【正文】 模塊通過與安全策略服務(wù)器的聯(lián)動，實現(xiàn)對無線接入用戶的端點準(zhǔn)入防御，提高了整網(wǎng)的安全性。 校園網(wǎng)絡(luò)設(shè)計方案 第 11 頁, 共 59 頁S7510E 具有高轉(zhuǎn)發(fā)性能，整機具有 1152Gbps 交換 容量、 773Mpps 轉(zhuǎn)發(fā)性能，同時，S7510E 采用全分布式 轉(zhuǎn)發(fā)，并采用最 長匹配、逐包轉(zhuǎn)發(fā)的處理機制，保證業(yè)務(wù)的高速率轉(zhuǎn)發(fā)。在安全性方面，核心交換機應(yīng)既能保障自身的運行安全，也能通過一些安全機制保障所承載業(yè)務(wù)的安全。選用的核心交換機是從可靠性、性能、業(yè)務(wù)特性、安全特性以及可擴展性等多個方面進行綜合考慮。同時，為加強對接入用戶的控制和管理，系統(tǒng)還部署用戶認證、 計費管理系統(tǒng)。 校園網(wǎng)絡(luò)設(shè)計方案 第 9 頁, 共 59 頁網(wǎng)絡(luò)出口實現(xiàn)校園網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的互聯(lián)，包括與教育科、互聯(lián)網(wǎng)的互聯(lián)，網(wǎng)絡(luò)出口需實現(xiàn)校園網(wǎng)與外部網(wǎng)絡(luò)的隔離，網(wǎng)絡(luò)出口配置 1 臺路由器設(shè)備實現(xiàn)與外部網(wǎng)絡(luò)互聯(lián)，同時提供地址轉(zhuǎn)換等服務(wù)，配置 應(yīng) 用控制網(wǎng)關(guān)， 實現(xiàn)出口帶寬的管理，并對校園網(wǎng)用戶實現(xiàn) 行為審計等功能。接入層設(shè)備以選擇二層交換機為主，設(shè)備應(yīng)具有靈活的擴展能力，支持堆疊， 校園網(wǎng)絡(luò)設(shè)計方案 第 8 頁, 共 59 頁具有強安全性，可以實現(xiàn) IP、MAC、端口的 綁定，支持 認證，支持 DHCP Snooping ，防止非法 DHCP 接入和 ARP 攻擊。XX 學(xué)院匯聚層設(shè)立將根據(jù)現(xiàn)有的信息點分布，結(jié)合綜合布線系統(tǒng)等多因素，一般而言，以建筑物/功能區(qū) 為單位設(shè)立匯聚層，即每個單體建筑/ 功能區(qū)設(shè)立一個網(wǎng)絡(luò)匯聚層，如數(shù)據(jù)中心和網(wǎng)絡(luò)出口分別設(shè)于匯聚層，同時對于學(xué)生宿舍區(qū)，可以采用多幢學(xué)生宿舍共用 1 個網(wǎng)絡(luò)匯聚層的方式。對 于 XX 學(xué)院主校園的核心層，必 須提供高性能、高可靠的網(wǎng)絡(luò)結(jié)構(gòu)，推薦 校園網(wǎng)絡(luò)設(shè)計方案 第 7 頁, 共 59 頁采用高可靠的多設(shè)備冗余的星型結(jié)構(gòu)。 網(wǎng)絡(luò)層次化設(shè)計在校園園區(qū)網(wǎng)絡(luò)整體設(shè)計中，采用層次化、模 塊化的網(wǎng)絡(luò)設(shè)計結(jié)構(gòu)，并 嚴格定義各層功能模型，不同層 次關(guān)注不同的特性配置。所以在建設(shè)時要充分考慮業(yè)務(wù)的擴展能力，能針對不同的用戶需求提供豐富的寬帶增值業(yè)務(wù)，使網(wǎng)絡(luò)具有自我造血機制，實現(xiàn)以網(wǎng)養(yǎng)網(wǎng)。、 建設(shè)校園無線網(wǎng)絡(luò)平臺，提高網(wǎng)絡(luò)接入的覆蓋能力，校園用戶更易于使用學(xué)院資源。根據(jù)國家示范性高等職業(yè)院校建設(shè)項目的要求，XX 學(xué)院擬完善數(shù)字化校園網(wǎng)絡(luò)平臺， 為數(shù)字化教學(xué)平臺提供一個良好的支撐平臺。方案參考了學(xué)院《數(shù)字化校園網(wǎng)絡(luò)平臺項目（第一期）建設(shè)實施方案》內(nèi)容。、 3 、 網(wǎng)絡(luò)平臺建設(shè)方案 網(wǎng)絡(luò)設(shè)計原則廣州 XX 職業(yè)技術(shù)學(xué)院校園網(wǎng)建設(shè)要實現(xiàn)內(nèi)部全方位的數(shù)據(jù)共享，應(yīng)用三層交換，提供全面的 QoS 保障服 務(wù)，使網(wǎng)絡(luò)安全可靠，從而實現(xiàn)教育管理、多媒體教學(xué)自動化，必須具備高性能、高安全性、高可靠性，可管理、可增值特性以及開放性、兼容性、可擴展性。 校園網(wǎng)絡(luò)設(shè)計方案 第 6 頁, 共 59 頁可擴充性考慮到學(xué)院用戶數(shù)量和業(yè)務(wù)種類發(fā)展的不確定性，要求對于核心交換機與匯聚交換機具有強大的擴展功能，學(xué)院網(wǎng)絡(luò)要建設(shè)成完整統(tǒng)一、組網(wǎng)靈活、易 擴充的彈性網(wǎng)絡(luò)平臺，能夠隨著需求變化，充分留有 擴充余地。根據(jù)廣州 XX 職業(yè)技術(shù)學(xué)院的網(wǎng)絡(luò)分布情況，校園網(wǎng)共分成核心層、 匯聚層和接入層三層。對于校園網(wǎng)核心層設(shè)備，應(yīng)該在提供大容量、高性能 L2/L3 交換服務(wù)基礎(chǔ)上，能夠進一步融合了硬件 IPv網(wǎng) 絡(luò)安全、網(wǎng)絡(luò)業(yè)務(wù)分析等智能特性，可為校園園區(qū)構(gòu)建融合業(yè)務(wù)的基礎(chǔ)網(wǎng)絡(luò)平臺，進而幫助用戶實現(xiàn) IT 資源整合的需求。對于校園園區(qū)網(wǎng)的匯聚層設(shè)備，應(yīng)該能夠承載校園園區(qū)的多種融合業(yè)務(wù)，能夠融合 IPv網(wǎng)絡(luò)安全、流量分析等多種業(yè)務(wù)，提供不間斷轉(zhuǎn)發(fā)、優(yōu)雅重啟、 環(huán)網(wǎng)保護等多種高可靠技術(shù)，能 夠承載校園園區(qū)融合業(yè)務(wù)的需求。 校園網(wǎng)絡(luò)總體結(jié)構(gòu)校園網(wǎng)絡(luò)平臺將采用層次化通用結(jié)構(gòu)設(shè)計，采用核心層、匯聚層和接入層三層架構(gòu)，包括網(wǎng)絡(luò)骨干、數(shù)據(jù)中心、網(wǎng)絡(luò)出口、網(wǎng)絡(luò)接入、無線網(wǎng)絡(luò)等五大部分。網(wǎng)絡(luò)接入層提供校園網(wǎng)用戶的接入，并實現(xiàn)網(wǎng)絡(luò)接入的安全防御，如 ARP攻擊防護，同時，結(jié)合用戶管理系統(tǒng)實現(xiàn)對接入用戶認證、 計費等管理。 核心層設(shè)計XX 學(xué)院主校區(qū)設(shè)立整個校園網(wǎng)的核心層，同時，在新機場實訓(xùn)基地設(shè)立分核心。在可靠性方面，核心交換機應(yīng)達到 %的高可靠性，采用全模塊化設(shè)計，電源、風(fēng) 扇、引擎、業(yè)務(wù)模塊等均可實現(xiàn)熱插拔，支持電源、引擎等關(guān)鍵部件的1+1 冗余 熱備 份，支持 VRRP、路由優(yōu)雅（GR）等高可靠性協(xié)議，實現(xiàn)核心層的業(yè)務(wù)不間斷轉(zhuǎn)發(fā)?；谏鲜鲆蛩?，我們建議核心交換機采用 H3C S7510E 高端交換機。S7510E 中配置的所有接口均可 實現(xiàn)線速轉(zhuǎn)發(fā)。H3C S7500E 是業(yè)界最高密度的以太網(wǎng)無源光網(wǎng) 絡(luò)（EPON）設(shè)備，單臺最大可接入 10240 個 FTTH 用戶；H3C S7500E 是高可靠的 EPON 系統(tǒng)，采用分布式體系結(jié)構(gòu)、模塊化設(shè)計，主控板冗余熱備份、無源背板、冗余電源支持雙路供電，具有電信級可靠性。?政府電力城域網(wǎng)邊緣和匯聚的最佳選擇H3C S7500E 支持 VRFLite 特性，為用戶提供高可靠高性能的 MCE 設(shè)備；通過配置 Salience VITurbo 引擎，可以提供集中式 MPLS 業(yè)務(wù)功能，適合在城域網(wǎng)邊緣作為高性價 PE 設(shè)備使用；通過配置 EA 類板卡，可以提供分布式線速的MPLS 業(yè)務(wù)功能，適合在城域網(wǎng)匯聚層作為高性能的 PE 使用。H3C S7500E 既支持有線終端用戶的 EAD，也支持無線終端用戶的 EAD，能 夠做到終端安全防范無漏洞。通過上述技術(shù)， H3C S7500E 可以在承載多業(yè)務(wù)的情況下不間斷運行，實現(xiàn)業(yè)務(wù)的永續(xù)。 數(shù)據(jù)中心設(shè)計為實現(xiàn)對校園網(wǎng)服務(wù)器統(tǒng)一管理和控制，同時考慮到擴展性，服務(wù)器的接入獨立配置交換機實現(xiàn)，為保 證服務(wù)器接入的高可用性，配置 2 臺全千兆三層路由交換機，數(shù)據(jù)中心交換機通 過 VRRP 協(xié)議實現(xiàn)互為熱備 和負載分擔(dān)。在安全性方面，數(shù)據(jù)中心交換機具有安全機制保障所承載業(yè)務(wù)的安全。S7502E 具有高轉(zhuǎn)發(fā)性能，整機具有 192Gbps 交換容量、143Mpps 轉(zhuǎn)發(fā)性能，同時，S7502E 采用全分布式 轉(zhuǎn)發(fā)，并采用最 長匹配、逐包轉(zhuǎn)發(fā)的處理機制，保證業(yè)務(wù)的高速率轉(zhuǎn)發(fā)。在業(yè)務(wù)特性方面，匯聚交換機支持豐富的 QoS 特性，可保障重要業(yè)務(wù)得到優(yōu)先轉(zhuǎn)發(fā)；支持 IPv6，可平穩(wěn)過 渡到下一代網(wǎng)絡(luò)。IPv4 到 IPv6 的演變是以太網(wǎng)發(fā)展的大勢所趨，網(wǎng) 絡(luò)設(shè)備對 于 IPv6 的支持不僅是簡單的可用就行，而是需要達到商用的標(biāo)準(zhǔn)， S5500EI 已經(jīng)通過了國際最權(quán)威的 IPv6 Ready 第二階 段認證，而且通過了信息產(chǎn)業(yè)部嚴格的 IPv6 入網(wǎng)測試。H3C S5500EI 系列交換機提供增強的 ACL 控制邏輯 ，支持超大容量的入端口和出端口 ACL，并且支持基于 VLAN 的 ACL 下發(fā)，在簡化用戶配置過程的同時，避免了 ACL 資源的浪 費。除了設(shè)備級可靠性以外，還支持豐富的鏈路可靠性以外，還支持豐富的鏈路可靠性技術(shù)，比如華三通信獨 創(chuàng)的 RRPP 快速環(huán)網(wǎng)保護機制。同時通過設(shè)置 Voice VLAN 安全特性，只允許語音流量通過，可以有效防止突發(fā)數(shù)據(jù)流量對 Voice VLAN 內(nèi)的語音流量的沖擊。提供靈活的 對列 調(diào)度算法，可以同 時基于端口和隊列進行設(shè)置，支持 SP（Strict Priority）、WRR（Weighted Round Robin）、SP+WRR 三種模式。支持 CLI命令行，Web 網(wǎng)管， TELNET，HGMP 集群管理，使設(shè)備管理更方便，并且支持 等加密方式，使得管理更加安全。網(wǎng)絡(luò)出口配置 1 臺高端路由器，路由器實現(xiàn)外部網(wǎng)絡(luò)互聯(lián)，并提供 NAT 功能，配置 1 臺應(yīng)用控制網(wǎng)關(guān)，實現(xiàn)對出口帶寬的靈活 調(diào)配，并 實現(xiàn)對用戶行為進行審計和監(jiān)管。在業(yè)務(wù)特性方面，路由器支持豐富的 QoS 特性，可保障重要業(yè)務(wù)得到優(yōu)先轉(zhuǎn)發(fā)；支持 IPv6，可平穩(wěn)過渡到下一代網(wǎng)絡(luò)。H3C ACG 具有以下優(yōu)點：強大的 P2P/IM 業(yè)務(wù)監(jiān)控通過 H3C 長期積累的狀態(tài)機檢測技術(shù)，能精確檢測 Thunder（迅雷）、BitTorrent、eMule（電騾）、eDonkey （電驢）、 、MSN、PPLive 等近百種 P2P/IM應(yīng)用。豐富的報表提供業(yè)務(wù)流量趨勢圖、流量分布圖、 Top N 用戶列表、Top N 應(yīng)用協(xié)議列表等報表，并支持按照用戶名 /用戶組、使用 頻度、使用時段、應(yīng)用分類、應(yīng)用協(xié)議、流量大小等進行多維度組合定制報表，使用戶能全面掌握網(wǎng)絡(luò)中的流量、應(yīng)用和業(yè)務(wù)分布， 為合理規(guī)劃網(wǎng)絡(luò) 、制定流量控制策略提供依據(jù)。用戶行為分析采用先進的技術(shù)分析手段，全面分析網(wǎng)絡(luò)應(yīng)用的流量類型和流量流向趨勢，統(tǒng)計網(wǎng)絡(luò)熱點，發(fā)掘業(yè)務(wù)增 長點；分析用戶行為， 統(tǒng)計 用戶興趣， 為個性化運營提供依據(jù)，并通過開放的平臺接口，與第三方 業(yè)務(wù)平臺 對接，提供高附加 值業(yè)務(wù)，如在用戶行為興趣分析的基礎(chǔ)上提供定向 WEB 廣告服務(wù)。 接入層設(shè)計接入層實現(xiàn)各終端電腦的高速接入，根據(jù)各業(yè)務(wù)系統(tǒng)的分布，可采用千兆到桌面以及百兆到桌面兩種方案。接入層交換機，我們建議千兆交換機選用 H3C S5100 系列交換機，百兆到桌面選用 H3C 為教育行業(yè)用戶專門研發(fā)的 E 系列交換機。H3C S5100EI 系列交換機采用專利技術(shù)允許交換機利用 專用互聯(lián)電纜實現(xiàn)多達 16 臺設(shè)備的堆疊，支持不同端口設(shè)備的混合堆疊。H3C S5100EI 系列交換機支持特有的 ARP 入侵檢測功能，可有效防止黑客或攻擊者通過 ARP 報文實施網(wǎng)絡(luò)中逐漸盛行的“中 間人 ”攻擊，對不符合 DHCP Snooping 動態(tài)綁 定表或手工配置的靜態(tài)綁定表的非法 ARP 欺騙報文直接丟棄?？梢?實現(xiàn)基于 MAC 地址允許/限制流量，或者 設(shè)定每個端口允許的MAC 地址的最大數(shù)量，使得某個特定端口上的 MAC 地址可以由管理員靜態(tài)配置，或者由交換機動態(tài)學(xué)習(xí)。同時還支持客戶端軟件版本檢測、Guest VLAN 等功能，和 CAMS 服務(wù)器配合還可以實現(xiàn)代理檢測、雙網(wǎng)卡檢測等功能。支持流量整形保證以太網(wǎng)交換機可以對輸出報文速率進行控制。并且支持 等加密方式，使得管理更加安全。同 時支持 IP Source Check 特性，防止包括 MAC 欺 騙、IP 欺騙、MAC/IP 欺騙在內(nèi)的非法地址仿冒，以及大流量地址仿冒帶來的 DoS 攻擊。E126A/E152 教育網(wǎng)交換機有強大硬件 ACL 能力，能深度識別報文，支持L2～L4 包過濾 功能，提供基于源 MAC 地址、目的 MAC 地址、源 IP 地址、目的IP 地址、IP 協(xié)議類型、 TCP/UDP 端口、TCP/UDP 端口范圍、VLAN、 VLAN 范圍等定義 ACL，以便交換機進行后續(xù)的處理。支持 CLI 命令行， Web 網(wǎng)管， Tel，HGMP 集群管理，使設(shè)備管理更方便。設(shè)備支持 2/4 個 GE 上行，采用固定電口和通用 SFP 的靈活千兆連接方式，在降低用戶 成本的同時，更好的考 慮了用戶后續(xù)升級的實際需求。豐富的業(yè)務(wù)支持能力H3C E126A/E152 教育網(wǎng)交換機支持 SP（Strict Priority）、WRR（Weighted Round Robin）、SP+WRR 三種隊列調(diào)度算法，支持每個端口 4/8 個輸出隊列，可以以不同的優(yōu)先級將報文放入端口的輸出隊列。 校園網(wǎng)絡(luò)設(shè)計方案 第 26 頁, 共 59 頁第一代無線局域網(wǎng)主要是采用 Fat AP（即“胖”AP ），每一臺 AP 都要單獨進行配置，費時、費力、 費成本；第二代無線局域網(wǎng)融入了無線網(wǎng)關(guān)功能但還是不能集中進行管理和配置，其管理性和安全性以及對有線 網(wǎng)絡(luò)的依賴成為了第一代和第二代 WLAN 產(chǎn)品發(fā)展的瓶頸，由于這一代技術(shù) 的 AP 儲存了大量的網(wǎng) 絡(luò)和安全的配置，包括加密的鑰匙，Radius client 的安全密碼 (secret) 等，而 AP 又是分散在建筑物中的各個位置，一旦 AP 的配置被盜取 讀出并修改，其無 線網(wǎng) 絡(luò)系統(tǒng)就失去了安全性。使得無線局域網(wǎng)的網(wǎng)絡(luò)性能、網(wǎng)絡(luò)管理和安全管理能力得以大幅提高。無 線 控制器模塊最大可管理 640個 AP，通 過在 S7510E 中集成無線控制器模塊，將充分利用核心交換機的高可靠性和高處理性能，同時，與有線網(wǎng)絡(luò)的融合度更高。 校園網(wǎng)絡(luò)設(shè)計方案 第 29 頁, 共 59 頁在設(shè)備選型中，我們建議無線局域網(wǎng)與交換機采用相同的品牌，以確保系統(tǒng)的兼容性，并實現(xiàn)統(tǒng)一化管理。? 三層漫游無線控制器支持三層漫游，并支持快速漫游，漫游切換時間小于 50ms，滿足對切換時間要求最苛刻的語音業(yè)務(wù)。AP 的功率 調(diào)整和信道切換是網(wǎng)絡(luò) 部署和調(diào)試時不可缺少的重要手段，信道和功率還需要按照國家代碼自動設(shè)置，無線控制器的 RF 管理功能使得網(wǎng)絡(luò)部署非常簡單。 AP 和無線控制器之間可以穿過IPv6 網(wǎng) 絡(luò)互聯(lián)，從而使組 網(wǎng)方式更加靈活，可以滿足今后網(wǎng)絡(luò)發(fā)展的需要，保護用戶投資。在校園網(wǎng)絡(luò)建設(shè)中，網(wǎng)絡(luò)安全建設(shè)主要包括以下幾大部分：、 對重點區(qū)域的安全隔離和訪問控制，通過增加防火墻，實現(xiàn)對業(yè)務(wù)系統(tǒng)資源和外部網(wǎng)絡(luò)安全隔離和訪問權(quán)限的控制。 出口帶寬監(jiān)管校園網(wǎng)絡(luò)應(yīng)用層出不窮，在大大提升了用戶的工作效率的同時也帶來許多負面影響，針對用戶行為控制的解決方案，需要能夠 解決以下問題：用戶通過 P2P 下載電影