谈多层交换路由器的架构演进

在这个网络化程度越来越高的世界上，人们不断地以新的和不同的方式使用人与设备之间的通信。一些通信类型已经为人们所熟悉，如IP语音（VoIP）、数字图像、组播、视频点播、对等文件共享、远程视频会议以及更多。不过，所有这些应用都有一个共同的特点：对网络带宽的需求可以用“贪得无厌”一词来形容。

　　从长远看，带宽本身总是不够用的。网络基础设施背后的智能“设备
”――交换机和路由器必须承担起以智能化的方式跟上带宽需求脚步的艰难任务。象视频和数字X-射线这样的应用总是要求更大、更智能化的“管道”，而VoIP应用要求低延迟和一致的传送速率。上世纪90年代中期，随着传统交换机的没落，人们开始竞相发展速度更快、智能化程度更高的交换机和路由器。硅谷一群天才式的人物看到了这一市场机会，在一种被称为\"多层交换路由\"新概念的基础上发明了组网硬件和相容的软件。与当时仅基于软件的路由器相比，这些新的“智能”交换机/路由器能够提供更快的速度和更短的延迟，同时能够将多个网络设备的功能结合起来。

　　历史上，当对网络带宽的需求增加时，网络管理员通过对网络进行重新设计来避免路由器瓶颈。服务器经常绕过路由器，重新安装在离用户更近的地方。例如，一组股票交易工作站可能远离公司的其他设备，并与为其提供实时数据输入的服务器放在一起。这是因为共享网络资源（如路由器）的设备数量越少，每一设备能够得到的带宽就越多。传统上，用户与数据之间的距离越近，他们获得数据的速度就越快，因为这样可以避免产生路由器瓶颈。

　　在大型企业中，用户被划分为通过路由器实现互连的较小的网络（子网）。用户划分的基础通常是地域、运行的应用类型、需要的数据量和安全方面的原因。例如，会计部门经常被放置在自己的群组中，这样就可以保护公司的财务记录， 而不是因为它们所使用的带宽。VoIP电话经常被放置在自己的网络之中，这样它们就可以绕过传统路由器的瓶颈。

　　当计算机需要与不在自己所在的本地网络中的其他计算机进行通信时，为将数据包发送到自己所在的群组之外，它们将数据包发送到距离自己最近的路由器。路由器提供公司与互联网之间的连接和安全边界，以及公司内部群组之间的连接（内部网）。

　　传统的路由器只有在绝对必要时才使用，如通过广域网连接远程办公室、连接到互联网以及隔离公司中有关键的、高带宽要求的群组。传统路由器当时很贵（现在仍是如此），而且与最初的设计相比并没有重大的进展，使用的组件与一台标准PC类似，并使用多个接口卡运行专用的软件。

　　与之相比，多层交换路由器将所有这些功能集中在一个专用的特殊应用集成电路或ASIC上。ASIC比传统路由器的CPU便宜，而且通常分布在网络端口上。今天，典型的交换机/路由器可能在单一设备中包括了50个ASIC，可以支持数以百计的接口。新的ASIC允许智能交换机/路由器在所有的端口上以极快的速度转发数据――无论网络流量是什么类型。它们以实际接口速度（经常被称为线速）转发流量。现在，市场上为企业局域网（LAN）提供的新交换机/路由器，可在单一接口以每秒钟万兆位的带宽（OC-192）转发流量。


因为使用中央架构，传统路由器经常缺乏可扩展性。到达路由器的所有数据包必须被送到一个单一的处理区。您拥有的接口数量越多，系统的负载越重，从而导致资源的过度占用。这会限制可以在网络上运行的服务，如VoIP。

　　当一个使用中央阻塞架构的路由器需要处理的流量超出自己的容量时，它就会开始丢弃数据包。当网络应用或计算机不能收到响应时，它们会为
恢复会话而发送更多的数据包。这只会使情况更糟――因为很容易导致交叉会话过载。这种情况下，过载的路由器会发展出自己的非逻辑性思维，根据应用、用户的优先级或网络目的地/来源有选择性地丢弃数据包。很明显，需要一种新的处理流量增长的方法。

　　多年以来，传统路由器的速度已经实现了很大的增长，但仍不足以跟上很多强大应用的脚步。例如，它们每秒钟可以转发将近100万个数据包。考虑一个每秒钟能够发送1,488,000个数据包（pps）、但同时以1,488,000 pps的速度接收数据包的单一千兆以太网接口，这意味着2千兆以太网端口能够轻易使系统过载。与此形成对比的是，多层交换机/路由器以线速转发数据包。交换ASIC以分布式的方式存在，允许整个系统高效地输送流量。当您添加更多的接口卡时，系统的处理能力也增加了――因为相关的逻辑和转发决策分布在整个设备上。今天的一些高端交换机/路由器每秒钟可以转发4.8亿个数据包。

　　这些新交换机/路由器使用一种新的网络设计和管理模式。在实现线速转发的今天，阻塞点可以被消除，用户距数据的距离可以更远，而且不必担心性能的下降。我们前面例子中提到的股票交易商现在可以连接到与自己相距数个楼层或数百英里远的服务器或网络数据，具体距离取决于交换机/路由器所支持的接口类型以及所使用的电缆或光纤类型。此外，新的IP和优化的以太网路由器更易于管理，管理人员仅需花费很少的时间来保持网络与新的应用同步。象网捷网络BigIron机箱式系列产品，简单地传输所有来自应用的流量，同时可随着容量和速度的增加而增添更多的模块即可。

　　为确定网络流量的类型和数量，ASIC现在内置了新的数据包取样技术，以提供整个系统流量监控的控制平台。RFC 3176或sFlow现在已成为日益普及的方法，可以为企业和服务供应商提供网络中应用流量的实时视图，流量所需的带宽，流量的去向。sFlow允许大型企业更好地监控跨多个部门的网络资源的使用状况。大学可以识别网络中的非法的无线和有线的应用，并在网络性能受到影响之前及时发现和制止对于拒绝服务（DoS）的攻击。现在对于意识到安全性的重要的企业来说，RFC 3176正迅速成为必备的要求。

　　多层交换机/路由器的功能与传统的路由器和交换机无异，它们将局域网（LAN）和城域网（WAN）的功能集成于单一的设备中。它们可在同组的用户之间实现本地交换（即第2层交换），与不同组的用户间实现路由（即第3层交换或路由），同时为应用提供安全性和特别服务（即第4层交换）。

　　在路由器中使用安全过滤经常是必要的――甚至全世界的[禁止谈论话题]都建议这样做。路由器之所以成为理想的安全“检查点”，是因为它们是网络的入口和出口。在路由器上创建被称为访问控制列表（ACL）的复杂规则以后，路由器将根据这套规则来检查每一个数据包。例如，这些规则可以只允许特殊的授权用户访问公司的数据。

　　对于传统路由器，根据安全规则检查数据包是一个费时的过程。当路由器找到每一数据包中的第3层和第4层信息以后，它必须将这些信息与规则进行比较。启用安全过滤一直都是一场“恶梦”，它会使路由器的速度更慢。当对性能的影响太大时，就需要使用特殊设备来分担。

　　即使是多层交换路由器，它们在执行这一功能（同时保持线速性能）时也会面临挑战。当启用安全性功能时，部分新交换机/路由器速度也会慢下来。不过，大多新型的交换机/路由器已经将这些安全策略集成到硬件上，因而，即使在启用ACL的情况下，也能够提供线速转发性能。

　　使用多层交换机/路由器进行安全和流量分析正在变得日益流行，这主要是因为网络设备厂商将这种技术内置于多层交换机/路由器中。越来越多的网络设备被整合到单一的设备中。您不再需要独立的硬件来监视流量或安全性的某些方面，这可以为我们的网络用户带来极大的好处。