【正文】 行虛擬網(wǎng)絡(luò)劃分。由于在局域網(wǎng)上，不同VLAN之間的通信數(shù)據(jù)量是很大的，這樣，如果路由器要對每一個數(shù)據(jù)包都路由一次，隨著網(wǎng)絡(luò)上數(shù)據(jù)量的不斷增大，路由器將不堪重負(fù)，路由器將成為整個網(wǎng)絡(luò)運(yùn)行的瓶頸。在不改動網(wǎng)絡(luò)物理連接的情況下可以任意地將工作站在工作組或子網(wǎng)之間移動。 使用VLAN優(yōu)點 　　控制廣播風(fēng)暴 　　一個VLAN就是一個邏輯廣播域，通過對VLAN的創(chuàng)建，隔離了廣播，縮小了廣播范圍，可以控制廣播風(fēng)暴的產(chǎn)生。網(wǎng)絡(luò)管理員可按MAC地址把一些站點劃分為一個邏輯子網(wǎng)。 劃分VLAN的基本策略 從技術(shù)角度講，VLAN的劃分可依據(jù)不同原則，一般有以下三種劃分方法： 　　基于端口的VLAN劃分　　這種劃分是把一個或多個交換機(jī)上的幾個端口劃分一個邏輯組，這是最簡單、最有效的劃分方法。MSTP在改進(jìn)Spanning Tree的同時，保持了與IEEE Spanning Tree的兼容性。 目前有一種解決以上問題的解決方案是動態(tài)口令認(rèn)證技術(shù),，很好地完成對接入內(nèi)部網(wǎng)絡(luò)的計算機(jī)用戶的身份確認(rèn)工作，極大地提高用戶口令的安全性的同時，提高整個網(wǎng)絡(luò)系統(tǒng)的安全性。很多用戶在設(shè)置口令的時候，為了方便自己記憶而選擇過于簡單的口令，攻擊者通過簡單猜測就可以搞定； 4．通過系統(tǒng)漏洞。用戶身份被冒充不僅可能損害用戶自身的利益，也可能損害其他用戶和整個系統(tǒng)。 用戶身份認(rèn)證解決方案身份認(rèn)證指的是用戶身份的確認(rèn)技術(shù)，它是網(wǎng)絡(luò)安全的第一道防線，也是最重要的一道防線。防范其它攻擊：IP Spoofing 攻擊：在基于IP地址驗證的應(yīng)用中，入侵者通常偽造報文的源地址從而獲得對系統(tǒng)的訪問權(quán)。防范多種DoS攻擊：可以有效地檢測出這些類攻擊報文，避免攻擊行為，記錄日志。主機(jī)端口映射利用標(biāo)準(zhǔn)ACL規(guī)則，將來自某些特定主機(jī)的報文、端口號和應(yīng)用協(xié)議之間建立映射關(guān)系。同樣，防火墻也能有效實施ActiveX Blocking保護(hù)，從而避免ActiveX控件給Internet瀏覽器端造成安全威脅。每一個連接狀態(tài)信息都將被ASPF維護(hù)并用于動態(tài)地決定數(shù)據(jù)包是否被允許通過防火墻或丟棄，可以保證所有建立的連接都是合法連接，防止地址欺騙、身份偽造等惡意攻擊行為。H、防范假冒IP地址防火墻根據(jù)用戶配置，將MAC和IP地址的綁定并形成關(guān)聯(lián)關(guān)系，從而過濾IP地址和MAC地址不匹配的報文，從而有效避免IP地址假冒攻擊的行為。D、可以對違反規(guī)則的報文做日志。防火墻提供優(yōu)質(zhì)的NAT性能，可以滿足大量訪問的需求，向外提供WWW、FTP等服務(wù)，避免XXXX系統(tǒng)內(nèi)部服務(wù)器直接受到攻擊。 協(xié)議的地址轉(zhuǎn)換，因此可以在不增加任何其他非會議電視設(shè)備（）的前提下。1)、NAT 特性通過防火墻的NAT/PAT則可以用來實現(xiàn)私有網(wǎng)絡(luò)地址與公有網(wǎng)絡(luò)地址之間的轉(zhuǎn)換。由于XXXX內(nèi)部網(wǎng)絡(luò)要和外部網(wǎng)絡(luò)發(fā)生業(yè)務(wù)聯(lián)系，又要保證網(wǎng)絡(luò)的安全性，故在XXXX內(nèi)部網(wǎng)絡(luò)和XXXXINTERNET網(wǎng)出口路由器之間設(shè)置H3C公司的硬件防火墻來保證XXXX網(wǎng)絡(luò)內(nèi)系統(tǒng)的安全。代理服務(wù)代表內(nèi)部主機(jī)進(jìn)行高層應(yīng)用連接，完全中斷內(nèi)部主機(jī)與外部主機(jī)的網(wǎng)絡(luò)層連接。防火墻被認(rèn)為是XXXX網(wǎng)絡(luò)邊界安全，沒有它，網(wǎng)站內(nèi)的每個主機(jī)都不得不自己執(zhí)行防火墻的功能。隨著Internet的越來越普及，應(yīng)用的越廣泛，病毒的危害也越來越大。防病毒，當(dāng)今計算機(jī)電腦病毒對用戶網(wǎng)絡(luò)、計算機(jī)、重要資料造成的損害越來越大，而且傳播途徑多種多樣，必須建立網(wǎng)絡(luò)病毒檢測、預(yù)防和治理相結(jié)合的完善防病毒體系。漏洞掃描，檢查安全基礎(chǔ)設(shè)施的有效性，包括新系統(tǒng)安裝檢查，發(fā)現(xiàn)惡意入侵行為的措施等。無論是在局域網(wǎng)還是在廣域網(wǎng)中，網(wǎng)絡(luò)的安全措施都應(yīng)能全方位地應(yīng)付各種不同的安全威脅和系統(tǒng)脆弱性，這樣才能確保網(wǎng)絡(luò)信息的保密性、完整性和可用性。競爭對手的非法入侵。黑客的威脅見諸報道的已經(jīng)屢見不鮮，象不久前的中美黑客大戰(zhàn)就曾轟動一時。 第五章 網(wǎng)絡(luò)安全方案隨著計算機(jī)網(wǎng)絡(luò)的廣泛使用和網(wǎng)絡(luò)之間信息傳輸量的急劇增長，一些機(jī)構(gòu)和部門在得益于網(wǎng)絡(luò)加快業(yè)務(wù)運(yùn)作的同時，其上網(wǎng)的數(shù)據(jù)也遭到了不同程度的破壞,或被刪除或被復(fù)制或被篡改和竊取，數(shù)據(jù)的安全性和自身的利益受到了嚴(yán)重的威脅。S8512可以檢測數(shù)據(jù)報文中最長128字節(jié)的匹配內(nèi)容，例如S8512會根據(jù)預(yù)先設(shè)定的檢測匹配內(nèi)容如“法輪功”,如果設(shè)置了該匹配內(nèi)容，那么S8512會檢測報文流中最長的128個字節(jié)內(nèi)容，如果有匹配的內(nèi)容就丟棄該流的報文，提供從網(wǎng)絡(luò)內(nèi)部的安全性。傳統(tǒng)的路由設(shè)備在增加新的業(yè)務(wù)特性的時候，必須通過更換單板等硬件升級的方式來實現(xiàn)，這樣對于用戶來說，是一筆極大的浪費。 優(yōu)良的QOS保證S8500、S5600和S3900系列交換機(jī)支持基于二、三、四層的靈活的流分類和QoS策略，配合網(wǎng)絡(luò)的高轉(zhuǎn)發(fā)性能，對不同類型的業(yè)務(wù)和不同類型的用戶進(jìn)行分類支持，為話音、視頻等實時業(yè)務(wù)提供質(zhì)量保證；對關(guān)鍵業(yè)務(wù)和非關(guān)鍵業(yè)務(wù)進(jìn)行區(qū)分處理，保證關(guān)鍵業(yè)務(wù)暢通。 良好安全的管理機(jī)制使用華為QUIDVIEW網(wǎng)絡(luò)管理軟件實現(xiàn)全面的網(wǎng)絡(luò)管理，所有設(shè)備都支持基于SNMP V3協(xié)議的網(wǎng)絡(luò)管理和基于瀏覽器技術(shù)的圖形化的配置管理等。H3C公司在以太網(wǎng)交換機(jī)設(shè)計中引入了電信級的設(shè)計思想，S8500、S6000系列交換機(jī)遵循模塊化、分布式、熱備份、熱插拔、軟件補(bǔ)丁等設(shè)計思想，同時按照IPD集成產(chǎn)品開發(fā)流程運(yùn)作，采用CMM 5軟件開發(fā)成熟度模型，使其達(dá)到很高的可靠性。網(wǎng)絡(luò)的可靠性設(shè)計需要考慮：1）設(shè)備的可靠性設(shè)計：消除單點故障，設(shè)備關(guān)鍵部件應(yīng)該冗余設(shè)計，支持熱插拔；2）互連線路的可靠性設(shè)計：避免單路故障，提高網(wǎng)絡(luò)路徑冗余，設(shè)備間應(yīng)使用熱備份技術(shù)（如VRRP等），保證網(wǎng)絡(luò)及業(yè)務(wù)的不間斷性；當(dāng)啟用路由時，通過路由的自動選路和迂回，做到當(dāng)某部分網(wǎng)絡(luò)出現(xiàn)意外而發(fā)生通路切換，這些操作對上層業(yè)務(wù)主機(jī)是透明的。S8512采用先進(jìn)的全分布式體系結(jié)構(gòu)，區(qū)別于其他的企業(yè)級三層交換機(jī)路由集中式處理所導(dǎo)致的轉(zhuǎn)發(fā)效率低下。所有設(shè)備本次配置的所有端口全部支持全線速度交換，給用戶提供真正的高帶寬的網(wǎng)絡(luò)，對企業(yè)較高帶寬的業(yè)務(wù)支撐能力強(qiáng)，發(fā)展?jié)摿Υ?。Quidview網(wǎng)絡(luò)管理軟件使用靈活的組件技術(shù)，支持多種操作平臺，并能夠與多種通用網(wǎng)管平臺集成，實現(xiàn)從設(shè)備級到網(wǎng)絡(luò)級全方位的網(wǎng)絡(luò)管理，支持企業(yè)網(wǎng)絡(luò)和運(yùn)營商網(wǎng)絡(luò)。H3C的不同AC下的AP間快速漫游的最大延遲時間為50ms。AC1通過IACTP把用戶信息諸如PMK， PMKID等同步到預(yù)先配置的漫游域中所有AC中，此時為AC2。IACTP引入了漫游域的概念，漫游域是一個AC的集合，它定義了無線用戶可進(jìn)行快速漫游的AC集。整個協(xié)商過程中，未和認(rèn)證服務(wù)器進(jìn)行交互，且用戶無需重登錄。作為FIT AP的缺省發(fā)現(xiàn)方式FIT AP會首先作為IPv4節(jié)點發(fā)起無線控制器發(fā)現(xiàn)過程，當(dāng)發(fā)現(xiàn)過程失敗以后，F(xiàn)IT AP會切換到IPv6節(jié)點方式繼續(xù)無線控制器發(fā)現(xiàn)過程。iMC服務(wù)器對用戶信息進(jìn)行驗證，確認(rèn)無誤后，下發(fā)認(rèn)證通過報文以及相應(yīng)的權(quán)限控制信息給設(shè)備，設(shè)備放開用戶的上網(wǎng)權(quán)限，同時iMC服務(wù)器開始進(jìn)行計費。整個 Portal 認(rèn)證過程涉及到了Portal 頁面，WX5002 和 iMC 服務(wù)器。模式二、AP在為用戶轉(zhuǎn)發(fā)數(shù)據(jù)的同時定期切換到其他信道監(jiān)聽信息, AP設(shè)備負(fù)責(zé)把監(jiān)聽到的無線設(shè)備和有攻擊行為的無線設(shè)備上報給無線控制器B. 無線控制器根據(jù)AP上報的設(shè)備信息識別非法設(shè)備C. 無線控制器通過各種途徑提供各種聲、光、電的報警D. 當(dāng)有用戶試圖連接到非法的AP上時，用戶會發(fā)起‘關(guān)聯(lián)請求’，無線控制器通過AP收到這個請求時，指揮周邊的AP發(fā)‘解除關(guān)聯(lián)’的指令，確保用戶不會連接到非法AP。u 無線傳輸距離u 業(yè)務(wù)QOS支持H3C無線產(chǎn)品支持多種服務(wù)質(zhì)量Qos。當(dāng)覆蓋區(qū)域內(nèi)的某個AP發(fā)生故障而造成覆蓋黑洞時，無線控制器會自動調(diào)整相鄰的AP的發(fā)射功率以消除黑洞區(qū)域，當(dāng)故障AP恢復(fù)工作后無線控制器可以自動調(diào)整鄰居AP的發(fā)射功率恢復(fù)原始工作狀態(tài)。 H3C無線網(wǎng)絡(luò)技術(shù)特點u H3C解決無線解決方案優(yōu)勢1) 國內(nèi)市場占有率第一位，%，高端應(yīng)用案例眾多，如上海環(huán)球金融中心酒店無線覆蓋、上海新天地?zé)o線覆蓋、國家體育場鳥巢、國家大劇院等。無線網(wǎng)絡(luò)的另一組成部分即無線控制器插卡，該設(shè)備默認(rèn)可支持128個無線Fit AP的統(tǒng)一集中管理，并可擴(kuò)充至最大640個無線AP，提供用戶無縫漫游（切換時間小于50ms）、AP零配置、用戶接入負(fù)載均衡以及智能射頻技術(shù)等。如上圖所示，無線網(wǎng)絡(luò)主要由兩方面設(shè)備組成，一是部署在教學(xué)樓各樓層的無線AP， WA2210AG，該設(shè)備可實現(xiàn)最大54Mbps傳輸速率，且每臺AP支持20~30個用戶的無線接入，傳輸距離較原大，能夠覆蓋更大的范圍。AR4680多業(yè)務(wù)路由器是H3C系列路由器中的中高端產(chǎn)品，設(shè)備具有先進(jìn)的轉(zhuǎn)發(fā)體系結(jié)構(gòu)和靈活的組網(wǎng)能力，具有強(qiáng)大的專線接入及VPN業(yè)務(wù)能力，提供豐富的業(yè)務(wù)功能，具備完善QOS和安全特性。網(wǎng)絡(luò)整體安全性提高。注：三層交換機(jī)作為接入的優(yōu)勢：三層到桌面一個最直接的優(yōu)點就是個人用戶安全性更高。 S3900系列安全智能三層交換機(jī)是H3C公司為充分滿足安全I(xiàn)P交換和高QOS保證的需求而推出的智能型以太網(wǎng)交換機(jī)。具體設(shè)備配置見報價清單部分。每臺配置22個SFP多模GE子卡用于連接樓層交換機(jī)和網(wǎng)上直報交換機(jī)。XXXX網(wǎng)絡(luò)結(jié)構(gòu)為星形結(jié)構(gòu)，從核心機(jī)房到樓層配線間鋪設(shè)多模光纜。 網(wǎng)絡(luò)結(jié)構(gòu)方案對于XXXX學(xué)校網(wǎng)絡(luò)類似的校園網(wǎng)網(wǎng)絡(luò)應(yīng)用，目前的技術(shù)趨勢和業(yè)界的潮流已經(jīng)完全確定，主干連接使用千兆以太網(wǎng)或鏈路聚合技術(shù)使網(wǎng)絡(luò)連接主干帶寬達(dá)到理想的帶寬，客戶端設(shè)備接入網(wǎng)絡(luò)使用10/100M自適應(yīng)以太網(wǎng)連接接入網(wǎng)絡(luò)，服務(wù)器等提供共享應(yīng)用設(shè)備使用1000M光纖或雙絞線連接接入網(wǎng)絡(luò)主干網(wǎng)。開放性還意味著更多的選擇和最佳的性能價格比，有利于在眾多滿足同一開放性標(biāo)準(zhǔn)的硬件、軟件系統(tǒng)中選擇最符合要求的產(chǎn)品。網(wǎng)絡(luò)管理對系統(tǒng)的重要性越來越大，這是由于系統(tǒng)對網(wǎng)絡(luò)環(huán)境的依賴性不斷增加而引起的，一方面由于網(wǎng)絡(luò)中斷而使業(yè)務(wù)被迫中止造成的損失會越來越大；另一方面由于越來越多的用戶連入網(wǎng)絡(luò)，對網(wǎng)絡(luò)管理的要求提高了，以確保網(wǎng)絡(luò)達(dá)到最高的效率。 關(guān)于擴(kuò)展性1）任何一個硬件設(shè)備所需使用的軟件或軟硬件升級許可證必須是唯一的（有授權(quán)使用數(shù)量的，其授權(quán)使用數(shù)必須不小于硬件設(shè)備數(shù)量），以保證在使用的過程中不會發(fā)生沖突；2）要求所有的高、中、低端千兆三層交換機(jī)具備高級路由功能、支持RIPRIP2，OSPF等路由協(xié)議，如有必要配置相應(yīng)的軟件；3）要求所有的低端百兆二層交換機(jī)具備VLAN劃分及SNMP管理等功能。 關(guān)于可靠性考慮到XXXX學(xué)校網(wǎng)絡(luò)是一個非常重要的教育網(wǎng)絡(luò)系統(tǒng)，XXXX系統(tǒng)大量的實時數(shù)據(jù)在網(wǎng)絡(luò)上傳遞，其網(wǎng)絡(luò)可靠性直接影響到XXXX學(xué)校正常教學(xué)活動的進(jìn)行，而且由于所要建設(shè)的是集整個數(shù)據(jù)通信主干網(wǎng)絡(luò)系統(tǒng)，任何網(wǎng)絡(luò)的單點失敗都可能對XXXX學(xué)校的正常教學(xué)活動帶來影響。 國際化是H3C的核心發(fā)展戰(zhàn)略。2005年。目前公司有員工近4800人。學(xué)校網(wǎng)絡(luò)建設(shè)方案建議書學(xué)校網(wǎng)絡(luò)建設(shè)方案建議書目錄第一章 概述 3 XXX學(xué)校簡介 3 H3C公司簡介 3 設(shè)備性能要求 4第二章 XXXX學(xué)校局域網(wǎng)方案 7 網(wǎng)絡(luò)結(jié)構(gòu)方案 7 核心交換機(jī)設(shè)備配置 8 樓層交換機(jī)設(shè)備配置 9 路由器設(shè)備配置 10 10 網(wǎng)絡(luò)管理配置 19第三章 網(wǎng)絡(luò)方案特點 21 高帶寬、高性能 21 高可靠性 21 良好安全的管理機(jī)制 23 優(yōu)良的QOS保證 23 滿足基本的運(yùn)營、可管理和控制需求 23 23，基于復(fù)雜流的檢測和控制 24第五章 網(wǎng)絡(luò)安全方案 25 網(wǎng)絡(luò)安全技術(shù)概述 25 防火墻解決方案 26 用戶身份認(rèn)證解決方案 31 VLAN規(guī)劃 32 IP地址規(guī)劃 35第六章 QOS方案 38 QOS技術(shù)介紹 38 服務(wù)模型 40 華為VRP的QOS特性及實現(xiàn)技術(shù) 42 業(yè)務(wù)分類及優(yōu)先級分析 55 服務(wù)質(zhì)量（QoS）保證實施建議 56第七章 網(wǎng)絡(luò)管理 59第八章 設(shè)備簡介 64第一章 概述 XXX學(xué)校簡介 H3C公司簡介H3C技術(shù)有限公司（簡稱H3C）成立于2003年11月，運(yùn)營總部設(shè)在杭州。2006年第一季度，同比增長70%。H3C注重自主研發(fā)和知識產(chǎn)權(quán)體系的建設(shè)，每年將銷售額的15％以上用于研發(fā)投入，并擁有基于全球化的技術(shù)、人才、經(jīng)驗和質(zhì)量管理的研發(fā)平臺，在中國的北京、杭州、深圳以及印度的班加羅爾設(shè)有研發(fā)機(jī)構(gòu)，在北京和杭州設(shè)有產(chǎn)品鑒定測試中心，全面實施CMM和集成產(chǎn)品開發(fā)流程（IPD）管理。2006年，H3C正式推出H3Care服務(wù)品牌，向用戶提供更加規(guī)范、易得的支持服務(wù)和專業(yè)技術(shù)服務(wù)。H3C，您身邊的網(wǎng)絡(luò)專家！ 設(shè)備性能要求本次配置設(shè)備必須具有較高的性能，所有端口均需達(dá)到全線速轉(zhuǎn)發(fā)。1）所有高端交換機(jī)的主、備管理引擎模塊必須具有相同的管理、交換和路由能力，并使用同一版本的微代碼；2）所有高端交換機(jī)必須支持第3層交換協(xié)議和線速運(yùn)行； 關(guān)于兼容性1）要求交換機(jī)必須能和原有的網(wǎng)絡(luò)系統(tǒng)無縫隔合；2）高端交換機(jī)中同一層次交換機(jī)的管理引擎模塊、交換矩陣模塊、管理模塊、10/100Mbps以太網(wǎng)交換模塊、光纖千兆以太網(wǎng)交換模塊等，盡量保證每種模塊是同一型號；3）所有高、中、低端交換機(jī)采用的10/100/1000Mbps以太網(wǎng)交換模塊，必須是RJ45的端口形式。因為它關(guān)系到網(wǎng)絡(luò)系統(tǒng)的使用效率、維護(hù)、監(jiān)控甚至系統(tǒng)資源的再分配。以實現(xiàn)內(nèi)部各系統(tǒng)之間，以及有關(guān)其它領(lǐng)域的交流如：與Internet互連，與各外地分支網(wǎng)絡(luò)的互連等。第二章 XXXX學(xué)校局域網(wǎng)方案根據(jù)XXXX現(xiàn)網(wǎng)的需求分析，我們在XXXX網(wǎng)絡(luò)系統(tǒng)設(shè)計中包括：核心交換機(jī)設(shè)備的部署和選型以及樓層分支交換機(jī)的部署和選型，滿足學(xué)校400多個信息點的網(wǎng)絡(luò)系統(tǒng)互聯(lián)的需求。主干連接可以使用鏈路聚合技術(shù)方便的實現(xiàn)主干網(wǎng)的帶寬擴(kuò)充，可以實現(xiàn)在以太網(wǎng)