【正文】 ................ 27 八 、工程實(shí)施 ........................................................................................................... 25 九 、網(wǎng)絡(luò)設(shè)備清單 ................................................................................................... 25 前言 信息通信技術(shù)日新月異， 并在普及應(yīng)用上進(jìn)入嶄新的多元化應(yīng)用階段！互聯(lián)網(wǎng)的影響正逐步滲透到人們生產(chǎn)、生活 、工作、學(xué)習(xí)的各個(gè)角落。 23 UPS 電源 22 路由設(shè)備： H3C RTMSR5040ACH3 19 DHCP(動(dòng)態(tài)獲取 IP 地址 ) 18 VLAN(虛擬局域網(wǎng) ) 鏈路聚合 EC(Ether Channel) 錯(cuò)誤 !未定義書(shū)簽。 16 五、網(wǎng)絡(luò)設(shè)備技術(shù)選型 ............................................................................................ 18 OSPF 路由技術(shù) 14 網(wǎng)絡(luò)安全 13 網(wǎng)絡(luò)設(shè)備冗余 12 匯聚層設(shè)計(jì) 10 廣域網(wǎng)設(shè)計(jì) 6 業(yè)務(wù)需求分析 8 二、方案設(shè)計(jì)原則 .....................................................................................................8 三、方案設(shè)計(jì) ........................................................................................................... 10 3. 網(wǎng)絡(luò)拓?fù)鋱D 錯(cuò)誤 !未定義書(shū)簽。 14 四、 IP 地址規(guī)劃 ....................................................................................................... 15 IP 地址規(guī)劃原則 15 IP 地址規(guī)劃表 ACL(訪(fǎng)問(wèn)控制列表 ) 24 無(wú)線(xiàn)校園網(wǎng) 同時(shí)，隨著國(guó)家信息化工作的深入開(kāi)展，提高教育系統(tǒng)信息化水平成為當(dāng)前工作的重點(diǎn)。 校園網(wǎng)是學(xué)?，F(xiàn)代化管理的基礎(chǔ)，深入、全面的學(xué)校信息管理系統(tǒng)必須建立在校園網(wǎng)上。 1 棟行政樓， 6 層，每層獨(dú)立房間 10 間，每間信息點(diǎn) 20 個(gè)， 其中 3 間會(huì)議室，面積均為 40 M2，要求做 WLAN 覆蓋。 圖書(shū)資料檢索、借閱自動(dòng)化 通過(guò)改造原有圖書(shū)檢索系統(tǒng)，建設(shè)電子圖書(shū)館，提高校內(nèi)圖書(shū)資料的利用率；充分利用校外圖書(shū)資料，實(shí)現(xiàn)遠(yuǎn)程計(jì)算機(jī)圖書(shū)檢索和借閱。 校園網(wǎng)和廣域網(wǎng)結(jié)合 依托校園網(wǎng)、廣域網(wǎng)開(kāi)展遠(yuǎn)程教學(xué)，使廣大的學(xué)生和老師能更好的交流學(xué)習(xí)和獲取學(xué)校網(wǎng)絡(luò)的資源。校園網(wǎng)絡(luò)不但可以在校內(nèi)進(jìn)行網(wǎng)絡(luò)教學(xué)，還很容易同外界大型網(wǎng)絡(luò)連結(jié)，形成更大范圍的網(wǎng)絡(luò)交互學(xué)習(xí)環(huán)境。學(xué)生及外來(lái)不明身份的用戶(hù)，在校園網(wǎng)中找到任何一個(gè)信息點(diǎn)，就可以進(jìn)入到校園網(wǎng)，可以肆意干擾和破壞校園網(wǎng)網(wǎng)絡(luò)平臺(tái)及應(yīng)用系統(tǒng)的正常運(yùn)行。因此，系統(tǒng)安全控制技術(shù)應(yīng)遵守的要求為： Inter 的安全控制應(yīng)提供地址轉(zhuǎn)換、被動(dòng)監(jiān)廳、端口掃描和否認(rèn)服務(wù)等機(jī)制、同時(shí)劃分不同級(jí)別的安全區(qū)域；遠(yuǎn)程訪(fǎng)問(wèn)的安全控制應(yīng)提供訪(fǎng)問(wèn)服務(wù)器的用戶(hù)身份認(rèn)證、用戶(hù)授權(quán)及用 戶(hù)記賬 /審計(jì)等功能；應(yīng)提供對(duì)整個(gè)網(wǎng)絡(luò)和工作站進(jìn)行偵獨(dú)、解毒和清毒等工作，防范計(jì)算機(jī)病毒。 提供豐富的網(wǎng)絡(luò)服務(wù)，實(shí)現(xiàn)廣泛的軟件，硬件資源共享，包括：提供基本的 Inter網(wǎng)絡(luò)服務(wù)功能：如電子郵件、文件傳輸、遠(yuǎn)程登錄、新聞組討論、電子公告牌、域名服務(wù)等。提供 CAI 教學(xué)和科研的便利條件。該系統(tǒng)所包含的內(nèi)容很多，必須能將各種先進(jìn)的軟硬件設(shè)備 有效地集成在一起，使系統(tǒng)的各個(gè)組成部分能充分發(fā)揮作用，協(xié)調(diào)一致的進(jìn)行高效工作。不能一味地追求實(shí)用而忽略先進(jìn)，只有將當(dāng)今最先進(jìn)的技術(shù)和我們的實(shí)際應(yīng)用要求緊密結(jié)合 ，才能獲得最大的系統(tǒng)性能和效益。同時(shí)，應(yīng)從長(zhǎng)遠(yuǎn)的技術(shù)發(fā)展來(lái)選擇具有很好前景的、較為先進(jìn)的技術(shù)和產(chǎn)品，以適應(yīng)系統(tǒng)未來(lái)的發(fā)展需要。應(yīng)急處理信息系統(tǒng)能夠全天候工作，達(dá)到每周 7*24小時(shí)工作的要求。 在設(shè)計(jì)和實(shí)現(xiàn)時(shí)，必須充分考慮整個(gè)系統(tǒng)的便于維護(hù)性，以使系統(tǒng)萬(wàn)一發(fā)生故障時(shí)能提供有效手段及時(shí)進(jìn)行恢復(fù)，盡量減少損失。所謂“層次結(jié)構(gòu)化”模型，就是將復(fù)雜的網(wǎng)絡(luò)設(shè)計(jì)分成幾個(gè)層次，每個(gè)層次強(qiáng)化某些特定的功能，這樣就能夠使一個(gè)復(fù)雜的大問(wèn)題變成多個(gè)簡(jiǎn)單的小問(wèn)題。 易于理解 層次結(jié)構(gòu)化設(shè)計(jì)使得網(wǎng)絡(luò)結(jié)構(gòu)清晰明了，可以在不同的層次實(shí)施不同的管理，降低了對(duì)網(wǎng)絡(luò)設(shè)備的管理成本。 3. 網(wǎng)絡(luò)拓?fù)鋱D 教育網(wǎng) 廣域網(wǎng)設(shè)計(jì) 在校園網(wǎng)中訪(fǎng)問(wèn)對(duì)向一般兩種，一是對(duì) Inter 網(wǎng)的訪(fǎng)問(wèn)需求，另一個(gè)是對(duì)教育網(wǎng)的訪(fǎng)問(wèn)。防火墻放在路由器之外，采用兩個(gè)出口，通過(guò) IP策略路由技術(shù)來(lái)實(shí)現(xiàn)各自訪(fǎng)問(wèn)目的地，可以根據(jù)不同目的地址來(lái)判斷選擇走哪個(gè)出口去訪(fǎng)問(wèn)外網(wǎng)。這樣保證了內(nèi)部網(wǎng)的安全性及節(jié)約對(duì)外網(wǎng) IP的需求。部分校園區(qū)網(wǎng)在早期的建設(shè)中由于成本的原因并未在設(shè)計(jì)中考慮冗余問(wèn)題，而在優(yōu)化工作中則需從網(wǎng)絡(luò)鏈路和網(wǎng)絡(luò)設(shè)備兩方面著手。也可采用生成樹(shù)協(xié)議（ ）或MSTP 提供設(shè)備級(jí)的冗余連接。 鏈路聚合： 鏈路聚合中，成員互相動(dòng)態(tài)備份。 校園網(wǎng)匯聚層及接入層出于成本及性?xún)r(jià)比的考慮，我們決定采用千兆交換，千兆匯聚，千兆路由 ,萬(wàn) 兆拓展 ,百兆到桌面的鏈路。 交換機(jī)在提供高密度千兆端口接入的同時(shí)還能夠滿(mǎn)足匯聚層智能高速處 理的需要 ,并能夠加靈活的部署在網(wǎng)絡(luò)邊緣的各個(gè)位置。 接入層設(shè)計(jì) 以往傳統(tǒng)校園網(wǎng)接入層的建設(shè)中并不關(guān)注于安全控制和 QOS 提供能力，而將網(wǎng)絡(luò)的安全防御措施和 QOS 保障依賴(lài)于網(wǎng)絡(luò)的匯聚層或骨干層設(shè)備，這給匯聚層和骨干層設(shè)備帶來(lái)了巨大的壓力，往往內(nèi)網(wǎng)病毒泛濫成災(zāi)后導(dǎo)致骨干層設(shè)備癱機(jī)，使網(wǎng)絡(luò)沒(méi)有 QOS 服務(wù)質(zhì)量 保障。 帶寬問(wèn)題：使用萬(wàn)兆互連雙核心結(jié)構(gòu)， 使網(wǎng)絡(luò)核心設(shè)備不但可以互相備份，而且有效的減輕流量負(fù)荷，使設(shè)備時(shí)刻保持穩(wěn)定和高效。 靈活擴(kuò)展問(wèn)題：核心層使用的銳捷網(wǎng)絡(luò) RG0S6810E 路由交換機(jī)有良好的擴(kuò)展性，可以為將來(lái)的網(wǎng)絡(luò)實(shí)現(xiàn)輕松擴(kuò)展。同時(shí)，將 IP地址規(guī)劃和網(wǎng)絡(luò)層次規(guī)劃、路由協(xié)議規(guī)劃、流量規(guī)劃等結(jié)合起來(lái)考慮。所以，在進(jìn)行地址分配時(shí)本方案充分考慮到了這些因素，為網(wǎng)絡(luò)的每個(gè)部分留有部分地址冗余，這樣保證網(wǎng)絡(luò)的可持續(xù)發(fā)展。 閑置 IP 地址回收利用：對(duì)于已分配出去的靜態(tài) IP 地址進(jìn)行定期追蹤管理，對(duì)長(zhǎng)時(shí)間閑置的 IP 地址可經(jīng)過(guò)確認(rèn)后回收重復(fù)利用。為了提高地址分配效率和地址利用率，在編址設(shè)計(jì)時(shí)按照了一定的順序進(jìn)行。 可聚合：互聯(lián)網(wǎng)日新月異的發(fā)展和日益龐大的規(guī)模令當(dāng)初設(shè)計(jì)互聯(lián)網(wǎng)絡(luò)的專(zhuān)家始料不及，在路由表急劇膨脹情況下，可聚合原則是網(wǎng)絡(luò)地址分配時(shí)所必須遵守的最高原則，可聚合原則要求在進(jìn)行地址規(guī)劃時(shí)，應(yīng)提供足夠的路由冗余功能。 IP 地址規(guī)劃表 在此方案中，我們采用 A 類(lèi)地址對(duì)校園網(wǎng)網(wǎng)絡(luò)設(shè)備編址。采用 OSPF的路由器彼此交換并保存整個(gè)網(wǎng)絡(luò)的鏈路信息，從而掌握全網(wǎng)的拓?fù)浣Y(jié)構(gòu)，獨(dú)立計(jì)算路由。 OSPF 作為一種內(nèi)部網(wǎng)關(guān)協(xié)議（ Interior Gateway Protocol， IGP），用于在同一個(gè)自治域（ AS）中的路由器之間發(fā)布路由信息。比如我們可以把網(wǎng)絡(luò)內(nèi)部使用的 IP 翻譯成外部公網(wǎng)的 IP。然而，靜態(tài)路由根據(jù)目標(biāo)網(wǎng)絡(luò)地址來(lái)轉(zhuǎn)換分組，而策略路由根據(jù)源地址來(lái)轉(zhuǎn)發(fā)分組。外網(wǎng)訪(fǎng)問(wèn)只能訪(fǎng)問(wèn)公網(wǎng)IP 地址，不能訪(fǎng)問(wèn)局域網(wǎng)內(nèi)部的。 鏈路聚合 EC(Ether Channel) 以太網(wǎng)信道鏈路聚合可以讓交換機(jī)之間和交換機(jī)與服務(wù)器之間的鏈路帶寬有非常好的伸縮性，比如可以把 2 個(gè)、 3 個(gè)、 4 個(gè)千兆的鏈路綁定在一起，使鏈路的帶寬成倍增長(zhǎng)。生成樹(shù)協(xié)議和鏈路聚合都可以保證一個(gè)網(wǎng)絡(luò)的冗余性。從技術(shù)上說(shuō) VLAN 可以分為靜態(tài) VLAN 和動(dòng)態(tài) VLAN,那么靜態(tài)的 VLAN 是基于交換機(jī)端口進(jìn)行劃分，根據(jù)網(wǎng)絡(luò)設(shè)備連接不同的交換機(jī)端口， 則進(jìn)入相應(yīng)的 VLAN。在內(nèi)部網(wǎng)中主機(jī)數(shù)量過(guò)大時(shí)，我們 采用 DHCP 技術(shù)，使用 PC 機(jī)能自動(dòng)獲取到相應(yīng)網(wǎng)絡(luò)的 IP 地址，這樣既滿(mǎn)足了 IP 地址的合理分配和減少手工配置的煩瑣，又滿(mǎn)足了 IP 地址有分配的原則。 S580056CPWR是 H3C網(wǎng)絡(luò)推出的基于 NP+ASIC構(gòu)架的新一代多業(yè)務(wù)萬(wàn)兆核心路由交換機(jī)，在保障高性能大容量的基礎(chǔ)上提供強(qiáng)大的安全防護(hù)能力，并且擁有業(yè)務(wù)按需疊加擴(kuò)展能力，達(dá)到本方案要示求的業(yè)務(wù)和性能并重的設(shè)計(jì)需求。 S560050C 全千 兆智能彈性交換機(jī)提供了 48 端口，背板帶寬 240Gbps，包轉(zhuǎn)發(fā)率 102Mpps,支持 WEB 網(wǎng)管 , SNMP 等。在匯聚層使用三層交換機(jī)的目的是為了減輕核心層的負(fù)擔(dān)。S310026TPSI 交換機(jī)滿(mǎn)足教工區(qū)、圖書(shū)館、學(xué)生區(qū)的網(wǎng)絡(luò)需求。 H3C 360028PEI 交換機(jī)，它的背板帶 寬 32Gbps,包轉(zhuǎn)發(fā)率 , 提供了 24 個(gè)10/100Mbps 端口和 4 個(gè)固化的千兆光電 Combo 端口 ,在提供智能的流分類(lèi)、完善的服務(wù)質(zhì)量（ QoS）和組播應(yīng)用管理特性同時(shí)，并可以根據(jù)網(wǎng)絡(luò)實(shí)際使用環(huán)境，實(shí)施靈活多樣的安全控制策略，可有效防止和控制病毒傳播和網(wǎng)絡(luò)攻擊，控制非法用戶(hù)使用網(wǎng)絡(luò)，保證合法用戶(hù)合理使用網(wǎng)絡(luò)資源，充分保障網(wǎng)絡(luò)安全和網(wǎng)絡(luò)合理化使用和運(yùn)營(yíng)。H3C 310026TPSI可針對(duì)用戶(hù)的不同情況進(jìn)行端口帶寬分配，并采用業(yè)界最先進(jìn)的 接入控制策略，簡(jiǎn)化認(rèn)證的同時(shí)實(shí)現(xiàn)高效的用戶(hù)控制能力，其靈活的帶寬分配功能和安全的用戶(hù)接入控制功能使此款交換機(jī)特別適合