【正文】 融合業(yè)務(wù)的需求。3) 接入 層提供網(wǎng)絡(luò)的第一級(jí)接入功能，完成二層接入，并 實(shí)現(xiàn)對(duì)終端接入的安全控制，包括 ARP 防御、IP/MAC/ 端口綁定以及 POE 等高級(jí) 功能。在 XX 校園網(wǎng)中，接入層采用千兆及百兆到桌面的接入模式，對(duì)于數(shù)據(jù)傳輸量較大或重要區(qū)域采用千兆到桌面的方案，如綜合辦公、圖書(shū)館等，其它的 為百兆接入，同時(shí)，無(wú)線 AP 接入采用 POE 方式進(jìn)行設(shè)備的供電。接入層設(shè)備以選擇二層交換機(jī)為主，設(shè)備應(yīng)具有靈活的擴(kuò)展能力，支持堆疊， 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 8 頁(yè), 共 59 頁(yè)具有強(qiáng)安全性，可以實(shí)現(xiàn) IP、MAC、端口的 綁定，支持 認(rèn)證，支持 DHCP Snooping ，防止非法 DHCP 接入和 ARP 攻擊。 校園網(wǎng)絡(luò)總體結(jié)構(gòu)校園網(wǎng)絡(luò)平臺(tái)將采用層次化通用結(jié)構(gòu)設(shè)計(jì)，采用核心層、匯聚層和接入層三層架構(gòu)，包括網(wǎng)絡(luò)骨干、數(shù)據(jù)中心、網(wǎng)絡(luò)出口、網(wǎng)絡(luò)接入、無(wú)線網(wǎng)絡(luò)等五大部分。中心交換機(jī)H 3 C S 7 5 0 2 E服務(wù)器系統(tǒng)用戶(hù)管理系統(tǒng)H 3 C C A M S匯聚交換機(jī)H 3 C S 5 5 0 0 E I接入交換機(jī)H 3 C S 5 1 0 0辦公樓千兆到桌面數(shù)據(jù)中心匯聚交換機(jī)H 3 C S 5 5 0 0 E I核心交換機(jī)H 3 C S 7 5 1 0 E網(wǎng)絡(luò)中心機(jī)房圖書(shū)館 、 實(shí)驗(yàn)樓等百兆到桌面接入交換機(jī)H 3 C E 1 5 2 / 1 2 6 A宿舍區(qū)百兆到桌面網(wǎng)絡(luò)出口教 育 科 研 網(wǎng)電 信 / 網(wǎng) 通出口路由器H 3 C S R 6 6 0 4應(yīng)用流量控制H 3 C A C G － 2 0 0 0 M宿舍區(qū)百兆到桌面匯聚交換機(jī)H 3 C S 5 5 0 0 E I匯聚交換機(jī)H 3 C S 5 5 0 0 E I內(nèi)置防火墻接入交換機(jī)H 3 C E 1 5 2 / 1 2 6 A校園網(wǎng)骨干無(wú)線網(wǎng)控制器A C 模塊無(wú)線 A P 無(wú)線 A P接入交換機(jī)H 3 C E 1 5 2 / 1 2 6 A網(wǎng)絡(luò)骨干由核心層和匯聚層組網(wǎng)，骨干網(wǎng)采用高可靠性組網(wǎng)，核心層配置兩臺(tái)高端核心交換機(jī)，匯聚層設(shè)備通過(guò)雙千兆鏈路實(shí)現(xiàn)與核心層設(shè)備的互聯(lián)，網(wǎng)絡(luò)骨干全面支持 IPv6，并提供萬(wàn)兆擴(kuò)展能力。校園網(wǎng)設(shè)立數(shù)據(jù)中心，實(shí)現(xiàn)各業(yè)務(wù)系統(tǒng)服務(wù)器的集中部署，數(shù)據(jù)中心網(wǎng)絡(luò)平臺(tái)獨(dú)立建設(shè)，配置 2 臺(tái)模塊 化交換機(jī)設(shè)備， 為服務(wù)器提供高性能、高可靠、可擴(kuò)展性的接入平臺(tái)，同時(shí)，通過(guò)核心交換機(jī)內(nèi)置高性能的防火墻模塊提供安全保護(hù)。 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 9 頁(yè), 共 59 頁(yè)網(wǎng)絡(luò)出口實(shí)現(xiàn)校園網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的互聯(lián)，包括與教育科、互聯(lián)網(wǎng)的互聯(lián)，網(wǎng)絡(luò)出口需實(shí)現(xiàn)校園網(wǎng)與外部網(wǎng)絡(luò)的隔離，網(wǎng)絡(luò)出口配置 1 臺(tái)路由器設(shè)備實(shí)現(xiàn)與外部網(wǎng)絡(luò)互聯(lián)，同時(shí)提供地址轉(zhuǎn)換等服務(wù)，配置 應(yīng) 用控制網(wǎng)關(guān)， 實(shí)現(xiàn)出口帶寬的管理，并對(duì)校園網(wǎng)用戶(hù)實(shí)現(xiàn) 行為審計(jì)等功能。網(wǎng)絡(luò)接入層提供校園網(wǎng)用戶(hù)的接入，并實(shí)現(xiàn)網(wǎng)絡(luò)接入的安全防御，如 ARP攻擊防護(hù)，同時(shí)，結(jié)合用戶(hù)管理系統(tǒng)實(shí)現(xiàn)對(duì)接入用戶(hù)認(rèn)證、 計(jì)費(fèi)等管理。為實(shí)現(xiàn)校園網(wǎng)絡(luò)接入的靈活性，提高網(wǎng)絡(luò)的覆蓋，校園網(wǎng)將實(shí)現(xiàn)辦公樓、 圖書(shū)館、實(shí)驗(yàn) 室、運(yùn)動(dòng)場(chǎng)館等公共區(qū)域的無(wú)線網(wǎng)絡(luò)覆蓋，無(wú)線網(wǎng)采用智能的 Fit AP組網(wǎng)。為便于網(wǎng)絡(luò)的管理和維護(hù)，校園網(wǎng)還將建設(shè) 1 套網(wǎng)絡(luò)管理系統(tǒng)，實(shí)現(xiàn)對(duì)校園網(wǎng)絡(luò)平臺(tái)設(shè)備的統(tǒng)一管理，網(wǎng)絡(luò)管理應(yīng)具有拓?fù)?、故障、性能、配置和圖形化設(shè)備管理等功能，為了實(shí)現(xiàn)更 為方便的通過(guò)遠(yuǎn)程方式對(duì)網(wǎng)絡(luò)的狀態(tài)進(jìn)行監(jiān)控和維護(hù)，網(wǎng)絡(luò) 系統(tǒng)采用 B/S 架構(gòu)。同時(shí)，為加強(qiáng)對(duì)接入用戶(hù)的控制和管理，系統(tǒng)還部署用戶(hù)認(rèn)證、 計(jì)費(fèi)管理系統(tǒng)。 核心層設(shè)計(jì)XX 學(xué)院主校區(qū)設(shè)立整個(gè)校園網(wǎng)的核心層，同時(shí)，在新機(jī)場(chǎng)實(shí)訓(xùn)基地設(shè)立分核心。對(duì) 于 XX 學(xué)院主校園的核心層，必 須提供高性能、高可靠的網(wǎng)絡(luò)結(jié)構(gòu)，推薦采用高可靠的多設(shè)備冗余的星型結(jié)構(gòu)。核心層配置 2 臺(tái)高端交換機(jī)作為核心交換機(jī)，兩臺(tái)交換機(jī)之間通過(guò)萬(wàn)兆鏈路進(jìn)行互聯(lián)，形成雙機(jī)復(fù)用，在兩臺(tái)中心交換機(jī)之間 啟用 VRRP 協(xié)議，這樣在其 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 10 頁(yè), 共 59 頁(yè)中一臺(tái)出現(xiàn)故障的時(shí)候，業(yè)務(wù)可以自動(dòng)切換到另外一臺(tái)。選用的核心交換機(jī)是從可靠性、性能、業(yè)務(wù)特性、安全特性以及可擴(kuò)展性等多個(gè)方面進(jìn)行綜合考慮。在可靠性方面，核心交換機(jī)應(yīng)達(dá)到 %的高可靠性，采用全模塊化設(shè)計(jì)，電源、風(fēng) 扇、引擎、業(yè)務(wù)模塊等均可實(shí)現(xiàn)熱插拔，支持電源、引擎等關(guān)鍵部件的1+1 冗余 熱備 份，支持 VRRP、路由優(yōu)雅（GR）等高可靠性協(xié)議，實(shí)現(xiàn)核心層的業(yè)務(wù)不間斷轉(zhuǎn)發(fā)。在性能方面，核心交換機(jī)應(yīng)采用 Crossbar 交換矩陣 ，采用全分布式轉(zhuǎn)發(fā)，支持萬(wàn)兆、千兆等高速以太網(wǎng)接口，所有接口實(shí)現(xiàn)線速 轉(zhuǎn)發(fā),保障校園網(wǎng)多種業(yè)務(wù)進(jìn)行并發(fā)交換。在業(yè)務(wù)特性方面，核心交換機(jī)支持豐富的 QoS 特性，可保障重要業(yè)務(wù)得到優(yōu)先轉(zhuǎn)發(fā)；支持 IPv6，可平穩(wěn)過(guò) 渡到下一代網(wǎng)絡(luò)；并且支持內(nèi)置防火墻、內(nèi)置無(wú)線控制器等多種業(yè)務(wù)功能插卡，可以進(jìn)行靈活的部署， 實(shí)現(xiàn)業(yè)務(wù)的擴(kuò)展和融合。在安全性方面，核心交換機(jī)應(yīng)既能保障自身的運(yùn)行安全，也能通過(guò)一些安全機(jī)制保障所承載業(yè)務(wù)的安全。基于上述因素，我們建議核心交換機(jī)采用 H3C S7510E 高端交換機(jī)。H3C S7500E 系列產(chǎn)品是杭州華三通信技術(shù)有限公司（以下簡(jiǎn)稱(chēng) H3C 公司）面向融合業(yè)務(wù)網(wǎng)絡(luò)推出的新一代高端多業(yè)務(wù)路由交換機(jī)，該產(chǎn)品基于 H3C 自主知識(shí)產(chǎn)權(quán)的 Comware V5 操作系統(tǒng)，融合了 MPLS、IPv網(wǎng)絡(luò)安全、無(wú) 線、無(wú)源光網(wǎng)絡(luò)等多種業(yè)務(wù)，提供不 間斷轉(zhuǎn)發(fā)、 優(yōu)雅重啟、 環(huán) 網(wǎng)保護(hù)等多種高可靠技術(shù)。S7510E 具有 10 個(gè)槽位，其中 8 個(gè)為業(yè)務(wù)模塊插槽，并支持豐富的接口模 塊，如萬(wàn)兆、千兆、百兆等類(lèi)型接口，可根據(jù)網(wǎng) 絡(luò)規(guī)模實(shí)現(xiàn) 在線擴(kuò)展。 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 11 頁(yè), 共 59 頁(yè)S7510E 具有高轉(zhuǎn)發(fā)性能，整機(jī)具有 1152Gbps 交換 容量、 773Mpps 轉(zhuǎn)發(fā)性能，同時(shí)，S7510E 采用全分布式 轉(zhuǎn)發(fā)，并采用最 長(zhǎng)匹配、逐包轉(zhuǎn)發(fā)的處理機(jī)制，保證業(yè)務(wù)的高速率轉(zhuǎn)發(fā)。S7510E 中配置的所有接口均可 實(shí)現(xiàn)線速轉(zhuǎn)發(fā)。選用的 H3C S7500E 交換 機(jī)具有以下特點(diǎn)：、 豐富的業(yè)務(wù)，適應(yīng)融合業(yè)務(wù)網(wǎng)絡(luò)發(fā)展趨勢(shì)?全面的 MPLS 業(yè)務(wù)能力H3C S7500E 所有產(chǎn)品均支持 VRFLite 特性，可以做為 MCE 設(shè)備使用；支持三層的 MPLS VPN 和二 層的 MPLS VPN（Martini、Kompella），可擴(kuò)展支持VPLS 技術(shù)；支持 MPLS OAM 特性，方便用 戶(hù)的管理和 維護(hù)；與 H3C MPLS VPN Manager 配合，實(shí)現(xiàn)圖形化的 MPLS 部署與維護(hù)。 ?線速的 IPv4/IPv6 業(yè)務(wù)能力H3C S7500E 支持 IPv4/IPv6 雙協(xié)議棧,支持多種 6to4 隧道技術(shù)，支持IPv4/IPv6 的組 播技術(shù)， 為 用戶(hù)提供完善的 IPv4/IPv6 解決方案；H3C S7500E 采用分布式體系架構(gòu)，實(shí)現(xiàn) IPv4/IPv6 業(yè)務(wù)的線速無(wú)阻塞轉(zhuǎn)發(fā)；H3C S7500E 已經(jīng)通過(guò)了信息產(chǎn)業(yè)部的 IPv6 入網(wǎng)認(rèn)證和 IPv6 Ready 第二 階段金色認(rèn)證，是成熟商用的IPv6 產(chǎn) 品。?有線無(wú)線一體化，有源無(wú)源一體化H3C S7500E 集成的無(wú)線控制模塊提供豐富的業(yè)務(wù) 能力，包括精細(xì)的用戶(hù)控制管理、完善的 RF 管理及安全機(jī)制、快速漫游、超 強(qiáng)的 QOS 和對(duì) IPV6 的支持等；無(wú)線控制模塊通過(guò)與安全策略服務(wù)器的聯(lián)動(dòng)，實(shí)現(xiàn)對(duì)無(wú)線接入用戶(hù)的端點(diǎn)準(zhǔn)入防御，提高了整網(wǎng)的安全性。H3C S7500E 是業(yè)界最高密度的以太網(wǎng)無(wú)源光網(wǎng) 絡(luò)（EPON）設(shè)備，單臺(tái)最大可接入 10240 個(gè) FTTH 用戶(hù)；H3C S7500E 是高可靠的 EPON 系統(tǒng)，采用分布式體系結(jié)構(gòu)、模塊化設(shè)計(jì)，主控板冗余熱備份、無(wú)源背板、冗余電源支持雙路供電，具有電信級(jí)可靠性。?支持 Portal 認(rèn)證H3C S7500E 支持大容量的 Portal 認(rèn)證功能，可以在數(shù)千用戶(hù)的局域網(wǎng)中作為 EAD 網(wǎng)關(guān) 設(shè)備， 為全網(wǎng)用戶(hù)提供 EAD 安全認(rèn)證功能；可以在大中型的校園網(wǎng) 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 12 頁(yè), 共 59 頁(yè)中擔(dān)任匯聚/核心設(shè)備的同時(shí)，為學(xué)生宿舍區(qū)的認(rèn)證計(jì)費(fèi) 提供 Portal 認(rèn)證功能。、 靈活的配置，適應(yīng)各種應(yīng)用場(chǎng)景?配線間融合業(yè)務(wù)網(wǎng)絡(luò)的最佳選擇H3C S7500E 針對(duì)配線間的需求定制開(kāi)發(fā)了 SA 板卡，單臺(tái)設(shè)備可以提供480 個(gè)千兆線速接口和 4 個(gè)萬(wàn)兆線速接口。H3C S7500E 支持端點(diǎn)準(zhǔn)入防御解決方案，解決終端安全問(wèn)題；內(nèi)置 2800W 電源直接提供 PoE 功能，對(duì) IP 語(yǔ)音和無(wú)線接入提供良好的支持。?政府電力城域網(wǎng)邊緣和匯聚的最佳選擇H3C S7500E 支持 VRFLite 特性，為用戶(hù)提供高可靠高性能的 MCE 設(shè)備；通過(guò)配置 Salience VITurbo 引擎，可以提供集中式 MPLS 業(yè)務(wù)功能，適合在城域網(wǎng)邊緣作為高性?xún)r(jià) PE 設(shè)備使用；通過(guò)配置 EA 類(lèi)板卡，可以提供分布式線速的MPLS 業(yè)務(wù)功能，適合在城域網(wǎng)匯聚層作為高性能的 PE 使用。?IPv6 網(wǎng)絡(luò)的最佳選擇H3C S7500E 所有 Salience VI 引擎都可以提供集中式 IPv6 功能，H3C S7500E 針對(duì) IPv4/IPv6 高性能的要求 還開(kāi)發(fā)了分布式 IPv4/IPv6 轉(zhuǎn)發(fā)的 SC 板卡，在整機(jī)滿(mǎn)配置狀態(tài)下實(shí)現(xiàn)線速無(wú)收斂，為高校用戶(hù)提供了高性能低成本的雙棧匯聚核心設(shè)備，同時(shí)也滿(mǎn)足其他行業(yè)用戶(hù) IPv6 Ready 的需求。、 全方位的安全保障，抵御多種網(wǎng)絡(luò)安全威脅?三平面安全保障機(jī)制H3C S7500E 提供完善的安全防護(hù)機(jī)制，可從控制、管理、轉(zhuǎn)發(fā)三平面全面保障網(wǎng)絡(luò)的安全：在控制平面，內(nèi)置協(xié)議報(bào)文攻擊識(shí)別模塊，防止 TCN、ARP 等協(xié)議報(bào)文攻擊，OSPF/BGP/ISIS 路由協(xié)議采用 MD5 驗(yàn)證，防止非法路由更新報(bào)文導(dǎo)致的網(wǎng)絡(luò)癱瘓；在管理平面，SNMPv3 網(wǎng)管協(xié)議， SSH V2，基于、AAA/Radius 的用 戶(hù)身份認(rèn)證以及分級(jí)的用 戶(hù)權(quán)限管理保證了設(shè)備管理的安全性；在轉(zhuǎn)發(fā)平面，支持 IP、VLAN 、MAC 和端口等多種組合精細(xì)綁定；支持 uRPF 單播反向路徑 轉(zhuǎn)發(fā) ，防止非法流量 訪問(wèn)網(wǎng) 絡(luò)，采用最長(zhǎng)匹配逐包轉(zhuǎn)發(fā)機(jī)制，有效抵御病毒的攻擊。?有線無(wú)線全面支持 EADH3C S7500E 是 EAD 端點(diǎn)準(zhǔn)入防御解決方案的重要組成部分，S7500E 可以 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 13 頁(yè), 共 59 頁(yè)動(dòng)態(tài)的接收來(lái)自安全策略服務(wù)器的控制策略，根據(jù)終端的安全狀態(tài)給予下發(fā)相應(yīng)的訪問(wèn)權(quán)限。H3C S7500E 既支持有線終端用戶(hù)的 EAD，也支持無(wú)線終端用戶(hù)的 EAD，能 夠做到終端安全防范無(wú)漏洞。?增強(qiáng)的 ACL 特性H3C S7500E 系列產(chǎn)品支持強(qiáng)大的 ACL 能力：支持標(biāo)準(zhǔn)和擴(kuò)展 ACL；支持基于 VLAN 的 ACL，方便用 戶(hù)配置， 節(jié)省 ACL 資源；支持出方向和入方向的ACL，每板最大可支持 9K 條 ACL，滿(mǎn)足金融等行業(yè)訪問(wèn)權(quán)限嚴(yán)格控制的需求。、 電信級(jí)的高可靠性，保障用戶(hù)業(yè)務(wù)長(zhǎng)期穩(wěn)定運(yùn)行?電信級(jí)高可靠性設(shè)計(jì)H3C S7500E 采用無(wú)單點(diǎn)故障設(shè)計(jì)，所有關(guān)鍵部件，如主控板、交 換網(wǎng)、電源和風(fēng)扇等采用冗余設(shè)計(jì)；無(wú)源背板避免了機(jī)箱出現(xiàn)單點(diǎn)故障；所有單板和電源模塊支持熱插拔功能；H3C S7500E 系列可以在惡劣的 環(huán)境下長(zhǎng)時(shí)間穩(wěn)定運(yùn)行，達(dá)到 ％的電信級(jí)可靠性。?多業(yè)務(wù)高可靠性運(yùn)行H3C S7500E 支持不間斷轉(zhuǎn)發(fā)和優(yōu)雅重啟，提供毫秒級(jí)的切換時(shí)間；支持等價(jià)路由，可幫助用戶(hù)建立多條等值路徑， 實(shí)現(xiàn)流量的 負(fù)載均衡及冗余備份；支持RRPP 快速環(huán) 網(wǎng)保護(hù)協(xié)議 ，提供小于 200ms 的環(huán)網(wǎng)故障保護(hù)；支持 SmartLink 協(xié)議，保證 雙上行網(wǎng)絡(luò)拓?fù)涞?業(yè)務(wù)毫秒級(jí)快速切換。通過(guò)上述技術(shù)， H3C S7500E 可以在承載多業(yè)務(wù)的情況下不間斷運(yùn)行，實(shí)現(xiàn)業(yè)務(wù)的永續(xù)。?支持熱補(bǔ)丁技術(shù)H3C S7500E 能夠在不重啟設(shè)備的前提下，通 過(guò)熱補(bǔ) 丁技術(shù)，在線修改軟件BUG，增加新的業(yè)務(wù)特性。H3C S7500E 提供控制補(bǔ)丁單元狀態(tài)切換的用戶(hù)命令，使用戶(hù)能夠方便的加載、激活、去激活、運(yùn)行或刪除補(bǔ)丁單元。通過(guò)熱補(bǔ)丁技術(shù)，降低了設(shè)備需要重啟的次數(shù)， 為客戶(hù)提供更長(zhǎng)的網(wǎng)絡(luò)正常工作時(shí)間。 數(shù)據(jù)中心設(shè)計(jì)為實(shí)現(xiàn)對(duì)校園網(wǎng)服務(wù)器統(tǒng)一管理和控制，同時(shí)考慮到擴(kuò)展性，服務(wù)器的接入獨(dú)立配置交換機(jī)實(shí)現(xiàn)，為保 證服務(wù)器接入的高可用性，配置 2 臺(tái)全千兆三層路由交換機(jī)，數(shù)據(jù)中心交換機(jī)通 過(guò) VRRP 協(xié)議實(shí)現(xiàn)互為熱備 和負(fù)載分擔(dān)。 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 14 頁(yè), 共 59 頁(yè)在選用的數(shù)據(jù)中心交換機(jī)時(shí)，我們充分考慮到應(yīng)具備以下功能和特性：在可靠性方面，數(shù)據(jù)中心交換機(jī)支持 VRRP 熱備份 協(xié)議， 為服務(wù)器提供可靠的接入。在性能方面，數(shù)據(jù)中心交換機(jī)所有端口線速轉(zhuǎn)發(fā)，保障圖書(shū)館多種業(yè)務(wù)進(jìn)行并發(fā)交換。在業(yè)務(wù)特性方面，數(shù)據(jù)中心交換機(jī)支持豐富的 QoS 特性，可保障重要 業(yè)務(wù)得到優(yōu)先轉(zhuǎn)發(fā)；支持 IPv6，可平 穩(wěn)過(guò)渡到下一代網(wǎng)絡(luò)。在安全性方面，數(shù)據(jù)中心交換機(jī)具有安全機(jī)制保障所承載業(yè)務(wù)的安全。在可擴(kuò)展性方面，數(shù)據(jù)中心交換機(jī)應(yīng)采用模塊化設(shè)備