【正文】 學校網(wǎng)絡建設方案建議書學校網(wǎng)絡建設方案建議書目錄第一章 概述 3 XXX學校簡介 3 H3C公司簡介 3 設備性能要求 4第二章 XXXX學校局域網(wǎng)方案 7 網(wǎng)絡結構方案 7 核心交換機設備配置 8 樓層交換機設備配置 9 路由器設備配置 10 10 網(wǎng)絡管理配置 19第三章 網(wǎng)絡方案特點 21 高帶寬、高性能 21 高可靠性 21 良好安全的管理機制 23 優(yōu)良的QOS保證 23 滿足基本的運營、可管理和控制需求 23 23，基于復雜流的檢測和控制 24第五章 網(wǎng)絡安全方案 25 網(wǎng)絡安全技術概述 25 防火墻解決方案 26 用戶身份認證解決方案 31 VLAN規(guī)劃 32 IP地址規(guī)劃 35第六章 QOS方案 38 QOS技術介紹 38 服務模型 40 華為VRP的QOS特性及實現(xiàn)技術 42 業(yè)務分類及優(yōu)先級分析 55 服務質量（QoS）保證實施建議 56第七章 網(wǎng)絡管理 59第八章 設備簡介 64第一章 概述 XXX學校簡介 H3C公司簡介H3C技術有限公司（簡稱H3C）成立于2003年11月，運營總部設在杭州。H3C致力于IP技術的網(wǎng)絡設備與應用的研究、開發(fā)、生產(chǎn)、銷售及服務。2005年上繳國地稅及各項海關關稅、。2006年第一季度，同比增長70%。目前公司有員工近4800人。 作為全球領先的網(wǎng)絡設備和解決方案供應商，H3C不但擁有全線路由器和以太網(wǎng)交換機產(chǎn)品，還在網(wǎng)絡安全、IP存儲、IP語音 、IP視頻、IP監(jiān)控、WLAN、SOHO及軟件管理系統(tǒng)等領域穩(wěn)健成長。H3C實現(xiàn)了IP網(wǎng)絡建設從1－3層向4－7層的深度擴展，致力于從網(wǎng)絡設備供應商向全業(yè)務解決方案供應商的轉變，目前已廣泛服務于黨政、公檢法、財稅、教育、金融、電力、能源、交通、水利、制造業(yè)、公共事業(yè)、中小企業(yè)等廣大用戶。H3C注重自主研發(fā)和知識產(chǎn)權體系的建設，每年將銷售額的15％以上用于研發(fā)投入，并擁有基于全球化的技術、人才、經(jīng)驗和質量管理的研發(fā)平臺，在中國的北京、杭州、深圳以及印度的班加羅爾設有研發(fā)機構，在北京和杭州設有產(chǎn)品鑒定測試中心，全面實施CMM和集成產(chǎn)品開發(fā)流程（IPD）管理。2005年。成立近三年來，H3C已申請專利400余件，其中80％是發(fā)明專利。H3C始終把以客戶需求為核心作為企業(yè)發(fā)展的源動力，構建起規(guī)范、統(tǒng)一、易獲得的服務平臺，不僅在北京、東京、香港設立了客戶服務中心，建立了全球客戶問題統(tǒng)一處理平臺，超過300人的專職服務人員，全面保證為客戶提供高品質的服務。2006年，H3C正式推出H3Care服務品牌，向用戶提供更加規(guī)范、易得的支持服務和專業(yè)技術服務。 國際化是H3C的核心發(fā)展戰(zhàn)略。目前，在日本、美國、南非、韓國、泰國、俄羅斯、印度和馬來西亞成立了子公司，在歐洲、拉美、中東、亞太、非洲等地區(qū)設立代表處，產(chǎn)品和解決方案已經(jīng)廣泛覆蓋91個國家和地區(qū)。來自每個笑容的背后，H3C支撐起你對未來的期待，讓網(wǎng)絡為你創(chuàng)造價值，讓網(wǎng)絡成就你的夢想。H3C，您身邊的網(wǎng)絡專家！ 設備性能要求本次配置設備必須具有較高的性能，所有端口均需達到全線速轉發(fā)。 關于可靠性考慮到XXXX學校網(wǎng)絡是一個非常重要的教育網(wǎng)絡系統(tǒng)，XXXX系統(tǒng)大量的實時數(shù)據(jù)在網(wǎng)絡上傳遞，其網(wǎng)絡可靠性直接影響到XXXX學校正常教學活動的進行，而且由于所要建設的是集整個數(shù)據(jù)通信主干網(wǎng)絡系統(tǒng)，任何網(wǎng)絡的單點失敗都可能對XXXX學校的正常教學活動帶來影響。所有整個網(wǎng)絡的拓撲設計、設備配置、協(xié)議支持都必須充分體現(xiàn)出對高可靠性的支持，不允許網(wǎng)絡有任何的間斷。所以本次投標方案必須滿足：1）所有高端、中端交換機必須具備高可靠性，采用分布式架構；2）所有高端、中端交換機必須支持冗余電源；3）所有高端、中端交換機必須配置分布式三層交換、分布式策略執(zhí)行，即配置的每個模塊必須支持分布式三層交換和分布式策略實施功能；這些策略包括ACL（Access control List，訪問控制列表）、QoS（服務質量保證）等；4）所有高端、中端交換機必須具有提供多層次（物理層、數(shù)據(jù)鏈路層、網(wǎng)絡層）恢復機制的能力；。1）所有高端交換機的主、備管理引擎模塊必須具有相同的管理、交換和路由能力，并使用同一版本的微代碼；2）所有高端交換機必須支持第3層交換協(xié)議和線速運行； 關于兼容性1）要求交換機必須能和原有的網(wǎng)絡系統(tǒng)無縫隔合；2）高端交換機中同一層次交換機的管理引擎模塊、交換矩陣模塊、管理模塊、10/100Mbps以太網(wǎng)交換模塊、光纖千兆以太網(wǎng)交換模塊等，盡量保證每種模塊是同一型號；3）所有高、中、低端交換機采用的10/100/1000Mbps以太網(wǎng)交換模塊，必須是RJ45的端口形式。 關于擴展性1）任何一個硬件設備所需使用的軟件或軟硬件升級許可證必須是唯一的（有授權使用數(shù)量的，其授權使用數(shù)必須不小于硬件設備數(shù)量），以保證在使用的過程中不會發(fā)生沖突；2）要求所有的高、中、低端千兆三層交換機具備高級路由功能、支持RIPRIP2，OSPF等路由協(xié)議，如有必要配置相應的軟件；3）要求所有的低端百兆二層交換機具備VLAN劃分及SNMP管理等功能。 關于投資保護系統(tǒng)設計采用成熟的計算機技術和網(wǎng)絡通信技術，按照國際標準和工業(yè)界標準建立一個獨立于應用，長期穩(wěn)定和可靠，具有靈活性的開放系統(tǒng)，并能以較好的性能價格比實現(xiàn)與現(xiàn)有系統(tǒng)互連和向將來技術升級。 關于可管理性和可維護性在一個網(wǎng)絡系統(tǒng)中，網(wǎng)絡管理已經(jīng)越來越受到人們的重視。因為它關系到網(wǎng)絡系統(tǒng)的使用效率、維護、監(jiān)控甚至系統(tǒng)資源的再分配。網(wǎng)絡管理對系統(tǒng)的重要性越來越大，這是由于系統(tǒng)對網(wǎng)絡環(huán)境的依賴性不斷增加而引起的，一方面由于網(wǎng)絡中斷而使業(yè)務被迫中止造成的損失會越來越大；另一方面由于越來越多的用戶連入網(wǎng)絡，對網(wǎng)絡管理的要求提高了，以確保網(wǎng)絡達到最高的效率。 關于開放性和先進性在大型網(wǎng)中，用戶的環(huán)境千差萬別，應用平臺和硬件平臺各不相同，因此，遵循開放式標準是實現(xiàn)網(wǎng)絡互連的最根本的保證。系統(tǒng)具有開放性，意味著遵循一個大多數(shù)計算機系統(tǒng)所共同遵循的標準，園區(qū)主干網(wǎng)絡的特點注定系統(tǒng)應具備有與其它系統(tǒng)和網(wǎng)絡互操作和互聯(lián)的能力。以實現(xiàn)內(nèi)部各系統(tǒng)之間，以及有關其它領域的交流如：與Internet互連，與各外地分支網(wǎng)絡的互連等。開放性還意味著更多的選擇和最佳的性能價格比，有利于在眾多滿足同一開放性標準的硬件、軟件系統(tǒng)中選擇最符合要求的產(chǎn)品。 關于安全性1）所有交換機必須支持VLAN，支持多種VLAN策略，；2）預防廣播風暴，防止因為病毒或入侵等原因引導起的網(wǎng)絡不正常，而導致整個網(wǎng)絡癱瘓；3）保證服務器能夠正常的運行，不受任何外部人為或非人為技術干擾影響；4）服務器的訪問控制和保護，保證服務器不受到網(wǎng)絡的攻擊，拒絕惡意的網(wǎng)絡攻擊。使服務器能夠正常穩(wěn)定的運行。第二章 XXXX學校局域網(wǎng)方案根據(jù)XXXX現(xiàn)網(wǎng)的需求分析，我們在XXXX網(wǎng)絡系統(tǒng)設計中包括：核心交換機設備的部署和選型以及樓層分支交換機的部署和選型，滿足學校400多個信息點的網(wǎng)絡系統(tǒng)互聯(lián)的需求。 網(wǎng)絡結構方案對于XXXX學校網(wǎng)絡類似的校園網(wǎng)網(wǎng)絡應用，目前的技術趨勢和業(yè)界的潮流已經(jīng)完全確定，主干連接使用千兆以太網(wǎng)或鏈路聚合技術使網(wǎng)絡連接主干帶寬達到理想的帶寬，客戶端設備接入網(wǎng)絡使用10/100M自適應以太網(wǎng)連接接入網(wǎng)絡，服務器等提供共享應用設備使用1000M光纖或雙絞線連接接入網(wǎng)絡主干網(wǎng)。局域網(wǎng)中普遍采用VLAN劃分減少局域網(wǎng)中的廣播域，提高以太網(wǎng)絡的工作效率，使用三層交換技術實現(xiàn)VLAN之間的網(wǎng)絡互通，使用VLAN和三層路由相結合實現(xiàn)對不同網(wǎng)段的安全控制策略。VLAN劃分方式普遍采用基于端口的VLAN劃分，通過TRUNK協(xié)議實現(xiàn)跨主干網(wǎng)的VLAN劃分。主干連接可以使用鏈路聚合技術方便的實現(xiàn)主干網(wǎng)的帶寬擴充，，可以實現(xiàn)在以太網(wǎng)上開展對服務質量敏感的應用。XXXX網(wǎng)絡結構為星形結構，從核心機房到樓層配線間鋪設多模光纜。網(wǎng)絡方案圖如下： 核心交換機設備配置本方案中我們建議內(nèi)網(wǎng)核心配置2臺H3C公司大容量、高性能的H3C S8512萬兆核心路由交換機，H3C S8512萬兆路由交換機，采用分布式處理架構，逐包轉發(fā)的處理機制，具有720Gbps交換容量和432Mpps的包轉發(fā)能力，設備具有12個業(yè)務插槽，支持10 GE接口，具有極高的性能和可擴展能力。S8512基于最長匹配的交換方式，能夠保證所有報文均獲得相同的轉發(fā)性能，解決了很多交換機采用精確匹配交換技術所帶來的路由震蕩等問題，轉發(fā)效率高，保證網(wǎng)絡的穩(wěn)定、可靠。建議2臺S8512核心萬兆路由交換機均配置冗余的路由處理引擎，每臺配置48口10/100/1000自適應電接口模塊1塊，用于服務器雙絞線網(wǎng)卡和主干路由器的連接；每臺各配置24端口千兆以太網(wǎng)光接口業(yè)務板1塊和12端口千兆以太網(wǎng)光接口業(yè)務板1塊，通過插入SFP子卡提供千兆連接。每臺配置22個SFP多模GE子卡用于連接樓層交換機和網(wǎng)上直報交換機。核心交換機之間通過1000M捆綁進行互聯(lián)，以提高核心骨干帶寬。今后可以通過萬兆接口進行擴展，提升骨干帶寬。核心交換機配置47層內(nèi)容交換組件，提供服務器負載均衡功能，滿足XXXX各類業(yè)務開展的需求。具體設備配置見報價清單部分。 樓層交換機設備配置本方案中我們建議配置H3C公司的S3928PSI路由交換機，總共12臺，每臺交換機配置2個千兆多模接口通過光纖分別與內(nèi)網(wǎng)核心交換機S8512連接。S3928PSI交換機提供24口百兆接入能力和4個1000M SFP擴展模塊，設備支持IRF智能堆疊，擴展性好。H3C174。 S3900系列安全智能三層交換機是H3C公司為充分滿足安全IP交換和高QOS保證的需求而推出的智能型以太網(wǎng)交換機。該系列交換機提供完善的路由協(xié)議、VLAN控制、流量交換、QOS保證的機制，以及完備的業(yè)務控制和用戶管理能力。這些智能化的特點非常適合作為關注業(yè)務管理控制和網(wǎng)絡安全保障能力的辦公網(wǎng)、業(yè)務網(wǎng)和駐地網(wǎng)的匯聚和接入三層交換機。具體設備配置見報價清單部分。注：三層交換機作為接入的優(yōu)勢：三層到桌面一個最直接的優(yōu)點就是個人用戶安全性更高。目前局域網(wǎng)大部分均采用私網(wǎng)地址，IP地址資源一般都比較充裕，采用30位掩碼劃分網(wǎng)段，一個用戶一個網(wǎng)段，并且一個網(wǎng)段內(nèi)最多也只能接入一個用戶，所有用戶之間的互訪均通過三層交換實現(xiàn)。采用這種三層到桌面的方式可以有效隔離用戶之間的二層報文，包括二層廣播報文以及二層的攻擊報文，可以極大提高用戶的個人安全。同時，采用一個用戶一個網(wǎng)段、一個網(wǎng)段最多一個用戶的策略，可以徹底杜絕用戶IP地址假冒的問題，因為不同端口的網(wǎng)段均不相同，即使有人假冒他人的IP地址也無法實現(xiàn)網(wǎng)絡接入。網(wǎng)絡整體安全性提高。通過三層到桌面的方式，整個網(wǎng)絡中將不再有二層報文，二層攻擊事件徹底杜絕，設備與設備之間的級連鏈路上將只有三層報文流通，極大提高了網(wǎng)絡帶寬的利用率與網(wǎng)絡的安全性。 路由器設備配置主干路由器擔負著上海XXXX網(wǎng)絡和外界網(wǎng)絡連通的重任，必須具備很高的可靠性，穩(wěn)定性、強大的性能和豐富的路由協(xié)議、策略支持，因此建議采用H3C公司H3C174。 AR4680(以下簡稱AR4680)高端多業(yè)務路由器，滿足出口節(jié)點多樣性的需求。AR4680多業(yè)務路由器是H3C系列路由器中的中高端產(chǎn)品，設備具有先進的轉發(fā)體系結構和靈活的組網(wǎng)能力，具有強大的專線接入及VPN業(yè)務能力，提供豐富的業(yè)務功能，具備完善QOS和安全特性。設備支持高性能轉發(fā)能力，最高轉發(fā)速率達到1Mpps。AR4680通過1000M接口與核心交換機互聯(lián)，同時配置E1 2M接口連接分支機構的網(wǎng)絡。具體設備配置見報價清單部分。如上圖所示，無線網(wǎng)絡主要由兩方面設備組成，一是部署在教學樓各樓層的無線AP， WA2210AG，該設備可實現(xiàn)最大54Mbps傳輸速率，且每臺AP支持20~30個用戶的無線接入，傳輸距離較原大，能夠覆蓋更大的范圍。WA2210AG AP支持Fat和Fit兩種工作模式，根據(jù)網(wǎng)絡規(guī)劃的需要，可以通過命令行靈活地在Fat和Fit兩種工作模式中切換。本次復旦附中項目既是將WA2210AG產(chǎn)品配合S7500E無線控制器插卡，作為瘦AP（Fit AP）使用。另外，其他各樓，如問思樓等，每層樓部署2~4個，提供54Mbps的接入帶寬，作為有線網(wǎng)絡的有力補充，供教師及學生無線上網(wǎng)使用。無線網(wǎng)絡的另一組成部分即無線控制器插卡，該設備默認可支持128個無線Fit AP的統(tǒng)一集中管理，并可擴充至最大640個無線AP，提供用戶無縫漫游（切換時間小于50ms）、AP零配置、用戶接入負載均衡以及智能射頻技術等。無線控制器插卡作為模塊部署在核心交換上，是一個理想的有線無線一體化設計方案，即實現(xiàn)了一體化的硬件設備（減少網(wǎng)絡單點故障），實現(xiàn)了一體化的管理（可用一套網(wǎng)絡管理軟件實現(xiàn)對有線和無線網(wǎng)絡的統(tǒng)一管理），也實現(xiàn)了一體化安全（可利用交換機的ACL、ARP防御、DDOS防御等功能，保護無線網(wǎng)絡的安全）。本次項目中，將無線控制器插卡插入核心交換機S7500E，部署在中心機房，將教學樓內(nèi)的無線AP部署在各樓層的過道等處，每個AP均通過6類線，直接通往三樓的中心機房，最后連接在POE交換機的24個10/100BaseT接口上，這樣節(jié)省了AP端的強電布設的成本。另外，還需要注意的是，PoE交換機與AP之間連接6類線的距離按照布線標準90米原則，如超過90米，則會出現(xiàn)信號衰減的情況。 H3C無線網(wǎng)絡技術特點u H3C解決無線解決方案優(yōu)勢1) 國內(nèi)市場占有率第一位，%，高端應用案例眾多，如上海環(huán)球金融中心酒店無線覆蓋、上海新天地無線覆蓋、國家體育場鳥巢、國家大劇院等。2) 實現(xiàn)有線/無線一體化，通過一體化硬件、一體化管理及一體化安全，將有線網(wǎng)絡及無線網(wǎng)絡進行融合，可實現(xiàn)統(tǒng)一認證、統(tǒng)一管理及統(tǒng)一安全規(guī)劃。u 智能射頻管理每個AP上電時，無線控制器會根據(jù)AP的鄰居關系動態(tài)調整AP工作的信道