時間能夠醞釀經典，歷史可以鑄造永恒。在歷經十多年的網絡應用洗禮之后，思科Catalyst 6500(以下簡稱6500)無疑業已成為了交換機中的一款經典。然而隨著時光的流逝以720系列引擎和6700系列線卡為代表的上一代Catalyst 6500在應對日新月異的網絡應用需求時，也已經開始力不從心了。為此思科打造出了全新Catalyst 6500 Supervisor Engine 2T(以下簡稱Sup 2T)管理引擎及配套的全新6900系列線卡，在性能和功能上進行了大量的增強和創新。

思科Catalyst 6500 Supervisor Engine 2T

　　業務需求新挑戰

　　隨著大量的終端移動化/多媒體視頻協作/云計算數據中心/桌面虛擬化的出現，企業IT網絡邊界已經消失。企業網絡無邊界化之后，對IT平臺的發展規劃/運營管理提出了新的挑戰：如何對園區網中的應用進行管理，如何保障無邊界網絡環境下的業務安全，如何保障云環境下的業務性能和應用體驗，如何簡化IT架構，提升運營效率，快速部署新業務，提升企業生產力?思科全新Catalyst 6500系列就是為解決用戶面臨的挑戰而設計，滿足用戶在無邊界云網絡環境下的業務需求。下面是一些思科Sup 2T管理引擎及線卡的簡單功能概述：

　　Sup 2T 集成了2T 比特的高性能交換矩陣，配合最新線卡可在所有 Catalyst 6500 E 系列機箱內實現每個插槽 80 Gbps (雙工160Gbps)的交換容量，其轉發引擎能夠為2層和3層服務提供高性能轉發。Sup 2T 在安全、服務質量 (QoS)、虛擬化和可管理性等領域提供了許多新的基于硬件的創新，其豐富功能集增強了傳統 IP 轉發，2層和3層多協議標簽交換(MPLS)VPN，以及VPLS等應用。同時提供了可擴展的性能、智能和大量的功能，以滿足無邊界網絡、數據中心和服務提供商網絡的需求。作為業界唯一真正為企業園區網量身定做的核心交換平臺，新一代Catalyst6500旨在提供以40G以太網為代表的高速業務支持的同時，更可以滿足企業用戶的移動互聯支撐，視頻交互，靈活安全控制，應用可視化等復合需求，打造下一代高可靠企業園區網。

全向的業務性能考核

　　想要使6500重新煥發青春，依靠的就是能兼容所有6500-E系列機框的全新SUP2T引擎及6900系列線卡。為此《網絡世界》評測實驗室與思博倫通訊協力，在思博倫概念驗證實驗室(SPOC)中，采用其TestCenter測試儀表，依據RFC 2544、RFC 3918等測試規范對6500E+Sup 2T+6900線卡進行數據包轉發速率及延遲的基礎測試，再在加載不同網絡協議及大路由表、MPLS/VPLS并疊加MacSec加密特性，安全組策略條件下和靈活Netflow及VSS環境的數據包轉發速率、時延情況分別進行了驗證性測試。通過測試結果的對比分析，相信大家可以重新認識，全新Catalyst 6500超越傳統核心交換機的功能體系。單純的吞吐量和二三層轉發指標的提升已遠不能滿足園區網復雜應用的需求，綜合業務支撐能力是下一代園區網需要考慮的重點。Catalyst 6500的優勢正是在于，保持主流交換性能同時，延續思科交換機園區網特性豐富的特點，并通過芯片級別的本質提升，為園區網提供移動互聯，視頻交互，應用可視化，安全傳輸和高可靠性等綜合業務就緒的理想平臺。

　　40G 轉發業務性能的提升

　　6500是最早一批支持園區網業務應用的交換機產品，為園區網及企業網網絡建設的搭建立下了汗馬功勞。那么當40/100G以太網標準在2010年發布后，新一代Sup 2T及6900線卡可否進行有效的支持呢?環顧業界，6500幾乎是唯一針對企業園區網所設計的40G交換平臺，其他類似產品無一例外都是針對企業數據中心。為此我們首先對6500 Sup 2T和6900線卡的網絡轉發性能進行了基礎測試。

　　在本項測試過程中，我們首先為Catalyst 6500在IPv4協議下加載了25萬條BGP路由，(在IPv6協議下加載的為12萬條BGP路由)，然后使用TestCenter測試儀表上8個萬兆測試端口，將其與6500機框上的單槽位6904四口40G線卡所接出的8×10G接口連接，并進行雙向全雙工的RFC2544規范測試。(測試拓撲參見圖1)為了提高驗證測試的效率，在思科工程師的認可下，我們所有性能測試項目均采用在丟包率測試情況下，對傳輸速率和無丟包條件下的時延性能指標進行記錄。在進行單機測試的同時，我們還對6500雙機雙槽位16個萬兆接口通過兩個40G接口互聯后進行MPLS穿越時的數據包轉發性能進行了比對。

　　6500 Sup 2T在8個萬兆網絡接口雙向數據包轉發性能測試中，其轉發速率在IPv4協議時可以達59878008.48PPS。IPv6數據包轉發時，數據包結構比IPv4復雜，需要更高的轉發處理性能，6500 Sup 2T在IPv6網絡中加載大容量路由協議后，依然可以保持在29895784.58PPS的轉發性能。在512字節(IPv4 256字節)以上的數據傳輸中6500 Sup 2T均可以0丟包的實現線速傳輸。這樣的傳輸速率在完全可以滿足當前網絡中數據包轉發性能需求的同時，也有效的保障了網絡傳輸帶寬的應用需求。而其小于13微秒的網絡時延更加有效的保障了網絡傳輸的應用性能。可以使用戶在減少非必要性的網絡硬件資金投入情況下，有效提升網絡應用帶寬，達到向40G網絡轉移的目的。而6500新提供的6900 40G網絡接口板卡，還可以實現雙40G接口的40G—4×10G網絡接口復用，從兩臺6500在MPLS協議連接數據轉發性能可以看出，兩臺6500通過一對40G網絡接口互聯后，使得接口帶寬與轉發速率得到了成倍的提升。在方便了用戶采用更加靈活的10G與40G網絡接入方式的同時，也可以更加便利的提升用戶整體網絡接入帶寬與網絡應用處理性能。

　　防火墻余輝的熄滅者——SGT/SGACL

　　在現階段園區網及企業網的網絡應用中，僅憑借單純的網絡帶寬提升的已經無法滿足實際網絡綜合業務應用的需求。我們還需要對這些網絡業務流量進行可靠的管理。目前國內在很多企業園區網中，這部分業務需求還是采用防火墻下發ACL管理策略的方式來進行的。在需要增添附屬的防火墻硬件設備的同時，還增加了新的網絡故障隱患。同時在網絡設備的管理上也變得更加的復雜。

　　在交換機中附帶安全管理策略并不是一個新出現的功能。ACL早已成為園區網交換機標志性功能之一。然而防火墻的身影依然在當前企業的網絡架構中，始終揮之不去。尤其是當無線網絡、BYOD設備盛行之后，企業網絡應用的安全管理復雜性就越發成為了網絡管理者的心病。由此看來，在現階段的網絡管理中，需要一種更加智能化的高效率訪問控制管理方式才可以滿足用戶當前的網絡管理需求。

#p#

安全策略需要如影隨形

　　那么可否設計出一種“如影隨形”的智能網絡訪問控制管理方式呢?為此，思科在新的Catalyst 6500 Sup 2T管理引擎及6900系列線卡上新增設了通過ASIC實現的SGT(安全組標簽)與SGACL(安全組訪問控制列表)功能。

　　要想實現“如影隨形”的訪問控制，最簡捷的方式就是通過交換機ASIC芯片為用戶的流量打上標記，并在后續的轉發控制中依據該標記來執行動作，思科把這種安全標記稱為SGT。這樣無論用戶是從外網，還是從內網的不同區域進行訪問均可以迅速對用戶身份進行判斷并標記對應的流量，再依據相應管理權限進行管理，對應的安全管理策略稱為SGACL。SGT和SGACL的靈活應用能改變當前基于IP地址的傳統ACL復雜部署方式，用戶不再需要在每臺交換機上依據源目的地址等元素進行大量的ACL手工配置，而是通過思科ISE(身份服務引擎)根據用戶身份驗證來實現SGT/SGACL的動態綁定和下發，極大簡化了安全管理部署，結合ISE的豐富特性，更能真正實現任何時間，任何地點，任何設備的無邊界網絡智能安全管理目標。

　　當Sup 2T及6900線卡開啟SGT和SGACL功能后，憑借其基于ASIC的強大處理能力，可以依據用戶、接入點、接入設備類型等規則設計自動的為用戶流量打上相應的安全組標簽。安全組標簽十分小巧，僅需要4個字節的長度，并且完全在硬件層面處理完成，因此在網絡數據轉發過程中，幾乎不會對數據轉輸性能造成影響。

　　在實際驗證測試中，我們通過不同的路由地址發出標有不同SGT標記的數據報文，并對這些數據報文通過SGACL進行統計分析。測試結果表明，6500在開啟SGACL后，數據包丟包率為“0”，使能SGT/SGACL之后沒有影響正常業務轉發性能。并且可以及時準確的對SGT標記源目標進行分析并按SGACL的規則進行歸類。(摘錄SGT命令行顯示如下：)

CNW.6506.S2T.VSS#sho cts role sgt-map all

Active IP-SGT Bindings Information

IP Address SGT Source

============================================

12.12.12.12 1212 INTERNAL

12.45.0.0/24 1245 CLI

12.45.0.254 1212 INTERNAL

12.49.0.0/24 1249 CLI

12.49.0.254 1212 INTERNAL

100.1.1.1 1212 INTERNAL

IP-SGT Active Bindings Summary

============================================

Total number of CLI bindings = 2

Total number of INTERNAL bindings = 4

Total number of active bindings = 6

　　為用戶的數據流進行SGT標記只是基礎，我們還需要為不同SGT的用戶進行不同的訪問權限管理。在這里就需要應用到Sup 2T及6900線卡的SGACL功能了。SGACL功能把普通ACL和用戶SGT關聯起來，可依據SGT對用戶訪問請求進行有效的安全策略管理。我們通過SGACL的管理容量表了解到其可以支持至少32000條SGACL的策略管理。

　　極小的SGT字節長度和大容量的SGACL策略管理的有效結合，形成了Sup 2T高效精準的網絡接入管理策略。憑借此策略，無論用戶是在任何地域，采用何種接入方式連入網絡，網絡管理者均可以對用戶真實身分進行準確判定，并高效的按不同組別進行不同權限的分類管理，從而達到了安全策略如影隨形的接入管理效果。自此，網絡管理者將無需再通過防火墻進行復雜的網絡安全策略管理。在Catalyst 6500上，SGT和SGACL既可以通過手動配置實現，更可以通過思科ISE動態下發，是安全園區和BYOD解決方案的重要組件之一。

傳輸安全性的可靠保障——MPLS、VPLS疊加MACSec加密測試

　　在企業園區網的網絡業務應用中，不但需要對用戶網絡接入權限進行管理，還需要對網絡傳輸的安全性及可靠性進行保障。在這方面，以往通常是由獨立的VPN(虛擬專用網)產品或防火墻上附帶的VPN功能進行實現的。

　　然而在以往的高可靠性網絡業務數據傳輸時，無論是采用IPSec VPN還是SSL VPN技術，均有兩個問題始終無法回避：一、接入匹配方式復雜，需求在客戶端進行復雜的網絡接入設置，在多用戶應用時無法很好的進行管理。二、傳輸效率低下，VPN的數據傳輸性能只有網絡傳輸性能的幾分之一，用戶在實際應用時，要不需要多購置VPN網絡設備，要不只能忍受低傳輸速率對企業業務的影響。

為了解決此類問題，思科將在城域網發展成熟的三層VPN數據傳輸技術MPLS(多協議標簽交換)功能同樣引入了全系Catalyst 6500之中。通過LSP(從源端到終端路徑上的結點標簽序列)將私有網絡的不同分支聯結起來，形成一個統一的網絡。MPLS的支持優勢在于：支持不同分支間IP地址復用的同時，還可以支持對不同VPN間的互通控制。

　　為了更好的將不同地域分支機構網絡進行整合，新的Catalyst 6500在支持MPLS的基礎上，又增添了VPLS功能。VPLS支持點到點、點到多點、多點到多點的業務類型，能夠在較大網絡規模下支持電信級以太網服務實現二層虛擬化。這樣即便網絡用戶所處在于不同的地域，但可以將所有網絡整合在一起，最大限度發揮網絡整合、統一應用、統一管理的功效。

　　然而不論MPLS還是VPLS虛擬化方式都不能避免另一個問題存在，在異地跨公網進行以太網數據傳輸時，數據有可能被第三方截獲，造成信息泄密。為此，思科將業界最新的MACSec(802.1ae)二層加密技術引入到Catalyst 6500的SUP2T引擎及6900線卡之中，通過在二層上對所有以太網數據幀進行加密封裝，在傳統以太網上實現媲美光網絡的傳輸安全性。由于MACSec是通過專用ASIC實現，這樣在保證網絡傳輸吞吐量和延遲不受影響的同時，又使網絡數據傳輸的安全性得到了有效保障。

#p#

在實際測試中，我們抓包截取了經過MACSec封包傳輸的數據包文件，在進行查看時，由于MACSec封包無法拆解，因此抓包文件無法進行正常查看，僅能看到源目的MAC地址，其后所有信息皆為密文。

　　在增添如此多虛擬化及安全傳輸功能后，Sup 2T及6900線卡在數據傳輸性能上是否有所減弱呢?為此，我們又一次對Catalyst 6500的傳輸吞吐量和延遲進行了對比測試。

　　在本項測試中，我們將兩臺6500交換機上分別安裝了一塊6900 8×10G接口卡與一塊6908 2×40G接口卡。兩塊6908 2×40G的4個40G接口互聯，以便同時對兩臺交換機間的數據轉發處理性能進行測試。在測試儀表上采用16個萬兆網絡測試接口分別與兩臺6500交換機上的兩塊6900 8×10G接口卡上的8個10G網絡接口連接。兩臺6500的40G以太網接口對聯并且使能MACSec加密處理，同時作為MPLS傳輸接口。

　　在測試過程中，我們分別對兩臺6500采用兩對40G接口雙向互聯的數據包轉發性能及加載MPLS協議、加載MPSL+MacSec、加載VPLS協議以及加載VPLS+MacSec的轉發性能進行了測試。為了有利于直觀進行分析，我們將數據包轉發速率轉換成了流量轉發速率并列表進行對比。由于測試項目較多，我們只節選了256Bbye、512Byte和1518Byte三組結果進行了對比。

測試結果表明，使能MPLS前后的40G以太網轉發速率差別很小，使能VPLS之后轉發性能為正常速率的一半。在MPLS和VPLS環境下再開啟MACSec功能后，吞吐量和延遲幾乎沒有明顯損失， 1518大包的數據流量仍然可達到144.7Gbps，其中還包括MPLS封裝和MACSec封裝對包長的影響。要知道，兩對40G接口即便在不丟包情況下，在1518字節下的最大數據傳輸流量也僅為147.8Gbps左右。而6500在加載上述功能后的網絡處理性能始終沒有顯著下降，并且網絡時延的測試結果也比較一致，由于是對兩臺6500設備進行測試，總時延結果有成倍提升，但看不到疊加業務后的明顯損耗。由此，我們了解到了新的Catalyst 6500 Sup 2T管理引擎及6900線卡在應對網絡高可靠性數據傳輸時，可以具備如何出色的綜合業務處理能力。這些特質歸功于思科園區網交換機更加注重豐富功能特性與傳統轉發性能的平衡，而不是盲目攀比傳統交換指標。

#p#

網絡管理的延伸——Netflow

　　在當前園區網及企業網的網絡流量管理中，有成百上千的不同類型應用，在網絡中產生各種不同特征不同規模的流量。還有大量的需求各異的用戶，從不同的設備、不同的地點、不同的時間使用各種不同的網絡資源，這些應用還在不斷的變化，難以預判和把握。由此而來的網絡流量劇增，對網絡容量規劃提出了新的挑戰。以往通過源端口、目的端口、源地址、目的地址和服務類別的進行流量分析管理的方法，也越來越無法滿足目前網絡流量分析管理的實際應用需求。

　　如何知道當前網絡部署是否能滿足園區網應用需求以及找到網絡流量瓶頸所在，成為廣大IT管理人員面臨的頭號難題。其次，IT管理人員需要掌握的遠不止是流量大小而已，他們還可能需要跟蹤用戶行為，應用類型，網絡流量構成，流量特征，流量分布等。各種802.1x，mpls，視頻多播，語音，游戲以及IPv6流量等都會成為他們的關注目標。并且他們還需要讓這些關注內容可視化，可管控。

　　對于上述挑戰，當前的普遍應對方式是使用網絡交換機內置的傳統Netflow特性，對流量分布進行解析和導出，再通過圖形化軟件進行解讀與分析。但隨著應用復雜度的增加和交換機T比特時代來臨，傳統Netflow已經遠不能滿足應用可視化的需求。傳統Netflow實現方式提供的Netflow緩存一般較小，處理效率很低，不能滿足網絡流量激增的需求。

　　針對新一代企業園區網對應用可視化的強烈需求，以及傳統Netflow的各種不足，思科在其不同企業網平臺上都部署了新一代靈活Netflow技術(Flexible Netflow)，能夠對應用可視化提供強大的支持。IT管理者可以根據實際需求，靈活選擇需要分析的應用類型和關注的數據元素，借助遠超過IP七元組的豐富信息元，來達到分析用戶行為，應用類型，應用流量分布，不安全流量監控等多種目的。并且6500上新增了分布式Netflow緩存功能，每張線卡可提供的Netflow條目數高達512K-1M條，整機累計可達12M條Netflow記錄。

　　在本項測試中，我們加載了50萬(512000)條以上的Netflow條目，并對其網絡層的處理速率和時延進行了測試。

　　由于Netflow通常應用在關鍵業務上，因此我們僅用一對6500的一對10G接口雙向Netflow處理性能進行了測試。在測試時，Sup 2T從128Byte到1518Byte的吞吐量始終保持在100%，時延的平均結果在20微秒以內。由測試結果可以看出，Sup 2T的Netflow處理能性依然出色，在高速抓取五十萬條Netflow記錄的同時，設備吞吐量和延遲幾乎跟沒有開啟Netflow的時候基本保持一致，無論是數據包處理性能還是網絡時延全都可以高性能的勝任當前網絡業務應用處理的需求。

瞬息切換，業務無憂——VSS與HA

　　虛擬化與云計算是近年來網絡技術的新熱點。談到交換機虛擬化，可能會令人產生一種高端、復雜的感覺。但實際歸納下來無外乎以下三點：集中管理、業務分布、核心傻快。在一個虛擬化的云計算網絡中，所有網絡交換設備均可以被虛擬成為一臺設備，并集中統一的進行管理，網絡業務的分析、轉發、處理工作則更多的交給處于網絡邊緣的接入/匯聚層網絡交換設備去完成(當前6500已經處于此類位置之中)。核心層網絡設備的作用，就是將這些邊緣的接入/匯聚層網絡交換設備進行連接，高性能的進行數據轉發。在一些小規模的網絡應用場景中，核心層甚至由一根網線就可以進行替代。這樣做的優勢在于，可以使整個網絡的業務處理能力、接口帶寬和高可靠性可以得到成倍的提升。

　　Catalyst 6500無疑是業界虛擬化技術的先驅者，早在2008年一月就正式推出了VSS虛擬交換系統解決方案，也成為后續很多類似虛擬化技術的借鑒。在新的Catalyst 6500 SUP2T平臺上，VSS技術又有怎樣的表現呢?為此，我們對全新6500 SUP2T和6900線卡在開啟VSS功能下的網絡業務切換及高可靠性功能進行了測試。

　　思科虛擬交換系統VSS是一種典型的網絡虛擬化技術，它可以實現將多臺思科交換機虛擬成單臺交換機，使設備可用的端口數量、轉發能力、性能規格都倍增。可將兩臺物理的6500整合成為一臺單一邏輯上的虛擬交換機，從而可將系統帶寬容量有效進行擴展。在新的Catalyst 6500 SUP2T平臺上，VSS可以支持到整系統4T交換容量，也稱為VSS 4T。

　　首先，我們驗證了在VSS功能下，兩臺6500的集中管控功能。在開啟VSS功能后，兩臺6500被集成為一臺虛擬交換設備，可以在一個控制界面中對兩臺設備進行統一的集中管理。業務功能由于上面已經進行了大量測試，雖然不用再過多分析，我們還是在同時利用128字節、500000pps的單播和組播兩種不同數據流來當做背景流量，來測試6500在拔插光模塊、拔插機框主引擎、關閉主機框電源以及軟件升級情況下，6500的高可靠性處理性能。
通過50萬數據包每秒的單播及組播數據轉發，我們可以很容易的利用丟失數據包的個數，計算出在網絡出現不同問題時，6500的高可靠性性能。

　　由于在6500上不僅是進行數據包的轉發，還需要對網絡業務進行分析處理，因此利用單播數據流和組播數據流同時進行測試不但可以對6500在數據轉發時的高可靠性進行測試還可以對6500在進行網絡業務處理時的轉發性能同樣進行評估。由測試結果我們可以了解，在鏈路故障(拔掉接口光模塊)、控制引擎故障、電源故障和交換機系統升級等條件下，6500的VSS高可靠性切換時間始終保持在毫秒級別，大部分都保持在50ms以下，在引擎故障時，甚至可以做到無延遲切換。這些都得益于SUP2T所獨有的四引擎無縫切換特性Quad-Sup SSO及全新的VSS下ISSU支持。在實際測試中，我們嘗試了陸續拔插多個引擎卡，均保持了50ms以內的業務收斂時間。這樣的高可靠性業務保障能力可以極大限度的提升用戶的網絡應用可靠性，有效的保障了用戶網絡業務的正常應用。

　　延續十年經典 開創全新時代

　　通過對思科新一代Catalyst 6500 Supervisor Engine 2T管理引擎及6900新一代線卡的測試，我們了解到Sup 2T系列的的高性能交換矩陣，為6500帶來了更高的網絡可接入帶寬，全新的ASIC設計提供了豐富業務管理、轉發和控制功能，可以為用戶提供更強大的高安全性、高可靠性的網絡傳輸服務。其進一步完善的VSS功能又可使老的6500系統輕松獲得雙倍性能提升和更高可靠性的升級換代。Sup 2T這朵新“花”可以說是為6500這顆老樹帶來了第二次青春，使其重新發出了誘人奪目的光采。而且即便未來用戶的網絡業務應用再次擴展，現有6500遭遇帶寬瓶頸的時候，用戶的網絡應用業務也可以輕易的遷移到將來的Catalyst 6500機框引擎和線卡上去，薪盡而火傳。

　　完善而可靠的架構設計，成就了Catalyst 6500交換機十余年的經典。用戶網絡業務的可持繼發展擴容鑄造了其永遠流傳的永恒。而成就這一切的是思科超越同類的網絡技術前瞻性。跨越性的40G網絡接口轉發，靈活智能的安全組管理策略，安全高可靠性的MPLS、VPLS數據傳輸通道，文件內容級別的Netflow內容管理，再加上高安全性、高可靠性的VSS與HA功能設計，組成了全新的Catalyst 6500網絡解決方案。正是這一系列開創性的網絡業務應用管理方案，奠定了思科無可動搖的網絡技術領導者地位，而唯有技術領導才可使產品永恒屹立!