【正文】 在審計過程中 并不主動在網(wǎng)絡中產(chǎn)生任何數(shù)據(jù)，且它對用戶原有各種網(wǎng)絡服務均無影響，也不會導致網(wǎng)絡性能的下降。 也正是由于以上原因，整個審計系統(tǒng)在網(wǎng)絡中的部署完全是透明的，從而保證了數(shù)據(jù)的可靠和真實性。系統(tǒng)啟動后，對所有網(wǎng)內(nèi)用戶進行自動識別，并以機器名、 IP 地址和MAC 地址三種方式在網(wǎng)絡中予以標識，用戶可以在網(wǎng)絡中任一臺上網(wǎng)機器通過瀏覽器進行管理，并制定相應的管理控制策略。 此外，為了內(nèi)網(wǎng)業(yè)務系統(tǒng)訪問安全，本次我們還在出口處部署了一臺 VPN 接入設備，用于遠程訪問內(nèi)網(wǎng)應用以及便于手持便攜設備訪問業(yè)務系統(tǒng)。 校園應用系統(tǒng) 建設 辦公自動化 辦公自動化系統(tǒng)為學校領導以及各職能部門提供了基于校園網(wǎng)的協(xié)同辦公環(huán)境，使學校辦公逐步向電子化、無紙化方向邁進。 項目名稱： 惠州市教育局東江高級中學信息化校園教學配套設備采購 招標編號 ： GMTC124HZHG0030JO 10 辦公自動化系統(tǒng)提供以下功能： 日常辦公 辦公郵件 信息發(fā)布 公文運轉(zhuǎn) 會議管理 討論園地 網(wǎng)絡教學是一種新型教育手段，它是為適應 21 世紀社會經(jīng)濟和科技發(fā)展對高素質(zhì)創(chuàng)造型人才的需要，創(chuàng)造一個在教師指導下的學生自主式學習的環(huán)境。 網(wǎng)絡教學資源 網(wǎng)絡教學的資源是開展網(wǎng)絡教學的基礎，它包括教師的電子講義、課件 、錄像、試題庫、以及各種數(shù)字化的教學素材。網(wǎng)絡化的教學資源與傳統(tǒng)的教學資源相比有很大的優(yōu)勢，教學資源的一份拷貝放在網(wǎng)絡上，就可以供所有授權的用戶同時學習，這將極大地提高資源的利用率，解決開放式教學資源緊缺的問題。另外，學生可以方便地獲取大量的教學資源，對于培養(yǎng)學生自主學習能力和創(chuàng)造性很有好處。 數(shù)字圖書館 數(shù)字圖書館是采用現(xiàn)代高新技術所支持的數(shù)字信息資源系統(tǒng)，是下一代因特網(wǎng)上信息資源的管理模式，將從根本上改變目前因特網(wǎng)上信息分散、不便使用的現(xiàn)狀。通俗地說，數(shù)字圖書館是沒有時空限制的、便于使用的、超大規(guī)模 的知識中心。 數(shù)字圖書館建設是以統(tǒng)一的標準和規(guī)范為基礎，以數(shù)字化的各種信息為底層，以分布式海量資源庫群為支撐，以智能檢索技術為手段，以電子商務為管理方式，以寬帶高速網(wǎng)絡為傳輸信道，將豐富多彩的多媒體信息傳遞到千家萬戶。它涉及數(shù)字信息資源的生產(chǎn)、加工、存儲、檢索、傳遞、保護、利用、歸檔、剔除等全過程。 3. 網(wǎng)絡建設方案 概述 東江高級中學現(xiàn)有校區(qū)為商校搬走之后留下的舊校區(qū)，商校原有的校園網(wǎng)絡設計合理，已經(jīng)按照核心層 匯聚層 接入層三層的方式部署，并在出口處配備了防火墻。此次校園網(wǎng)建設，僅僅是針 對部分新增加的布線進行網(wǎng)絡設備的擴容，并且在網(wǎng)絡出口處增加一臺用于和市教育局的主系統(tǒng)對接的網(wǎng)絡安全審計子系統(tǒng)設備、一臺 VPN 接入設備和一臺備用網(wǎng)關設備。 項目名稱： 惠州市教育局東江高級中學信息化校園教學配套設備采購 招標編號 ： GMTC124HZHG0030JO 11 網(wǎng)絡方案組網(wǎng)示意圖 整個網(wǎng)絡采用扁平化設計理念，分成核心層、匯聚層、接入層、服務器、存儲網(wǎng)絡。 ? Inter接入層： 對東江高級中學網(wǎng)絡結構 進行分析，決定在校園網(wǎng)絡中部署 網(wǎng)絡信息安全審計子系統(tǒng) ，用于和市教育局的 網(wǎng)絡信息安全審計主系統(tǒng)對接。并 部署一臺 VPN 接入設備，用于遠程訪問內(nèi)網(wǎng)應用以及便于手持便攜設備訪問業(yè)務系統(tǒng)。 ? 匯聚層： 匯聚層采用高性能的匯聚交換機，可以很好的滿足終端靈活接入的要求。 匯聚交換機為全千兆安全智能接入交換機，在提供高性能、高帶寬的同時，提供智能的流分類、完善的服務質(zhì)量（ QoS）和組播應用管理特性，并可以根據(jù)網(wǎng)絡的實際使用環(huán)境，實施靈活多樣的安全控制策略，有效防止和控制病毒傳播和網(wǎng)絡攻擊，控制非法用戶接入和使用網(wǎng)絡，保證合法 用戶合理化使用網(wǎng)絡資源，充分保障了網(wǎng)絡高效安全、網(wǎng)絡合理化使用和運營。 項目名稱： 惠州市教育局東江高級中學信息化校園教學配套設備采購 招標編號 ： GMTC124HZHG0030JO 12 有 CPU 保護控制機制，對發(fā)送到 CPU 的數(shù)據(jù)進行帶寬控制，以避免非法者對 CPU的惡意攻擊，充分保障交換機的安全。 為方便不同管理員的使用習慣，提供多種形式的管理工具，如 SNMP、 Tel、 Web和 Console 口等。 為各類型網(wǎng)絡提供完善的端到端的 QoS 服務質(zhì)量、靈活豐富的安全策略管理和基于策略的網(wǎng)管，最大化滿足高速、高效、安全、智能的企業(yè)網(wǎng)新需求。 ? 接入層： 接入層由二層交換機構成，可以滿足不同終端的接入要求，提供的 QinQ 技術保證 了每端口每 VLAN 的設計，在終端管理上提供了良好的技術保證。 接入層建設方案 由于 網(wǎng)絡信息安全審計子系統(tǒng)為指定設備，因此 ，本方案僅針對 SSL VPN 接入設備做出設計，具體內(nèi)容詳見“ 4. 安全建設方案”。 匯聚層建設方案 匯聚層采用匯聚交換機構建，根據(jù)網(wǎng)絡的具體情況和位置，要求產(chǎn)品具有以下特性： 具有全面的安全控制策略 能硬件實現(xiàn)端口與 MAC 地址和用戶 IP 地址的靈活綁定，嚴格限定端口上的用戶接入； 通過將端口設為保護端口即可簡單方便地隔離用戶之間信息互通，保障了信息安全，同 時不必占用 VLAN 資源； 專用的硬件防范 ARP 網(wǎng)關和 ARP 主機欺騙功能，有效遏制網(wǎng)絡中日益泛濫的 ARP網(wǎng)關欺騙和 ARP 主機欺騙的現(xiàn)象，保障用戶的正常上網(wǎng)； 支持 DHCP Snooping，可只允許信任端口的 DHCP 響應，防止未經(jīng)管理員許可私自架設 DHCP Server，擾亂 IP 地址的分配和管理，影響用戶的正常上網(wǎng)；并在 DHCP 監(jiān)聽的基礎上，通過動態(tài)監(jiān)測 ARP 和檢查源 IP，可有效防范 DHCP 動態(tài)分配 IP 環(huán)境下的 ARP主機欺騙和源 IP 地址的欺騙； 項目名稱： 惠州市教育局東江高級中學信息化校園教學配套設備采購 招標編號 ： GMTC124HZHG0030JO 13 基于源 IP 地址控制的 Tel 和 Web 設備訪問控制，增強了設備 網(wǎng)管的安全性，避免黑客惡意攻擊和控制設備； SSH（ Secure Shell）和 SNMPv3 可以通過在 Tel 和 SNMP 進程中加密管理信息，保證管理設備信息的安全性，防止黑客攻擊和控制設備，保護網(wǎng)絡免遭干擾和竊聽； 通過內(nèi)在的多種安全機制可有效防止和控制病毒傳播和網(wǎng)絡流量攻擊，控制非法用戶使用網(wǎng)絡，保證合法用戶合理化使用網(wǎng)絡，如端口靜態(tài)和動態(tài)的安全綁定、端口隔離、多種類型的硬件 ACL 控制（如專家級 ACL、時間 ACL、用戶自定義 ACL）、基于數(shù)據(jù)流的帶寬限速、用戶安全接入控制的多元素綁定等，滿足企業(yè)網(wǎng)、校 園網(wǎng)加強對訪問者進行控制、限制非授權用戶通信的需求。 豐富的組播特性 支持 IGMP 源端口檢查功能，有效地杜絕非法的組播源，提高網(wǎng)絡的安全性； 支持和識別 IGMPv1/v2 和 IGMPv3 全部版本的組播報文，適應不同組播環(huán)境，避免非法的組播數(shù)據(jù)流占用網(wǎng)絡帶寬，滿足組播安全應用的需要。 完善的 QoS 策略 以 DiffServ 標準為核心的 QoS 保障系統(tǒng)，支持 、 IP TOS、二到七層流過濾、SP、 WRR 等完整的 QoS 策略，實現(xiàn)基于全網(wǎng)系統(tǒng)多業(yè)務的 QoS 邏輯； 具備 MAC 流、 IP 流、應用流等多層流分類和流控制 能力，實現(xiàn)靈活精細的帶寬控制、轉(zhuǎn)發(fā)優(yōu)先級等多種流策略，帶寬限制粒度達 64Kbps，支持網(wǎng)絡根據(jù)不同的業(yè)務、以及不同業(yè)務所需要的服務質(zhì)量特性，提供差異化服務。 高可靠性 支持生成樹協(xié)議 、 、 ，完全保證快速收斂，提高容錯能力，保證網(wǎng)絡的穩(wěn)定運行和鏈路的負載均衡，合理使用網(wǎng)絡通道，提供冗余鏈路利用率； 支持 RLDP，可快速檢測鏈路的通斷和光纖鏈路的單向性，并支持端口下的環(huán)路檢測功能，防止端口下因私接 Hub 等設備形成的環(huán)路而導致網(wǎng)絡故障的現(xiàn)象。 方便易用易管理 采用靈活的千兆電接口 和千兆 SFP 口組合的形式，可最靈活滿足是否需要多個千兆鏈路上鏈或多個千兆服務器的連接，方便用戶根據(jù)網(wǎng)絡架構靈活選擇連接形式； 項目名稱： 惠州市教育局東江高級中學信息化校園教學配套設備采購 招標編號 ： GMTC124HZHG0030JO 14 支持設備間的混合堆疊，通過堆疊不僅可以統(tǒng)一管理和使用設備，降低管理成本，同時可以靈活地組合和擴展端口，平滑擴容，保障了網(wǎng)絡的高度靈活和可擴展，網(wǎng)絡管理更加簡單； 提供圖形化的安全策略管理平臺，支持安全策略自動同步下發(fā)、升級和維護功能，安全策略智能化，可大幅度提高交換機管理和配置效率，提高網(wǎng)絡安全； 網(wǎng)絡時間協(xié)議（ NTP）保證交換機時間的準確性，并與網(wǎng)絡中時間服務器時間統(tǒng)一化，方便日志 信息和流量信息的分析、故障診斷等管理； Syslog 方便各種日志信息的統(tǒng)一收集、維護、分析、故障定位、備份，便于管理員網(wǎng)絡維護和管理； 多端口同步監(jiān)控，通過一個端口即可同時監(jiān)控多個端口的數(shù)據(jù)流，可以只監(jiān)控輸入幀或只監(jiān)控輸出幀或雙向幀，大大提高維護效率； CLI 界面，方便高級用戶配置和使用； Javabased Web 管理方式，實現(xiàn)對交換機的可視化圖形界面配置和管理，智能人性化的配置界面，實現(xiàn)快速和高效地配置設備。 綠色節(jié)能設計 交換機采用無風扇靜音設計，功耗大幅降低，消除噪聲； 接入層建設方案 接 入層 交換機應 具有以下特性： 有靈活完備的安全控制策略 通過多種內(nèi)在的安全機制防止和控制病毒傳播和網(wǎng)絡流量攻擊，控制非法用戶使用網(wǎng)絡，保證合法用戶合理化使用網(wǎng)絡，如端口靜態(tài)和動態(tài)的安全綁定、端口隔離、多種類型的硬件 ACL 控制、基于數(shù)據(jù)流的帶寬限速、用戶接入控制的多元素綁定等，滿足學校加強對訪問者進行控制、限制非授權用戶通信的需求； 支持 WEB 認證模式，用戶使用瀏覽器即可完成認證過程。而認證后仍然能實現(xiàn) IP、MAC 交換機端口號等元素的綁定信息，保證只有合法的用戶才能進入網(wǎng)絡； 支持客戶端的認證模式（ ），在實現(xiàn)網(wǎng)絡安全的同時，可通過客戶端深入用戶項目名稱： 惠州市教育局東江高級中學信息化校園教學配套設備采購 招標編號 ： GMTC124HZHG0030JO 15 主機實現(xiàn)主機安全，跟 WEB 認證不同的是， 適用于嚴格控制網(wǎng)絡安全的區(qū)域； 靈活實現(xiàn)對進入網(wǎng)絡的用戶劃分訪問權限，并且通過用戶完整性檢查將對網(wǎng)絡安全有威脅的用戶隔離到安全區(qū)域，避免個別用戶的行為導致整網(wǎng)斷網(wǎng)，從而保護全網(wǎng)的安全； ARP 檢測功能有效遏制了網(wǎng)絡中日益泛濫的 ARP 網(wǎng)關欺騙和 ARP 主機欺騙的現(xiàn)象，保障了用戶的正常上網(wǎng)。無論在動態(tài)分配 IP 環(huán)境下，還是靜態(tài)分配 IP 環(huán)境下，均可實現(xiàn)自動綁定工作，大大的節(jié)省了人力成本，降低了管理開銷。而配合 ARP 速率 監(jiān)控控制端口 ARP 報文發(fā)送的速率，防止惡意利用掃描工具進行 ARP 泛洪占據(jù)網(wǎng)絡帶寬，導致網(wǎng)絡擁塞的攻擊行為； 支持 DHCP snooping，只允許信任端口的 DHCP 響應，防止未經(jīng)管理員許可私自架設DHCP Server，擾亂 IP 地址的分配和管理，影響用戶的正常上網(wǎng)的行為；并在 DHCP 監(jiān)聽的基礎上，通過動態(tài)監(jiān)測 ARP 和檢查源 IP，有效防范 DHCP 動態(tài)分配 IP 環(huán)境下的 ARP主機欺騙和源 IP 地址的欺騙； 面對日趨熱烈的 IPv6 應用，交換機支持基于硬件的 IPv6 ACL，即使在 IPv4 網(wǎng)絡內(nèi)有 IPv6用戶，也可輕松 在網(wǎng)絡邊緣實現(xiàn)對 IPv6用戶的訪問控制，既可允許網(wǎng)絡內(nèi) IPv4/IPv6用戶并存，也可以對 IPv6 用戶的訪問權限進行控制，比如限制對網(wǎng)絡敏感資源的訪問等； SSH（ Secure Shell）和 SNMPv3 技術通過在 Tel 和 SNMP 進程中加密管理信息，保證管理設備信息的安全性，防止黑客攻擊和控制設備?；谠?IP 地址控制的 Tel 訪問控制，更加精細的提供了設備管理控制，保證只有管理員配置的 IP 地址才能登陸交換機，增強了設備網(wǎng)管的安全性。 高可靠性 基礎網(wǎng)絡保護（ NFPP）通過將報文分類限速（管理類，轉(zhuǎn) 發(fā)類，協(xié)議類），并對報文進行攻擊監(jiān)測，雙重保障保護 CPU 和信道帶寬資源免受攻擊煩擾，保證報文的正常轉(zhuǎn)發(fā)以及協(xié)議狀態(tài)的正常，維護網(wǎng)絡的穩(wěn)定； 支持生成樹協(xié)議 、 、 ，完全保證快速收斂，提高容錯能力，保證網(wǎng)絡的穩(wěn)定運行和鏈路的負載均衡，合理使用網(wǎng)絡通道，提供冗余鏈路利用率； PortFast大大縮減了標準的 3050 秒的生成樹協(xié)議收斂時間，而 BPDU Guard 功能則避免了生成樹協(xié)議環(huán)路的出現(xiàn)； 支持 RLDP，可快速檢測鏈路的通斷和光纖