【正文】 這樣大大提高了網(wǎng)絡(luò)組網(wǎng)的可靠性，進(jìn)而提高全網(wǎng)的可靠性。 Quidview 網(wǎng)絡(luò)管理軟件提供完善的用戶管理解決方案： ? 針對(duì)本次教育網(wǎng)中用戶的管理需求，提供了對(duì)接入用戶的訪問記錄功能，為用戶提供詳細(xì)的網(wǎng)絡(luò)訪問統(tǒng)計(jì)信息和一個(gè)完整的用戶訪問跟蹤記錄，便于追蹤非法用戶。 ? 實(shí)現(xiàn)對(duì)一組設(shè)備統(tǒng)一、集中、批量配置管理； ? 實(shí)現(xiàn)設(shè)備的集中維護(hù)管理； ? 網(wǎng)絡(luò)拓?fù)湫畔⒆詣?dòng)收集、維護(hù)，動(dòng)態(tài)更新； ? 節(jié)省公網(wǎng) IP 地址資源； ? 實(shí)現(xiàn)方便的軟件升級(jí)、配置數(shù)據(jù)備份、配置數(shù)據(jù)恢復(fù)； 流量性能監(jiān)控 Quidview 網(wǎng)絡(luò)管理軟件可以統(tǒng)計(jì)不同線路的利用情況，不同資源的利用情況，為優(yōu)化或擴(kuò)充網(wǎng)絡(luò)提供依據(jù)。 Vlan 的劃分可根據(jù)學(xué)校的實(shí)際情況靈活掌握。該類設(shè)備將接入層交換機(jī)的端口分為兩類：上行口 Uplink 和用戶端口。 路由器設(shè)備整體運(yùn)行狀態(tài) CPU 負(fù)載、系統(tǒng)溫度、風(fēng)扇狀態(tài)、 VOS 內(nèi)存空閑率、 NonVolatile 空閑率、內(nèi)存分布錯(cuò)誤次數(shù)、內(nèi)存分配不足引起的分配錯(cuò)誤 輸入 IP 報(bào)文、表頭錯(cuò)誤的輸入 IP報(bào)文、地址錯(cuò)誤 IP 報(bào)文、未知協(xié)議數(shù)據(jù)報(bào)、緩沖溢出輸入 IP 報(bào)文、緩沖溢出 的輸出 IP 報(bào)文、轉(zhuǎn)發(fā)的 IP 報(bào)文、無路由的輸出 IP 報(bào)文、成功重組的 IP 報(bào)文 路由器設(shè)備端口配置信息 接口描述、接口類型、最大傳輸單元、接口速率、物理地址、管理狀態(tài)、操作狀態(tài)、持續(xù)運(yùn)行時(shí)間、本地描述 路由器設(shè)備端口運(yùn)行狀態(tài) 接口使用率、輸入包誤碼率、輸出包誤碼率、輸入包丟棄率、輸出包丟棄率、輸入包未知協(xié)議率 下圖是該產(chǎn)品的界面示例： 5．核心網(wǎng)安全設(shè)計(jì) 網(wǎng)絡(luò)安全是任何一個(gè)網(wǎng)絡(luò)建設(shè)時(shí)首先要考慮的重要問題，北京科技大學(xué)校園網(wǎng)的環(huán)境更加復(fù)雜，學(xué)生的技術(shù)水平都較高，好奇心比較強(qiáng)，校園網(wǎng)的網(wǎng)絡(luò)安全更加值得 關(guān)注。 網(wǎng)管解決方案 根據(jù)網(wǎng)絡(luò)實(shí)際情況可采用華為 Quidview 網(wǎng)管系統(tǒng)。對(duì)于相對(duì)固定不變的教學(xué)區(qū)采用靜態(tài)分配 IP 地址，為防止地址盜用，采用 IP 地址與端口、地址綁定，對(duì)于流動(dòng)性大、用戶人數(shù)多、用戶增長(zhǎng)快的學(xué)生區(qū)采用動(dòng)態(tài)分配 IP 地址，采用 By Port 的 Vlan，小范 圍地限制地址盜用問題。 4．北京科技大學(xué)詳細(xì)網(wǎng)絡(luò)設(shè)計(jì) IP 地址規(guī)劃和路由策略 IP 地址的合理規(guī)劃是校園網(wǎng)網(wǎng)絡(luò)設(shè)計(jì)中的重要一環(huán)，大型計(jì)算機(jī)網(wǎng)絡(luò)必須對(duì)ＩＰ地址進(jìn)行 統(tǒng)一規(guī)劃并得到實(shí)施。 VPN 的功能 考慮到未來業(yè)務(wù)的擴(kuò)展性，對(duì)于校外移動(dòng)用戶的接入可以采用 VPN 的接入方式對(duì)校內(nèi)資源進(jìn)行訪問，北京科技大學(xué)可以采用在出口路由器上增加 VPN的接入功能，華為 NE05 的接入路由器可以支持多種 VPN 的接入方式，如： L2TP、IPsec 等傳統(tǒng) VPN 技術(shù)，校外用戶可以直接接入到學(xué)校內(nèi)部直接訪問學(xué)校內(nèi)部的相關(guān)數(shù)據(jù)資源。華為公司的 NE05 系列路由器可以為用戶提供基于硬件的 ACL 策略， NE05 路由器采用 NP 處理器，作為核心的處理單元，最多可以支持 20 萬條 BGP 路由；每塊接口板可以支持 5K 條策略，完全滿足復(fù)雜的骨干網(wǎng)節(jié)點(diǎn)以及大型局域網(wǎng)的出口路由的需求。 NE05 每個(gè)端口支持 1K 條策略路由，每線路板可以支持 5K 條策略路由，整機(jī)可以支持 80K 策略路由。同時(shí) S8512 如果發(fā)現(xiàn)所連接的服務(wù)器（如： A）狀態(tài) DOWN 掉，則立刻會(huì)改變當(dāng)前的負(fù)載均衡的策略，同時(shí)將下面訪問用戶，鏈接到，當(dāng)前運(yùn)行良好的服務(wù)器上，以確保用戶訪問數(shù)據(jù)不會(huì)丟失。所以當(dāng)攻擊者進(jìn)行攻擊時(shí)， S8512 只能造成該接口板的業(yè)務(wù)能力處理下降，但是對(duì)于整機(jī)沒有多大影響。 華為北京科技大學(xué)解決方案特點(diǎn)： 華為北京科技大學(xué)教育網(wǎng)組網(wǎng)解決方案的優(yōu)點(diǎn)有以下幾點(diǎn)： 完全的分布式的處理方式 S8512 為用戶提供完全的分布式的處理方式，北京科技大學(xué)的校園網(wǎng)內(nèi)部的數(shù)據(jù)量是非常大的，因此主交換機(jī)是否能夠做 到線速關(guān)系到整個(gè)網(wǎng)絡(luò)的是否會(huì)發(fā)生擁塞。 業(yè)務(wù)流量說明 業(yè)務(wù)流量流程如下圖 所示： 不同用戶訪問公網(wǎng)：用戶在訪問不同的網(wǎng)站的時(shí)候，出口路由器將會(huì)根據(jù)用戶的目的 IP 地址來做不同的策略路由器，選擇不同的運(yùn)營(yíng)商來進(jìn)行公網(wǎng)的訪問，出口路由器根據(jù)用戶的訪問策略進(jìn)行策略路由，如圖所示：不同的 ISP 用戶（網(wǎng)通、 Cer）在經(jīng)過 NE05 的時(shí)候， NE05 會(huì)根據(jù)用戶所在的 ISP 服務(wù)商來做策略路由，將用戶送到自己選擇的出口線路上。 千兆核心節(jié)點(diǎn)交換機(jī) S6506R：對(duì)于綜合樓、實(shí)驗(yàn)樓等相對(duì)信息點(diǎn)數(shù)量較少的節(jié)點(diǎn)可以采用 S6506R 核心千兆交換機(jī)作為節(jié)點(diǎn)設(shè)備，華為 3S6506R 核心交換機(jī)背板容量 128G，包轉(zhuǎn)發(fā)率 48Mpps 完全可以滿足節(jié)點(diǎn)的要求，同時(shí)考慮到后期節(jié)點(diǎn)數(shù)量有可能會(huì)進(jìn)一步擴(kuò)大，華為 S6506R 有 6 個(gè)業(yè)務(wù)插槽可支持高密度 GE接口板，完全可以滿足用戶的擴(kuò)展需求。對(duì)于原有的 CB9000 核心交換機(jī)可以采用的將其下移至作為科技樓的匯聚層交換機(jī)，這樣對(duì)于科技樓內(nèi)部的三成互訪完全可以直接在 CB9000 匯聚層交換機(jī)上來完成， 進(jìn)一步減少網(wǎng)絡(luò)核心交換機(jī) S8512 的壓力以提高整個(gè)網(wǎng)絡(luò)的網(wǎng)絡(luò)帶寬。計(jì)費(fèi)主機(jī)部分因?yàn)橐幚泶罅康挠?jì)費(fèi)、認(rèn)證信息將會(huì)進(jìn)一步影響帶寬 。圖書館內(nèi)部信息點(diǎn)的接入均采用千兆電接口的方式進(jìn)行接入，樓宇之間的互聯(lián)均采用千兆單模光纖實(shí)現(xiàn)互聯(lián)。 財(cái)務(wù)、學(xué)籍管理等重要部門可以在校內(nèi)通過劃分 VLAN 的方式進(jìn)行安全劃分，同時(shí)嚴(yán)格與其他部門做邏輯隔離。 整體網(wǎng)絡(luò)設(shè)計(jì)規(guī)范 綜上所述北京科技大學(xué)的校園網(wǎng)改造整體網(wǎng)絡(luò)設(shè)計(jì)應(yīng)遵循以下設(shè)計(jì)規(guī)范： 從圖中可以看出北京科技大學(xué)校園網(wǎng)的設(shè)計(jì)規(guī)范可以分為以技術(shù)規(guī)范和管理規(guī)范，從管理規(guī)范上來說可 以分為應(yīng)用層、網(wǎng)絡(luò)層、物理層；從技術(shù)規(guī)范上來說，在不同的管理層上都要求對(duì)應(yīng)的技術(shù)做支撐，整個(gè)網(wǎng)絡(luò)的設(shè)計(jì)都要求能夠有較好的安全性和可管理性。 未來的會(huì) 議電視、視頻會(huì)議的支持 IP 網(wǎng)絡(luò)的發(fā)展迅猛，越來越多的應(yīng)用被搬到了以太網(wǎng)上，因此此次北京科技大學(xué)的網(wǎng)絡(luò)整體設(shè)計(jì)需要考慮到未來的視頻會(huì)議以及流媒體等相關(guān)的應(yīng)用的擴(kuò)展。 三產(chǎn)公司等內(nèi)部 校辦企業(yè)。下面對(duì)不同用戶的上網(wǎng)規(guī)劃進(jìn)行區(qū)分分析規(guī)劃 教職工上網(wǎng) 對(duì)于在校教職工的上網(wǎng)的需求可以分為兩種情況：在學(xué)校上班時(shí)所使用的網(wǎng)絡(luò)，對(duì) 于家里家屬上網(wǎng)的情況。 主干部分出口帶寬不高，內(nèi)部上網(wǎng)比較慢 學(xué)校新增應(yīng)用系統(tǒng)如：“一卡通”、“安全監(jiān)控”等應(yīng)用系統(tǒng)的擴(kuò)展 校園網(wǎng)絡(luò)其他功能的擴(kuò)展（如：視頻會(huì)議、遠(yuǎn)程教學(xué)、 IP 電話、資源共享等）。 基于對(duì)北京科技大學(xué)校園網(wǎng)業(yè)務(wù)需求的深入理解，結(jié)合自身產(chǎn)品和技術(shù)特點(diǎn)，華為公司推出了了完善的北京科技大學(xué)校園網(wǎng)解決方案，為北京科技大學(xué)提供“可管理、可增值、可持續(xù)發(fā)展”的精品網(wǎng)絡(luò)。 網(wǎng)絡(luò)改造采用何種品牌的設(shè)備不限，要求性能穩(wěn)定可靠，功能齊全，性價(jià)比高，同時(shí)要與現(xiàn)有品牌的兼容，便于網(wǎng)絡(luò)管理。 校園網(wǎng)中心服務(wù)器都接在核心交換機(jī)（ 3COM CoreBuilder9000）上。具體連接參見北京科技大學(xué)網(wǎng)絡(luò)拓?fù)鋱D。下面從校園現(xiàn)狀和校園網(wǎng)改造基本需求兩方面進(jìn)行介紹。 多種教學(xué)方式并行的需求： 隨著校園網(wǎng)的信息化的發(fā)展，越來越的多教學(xué)方式依托于網(wǎng)絡(luò)給學(xué)生提供多種的特色教學(xué)模式 多媒體教學(xué)。用戶域名選擇可通過 WEB 認(rèn)證時(shí)用戶通過選擇 WEB 認(rèn)證上的相應(yīng)選擇項(xiàng)進(jìn)行選擇。我們對(duì)此深信不疑，并將全身心地為之努力。同時(shí)，隨著國(guó)家信息化工作的深入開展，提高教育系統(tǒng)信息化水平成為當(dāng)前工作的重點(diǎn)。而校園網(wǎng)建設(shè)則是教育系統(tǒng)信息化建設(shè)的關(guān)鍵，尤其是高校校園網(wǎng)建設(shè)。 北京科技大學(xué)校園網(wǎng)建網(wǎng)需求分析 一般建網(wǎng)需求 北京科技大學(xué)的網(wǎng)絡(luò)的建設(shè)主要是對(duì)于原 ATM 網(wǎng)絡(luò)的改造，在實(shí)際的建設(shè)過程當(dāng)中，應(yīng)當(dāng)充分考慮到學(xué)校內(nèi)部的校園網(wǎng)多業(yè)務(wù)以及特色業(yè)務(wù)等擴(kuò)展性，如：校園網(wǎng)內(nèi)部的服務(wù)器的訪問，由于學(xué)生的訪問的內(nèi)容多樣化決定，涉及到基礎(chǔ)網(wǎng)絡(luò)設(shè)施的建設(shè)和業(yè)務(wù)應(yīng)用平臺(tái)建設(shè)兩個(gè)不同的層 面。 多 ISP 分別計(jì)費(fèi)的需求，對(duì)應(yīng)不同的 ISP，計(jì)費(fèi)策略不一致。為了更好的為學(xué)生提供全方面的教學(xué)資料，越來越的多學(xué)校在自己 的內(nèi)部局域網(wǎng)上面為學(xué)生提供多種教學(xué)資料，如：多媒體教學(xué)課件、典型的考試資料等等提供給學(xué)生上網(wǎng)下載使用。 校園網(wǎng)現(xiàn)狀 校園網(wǎng)出口為獨(dú)享交換 100M 光纖連到北京郵電大學(xué)，再與其它院校共享交換 1000M 網(wǎng)絡(luò)帶寬聯(lián)到清華接入 CERNET 網(wǎng)。 目前校園網(wǎng)內(nèi)部路由情況是：中心路由器為 3COM CoreBuilder9000 交換機(jī)，它的缺省路由指向防火墻的內(nèi)部端口地址。主要服務(wù)器及硬件平臺(tái)信息如下表所示： 服務(wù)器名稱 硬件平臺(tái) 操作系統(tǒng) HP LH6000 WIN2020 SERVER 主 DNS HP R380 HP_UNIX 輔 DNS HP R380 HP_UNIX EMAIL HP L2020 HP_UNIX FTP HP L2020 HP_UNIX OA HP N4000 HP_UNIX ORACLE HP N4000 HP_UNIX 計(jì)費(fèi)自服務(wù) HP LH6000 WIN2020 SERVER DHCP HP E45 WIN2020 SERVER 網(wǎng)管 HP B2020 HP_UNIX 目前校園網(wǎng)絡(luò)運(yùn)行狀況：平均在線機(jī)數(shù)3500 左右，校園網(wǎng)正常出口平均帶寬 30Mb/s 左右。 今后幾年內(nèi)北京科技大學(xué)將有大批新樓宇建成，其中大部分是學(xué)生公寓，還有幾座辦公教學(xué)樓宇。 北京科技大學(xué)網(wǎng)絡(luò)建設(shè)遵循以下基本原則： 高帶寬 北京科技大學(xué)網(wǎng)絡(luò)是一個(gè)龐大而且復(fù)雜的網(wǎng)絡(luò)，為了保障全網(wǎng)的高速轉(zhuǎn)發(fā)，校園網(wǎng)全網(wǎng)的組網(wǎng)設(shè)計(jì)的無瓶頸性，要求方案設(shè)計(jì)的階段就要充分考慮到，同時(shí)要求核心交換 機(jī)具有高性能、高帶寬的特，整網(wǎng)的核心交換要求能夠提供無瓶頸的數(shù)據(jù)交換。 提高網(wǎng)絡(luò)管理水平，提高網(wǎng)絡(luò)的故障快速檢測(cè)能力。 教職工在學(xué)校上班的情況。 對(duì)于三產(chǎn)公司等用戶的資源的訪問，學(xué)?？梢愿鶕?jù)用戶可以訪問的資源在核心交換機(jī)上通過 ACL 的進(jìn)行訪問權(quán)限的限制，對(duì)于每個(gè)單位群體可以單獨(dú)通過 1個(gè) VLAN id 號(hào)碼進(jìn)行接入，以實(shí)現(xiàn)安全隔離以及內(nèi)部互訪的需求 物業(yè)管理等部門的訪問。華為核心交換機(jī)以及出口路由器均支持強(qiáng)大的 Qos 功能，可以實(shí)現(xiàn)按不同端口、不同業(yè)務(wù)進(jìn)行 Qos 的設(shè)定從而實(shí)現(xiàn)全網(wǎng)對(duì)于視頻、 IP 電話的支持。 從技術(shù)規(guī)范上來看在物理層要求具有合理的光纖布線方式。 安全監(jiān)控部門可以采用拉獨(dú)立光纖的方式作為全網(wǎng)的監(jiān)控點(diǎn)的鏈接。 主樓節(jié)點(diǎn)組網(wǎng)圖： 主樓節(jié)點(diǎn)與圖書館節(jié)點(diǎn)部分基本類似圖書館節(jié)點(diǎn)， 組網(wǎng)圖如下所示： 主樓節(jié)點(diǎn)主要負(fù)責(zé)保衛(wèi)處、自動(dòng)化所、理化樓、計(jì)算中心、金物樓、管理樓、文法樓 7 個(gè)點(diǎn)的接入，完 成各節(jié)點(diǎn)之間的相互訪問，其三層互通由主樓中心節(jié)點(diǎn)S8505 三層交換機(jī)完成互通。由于出口防火墻為軟件防火墻，其處理的速度依賴于主機(jī)的性能以及軟件平臺(tái)的處理因此在防火墻處也同樣存在這嚴(yán)重的帶寬瓶頸。 接入層設(shè)計(jì)方案 此次接入層建議采用華為 3 公司 E050/E026SI 接入層交換機(jī)作為學(xué)校的接入層交換機(jī)。對(duì)于未來主干的升級(jí)，華為 S6506R 可平滑升級(jí)到萬兆骨干，因此用戶無需對(duì)于該節(jié)點(diǎn)的進(jìn)一步擴(kuò)展而擔(dān)心。 校內(nèi)三層互訪：對(duì)于同在一個(gè)校園內(nèi)部的學(xué)生之間的互訪可以直接通過局域網(wǎng)的內(nèi)部交換機(jī)來完成內(nèi)部之間的互訪，如圖三層互訪示意圖所示：對(duì)于同屬于一個(gè)匯聚層交換機(jī) S6506R 下的用 戶，兩個(gè)用戶之間的互訪可以直接在匯聚層交換機(jī) S650R 上來完成，而對(duì)于跨匯聚層交換機(jī)的用戶只見的額互訪可以通過核心交換機(jī) S8512 來完成， S8512 強(qiáng)大的三層交換功能完全可以勝任任何突發(fā)流量以及高集中用戶上網(wǎng)時(shí)段的三層交換，為用戶提供高速高帶寬的用戶接入。華為 S8512 背板交換容量 夠做到所有 GE 接口的雙向的線速，華為公司的 S8512 的性能指標(biāo)是經(jīng)過完整的測(cè)試，而業(yè)界廠家在指標(biāo)宣稱上面往往與給最終提供給用戶的不一致。這是我們選則 S8512 的作為核心交換的非常重要的原因。 基于復(fù)雜流的檢測(cè)和控制 由于校園網(wǎng)的應(yīng)用越來越復(fù)雜，所以如何維護(hù)北 京科技大學(xué)的應(yīng)用和規(guī)范校園網(wǎng)的應(yīng)用，提高北京科技大學(xué)校園網(wǎng)的安全性和可控制性， S8512/NE05 可以根據(jù)基于復(fù)雜流的分類來檢測(cè)數(shù)據(jù)報(bào)文的合法性和安全性。 NE05 的策略路由通過硬件實(shí)現(xiàn)，在策略路由滿配置條件下通過策略路由轉(zhuǎn)發(fā)的報(bào)文可以達(dá)到線速，對(duì)通過普通路由的報(bào)文轉(zhuǎn)發(fā)沒有任何影響； NE05 的策略路由