【正文】 服務(wù)和正版軟件服務(wù)；要建設(shè)高質(zhì)量的數(shù)字化的圖書館、 教學(xué)樓 、藝術(shù)館等；要在校園內(nèi)建立電子身份及其認(rèn)證系統(tǒng)，從而為學(xué)校高水平的教學(xué)、科研和管理等提供強(qiáng)有力的支撐。 由于校區(qū)合并、擴(kuò)大教育規(guī)模等因素，現(xiàn)在的高校學(xué)生數(shù)量增長了數(shù)倍，一般大學(xué)的學(xué)生數(shù)量達(dá)到了 1 萬人～ 4 萬人的規(guī)模。這些網(wǎng)絡(luò)的用戶環(huán)境都比較單一。由于用戶類型非常多，對每一類用戶的安全權(quán)限不一樣、網(wǎng)絡(luò)服務(wù)質(zhì)量不一樣、計費策略不一樣（如果計費運營），導(dǎo)致用戶的管理策略非常復(fù)雜。造成巨大流量的原因主要有：在線用戶數(shù)量大、學(xué)習(xí)和娛樂的多媒體資料在網(wǎng)絡(luò)上交流頻繁（包括網(wǎng)內(nèi)和網(wǎng)外，大量采用 P2P形式）、網(wǎng)格計算等科研需要。另外，學(xué)生的網(wǎng)絡(luò)知識豐富、求知欲望很強(qiáng)，很難避免學(xué)生把校園網(wǎng)作為學(xué)習(xí)網(wǎng)絡(luò)知識和安全知識的試驗床，由此引發(fā)的安全問題更加難以防范。從這個意義上來看，一個大學(xué)校園網(wǎng)的規(guī)模已經(jīng)達(dá)到一個小城域網(wǎng)的規(guī)模。 新一代數(shù)字校園必然是節(jié)約型數(shù)字校園。 第三章、 網(wǎng)絡(luò)設(shè)計 技術(shù)規(guī)范 、 建設(shè)構(gòu)想及需求分析 神州數(shù)碼設(shè)計的多元融合通訊系統(tǒng)是一個以學(xué)校的應(yīng)用驅(qū)動為基礎(chǔ)的網(wǎng)絡(luò)系統(tǒng)，學(xué)校的應(yīng)用運作方式驅(qū)動著網(wǎng)絡(luò)應(yīng)用，而網(wǎng)絡(luò)應(yīng)用又驅(qū)動著專業(yè)的服務(wù)、網(wǎng)絡(luò)管理以及網(wǎng)絡(luò)的基礎(chǔ)結(jié)構(gòu)，在這個模型中，學(xué)校最為關(guān)心的是網(wǎng)絡(luò)的應(yīng)用。 建立網(wǎng)絡(luò)環(huán)境下的全校辦公自動化系統(tǒng)及各類管理信息系統(tǒng)，實現(xiàn)全校各類信息的集中管理、處理及信息共享。 所有設(shè)備要求即購既滿足。 、 標(biāo)準(zhǔn)性和開放性 只有支持標(biāo)準(zhǔn)性和開放性的系統(tǒng)，才能支持與其他開放型系統(tǒng)一起協(xié)同工作，在網(wǎng)絡(luò)中采用的硬件設(shè)備及軟件產(chǎn)品應(yīng)支持國際工業(yè)標(biāo)準(zhǔn)或事實上的標(biāo)準(zhǔn)，以便能和不同廠家的開放型產(chǎn)品在同一網(wǎng)絡(luò)中同時共存；通信中應(yīng)采用標(biāo)準(zhǔn)的通信 協(xié)議以使不同的操作系統(tǒng)與不同的網(wǎng)絡(luò)系統(tǒng)及不同的網(wǎng)絡(luò)之間順利進(jìn)行通訊。我們不能一味地追求實用而忽略先進(jìn)，只有將當(dāng)今最先進(jìn)的技術(shù)和我們的實際應(yīng)用要求緊密結(jié)合，才能獲得最大的系統(tǒng)性能和效益。在某些情況下，寧可犧牲系統(tǒng)的部分功能也必須保護(hù)系統(tǒng)的安全 ，所以在網(wǎng)絡(luò)設(shè)備的選擇上要考慮設(shè) 備的安全和穩(wěn)定性等方面的需求 。 可靠性也是衡量一個計算機(jī)應(yīng)用系統(tǒng)的重要標(biāo)準(zhǔn)之一。通過選擇先進(jìn)體系結(jié)構(gòu)的硬件設(shè)備，使校園網(wǎng)絡(luò)系統(tǒng)滿足 5 個 9 的可靠性，使每年的系統(tǒng)維護(hù)時間縮短在 分鐘之內(nèi)。因此，網(wǎng)絡(luò)所選網(wǎng)絡(luò)設(shè)備應(yīng)支持 SNMP、 RMON、 SMON 等協(xié)議 ，并支持 IPV4/6 的各種網(wǎng)絡(luò)管理協(xié)議 ，管理員通過網(wǎng)管工作站就能方便地進(jìn)行網(wǎng)絡(luò)管理、維護(hù)甚至修復(fù)。 為了使所實現(xiàn)系統(tǒng)能夠在應(yīng)用發(fā)生變化的情況下保護(hù)原有開發(fā)投資，在設(shè)計系統(tǒng)時，應(yīng)將系統(tǒng)按功能做成模塊化的，可根據(jù)需要增加和刪減功能模塊。 遵從了如上的設(shè)計原則，選擇技術(shù)先進(jìn)，經(jīng)濟(jì)實用、適應(yīng)性強(qiáng)、可靠性高、可擴(kuò)展性好的設(shè)備，從而使系統(tǒng)具有較高的性能價格 比，真正滿足 學(xué)校 的應(yīng)用需求。 WAN PHY與 SONET OC192幀結(jié)構(gòu)的融合，可與 OC192電路、 SONET/SDH 設(shè)備一起運行，保護(hù)傳統(tǒng)基礎(chǔ)投資，使運營商能夠在不同地區(qū)通過城域網(wǎng)提供端到端以太網(wǎng)。 、核心技術(shù) —IPV6 分析 IPv4最大的問題就是地址空間的不足。比如 NAT技術(shù)，采用 IP 端口號對應(yīng)內(nèi)部 IP的方法，這樣限制了 P2P 等應(yīng)用，轉(zhuǎn)發(fā) 效率大大降低，同時真實的原 IP被臨時的端口號所取代，也就無法進(jìn)行身份確定。 由于 IPV4地址的缺乏和地址層次設(shè)計上的問題，使做 IPV4地址規(guī)劃時總是捉襟見肘，即使有 DHCP這樣自動獲取 IP地址的方法，但實際上仍然是要嚴(yán)格的規(guī)劃的。 IPv6 提供了巨大的地址空間。再加上其固定長度 IP 包頭的設(shè)計和根本不需要 NAT的優(yōu)勢，都使 IPv6的三層路由轉(zhuǎn)發(fā)性能大大提升。 IPv6 支持 BOOTP和 DHCP 這種有狀態(tài)的地址自動 配置，也同時支持無狀態(tài)地址自動配置，即自動配置服務(wù)器只分配一個地址前綴，設(shè)備自身通過自己的 Mac 地址生成后 64 位接口 ID。還可以在 IPV6 報頭中增加流標(biāo)簽域，強(qiáng)化 QoS Mobile IPv6 技術(shù)，從而大大提高移動特性 IPV6龐大的地址空間，良好的層次設(shè)計和地址自動分配技術(shù)，通過代理轉(zhuǎn)交和隧道技術(shù)，使網(wǎng)絡(luò)設(shè)備可以不中斷無線網(wǎng)絡(luò) 鏈接的情況下從一個地方移動到另外一個地方。關(guān)于核心交換機(jī)的選擇，就需要結(jié)合項目實際以及用戶目前實際需求，同時考慮未來網(wǎng)絡(luò)存續(xù)期間業(yè)務(wù)拓展對于核心設(shè)備的擴(kuò)展性要求，在此前提下要該核心交換機(jī)能夠提供全線速轉(zhuǎn)發(fā)。 背板帶寬 /交換容量主要是由 Fabric 芯片，也就是我們常說的交換矩陣芯片決定的， 除非換掉Fabric 芯片否則交換容量無法升級，背板帶寬 /交換容量對于系統(tǒng)的影響不是很大，它的主要作用就像一條高速公路上有多少車道，但是如果用戶只有一輛車僅跑一條車道，這就是浪費。 DCRS9816 交換機(jī)能夠整機(jī)支持 320 個線速萬兆接口， 32 個線速10萬兆端口。 DCRS9800系列交換機(jī)是神州數(shù)碼最高端的 N*100G 高端 平臺設(shè)計的 多業(yè)務(wù) IPv6 核心路由交換機(jī) ， DCRS9800 神州數(shù)碼網(wǎng)絡(luò)公司自主研發(fā)的新一代超高性能高密度核心路由交換機(jī)產(chǎn)品，為超大規(guī)模多業(yè)務(wù)復(fù)雜的電子政務(wù)網(wǎng)絡(luò)、企業(yè)網(wǎng)絡(luò)、電信網(wǎng)絡(luò)提供了具有超大容量、超高密度、多業(yè) 務(wù)模塊化的全新一代通信核心；同時作為超高性能核心路由交換機(jī)產(chǎn)品， DCRS9800 系列路由交換機(jī)率先通過國際 IPv6 Ready 第二階段增強(qiáng)版認(rèn)證，神州數(shù)碼網(wǎng)絡(luò)是國內(nèi)第一家通過該認(rèn)證的廠商。這些資源都是有代價的，它們是交換機(jī)成本的重要組成部分?？苫跁r間段、端口、 VLAN 接口、協(xié)議、 IP、 MAC、 IP+MAC 等設(shè)置 IPv4/IPv6 安全策略，在不同的時間段自動切換為不 同的策略。 同時，還提供了運營商級的穩(wěn)定性： DCRS9800 系列路由交換機(jī)對所有關(guān)鍵部件都采用了冗余備份的設(shè)計方案：電源冗余、交直流冗余、管理模塊冗余、鏈路冗余、 FLASH 冗余、無需升級的可選軟件版本和可選配置管理等，所有單板、電源模塊、風(fēng)扇盤等都支持熱插拔并且 DCRS9800 系列路由交換機(jī)的交流電源采取多路 (24路 )電網(wǎng)供電＋電源工作時負(fù)載均衡，大大提高了電源的穩(wěn)定和可靠。 支持強(qiáng)大復(fù)雜的組播業(yè)務(wù)： DCRS9800 系列支持強(qiáng)大的組播實現(xiàn)技術(shù)，不僅支持 IPv4 組播，還支持領(lǐng)先的 IPv6 組播。 支持全線速的 MPLS VPN 業(yè)務(wù)： DCRS9800 系列支持全面的 LDP功能和 BGP/MPLS VPN 功能的同時，還支持 MPLS VPN 訪問公網(wǎng)功能，實現(xiàn)專網(wǎng)通信的同時，可以無阻隔地訪問公網(wǎng)，保障了業(yè)務(wù)的多樣性，可同時作為 PE、 P。 全新架構(gòu)，獨步業(yè)界 DCRS9808 提供了 12 個插槽。 策略匯聚層功能：提供路由，策略執(zhí)行能力（流量整型等）； 策略匯聚層組成產(chǎn)品：匯聚層萬兆 IPv6/v4 雙棧路由硬件交換機(jī)； 策略匯聚層核心技術(shù)分 析：多千兆口支持，支持萬兆上聯(lián)， QoS， L3－ L4 層交換； 、策略匯聚層選用設(shè)備分析 匯聚層是校園各個區(qū)域數(shù)據(jù)的匯聚中心，分擔(dān)核心層的壓力，同時需要為各個區(qū)域數(shù)據(jù)提供快速的數(shù)據(jù)交換平臺，另外充分考慮目前校園網(wǎng)的需求及未來幾年的擴(kuò)展，我們建議 選用神州數(shù)碼DCRS7604做為萬兆大匯聚設(shè)備； DCRS5950做為萬兆小匯聚 。 DCRS7600系列路由交換機(jī)完善的 IPv6特性、出色的安全體系設(shè)計、優(yōu)良高效的網(wǎng)絡(luò)管理、先進(jìn)的萬兆功能以及運營商級的可靠性，不僅保證了 IPv6/v4 復(fù)雜網(wǎng)絡(luò)的安全和穩(wěn)定，同時幫助您的企業(yè)切實提升商務(wù)效率和競爭力、顯著縮減總體擁有成本，成為您構(gòu)建下一代網(wǎng)絡(luò)的主力軍。標(biāo)志著中國企業(yè)自主研發(fā)的 IPv6技術(shù)已經(jīng)領(lǐng)航世界。極具特色的安全功能，增強(qiáng) ACLX功能，應(yīng)用層安全機(jī)制 SecApp，各種防攻擊、防病毒手段如 SARP,SICMP,SBuffer,AntiSweep,CPU 核心保護(hù)機(jī)制和綠色通道機(jī)制等，共同構(gòu)建起強(qiáng)大的安全核心。在性能和功能方面 DCRS5950 交換機(jī)能夠滿足大型網(wǎng)絡(luò)的組網(wǎng)需求，并具備豐富的智能和安全特性，特別適合于作為大型校園網(wǎng)、 企業(yè)網(wǎng)、 IPv4/IPv6 城域網(wǎng)的匯聚設(shè)備，以及中小型網(wǎng)絡(luò)的核心設(shè)備。 校園網(wǎng)出口的一些現(xiàn)象 ： √ 來自外部網(wǎng)絡(luò)的 DoS 攻擊、病毒、惡意掃描防不勝防。 √ IPv6網(wǎng)絡(luò)出口缺乏安全防護(hù)手段，跨棧攻擊一觸即發(fā) 校園網(wǎng)出口需求分析： 通過對校園網(wǎng)出口面臨的一些問題的 深入分析，我們將校園網(wǎng)出口建設(shè)的需求歸納如下： √ 出口設(shè)備需要具備高處理性能、高吞吐量，為滿足 CERNET 出口的接入需求，設(shè)備應(yīng)當(dāng)具備萬兆吞吐能力。 √ 出口多鏈路能夠支持高性能負(fù)載均衡和策略路由，集成各大 ISP 路由表。 本產(chǎn)品部署后，方案特點如下： ? 帶寬決策支持： 統(tǒng)計、監(jiān)控和分析 校園 網(wǎng)各種應(yīng) 用所占的帶寬比例，為 校園 網(wǎng)的用途和下一步的規(guī)劃提供科學(xué)依據(jù)。 ? 內(nèi)網(wǎng)節(jié)點預(yù)警： 監(jiān)控內(nèi)網(wǎng)每個節(jié)點的實時出流量、實時入流量的大小，可用來判斷內(nèi)網(wǎng)節(jié)點是否存在攻擊行為、中病毒等問題。國內(nèi)本地化應(yīng)用識別強(qiáng) ， 可識別 600 余種應(yīng)用 ，對于新出現(xiàn)的應(yīng)用，我們 提供對新的網(wǎng)絡(luò)應(yīng)用識別的按需定制升級服務(wù)。神州數(shù)碼 DCFW1800E10G 安全網(wǎng)關(guān) 專為萬兆位流量的網(wǎng)絡(luò)服務(wù)運營商 、超 大型校園網(wǎng) 、 數(shù)據(jù)中心等骨干網(wǎng)絡(luò)而設(shè)計 ,設(shè)備采用 16 核 64 位嵌入式 處理器和高速交換總線技術(shù) （如下圖） ，實現(xiàn)了芯片級的 硬件加解 密 、 QoS 流量管理，避免了傳統(tǒng) ASIC 和 NP 安全系統(tǒng)新建連接能力和流量控制能力弱的弊病。由于我國各大運營商之間存在嚴(yán)重的帶寬瓶頸，單一的負(fù)載均衡功能并不能有效提升用戶的上網(wǎng)質(zhì)量，不恰當(dāng)?shù)呢?fù)載分擔(dān)策略反而會造成較大的網(wǎng)絡(luò)延遲（如將訪問電信網(wǎng)站的請求負(fù)載分擔(dān)到聯(lián)通出口），因此，神州數(shù)碼終結(jié)者安全網(wǎng)關(guān)內(nèi)置了強(qiáng)大的策略路由引擎，集成各大 ISP 路由表，可以實現(xiàn)智能路由選擇，在計費策略 允許的情況下，確保用戶通過最快路徑到達(dá)目的站點。 ? 安全防護(hù)服務(wù)，隨需而動：面對與日俱增的校園網(wǎng)出口安全威脅， DCFW1800E10G“終結(jié)者”安全網(wǎng)關(guān)集成了全方位的安全防護(hù)手段， 支持吞吐 量高達(dá) 20Gbps 的狀態(tài)檢測安全過濾，有效 保護(hù)內(nèi)部服務(wù)器和用戶。 ? 封堵 IPv6 安全短板，無懈可擊：隨著 CNGI 一期、二期項目的實施，諸多高校建立的 IPv6校園網(wǎng)，擁有自己的 CERNET2 出口，但是對于 IPv6 出口的安全威脅防范卻僅僅局限于 IPv6 ACL，更有很多校園網(wǎng)呈現(xiàn)了 IPv4 出口層層設(shè)防， IPv6 出口大門洞開的現(xiàn)象，結(jié)果攻擊者“曲徑通幽”，通過 IPv6 網(wǎng)絡(luò)入侵校園，進(jìn)而攻擊 IPv4 校園網(wǎng)，形成名副其實的“跨棧攻擊”。它可詳細(xì) 記錄 校園網(wǎng)內(nèi) 上網(wǎng)者訪問過哪些網(wǎng)站、訪問的 URL、源 /目的 IP、源 /目的端口、上網(wǎng)時間及流量等數(shù)據(jù)，從而提供了上網(wǎng)行為的安全審記數(shù)據(jù)源，并實現(xiàn)各種統(tǒng)計功能。 、 IPv6 組播部署 IPv6/IPv4 雙棧的組播過渡解決方案實際上是純 IPv4 組播網(wǎng)和純 IPv6 組播網(wǎng)兩者的疊加。 IPv4 和 IPv6 組播能同時運行在路由器和主機(jī)上，并且能同時存在于同一網(wǎng)絡(luò)鏈路；路由器也能同時成為 IPv4組和 IPv6組的匯聚點 (RP)。 組播服務(wù)已經(jīng)越來越多的用于各種連續(xù)性媒體服務(wù)，比如視頻會議、遠(yuǎn)程教學(xué)、分布式計算、P2P 游戲等，它傳輸一個數(shù)據(jù)報到屬于同一個組播組的多個接受成員，與一到一的單播和一到多的廣播有很大的不同，組播更具有 普遍性，即多到多。 當(dāng)支持新組播服務(wù)及應(yīng)用的網(wǎng)絡(luò)設(shè)備不斷繁榮增長時， IPv6增加的地址空間就起到了非常關(guān)鍵的作用。盡管我們稱呼 IPv6 PIM 為 IPv6組播路由協(xié)議，但是實際在利用 IPv6單播路由協(xié)議。IPv6 PIMDM 區(qū)域均支持 MLDv1/v2。而 DM僅僅在使用 Push 原理時利用 SPT來發(fā)送 (S,G)組播信息。下游的有加入的話，會把加入信息加入到對應(yīng)組的 RP，然后轉(zhuǎn)發(fā)成 SPT樹。 如下圖所示，在匯聚層的 DCRS5950上以及核心層的 DCRS7600/9800上均配置 IPv6 PIMSM，假定配置多個 CBSR，最終選出左側(cè)的 DCRS7600為 BSR，也假定配置多個 CRP，最終選出兩個 RP，針對組 (2021::1,ff1e::1)的 RP為 RP1，針對組 (2021::1,ff2e::1)的 RP為 RP2。 IPv6 PIMDM 組網(wǎng)方案示意圖 2) IPv6 PIMSM 解決方案 IPv6 PIMSM(IPv6協(xié)議無關(guān)組播 稀疏模式 )不同于 IPv6 PIMDM，稀疏模式利用共享樹（ RPT），SM利用 pull的方式，而不是利用 Push的方式，即組播信息被拉入網(wǎng)絡(luò)中的接 收站點。主要被用于小范圍 IPv6組播網(wǎng)絡(luò)中。 總的來說， IPv6組播通信機(jī)制對開發(fā)節(jié)省帶寬、減少網(wǎng)絡(luò)擁塞的點到多點通信應(yīng)用具有重要意義。 IPv6是下一代互聯(lián)網(wǎng)的核心，所有的 IPv6主機(jī)都支持組播且不需要進(jìn)行地址轉(zhuǎn)換。因此，是最容易實施的一種方案。同樣，組播源也可以配置成雙棧，同時向 IPv4 組和 IPv6組發(fā)送數(shù)據(jù)流，使運行不同協(xié)議棧的所有主機(jī)都能接收組播報文。 ? 精準(zhǔn)責(zé)任定位，拒