【正文】 C 地址作為身份證明，這種驗證方式可以讓所有符合 標準的終端都可以接入到 WLAN 網(wǎng)絡中來。 ? 用戶認證規(guī)劃 WLAN 終端認證 IEEE 標準要求 WLAN 終端在準備連接到網(wǎng)絡時，必需進行 “ 身份驗證 ” 。 校園網(wǎng)網(wǎng)絡改造技術(shù)方案 ? 無線設備 IP 地址規(guī)劃 AC用于管理 AP，如果在網(wǎng)絡中需要部署獨立 AC,IP 地址一般通過靜 態(tài)手工配置。 網(wǎng)絡出口部署防火墻，其中需要起到的主要作用有： 安全防御 ： 防御來自互聯(lián)網(wǎng)的各種網(wǎng)絡威脅； 應用流量控制： 針對互聯(lián)網(wǎng)進行流量控制，針對時間、用戶、應用實施策略，比如在辦公時間內(nèi)限制 P2P流量，保障郵件、 WEB、視頻會議等辦公應用。在校內(nèi)網(wǎng)的 SSID 內(nèi)， BRAS 會識別教師賬號，提供自由訪問內(nèi)網(wǎng)資源以及免費互2021 年中北大學建設萬兆校園網(wǎng)項目 山西信息 規(guī)劃 設計院 有限公司 xxix 聯(lián)網(wǎng)資源。 針對有線不同運營商用戶上網(wǎng)的流量模型示意圖為： 2021 年中北大學建設萬兆校園網(wǎng)項目 山西信息 規(guī)劃 設計院 有限公司 xxviii 備注說明： 針對教師家屬樓區(qū)域，建議另外單獨配置有線家庭賬號，以把教師的辦公賬號和家庭賬號分開，以便更好管理，也方便教師把工作和家庭生活所進行的網(wǎng)絡需求分開。 NIP 還可以與防火墻進行聯(lián)動，針對具體的網(wǎng)絡應用部署保護策略。 Inter上的安全服務中心能夠給 USG提供 IPS簽名庫和病毒庫在線升級，2021 年中北大學建設萬兆校園網(wǎng)項目 山西信息 規(guī)劃 設計院 有限公司 xxvii 可保證 USG 上時刻保持最新的 IPS 簽名庫和病毒庫，使入侵防御和反病毒功能更有效。 當數(shù)據(jù)中心使用 數(shù)據(jù)中心 交換機作為核心樞紐，具有如下優(yōu)勢： 本方案中，將防火墻部署在數(shù)據(jù)中心的出口處，配置基本的防火墻功能、入侵防御功能、反病毒攻擊功能和 URL 過濾功能。 USG 能承載多網(wǎng)絡出口，對多網(wǎng)絡出口實現(xiàn)智能的流量負載分擔， 隨著教育信息化的發(fā)展，教育云數(shù)據(jù)中心是校園網(wǎng)絡的發(fā)展趨勢。 合作伙伴 /訪客與校園 DMZ 區(qū)域的訪問控制，實現(xiàn)合作伙伴 /訪客與校園 DMZ區(qū)域的安全隔離。 BRAS 部署時采用主備方式，用戶的接入信 息備份到備設備上，當主設備的鏈路、接口、單板或者整機出現(xiàn)故障時，能夠快速將業(yè)務切換至備用設備。 快速的故障收斂 鏈路故障收斂時間可以控制在 10ms 以下，大大降低了網(wǎng)絡鏈路 /節(jié)點的故障對業(yè)務的影響。 相對傳統(tǒng)方案，這個方案有以下優(yōu)勢： 高可靠性 堆疊系統(tǒng)的成員設備之間冗余備份；堆疊支持跨設備的鏈路聚合功能，實現(xiàn)跨設備的鏈路冗余備份。 配置維護復雜，網(wǎng)絡故障率高 每個接入交換機和匯聚交換機都需要運行 STP 協(xié)議，隨著接入交換機的增加，交換機需要處理的 STP 也越來越復雜，會導致可靠性問題。 ? 傳統(tǒng)可靠性方案 傳統(tǒng)的可靠性方案是 STP（ Spanning Tree Protocol），該方案通過阻塞環(huán)路中的某條鏈路來實現(xiàn)二層數(shù)據(jù)幀的無環(huán)轉(zhuǎn)發(fā)。 接入層需要具有高密度、高速率的端口，以支持更多的終端接入校園網(wǎng)絡。這樣既簡化了配置和管理，又提高了網(wǎng)絡的可靠性和擴展能 力。匯聚層將大量用戶接入到互聯(lián)的網(wǎng)絡中，模塊化擴展接入核心層設備的用戶數(shù)量。每臺邏輯交換機獨立工作，在業(yè)務功能上等同于一臺獨立的傳統(tǒng)物理交換機，可以在不同的邏輯交換機上按照用戶需要部署不同的業(yè)務。 核心層需要采用全連接結(jié)構(gòu)，保持核心層設備的配置盡量簡單，并且和校2021 年中北大學建設萬兆校園網(wǎng)項目 山西信息 規(guī)劃 設計院 有限公司 xxii 園網(wǎng)的具體業(yè)務無關(guān)。同時 BRAS 需要有強大的認證計費功能，才能滿足校園網(wǎng)的大用戶量、高并發(fā)連接數(shù)、多樣化計費的需求。 2021 年中北大學建設萬兆校園網(wǎng)項目 山西信息 規(guī)劃 設計院 有限公司 xxi 冗余性設計 雙節(jié)點冗余性 設計，適當?shù)娜哂嘈蕴岣呖煽啃裕^度的冗余不便于運行維護。 每個匯聚節(jié)點部署雙設備冗余，通過 10G 鏈路與網(wǎng)絡核心互聯(lián)，再通過核心區(qū)域連通互聯(lián)網(wǎng)。一個網(wǎng)絡信息中心的設計有利于發(fā)揮資源的整合優(yōu)勢，并且有利于統(tǒng)一管理和維護。 網(wǎng)絡融化統(tǒng)一，包含網(wǎng)絡有線無線、安全與通信的融合； 支持分支接入、遠程接入、外部用戶訪問等各種外聯(lián)場景。 以核心節(jié)點為 “ 根 ” 的星型分層拓撲，架構(gòu)穩(wěn)定，易于擴展和維護。 ? 物理架構(gòu) 2021 年中北大學建設萬兆校園網(wǎng)項目 山西信息 規(guī)劃 設計院 有限公司 xviii 網(wǎng)絡組網(wǎng)描述： 網(wǎng)絡出口：采用兩臺 USG 防火墻作為出口，承載多網(wǎng)絡線路，啟用 USG 上的鏈路均衡和智能選路功能，發(fā)揮多線路資源的優(yōu)勢，提升內(nèi)網(wǎng)用戶上網(wǎng)體驗。 數(shù)據(jù)中心 部署服務器和應用系統(tǒng)的區(qū)域。 匯聚層 匯聚層將眾多的接入設備和大量用戶經(jīng)過一次匯聚后再接入到核心層，擴展核心層接入用戶的數(shù)量。 ? 邏輯架構(gòu) 2021 年中北大學建設萬兆校園網(wǎng)項目 山西信息 規(guī)劃 設計院 有限公司 xvii 校園出口 校園出口區(qū)域既負責對校園網(wǎng)用戶的統(tǒng)一接入，也負責將內(nèi)部的終端用戶接入到公 網(wǎng)、將外部用戶接入到內(nèi)網(wǎng)。對特別重要的業(yè)務采取物理隔離。 冗余性 關(guān)鍵設備采用雙節(jié)點冗余設計；關(guān)鍵鏈路采用 Trunk 方 式冗余備份或者負載分擔；關(guān)鍵設備的電源、主控板等關(guān)鍵部件冗余備份。因此在校園網(wǎng)中，拓撲結(jié)構(gòu)最好以星型結(jié)構(gòu)為主。并且針對互聯(lián)網(wǎng)缺乏行為管控設備，無法針對網(wǎng)絡內(nèi)容實現(xiàn)有效規(guī)范。為了實現(xiàn)更好的整網(wǎng)精細化管理的同時，降低網(wǎng)絡維護工作量，建議使用整網(wǎng)使用扁平化結(jié)構(gòu)，網(wǎng)絡主干道采用冗余節(jié)點部署，以增強網(wǎng)絡的健壯性。2021 年中北大學建設萬兆校園網(wǎng)項目 山西信息 規(guī)劃 設計院 有限公司 xv 因此校園網(wǎng)絡改造必須增加合理的校園區(qū)域上 層匯聚節(jié)點。賬號的認證是網(wǎng)絡管理和網(wǎng)絡效率優(yōu)化提升的前提，做好了認證管 理，那么再進行的包括流量管理、權(quán)限管理、網(wǎng)絡質(zhì)量分析、網(wǎng)絡行為分析、服務資源管理、計費管理等等細化管理才能有效進行。鑒于現(xiàn)在網(wǎng)絡應用發(fā)展迅速，教育信息化的發(fā)展趨勢有云化、視頻化、遠程化等，各種教學 應用都對網(wǎng)絡速率有較高要求，因此建議學校網(wǎng)絡核心建設為 10G 以上核心。到了現(xiàn)在已經(jīng)過了十年的合同簽訂期，設備老化嚴重，功能缺失，并且無法實現(xiàn) WLAN 的覆蓋。網(wǎng)絡服務器群通過防火墻實現(xiàn)網(wǎng)絡隔離，對校內(nèi)網(wǎng)用戶提供 包括 WEB、 FTP、郵件、 DNS、 VOD、辦公等服務。其中一半以上的服務器均為 2021 年 左右購買，目前設備老化，已經(jīng)不能滿足校園網(wǎng)發(fā)展需要。二級節(jié)點交換機以 1000 兆速率連接到核心交換機，整個網(wǎng)絡 共劃分 VLAN87 個，由天融信防火墻將整個網(wǎng)絡劃分為三個區(qū)域，內(nèi)網(wǎng)區(qū)域（包括辦公區(qū)、聯(lián)通管轄的區(qū)域?qū)W生公寓和教職工住宅）、外網(wǎng)區(qū)域和 DMZ 區(qū)域。 辦工區(qū)、教學區(qū)各樓宇聯(lián)網(wǎng)情況 樓宇名稱 是否綜合布線 是否光纖直聯(lián) 各樓層是否有交換機 主干帶寬 信息點數(shù) 教學主樓（ 11號樓） 是 是 是 1000M 1026 實驗大樓（ 9號教學樓） 是 是 是 1000M 480 無損樓 是 是 是 100M 254 重點實驗室 是 是 是 1000M 128 篤學樓 是 是 是 1000M 120 產(chǎn)業(yè)樓 是 是 是 1000M 96 8 號教學樓 是 否 否 100M 6 10號教學樓 是 是 否 1000M 24 圖書館 是 是 是 1000M 582 體館西看臺 是 否 否 100M 60 工程訓練中心 是 是 否 100M 96 1 號教學樓 否 否 否 0 0 工字樓（ 2 號教樓） 否 否 否 100M 24 3 號教學樓 否 否 否 0 0 4 號教學樓 否 是 否 1000M 24 制圖樓（ 5 號教學樓） 否 否 否 100M 28 德懷樓（ 7 號教學樓） 否 是 否 1000M 24 校醫(yī)園 否 是 否 100M 24 老干部處 否 否 否 100M 12 小白樓 否 否 否 100M 24 科藝苑 否 是 否 1000M 24 4 院辦公樓 否 否 否 100M 24 4 院實驗樓 否 否 否 100M 24 后勤辦公樓 否 否 否 0 0 舊圖書館 否 是 否 1000M 6 藝術(shù)樓辦公樓 否 否 否 100M 24 保衛(wèi)處 否 否 否 100M 24 幼兒園 否 否 否 100M 4 辦公區(qū)合計 3162 2021 年中北大學建設萬兆校園網(wǎng)項目 山西信息 規(guī)劃 設計院 有限公司 xii ? 中北大學網(wǎng)絡安全現(xiàn)狀 校園網(wǎng) 目前的安全措施比較薄弱，僅有一臺天融信防火墻，能對服務器起到基本的防護作用，但對于各部門網(wǎng)站的防護、各應用系統(tǒng)數(shù)據(jù)庫的防護、校園網(wǎng)內(nèi)網(wǎng)的防護，功能很弱。家屬區(qū)中，西苑小區(qū)、新南區(qū)的所有樓宇都已進行綜合布線， 84 小區(qū)、南苑小區(qū)、舊成教樓沒有進行綜合布線。校園網(wǎng)有教育網(wǎng)、中國聯(lián)通、中國移動三個互聯(lián)網(wǎng)出口，帶寬共計 350Mbps。所以，網(wǎng)絡的可擴展性是網(wǎng)絡建設中必須提前規(guī)劃的重點。為此，在網(wǎng)絡建設中，需注意超前性與實用性結(jié)合，確保投資有效，使之能真正發(fā)揮出相應的作用。 使用 eSight 網(wǎng)管，可實現(xiàn)對校園網(wǎng)整網(wǎng)的拓撲管理、網(wǎng)絡資源管理、性能管理、故障管理和配置管理。 ? 認證通過后，滿足對不同用戶分配不同訪問權(quán)限的功能。 ? 運營范圍全覆蓋 無論是本校區(qū)用戶，還是分校用戶和遠程接入的用戶，華為都提供了各種融合接入的方案，穩(wěn)定高效的訪問遠程資源和校園網(wǎng)的資源。 ? 多種接入技術(shù) 無論是有線終端還是無線終端，華為都提供了形式多樣的接入認證技術(shù)。無阻塞的網(wǎng)絡架構(gòu)保證校園網(wǎng)的業(yè)務質(zhì)量。 華為智慧校園網(wǎng)解決方案 針對校園網(wǎng)面臨的新挑戰(zhàn)，華為提出了融合校園網(wǎng)解決方案來支持校園網(wǎng)的高速發(fā)展。 網(wǎng)絡行為管理 應教育部和公安部的相關(guān)要求，并本著對學生負責的理念，校園網(wǎng)需要提供網(wǎng)絡行為管理的工具，對學生進行實名認證，對學生的上網(wǎng)行為進行約束，并對上網(wǎng)的行為能夠監(jiān)控記錄，必要時進行回溯。網(wǎng) 絡容易生成環(huán)路，引起廣播風暴；當產(chǎn)生 ARP 等網(wǎng)絡攻擊時，影響范圍過大。 隨著高校信息化的發(fā)展，網(wǎng)絡中所承載內(nèi)容的變化，以及接入終端的多樣化，校園網(wǎng)的建設也面臨著越來越多的新挑戰(zhàn)。 ? 可維護性 校園網(wǎng)絡涉及到多個不同的設備，并且數(shù)量眾多，而學校信息中心維護團隊人力極其有限，因此新升級后的校園網(wǎng)絡應該具有較高的維護管理性，包括采用集中管控的方式，策略自動下發(fā)，網(wǎng)管集中展現(xiàn)等模型，簡化網(wǎng)絡運維工作量。 2021 年中北大學建設萬兆校園網(wǎng)項目 山西信息 規(guī)劃 設計院 有限公司 iv 從上圖可以看出，數(shù)字校園可以分為五個層次： （ 1）“網(wǎng)絡基礎層”：網(wǎng)絡是數(shù)字校園的基礎設施，沒有相應的網(wǎng)絡基礎設施，數(shù)字不能流動，就不可能形成數(shù)字的空間； （ 2）“網(wǎng)絡基本服務層”：網(wǎng)絡基本服務是數(shù)字流動的軟件 基礎，包括域名服務、身份認證、目錄服務、網(wǎng)絡安全、以及公共服務（如電子郵件、文件傳輸、 Web 發(fā)布）等； （ 3）“應用支撐層”：它主要處理業(yè)務邏輯，將各類數(shù)據(jù)按照業(yè)務的邏輯規(guī)范管理、組織起來，包括辦公自動化系統(tǒng)、數(shù)字圖書館、管理信息系統(tǒng)和網(wǎng)絡教學系統(tǒng)等，它們是數(shù)字校園的核心支持系統(tǒng)； （ 4）“信息服務層”：它主要處理用戶邏輯，將規(guī)范化的數(shù)據(jù)按照用戶的需要提取出來提供給用戶，為用戶提供服務，如后勤服務、信息查詢、決策支持等； （ 5）“個性化門戶（虛擬大學）”：它是數(shù)字校園的總?cè)肟冢黝愑脩敉ㄟ^門戶進入數(shù)字校園， 可以獲得與其身份相對應的信息與服務。 對于網(wǎng)絡的建設，早在中北大學校園網(wǎng)建設始建于 1