【正文】 高教育系統(tǒng)信息化水平成為當(dāng)前工作的重點(diǎn)。 、提供了豐富的資源庫，所以校園網(wǎng)是學(xué)校進(jìn)行教學(xué)改革、推行素質(zhì)教育的一種必不可少的工具。信息技術(shù)的應(yīng)用，勢必極大地推進(jìn)教育手段和教育內(nèi)容的革命性變革。學(xué)院自1993年開設(shè)“四川創(chuàng)美學(xué)院”，開始美容美發(fā)短期培訓(xùn)。同時(shí)設(shè)立繼續(xù)教育學(xué)院，招生成人教育和中職學(xué)生，進(jìn)行職業(yè)技能培訓(xùn)，保留了短期職業(yè)培訓(xùn)機(jī)構(gòu)。2008年8月，四川國際標(biāo)榜職業(yè)學(xué)院教學(xué)實(shí)踐基地——女紅坊為北京奧運(yùn)會設(shè)計(jì)制作了3680套15000多件頭飾品；學(xué)院300余名師生出色地完成了2008北京奧運(yùn)會開幕式10000余名演員的化妝造型任務(wù)。在未來的征程中，將繼續(xù)沿著 “以市場為導(dǎo)向、以質(zhì)量求生存、以特色求發(fā)展”的辦學(xué)方針，創(chuàng)立獨(dú)具特色的職業(yè)教育理念及辦學(xué)方法。需接入校園網(wǎng)的計(jì)算機(jī)約2000多臺，并計(jì)劃校園網(wǎng)能提供Ipv4并保留升級ipv4與Ipv6的雙棧服務(wù)。 課題目的本課題的來源是四川國際標(biāo)榜職業(yè)學(xué)院校園網(wǎng)網(wǎng)絡(luò)升級改造建設(shè)的過程和需要，改變原有校園網(wǎng)的安全性差、帶寬較小、性能較低等狀況。第二章 需求分析和設(shè)計(jì)原則校園網(wǎng)作為一種獨(dú)特的模式，既具有一般企業(yè)網(wǎng)的特質(zhì)，又有其特殊的地方。管理的需求：包括對用戶和設(shè)備的管理，可操作、易管理、具備靈活的計(jì)費(fèi)策略、擴(kuò)展能力強(qiáng)。多業(yè)務(wù)需求：強(qiáng)大的組播支持能力、多業(yè)務(wù)融合（語言、數(shù)據(jù)、飾品）能力。升級后對用戶和設(shè)備的管理，可操作、易管理、具備靈活的計(jì)費(fèi)策略、擴(kuò)展能力強(qiáng)。升級后能更好的控制網(wǎng)絡(luò)流量在上班時(shí)間阻止不必要流量，合理利用現(xiàn)有帶寬。加裝流量監(jiān)控設(shè)備，智能應(yīng)用管理合理利用流量，防止不必要流量產(chǎn)生。高校網(wǎng)絡(luò)建設(shè)遵循以下基本原則：可管理性高校網(wǎng)絡(luò)是一個(gè)龐大而且復(fù)雜的網(wǎng)絡(luò)，為了保障網(wǎng)絡(luò)的正常使用以及設(shè)備的良好維護(hù)需要一個(gè)功能強(qiáng)大，具有分級、分權(quán)管理能力的網(wǎng)管系統(tǒng)，實(shí)現(xiàn)統(tǒng)一的網(wǎng)絡(luò)業(yè)務(wù)調(diào)度和管理，降低網(wǎng)絡(luò)運(yùn)營成本?？蓴U(kuò)充性考慮到用戶數(shù)量和業(yè)務(wù)種類發(fā)展的不確定性，校園網(wǎng)絡(luò)要建設(shè)成完整統(tǒng)一、組網(wǎng)靈活、易擴(kuò)充的彈性網(wǎng)絡(luò)平臺，能夠隨著需求變化，充分留有擴(kuò)充余地。整個(gè)網(wǎng)絡(luò)方案設(shè)計(jì)突出層次化、可管理、易維護(hù)、高可靠性的原則，確保網(wǎng)絡(luò)在具有高性能的同時(shí)具有良好的前瞻性和持續(xù)發(fā)展性。用戶長期反映，網(wǎng)絡(luò)緩慢，掉包嚴(yán)重。三層網(wǎng)絡(luò)結(jié)構(gòu)包括核心層、匯聚層和接入層；兩層網(wǎng)絡(luò)結(jié)構(gòu)分為核心層和接入層。三層結(jié)構(gòu)出了方便用戶管理和設(shè)備管理之外，也提供了良好的網(wǎng)絡(luò)安全性和擴(kuò)展性。根據(jù)這種層次化網(wǎng)絡(luò)設(shè)計(jì)思想的原則，我們可以把校園網(wǎng)的整個(gè)網(wǎng)絡(luò)體系結(jié)構(gòu)分為以下三個(gè)層次：u 由位于中心機(jī)房的核心交換機(jī)組成的核心層；u 由位于樓宇機(jī)房的匯聚層交換機(jī)組成匯聚層；u 由位于各樓層的信息點(diǎn)和接入組成接入層；總體設(shè)計(jì)以高性能、高可靠性、高安全性、良好的可擴(kuò)展性、可管理性和統(tǒng)一的網(wǎng)管系統(tǒng)及可靠組播為原則，以及考慮到技術(shù)的先進(jìn)性、成熟性，并采用模塊化的設(shè)計(jì)方法。 除5條萬兆鏈路外，其余全部使用千兆光纖連接。 本次網(wǎng)絡(luò)升級不僅僅是設(shè)備的升級也是線路的升級，把過去多模光纖網(wǎng)絡(luò)，全部更換為傳輸更可靠傳輸距離更遠(yuǎn)的單模光纖網(wǎng)絡(luò)。核心交換機(jī)推薦采用H3C9512交換機(jī)一臺。 大容量高性能路由交換 H3C S9500系列提供業(yè)界領(lǐng)先的交換能力，其最高的 路由交換引擎可以實(shí)現(xiàn) 576個(gè)千兆或48個(gè)萬兆端口的線速轉(zhuǎn)發(fā)，三層包轉(zhuǎn)發(fā)能力高達(dá) 857Mpps。 最長的網(wǎng)絡(luò)正常運(yùn)行時(shí)間 產(chǎn)品的無單點(diǎn)故障設(shè)計(jì) H3C S9500系列采用分布式體系結(jié)構(gòu)，所有關(guān)鍵部件采用冗余設(shè)計(jì)，包括主控板、交換網(wǎng)、電源和風(fēng)扇等；采用無源背板設(shè)計(jì)，避免機(jī)箱出現(xiàn)單點(diǎn)故障；所有單板支持熱插拔功能，并且對其它單板上運(yùn)行的業(yè)務(wù)無影響。 融合的多業(yè)務(wù)特性 網(wǎng)絡(luò)業(yè)務(wù)分析 H3C S9500系列通過高性能的網(wǎng)絡(luò)處理器實(shí)現(xiàn)對網(wǎng)絡(luò)業(yè)務(wù)的分析。 定制的行業(yè)解決方案 H3C S9500系列根據(jù)行業(yè)用戶的個(gè)性化需求，推出了多種新業(yè)務(wù)特性：支持 Portal 認(rèn)證，使最終用戶無須安裝客戶端即可完成認(rèn)證；支持對 BT 流量控制，防止 P2P業(yè)務(wù)對出口帶寬資源的濫用；在校園網(wǎng)中對不同網(wǎng)段的流量區(qū)分計(jì)費(fèi)，滿足教育用戶的需求；支持可編程的開放接口，可針對各行業(yè)客戶需求實(shí)現(xiàn)個(gè)性化的業(yè)務(wù)定制。如圖35所示圖35 LS550028CSI交換機(jī)特點(diǎn)：高擴(kuò)展性保護(hù)投資 隨著用戶端速度不斷提高，用戶最終會使集群千兆鏈路達(dá)到飽和，而能夠擁有多條集群10GE 鏈路將是我們的未來發(fā)展方向。同時(shí)支持 IPv6的 ACL和網(wǎng)管，實(shí)現(xiàn) IPv4到 IPv6的平滑升級。 多業(yè)務(wù)支持能力 支持PoE （Power over Ethernet） 技術(shù)， 通過以太網(wǎng)對所連接的設(shè)備 （如 IP Phone, Wireless AP等）進(jìn)行遠(yuǎn)程供電，從而使得不必在使用現(xiàn)場為設(shè)備部署單獨(dú)的電源系統(tǒng)，能夠極大地減少部署終端設(shè)備的布線和管理成本。 完備的安全控制策略 H3C S5500SI系列交換機(jī)支持EAD（端點(diǎn)準(zhǔn)入防御）功能，配合后臺系統(tǒng)可以將終端防病毒、補(bǔ)丁修復(fù)等終端安全措施與網(wǎng)絡(luò)接入控制、訪問權(quán)限控制等網(wǎng)絡(luò)安全措施整合為一個(gè)聯(lián)動的安全體系，通過對網(wǎng)絡(luò)接入終端的檢查、隔離、修復(fù)、管理和監(jiān)控，使整個(gè)網(wǎng)絡(luò)變被動防御為主動防御、變單點(diǎn)防御為全面防御、變分散管理為集中策略管理，提升了網(wǎng)絡(luò)對病毒、蠕蟲等新興安全威脅的整體防御能力。 提供Guest Vlan功能，使得為被授權(quán)的訪問端只能接入訪問特定的資源， 并且會采取相應(yīng)的策略， 例如可以獲得 、升級客戶端或者獲得其他的升級程序等等。 支持CAR （Committed Access Rate）功能，粒度最小達(dá)64Kbps。 H3C S5500SI 系列交換機(jī)支持基于 MAC 地址劃分 VLAN，很好的解決了移動辦公的智能靈活管理；結(jié)合特有的基于全局和VLAN 下發(fā) ACL策略，在簡化用戶配置的同時(shí)，也大幅節(jié)約了硬件資源。因此接入層設(shè)備采用H3C E126A和H3C E152 和H3C WA2210AG AP 配合使用。 E126A/E152教育網(wǎng)交換機(jī)支持端口安全特性族，可以有效防范基于 MAC 地址的攻擊。支持對 Proxy進(jìn)行有效的管理。 E126A/E152教育網(wǎng)交換機(jī)支持 VCT（Virtual Cable Test）電纜檢測功能，便于快速定位網(wǎng)絡(luò)故障點(diǎn)；并支持DLDP（Device Link Detection Protocol）單向鏈路檢測協(xié)議，可以有效的防止網(wǎng)絡(luò)中單通故障的發(fā)生，大幅提高網(wǎng)絡(luò)維護(hù)效率，切實(shí)將設(shè)備的易用性帶給用戶。具有即插即用、單一IP管理。 E126A/E152教育網(wǎng)交換機(jī)支持 IPv6 host，包括 IPv6單播地址配置，ICMPv6，IPv6鄰居發(fā)現(xiàn)協(xié)議（ND），IPv6TCP，IPv6TFTP，IPv6TRACERT管理特性。在無線控制器端，通過 CAPWAP 協(xié)議控制網(wǎng)絡(luò)中所有的 Fit AP，所有設(shè)備的狀態(tài)都一目了然。這個(gè)特性對于大型網(wǎng)絡(luò)尤其重要。支持 EAD無線接入 端點(diǎn)準(zhǔn)入防御（EAD，Endpoint Admission Defense）解決方案從控制用戶終端安全接入網(wǎng)絡(luò)的角度入手，整合網(wǎng)絡(luò)接入控制與終端安全產(chǎn)品，通過安全客戶端、安全策略服務(wù)器、網(wǎng)絡(luò)設(shè)備以及第三方軟件的聯(lián)動，對接入網(wǎng)絡(luò)的用戶終端強(qiáng)制實(shí)施企業(yè)安全策略，嚴(yán)格控制終端用戶的網(wǎng)絡(luò)使用行為，有效地加強(qiáng)了用戶終端的主動防御能力，為企業(yè)網(wǎng)絡(luò)管理人員提供了有效、易用的管理工具和手段。 支持用戶隔離策略 WA2200 系列無線接入點(diǎn)支持無線用戶之間的隔離。單一的集中式轉(zhuǎn)發(fā)，AC 雖然能對報(bào)文進(jìn)行全面控制，但所有的無線業(yè)務(wù)流都要到 AC 進(jìn)行統(tǒng)一處理，使得 AC 的轉(zhuǎn)發(fā)能力很容易成為瓶頸。支持 TR069 特性(CWMP) WA2200系列工作于FAT AP模式時(shí)，支持TR069特性。WA2200 系列同時(shí)支持點(diǎn)到點(diǎn)或點(diǎn)到多點(diǎn)橋接應(yīng)用，最大支持橋接鏈路數(shù)為 8條/射頻單元。 支持為無線客戶端動態(tài)分配 IP WA2200 系列工作于 Fat AP 模式時(shí)，可以配置工作為 DHCP server，為接入的無線客戶端動態(tài)分配 IP 地址，此功能使網(wǎng)絡(luò)管理者省卻了規(guī)劃靜態(tài)地址的煩惱。此外，上行 ETH口與上行光口可進(jìn)行冗余備份，提供更高的可靠性。 H3C WA2200 系列 AP 配合 H3C 無線控制器實(shí)現(xiàn)的鏈路質(zhì)量預(yù)測的切換技術(shù)（簡稱，WHFT），可保證車輛在運(yùn)行過程中，車載 AP 與軌旁 AP 的鏈路零切換時(shí)間。因此，規(guī)劃VLAN時(shí)也應(yīng)該綜合考慮這三方面的因素。 IP子網(wǎng)設(shè)計(jì)IP地址分配要遵循以下原則：簡單性：地址的分配應(yīng)該簡單，避免在主干上采用復(fù)雜的掩碼方式?？晒芾硇裕旱刂返姆峙鋺?yīng)該有層次，某個(gè)局部的變動不要影響上層、全局。簡單是美：簡化固定的基本報(bào)頭，采用64比特邊界定位，取消IP頭的校驗(yàn)和域等措施，以提高網(wǎng)絡(luò)設(shè)備對IP報(bào)文的處理效率。貼身安全：IPv6集成了IPSec，用于網(wǎng)絡(luò)層的認(rèn)證與加密，為用戶提供端到端安全，使用起來比IPv4簡單、方便，可以在遷移到IPv6時(shí)同步發(fā)展IPSec。IPv6運(yùn)行模式設(shè)計(jì)在整個(gè)IPv6網(wǎng)當(dāng)中可以運(yùn)行多種IPv6相關(guān)業(yè)務(wù)，因此將會出現(xiàn)以下相關(guān)技術(shù)，如：6to4to雙棧等多種方式，如圖所示，全網(wǎng)的資源實(shí)驗(yàn)訪問可分為以下幾種：(1)IPV4IPV6：IPv4與IPv6之間的相互互通是非常重要的，在實(shí)際的應(yīng)用的過程當(dāng)中華為3Com采用NAT轉(zhuǎn)換的方式進(jìn)行互通，在IPv4用戶訪問IPv6的資源時(shí)，由于IPv6的IP地址豐富，可以采用一個(gè)IPV4對應(yīng)一個(gè)IPv6的地址，進(jìn)行轉(zhuǎn)換；而IPv6用戶訪問IPv4的資源時(shí)，由于IPv4的地址資源相對有限，可以按照收斂比采取多對一動態(tài)的轉(zhuǎn)換的方式進(jìn)行互通，其基本的實(shí)現(xiàn)方式如圖39所示：圖39 IPV4IPV6 IPv6用戶在訪問Pv4的用戶時(shí)，在邊界路由器上進(jìn)行NAT轉(zhuǎn)換，過程是將IP的報(bào)頭取出，改為IPv4的報(bào)頭，與IPv4的用戶進(jìn)行互通；同樣IPV4用戶訪問IPV6的用戶時(shí)，當(dāng)經(jīng)過邊界路由器的時(shí)候，邊界路由器會將IPv4的包取出，更改為IPv6的報(bào)文格式在IPv6的網(wǎng)絡(luò)內(nèi)部實(shí)現(xiàn)IPv6之間的互通。對于終端的PC機(jī)用戶來說也可以實(shí)現(xiàn)網(wǎng)絡(luò)的訪問，PC機(jī)終端會攜帶IPV6請求包向IPv6接口發(fā)出請求，該報(bào)文通過IPv4網(wǎng)絡(luò)時(shí)將會直接封裝為IPv4包，當(dāng)?shù)竭_(dá)IPv6接口時(shí)，將還原為IPv6包，當(dāng)接口得到IPv6請求時(shí)，會返回其請求的前綴，報(bào)文同樣被封裝為IPv4包，當(dāng)?shù)竭_(dá)終端IPv6主機(jī)時(shí)，會直接還原為IPv6包，并將前綴直接分給終端主機(jī)，終端主機(jī)結(jié)合自己的后綴，自動配置好IPv6地址，進(jìn)而實(shí)現(xiàn)PC機(jī)終端與邊界路由器之間的6to4隧道。這種方式認(rèn)證和業(yè)務(wù)流也實(shí)現(xiàn)了分離，并可以方便地利用WEB服務(wù)器推出Portal和廣告等增值業(yè)務(wù)，對用戶進(jìn)行業(yè)務(wù)宣傳及業(yè)務(wù)引導(dǎo)。它包含有關(guān)用戶的專門文檔，如：用戶名、接入口令、接入權(quán)限等。經(jīng)過對以上認(rèn)證方式進(jìn)行對比，為了滿足新網(wǎng)絡(luò)的安全控制，決定使用WEB/Portal：、PPPoE等認(rèn)證技術(shù)相比，Portal認(rèn)證技術(shù)具有以下優(yōu)勢：不需要部署客戶端，直接使用WEB頁面認(rèn)證，使用方便；可以定制“VLAN+端口+IP地址池”粒度級別的個(gè)性化認(rèn)證頁面，同時(shí)可以在Portal頁面上開展廣告業(yè)務(wù)、服務(wù)選擇和信息發(fā)布等內(nèi)容，進(jìn)行業(yè)務(wù)拓展，實(shí)現(xiàn)IP網(wǎng)絡(luò)的運(yùn)營；關(guān)注對用戶的管理，可基于用戶名與VLAN ID/IP/MAC的捆綁識別來認(rèn)證，并采用Portal server和Portal client之間，BAS和Portal client之間定期發(fā)送握手報(bào)文的方式來進(jìn)行斷網(wǎng)檢測；二次地址方式可以實(shí)現(xiàn)靈活的地址分配策略和計(jì)費(fèi)策略，且能節(jié)省公網(wǎng)IP地址；三層認(rèn)證方式可以跨越網(wǎng)絡(luò)層對用戶作認(rèn)證，可以在企業(yè)網(wǎng)絡(luò)出口或關(guān)鍵數(shù)據(jù)的入口作訪問控制。同時(shí)，可基于時(shí)間、用戶、區(qū)域、應(yīng)用協(xié)議等，對 P2P/IM 應(yīng)用進(jìn)行告警、限流、干擾或阻斷。 全面地識別“地下”VoIP 支持對 Skype、SIP、中橋、UUCall等近百種協(xié)議或網(wǎng)關(guān)的呼叫識別、阻斷或干擾。 高性能、高可靠性 基于新一代多核 CPU+FPGA硬件架構(gòu)，業(yè)務(wù)與轉(zhuǎn)發(fā)相分離，實(shí)現(xiàn)了千兆級線速業(yè)務(wù)處理能力；通過雙電源冗余、掉電保護(hù)、二層回退等高可靠性設(shè)計(jì)，保證 SecPath ACG在斷電、軟硬件故障或鏈路故障的情況下，網(wǎng)絡(luò)鏈路仍然暢通。u 無線設(shè)備的防水防盜。無線局域網(wǎng)之間傳遞消息不依賴于物理布線，這無疑給用戶帶來了極大的方便，但同時(shí)也使得無線局域網(wǎng)比傳統(tǒng)局域網(wǎng)面臨更多的安全威脅。WEP用戶身份認(rèn)證方法的缺陷　?。洪_放系統(tǒng)認(rèn)證和共享密鑰認(rèn)證。WEP服務(wù)集標(biāo)識SSID和MAC地址過濾　　WEP服務(wù)集標(biāo)識SSID由Lucent公司提出，用以對封閉網(wǎng)絡(luò)進(jìn)行訪問控制。WEP加密機(jī)制的天生脆弱性　　WEP加密機(jī)制的天生脆弱性是受網(wǎng)絡(luò)攻擊的最主要原因，目前，消除WEP算法安全性方面缺陷的工作正在加緊進(jìn)行，其中IEEE Group ，它對現(xiàn)有系統(tǒng)改進(jìn)相對較小并易于實(shí)現(xiàn)。服務(wù)區(qū)標(biāo)識符(SSID)匹配：無線工作站必須出示正確的SSID，與無線訪問點(diǎn)AP的SSID相同，才能訪問AP；如果出示的SSID與AP的SSID不同，那么AP將拒絕他通過本服務(wù)區(qū)上網(wǎng)。WEP使用40位鑰匙，采用RSA開發(fā)的RC4對稱加密算法，在鏈路層加密數(shù)據(jù)?，F(xiàn)在的WEP一般也支持128位的鑰匙，提供更高等級的安全加密。，同時(shí)它還作為Radius客戶端，將用戶的認(rèn)證信息轉(zhuǎn)發(fā)給Radius服務(wù)器。無線客戶端二層隔離技術(shù)：在電信運(yùn)營商的公眾熱點(diǎn)場合，為確保不同無線工作站之間的數(shù)據(jù)流隔離，無線接入點(diǎn)AP也可支持其所關(guān)聯(lián)的無線客戶端工作站二層數(shù)據(jù)隔離，確保用戶的安全。三、 2003年快速發(fā)展的WPA (WiFi 保護(hù)訪問) 技術(shù)在IEEE 標(biāo)準(zhǔn)最終確定前，WPA（WiFi Protected Access）技術(shù)將成為代替WEP的無線安全標(biāo)準(zhǔn)協(xié)議，為IEEE 無線局域網(wǎng)提供更強(qiáng)大的安