【正文】 C 地址作為身份證明，這種驗(yàn)證方式可以讓所有符合 標(biāo)準(zhǔn)的終端都可以接入到 WLAN 網(wǎng)絡(luò)中來。 ? 用戶認(rèn)證規(guī)劃 WLAN 終端認(rèn)證 IEEE 標(biāo)準(zhǔn)要求 WLAN 終端在準(zhǔn)備連接到網(wǎng)絡(luò)時，必需進(jìn)行 “ 身份驗(yàn)證 ” 。 校園網(wǎng)網(wǎng)絡(luò)改造技術(shù)方案 ? 無線設(shè)備 IP 地址規(guī)劃 AC用于管理 AP，如果在網(wǎng)絡(luò)中需要部署獨(dú)立 AC,IP 地址一般通過靜 態(tài)手工配置。 網(wǎng)絡(luò)出口部署防火墻，其中需要起到的主要作用有： 安全防御 ： 防御來自互聯(lián)網(wǎng)的各種網(wǎng)絡(luò)威脅； 應(yīng)用流量控制： 針對互聯(lián)網(wǎng)進(jìn)行流量控制，針對時間、用戶、應(yīng)用實(shí)施策略，比如在辦公時間內(nèi)限制 P2P流量，保障郵件、 WEB、視頻會議等辦公應(yīng)用。在校內(nèi)網(wǎng)的 SSID 內(nèi)， BRAS 會識別教師賬號，提供自由訪問內(nèi)網(wǎng)資源以及免費(fèi)互2021 年中北大學(xué)建設(shè)萬兆校園網(wǎng)項(xiàng)目 山西信息 規(guī)劃 設(shè)計(jì)院 有限公司 xxix 聯(lián)網(wǎng)資源。 針對有線不同運(yùn)營商用戶上網(wǎng)的流量模型示意圖為： 2021 年中北大學(xué)建設(shè)萬兆校園網(wǎng)項(xiàng)目 山西信息 規(guī)劃 設(shè)計(jì)院 有限公司 xxviii 備注說明： 針對教師家屬樓區(qū)域，建議另外單獨(dú)配置有線家庭賬號，以把教師的辦公賬號和家庭賬號分開，以便更好管理，也方便教師把工作和家庭生活所進(jìn)行的網(wǎng)絡(luò)需求分開。 NIP 還可以與防火墻進(jìn)行聯(lián)動，針對具體的網(wǎng)絡(luò)應(yīng)用部署保護(hù)策略。 Inter上的安全服務(wù)中心能夠給 USG提供 IPS簽名庫和病毒庫在線升級，2021 年中北大學(xué)建設(shè)萬兆校園網(wǎng)項(xiàng)目 山西信息 規(guī)劃 設(shè)計(jì)院 有限公司 xxvii 可保證 USG 上時刻保持最新的 IPS 簽名庫和病毒庫，使入侵防御和反病毒功能更有效。 當(dāng)數(shù)據(jù)中心使用 數(shù)據(jù)中心 交換機(jī)作為核心樞紐，具有如下優(yōu)勢： 本方案中，將防火墻部署在數(shù)據(jù)中心的出口處，配置基本的防火墻功能、入侵防御功能、反病毒攻擊功能和 URL 過濾功能。 USG 能承載多網(wǎng)絡(luò)出口，對多網(wǎng)絡(luò)出口實(shí)現(xiàn)智能的流量負(fù)載分擔(dān)， 隨著教育信息化的發(fā)展，教育云數(shù)據(jù)中心是校園網(wǎng)絡(luò)的發(fā)展趨勢。 合作伙伴 /訪客與校園 DMZ 區(qū)域的訪問控制，實(shí)現(xiàn)合作伙伴 /訪客與校園 DMZ區(qū)域的安全隔離。 BRAS 部署時采用主備方式，用戶的接入信 息備份到備設(shè)備上，當(dāng)主設(shè)備的鏈路、接口、單板或者整機(jī)出現(xiàn)故障時，能夠快速將業(yè)務(wù)切換至備用設(shè)備。 快速的故障收斂 鏈路故障收斂時間可以控制在 10ms 以下，大大降低了網(wǎng)絡(luò)鏈路 /節(jié)點(diǎn)的故障對業(yè)務(wù)的影響。 相對傳統(tǒng)方案，這個方案有以下優(yōu)勢： 高可靠性 堆疊系統(tǒng)的成員設(shè)備之間冗余備份；堆疊支持跨設(shè)備的鏈路聚合功能，實(shí)現(xiàn)跨設(shè)備的鏈路冗余備份。 配置維護(hù)復(fù)雜，網(wǎng)絡(luò)故障率高 每個接入交換機(jī)和匯聚交換機(jī)都需要運(yùn)行 STP 協(xié)議，隨著接入交換機(jī)的增加，交換機(jī)需要處理的 STP 也越來越復(fù)雜，會導(dǎo)致可靠性問題。 ? 傳統(tǒng)可靠性方案 傳統(tǒng)的可靠性方案是 STP（ Spanning Tree Protocol），該方案通過阻塞環(huán)路中的某條鏈路來實(shí)現(xiàn)二層數(shù)據(jù)幀的無環(huán)轉(zhuǎn)發(fā)。 接入層需要具有高密度、高速率的端口，以支持更多的終端接入校園網(wǎng)絡(luò)。這樣既簡化了配置和管理，又提高了網(wǎng)絡(luò)的可靠性和擴(kuò)展能 力。匯聚層將大量用戶接入到互聯(lián)的網(wǎng)絡(luò)中，模塊化擴(kuò)展接入核心層設(shè)備的用戶數(shù)量。每臺邏輯交換機(jī)獨(dú)立工作，在業(yè)務(wù)功能上等同于一臺獨(dú)立的傳統(tǒng)物理交換機(jī)，可以在不同的邏輯交換機(jī)上按照用戶需要部署不同的業(yè)務(wù)。 核心層需要采用全連接結(jié)構(gòu)，保持核心層設(shè)備的配置盡量簡單，并且和校2021 年中北大學(xué)建設(shè)萬兆校園網(wǎng)項(xiàng)目 山西信息 規(guī)劃 設(shè)計(jì)院 有限公司 xxii 園網(wǎng)的具體業(yè)務(wù)無關(guān)。同時 BRAS 需要有強(qiáng)大的認(rèn)證計(jì)費(fèi)功能，才能滿足校園網(wǎng)的大用戶量、高并發(fā)連接數(shù)、多樣化計(jì)費(fèi)的需求。 2021 年中北大學(xué)建設(shè)萬兆校園網(wǎng)項(xiàng)目 山西信息 規(guī)劃 設(shè)計(jì)院 有限公司 xxi 冗余性設(shè)計(jì) 雙節(jié)點(diǎn)冗余性 設(shè)計(jì)，適當(dāng)?shù)娜哂嘈蕴岣呖煽啃?，過度的冗余不便于運(yùn)行維護(hù)。 每個匯聚節(jié)點(diǎn)部署雙設(shè)備冗余，通過 10G 鏈路與網(wǎng)絡(luò)核心互聯(lián)，再通過核心區(qū)域連通互聯(lián)網(wǎng)。一個網(wǎng)絡(luò)信息中心的設(shè)計(jì)有利于發(fā)揮資源的整合優(yōu)勢，并且有利于統(tǒng)一管理和維護(hù)。 網(wǎng)絡(luò)融化統(tǒng)一，包含網(wǎng)絡(luò)有線無線、安全與通信的融合； 支持分支接入、遠(yuǎn)程接入、外部用戶訪問等各種外聯(lián)場景。 以核心節(jié)點(diǎn)為 “ 根 ” 的星型分層拓?fù)?，架?gòu)穩(wěn)定，易于擴(kuò)展和維護(hù)。 ? 物理架構(gòu) 2021 年中北大學(xué)建設(shè)萬兆校園網(wǎng)項(xiàng)目 山西信息 規(guī)劃 設(shè)計(jì)院 有限公司 xviii 網(wǎng)絡(luò)組網(wǎng)描述： 網(wǎng)絡(luò)出口：采用兩臺 USG 防火墻作為出口，承載多網(wǎng)絡(luò)線路，啟用 USG 上的鏈路均衡和智能選路功能，發(fā)揮多線路資源的優(yōu)勢，提升內(nèi)網(wǎng)用戶上網(wǎng)體驗(yàn)。 數(shù)據(jù)中心 部署服務(wù)器和應(yīng)用系統(tǒng)的區(qū)域。 匯聚層 匯聚層將眾多的接入設(shè)備和大量用戶經(jīng)過一次匯聚后再接入到核心層，擴(kuò)展核心層接入用戶的數(shù)量。 ? 邏輯架構(gòu) 2021 年中北大學(xué)建設(shè)萬兆校園網(wǎng)項(xiàng)目 山西信息 規(guī)劃 設(shè)計(jì)院 有限公司 xvii 校園出口 校園出口區(qū)域既負(fù)責(zé)對校園網(wǎng)用戶的統(tǒng)一接入，也負(fù)責(zé)將內(nèi)部的終端用戶接入到公 網(wǎng)、將外部用戶接入到內(nèi)網(wǎng)。對特別重要的業(yè)務(wù)采取物理隔離。 冗余性 關(guān)鍵設(shè)備采用雙節(jié)點(diǎn)冗余設(shè)計(jì)；關(guān)鍵鏈路采用 Trunk 方 式冗余備份或者負(fù)載分擔(dān)；關(guān)鍵設(shè)備的電源、主控板等關(guān)鍵部件冗余備份。因此在校園網(wǎng)中，拓?fù)浣Y(jié)構(gòu)最好以星型結(jié)構(gòu)為主。并且針對互聯(lián)網(wǎng)缺乏行為管控設(shè)備，無法針對網(wǎng)絡(luò)內(nèi)容實(shí)現(xiàn)有效規(guī)范。為了實(shí)現(xiàn)更好的整網(wǎng)精細(xì)化管理的同時，降低網(wǎng)絡(luò)維護(hù)工作量，建議使用整網(wǎng)使用扁平化結(jié)構(gòu)，網(wǎng)絡(luò)主干道采用冗余節(jié)點(diǎn)部署，以增強(qiáng)網(wǎng)絡(luò)的健壯性。2021 年中北大學(xué)建設(shè)萬兆校園網(wǎng)項(xiàng)目 山西信息 規(guī)劃 設(shè)計(jì)院 有限公司 xv 因此校園網(wǎng)絡(luò)改造必須增加合理的校園區(qū)域上 層匯聚節(jié)點(diǎn)。賬號的認(rèn)證是網(wǎng)絡(luò)管理和網(wǎng)絡(luò)效率優(yōu)化提升的前提，做好了認(rèn)證管 理，那么再進(jìn)行的包括流量管理、權(quán)限管理、網(wǎng)絡(luò)質(zhì)量分析、網(wǎng)絡(luò)行為分析、服務(wù)資源管理、計(jì)費(fèi)管理等等細(xì)化管理才能有效進(jìn)行。鑒于現(xiàn)在網(wǎng)絡(luò)應(yīng)用發(fā)展迅速，教育信息化的發(fā)展趨勢有云化、視頻化、遠(yuǎn)程化等，各種教學(xué) 應(yīng)用都對網(wǎng)絡(luò)速率有較高要求，因此建議學(xué)校網(wǎng)絡(luò)核心建設(shè)為 10G 以上核心。到了現(xiàn)在已經(jīng)過了十年的合同簽訂期，設(shè)備老化嚴(yán)重，功能缺失，并且無法實(shí)現(xiàn) WLAN 的覆蓋。網(wǎng)絡(luò)服務(wù)器群通過防火墻實(shí)現(xiàn)網(wǎng)絡(luò)隔離，對校內(nèi)網(wǎng)用戶提供 包括 WEB、 FTP、郵件、 DNS、 VOD、辦公等服務(wù)。其中一半以上的服務(wù)器均為 2021 年 左右購買，目前設(shè)備老化，已經(jīng)不能滿足校園網(wǎng)發(fā)展需要。二級節(jié)點(diǎn)交換機(jī)以 1000 兆速率連接到核心交換機(jī)，整個網(wǎng)絡(luò) 共劃分 VLAN87 個，由天融信防火墻將整個網(wǎng)絡(luò)劃分為三個區(qū)域，內(nèi)網(wǎng)區(qū)域（包括辦公區(qū)、聯(lián)通管轄的區(qū)域?qū)W生公寓和教職工住宅）、外網(wǎng)區(qū)域和 DMZ 區(qū)域。 辦工區(qū)、教學(xué)區(qū)各樓宇聯(lián)網(wǎng)情況 樓宇名稱 是否綜合布線 是否光纖直聯(lián) 各樓層是否有交換機(jī) 主干帶寬 信息點(diǎn)數(shù) 教學(xué)主樓（ 11號樓） 是 是 是 1000M 1026 實(shí)驗(yàn)大樓（ 9號教學(xué)樓） 是 是 是 1000M 480 無損樓 是 是 是 100M 254 重點(diǎn)實(shí)驗(yàn)室 是 是 是 1000M 128 篤學(xué)樓 是 是 是 1000M 120 產(chǎn)業(yè)樓 是 是 是 1000M 96 8 號教學(xué)樓 是 否 否 100M 6 10號教學(xué)樓 是 是 否 1000M 24 圖書館 是 是 是 1000M 582 體館西看臺 是 否 否 100M 60 工程訓(xùn)練中心 是 是 否 100M 96 1 號教學(xué)樓 否 否 否 0 0 工字樓（ 2 號教樓） 否 否 否 100M 24 3 號教學(xué)樓 否 否 否 0 0 4 號教學(xué)樓 否 是 否 1000M 24 制圖樓（ 5 號教學(xué)樓） 否 否 否 100M 28 德懷樓（ 7 號教學(xué)樓） 否 是 否 1000M 24 校醫(yī)園 否 是 否 100M 24 老干部處 否 否 否 100M 12 小白樓 否 否 否 100M 24 科藝苑 否 是 否 1000M 24 4 院辦公樓 否 否 否 100M 24 4 院實(shí)驗(yàn)樓 否 否 否 100M 24 后勤辦公樓 否 否 否 0 0 舊圖書館 否 是 否 1000M 6 藝術(shù)樓辦公樓 否 否 否 100M 24 保衛(wèi)處 否 否 否 100M 24 幼兒園 否 否 否 100M 4 辦公區(qū)合計(jì) 3162 2021 年中北大學(xué)建設(shè)萬兆校園網(wǎng)項(xiàng)目 山西信息 規(guī)劃 設(shè)計(jì)院 有限公司 xii ? 中北大學(xué)網(wǎng)絡(luò)安全現(xiàn)狀 校園網(wǎng) 目前的安全措施比較薄弱，僅有一臺天融信防火墻，能對服務(wù)器起到基本的防護(hù)作用，但對于各部門網(wǎng)站的防護(hù)、各應(yīng)用系統(tǒng)數(shù)據(jù)庫的防護(hù)、校園網(wǎng)內(nèi)網(wǎng)的防護(hù)，功能很弱。家屬區(qū)中，西苑小區(qū)、新南區(qū)的所有樓宇都已進(jìn)行綜合布線， 84 小區(qū)、南苑小區(qū)、舊成教樓沒有進(jìn)行綜合布線。校園網(wǎng)有教育網(wǎng)、中國聯(lián)通、中國移動三個互聯(lián)網(wǎng)出口，帶寬共計(jì) 350Mbps。所以，網(wǎng)絡(luò)的可擴(kuò)展性是網(wǎng)絡(luò)建設(shè)中必須提前規(guī)劃的重點(diǎn)。為此，在網(wǎng)絡(luò)建設(shè)中，需注意超前性與實(shí)用性結(jié)合，確保投資有效，使之能真正發(fā)揮出相應(yīng)的作用。 使用 eSight 網(wǎng)管，可實(shí)現(xiàn)對校園網(wǎng)整網(wǎng)的拓?fù)涔芾怼⒕W(wǎng)絡(luò)資源管理、性能管理、故障管理和配置管理。 ? 認(rèn)證通過后，滿足對不同用戶分配不同訪問權(quán)限的功能。 ? 運(yùn)營范圍全覆蓋 無論是本校區(qū)用戶，還是分校用戶和遠(yuǎn)程接入的用戶，華為都提供了各種融合接入的方案，穩(wěn)定高效的訪問遠(yuǎn)程資源和校園網(wǎng)的資源。 ? 多種接入技術(shù) 無論是有線終端還是無線終端，華為都提供了形式多樣的接入認(rèn)證技術(shù)。無阻塞的網(wǎng)絡(luò)架構(gòu)保證校園網(wǎng)的業(yè)務(wù)質(zhì)量。 華為智慧校園網(wǎng)解決方案 針對校園網(wǎng)面臨的新挑戰(zhàn)，華為提出了融合校園網(wǎng)解決方案來支持校園網(wǎng)的高速發(fā)展。 網(wǎng)絡(luò)行為管理 應(yīng)教育部和公安部的相關(guān)要求，并本著對學(xué)生負(fù)責(zé)的理念，校園網(wǎng)需要提供網(wǎng)絡(luò)行為管理的工具，對學(xué)生進(jìn)行實(shí)名認(rèn)證，對學(xué)生的上網(wǎng)行為進(jìn)行約束，并對上網(wǎng)的行為能夠監(jiān)控記錄，必要時進(jìn)行回溯。網(wǎng) 絡(luò)容易生成環(huán)路，引起廣播風(fēng)暴；當(dāng)產(chǎn)生 ARP 等網(wǎng)絡(luò)攻擊時，影響范圍過大。 隨著高校信息化的發(fā)展，網(wǎng)絡(luò)中所承載內(nèi)容的變化，以及接入終端的多樣化，校園網(wǎng)的建設(shè)也面臨著越來越多的新挑戰(zhàn)。 ? 可維護(hù)性 校園網(wǎng)絡(luò)涉及到多個不同的設(shè)備，并且數(shù)量眾多，而學(xué)校信息中心維護(hù)團(tuán)隊(duì)人力極其有限，因此新升級后的校園網(wǎng)絡(luò)應(yīng)該具有較高的維護(hù)管理性，包括采用集中管控的方式，策略自動下發(fā)，網(wǎng)管集中展現(xiàn)等模型，簡化網(wǎng)絡(luò)運(yùn)維工作量。 2021 年中北大學(xué)建設(shè)萬兆校園網(wǎng)項(xiàng)目 山西信息 規(guī)劃 設(shè)計(jì)院 有限公司 iv 從上圖可以看出，數(shù)字校園可以分為五個層次： （ 1）“網(wǎng)絡(luò)基礎(chǔ)層”：網(wǎng)絡(luò)是數(shù)字校園的基礎(chǔ)設(shè)施，沒有相應(yīng)的網(wǎng)絡(luò)基礎(chǔ)設(shè)施，數(shù)字不能流動，就不可能形成數(shù)字的空間； （ 2）“網(wǎng)絡(luò)基本服務(wù)層”：網(wǎng)絡(luò)基本服務(wù)是數(shù)字流動的軟件 基礎(chǔ)，包括域名服務(wù)、身份認(rèn)證、目錄服務(wù)、網(wǎng)絡(luò)安全、以及公共服務(wù)（如電子郵件、文件傳輸、 Web 發(fā)布）等； （ 3）“應(yīng)用支撐層”：它主要處理業(yè)務(wù)邏輯，將各類數(shù)據(jù)按照業(yè)務(wù)的邏輯規(guī)范管理、組織起來，包括辦公自動化系統(tǒng)、數(shù)字圖書館、管理信息系統(tǒng)和網(wǎng)絡(luò)教學(xué)系統(tǒng)等，它們是數(shù)字校園的核心支持系統(tǒng)； （ 4）“信息服務(wù)層”：它主要處理用戶邏輯，將規(guī)范化的數(shù)據(jù)按照用戶的需要提取出來提供給用戶，為用戶提供服務(wù)，如后勤服務(wù)、信息查詢、決策支持等； （ 5）“個性化門戶（虛擬大學(xué)）”：它是數(shù)字校園的總?cè)肟冢黝愑脩敉ㄟ^門戶進(jìn)入數(shù)字校園， 可以獲得與其身份相對應(yīng)的信息與服務(wù)。 對于網(wǎng)絡(luò)的建設(shè)，早在中北大學(xué)校園網(wǎng)建設(shè)始建于 1