【正文】 如果發(fā)現(xiàn)地址相同，則 SR8800會(huì)立即發(fā)送一個(gè)地 址沖突 報(bào)文和免費(fèi) ARP廣播報(bào)文。 SR8800能夠檢測(cè)并且防范 ARP報(bào)文的攻擊。 通過(guò) ACL功能，管理者可以對(duì)非法流量進(jìn)行有效的過(guò)濾 。在進(jìn)行二層轉(zhuǎn)發(fā)時(shí)，這些報(bào)文將會(huì)在 VLAN內(nèi)廣播，嚴(yán)重影響網(wǎng)絡(luò)帶寬，同時(shí)也會(huì)對(duì)網(wǎng)絡(luò)設(shè)備下掛主機(jī)造成沖擊。同時(shí)，當(dāng)攻擊源對(duì)下掛在網(wǎng)絡(luò)設(shè)備的服務(wù)器進(jìn)行 DoS攻擊時(shí)，可以利用 SR8800的 ACL功能，下發(fā)特定的 ACL規(guī)則對(duì)攻擊報(bào)文進(jìn)行過(guò)濾，保障下掛的主機(jī)和服務(wù)器正常運(yùn)行。如果有 ARP應(yīng)答，則立即刪除相應(yīng)的丟棄表項(xiàng)，并添加正常的路由表項(xiàng)。網(wǎng)絡(luò)設(shè)備可以采取的冗余配置措施主要包括冗余電源配置、冗余模塊配置、冗余引擎配置等，基于 H3C網(wǎng)絡(luò)設(shè)備豐富的冗余特性，可以有效的實(shí)現(xiàn)這些冗余配置模式。面對(duì)這些問(wèn)題，傳統(tǒng)解決方案最大的問(wèn)題是，防火墻工作在 TCP/IP 3～ 4層上，根本就“看”不到這些 威脅的存在，而 IDS作為一個(gè)旁路設(shè)備，對(duì)這些威脅又“看而不阻”，因此我們需要一個(gè)全新的安全解決方案。 ? 為了實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)應(yīng)用的有效管理，必須加強(qiáng)對(duì)網(wǎng)絡(luò)用戶的網(wǎng)絡(luò)應(yīng)用能力控制，首先，需要對(duì)用戶接入網(wǎng)絡(luò)的能力進(jìn)行控制，嚴(yán)格控制只有經(jīng)過(guò)認(rèn)證的用戶才能接入網(wǎng)絡(luò)；同時(shí)，需要更細(xì)粒度的訪問(wèn)控制，尤其是對(duì) Inter 資源的訪問(wèn)控制，應(yīng)該能夠控制內(nèi)部用戶訪問(wèn) Inter 的什么網(wǎng)站，實(shí)現(xiàn)一定程度的用戶應(yīng)用行為的管理。 在性能管理方面，可提供系統(tǒng)性能和服務(wù)質(zhì)量等方面信息的監(jiān)控和統(tǒng)計(jì)。 自動(dòng)拓?fù)浒l(fā)現(xiàn)的一個(gè)主要的特點(diǎn)就是 RPR 環(huán)網(wǎng)能夠?qū)崿F(xiàn)即插即用。 正是由于 RPR 有帶寬預(yù)留和公平機(jī)制， RPR 可為用戶提供多種 SLA 服務(wù)，為服務(wù)商提供靈活的業(yè)務(wù)。 需要說(shuō)明的是，所有的保護(hù)倒換都是基于雙向出錯(cuò)的，包括單光纖故障、雙光纖故障、節(jié)點(diǎn)故障、斷開(kāi)節(jié)點(diǎn)以增加新節(jié)點(diǎn)等，對(duì)于環(huán)網(wǎng)來(lái)說(shuō)，都會(huì)認(rèn)為環(huán)網(wǎng)出錯(cuò)并在出錯(cuò)處的節(jié)點(diǎn)進(jìn)行倒換。 ? 單播報(bào)文采用目的剝離的方式，報(bào)文一旦到達(dá)目的地，就不再在環(huán)上繼續(xù)傳送，提高了環(huán)網(wǎng)的利用率。 RPR 采用類似以太網(wǎng)的幀格式，基于 MAC 進(jìn)行高速交換，簡(jiǎn)化 IP 前傳。 RPR 的設(shè)計(jì)宗旨就是網(wǎng)絡(luò)要適合 IP 數(shù)據(jù)業(yè)務(wù)，具有高可靠性，并且可運(yùn)營(yíng)可管理，從而可為城域網(wǎng)提供低成本、高性能的解決方案。如 Cisco的 DPT、 Nortel的 IPT、以及 Luminous的 RPT等等，但是由于實(shí)現(xiàn)的機(jī)制不同，產(chǎn)品互通等方面存在問(wèn)題。 XXX學(xué)院 網(wǎng)絡(luò)是一個(gè)可運(yùn)營(yíng)的網(wǎng)絡(luò)，除了提供網(wǎng)絡(luò)運(yùn)營(yíng)服務(wù)以外，今后建立備份中心或?yàn)?zāi)備中心后，還可以利用統(tǒng)一建立的災(zāi)備網(wǎng)絡(luò)和存儲(chǔ)資源，為各院系或其他單位提供共享容災(zāi)運(yùn)營(yíng)服務(wù)，從而為沒(méi)有能力建設(shè)災(zāi)備中心而又需要保護(hù)某些關(guān)鍵 數(shù)據(jù)和業(yè)務(wù)的用戶提供災(zāi)備服務(wù)，并針對(duì)不同的用戶提供不同的服務(wù)級(jí)別。數(shù)據(jù)中心當(dāng)前面臨的一個(gè)重要問(wèn)題是能耗過(guò)大，數(shù)據(jù)的大集中帶來(lái)的不僅是管理水平的提升，同時(shí)也帶來(lái)了的高能耗。 . 數(shù)據(jù) 中心高可用性 本次方案設(shè)計(jì)中對(duì)于如何滿足數(shù)據(jù)中心的高可用性，從四個(gè)層面進(jìn)行了設(shè)計(jì)，如上圖中的右邊的 5個(gè)字符框中的內(nèi)容： 等價(jià)路由冗余設(shè)計(jì) 服務(wù)器匯 聚交換機(jī)支持跨設(shè)備鏈路聚合虛擬化技術(shù) 提高可靠性 ，避免再通過(guò)MSTP/VRRP技術(shù)滿足數(shù)據(jù)中心的可靠性要求。 數(shù)據(jù)中心核心層： 需要說(shuō)明的是，考慮到學(xué)校的實(shí)際情況，本次把數(shù)據(jù)中心核心層和園區(qū)網(wǎng)核心層合二為一，主要用來(lái)實(shí)現(xiàn)高速的數(shù)據(jù)交換。應(yīng)按照端到端訪問(wèn)安全、網(wǎng)絡(luò) L2L7 層安全兩個(gè)維度對(duì)安全體系進(jìn)行設(shè)計(jì)規(guī)劃，從局部安全、 全局安全到智能安全，將安全理念滲透到整個(gè)數(shù)據(jù)中心網(wǎng)絡(luò)中。 建立數(shù)據(jù)服務(wù)中心優(yōu)化整合現(xiàn)有數(shù)據(jù)信息資源 ? 解決教學(xué)、科研、辦公業(yè)務(wù)數(shù)據(jù)海量增長(zhǎng)，數(shù)據(jù)無(wú)法整合管理的問(wèn)題 ? 解決數(shù)據(jù)爆炸性增長(zhǎng)，成 本要求不斷降低的問(wèn)題 ? 解決各種災(zāi)難對(duì)信息系統(tǒng)影響的問(wèn)題 ? 解決跨廣域的數(shù)據(jù)訪問(wèn)的問(wèn)題 ? 解決跨系統(tǒng)數(shù)據(jù)遷移和災(zāi)難備份困難的問(wèn)題 ? 解決借助廠家提供專業(yè)的存儲(chǔ)咨詢和服務(wù)的問(wèn)題 建設(shè)安全可靠的網(wǎng)絡(luò)平臺(tái) ? 具備網(wǎng)絡(luò)結(jié)構(gòu)優(yōu)化能力 —— 整體架構(gòu)具備更有效的容災(zāi)能力，以應(yīng)對(duì)故障節(jié)點(diǎn)、故 障鏈路、路由震蕩所帶來(lái)對(duì)業(yè)務(wù)的影響； ? 具備網(wǎng)絡(luò)業(yè)務(wù)拓展能力 —— 可平滑向下一代網(wǎng)絡(luò)遷移，向 IPv6遷移兼容現(xiàn)有組網(wǎng)環(huán)境， IPv6完全由分布式硬件完成，保護(hù)投資；可以隨時(shí)隨地使用，可以基于移動(dòng)漫游環(huán)境，移動(dòng)漫游環(huán)境無(wú)需管理者手工干預(yù) ? 具備安全滲透防御能 力 —— 具備攻擊、非法業(yè)務(wù)的隔離、控制，具備在線主動(dòng)抵御的能力；核心網(wǎng)絡(luò)自身集成安全防御能力，縮小攻擊、病毒影響范圍；用戶接入網(wǎng)絡(luò)屏蔽用戶非法操作，隔離網(wǎng)絡(luò)攻擊 實(shí)現(xiàn)整個(gè) 教育城域網(wǎng) 網(wǎng)絡(luò)的集中統(tǒng)一智能化管理 教育城域網(wǎng) 是建立在一系列 IT資源的基礎(chǔ)上，諸如帶寬資源、教學(xué)辦公數(shù)據(jù)的資源、計(jì)算資源、網(wǎng)絡(luò)多媒體通信資源等，針對(duì)這些資源需要關(guān)聯(lián)化的管理，資源的整合，才能將利用 IT系統(tǒng)服務(wù)校園信息化的價(jià)值最大化。另外組播特性對(duì)于有效的保證多媒體流傳輸性能和節(jié)省帶寬也有非常重要的意義，基于組播的控制特性也會(huì)進(jìn)一步保證組播流的控制、管理和安全，從而為實(shí)現(xiàn)教育城域網(wǎng)的多業(yè)務(wù)支持提供保障。在網(wǎng)絡(luò)設(shè)計(jì)中要把先進(jìn)的技術(shù)與現(xiàn)有的成熟技術(shù)和標(biāo)準(zhǔn)結(jié)合起來(lái)，充分考慮網(wǎng) 絡(luò)應(yīng)用的現(xiàn)狀和未來(lái)發(fā)展趨勢(shì)。 采用科學(xué)管理，建立一支技術(shù)過(guò)硬，水平較高，具有建設(shè)性和穩(wěn)定性的系統(tǒng)管理維護(hù)隊(duì)伍。信息技術(shù)課程做到三個(gè)統(tǒng)一：統(tǒng)一教材、統(tǒng)一教綱、統(tǒng)一考核。教育城域網(wǎng)絡(luò) 系統(tǒng)統(tǒng)一的網(wǎng)絡(luò)平臺(tái)，統(tǒng)一 的網(wǎng)絡(luò)出入口，實(shí)現(xiàn)軟件和應(yīng)用資源共享，還為各校提供硬件共享服務(wù)。 . 教育城域網(wǎng)業(yè)務(wù)分析 結(jié)合當(dāng)前教育信息化現(xiàn)狀，確保教育城域網(wǎng)最大程度地服務(wù)于教育信息化改革和提高教學(xué)質(zhì)量，教育城域網(wǎng)必須滿足以下功能： 實(shí)現(xiàn) IT資源的集中部署和分發(fā) 傳統(tǒng)各個(gè)學(xué)校自行購(gòu)買服務(wù)器、存儲(chǔ)、軟件的方式構(gòu)建的 IT系統(tǒng)，無(wú)法實(shí)現(xiàn)有效的整合。 . 組網(wǎng)簡(jiǎn)介 ..................................................................... 錯(cuò)誤 !未定義書簽。 . 需求分析 ..................................................................... 錯(cuò)誤 !未定義書簽。 . 組網(wǎng)簡(jiǎn)介 ............................................................ 錯(cuò)誤 !未定義書簽。 . 核心網(wǎng)關(guān)鍵設(shè)備介紹 .................................................... 錯(cuò)誤 !未定義書簽。 . 方案設(shè)計(jì) ..................................................................... 錯(cuò)誤 !未定義書簽。 . 方案配置及技術(shù)優(yōu)勢(shì) .................................................... 錯(cuò)誤 !未定義書簽。軟 件系統(tǒng)本身之間完全割裂，形成孤島資源；而硬件系統(tǒng)的割裂則無(wú)法充分發(fā)揮硬件的利用率，往往造成資源的浪費(fèi)。 實(shí)現(xiàn)高度共享的免費(fèi)教育教學(xué)多媒體資源 ? 通過(guò) 教育城域網(wǎng) 系統(tǒng)實(shí)時(shí)點(diǎn)播或高速下載，師生可以利用 教育城域網(wǎng)絡(luò) 系統(tǒng) 的教育教學(xué)資源進(jìn)行輔助教學(xué)和輔助學(xué)習(xí)。 ? 組織編寫并統(tǒng)一使用以計(jì)算機(jī)操作和信息處理為主線，突出互聯(lián)網(wǎng)應(yīng)用的中小學(xué)信息技術(shù)教材，并定為中小學(xué)信息技術(shù)教育實(shí)驗(yàn)教材。 采用科學(xué)理念，將信息化深入到每個(gè)教育教學(xué)過(guò)程中，形成每位教師能用、會(huì)用信息技術(shù)手段，并不斷創(chuàng)新和融合教育信息資源的新局面。 高性能 ――骨干網(wǎng)絡(luò)性能是整個(gè)網(wǎng)絡(luò)良好運(yùn)行的基礎(chǔ)，設(shè)計(jì)中必須保障網(wǎng)絡(luò)及設(shè)備的高吞吐能力，保證各種信息（數(shù)據(jù)、圖象）的高質(zhì)量傳輸，才能使網(wǎng)絡(luò)不成為業(yè)務(wù)開(kāi)展的瓶頸。 安全性 ――制訂統(tǒng)一的網(wǎng)絡(luò)安全策略，整體考慮網(wǎng)絡(luò)平臺(tái)的安全性。 4. 云計(jì)算數(shù)據(jù)中心建設(shè)方案 . 數(shù)據(jù)中心對(duì)于 城域網(wǎng) 的戰(zhàn)略意義 城域網(wǎng) 數(shù)據(jù)中心是數(shù)據(jù)大集中而形成的集成 IT應(yīng)用環(huán)境，它是 各種 IT業(yè)務(wù)和應(yīng)用服務(wù)的提供中心，是數(shù)據(jù)運(yùn)算 /交換 /存儲(chǔ)的中心，實(shí)現(xiàn)對(duì)用戶的數(shù)據(jù)、應(yīng)用程序、物理構(gòu)架的全面或部分進(jìn)行整合和集中管理。 ? 先進(jìn)性： 數(shù)據(jù)中心將長(zhǎng)期支撐 XX 集團(tuán)的業(yè)務(wù)發(fā)展， 而網(wǎng)絡(luò)又是數(shù)據(jù)中心的基礎(chǔ)支撐平臺(tái) ，因此 數(shù)據(jù)中心網(wǎng)絡(luò) 的建設(shè)需要考慮后續(xù)的機(jī)會(huì)成本，采用主流的、先進(jìn)的技術(shù)和產(chǎn)品（如數(shù)據(jù)中心級(jí)設(shè)備、 CEE、 FCoE、 虛擬化 支持等），保證基礎(chǔ)支撐平臺(tái) 5～ 10 年內(nèi)不會(huì)被淘汰，從而實(shí)現(xiàn)投資的保護(hù)。 服 務(wù)器 匯聚層 主要要求 ： 匯聚服務(wù)器群接入交換機(jī) 多槽位、線速多端口萬(wàn)兆 交換機(jī) 集成 FW、 IPS安全與 服務(wù)器負(fù)載均衡 應(yīng)用優(yōu)化業(yè)務(wù)模塊 服務(wù)器 接入層 主要要求 ： 通過(guò) 高密 GE Top of Rack或者 高密 GE End/Middle of Row 實(shí)現(xiàn)大規(guī)模的服務(wù)器 接入 ?？缭O(shè)備鏈路聚合虛擬化技術(shù)詳見(jiàn)第三章核心層設(shè)計(jì)說(shuō)明。虛擬化技術(shù)實(shí)現(xiàn)了通過(guò)獨(dú)立于硬件平臺(tái)的邏輯實(shí)例來(lái)使用各種資源（網(wǎng) 絡(luò)、計(jì)算、存儲(chǔ)）的方法，最大化的實(shí)現(xiàn)了對(duì)資源的利用 與共享，成為降低數(shù)據(jù)中心能耗的最有效手段。 5. 基礎(chǔ)網(wǎng)絡(luò) 平臺(tái) 建設(shè)方案 . 組網(wǎng)概述 根據(jù)教育城域網(wǎng)的建設(shè)要求，教育城域網(wǎng)將分為骨干層、匯聚層、校園網(wǎng)三級(jí)，整個(gè)教育城域網(wǎng)具有可運(yùn)營(yíng)、可管理的開(kāi)放式結(jié)構(gòu)。 IP環(huán)網(wǎng)要繼續(xù)發(fā)展和推廣，急需標(biāo)準(zhǔn)化并進(jìn)行統(tǒng)一， 彈性分組環(huán)即 RPR就是 IP環(huán)網(wǎng)標(biāo)準(zhǔn)化的結(jié)果。 RPR 環(huán)網(wǎng)是由逆向雙環(huán)組成，一個(gè)為順時(shí)針?lè)较?，一個(gè)為逆時(shí) 針?lè)较颍p環(huán)都可以同時(shí)傳輸數(shù)據(jù)和控制信息，其中內(nèi)環(huán)的控制信息控制外環(huán)的數(shù)據(jù)，外環(huán)的控制信息控制內(nèi)環(huán)上的數(shù)據(jù)。 RPR 定義了一個(gè)閉合環(huán)路、點(diǎn)到點(diǎn)、基于 MAC 層的邏輯環(huán)狀拓?fù)?，?duì)于物理層來(lái)說(shuō)， RPR 就是一組點(diǎn)到點(diǎn)的鏈路，而對(duì)于數(shù)據(jù)鏈路層來(lái)說(shuō)， RPR 就像是一個(gè)類似于以太網(wǎng)的廣播介質(zhì)網(wǎng)絡(luò)。 ? 環(huán)網(wǎng)節(jié)點(diǎn)數(shù)據(jù)處理一般包括轉(zhuǎn)發(fā)、發(fā)送和接受，環(huán)網(wǎng)上大量的轉(zhuǎn)發(fā)數(shù)據(jù)處理是在 MAC層完成，不需要 到 IP 層進(jìn)行處理，而且數(shù)據(jù)轉(zhuǎn)發(fā)可使用存儲(chǔ)轉(zhuǎn)發(fā) storeandforward 和直通cutthrough 方式，其中直通的方式處理速度快，性能高。另外，同一個(gè)環(huán)網(wǎng)內(nèi)的節(jié)點(diǎn)應(yīng)該采用相同的倒換方式。服務(wù)商可根據(jù)用戶付費(fèi)的情況，確定時(shí)提供保證速率業(yè)務(wù)還是突發(fā)業(yè)務(wù)，對(duì)于保證速率的業(yè)務(wù)，也可以根據(jù)付費(fèi)的多少，提供不同的帶寬。在傳統(tǒng)的傳輸中，如果增加一個(gè)新節(jié)點(diǎn)，需要對(duì)該節(jié)點(diǎn)以及與其有業(yè)務(wù)關(guān)系的節(jié)點(diǎn)進(jìn)行復(fù)雜的配置，存在 N平方的問(wèn)題，也使得增加新業(yè)務(wù)不靈活，開(kāi)通時(shí)間慢。 . RPR 技術(shù) 在教育城域網(wǎng)中的應(yīng)用 RPR 技術(shù)是眾多環(huán)網(wǎng)技術(shù)中的一種，而且是比較優(yōu)秀的一種，在具備充分保護(hù)倒換功能的情況下，不需要冗余帶寬備份，提供高可靠性、高帶寬、高利用率。 4) 網(wǎng)絡(luò)攻擊行為檢測(cè)和防范的風(fēng)險(xiǎn)： ? 由于 TCP/IP 協(xié)議的開(kāi)放特性，帶來(lái)了非常大的安全風(fēng)險(xiǎn)，常見(jiàn)的 IP 地址竊取、 IP 地址假冒，網(wǎng)絡(luò)端口掃描以及危害非常大的拒絕服務(wù)攻擊（ DOS、DDOS）等，必須能夠提供對(duì)這些攻擊行為有效的檢測(cè)和防范能力的措施； ? 由于操作系統(tǒng)平臺(tái)、網(wǎng)絡(luò)應(yīng)用平臺(tái)以及應(yīng)用系統(tǒng)本身存在的很多安全漏洞，必須能夠有效的檢測(cè)到基于這些漏洞的病毒、木馬、蠕蟲(chóng)和其他各種應(yīng)用層攻擊，同時(shí)能夠組合已有的網(wǎng)絡(luò)設(shè)備和安全設(shè)備，針對(duì)這些攻擊行為，提供有效的防范能力； 5) 網(wǎng)絡(luò)數(shù)據(jù)傳輸中存在的安全風(fēng)險(xiǎn)： 網(wǎng)絡(luò)數(shù)據(jù)在傳輸?shù)倪^(guò)程中，很可能被通過(guò)各種方式竊取，因此在提供我們上面描述的網(wǎng)絡(luò)數(shù)據(jù)傳輸能力的前提下，必須能夠保證數(shù)據(jù)在傳輸?shù)倪^(guò) 程中機(jī)密性（保證數(shù)據(jù)傳遞的信息不被第三方獲得）和完整性（保證數(shù)據(jù)在傳遞過(guò)程中不被人修改），尤其是在網(wǎng)絡(luò)傳遞的信息價(jià)值不斷提高情況下。 . 統(tǒng)一安全設(shè)計(jì)原則 在規(guī)劃 XXX教育城域網(wǎng) 網(wǎng)絡(luò)安全系統(tǒng)時(shí)，我們將遵循以下原則，以這些原則為基礎(chǔ)，提供完善的體系化的整體網(wǎng)絡(luò)安全解決方案： ? 體系化設(shè)計(jì)原則 通過(guò)分析信息網(wǎng)絡(luò)的網(wǎng)絡(luò)層次關(guān)系、安全需求要素以及動(dòng)態(tài)的實(shí)施過(guò)程，提出科學(xué)的安全體系和安全模型，并根據(jù)安全體系和安全模型分析網(wǎng)絡(luò)中可能存在的各種安全風(fēng)險(xiǎn)，針對(duì)這些風(fēng)險(xiǎn)以動(dòng)態(tài)實(shí)施過(guò)程為基礎(chǔ)，提出整體網(wǎng)絡(luò)安全解決方案，從而最大限度地解決可能存在的安全問(wèn)題。 其次，采取高安全性的網(wǎng)絡(luò)設(shè)備， 網(wǎng)絡(luò)與安全的融合是未來(lái)網(wǎng)絡(luò)發(fā)展的必然趨勢(shì)，隨著網(wǎng)絡(luò)設(shè)備特性的不斷更新， H3C系列網(wǎng)絡(luò)設(shè)備自身具備的安全能力也在不斷加強(qiáng)。否則，經(jīng)過(guò)一段時(shí)間后丟棄表項(xiàng)自動(dòng)老化。 廣播 /組播報(bào)文速率限制 網(wǎng)絡(luò)中存在大量的廣播或者組播報(bào)文，會(huì)占用寶貴的網(wǎng)絡(luò)帶寬，從而嚴(yán)重影響網(wǎng)絡(luò)設(shè)備的轉(zhuǎn)發(fā)性能。 SR8800提供設(shè)置單個(gè)端口或者單個(gè) VLAN允許學(xué)習(xí)的最大 MAC地址數(shù)目的功能。管理者可以在端口、 VLAN或 者全局模式下設(shè)置相應(yīng)的 ACL規(guī)則， 以滿足不同的需要。當(dāng)攻擊者采用某個(gè)或者某幾個(gè)固定的攻擊源，向設(shè)備發(fā)送大量的 ARP報(bào)文進(jìn)行攻擊時(shí)， SR8800能夠檢測(cè)并且防范這種 ARP協(xié)議報(bào)文的攻擊。地址沖突報(bào)文是通知對(duì)端主機(jī)或者設(shè)備，該地址已經(jīng)被占用；免費(fèi) ARP廣播報(bào)文，是通知本網(wǎng)段內(nèi)其他主機(jī)和網(wǎng)絡(luò)設(shè)備，糾正本網(wǎng)段內(nèi)其他主機(jī)或者網(wǎng)絡(luò)設(shè)備的 ARP表項(xiàng)