【正文】 學(xué)校網(wǎng)絡(luò)建設(shè)方案建議書學(xué)校網(wǎng)絡(luò)建設(shè)方案建議書目錄第一章 概述 3 XXX學(xué)校簡(jiǎn)介 3 H3C公司簡(jiǎn)介 3 設(shè)備性能要求 4第二章 XXXX學(xué)校局域網(wǎng)方案 7 網(wǎng)絡(luò)結(jié)構(gòu)方案 7 核心交換機(jī)設(shè)備配置 8 樓層交換機(jī)設(shè)備配置 9 路由器設(shè)備配置 10 10 網(wǎng)絡(luò)管理配置 19第三章 網(wǎng)絡(luò)方案特點(diǎn) 21 高帶寬、高性能 21 高可靠性 21 良好安全的管理機(jī)制 23 優(yōu)良的QOS保證 23 滿足基本的運(yùn)營(yíng)、可管理和控制需求 23 23，基于復(fù)雜流的檢測(cè)和控制 24第五章 網(wǎng)絡(luò)安全方案 25 網(wǎng)絡(luò)安全技術(shù)概述 25 防火墻解決方案 26 用戶身份認(rèn)證解決方案 31 VLAN規(guī)劃 32 IP地址規(guī)劃 35第六章 QOS方案 38 QOS技術(shù)介紹 38 服務(wù)模型 40 華為VRP的QOS特性及實(shí)現(xiàn)技術(shù) 42 業(yè)務(wù)分類及優(yōu)先級(jí)分析 55 服務(wù)質(zhì)量（QoS）保證實(shí)施建議 56第七章 網(wǎng)絡(luò)管理 59第八章 設(shè)備簡(jiǎn)介 64第一章 概述 XXX學(xué)校簡(jiǎn)介 H3C公司簡(jiǎn)介H3C技術(shù)有限公司（簡(jiǎn)稱H3C）成立于2003年11月，運(yùn)營(yíng)總部設(shè)在杭州。H3C致力于IP技術(shù)的網(wǎng)絡(luò)設(shè)備與應(yīng)用的研究、開發(fā)、生產(chǎn)、銷售及服務(wù)。2005年上繳國(guó)地稅及各項(xiàng)海關(guān)關(guān)稅、。2006年第一季度，同比增長(zhǎng)70%。目前公司有員工近4800人。 作為全球領(lǐng)先的網(wǎng)絡(luò)設(shè)備和解決方案供應(yīng)商，H3C不但擁有全線路由器和以太網(wǎng)交換機(jī)產(chǎn)品，還在網(wǎng)絡(luò)安全、IP存儲(chǔ)、IP語音 、IP視頻、IP監(jiān)控、WLAN、SOHO及軟件管理系統(tǒng)等領(lǐng)域穩(wěn)健成長(zhǎng)。H3C實(shí)現(xiàn)了IP網(wǎng)絡(luò)建設(shè)從1－3層向4－7層的深度擴(kuò)展，致力于從網(wǎng)絡(luò)設(shè)備供應(yīng)商向全業(yè)務(wù)解決方案供應(yīng)商的轉(zhuǎn)變，目前已廣泛服務(wù)于黨政、公檢法、財(cái)稅、教育、金融、電力、能源、交通、水利、制造業(yè)、公共事業(yè)、中小企業(yè)等廣大用戶。H3C注重自主研發(fā)和知識(shí)產(chǎn)權(quán)體系的建設(shè)，每年將銷售額的15％以上用于研發(fā)投入，并擁有基于全球化的技術(shù)、人才、經(jīng)驗(yàn)和質(zhì)量管理的研發(fā)平臺(tái)，在中國(guó)的北京、杭州、深圳以及印度的班加羅爾設(shè)有研發(fā)機(jī)構(gòu)，在北京和杭州設(shè)有產(chǎn)品鑒定測(cè)試中心，全面實(shí)施CMM和集成產(chǎn)品開發(fā)流程（IPD）管理。2005年。成立近三年來，H3C已申請(qǐng)專利400余件，其中80％是發(fā)明專利。H3C始終把以客戶需求為核心作為企業(yè)發(fā)展的源動(dòng)力，構(gòu)建起規(guī)范、統(tǒng)一、易獲得的服務(wù)平臺(tái)，不僅在北京、東京、香港設(shè)立了客戶服務(wù)中心，建立了全球客戶問題統(tǒng)一處理平臺(tái)，超過300人的專職服務(wù)人員，全面保證為客戶提供高品質(zhì)的服務(wù)。2006年，H3C正式推出H3Care服務(wù)品牌，向用戶提供更加規(guī)范、易得的支持服務(wù)和專業(yè)技術(shù)服務(wù)。 國(guó)際化是H3C的核心發(fā)展戰(zhàn)略。目前，在日本、美國(guó)、南非、韓國(guó)、泰國(guó)、俄羅斯、印度和馬來西亞成立了子公司，在歐洲、拉美、中東、亞太、非洲等地區(qū)設(shè)立代表處，產(chǎn)品和解決方案已經(jīng)廣泛覆蓋91個(gè)國(guó)家和地區(qū)。來自每個(gè)笑容的背后，H3C支撐起你對(duì)未來的期待，讓網(wǎng)絡(luò)為你創(chuàng)造價(jià)值，讓網(wǎng)絡(luò)成就你的夢(mèng)想。H3C，您身邊的網(wǎng)絡(luò)專家！ 設(shè)備性能要求本次配置設(shè)備必須具有較高的性能，所有端口均需達(dá)到全線速轉(zhuǎn)發(fā)。 關(guān)于可靠性考慮到XXXX學(xué)校網(wǎng)絡(luò)是一個(gè)非常重要的教育網(wǎng)絡(luò)系統(tǒng)，XXXX系統(tǒng)大量的實(shí)時(shí)數(shù)據(jù)在網(wǎng)絡(luò)上傳遞，其網(wǎng)絡(luò)可靠性直接影響到XXXX學(xué)校正常教學(xué)活動(dòng)的進(jìn)行，而且由于所要建設(shè)的是集整個(gè)數(shù)據(jù)通信主干網(wǎng)絡(luò)系統(tǒng)，任何網(wǎng)絡(luò)的單點(diǎn)失敗都可能對(duì)XXXX學(xué)校的正常教學(xué)活動(dòng)帶來影響。所有整個(gè)網(wǎng)絡(luò)的拓?fù)湓O(shè)計(jì)、設(shè)備配置、協(xié)議支持都必須充分體現(xiàn)出對(duì)高可靠性的支持，不允許網(wǎng)絡(luò)有任何的間斷。所以本次投標(biāo)方案必須滿足：1）所有高端、中端交換機(jī)必須具備高可靠性，采用分布式架構(gòu)；2）所有高端、中端交換機(jī)必須支持冗余電源；3）所有高端、中端交換機(jī)必須配置分布式三層交換、分布式策略執(zhí)行，即配置的每個(gè)模塊必須支持分布式三層交換和分布式策略實(shí)施功能；這些策略包括ACL（Access control List，訪問控制列表）、QoS（服務(wù)質(zhì)量保證）等；4）所有高端、中端交換機(jī)必須具有提供多層次（物理層、數(shù)據(jù)鏈路層、網(wǎng)絡(luò)層）恢復(fù)機(jī)制的能力；。1）所有高端交換機(jī)的主、備管理引擎模塊必須具有相同的管理、交換和路由能力，并使用同一版本的微代碼；2）所有高端交換機(jī)必須支持第3層交換協(xié)議和線速運(yùn)行； 關(guān)于兼容性1）要求交換機(jī)必須能和原有的網(wǎng)絡(luò)系統(tǒng)無縫隔合；2）高端交換機(jī)中同一層次交換機(jī)的管理引擎模塊、交換矩陣模塊、管理模塊、10/100Mbps以太網(wǎng)交換模塊、光纖千兆以太網(wǎng)交換模塊等，盡量保證每種模塊是同一型號(hào)；3）所有高、中、低端交換機(jī)采用的10/100/1000Mbps以太網(wǎng)交換模塊，必須是RJ45的端口形式。 關(guān)于擴(kuò)展性1）任何一個(gè)硬件設(shè)備所需使用的軟件或軟硬件升級(jí)許可證必須是唯一的（有授權(quán)使用數(shù)量的，其授權(quán)使用數(shù)必須不小于硬件設(shè)備數(shù)量），以保證在使用的過程中不會(huì)發(fā)生沖突；2）要求所有的高、中、低端千兆三層交換機(jī)具備高級(jí)路由功能、支持RIPRIP2，OSPF等路由協(xié)議，如有必要配置相應(yīng)的軟件；3）要求所有的低端百兆二層交換機(jī)具備VLAN劃分及SNMP管理等功能。 關(guān)于投資保護(hù)系統(tǒng)設(shè)計(jì)采用成熟的計(jì)算機(jī)技術(shù)和網(wǎng)絡(luò)通信技術(shù)，按照國(guó)際標(biāo)準(zhǔn)和工業(yè)界標(biāo)準(zhǔn)建立一個(gè)獨(dú)立于應(yīng)用，長(zhǎng)期穩(wěn)定和可靠，具有靈活性的開放系統(tǒng)，并能以較好的性能價(jià)格比實(shí)現(xiàn)與現(xiàn)有系統(tǒng)互連和向?qū)砑夹g(shù)升級(jí)。 關(guān)于可管理性和可維護(hù)性在一個(gè)網(wǎng)絡(luò)系統(tǒng)中，網(wǎng)絡(luò)管理已經(jīng)越來越受到人們的重視。因?yàn)樗P(guān)系到網(wǎng)絡(luò)系統(tǒng)的使用效率、維護(hù)、監(jiān)控甚至系統(tǒng)資源的再分配。網(wǎng)絡(luò)管理對(duì)系統(tǒng)的重要性越來越大，這是由于系統(tǒng)對(duì)網(wǎng)絡(luò)環(huán)境的依賴性不斷增加而引起的，一方面由于網(wǎng)絡(luò)中斷而使業(yè)務(wù)被迫中止造成的損失會(huì)越來越大；另一方面由于越來越多的用戶連入網(wǎng)絡(luò)，對(duì)網(wǎng)絡(luò)管理的要求提高了，以確保網(wǎng)絡(luò)達(dá)到最高的效率。 關(guān)于開放性和先進(jìn)性在大型網(wǎng)中，用戶的環(huán)境千差萬別，應(yīng)用平臺(tái)和硬件平臺(tái)各不相同，因此，遵循開放式標(biāo)準(zhǔn)是實(shí)現(xiàn)網(wǎng)絡(luò)互連的最根本的保證。系統(tǒng)具有開放性，意味著遵循一個(gè)大多數(shù)計(jì)算機(jī)系統(tǒng)所共同遵循的標(biāo)準(zhǔn)，園區(qū)主干網(wǎng)絡(luò)的特點(diǎn)注定系統(tǒng)應(yīng)具備有與其它系統(tǒng)和網(wǎng)絡(luò)互操作和互聯(lián)的能力。以實(shí)現(xiàn)內(nèi)部各系統(tǒng)之間，以及有關(guān)其它領(lǐng)域的交流如：與Internet互連，與各外地分支網(wǎng)絡(luò)的互連等。開放性還意味著更多的選擇和最佳的性能價(jià)格比，有利于在眾多滿足同一開放性標(biāo)準(zhǔn)的硬件、軟件系統(tǒng)中選擇最符合要求的產(chǎn)品。 關(guān)于安全性1）所有交換機(jī)必須支持VLAN，支持多種VLAN策略，；2）預(yù)防廣播風(fēng)暴，防止因?yàn)椴《净蛉肭值仍蛞龑?dǎo)起的網(wǎng)絡(luò)不正常，而導(dǎo)致整個(gè)網(wǎng)絡(luò)癱瘓；3）保證服務(wù)器能夠正常的運(yùn)行，不受任何外部人為或非人為技術(shù)干擾影響；4）服務(wù)器的訪問控制和保護(hù)，保證服務(wù)器不受到網(wǎng)絡(luò)的攻擊，拒絕惡意的網(wǎng)絡(luò)攻擊。使服務(wù)器能夠正常穩(wěn)定的運(yùn)行。第二章 XXXX學(xué)校局域網(wǎng)方案根據(jù)XXXX現(xiàn)網(wǎng)的需求分析，我們?cè)赬XXX網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)中包括：核心交換機(jī)設(shè)備的部署和選型以及樓層分支交換機(jī)的部署和選型，滿足學(xué)校400多個(gè)信息點(diǎn)的網(wǎng)絡(luò)系統(tǒng)互聯(lián)的需求。 網(wǎng)絡(luò)結(jié)構(gòu)方案對(duì)于XXXX學(xué)校網(wǎng)絡(luò)類似的校園網(wǎng)網(wǎng)絡(luò)應(yīng)用，目前的技術(shù)趨勢(shì)和業(yè)界的潮流已經(jīng)完全確定，主干連接使用千兆以太網(wǎng)或鏈路聚合技術(shù)使網(wǎng)絡(luò)連接主干帶寬達(dá)到理想的帶寬，客戶端設(shè)備接入網(wǎng)絡(luò)使用10/100M自適應(yīng)以太網(wǎng)連接接入網(wǎng)絡(luò)，服務(wù)器等提供共享應(yīng)用設(shè)備使用1000M光纖或雙絞線連接接入網(wǎng)絡(luò)主干網(wǎng)。局域網(wǎng)中普遍采用VLAN劃分減少局域網(wǎng)中的廣播域，提高以太網(wǎng)絡(luò)的工作效率，使用三層交換技術(shù)實(shí)現(xiàn)VLAN之間的網(wǎng)絡(luò)互通，使用VLAN和三層路由相結(jié)合實(shí)現(xiàn)對(duì)不同網(wǎng)段的安全控制策略。VLAN劃分方式普遍采用基于端口的VLAN劃分，通過TRUNK協(xié)議實(shí)現(xiàn)跨主干網(wǎng)的VLAN劃分。主干連接可以使用鏈路聚合技術(shù)方便的實(shí)現(xiàn)主干網(wǎng)的帶寬擴(kuò)充，，可以實(shí)現(xiàn)在以太網(wǎng)上開展對(duì)服務(wù)質(zhì)量敏感的應(yīng)用。XXXX網(wǎng)絡(luò)結(jié)構(gòu)為星形結(jié)構(gòu)，從核心機(jī)房到樓層配線間鋪設(shè)多模光纜。網(wǎng)絡(luò)方案圖如下： 核心交換機(jī)設(shè)備配置本方案中我們建議內(nèi)網(wǎng)核心配置2臺(tái)H3C公司大容量、高性能的H3C S8512萬兆核心路由交換機(jī)，H3C S8512萬兆路由交換機(jī)，采用分布式處理架構(gòu)，逐包轉(zhuǎn)發(fā)的處理機(jī)制，具有720Gbps交換容量和432Mpps的包轉(zhuǎn)發(fā)能力，設(shè)備具有12個(gè)業(yè)務(wù)插槽，支持10 GE接口，具有極高的性能和可擴(kuò)展能力。S8512基于最長(zhǎng)匹配的交換方式，能夠保證所有報(bào)文均獲得相同的轉(zhuǎn)發(fā)性能，解決了很多交換機(jī)采用精確匹配交換技術(shù)所帶來的路由震蕩等問題，轉(zhuǎn)發(fā)效率高，保證網(wǎng)絡(luò)的穩(wěn)定、可靠。建議2臺(tái)S8512核心萬兆路由交換機(jī)均配置冗余的路由處理引擎，每臺(tái)配置48口10/100/1000自適應(yīng)電接口模塊1塊，用于服務(wù)器雙絞線網(wǎng)卡和主干路由器的連接；每臺(tái)各配置24端口千兆以太網(wǎng)光接口業(yè)務(wù)板1塊和12端口千兆以太網(wǎng)光接口業(yè)務(wù)板1塊，通過插入SFP子卡提供千兆連接。每臺(tái)配置22個(gè)SFP多模GE子卡用于連接樓層交換機(jī)和網(wǎng)上直報(bào)交換機(jī)。核心交換機(jī)之間通過1000M捆綁進(jìn)行互聯(lián)，以提高核心骨干帶寬。今后可以通過萬兆接口進(jìn)行擴(kuò)展，提升骨干帶寬。核心交換機(jī)配置47層內(nèi)容交換組件，提供服務(wù)器負(fù)載均衡功能，滿足XXXX各類業(yè)務(wù)開展的需求。具體設(shè)備配置見報(bào)價(jià)清單部分。 樓層交換機(jī)設(shè)備配置本方案中我們建議配置H3C公司的S3928PSI路由交換機(jī)，總共12臺(tái)，每臺(tái)交換機(jī)配置2個(gè)千兆多模接口通過光纖分別與內(nèi)網(wǎng)核心交換機(jī)S8512連接。S3928PSI交換機(jī)提供24口百兆接入能力和4個(gè)1000M SFP擴(kuò)展模塊，設(shè)備支持IRF智能堆疊，擴(kuò)展性好。H3C174。 S3900系列安全智能三層交換機(jī)是H3C公司為充分滿足安全I(xiàn)P交換和高QOS保證的需求而推出的智能型以太網(wǎng)交換機(jī)。該系列交換機(jī)提供完善的路由協(xié)議、VLAN控制、流量交換、QOS保證的機(jī)制，以及完備的業(yè)務(wù)控制和用戶管理能力。這些智能化的特點(diǎn)非常適合作為關(guān)注業(yè)務(wù)管理控制和網(wǎng)絡(luò)安全保障能力的辦公網(wǎng)、業(yè)務(wù)網(wǎng)和駐地網(wǎng)的匯聚和接入三層交換機(jī)。具體設(shè)備配置見報(bào)價(jià)清單部分。注：三層交換機(jī)作為接入的優(yōu)勢(shì)：三層到桌面一個(gè)最直接的優(yōu)點(diǎn)就是個(gè)人用戶安全性更高。目前局域網(wǎng)大部分均采用私網(wǎng)地址，IP地址資源一般都比較充裕，采用30位掩碼劃分網(wǎng)段，一個(gè)用戶一個(gè)網(wǎng)段，并且一個(gè)網(wǎng)段內(nèi)最多也只能接入一個(gè)用戶，所有用戶之間的互訪均通過三層交換實(shí)現(xiàn)。采用這種三層到桌面的方式可以有效隔離用戶之間的二層報(bào)文，包括二層廣播報(bào)文以及二層的攻擊報(bào)文，可以極大提高用戶的個(gè)人安全。同時(shí)，采用一個(gè)用戶一個(gè)網(wǎng)段、一個(gè)網(wǎng)段最多一個(gè)用戶的策略，可以徹底杜絕用戶IP地址假冒的問題，因?yàn)椴煌丝诘木W(wǎng)段均不相同，即使有人假冒他人的IP地址也無法實(shí)現(xiàn)網(wǎng)絡(luò)接入。網(wǎng)絡(luò)整體安全性提高。通過三層到桌面的方式，整個(gè)網(wǎng)絡(luò)中將不再有二層報(bào)文，二層攻擊事件徹底杜絕，設(shè)備與設(shè)備之間的級(jí)連鏈路上將只有三層報(bào)文流通，極大提高了網(wǎng)絡(luò)帶寬的利用率與網(wǎng)絡(luò)的安全性。 路由器設(shè)備配置主干路由器擔(dān)負(fù)著上海XXXX網(wǎng)絡(luò)和外界網(wǎng)絡(luò)連通的重任，必須具備很高的可靠性，穩(wěn)定性、強(qiáng)大的性能和豐富的路由協(xié)議、策略支持，因此建議采用H3C公司H3C174。 AR4680(以下簡(jiǎn)稱AR4680)高端多業(yè)務(wù)路由器，滿足出口節(jié)點(diǎn)多樣性的需求。AR4680多業(yè)務(wù)路由器是H3C系列路由器中的中高端產(chǎn)品，設(shè)備具有先進(jìn)的轉(zhuǎn)發(fā)體系結(jié)構(gòu)和靈活的組網(wǎng)能力，具有強(qiáng)大的專線接入及VPN業(yè)務(wù)能力，提供豐富的業(yè)務(wù)功能，具備完善QOS和安全特性。設(shè)備支持高性能轉(zhuǎn)發(fā)能力，最高轉(zhuǎn)發(fā)速率達(dá)到1Mpps。AR4680通過1000M接口與核心交換機(jī)互聯(lián)，同時(shí)配置E1 2M接口連接分支機(jī)構(gòu)的網(wǎng)絡(luò)。具體設(shè)備配置見報(bào)價(jià)清單部分。如上圖所示，無線網(wǎng)絡(luò)主要由兩方面設(shè)備組成，一是部署在教學(xué)樓各樓層的無線AP， WA2210AG，該設(shè)備可實(shí)現(xiàn)最大54Mbps傳輸速率，且每臺(tái)AP支持20~30個(gè)用戶的無線接入，傳輸距離較原大，能夠覆蓋更大的范圍。WA2210AG AP支持Fat和Fit兩種工作模式，根據(jù)網(wǎng)絡(luò)規(guī)劃的需要，可以通過命令行靈活地在Fat和Fit兩種工作模式中切換。本次復(fù)旦附中項(xiàng)目既是將WA2210AG產(chǎn)品配合S7500E無線控制器插卡，作為瘦AP（Fit AP）使用。另外，其他各樓，如問思樓等，每層樓部署2~4個(gè)，提供54Mbps的接入帶寬，作為有線網(wǎng)絡(luò)的有力補(bǔ)充，供教師及學(xué)生無線上網(wǎng)使用。無線網(wǎng)絡(luò)的另一組成部分即無線控制器插卡，該設(shè)備默認(rèn)可支持128個(gè)無線Fit AP的統(tǒng)一集中管理，并可擴(kuò)充至最大640個(gè)無線AP，提供用戶無縫漫游（切換時(shí)間小于50ms）、AP零配置、用戶接入負(fù)載均衡以及智能射頻技術(shù)等。無線控制器插卡作為模塊部署在核心交換上，是一個(gè)理想的有線無線一體化設(shè)計(jì)方案，即實(shí)現(xiàn)了一體化的硬件設(shè)備（減少網(wǎng)絡(luò)單點(diǎn)故障），實(shí)現(xiàn)了一體化的管理（可用一套網(wǎng)絡(luò)管理軟件實(shí)現(xiàn)對(duì)有線和無線網(wǎng)絡(luò)的統(tǒng)一管理），也實(shí)現(xiàn)了一體化安全（可利用交換機(jī)的ACL、ARP防御、DDOS防御等功能，保護(hù)無線網(wǎng)絡(luò)的安全）。本次項(xiàng)目中，將無線控制器插卡插入核心交換機(jī)S7500E，部署在中心機(jī)房，將教學(xué)樓內(nèi)的無線AP部署在各樓層的過道等處，每個(gè)AP均通過6類線，直接通往三樓的中心機(jī)房，最后連接在POE交換機(jī)的24個(gè)10/100BaseT接口上，這樣節(jié)省了AP端的強(qiáng)電布設(shè)的成本。另外，還需要注意的是，PoE交換機(jī)與AP之間連接6類線的距離按照布線標(biāo)準(zhǔn)90米原則，如超過90米，則會(huì)出現(xiàn)信號(hào)衰減的情況。 H3C無線網(wǎng)絡(luò)技術(shù)特點(diǎn)u H3C解決無線解決方案優(yōu)勢(shì)1) 國(guó)內(nèi)市場(chǎng)占有率第一位，%，高端應(yīng)用案例眾多，如上海環(huán)球金融中心酒店無線覆蓋、上海新天地?zé)o線覆蓋、國(guó)家體育場(chǎng)鳥巢、國(guó)家大劇院等。2) 實(shí)現(xiàn)有線/無線一體化，通過一體化硬件、一體化管理及一體化安全，將有線網(wǎng)絡(luò)及無線網(wǎng)絡(luò)進(jìn)行融合，可實(shí)現(xiàn)統(tǒng)一認(rèn)證、統(tǒng)一管理及統(tǒng)一安全規(guī)劃。u 智能射頻管理每個(gè)AP上電時(shí)，無線控制器會(huì)根據(jù)AP的鄰居關(guān)系動(dòng)態(tài)調(diào)整AP工作的信道