【正文】 服務(wù)和正版軟件服務(wù)；要建設(shè)高質(zhì)量的數(shù)字化的圖書(shū)館、 教學(xué)樓 、藝術(shù)館等；要在校園內(nèi)建立電子身份及其認(rèn)證系統(tǒng)，從而為學(xué)校高水平的教學(xué)、科研和管理等提供強(qiáng)有力的支撐。 由于校區(qū)合并、擴(kuò)大教育規(guī)模等因素，現(xiàn)在的高校學(xué)生數(shù)量增長(zhǎng)了數(shù)倍，一般大學(xué)的學(xué)生數(shù)量達(dá)到了 1 萬(wàn)人～ 4 萬(wàn)人的規(guī)模。這些網(wǎng)絡(luò)的用戶環(huán)境都比較單一。由于用戶類型非常多，對(duì)每一類用戶的安全權(quán)限不一樣、網(wǎng)絡(luò)服務(wù)質(zhì)量不一樣、計(jì)費(fèi)策略不一樣（如果計(jì)費(fèi)運(yùn)營(yíng)），導(dǎo)致用戶的管理策略非常復(fù)雜。造成巨大流量的原因主要有：在線用戶數(shù)量大、學(xué)習(xí)和娛樂(lè)的多媒體資料在網(wǎng)絡(luò)上交流頻繁（包括網(wǎng)內(nèi)和網(wǎng)外，大量采用 P2P形式）、網(wǎng)格計(jì)算等科研需要。另外，學(xué)生的網(wǎng)絡(luò)知識(shí)豐富、求知欲望很強(qiáng)，很難避免學(xué)生把校園網(wǎng)作為學(xué)習(xí)網(wǎng)絡(luò)知識(shí)和安全知識(shí)的試驗(yàn)床，由此引發(fā)的安全問(wèn)題更加難以防范。從這個(gè)意義上來(lái)看，一個(gè)大學(xué)校園網(wǎng)的規(guī)模已經(jīng)達(dá)到一個(gè)小城域網(wǎng)的規(guī)模。 新一代數(shù)字校園必然是節(jié)約型數(shù)字校園。 第三章、 網(wǎng)絡(luò)設(shè)計(jì) 技術(shù)規(guī)范 、 建設(shè)構(gòu)想及需求分析 神州數(shù)碼設(shè)計(jì)的多元融合通訊系統(tǒng)是一個(gè)以學(xué)校的應(yīng)用驅(qū)動(dòng)為基礎(chǔ)的網(wǎng)絡(luò)系統(tǒng)，學(xué)校的應(yīng)用運(yùn)作方式驅(qū)動(dòng)著網(wǎng)絡(luò)應(yīng)用，而網(wǎng)絡(luò)應(yīng)用又驅(qū)動(dòng)著專業(yè)的服務(wù)、網(wǎng)絡(luò)管理以及網(wǎng)絡(luò)的基礎(chǔ)結(jié)構(gòu)，在這個(gè)模型中，學(xué)校最為關(guān)心的是網(wǎng)絡(luò)的應(yīng)用。 建立網(wǎng)絡(luò)環(huán)境下的全校辦公自動(dòng)化系統(tǒng)及各類管理信息系統(tǒng)，實(shí)現(xiàn)全校各類信息的集中管理、處理及信息共享。 所有設(shè)備要求即購(gòu)既滿足。 、 標(biāo)準(zhǔn)性和開(kāi)放性 只有支持標(biāo)準(zhǔn)性和開(kāi)放性的系統(tǒng)，才能支持與其他開(kāi)放型系統(tǒng)一起協(xié)同工作，在網(wǎng)絡(luò)中采用的硬件設(shè)備及軟件產(chǎn)品應(yīng)支持國(guó)際工業(yè)標(biāo)準(zhǔn)或事實(shí)上的標(biāo)準(zhǔn)，以便能和不同廠家的開(kāi)放型產(chǎn)品在同一網(wǎng)絡(luò)中同時(shí)共存；通信中應(yīng)采用標(biāo)準(zhǔn)的通信 協(xié)議以使不同的操作系統(tǒng)與不同的網(wǎng)絡(luò)系統(tǒng)及不同的網(wǎng)絡(luò)之間順利進(jìn)行通訊。我們不能一味地追求實(shí)用而忽略先進(jìn)，只有將當(dāng)今最先進(jìn)的技術(shù)和我們的實(shí)際應(yīng)用要求緊密結(jié)合，才能獲得最大的系統(tǒng)性能和效益。在某些情況下，寧可犧牲系統(tǒng)的部分功能也必須保護(hù)系統(tǒng)的安全 ，所以在網(wǎng)絡(luò)設(shè)備的選擇上要考慮設(shè) 備的安全和穩(wěn)定性等方面的需求 。 可靠性也是衡量一個(gè)計(jì)算機(jī)應(yīng)用系統(tǒng)的重要標(biāo)準(zhǔn)之一。通過(guò)選擇先進(jìn)體系結(jié)構(gòu)的硬件設(shè)備，使校園網(wǎng)絡(luò)系統(tǒng)滿足 5 個(gè) 9 的可靠性，使每年的系統(tǒng)維護(hù)時(shí)間縮短在 分鐘之內(nèi)。因此，網(wǎng)絡(luò)所選網(wǎng)絡(luò)設(shè)備應(yīng)支持 SNMP、 RMON、 SMON 等協(xié)議 ，并支持 IPV4/6 的各種網(wǎng)絡(luò)管理協(xié)議 ，管理員通過(guò)網(wǎng)管工作站就能方便地進(jìn)行網(wǎng)絡(luò)管理、維護(hù)甚至修復(fù)。 為了使所實(shí)現(xiàn)系統(tǒng)能夠在應(yīng)用發(fā)生變化的情況下保護(hù)原有開(kāi)發(fā)投資，在設(shè)計(jì)系統(tǒng)時(shí)，應(yīng)將系統(tǒng)按功能做成模塊化的，可根據(jù)需要增加和刪減功能模塊。 遵從了如上的設(shè)計(jì)原則，選擇技術(shù)先進(jìn)，經(jīng)濟(jì)實(shí)用、適應(yīng)性強(qiáng)、可靠性高、可擴(kuò)展性好的設(shè)備，從而使系統(tǒng)具有較高的性能價(jià)格 比，真正滿足 學(xué)校 的應(yīng)用需求。 WAN PHY與 SONET OC192幀結(jié)構(gòu)的融合，可與 OC192電路、 SONET/SDH 設(shè)備一起運(yùn)行，保護(hù)傳統(tǒng)基礎(chǔ)投資，使運(yùn)營(yíng)商能夠在不同地區(qū)通過(guò)城域網(wǎng)提供端到端以太網(wǎng)。 、核心技術(shù) —IPV6 分析 IPv4最大的問(wèn)題就是地址空間的不足。比如 NAT技術(shù)，采用 IP 端口號(hào)對(duì)應(yīng)內(nèi)部 IP的方法，這樣限制了 P2P 等應(yīng)用，轉(zhuǎn)發(fā) 效率大大降低，同時(shí)真實(shí)的原 IP被臨時(shí)的端口號(hào)所取代，也就無(wú)法進(jìn)行身份確定。 由于 IPV4地址的缺乏和地址層次設(shè)計(jì)上的問(wèn)題，使做 IPV4地址規(guī)劃時(shí)總是捉襟見(jiàn)肘，即使有 DHCP這樣自動(dòng)獲取 IP地址的方法，但實(shí)際上仍然是要嚴(yán)格的規(guī)劃的。 IPv6 提供了巨大的地址空間。再加上其固定長(zhǎng)度 IP 包頭的設(shè)計(jì)和根本不需要 NAT的優(yōu)勢(shì)，都使 IPv6的三層路由轉(zhuǎn)發(fā)性能大大提升。 IPv6 支持 BOOTP和 DHCP 這種有狀態(tài)的地址自動(dòng) 配置，也同時(shí)支持無(wú)狀態(tài)地址自動(dòng)配置，即自動(dòng)配置服務(wù)器只分配一個(gè)地址前綴，設(shè)備自身通過(guò)自己的 Mac 地址生成后 64 位接口 ID。還可以在 IPV6 報(bào)頭中增加流標(biāo)簽域，強(qiáng)化 QoS Mobile IPv6 技術(shù)，從而大大提高移動(dòng)特性 IPV6龐大的地址空間，良好的層次設(shè)計(jì)和地址自動(dòng)分配技術(shù)，通過(guò)代理轉(zhuǎn)交和隧道技術(shù)，使網(wǎng)絡(luò)設(shè)備可以不中斷無(wú)線網(wǎng)絡(luò) 鏈接的情況下從一個(gè)地方移動(dòng)到另外一個(gè)地方。關(guān)于核心交換機(jī)的選擇，就需要結(jié)合項(xiàng)目實(shí)際以及用戶目前實(shí)際需求，同時(shí)考慮未來(lái)網(wǎng)絡(luò)存續(xù)期間業(yè)務(wù)拓展對(duì)于核心設(shè)備的擴(kuò)展性要求，在此前提下要該核心交換機(jī)能夠提供全線速轉(zhuǎn)發(fā)。 背板帶寬 /交換容量主要是由 Fabric 芯片，也就是我們常說(shuō)的交換矩陣芯片決定的， 除非換掉Fabric 芯片否則交換容量無(wú)法升級(jí)，背板帶寬 /交換容量對(duì)于系統(tǒng)的影響不是很大，它的主要作用就像一條高速公路上有多少車道，但是如果用戶只有一輛車僅跑一條車道，這就是浪費(fèi)。 DCRS9816 交換機(jī)能夠整機(jī)支持 320 個(gè)線速萬(wàn)兆接口， 32 個(gè)線速10萬(wàn)兆端口。 DCRS9800系列交換機(jī)是神州數(shù)碼最高端的 N*100G 高端 平臺(tái)設(shè)計(jì)的 多業(yè)務(wù) IPv6 核心路由交換機(jī) ， DCRS9800 神州數(shù)碼網(wǎng)絡(luò)公司自主研發(fā)的新一代超高性能高密度核心路由交換機(jī)產(chǎn)品，為超大規(guī)模多業(yè)務(wù)復(fù)雜的電子政務(wù)網(wǎng)絡(luò)、企業(yè)網(wǎng)絡(luò)、電信網(wǎng)絡(luò)提供了具有超大容量、超高密度、多業(yè) 務(wù)模塊化的全新一代通信核心；同時(shí)作為超高性能核心路由交換機(jī)產(chǎn)品， DCRS9800 系列路由交換機(jī)率先通過(guò)國(guó)際 IPv6 Ready 第二階段增強(qiáng)版認(rèn)證，神州數(shù)碼網(wǎng)絡(luò)是國(guó)內(nèi)第一家通過(guò)該認(rèn)證的廠商。這些資源都是有代價(jià)的，它們是交換機(jī)成本的重要組成部分?？苫跁r(shí)間段、端口、 VLAN 接口、協(xié)議、 IP、 MAC、 IP+MAC 等設(shè)置 IPv4/IPv6 安全策略，在不同的時(shí)間段自動(dòng)切換為不 同的策略。 同時(shí)，還提供了運(yùn)營(yíng)商級(jí)的穩(wěn)定性： DCRS9800 系列路由交換機(jī)對(duì)所有關(guān)鍵部件都采用了冗余備份的設(shè)計(jì)方案：電源冗余、交直流冗余、管理模塊冗余、鏈路冗余、 FLASH 冗余、無(wú)需升級(jí)的可選軟件版本和可選配置管理等，所有單板、電源模塊、風(fēng)扇盤(pán)等都支持熱插拔并且 DCRS9800 系列路由交換機(jī)的交流電源采取多路 (24路 )電網(wǎng)供電＋電源工作時(shí)負(fù)載均衡，大大提高了電源的穩(wěn)定和可靠。 支持強(qiáng)大復(fù)雜的組播業(yè)務(wù)： DCRS9800 系列支持強(qiáng)大的組播實(shí)現(xiàn)技術(shù)，不僅支持 IPv4 組播，還支持領(lǐng)先的 IPv6 組播。 支持全線速的 MPLS VPN 業(yè)務(wù)： DCRS9800 系列支持全面的 LDP功能和 BGP/MPLS VPN 功能的同時(shí)，還支持 MPLS VPN 訪問(wèn)公網(wǎng)功能，實(shí)現(xiàn)專網(wǎng)通信的同時(shí)，可以無(wú)阻隔地訪問(wèn)公網(wǎng)，保障了業(yè)務(wù)的多樣性，可同時(shí)作為 PE、 P。 全新架構(gòu)，獨(dú)步業(yè)界 DCRS9808 提供了 12 個(gè)插槽。 策略匯聚層功能：提供路由，策略執(zhí)行能力（流量整型等）； 策略匯聚層組成產(chǎn)品：匯聚層萬(wàn)兆 IPv6/v4 雙棧路由硬件交換機(jī)； 策略匯聚層核心技術(shù)分 析：多千兆口支持，支持萬(wàn)兆上聯(lián)， QoS， L3－ L4 層交換； 、策略匯聚層選用設(shè)備分析 匯聚層是校園各個(gè)區(qū)域數(shù)據(jù)的匯聚中心，分擔(dān)核心層的壓力，同時(shí)需要為各個(gè)區(qū)域數(shù)據(jù)提供快速的數(shù)據(jù)交換平臺(tái)，另外充分考慮目前校園網(wǎng)的需求及未來(lái)幾年的擴(kuò)展，我們建議 選用神州數(shù)碼DCRS7604做為萬(wàn)兆大匯聚設(shè)備； DCRS5950做為萬(wàn)兆小匯聚 。 DCRS7600系列路由交換機(jī)完善的 IPv6特性、出色的安全體系設(shè)計(jì)、優(yōu)良高效的網(wǎng)絡(luò)管理、先進(jìn)的萬(wàn)兆功能以及運(yùn)營(yíng)商級(jí)的可靠性，不僅保證了 IPv6/v4 復(fù)雜網(wǎng)絡(luò)的安全和穩(wěn)定，同時(shí)幫助您的企業(yè)切實(shí)提升商務(wù)效率和競(jìng)爭(zhēng)力、顯著縮減總體擁有成本，成為您構(gòu)建下一代網(wǎng)絡(luò)的主力軍。標(biāo)志著中國(guó)企業(yè)自主研發(fā)的 IPv6技術(shù)已經(jīng)領(lǐng)航世界。極具特色的安全功能，增強(qiáng) ACLX功能，應(yīng)用層安全機(jī)制 SecApp，各種防攻擊、防病毒手段如 SARP,SICMP,SBuffer,AntiSweep,CPU 核心保護(hù)機(jī)制和綠色通道機(jī)制等，共同構(gòu)建起強(qiáng)大的安全核心。在性能和功能方面 DCRS5950 交換機(jī)能夠滿足大型網(wǎng)絡(luò)的組網(wǎng)需求，并具備豐富的智能和安全特性，特別適合于作為大型校園網(wǎng)、 企業(yè)網(wǎng)、 IPv4/IPv6 城域網(wǎng)的匯聚設(shè)備，以及中小型網(wǎng)絡(luò)的核心設(shè)備。 校園網(wǎng)出口的一些現(xiàn)象 ： √ 來(lái)自外部網(wǎng)絡(luò)的 DoS 攻擊、病毒、惡意掃描防不勝防。 √ IPv6網(wǎng)絡(luò)出口缺乏安全防護(hù)手段，跨棧攻擊一觸即發(fā) 校園網(wǎng)出口需求分析： 通過(guò)對(duì)校園網(wǎng)出口面臨的一些問(wèn)題的 深入分析，我們將校園網(wǎng)出口建設(shè)的需求歸納如下： √ 出口設(shè)備需要具備高處理性能、高吞吐量，為滿足 CERNET 出口的接入需求，設(shè)備應(yīng)當(dāng)具備萬(wàn)兆吞吐能力。 √ 出口多鏈路能夠支持高性能負(fù)載均衡和策略路由，集成各大 ISP 路由表。 本產(chǎn)品部署后，方案特點(diǎn)如下： ? 帶寬決策支持： 統(tǒng)計(jì)、監(jiān)控和分析 校園 網(wǎng)各種應(yīng) 用所占的帶寬比例，為 校園 網(wǎng)的用途和下一步的規(guī)劃提供科學(xué)依據(jù)。 ? 內(nèi)網(wǎng)節(jié)點(diǎn)預(yù)警： 監(jiān)控內(nèi)網(wǎng)每個(gè)節(jié)點(diǎn)的實(shí)時(shí)出流量、實(shí)時(shí)入流量的大小，可用來(lái)判斷內(nèi)網(wǎng)節(jié)點(diǎn)是否存在攻擊行為、中病毒等問(wèn)題。國(guó)內(nèi)本地化應(yīng)用識(shí)別強(qiáng) ， 可識(shí)別 600 余種應(yīng)用 ，對(duì)于新出現(xiàn)的應(yīng)用，我們 提供對(duì)新的網(wǎng)絡(luò)應(yīng)用識(shí)別的按需定制升級(jí)服務(wù)。神州數(shù)碼 DCFW1800E10G 安全網(wǎng)關(guān) 專為萬(wàn)兆位流量的網(wǎng)絡(luò)服務(wù)運(yùn)營(yíng)商 、超 大型校園網(wǎng) 、 數(shù)據(jù)中心等骨干網(wǎng)絡(luò)而設(shè)計(jì) ,設(shè)備采用 16 核 64 位嵌入式 處理器和高速交換總線技術(shù) （如下圖） ，實(shí)現(xiàn)了芯片級(jí)的 硬件加解 密 、 QoS 流量管理，避免了傳統(tǒng) ASIC 和 NP 安全系統(tǒng)新建連接能力和流量控制能力弱的弊病。由于我國(guó)各大運(yùn)營(yíng)商之間存在嚴(yán)重的帶寬瓶頸，單一的負(fù)載均衡功能并不能有效提升用戶的上網(wǎng)質(zhì)量，不恰當(dāng)?shù)呢?fù)載分擔(dān)策略反而會(huì)造成較大的網(wǎng)絡(luò)延遲（如將訪問(wèn)電信網(wǎng)站的請(qǐng)求負(fù)載分擔(dān)到聯(lián)通出口），因此，神州數(shù)碼終結(jié)者安全網(wǎng)關(guān)內(nèi)置了強(qiáng)大的策略路由引擎，集成各大 ISP 路由表，可以實(shí)現(xiàn)智能路由選擇，在計(jì)費(fèi)策略 允許的情況下，確保用戶通過(guò)最快路徑到達(dá)目的站點(diǎn)。 ? 安全防護(hù)服務(wù)，隨需而動(dòng)：面對(duì)與日俱增的校園網(wǎng)出口安全威脅， DCFW1800E10G“終結(jié)者”安全網(wǎng)關(guān)集成了全方位的安全防護(hù)手段， 支持吞吐 量高達(dá) 20Gbps 的狀態(tài)檢測(cè)安全過(guò)濾，有效 保護(hù)內(nèi)部服務(wù)器和用戶。 ? 封堵 IPv6 安全短板，無(wú)懈可擊：隨著 CNGI 一期、二期項(xiàng)目的實(shí)施，諸多高校建立的 IPv6校園網(wǎng)，擁有自己的 CERNET2 出口，但是對(duì)于 IPv6 出口的安全威脅防范卻僅僅局限于 IPv6 ACL，更有很多校園網(wǎng)呈現(xiàn)了 IPv4 出口層層設(shè)防， IPv6 出口大門(mén)洞開(kāi)的現(xiàn)象，結(jié)果攻擊者“曲徑通幽”，通過(guò) IPv6 網(wǎng)絡(luò)入侵校園，進(jìn)而攻擊 IPv4 校園網(wǎng)，形成名副其實(shí)的“跨棧攻擊”。它可詳細(xì) 記錄 校園網(wǎng)內(nèi) 上網(wǎng)者訪問(wèn)過(guò)哪些網(wǎng)站、訪問(wèn)的 URL、源 /目的 IP、源 /目的端口、上網(wǎng)時(shí)間及流量等數(shù)據(jù)，從而提供了上網(wǎng)行為的安全審記數(shù)據(jù)源，并實(shí)現(xiàn)各種統(tǒng)計(jì)功能。 、 IPv6 組播部署 IPv6/IPv4 雙棧的組播過(guò)渡解決方案實(shí)際上是純 IPv4 組播網(wǎng)和純 IPv6 組播網(wǎng)兩者的疊加。 IPv4 和 IPv6 組播能同時(shí)運(yùn)行在路由器和主機(jī)上，并且能同時(shí)存在于同一網(wǎng)絡(luò)鏈路；路由器也能同時(shí)成為 IPv4組和 IPv6組的匯聚點(diǎn) (RP)。 組播服務(wù)已經(jīng)越來(lái)越多的用于各種連續(xù)性媒體服務(wù)，比如視頻會(huì)議、遠(yuǎn)程教學(xué)、分布式計(jì)算、P2P 游戲等，它傳輸一個(gè)數(shù)據(jù)報(bào)到屬于同一個(gè)組播組的多個(gè)接受成員，與一到一的單播和一到多的廣播有很大的不同，組播更具有 普遍性，即多到多。 當(dāng)支持新組播服務(wù)及應(yīng)用的網(wǎng)絡(luò)設(shè)備不斷繁榮增長(zhǎng)時(shí)， IPv6增加的地址空間就起到了非常關(guān)鍵的作用。盡管我們稱呼 IPv6 PIM 為 IPv6組播路由協(xié)議，但是實(shí)際在利用 IPv6單播路由協(xié)議。IPv6 PIMDM 區(qū)域均支持 MLDv1/v2。而 DM僅僅在使用 Push 原理時(shí)利用 SPT來(lái)發(fā)送 (S,G)組播信息。下游的有加入的話，會(huì)把加入信息加入到對(duì)應(yīng)組的 RP，然后轉(zhuǎn)發(fā)成 SPT樹(shù)。 如下圖所示，在匯聚層的 DCRS5950上以及核心層的 DCRS7600/9800上均配置 IPv6 PIMSM，假定配置多個(gè) CBSR，最終選出左側(cè)的 DCRS7600為 BSR，也假定配置多個(gè) CRP，最終選出兩個(gè) RP，針對(duì)組 (2021::1,ff1e::1)的 RP為 RP1，針對(duì)組 (2021::1,ff2e::1)的 RP為 RP2。 IPv6 PIMDM 組網(wǎng)方案示意圖 2) IPv6 PIMSM 解決方案 IPv6 PIMSM(IPv6協(xié)議無(wú)關(guān)組播 稀疏模式 )不同于 IPv6 PIMDM，稀疏模式利用共享樹(shù)（ RPT），SM利用 pull的方式，而不是利用 Push的方式，即組播信息被拉入網(wǎng)絡(luò)中的接 收站點(diǎn)。主要被用于小范圍 IPv6組播網(wǎng)絡(luò)中。 總的來(lái)說(shuō)， IPv6組播通信機(jī)制對(duì)開(kāi)發(fā)節(jié)省帶寬、減少網(wǎng)絡(luò)擁塞的點(diǎn)到多點(diǎn)通信應(yīng)用具有重要意義。 IPv6是下一代互聯(lián)網(wǎng)的核心，所有的 IPv6主機(jī)都支持組播且不需要進(jìn)行地址轉(zhuǎn)換。因此，是最容易實(shí)施的一種方案。同樣，組播源也可以配置成雙棧，同時(shí)向 IPv4 組和 IPv6組發(fā)送數(shù)據(jù)流，使運(yùn)行不同協(xié)議棧的所有主機(jī)都能接收組播報(bào)文。 ? 精準(zhǔn)責(zé)任定位，拒