【正文】 994 年， 1998 年接入教育網(wǎng)，并于 2021 年進(jìn)行了二期建設(shè)，實現(xiàn)了“千兆主干、百兆桌面”的網(wǎng)絡(luò)基本布局。 .................................................................................. 錯誤 !未定義書簽。 資 ........................................................................... 錯誤 !未定義書簽。學(xué)校的前身是 1941 年八路軍總司令部在太行抗日根據(jù)地創(chuàng)辦的我黨我軍第一所兵工學(xué)校 —— 太行工業(yè)學(xué)校，歷經(jīng)太原機(jī)械學(xué)院、華北工學(xué)院， 2021 年 6 月經(jīng)教育部批準(zhǔn)更 名為中北大學(xué)。 為了更好服務(wù)于中北大學(xué)師生，“十二五”期間，中北大學(xué)信息化建設(shè)總體發(fā)展目標(biāo)主要是做好以下幾方面的工作： 數(shù)字化校園建設(shè)的中長期目標(biāo)如下圖所示的數(shù)字校園的體系結(jié)構(gòu)圖，在這里，內(nèi)圓是核心、是基礎(chǔ)，外圓是在內(nèi)圓的基礎(chǔ)上提供的更進(jìn)一步的服務(wù)。 ? 靈活業(yè)務(wù)支撐能力 校園網(wǎng)內(nèi)具有多種業(yè)務(wù)，為了讓業(yè)務(wù)間各自獨(dú)立運(yùn)行，相互不干擾，保證各個業(yè)務(wù)內(nèi)的數(shù)據(jù)信息的安全性，網(wǎng)絡(luò)必須可以采用各種靈活的 虛擬化，讓各個業(yè)務(wù)實現(xiàn)邏輯隔離，并且應(yīng)用 QoS 策略，讓業(yè)務(wù)實現(xiàn)質(zhì)量管理。校 園網(wǎng)既需要承載科研信息共享、多媒體教學(xué)、電子閱覽、教學(xué)資料存儲等教學(xué)相關(guān)的網(wǎng)絡(luò)業(yè)務(wù)，也要承載行政和總務(wù)管理、教師辦公、高校論壇等其他網(wǎng)絡(luò)業(yè)務(wù)，2021 年中北大學(xué)建設(shè)萬兆校園網(wǎng)項目 山西信息 規(guī)劃 設(shè)計院 有限公司 vi 因此對網(wǎng)絡(luò)的性能、服務(wù)質(zhì)量等要求極高。 其中需要實現(xiàn)的是： 1) 校內(nèi)資源免費(fèi)訪問，包括校內(nèi)提供的各類學(xué)習(xí)資源，教務(wù)系統(tǒng)等； 2) 學(xué)校的教師辦公區(qū)域上網(wǎng)不計費(fèi)； 3) 有線和無線的網(wǎng)絡(luò)各個運(yùn)營商賬號相互之間不干擾； 4) 各個運(yùn)營商可以根據(jù)自己的業(yè)務(wù)需求制定靈活的收費(fèi)策略； ? 網(wǎng)絡(luò)穩(wěn)定性問題 校園網(wǎng)目前大多是傳統(tǒng)的三層架構(gòu)，結(jié)構(gòu)相對復(fù)雜。 辦公網(wǎng)絡(luò)效率問題 校園網(wǎng)中有大量的 P2P 及其他下載流量占用帶寬，導(dǎo)致重要網(wǎng)絡(luò)應(yīng)用質(zhì)量不高；有多個網(wǎng)絡(luò)出口時，經(jīng)常會出現(xiàn)一個出口已經(jīng)非常擁塞，另一出口占用率卻很低的現(xiàn)象；特別針對教師辦公區(qū)域，需要針對網(wǎng)絡(luò)加強(qiáng)管理，提升網(wǎng)絡(luò)使用效率。 ? IPv6 的過渡問題 校園網(wǎng)往往走在網(wǎng)絡(luò)技術(shù)的最前線，作為網(wǎng)絡(luò)技術(shù)發(fā)展的必然趨勢，校園網(wǎng)更需要提前考慮 IPV6 的良好過渡。 ? 萬兆無阻塞架構(gòu) 華為的校園網(wǎng)解決方案中，使用千兆接入、萬兆匯聚的方案，來支撐校園網(wǎng)流量的爆炸式增長，滿足未來校園網(wǎng)虛擬化和云計算的帶寬需求。運(yùn)維管理非常方便，并且支持統(tǒng)一認(rèn)證，全校園網(wǎng)漫游，同時可靠性極高，給用戶最好的上網(wǎng)體驗。 使用 BRAS 設(shè)備接入用戶，可實時探測用戶狀態(tài)，及時回收分配的 IP 地址資源，避免大量浪費(fèi) IP 地址。 ? 滿足網(wǎng)絡(luò) PPPoE、 Portal 等多種接入認(rèn)證的功能。 優(yōu)化運(yùn)維解決方案 華為提供針對鏈路和服務(wù)器的負(fù)載均衡方案，可優(yōu)化用戶的訪問速率，進(jìn)一步提升用戶體驗。 建設(shè)原則 校園網(wǎng)是校園的教學(xué)信息共享平臺，應(yīng)本著以下原則進(jìn)行建設(shè)： ? 超前性與實用性結(jié)合 網(wǎng)絡(luò)技術(shù)發(fā)展迅猛，如果設(shè)備缺乏先進(jìn)性，設(shè)備可能很快落后甚至被淘汰，但也不能過分超前，以避免造成投資的浪費(fèi)。 ? 可擴(kuò)展性 校園網(wǎng)絡(luò)不但需要能夠滿足當(dāng)前需要，隨著后續(xù)教學(xué)方式的改變、技術(shù)的發(fā)展，未來網(wǎng)絡(luò)需要承載更多的業(yè)務(wù)及提供更多的優(yōu)質(zhì)服務(wù)。目前，全校信息點(diǎn)達(dá)到 25000 多個，辦公區(qū)聯(lián)網(wǎng)計算機(jī) 6000 多臺，學(xué)生區(qū)聯(lián)網(wǎng)計算機(jī) 20210 多臺，光纖長度 千米。學(xué)生宿舍區(qū)樓宇基本都已進(jìn)行綜合布線。除教學(xué)主樓（ 11 號樓）、實驗大樓（ 9 號教學(xué)樓）、無損樓，重點(diǎn)實驗室、篤學(xué)樓、產(chǎn)業(yè)樓、 8 號教學(xué)樓、2021 年中北大學(xué)建設(shè)萬兆校園網(wǎng)項目 山西信息 規(guī)劃 設(shè)計院 有限公司 xi 10 號教學(xué)樓、圖書館、體館西看臺、工程訓(xùn)練中心進(jìn)行了綜合布線外， 1 號教學(xué)樓、工字樓（ 2 號教樓）、 3 號教學(xué)樓、 4 號教學(xué)樓、制圖樓（ 5 號教學(xué)樓）、德懷樓（ 7 號教學(xué)樓）、校醫(yī)院、老干部處、小白樓、科藝苑、 4 院辦公樓、 4 院實驗樓、后勤辦公樓、舊圖書館、藝術(shù)系辦公樓、 軟件學(xué)院、保衛(wèi)處、幼兒園都沒有進(jìn)行綜合布線，新添上網(wǎng)設(shè)備都需要重新布設(shè)網(wǎng)線才能聯(lián)網(wǎng)，網(wǎng)絡(luò)布局比較混亂。校園網(wǎng)中心機(jī)房的核心交換機(jī)為 CISCO7609（即將更新為銳捷的 8610 交換機(jī)），二級節(jié)點(diǎn)交換機(jī)主要采用 CISCO355024 和港灣交換機(jī)。這些服務(wù)器承擔(dān)著中北大學(xué)絕大部分的教學(xué)、科研和管理任務(wù)。 中北大學(xué)校園其中辦公區(qū)域的網(wǎng)絡(luò)拓?fù)鋱D為： 網(wǎng)絡(luò)說明： 現(xiàn)有網(wǎng)絡(luò)為多級結(jié)構(gòu)，包含核心、匯聚、接入層。 另外宿舍區(qū)和教師家屬區(qū)由于之前和聯(lián)通簽訂的合同，外包給聯(lián)通進(jìn)行建設(shè)和維護(hù)。 學(xué)校網(wǎng)絡(luò)建設(shè)定型之后，改動升級工作就會帶來很大的工作量，并且影響較大，因此進(jìn)行升級改造工作一定要能服務(wù)于未來 5 年甚 至 10年的學(xué)校教學(xué)業(yè)務(wù)所需。對于辦公區(qū)域上網(wǎng)還采用比較原始的人工申請，靜態(tài) IP 地址分配，沒有賬號認(rèn)證過程。 ? 網(wǎng)絡(luò)結(jié)構(gòu)改進(jìn)； 現(xiàn)在中北大學(xué)網(wǎng)絡(luò)缺乏集中的上層匯聚點(diǎn)，各個接入單位直接匯總到核心層，帶來的是核心層的端口壓力，并且由于中北大學(xué)校園面積大，缺乏必要的匯聚點(diǎn)一方面是帶來線路的額外投資，另外是帶來網(wǎng)絡(luò)傳輸交換效率的下降。 因此建議對內(nèi)網(wǎng)網(wǎng)絡(luò)結(jié)構(gòu)進(jìn)行改造。 ? 網(wǎng)絡(luò)安全改進(jìn) 目前校園中中缺乏網(wǎng)絡(luò)安全保護(hù)能力，無法應(yīng)對越來越復(fù)雜的互聯(lián)網(wǎng)威脅。校園網(wǎng)注重的是網(wǎng)絡(luò)的簡單可靠、易部署、易維護(hù)。 模塊化 將校園網(wǎng)絡(luò)中的每個區(qū)域或者每個功能區(qū)劃分為一個模塊，模塊內(nèi)部的調(diào)整涉及范圍小，易于進(jìn)行問題定位。接入網(wǎng)絡(luò)的設(shè)備要進(jìn)行統(tǒng)一認(rèn)證，同時按接入用戶身份、按權(quán)限進(jìn)行分區(qū)邏輯隔離。為了便于維護(hù)，應(yīng)盡可能選取集成度高、模塊可通用的產(chǎn)品。核心網(wǎng)絡(luò)需要實現(xiàn)帶寬的高利用率和網(wǎng)絡(luò)故障的快速收斂。 終端應(yīng)用層 包含校園網(wǎng)內(nèi)的各種終端設(shè)備，例如 PC、筆記本電腦、打印機(jī)、傳真、手機(jī)、攝像 頭等等。包括告警管理、性能管理、故障管理、配置管理、安全管理等。 網(wǎng)絡(luò)改造價值： 網(wǎng)絡(luò)架構(gòu)清晰，基礎(chǔ)網(wǎng)絡(luò)、數(shù)據(jù)中心網(wǎng)絡(luò)、新校區(qū)網(wǎng)絡(luò)均可獨(dú)立維護(hù)。 支持各種終端接入，統(tǒng)一認(rèn)證，一張 IP網(wǎng)絡(luò)承載所有業(yè)務(wù)。 網(wǎng)絡(luò)匯聚點(diǎn)規(guī)劃 根據(jù)中北大學(xué)校園平面圖，初步建議匯聚節(jié)點(diǎn)的設(shè)置如下： 2021 年中北大學(xué)建設(shè)萬兆校園網(wǎng)項目 山西信息 規(guī)劃 設(shè)計院 有限公司 xx 說明： 網(wǎng)絡(luò)核心：部署在信息中心機(jī)房，隨著信息業(yè)務(wù)系統(tǒng)的升級，原有的機(jī)房空間可能不夠，可以增加機(jī)房，但 是在邏輯上是形成一個中心。 學(xué)生宿舍區(qū)和教師家屬區(qū)匯聚：學(xué)生宿舍區(qū)是流量壓力最大的區(qū)域，按照目前情況，建議每 5 棟學(xué)生宿舍設(shè)定一個匯聚節(jié)點(diǎn)；教師家屬區(qū)流量壓力也是屬于較大區(qū)域，建議每 8 棟宿舍設(shè)定一個匯聚節(jié)點(diǎn)。 模塊化設(shè)計 每一個模塊為一個學(xué)院樓、教學(xué)樓或一個學(xué)生宿舍，模塊內(nèi)部調(diào)整涉及范圍小，定位問題也容易。 由于 BRAS 部署在核心層之上，匯總校園網(wǎng)全網(wǎng)用戶流量，需要具有高帶寬、高轉(zhuǎn)發(fā)性能，無阻塞轉(zhuǎn)發(fā)數(shù)據(jù)。 ? 核心層虛擬化設(shè)計規(guī)劃 核心層部署校園的核心設(shè)備，連接所有的匯聚交換機(jī)，轉(zhuǎn)發(fā)各個教學(xué)樓或?qū)W生宿舍之間的流量。同時可在堆疊后的系統(tǒng)上劃分 VS，將堆疊后的系統(tǒng)再劃分為多臺邏輯交換機(jī)。 ? 匯聚層設(shè)計規(guī)劃 匯聚層是一個學(xué)院、一幢教學(xué)樓或一幢學(xué)生 宿舍的匯聚點(diǎn)，匯聚層的設(shè)備用來轉(zhuǎn)發(fā)本區(qū)域用戶到其他區(qū)域用戶的橫向流量，同時發(fā)送本區(qū)域用戶流量到核心層。然后將匯聚層的 CSS 系統(tǒng)和核心層的 CSS 系統(tǒng)之間的多條鏈路捆綁，用來傳輸數(shù)據(jù)。接入層除了需要部署豐富的二層特性外，還需要部署安全、可靠性等相關(guān)功能。 可靠性設(shè)計規(guī)劃 本解決方案中，網(wǎng)絡(luò)可靠性由雙設(shè)備、鏈路冗余來保證。 鏈路利用率低 由于有一個 上行鏈路被阻塞，此鏈路的帶寬無法利用，總帶寬利用率只有50%；雖然 MSTP 基于 VLAN 進(jìn)行優(yōu)化，但使用 MSTP 又會導(dǎo)致配置復(fù)雜，日常維護(hù)非常困難。將接入層交換機(jī)和匯聚層交換機(jī)之間的多條鏈路捆綁，用來傳輸數(shù)據(jù)。 邏輯網(wǎng)絡(luò)也變得簡潔，不再需要配置和維護(hù) STP 等協(xié)議。平滑擴(kuò)容，很好的保護(hù)了投資。 出差員工與校園 DMZ 區(qū)域的訪問控制，實現(xiàn)出差員工與校園 DMZ 區(qū)域的安全隔離。 接收校園外部訪問的流量，接入校園內(nèi)網(wǎng)的 DMZ 區(qū)域，為公網(wǎng)用戶提供服2021 年中北大學(xué)建設(shè)萬兆校園網(wǎng)項目 山西信息 規(guī)劃 設(shè)計院 有限公司 xxvi 務(wù)。因此無論是服務(wù)器接入還是 TOR 上行匯聚，核心交換機(jī)的對線卡的轉(zhuǎn)發(fā)性能、端口密度要求急劇提升。 URL過濾對上網(wǎng)行為進(jìn)行管理，有效實現(xiàn)對終端應(yīng)用的審計監(jiān)控，對于可能增加內(nèi)部安全威脅或影響正常業(yè)務(wù)的應(yīng)用進(jìn)行限制。同時，利用 NIP 的報表功能，管理員可以直觀地了解網(wǎng)絡(luò)的健康狀況。 針對有線用戶，用戶在運(yùn)營商營業(yè)廳獲得 上網(wǎng)賬號，在校園網(wǎng)內(nèi)登錄， BRAS會識別賬號屬性，并執(zhí)行選路，把該賬號發(fā)生的流量引導(dǎo)到對應(yīng)的運(yùn)營商出口鏈路中。 特別設(shè)置校內(nèi)網(wǎng)的 SSID，其使用用戶為教師辦公和沒有運(yùn)營商賬號的學(xué)生。 針對教學(xué)和辦公區(qū)域的網(wǎng)絡(luò)，流量優(yōu)化模型的設(shè)計 示意為： 說明： 教學(xué)辦公區(qū)域網(wǎng)絡(luò)同時部署有線和無線，兩者采用統(tǒng)一的賬號管理系統(tǒng)，用戶可以采用一致的賬號進(jìn)行有線無線的使用。 教學(xué)區(qū)和辦公室區(qū)域的流量模式示意圖為： 說明： 如上圖所示，內(nèi)網(wǎng)用戶訪問互聯(lián)網(wǎng)時，優(yōu)先從本地的 Cache 緩存系統(tǒng)中獲取資源，在本地訪問落空的情況下，再達(dá)到互聯(lián)網(wǎng)出口，而出口防火墻將探測訪問目的地址從哪個出口線路最高，把流量引導(dǎo)到對應(yīng)的出口。 本部署方案中，建議無線終端和有線終端統(tǒng)一管理，以 DHCP 方式從 BRAS上獲取 IP 地址。如果認(rèn)證類型設(shè)置為開放系統(tǒng)認(rèn)證，則所有請求認(rèn)證的客戶端都會通過認(rèn)證。由于配置工作量較大，一般適 用于企業(yè)網(wǎng)、校園網(wǎng)及家庭網(wǎng)絡(luò)等。例如在校師生使用 mac+portal 認(rèn)證方式，一旦登入成功，每次進(jìn)入該區(qū)域?qū)詣舆B接上網(wǎng)；方便又快捷！而外來訪客使用 portal 認(rèn)證方式。業(yè)務(wù) VLAN 主要用于區(qū)分不同的業(yè)務(wù)類型或用戶群體。 2021 年中北大學(xué)建設(shè)萬兆校園網(wǎng)項目 山西信息 規(guī)劃 設(shè)計院 有限公司 xxxii ? 漫游規(guī)劃 漫游是指用戶在部署了 WLAN 網(wǎng)絡(luò)的場所移動時，用戶終端可以從一個 AP的覆 蓋范圍移動到另一個 AP 的覆蓋范圍，用戶無需重新登錄和認(rèn)證。 AP 零配置 傳統(tǒng)的 FAT AP 組網(wǎng)模式要求在 AP 上配置大量的業(yè)務(wù)參數(shù)，同時需要在 AP本地保存這些業(yè)務(wù)配置信息，一旦設(shè)備丟失， AP 的業(yè)務(wù)配置信息就可能被泄漏，形成網(wǎng)絡(luò)的安全漏洞。 VLAN內(nèi)的主機(jī)間可以直接通信，而 VLAN間不能直接互通，從而將廣播報文限制在一個 VLAN 內(nèi)。 用戶 VLAN 用戶 VLAN 指為終端接入用戶劃分的 VLAN，針對校園網(wǎng)中不同區(qū)域， VLAN劃分方法不同。 在學(xué)校的科研教學(xué)區(qū)，建議為每一科研項目或每一院系劃分一個 VLAN，以滿足 VLAN 內(nèi)用戶的直接互訪需求。用戶從處于 Guest VLAN 的服務(wù)器上可以獲取 客戶端軟件，升級客戶端或執(zhí)行其他應(yīng)用升級程序（例如：防病毒軟件、操作系統(tǒng)補(bǔ)丁程序等）。 ? VLAN 規(guī)劃原則 VLAN 劃分的基本原則如下： 要嚴(yán)格區(qū)分業(yè)務(wù) VLAN 和管理 VLAN。 預(yù)留一定數(shù)目 VLAN 方便后續(xù)擴(kuò)展。 以一樓的科研組為例，為樓道的接入層交換機(jī)定義 MUX VLAN 200，并定義MUX VLAN 下的從 VLAN， Separate VLAN（隔離型從 VLAN） ID 為 2， Group VLAN（互通型從 VLAN） ID 為 3。 此接入交換機(jī)的上行端口只需要配置為 trunk 口，允許主 VLAN 200 通過即可。 ? 校園網(wǎng) VLAN規(guī)劃示例 2021 年中北大學(xué)建設(shè)萬兆校園網(wǎng)項目 山西信息 規(guī)劃 設(shè)計院 有限公司 xxxvi 地址規(guī)劃 ? 劃分 IP 地址 在校園網(wǎng)絡(luò)中，校園網(wǎng)的 DMZ和數(shù)據(jù)中心區(qū)域有少量設(shè)備使用公網(wǎng) IP地址，對外提供服務(wù)； BRAS 將校園網(wǎng)內(nèi)部用戶統(tǒng)一接入，為內(nèi)部用戶分配 IP地址。 實意性 好的 IP地址規(guī)劃使每個地址具有實際含義，看到一個地址就可以大致判斷出該地址所屬的設(shè)備 由于校園網(wǎng)內(nèi)部用戶的 IP地址均由 BRAS 統(tǒng)