CN109039848B - 数据通信网络的构建方法和装置 - Google Patents

Abstract

本发明公开了一种数据通信网络的构建方法和装置。其中，该方法包括：将预定区域的接入网从一级信息VPN割接到对应的二级信息VPN，其中，所述预定区域的接入网包括：所述预定区域的供电站点、变电站点和供电营业站点；将所述二级信息VPN通过防火墙与所述一级信息VPN对接。本发明解决了现有技术中只能以数据通信网站点为单位在业务网络层面进行防火墙部署，导致运维成本较高的技术问题。

Description

数据通信网络的构建方法和装置

技术领域

本发明涉及通信领域，具体而言，涉及一种数据通信网络的构建方法和装置。

背景技术

目前，无论是从国家还是电力企业的角度来说，网络信息安全已经成为了难以忽略的重要组成部分。从网络信息安全的重要性上进行分析，各种网络攻击和黑客技术，其影响都极为恶劣，因此需要在网络信息安全上制定针对性的方针，保证能够最大限度的维护信息安全。

国网青海省电力公司数据通信网基于IP-over-SDH构成，整体网络结构采用冗余的星型拓扑结构，数据通信网分为数据通信骨干网和省公司及地市供电公司接入网两级网络结构，两级网络之间采用OptionC跨域互联方式。整体网络采用BGP/MPLS VPN网络设计，通过动态IS-IS、OSPF、BGP等路由协议实现两级网络内部及之间的互联互通。

目前信息网络需要通过防火墙实现全网安全防护，根据国网青海省电力公司数据通信网架构、设计规范和技术实现，在数据通信网层面无法实现安全部署，所以只能以数据通信网站点为单位在业务网络层面进行防火墙部署，即需要在省公司、各直属单位、8个地市供电公司、31个县供电公司，339座35kV及以上的变电站及115个供电营业所，共522个站点部署防火墙，此方案不但投资大，而且运行维护复杂。

针对上述的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种数据通信网络的构建方法和装置，以至少解决现有技术中只能以数据通信网站点为单位在业务网络层面进行防火墙部署，导致运维成本较高的技术问题。

根据本发明实施例的一个方面，提供了一种数据通信网络的构建方法，包括：将预定区域的接入网从一级信息VPN割接到对应的二级信息VPN，其中，预定区域的接入网包括：预定区域的供电站点、变电站点和供电营业站点；将二级信息VPN通过防火墙与一级信息VPN对接。

进一步地，将预定区域的接入网以及信息VPN割接到对应的二级信息VPN，包括：取消预定区域的接入网的接入路由器中的一级信息VPN；设置预定区域的接入网的接入路由器中的二级信息VPN。

进一步地，一级信息VPN为骨干网业务VPN，骨干网业务包括国网公司、省公司和地市公司间的业务网络，二级信息VPN为接入网业务VPN，接入网业务包括地市公司内部的业务。

进一步地设置预定区域的接入路由器中的二级信息VPN，包括：设置每个接入网的命名，其中，每个接入网的命名包括：接入网名称、业务类型。

进一步地业务类型包括如下任意一项：信息VPN、通信VPN、调度VPN、视频VPN、语音IMS业务VPN、IPV6业务VPN、网管VPN。

进一步地设置预定区域的接入网的接入路由器中的二级信息VPN，包括：设置接入网络RD和RT，其中，设置接入网络RD和RT包括：设置RD为A/B，A为VPN的AS号，B为与AS号位数相同的数值，RT与RD相同。

进一步地设置网络的防火墙策略，其中，防火墙策略包括：允许接入网对外访问；根据业务访问需求，设置接入网的对内访问策略。

根据本发明实施例的另一方面，还提供了一种数据通信网络的构建装置，包括：割接模块，用于将预定区域的接入网从一级信息VPN割接到对应的二级信息VPN，其中，预定区域的接入网包括：预定区域的供电站点、变电站点和供电营业站点；对接模块，用于将二级信息VPN通过防火墙与一级信息VPN对接。

在本发明实施例中，将预定区域的接入网从一级信息VPN割接到对应的二级信息VPN，其中，预定区域的接入网包括：预定区域的供电站点、变电站点和供电营业站点，将二级信息VPN通过防火墙与一级信息VPN对接。上述方案数据通信网省内二级信息VPN构建后，针对信息业务形成了一级信息VPN网络和多个二级信息VPN网络，从而实现了信息网络内部的逻辑隔离，同时构建了以接入网为单位的业务访问边界，进而解决了现有技术中只能以数据通信网站点为单位在业务网络层面进行防火墙部署，导致运维成本较高的技术问题。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例的数据通信网络的构建方法的流程图；

图2是根据本发明实施例的一种数据通信网改造后的业务网络架构图；

图3是根据本发明实施例的一种防火墙部署的示意图；

图4是根据本发明实施例的一种数据通信网络的构建装置的示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

实施例1

根据本发明实施例，提供了一种数据通信网络的构建方法的实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

图1是根据本发明实施例的数据通信网络的构建方法的流程图，如图1所示，该方法包括如下步骤：

步骤S102，将预定区域的接入网从一级信息VPN割接到对应的二级信息VPN，其中，预定区域的接入网包括：预定区域的供电站点、变电站点和供电营业站点。

现有技术中，所有的接入网均直接接入一级信息VPN。具体的，一级信息VPN和二级信息VPN在接入网核心节点构建网络互联，并在互联边界通过防火墙实现安全防护。

步骤S104，将二级信息VPN通过防火墙与一级信息VPN对接。

在上述步骤中，将二级信息VPN通过防火墙与一级信息VPN对接，用于实现信息网络基于安全防护策略的互联互通

由上可知，本申请上述实施例将预定区域的接入网从一级信息VPN割接到对应的二级信息VPN，其中，预定区域的接入网包括：预定区域的供电站点、变电站点和供电营业站点，将二级信息VPN通过防火墙与一级信息VPN对接。上述方案数据通信网省内二级信息VPN构建后，针对信息业务形成了一级信息VPN网络和多个二级信息VPN网络，从而实现了信息网络内部的逻辑隔离，同时构建了以接入网为单位的业务访问边界，进而解决了现有技术中只能以数据通信网站点为单位在业务网络层面进行防火墙部署，导致运维成本较高的技术问题。

作为一种可选的实施例，将预定区域的接入网以及信息VPN割接到对应的二级信息VPN，包括：

取消预定区域的接入网的接入路由器中的一级信息VPN；

设置预定区域的接入网的接入路由器中的二级信息VPN。

作为一种可选的实施例，一级信息VPN为骨干网业务VPN，骨干网业务包括国网公司、省公司和地市公司间的业务网络，二级信息VPN为接入网业务VPN，接入网业务包括地市公司内部的业务。

在一种可选的实施例中，通过上述数据通信网改造，形成两级业务网络，一是国网公司、省公司和地市公司间的业务网络，二是地市公司内部的业务网络，两级业务网络在数据通信网层面互通，在业务层面通过防火墙实现互联和安全防护。

作为一种可选的实施例，设置预定区域的接入路由器中的二级信息VPN，包括：设置每个接入网的命名，其中，每个接入网的命名包括：接入网名称、业务类型。

在一种可选的实施例中，采用“接入网名称拼音简写_业务VPN名称简写_XXX”的命名规则对新建接入网二级VPN进行统一命名。接入网名称拼音简写即用于表示接入网名称，业务VPN名称简写即用于表示业务类型。

作为一种可选的实施例，业务类型包括如下任意一项：信息VPN、通信VPN、调度VPN、视频VPN、语音IMS业务VPN、IPV6业务VPN、网管VPN。

作为一种可选的实施例，设置预定区域的接入网的接入路由器中的二级信息VPN，包括：设置接入网络RD和RT，其中，设置接入网络RD和RT包括：设置RD为A/B，A为VPN的AS号，B为与AS号位数相同的数值，RT与RD相同。

在一种可选的实施例中，可以通过使用全局唯一的RD值来标识VPN，即使不同VPN的IPv4地址相同，也可使各个VPN业务路由在同一骨干网上被承载。数据网的VPN业务配置原则应沿用国网骨干网的总体配置原则，RD采用的格式为：ASN:<nnnnn>。其中ASN为各业务VPN所分配的私有AS号码。具体内容如下。

ASN：采用现有个接入网的ASN号；<nnnnn>：以全网统一的数值标记，以2位数的十进制数标识，取号起始数值为10，以1为步长递进；在新的网络架构下增加业务VPN时，应尽量保持RD/RT数值相同或接近的原则。

RT参数规范：RT格式与RD相同，即：ASN:<nnnnn>。其中ASN必须为业务VPN所分配的AS号码。

作为一种可选的实施例，设置网络的防火墙策略，其中，防火墙策略包括：允许接入网对外访问；根据业务访问需求，设置接入网的对内访问策略。

下面，以一个详细的实施例说明上述方案。在该实施例中，涉及数据通信网改造的范围包括省公司、各直属单位、8个地市供电公司、31个县供电公司，339座35kV及以上的变电站及115个供电营业所，共522个站点，防火墙部署涉及的范围包括省公司和8个地市供电公司，共9个站点。

1、总体技术方案

本项目在数据通信网构建逻辑的骨干网业务VPN和接入网业务VPN，骨干网业务VPN和各接入网业务VPN在接入网核心节点构建网络互联，并在互联边界通过防火墙实现安全防护。

本次数据通信网改造后，形成两级业务网络，一是国网公司、省公司和地市公司间的业务网络，二是地市公司内部的业务网络，两级业务网络在数据通信网层面互通，在业务层面通过防火墙实现互联和安全防护。

二级业务网络的构建通过复用接入网核心路由器实现，在接入网核心路由器同时设置国网一级业务VPN和接入网二级业务VPN，在各接入网的接入路由器取消一级业务VPN设置二级业务VPN。数据通信网改造后的业务网络架构如图2所示。

2、数据通信网改造

2.1概述

本次数据通信网改造在各接入网构建二级信息VPN，接入网信息VPN在各接入网范围内有效，与骨干网没有跨域互联关系。

2.2 AS规划

根据国网统一规范，骨干网AS号为64600。

根据国网统一规范，目前各接入网AS规划如表一所示：

表一

2.3各接入网信息VPN规划

(1)接入网VPN命名原则

采用“接入网名称拼音简写_业务VPN名称简写_XXX”的命名规则对新建接入网二级VPN进行统一命名。

(2)接入网RD/RT方案设计

通过使用全局唯一的RD值来标识VPN，即使不同VPN的IPv4地址相同，也可使各个VPN业务路由在同一骨干网上被承载。数据网的VPN业务配置原则应沿用国网骨干网的总体配置原则，RD采用的格式为：ASN:<nnnnn>。其中ASN为各业务VPN所分配的私有AS号码。具体内容如下。

ASN：采用现有个接入网的ASN号；<nnnnn>：以全网统一的数值标记，以2位数的十进制数标识，取号起始数值为10，以1为步长递进；在新的网络架构下增加业务VPN时，应尽量保持RD/RT数值相同或接近的原则。

RT参数规范：RT格式与RD相同，即：ASN:<nnnnn>。其中ASN必须为业务VPN所分配的AS号码。

(3)VPN规划方案

目前国网总部规划的7个一级业务VPN为：信息VPN、通信VPN、调度VPN、视频VPN、语音IMS业务VPN、IPV6业务VPN、网管VPN，VPN规划如表二所示。

表二

序号	VPN信息	VPN命名	RD	RT
					1	国网信息VPN	spi	64600:10	64600:10
2	国网通信VPN	spt	64600:11	64600:11
					3	国网调度VPN	spd	64600:12	64600:12
4	国网视频VPN	spvv	64600:13	64600:13
					5	国网IPV6业务VPN	spv6	64600:15	64600:15
6	国网IMS语音业务VPN	spims	64600:17	64600:17
					7	国网网管VPN	SUPERVPN	64600:20	64600:20

表三

本次改造在一级信息VPN的基础上，根据接入网VPN定义原则，规划各接入网信息VPN，定义如表三所示。

2.4路由规划

本次网络改造后，在省公司和地市公司信息内网核心交换机分别与数据通信网的接入网核心路由器构建如下两个网络连接：

(1)一级信息VPN spi的网络连接

(2)接入网信息VPN xx_spi的连接

信息内网核心交换机与接入网核心路由器间为两个VPN的连接同时设置PE-CE路由，路由协议采用静态路由协议。

3、防火墙部署

接入网防火墙部署在接入网业务边界，如下图3所示。接入网防火墙采用三层部署模式，并通过路由策略控制业务的访问路径。防火墙策略部署原则为：

(1)允许接入网对外访问。

(2)根据业务访问需求，精确部署对内访问策略。

实施例2

根据本发明实施例，提供了一种数据通信网络的构建装置，图4是根据本发明实施例的一种数据通信网络的构建装置的示意图，结合图4所示，该装置包括：

割接模块40，用于将预定区域的接入网从一级信息VPN割接到对应的二级信息VPN，其中，所述预定区域的接入网包括：所述预定区域的供电站点、变电站点和供电营业站点。

对接模块42，用于将所述二级信息VPN通过防火墙与所述一级信息VPN对接。

实施例3

根据本发明实施例，提供了一种存储介质，所述存储介质包括存储的程序，其中，在所述程序运行时控制所述存储介质所在设备执行实施例1中任意一项所述的数据通信网络的构建方法。

实施例4

根据本发明实施例，提供了一种处理器，其特征在于，所述处理器用于运行程序，其中，所述程序运行时执行实施例1中任意一项所述的数据通信网络的构建方法。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，可以为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (9)

1.一种数据通信网络的构建方法，其特征在于，包括：

将预定区域的接入网从一级信息VPN割接到对应的二级信息VPN，其中，所述预定区域的接入网包括：所述预定区域的供电站点、变电站点和供电营业站点；

将所述二级信息VPN通过防火墙与所述一级信息VPN对接；

所述一级信息VPN为骨干网业务VPN，所述骨干网业务包括国网公司、省公司和地市公司间的业务网络，所述二级信息VPN为接入网业务VPN，所述接入网业务包括地市公司内部的业务。

2.根据权利要求1所述的方法，其特征在于，将预定区域的接入网从一级信息VPN割接到对应的二级信息VPN，包括：

取消所述预定区域的接入网的接入路由器中的一级信息VPN；

设置所述预定区域的接入网的接入路由器中的二级信息VPN。

3.根据权利要求1所述的方法，其特征在于，设置所述预定区域的接入网的接入路由器中的二级信息VPN，包括：设置每个接入网的命名，其中，每个所述接入网的命名包括：接入网名称、业务类型。

4.根据权利要求3所述的方法，其特征在于，所述业务类型包括如下任意一项：信息VPN、通信VPN、调度VPN、视频VPN、语音IMS业务VPN、IPV6业务VPN、网管VPN。

5.根据权利要求1所述的方法，其特征在于，设置所述预定区域的接入网的接入路由器中的二级信息VPN，包括：设置接入网络RD和RT，其中，设置接入网络RD和RT包括：设置所述RD为A/B，A为VPN的AS号，B为与所述AS号位数相同的数值，所述RT与所述RD相同。

6.根据权利要求1所述的方法，其特征在于，设置所述网络的防火墙策略，其中，所述防火墙策略包括：

允许接入网对外访问；

根据业务访问需求，设置所述接入网的对内访问策略。

7.一种数据通信网络的构建装置，其特征在于，包括：

割接模块，用于将预定区域的接入网从一级信息VPN割接到对应的二级信息VPN，其中，所述预定区域的接入网包括：所述预定区域的供电站点、变电站点和供电营业站点；

对接模块，用于将所述二级信息VPN通过防火墙与所述一级信息VPN对接。

8.一种存储介质，其特征在于，所述存储介质包括存储的程序，其中，在所述程序运行时控制所述存储介质所在设备执行权利要求1至6中任意一项所述的数据通信网络的构建方法。

9.一种处理器，其特征在于，所述处理器用于运行程序，其中，所述程序运行时执行权利要求1至6中任意一项所述的数据通信网络的构建方法。

Images