【正文】 全部署，需要能夠從準(zhǔn)入控制，到對網(wǎng)絡(luò)安全事件進(jìn)行深度探測，到現(xiàn)有安全設(shè)備有機(jī)的聯(lián)動，到對安全事件 觸發(fā)源的準(zhǔn)確定位和根據(jù)身份進(jìn)行的隔離、修復(fù)措施，從而能對網(wǎng)絡(luò)形成一個由內(nèi)至外的整體安全構(gòu)架。當(dāng)然，學(xué)校不是運(yùn)營商，運(yùn)營的模式和業(yè)務(wù)流程并不清晰。事前的認(rèn)證和定位是指可嚴(yán)格實(shí)現(xiàn)用戶身份識別，根據(jù)用戶賬號、密碼、 MAC 地址、 IP 地址、交換機(jī) IP、交換機(jī)端口號、用戶所在 VLAN 的靈活組合，來識別用戶身份。 對于設(shè)備管理，需要的是統(tǒng)一有效的網(wǎng)絡(luò)管理系統(tǒng)。這種方式存在眾多的問題。最終可能成為性能的瓶頸。但是當(dāng)前絕大多數(shù)國內(nèi)高校，對于關(guān)鍵數(shù)據(jù)，比如財務(wù)資料、學(xué)籍 /檔案、學(xué)術(shù)論文等資料都還沒有進(jìn)行有效的備份或容災(zāi)。 2020年， CERNET（中國教育與科研網(wǎng)）提出建設(shè)CERNET2 計(jì)劃。而學(xué)校積極主動地應(yīng)對 IPv6，有利于提升學(xué)校的應(yīng)用水平和科研水平，并為 IPv6 的真正大規(guī)模部署做好必要的技術(shù)儲備。影響骨干網(wǎng)穩(wěn)定可靠的因素有很多，但是最主要的有三個方面：設(shè)備本身、網(wǎng)絡(luò)架構(gòu)、安全保障。 整網(wǎng)采用萬兆多核心、萬兆 /千兆骨干、千兆 /百兆到桌面的設(shè)計(jì)理念。這樣，從全網(wǎng)架構(gòu)上，核心層雙鏈路交換系統(tǒng)不存在單點(diǎn)故障，是一種高級別交換完全冗余的容錯方案，這樣即使其中一條鏈路斷線或一個主干交換機(jī)發(fā)生故障，都能在用戶覺察不到的極短的時間內(nèi)啟用備份恢復(fù)數(shù)據(jù)傳遞，從而保證網(wǎng)絡(luò)系統(tǒng)的高可靠性、穩(wěn)定性的運(yùn)行。 十萬兆平臺全面提升骨干網(wǎng)絡(luò) 目前，萬兆以太網(wǎng)，作為迄今為止投入應(yīng)用的速率最高的網(wǎng)絡(luò)技 術(shù) , 已經(jīng)大規(guī)模普及，并且能夠切實(shí)解決目前校園網(wǎng)建設(shè)中存在的很多問題?；趯ξ磥硎f兆標(biāo)準(zhǔn)支持的考慮，銳捷網(wǎng)絡(luò)開發(fā)的最新一代十萬兆產(chǎn)品設(shè)備性能強(qiáng)大，完全滿足甚至超出了校園網(wǎng)正常應(yīng)用對設(shè)備的性能要求。 值得一提的是， IEEE 高速研究小組已經(jīng)開始 100Gbps（十萬兆）高速以太網(wǎng)的標(biāo)準(zhǔn)化制定工作，預(yù)計(jì)標(biāo)準(zhǔn)將在 2020年出臺。采用六元 素的自動綁定、靜態(tài)綁定、動態(tài)綁定相結(jié)合，可以確保用戶入網(wǎng)時身份唯一，并且避免了 IP 沖突。 設(shè)備本身具有的強(qiáng)大的安全防護(hù)能力 銳捷核心及全線網(wǎng)絡(luò)產(chǎn)品支持豐富的安全防護(hù)能力，包括防 DOS攻擊 (Smurf、 Synflood)，防 IP 掃描 (PingSweep)，防源 IP 地址欺騙 (Source IP Spoofing)、防 ARP欺騙、防病毒、帶寬控制等功能。 CSS安全體系正是通過從 “系統(tǒng) ”和 “數(shù)據(jù) ”兩方面的安全技術(shù)來保護(hù)網(wǎng)絡(luò)的安全。 GSN全局安全解決方案 GSN 系統(tǒng)能夠?qū)θW(wǎng)的所有安全事件、網(wǎng)絡(luò)病毒攻擊行為、用戶行為和用戶主機(jī)安全信息進(jìn)行深入分析和全局監(jiān)控。 三、負(fù)載均衡、冗余備份的出口設(shè)計(jì) 超強(qiáng)的 NAT、 PBR性能 當(dāng)前，校園網(wǎng)出口面臨的首要問題就是性能問題。在 2Gbps 的 NAT線速轉(zhuǎn)發(fā)下，每秒達(dá)到新建 7 萬條 NAT會話。具體舉例來說，可以將學(xué)生的流量和老師的流量制定不同的路由路徑；在對外出口上，根據(jù)所訪問的資源進(jìn)行劃分，教育網(wǎng)免費(fèi)資源走 CERNET出口，免費(fèi)地址列表之外的都走網(wǎng)通或者電信出口。任何的設(shè)備故障 /鏈路問題對用戶來說都是透明的，這中間的自動切換用戶無法感知，也不用去理會。例如，一個學(xué)生需要在 6 月 1 日的時候開通，但是他 6 月 10日的時候需要出去實(shí)習(xí) 2 周，這時，用戶完全可以在 6 月 1 日的時候選擇開通 10天，系統(tǒng)就只在這 10天內(nèi)扣除相應(yīng)費(fèi)用，到10日的時候系統(tǒng)會自動停用該帳號，直到用戶再次選擇開通。還為學(xué)校提供了完善的流程化服務(wù)。 無線用戶接入管理 部署 WLAN 設(shè)備的時候，無需改動任何的有線網(wǎng)絡(luò)架構(gòu)，可以隨時擴(kuò)展 AP 來增加無線用戶。 在 “瘦 AP+無線交換機(jī) ”解決方案中，瘦 AP 不負(fù)責(zé)執(zhí)行用戶認(rèn)證 、數(shù)據(jù)加密等安全工作，而是由無線交換機(jī)來執(zhí)行。具體數(shù)量視環(huán)境而定，視頻、 BT等大流量應(yīng)用會導(dǎo)致帶機(jī)數(shù)降低，普通上網(wǎng)應(yīng)用可以滿足最多的帶機(jī)數(shù)，銳捷的 AP 產(chǎn)品采用先進(jìn)的雙路硬件架構(gòu) ，一臺 AP 相當(dāng)于兩臺 AP 的性能，這樣在投資不變的前提下，可以提高至 2 倍的總物理帶寬和帶機(jī)數(shù)。當(dāng)然，兩者可以有一定的冗余，甚至部分區(qū)域會全面采用無線網(wǎng)絡(luò)進(jìn)行線路備份。 合理的物理部署 由于無線網(wǎng)絡(luò)采用無線 電波進(jìn)行傳輸，因此，無線網(wǎng)絡(luò)的品質(zhì)與所部署位置、電磁干擾、信道規(guī)劃有直接的關(guān)系。結(jié)合在 近幾年針對無線網(wǎng)絡(luò)安全問題的研究中，已經(jīng)誕生了大量的新技術(shù)，與已經(jīng)建成的無線網(wǎng)絡(luò)在部分高校的使用中，對安全問題的大量寶貴經(jīng)驗(yàn)，可以總結(jié)如下： 首先，靈活利用 SSID 技術(shù)。這在運(yùn)營管理部分給與了解決方案。所有網(wǎng)絡(luò)設(shè)備遵循統(tǒng)一的、標(biāo)準(zhǔn)的管理協(xié)議和兼容性，并滿足集中、統(tǒng)一管理的功能需要，使得網(wǎng)絡(luò)中心管理人員可以在網(wǎng)管工作站隨時觀察每一臺網(wǎng)絡(luò)設(shè)備的工作狀態(tài)。在國內(nèi)多數(shù)高校的 WLAN 網(wǎng)絡(luò)建設(shè)中，對無線網(wǎng)絡(luò)的漫游還停留在物理層和鏈路層漫游的水平，這兩部分的漫游僅能解決局部的漫游問題，對于網(wǎng)絡(luò)層漫游（跨網(wǎng)段的移動 IP 訪問）和應(yīng)用層漫游（跨認(rèn)證體的用戶認(rèn)證不中斷、不用重認(rèn)證）卻往往沒有考慮，在面向未來的無線網(wǎng)絡(luò)中，將會承載多種主體應(yīng)用 ，必須實(shí)現(xiàn)對網(wǎng)絡(luò)層和應(yīng)用層的漫游。 數(shù)據(jù)分級存儲 數(shù)據(jù)分級存儲，是指數(shù)據(jù)客體存放在不同級別 的存儲設(shè)備（磁盤、磁盤陣列、光盤庫、磁帶庫）中，通過分級存儲管理軟件實(shí)現(xiàn)數(shù)據(jù)客體在存儲設(shè)備之間的自動遷移。通過將不經(jīng)常訪問的數(shù)據(jù)自動移到存儲層次中較低的層次，釋放出較高成本的存儲空間給更頻繁訪問的數(shù)據(jù)，可以獲得更好的 總體性價比。提高了電子化數(shù)據(jù)管理的可靠性。 SAN 的最終目標(biāo)是實(shí)現(xiàn)在異構(gòu)環(huán)境中最大限度的數(shù)據(jù)共享和可管理性。存儲虛擬化同樣也是一個抽象的技術(shù)，幾乎可以應(yīng)用在存儲的所有層面：文件系統(tǒng)、文件、塊、主機(jī)、網(wǎng)絡(luò)、存儲設(shè)備等等。 高可用系統(tǒng) 對于 校園網(wǎng)中最為重要的管理系統(tǒng)，由于其系統(tǒng)與數(shù)據(jù)的特殊性，通常將其系統(tǒng)分別安裝在兩臺服務(wù)器上，數(shù)據(jù)庫存放在穩(wěn)定的、可靠的核心存儲設(shè)備上，兩臺運(yùn)行管理系統(tǒng)的服務(wù)器之間實(shí)施集群系統(tǒng)，以確保校園網(wǎng)的管理系統(tǒng)的持續(xù)可用。目前的Inter網(wǎng)絡(luò)以 IPv4 為主導(dǎo)，不可能一次性地將網(wǎng)絡(luò)的所有設(shè)備升級為 IPv6，可以肯定的是，一定是分步驟分階段的進(jìn)行部署實(shí)施。 IPv6 業(yè)務(wù)可以通過 IPv6 Inter網(wǎng)絡(luò)與 IPv6 Intra網(wǎng)絡(luò)，從而可以充分利用 IPv6 的諸多優(yōu)勢，如 Qos 保證。 ? 主導(dǎo)階段 ： IPv6 占據(jù)主導(dǎo)地位，具備全球范圍內(nèi)的連通性，所有的業(yè)務(wù)都運(yùn)行在 IPv6 平臺上。 IPv6 技術(shù)現(xiàn)在正處于完善的階段。 應(yīng)當(dāng)選擇響應(yīng)速度快、服務(wù)好的廠商。 應(yīng)當(dāng)不要選用有私有協(xié)議、專利技術(shù)的廠家設(shè)備。實(shí)現(xiàn)同時與 IPv6 網(wǎng)和 IPv4 網(wǎng)的互通。因此為了更好的完成這一過程，我們的 IPv6 實(shí)驗(yàn)網(wǎng)必須盡可能的貼近真實(shí)環(huán)境，只有這樣我們才能實(shí)現(xiàn)資源利用率的最大化，讓新的應(yīng)用業(yè)務(wù)以最小的代價通過市場的檢驗(yàn)，并取得成功。這樣，我們的 IPv6 的科研和應(yīng)用開發(fā)一直處在一個真實(shí)的環(huán)境中，將來在市場上可以以最小的風(fēng)險，快速通過市場的檢驗(yàn)，并獲得成功。 首先，作為大學(xué) IPv6 實(shí)驗(yàn)網(wǎng)，必須要具有一定的規(guī)模建設(shè)，以最少的代價將 IPv6 實(shí)驗(yàn)網(wǎng)鋪設(shè)到盡可能多的院系或科研機(jī)構(gòu)。 銳捷網(wǎng)絡(luò)作為真誠的教育 信息化的使者，真誠的希望，在今后的校園網(wǎng)建設(shè)和教育信息化的過程中，能夠與您、與每一位教育信息化的專家、學(xué)者同行！ Top 隱私保護(hù) | 聯(lián)系我們