Neuer Campusnetz-Backbone

Im November dieses Jahres konnte das Projekt Erneuerung des Campusnetz-Backbones abgeschlossen werden. Ziel war der Austausch der Layer-3-Switches an neun Universitäts-Standorten sowie der im Backbone eingesetzten Firewall-Technik. Im Ergebnis sind die Universitäts-Standorte nun mit modernster Netzwerk-Technik ausgestattet – für redundante und hochperformante Verbindungen mit 100 GB/s zwischen den einzelnen Standorten.

Begonnen hatte das Projekt im Sommer 2017 mit der Einreichung eines Großgeräte-Antrags beim Sächsischen Staatsministerium für Wissenschaft, Kultur und Tourismus (SMWK). Die Mittelbewilligung in Höhe von ca. 1.5 Mio Euro erfolgte knapp ein Jahr später. In einer ersten Teststellung wurde bis Herbst 2018 die neueste, noch in Entwicklung befindliche Switch-Generation Cisco Catalyst 9500 in einer URZ-Laborumgebung in Augenschein genommen. Durch die Teilnahme am Early Field Trial (EFT) konnten insbesondere wichtige Software Features direkt mit dem Hersteller getestet und optimiert werden. Der Bestellung stand danach nichts mehr im Wege, so dass Anfang 2019 zwei Paletten mit 700 kg Switch- und Firewalltechnik vor der URZ-Tür standen.

Nun konnte noch einmal getestet und die Migration geplant werden. Begonnen wurde der schrittweise Umbau des Backbones im Universitätsteil Raabestraße – ein kleinerer Standort, um eventuellen Problemen, welche sich erst in produktiver Umgebung offenbaren, kein zu breites Feld zu bieten. Doch weitgehend problemfrei konnten in den Folgemonaten auch die weiteren Standorte umgerüstet werden. Am 30. Oktober 2021 erfolgte die letzte und auch komplexeste Migration am X-WiN/Internet-Zugang mit Austausch des Routers und der Firewall.

Für alle technisch Interessierten einige Infos zu den zum Einsatz kommenden Übertragungstechniken und -protokollen im Backbone:

Erklärtes Ziel des Projektes war eine Erhöhung der Bandbreite. Verbindungen zwischen den Universitätsteilen basieren jetzt überwiegend auf 100 Gbps Uplinks, welche mittels EtherChannel bei Bedarf gebündelt werden können (max. 8). Auch wenn bei dieser Bandbreite derzeit keine Engpässe zu befürchten sind, wird der Voice-over-IP-Verkehr im Backbone mittels Quality of Service priorisiert übertragen. Zu einem großen Teil sind die Glasfasern im Backbone von der Deutschen Telekom und  Eins Energie gemietet. Die Datenübertragung über diese Mietleitungen wird mittels AES-256 auf Hardwareebene verschlüsselt. Zum Einsatz kommt hier der Standard IEEE 802.1AE. Für die Anbindung der Etagenknoten an den Backbone können bei Bedarf die jetzigen 2 x 10 Gbps Uplinks auf 2 x 25 Gbps Uplinks umgerüstet werden. Die bewährten Routingprotokolle OSPF und OSPFv3 sind weiterhin für das interne Routing von IPv4 und IPv6 zuständig. Die Netzwerk-Virtualisierung erfolgt mittels Virtual Routing and Forwarding (VRF) und Multiprotocol Layer Switching (MPLS) in Verbindung mit Layer3-VPN. Hiermit werden campusweite Sicherheitszonen betrieben. Die Internetanbindung  ist nach wie vor redundant über die Aufschaltungen an den X-WiN-Knoten in Leipzig und Berlin realisiert, wobei das externe Routing sowie die Lastteilung mit Hilfe des Border-Gateway-Protokolls (BGP) umgesetzt wird. Als Firewalls kommen vier Appliances der Familie Cisco Firepower zum Einsatz. Auf zwei dieser Appliances laufen mehrere virtuelle Firewall-Instanzen, welche den Datenverkehr im Datacenter sowie von und zu den campusweiten Sicherheitszonen  kontrollieren. Zwei weitere Appliances sichern den Internet-Zugang der Universität über Filter-Regeln und kümmern sich um die NAT-Adressübersetzung für die Netzbereiche mit privaten IP-Adressen wie beispielsweise aus dem WLAN. Alle Layer-3-Switches und Firewalls sind redundant ausgelegt, sodass Netzwerk-Unterbrechungen bei Software-Updates oder Defekten minimiert werden.