【正文】 選擇，在計費策略 允許的情況下，確保用戶通過最快路徑到達目的站點。國內本地化應用識別強 ， 可識別 600 余種應用 ，對于新出現(xiàn)的應用，我們 提供對新的網絡應用識別的按需定制升級服務。 本產品部署后，方案特點如下： ? 帶寬決策支持： 統(tǒng)計、監(jiān)控和分析 校園 網各種應 用所占的帶寬比例，為 校園 網的用途和下一步的規(guī)劃提供科學依據。 √ IPv6網絡出口缺乏安全防護手段，跨棧攻擊一觸即發(fā) 校園網出口需求分析： 通過對校園網出口面臨的一些問題的 深入分析，我們將校園網出口建設的需求歸納如下： √ 出口設備需要具備高處理性能、高吞吐量，為滿足 CERNET 出口的接入需求，設備應當具備萬兆吞吐能力。在性能和功能方面 DCRS5950 交換機能夠滿足大型網絡的組網需求，并具備豐富的智能和安全特性，特別適合于作為大型校園網、 企業(yè)網、 IPv4/IPv6 城域網的匯聚設備，以及中小型網絡的核心設備。標志著中國企業(yè)自主研發(fā)的 IPv6技術已經領航世界。 策略匯聚層功能：提供路由，策略執(zhí)行能力（流量整型等）； 策略匯聚層組成產品：匯聚層萬兆 IPv6/v4 雙棧路由硬件交換機； 策略匯聚層核心技術分 析：多千兆口支持，支持萬兆上聯(lián)， QoS， L3－ L4 層交換； 、策略匯聚層選用設備分析 匯聚層是校園各個區(qū)域數(shù)據的匯聚中心，分擔核心層的壓力，同時需要為各個區(qū)域數(shù)據提供快速的數(shù)據交換平臺，另外充分考慮目前校園網的需求及未來幾年的擴展，我們建議 選用神州數(shù)碼DCRS7604做為萬兆大匯聚設備； DCRS5950做為萬兆小匯聚 。 支持全線速的 MPLS VPN 業(yè)務： DCRS9800 系列支持全面的 LDP功能和 BGP/MPLS VPN 功能的同時，還支持 MPLS VPN 訪問公網功能，實現(xiàn)專網通信的同時，可以無阻隔地訪問公網，保障了業(yè)務的多樣性，可同時作為 PE、 P。 同時，還提供了運營商級的穩(wěn)定性： DCRS9800 系列路由交換機對所有關鍵部件都采用了冗余備份的設計方案：電源冗余、交直流冗余、管理模塊冗余、鏈路冗余、 FLASH 冗余、無需升級的可選軟件版本和可選配置管理等，所有單板、電源模塊、風扇盤等都支持熱插拔并且 DCRS9800 系列路由交換機的交流電源采取多路 (24路 )電網供電＋電源工作時負載均衡，大大提高了電源的穩(wěn)定和可靠。這些資源都是有代價的，它們是交換機成本的重要組成部分。 DCRS9816 交換機能夠整機支持 320 個線速萬兆接口， 32 個線速10萬兆端口。關于核心交換機的選擇，就需要結合項目實際以及用戶目前實際需求，同時考慮未來網絡存續(xù)期間業(yè)務拓展對于核心設備的擴展性要求，在此前提下要該核心交換機能夠提供全線速轉發(fā)。 IPv6 支持 BOOTP和 DHCP 這種有狀態(tài)的地址自動 配置，也同時支持無狀態(tài)地址自動配置，即自動配置服務器只分配一個地址前綴，設備自身通過自己的 Mac 地址生成后 64 位接口 ID。 IPv6 提供了巨大的地址空間。比如 NAT技術，采用 IP 端口號對應內部 IP的方法，這樣限制了 P2P 等應用，轉發(fā) 效率大大降低，同時真實的原 IP被臨時的端口號所取代，也就無法進行身份確定。 WAN PHY與 SONET OC192幀結構的融合，可與 OC192電路、 SONET/SDH 設備一起運行，保護傳統(tǒng)基礎投資，使運營商能夠在不同地區(qū)通過城域網提供端到端以太網。 為了使所實現(xiàn)系統(tǒng)能夠在應用發(fā)生變化的情況下保護原有開發(fā)投資，在設計系統(tǒng)時，應將系統(tǒng)按功能做成模塊化的，可根據需要增加和刪減功能模塊。通過選擇先進體系結構的硬件設備，使校園網絡系統(tǒng)滿足 5 個 9 的可靠性，使每年的系統(tǒng)維護時間縮短在 分鐘之內。在某些情況下，寧可犧牲系統(tǒng)的部分功能也必須保護系統(tǒng)的安全 ，所以在網絡設備的選擇上要考慮設 備的安全和穩(wěn)定性等方面的需求 。 、 標準性和開放性 只有支持標準性和開放性的系統(tǒng)，才能支持與其他開放型系統(tǒng)一起協(xié)同工作，在網絡中采用的硬件設備及軟件產品應支持國際工業(yè)標準或事實上的標準，以便能和不同廠家的開放型產品在同一網絡中同時共存；通信中應采用標準的通信 協(xié)議以使不同的操作系統(tǒng)與不同的網絡系統(tǒng)及不同的網絡之間順利進行通訊。 建立網絡環(huán)境下的全校辦公自動化系統(tǒng)及各類管理信息系統(tǒng)，實現(xiàn)全校各類信息的集中管理、處理及信息共享。 新一代數(shù)字校園必然是節(jié)約型數(shù)字校園。另外，學生的網絡知識豐富、求知欲望很強，很難避免學生把校園網作為學習網絡知識和安全知識的試驗床，由此引發(fā)的安全問題更加難以防范。由于用戶類型非常多，對每一類用戶的安全權限不一樣、網絡服務質量不一樣、計費策略不一樣（如果計費運營），導致用戶的管理策略非常復雜。 由于校區(qū)合并、擴大教育規(guī)模等因素，現(xiàn)在的高校學生數(shù)量增長了數(shù)倍，一般大學的學生數(shù)量達到了 1 萬人～ 4 萬人的規(guī)模。要以新的人才觀、教學觀和管理理論為指導，超越傳統(tǒng)的高等教育模式，培養(yǎng)適應信息社會要求的 創(chuàng)新型人才。 ? 在管理方面 ： 要利用信息技術實現(xiàn)職能信 息管理的自動化，實現(xiàn)上下級部門之間更迅速便捷的溝通，實現(xiàn)不同職能部門之間的數(shù)據共享與協(xié)調，提高決策的科學性和民主性，減員增效，形成充滿活力的新型管理機制。 企業(yè)或事業(yè)單位的網絡用戶都為辦公用戶，運營商面向住宅的接入網中的用戶都為家庭用戶，面向辦公大樓的接入網用戶都為企業(yè)用戶。 在企業(yè)或事業(yè)單位很少見到 1G出口帶 寬， 100M 出口帶寬已經比較富余，但是在高校， 1G帶寬已經比較常見，往往還會有擁塞的現(xiàn)象。一般一個大學可能由 5個以上的校區(qū)組成，各校區(qū)往往不在相鄰地段，各校區(qū)間的光纜長度也達到十幾或幾十公里。教育資源是社會資源的重要組成部分，節(jié)約型社會呼喚節(jié)約型校園，建設節(jié)約型校園，不僅是學校自身發(fā)展的需要，更是高校應有的社會責任。 校園網主要部分應能支持 IPV6等下一代互聯(lián)網標準。 、 先進性和實用性 系統(tǒng)所有的組成要素均應充分地考慮其先進性。同時，應從長遠的技術發(fā)展來選擇具有很好前景的、較為先進的技術和產品，以適應系統(tǒng)未來的發(fā)展需要。對復雜和龐大的網絡，要求有強有力的網絡 管理手段，以便合理的管理網絡資源，監(jiān)視網絡狀態(tài)及控制網絡的運行。由于局域網內工作站對網絡服務器的訪問有可能造成網絡最大的數(shù)據流量，使服務器和網絡設備之間的連接成為系統(tǒng)瓶頸口，使網絡發(fā)生擁塞，因此需要對這一數(shù)據流量進行一個大致的估計，以便按照估計在服務器和工作站之間配置容量相當?shù)木W絡設備和通訊帶寬。 與傳統(tǒng)的以太網不同， ，而不支持單工和半雙工方式，不采用 CSMA/CD機制； 不支持自協(xié)商，可簡化故障定位，并提供廣域網物理層接口。 IPv4地址配置管理復雜。 IPV6 地址的合理規(guī)劃和 128bit 地址空間所帶來的良好層次，使IPV6 網絡便于路由匯聚，從而減少路由表項。 IPV6的設計很自然的就可以在擴展報頭中實現(xiàn) IPSec?，F(xiàn)在主流的背板技術是采用 Crossbar 或者 Crosspoint 架構。 DCRS9800路由交換機支持基于 ASIC的分布式硬件 IPv6轉發(fā)方式，可以在本地實現(xiàn) IPv6報文的處理，并可在接口模塊內部及模塊與背板間實現(xiàn) IPv6報文的線速轉發(fā)，避免了集中式轉發(fā)的瓶頸和時延問題，為 IPv6真正走向大規(guī)模商用提供了有力保障。 完備機制，保障安全 DCRS9800 系列具有業(yè)界最全面的 IPv4 和 IPv6 安全防范設計，極有效地保障了超大規(guī)模、多 業(yè)務、復雜流量訪問網絡的安全穩(wěn)定性： ? 多維 CPU 保護技術，有效區(qū)分進入 CPU 的協(xié)議報文和攻擊報文 ? SMAC 技術可有效地基于 MAC 層防范各種攻擊； ? SARP (安全 ARP) 技術可有效防止 ARP 的各種 攻擊和欺騙； ? SNDP (安全 NDP) 技術可有效防止 IPv6 NDP 的各種攻擊和欺騙； ? SICMP（安全 ICMP）技術可有效防止 PINGDOS攻擊，靈活防止黑客利用 ICMP Unreachable攻擊第三方的行為； ? BPDUGUARD 技術可有效防止非法 BPDU 報文的攻擊； ? 先進的 LPM 技術可有效防止 “沖擊波 ”病毒、 “zero day”病毒、 “SQL slammer warm”病毒等； ? IPv4 DHCP Snooping/IPv6 DHCP Snooping 技術可有效防止 DHCP 報文的攻擊； ? IPv4 URPF/IPv6 URPF 技術 可有效防止基于源 IPv4 地址 \IPv6 欺騙的 網絡 攻擊； ? IPv4/IPv6 DCSCM 可有效防止組播源和組播客戶端的攻擊； ? 黑洞路由技術可有效防止路由環(huán)路、路由黑洞 ? 對 DCSM 的支持可有效 達到在多種網絡環(huán)境下，自動隔離風險用戶、保證網絡順暢運行的目的； ? 強大的多維 ACL： DCRS9800系列擁有增強的 IPv4/IPv6可擴展安全性 ACL。分布式硬件 IPv6轉發(fā)方式，可以在本地實現(xiàn) IPv6報文的處理，并可在接口模塊內部及模塊與背板間實現(xiàn) IPv6 報文的線速轉發(fā)，避免了集中式轉發(fā)的瓶頸和時延問題；同時，作為國內唯一一家通過 IPv6 Ready 第二階段增強版認證的路由交換機 :增加了更安全的鄰居發(fā)現(xiàn)（ ND）信息、增加了認證封裝安全負載、避免了受到路由頭 RH0 攻擊的影響、避免了使用IPv6 任播地址的限制、完善了無狀態(tài)地址分配的協(xié)議交互過程；為 IPv6 能真正在大規(guī)模商用環(huán)境提供了安全有力的保障。并且，低功率意味著低散熱，可讓長期運行的核心網絡設備的系統(tǒng)穩(wěn)定性大大增 強。 DCRS7604萬兆路由交換機 ， 提供 (可擴 ) 背板帶寬， 640Gbps交換容量， 476Mpps包轉發(fā)速率 ， DCRS7600系列路由交換機為豐富多變的企業(yè)網絡、精準苛刻的電信網絡提供了無與倫比的下一代 IP通信新核心。柔性化智能化的交換機資源調度技術 FlexResource，為核心設備支撐更大規(guī)模的網絡提供了有力保障。在節(jié)約成本與提高用戶體驗這對矛盾的前提下，不升級運營商高資費的出口線路帶寬，轉而提高出口線路的有效利用率和關鍵業(yè)務的帶寬保障是一個行之有效的辦法。 √ 針對不同的網絡對象實施精細化 帶寬策略 ，帶寬管理能夠精確到用戶。 ? 非法應用抑制： 有效控制各種應用所占帶寬 ， 保證關鍵應用，抑制不希望的應用 ， 如下圖所示，為 DCFS8800 流量控制策略加載前后 ， 迅雷 流量所占用的帶寬對比。 、 網絡 出口綜合防御設計 綜合防御 ， 凈化出口 ， 安全接入多面手 ： 根據總體拓撲所示 ， 在流量管理與各 ISP 線路之間布置神州數(shù)碼 終結者多核超萬兆 安全網關。由于目前公有地址資源緊張，很多高校不希望采用公網地址池的方式部署 NAT，針對這種需求，終結者安全網關支持完善的單地址 NAT 技術，通過神州數(shù)碼獨創(chuàng)的 6 元組復用技術，確保單地址的端口資源不被耗盡，保障了單地址 NAT 的正常運行，幫助學校有效節(jié)省公網地址。神州數(shù)碼 DCBINetLog 上網行為 日志系統(tǒng)就是針對這種需求應運而生。在雙棧網絡上 IPv4 和 IPv6組播可以同時 部署。組播的應用可以節(jié)省大量的網絡帶寬，使得視頻會議、網絡電視等應用能更好的發(fā)展，對于寬帶網絡用戶而言具有重要的實際意義。 如下圖所示：在匯聚層的 DCRS5950和核心層的 DCRS7600上均起 IPv6 PIMDM，第一跳 DR(即跟 IPv6組播服務器直接相連的 DCRS5950)收到 IPv6組播流量后即向下按周期性擴散，依次類推。組播服務器分別把自己的組信息通過注冊報文注冊到各自的 RP。因此， pull的方式假定組播不被需要，除非用一個顯示的加入機制來專門申請，否則組播信息不會被傳送到接收站點。 ? IPv6 PIM 解決方案 IPv6 PIM (IPv6 協(xié)議無關組播 )是指跟 IPv6 單播協(xié)議無關的 IPv6 組播技術，也就是指不管哪種單播路由 (IPv6 靜態(tài)單播路由、 RIPng、 OSPFv BGP4)學習到的單播路由， IPv6 PIM 都可以利用單播路由進行轉發(fā)，即 IPv6 PIM的轉發(fā)是需要利用 IPv6單播路由的，但是 IPv6 PIM 它不依賴于某個單播路由，所以它被稱為 IPv6協(xié)議無關組播。適用于應用環(huán)境中不需要 IPv4主機與 IPv6主機之間進行通信的情況，如內容分發(fā)。推薦采用獨立光纖，以保障較高的網絡效率。病毒庫與 IPS 特征碼都可以通過神州數(shù)碼網站（ 校園網出口安全防護將隨需而動。 校園網出口部署“終結者”后，整體效能提升如下： ? 多出口接駁游刃有余：高校校園網一般至少存在 3 個出口， 如教育網（帶寬 1G、 或 10G）、中國聯(lián)通（帶寬 100M、 200M）、中國電信（帶寬 100M、 200M） ， DCFW1800E10G 安全網關支持完善的鏈路負載均衡能力，根據各個出口的負荷壓力進行優(yōu)化分擔和鏈路備份。 （例如： 在限制每用戶的帶寬不超過 256K 的同時，還可以同時限制針對總體上限制 BT 的總帶寬不超過 10M） ?特色 應用跟蹤升級： 網絡應用的識別率高、針對中國本地特色應用能進行精確識別。神州數(shù)碼網絡一站式出口解決方案主要有三大特色： 、 流控認證一體化設計