力和时间成本。项目背景安徽工业大学是所以工为主,工、理、经、管、文、法、艺七大学科门类协调发展,具有鲜明行业特色的多学科大学,全校本科生、研究生总计规模约两万八千名。学校现有佳山校区、秀山校区两个校区,其中秀山校区为新建校区。本次项目与运营商合作,完成以全光网络为基础的全校无线网络建设。方案概述本次网络建设的重点改造区域包括学生区、教学楼宇、图书馆、会议中心、办公区等,并在原有宿舍和新建宿舍中布置了9100多个AP接入点。光网络连接:通过光缆连接实现了校区间物理网络的互联,形成统的张全光网。·全光+无线接入在每栋楼宇内通过布设统配置的壁挂箱,实现光网络接入。·多业务场景校园光网络已应用于卡通、食堂、视频监控网等多个业务场景,有效支撑了全校师生教学、生活和日常业务应用需求。·优化综合布线实现校区间光纤互联,简化宿舍楼宇内布线。简化运维减少了很多中间设备的部署,显著降低了全校网络维护的难度,同时有效避免了因电源故障等引起的网络