摘 要：【目的】分析VPN技術(shù)、專線技術(shù)及SD-WAN等組網(wǎng)技術(shù)特點，選用SD-WAN技術(shù)來組建圖書館館際網(wǎng)絡(luò)，可實現(xiàn)不同圖書館間的數(shù)字資源共建共享、信息系統(tǒng)良好復(fù)用?！痉椒ā恳試覉D書館、省級圖書館為例，提出組網(wǎng)原則、網(wǎng)絡(luò)架構(gòu)、地址規(guī)劃等，以福建省圖書館為例進行組網(wǎng)實踐。【結(jié)果】對國家圖書館、福建省圖書館網(wǎng)絡(luò)連通性進行測試，無網(wǎng)絡(luò)丟包現(xiàn)象，可相互訪問，運行結(jié)果正常，組網(wǎng)成功?！窘Y(jié)論】SD-WAN技術(shù)可用于圖書館館際間的組網(wǎng)，接入到SD-WAN專網(wǎng)的節(jié)點間，可實現(xiàn)網(wǎng)絡(luò)資源的穩(wěn)定傳輸。

關(guān)鍵詞：圖書館；SD-WAN技術(shù)；組網(wǎng)

中圖分類號：TN929.11" " " " " " " " " 文獻標(biāo)志碼： A" " " " " " " " 文章編號：1003-5168（2023）12-0030-05

DOI：10.19968/j.cnki.hnkj.1003-5168.2023.12.006

Application of SD-WAN Technology in Library Interlibrary Network

LU Longhui1 CHEN Huangyan2" MENG Haiguang1 REN Xuming1

（1.National Library of China， Beijing 100081， China; 2. Fujian Provincial Library， Fuzhou 350001， China）

Abstract：[Purposes] Analyzes the characteristics of VPN technology， dedicated line technology and SD-WAN network technology， and selects SD-WAN technology to build interlibrary network， so as to realize the co-construction and sharing of digital resources among different libraries and the good reuse of information systems. [Methods] Taking the National Library and provincial libraries as examples， the networking principles， network architecture and address planning were put forward， and Fujian Provincial Library was taken as an example to carry out networking practice." [Findings] The network connectivity of the National Library of China and Fujian Provincial Library was tested. There was no network packet loss， and they could visit each other. The operation results were normal and the networking was successful.[Conclusions] SD-WAN technology can be used for networking between libraries， and can be connected to the nodes of SD-WAN private network to achieve stable transmission of network resources.

Keywords： library; SD-WAN technology; networking

0 引言

圖書館館際網(wǎng)絡(luò)通道的建設(shè)是實現(xiàn)圖書館數(shù)字資源共建共享、系統(tǒng)良好復(fù)用的基礎(chǔ)。2011年和2013年，依托數(shù)字圖書館推廣工程項目，中國國家圖書館使用IPSec VPN技術(shù)及SDH技術(shù)，分別建立數(shù)字圖書館推廣工程虛擬網(wǎng)及數(shù)字圖書館專網(wǎng)，實現(xiàn)了國家圖書館與全國省、市、縣級公共圖書館的互連互通［1］。因某些客觀原因，SDH專網(wǎng)于2020年暫停使用。IPSec VPN虛擬網(wǎng)雖仍在使用中，但也出現(xiàn)設(shè)備老舊、訪問速度慢、管理性較差等問題。為搭建安全快速的館際網(wǎng)絡(luò)傳輸通道，改善和解決上述組網(wǎng)模式中存在的問題，需要探索出更加實用的館際網(wǎng)絡(luò)組網(wǎng)方式。

1 組網(wǎng)面臨的技術(shù)挑戰(zhàn)

1.1 組網(wǎng)實現(xiàn)技術(shù)復(fù)雜多樣

廣域網(wǎng)范圍內(nèi)專用網(wǎng)絡(luò)的實現(xiàn)方式包括虛擬專用網(wǎng)絡(luò)（Virtual Private Network，VPN）技術(shù)、專線網(wǎng)絡(luò)及Software Defined Wide Area Network（SD-WAN）技術(shù)等。

VPN是通過在公用網(wǎng)絡(luò)上建立專用虛擬網(wǎng)絡(luò)，從而實現(xiàn)加密通信的。VPN網(wǎng)關(guān)通過對數(shù)據(jù)包加密和數(shù)據(jù)包目標(biāo)地址轉(zhuǎn)換來實現(xiàn)遠程訪問。VPN的分類方式有多種，主要是按協(xié)議進行分類的，包括IPSec VPN和SSL VPN。IPSec是Internet Engineer Task Force（IETF）制定的安全標(biāo)準(zhǔn)，IPSec協(xié)議是一個范圍廣泛、開放的虛擬專用網(wǎng)安全協(xié)議，對所有在網(wǎng)絡(luò)層上的數(shù)據(jù)提供保護，并提供透明的安全通信。要指出的是，IPSec是基于網(wǎng)絡(luò)層的，不能穿越通常的NAT、防火墻。SSL VPN是采用Security Socket Layer（SSL）協(xié)議來實現(xiàn)遠程登錄的一種VPN技術(shù)。SSL協(xié)議是由網(wǎng)景公司提出的、基于WEB應(yīng)用的安全協(xié)議，包括服務(wù)器認證、客戶認證、SSL鏈路上的數(shù)據(jù)完整性和SSL鏈路上的數(shù)據(jù)保密性。

專線網(wǎng)絡(luò)是在通信的端到端拉一條專線，較為主流的專線實現(xiàn)技術(shù)有同步數(shù)字技術(shù)（SDH）、波分復(fù)用技術(shù)（WDM）、光傳送網(wǎng)技術(shù)（OTN）、分組傳送網(wǎng)技術(shù)（PTN）。SDH以同步傳送模塊（STM-1，155 Mbps）為基本單元，具有良好的穩(wěn)定性、2 Mbps～10 Gbps的高速率及高質(zhì)量高可靠性的傳輸通道［1］；WDM具有超高的系統(tǒng)容量和資源利用率，其采用結(jié)構(gòu)簡單、透明的信息傳送［2］。WDM是作用于光層的技術(shù)，沒有電層的處理，靈活性稍差；OTN概念最早是由ITU-T于1998年提出的，OTN具有強大的電層交叉能力、良好的運維管理能力及快速可靠的大顆粒業(yè)務(wù)保護能力［3］，但目前OTN設(shè)備還存在交叉容量偏小、網(wǎng)絡(luò)智能化不足等缺陷；PTN具有靈活的組網(wǎng)調(diào)度、較強的OAM能力及快速保護的優(yōu)點，多用于小顆粒IP業(yè)務(wù)的靈活接入、匯聚收斂上，不擅長對大量的大顆粒業(yè)務(wù)進行傳送［4］。

隨著計算資源靈活提供方式的發(fā)展，在專線網(wǎng)絡(luò)的基礎(chǔ)上，網(wǎng)絡(luò)資源也隨著資源變化進行動態(tài)調(diào)整，SDN/NFV技術(shù)應(yīng)運而生。SDN為軟件定義網(wǎng)絡(luò)，NFV是傳統(tǒng)物理網(wǎng)元的虛擬化。SDN網(wǎng)絡(luò)具有控制靈活、資源利用率高、通用性強等優(yōu)點。軟件定義廣域網(wǎng)（SD-WAN）是將SDN技術(shù)應(yīng)用于廣域網(wǎng)場景中所形成的一種服務(wù)。SD-WAN技術(shù)可實現(xiàn)對網(wǎng)絡(luò)流量的智能識別和靈活調(diào)度，為用戶提供可調(diào)度、可視化的流量監(jiān)控和網(wǎng)絡(luò)拓撲［5］。SD-WAN技術(shù)能識別不同的流量類型，可將不同用戶流量分別導(dǎo)入到不同網(wǎng)絡(luò)通道中，并根據(jù)用戶流量負載情況對流量進行靈活調(diào)度，實現(xiàn)鏈路應(yīng)急保護功能，對不同網(wǎng)絡(luò)通道進行差異化流量管理，完成壓縮加速等功能，實現(xiàn)不同QoS等級處理。

1.2 組網(wǎng)技術(shù)要求

1.2.1 高可靠性。要選擇具備高可靠性、低延遲、低抖動和低數(shù)據(jù)包丟失的組網(wǎng)技術(shù)，才能滿足圖書館系統(tǒng)的數(shù)據(jù)傳輸要求。

1.2.2 實用性。在選擇組網(wǎng)技術(shù)時，應(yīng)充分考慮實際需求和費用，要具有高性價比。

1.2.3 安全性。選擇組網(wǎng)技術(shù)時應(yīng)統(tǒng)一考慮網(wǎng)絡(luò)安全策略，整體考慮網(wǎng)絡(luò)的安全性，通過區(qū)域安全控制和邊界安全策略等來提供可靠的圖書館服務(wù)。

1.2.4 擴展性。根據(jù)未來應(yīng)用的增長和變化，能實現(xiàn)組網(wǎng)的平滑擴充和升級。

1.2.5 靈活性。組網(wǎng)技術(shù)應(yīng)支持IPv4和IPv6的大型動態(tài)路由協(xié)議（如IS-IS、BGP、OSPFv3等），支持策略路由功能，保證網(wǎng)絡(luò)間的平滑連接。

1.2.6 技術(shù)先進性。以先進、成熟的網(wǎng)絡(luò)通信技術(shù)進行組網(wǎng)設(shè)計及實施，相關(guān)技術(shù)均要符合國際標(biāo)準(zhǔn)。

1.2.7 開放性。組網(wǎng)技術(shù)具有很好的開放性，支持多種網(wǎng)絡(luò)協(xié)議、網(wǎng)絡(luò)應(yīng)用，能連接各圖書館的邊界網(wǎng)絡(luò)設(shè)備。

2 基于SD-WAN技術(shù)的圖書館館際組網(wǎng)設(shè)計思路

2.1 組網(wǎng)技術(shù)選擇

針對提出的幾種技術(shù)路線，三種主流的廣域網(wǎng)專網(wǎng)實現(xiàn)技術(shù)見表1。

由表1可知，VPN技術(shù)與SD-WAN技術(shù)具有部署周期短、擴展能力強的優(yōu)點，而二者的用戶體驗沒有專線網(wǎng)絡(luò)好，但SD-WAN技術(shù)的用戶體驗比VPN技術(shù)要更優(yōu)。專線網(wǎng)絡(luò)的投入成本高、后期維護擴展能力較差，不適合用于快速部署且預(yù)算成本有限的情況。SDN技術(shù)在數(shù)據(jù)中心網(wǎng)絡(luò)中的應(yīng)用可支持海量數(shù)據(jù)多路徑轉(zhuǎn)發(fā)，為不斷遷移和擴展虛擬機提供技術(shù)支持，最終實現(xiàn)網(wǎng)絡(luò)流量的智能化管理與規(guī)劃［6］。

SD-WAN技術(shù)是在SDN技術(shù)還未完全落地前提出的新一代網(wǎng)絡(luò)創(chuàng)新技術(shù)，是將SDN 技術(shù)應(yīng)用于廣域網(wǎng)場景中所形成的一種服務(wù)。SD-WAN技術(shù)可用于連接廣闊地理范圍內(nèi)的企業(yè)網(wǎng)絡(luò)、數(shù)據(jù)中心、互聯(lián)網(wǎng)應(yīng)用及云服務(wù)。SD-WAN技術(shù)有以下3個特點。①SD-WAN技術(shù)能識別出不同流量類型，將不同的用戶流量分別導(dǎo)入到不同的網(wǎng)絡(luò)通道中，根據(jù)用戶流量負載情況對流量進行靈活調(diào)度，實現(xiàn)鏈路應(yīng)急保護功能。②SD-WAN技術(shù)可為不同的虛擬機建立鏈路及拆解鏈路。③SD-WAN技術(shù)可對不同的網(wǎng)絡(luò)通道進行差異化流量管理，完成壓縮、加速等功能，實現(xiàn)對不同的QoS等級處理。

通過對不同技術(shù)的比較分析，本研究選擇SD-WAN技術(shù)來搭建國家圖書館和省館間的數(shù)據(jù)傳輸網(wǎng)絡(luò)，即SD-WAN專網(wǎng)。

2.2 網(wǎng)絡(luò)架構(gòu)

SD-WAN專網(wǎng)網(wǎng)絡(luò)架構(gòu)采用的是星型結(jié)構(gòu)，以國家圖書館為總匯接點、各省館為接入點，所有節(jié)點都是通過互聯(lián)網(wǎng)來實現(xiàn)互聯(lián)互通的。采用與國家圖書館兼容的SD-WAN設(shè)備，其中國家圖書館具備1 G帶寬的處理能力、各省館具備100 M帶寬的處理能力。通過SD-WAN技術(shù)來實現(xiàn)圖書館系統(tǒng)節(jié)點的互聯(lián)互通，網(wǎng)絡(luò)架構(gòu)如圖1所示。

SD-WAN專網(wǎng)以互聯(lián)網(wǎng)為承載網(wǎng)絡(luò)，通過SD-WAN專用終端設(shè)備來實現(xiàn)圖書館系統(tǒng)全部節(jié)點的互聯(lián)互通。一是通過業(yè)務(wù)邏輯與應(yīng)用層的融合策略來代替?zhèn)鹘y(tǒng)的網(wǎng)絡(luò)層策略，實現(xiàn)全網(wǎng)按需統(tǒng)一調(diào)度數(shù)據(jù)傳輸；二是利用虛擬化網(wǎng)絡(luò)功能，實現(xiàn)網(wǎng)元自動化部署和資源彈性擴縮容；三是通過集成軟件安全模塊，實現(xiàn)內(nèi)外無縫防護，全面保障傳輸安全的可靠性。

SD-WAN網(wǎng)絡(luò)主節(jié)點是由兩臺專用終端設(shè)備（CPE）組建的，可實現(xiàn)冗余功能，其余分節(jié)點各部署一臺CPE設(shè)備，另外配置一臺SD-WAN控制中心平臺服務(wù)器，可用于管理所有CPE設(shè)備。CPE設(shè)備的連接結(jié)構(gòu)如圖2所示。

CPE設(shè)備是部署在網(wǎng)絡(luò)邊緣的設(shè)備，是用于轉(zhuǎn)發(fā)數(shù)據(jù)的設(shè)備，要兼容多種鏈路類型。各節(jié)點可借助互聯(lián)網(wǎng)接入到SD-WAN網(wǎng)絡(luò)中，經(jīng)費允許時也可通過專線接入。要統(tǒng)籌規(guī)劃各設(shè)備的IP地址，避免各節(jié)點互聯(lián)網(wǎng)訪問地址發(fā)生沖突，若CPE是借助互聯(lián)網(wǎng)接入SD-WAN網(wǎng)絡(luò)的，則該設(shè)備要配置互聯(lián)網(wǎng)地址。

2.3 網(wǎng)絡(luò)IP地址規(guī)劃

國家圖書館節(jié)點的CPE設(shè)備配置有SD-WAN專用網(wǎng)絡(luò)的IP地址，各省級圖書館的CPE設(shè)備要配置一個互聯(lián)網(wǎng)地址與SD-WAN網(wǎng)絡(luò)連通。SD-WAN網(wǎng)絡(luò)是對全部節(jié)點進行互聯(lián)規(guī)劃組網(wǎng)的，要對專網(wǎng)內(nèi)的網(wǎng)絡(luò)進行統(tǒng)籌管理，避免各節(jié)點互聯(lián)訪問地址時發(fā)生沖突。各節(jié)點IP地址規(guī)劃可沿用原虛擬網(wǎng)、數(shù)字圖書館的專網(wǎng)IP地址。

3 基于SD-WAN技術(shù)的圖書館館際組網(wǎng)實現(xiàn)方案

3.1 國家圖書館節(jié)點（核心節(jié)點）建設(shè)

3.1.1 國家圖書館節(jié)點網(wǎng)絡(luò)拓撲。在國家圖書館部署一臺防火墻、一臺匯聚交換機，與CPE設(shè)備及SD-WAN管理平臺進行互聯(lián)。對外通過防火墻出口的1 G帶寬鏈路與SD-WAN專網(wǎng)相連接，對內(nèi)通過防火墻與國家圖書館核心交換機相連接，從而連通系統(tǒng)。通過建立心跳來將國家圖書館部署的兩臺CPE設(shè)備配置成主備HA組。兩臺CPE在分別上聯(lián)至匯聚交換機后，再上聯(lián)至防火墻，通過1 G帶寬鏈路接入到SD-WAN網(wǎng)絡(luò)中。

3.1.2 國家圖書館節(jié)點硬件設(shè)備及配置。國家圖書館硬件設(shè)備及配置詳見表2。由于國家圖書館采用的是1 G帶寬鏈路，所配備的防火墻、CPE設(shè)備應(yīng)支持1 Gbps的數(shù)據(jù)吞吐量，SD-WAN管理平臺和交換機應(yīng)具有千兆網(wǎng)口。

3.1.3 國家圖書館節(jié)點策略配置。①網(wǎng)絡(luò)策略配置。選取配置靜態(tài)路由的方式來完成SD-WAN網(wǎng)絡(luò)的路由設(shè)計。以福建省圖書館為例，福建省圖書館所用的IP地址為10.117.0.0/16，在國家圖書館核心交換機中添加靜態(tài)路由的IP地址為10.117.0.0/16，下一跳為國家圖書館SD-WAN防火墻設(shè)備接口地址192.168.*.*。②網(wǎng)絡(luò)安全策略配置。為保障SD-WAN網(wǎng)絡(luò)的安全性，在核心交換機中設(shè)置訪問控制策略，對國家圖書館內(nèi)網(wǎng)和SD-WAN網(wǎng)絡(luò)進行邏輯隔離。在國家圖書館核心交換機與防火墻連接的端口上配置VLAN，訪問策略為允許IP地址為10開頭的各省級圖書館訪問國家圖書館系統(tǒng)，系統(tǒng)所涉及的IP地址為202開頭的部分互聯(lián)網(wǎng)IP地址及國家圖書館服務(wù)器網(wǎng)段開頭的部分內(nèi)網(wǎng)IP地址。

3.2 省館節(jié)點（分支節(jié)點）建設(shè)

3.2.1 省級館節(jié)點網(wǎng)絡(luò)拓撲。省級圖書館是通過本地100 M帶寬鏈路連接到SD-WAN專網(wǎng)中的，實現(xiàn)本地系統(tǒng)高速、穩(wěn)定的互聯(lián)互通。各省級圖書館部署單CPE硬件，CPE的一個GE接口通過互聯(lián)網(wǎng)線路接入到SD-WAN網(wǎng)絡(luò)中，另外一個GE口與省級圖書館核心設(shè)備互聯(lián)，接入到本地網(wǎng)絡(luò)中。以福建省圖書館為例，該館部署一臺防火墻、一臺核心交換機、一臺CPE設(shè)備，與國家圖書館SD-WAN網(wǎng)絡(luò)互聯(lián)互通。其中，對外通過防火墻出口100 M帶寬鏈路與SD-WAN專網(wǎng)連接，對內(nèi)通過防火墻、一臺CPE設(shè)備和核心交換機連通福建圖書館系統(tǒng)。

3.2.2 省級圖書館策略配置。①目的路由配置。省級圖書館可通過防火墻或路由器來新增目的路由規(guī)則，增加從國家圖書館和其他省級圖書館系統(tǒng)所在專用地址網(wǎng)段到本館CPE設(shè)備的路由配置。②源NAT配置。為構(gòu)建省級館圖書館系統(tǒng)訪問國家圖書館系統(tǒng)及其他省級圖書館系統(tǒng)的專用訪問通道，省級圖書館要在本地防火墻上將本地系統(tǒng)的內(nèi)網(wǎng)地址進行源NAT轉(zhuǎn)換，轉(zhuǎn)換為規(guī)劃好的專用地址網(wǎng)段，從而避免發(fā)生網(wǎng)絡(luò)地址沖突。③目的NAT配置。為構(gòu)建國家圖書館系統(tǒng)及其他各省圖書館系統(tǒng)訪問省級圖書館本地系統(tǒng)的專用訪問通道，省級圖書館還要在本地防火墻上配置本地系統(tǒng)服務(wù)器的目的NAT規(guī)則。④防火墻策略配置。省級圖書館要開放外網(wǎng)到本地系統(tǒng)所在安全域的訪問權(quán)限，確保國家圖書館和其他省級圖書館與本館系統(tǒng)的互聯(lián)互通訪問。

3.3 國家圖書館節(jié)點與省級圖書館節(jié)點連通性測試

防火墻設(shè)備和核心交換機設(shè)備在配置完靜態(tài)路由策略后，要進行連通性測試。以福建省圖書館為例，福建省圖書館的IP地址為10.117.*.*，國家圖書館的IP地址為10.100.*.*，雙方通過PING命令來互相測試網(wǎng)絡(luò)的連通性。從國家圖書館端PING福建省圖書館的IP地址10.117.*.*，無丟包現(xiàn)象，鏈路正常。從福建省圖書館端PING國家圖書館端IP地址10.100.*.*，也沒出現(xiàn)丟包，鏈路正常。從PING結(jié)果可知，網(wǎng)絡(luò)兩段的回包都正常，說明SD-WAN網(wǎng)絡(luò)已經(jīng)連通。

3.4 SD-WAN管理平臺建設(shè)

SD-WAN管理平臺具有集中控制和管理的功能，可統(tǒng)一編排、選擇和配置不同網(wǎng)絡(luò)資源和路徑，提供靈活的網(wǎng)絡(luò)連接服務(wù)；可自動發(fā)現(xiàn)故障，并進行路徑切換，提高傳輸連接的可靠性、可用性；可實時監(jiān)控網(wǎng)絡(luò)通斷、連接數(shù)、接口流量、帶寬利用率、故障報警信息等網(wǎng)絡(luò)運行情況。

在國家圖書館節(jié)點建設(shè)的SD-WAN管理平臺要具備ZTP零接觸部署能力，即終端CPE通電聯(lián)網(wǎng)后可通過控制平臺來完成設(shè)備激活、設(shè)備配置下發(fā)、智能組網(wǎng)；具備可視化管理能力、應(yīng)用質(zhì)量分析能力，即平臺的用戶Console界面提供應(yīng)用可視化管理能力；具備網(wǎng)管告警能力、故障診斷能力，即通過控制平臺為用戶Console界面設(shè)置網(wǎng)管告警。其還支持短信、郵件、微信、Console界面告警欄等告警方式，同時告警欄還能提供故障診斷信息。

4 結(jié)語

SD-WAN 作為一種廣域網(wǎng)接入與傳輸技術(shù)，通過接入運營商專用網(wǎng)絡(luò)來實現(xiàn)數(shù)據(jù)傳輸，與傳統(tǒng)互聯(lián)網(wǎng)業(yè)務(wù)相互隔離、互不干擾，通過集成軟件安全模塊來實現(xiàn)內(nèi)外安全防護，為國家圖書館主節(jié)點與各省分節(jié)點提供高速、穩(wěn)定的互聯(lián)互通數(shù)據(jù)傳輸通道，從而保障圖書館系統(tǒng)數(shù)據(jù)的安全傳輸。

參考文獻：

［1］吳偉青.光傳輸SDH網(wǎng)絡(luò)的可靠性評估及其帶寬整理的研究［D］.上海：上海交通大學(xué)，2006.

［2］吳迪.基于OTN技術(shù)的城域傳送網(wǎng)組網(wǎng)研究與設(shè)計［D］.南京：南京郵電大學(xué)，2012.

［3］劉漢生.OTN技術(shù)及其在電信傳送網(wǎng)中應(yīng)用的研究［D］.南京：南京郵電大學(xué)，2011.

［4］金家煒.PTN技術(shù)在移動城域傳送網(wǎng)中的應(yīng)用及建設(shè)策略研究［D］.上海：上海交通大學(xué)，2012.

［5］董炳泉.DWAN 提供云網(wǎng)融合產(chǎn)品能力的研究及應(yīng)用［J］.信息通信，2019（12）：245-246．

［6］劉漢江，歐亮，陳文華，等.基于SDN的跨數(shù)據(jù)中心承載技術(shù)［J］.電信科學(xué)，2016（3）：28-34.