【正文】 06交換機(jī)采用了平面保護(hù)技術(shù)，在網(wǎng)絡(luò)設(shè)備的數(shù)據(jù)平面、控制平面之間配置有獨(dú)立的硬件安全芯片，該芯片可以有效的控制從數(shù)據(jù)平面（ASIC芯片）發(fā)往控制平面（CPU）各種報(bào)文，進(jìn)行識別、限速、阻斷等。高密度線速萬兆及十萬兆的擴(kuò)展支持華為9306是華為網(wǎng)絡(luò)推出的面向十萬兆平臺設(shè)計(jì)的下一代高密度多業(yè)務(wù)IPV6核心路由交換機(jī)，具有很高的擴(kuò)展能力。它雖然消除了環(huán)路，但卻帶來了鏈路性能利用不足的新的問題。把傳統(tǒng)網(wǎng)絡(luò)中兩臺核心層交換機(jī)用VSU替換，VSU和匯聚層交換機(jī)通過聚合鏈路連接。一旦Master設(shè)備故障，系統(tǒng)會迅速自動選舉新的Master，以保證通過系統(tǒng)的業(yè)務(wù)不中斷，從而實(shí)現(xiàn)了設(shè)備級的備份。1．NPE在啟用NAT、ACL、PBR（策略路由）的情況下，在通常情況報(bào)文流情況下（平均報(bào)文長度為500byte左右的混合報(bào)文），雙向可以達(dá)到8Gbps的線速轉(zhuǎn)發(fā)。 ACE正常時(shí)流量將經(jīng)過外部光旁路模塊進(jìn)入ACE而其中，來自校園網(wǎng)內(nèi)部的安全事件占到了絕大多數(shù)。6. 某些安全設(shè)備采取網(wǎng)絡(luò)內(nèi)串行部署的方式，容易造成性能瓶頸和單點(diǎn)故障；7. 無法對用戶的網(wǎng)絡(luò)行為進(jìn)行記錄，事后審計(jì)困難；當(dāng)前網(wǎng)絡(luò)安全形勢嚴(yán)峻已是不爭的事實(shí)，所以在網(wǎng)絡(luò)安全上，各位校園網(wǎng)的運(yùn)營官們都是費(fèi)勁了心思。尤其，病毒軟件對攻擊不能獨(dú)立有效地確認(rèn)發(fā)生源，并有效地阻斷；由此可見，當(dāng)網(wǎng)絡(luò)受到來自各方面的攻擊時(shí)，由防毒軟件和防火墻等獨(dú)立安全產(chǎn)品堆砌起來的措施不僅漏洞百出，還會處處被動挨打。實(shí)現(xiàn)用戶身份管理GSN幫助天水農(nóng)業(yè)學(xué)校建立成熟可靠的網(wǎng)絡(luò)身份管理體系，確保入網(wǎng)用戶身份的合法有效，將非法用戶隔離在內(nèi)網(wǎng)大門之外。 Windows域身份管理系統(tǒng)兼容GSN支持LDAP協(xié)議，可以與Windows域管理系統(tǒng)、OpenLDAP或其它支持LDAP的身份認(rèn)證系統(tǒng)實(shí)現(xiàn)無縫結(jié)合，對用戶的身份信息進(jìn)行統(tǒng)一管理。GSN能夠通過和第三方殺毒軟件的聯(lián)動，強(qiáng)制入網(wǎng)用戶必須正常安裝、運(yùn)行指定的殺毒軟件。 外聯(lián)接口控制財(cái)務(wù)等機(jī)構(gòu)往往有嚴(yán)格的信息保密需求，需要能夠?qū)τ?jì)算機(jī)的外聯(lián)接口進(jìn)行嚴(yán)格控制，限制信息泄密的可能渠道。使管理員從多數(shù)重復(fù)性、非生產(chǎn)性工作中解放出來，提高工作的效率。而其它的本科高校最終都要接入CERNET2，因此我們此次為天水農(nóng)業(yè)學(xué)校校園網(wǎng)的規(guī)劃中也特別關(guān)注了這一點(diǎn)。再次，在RGS861RGS860RGS5750上設(shè)置雙棧、IPv6靜態(tài)路由和ISATAP隧道，保證匯聚設(shè)備不支持IPv6的區(qū)域，可以實(shí)現(xiàn)跨三層支持IPv6功能，這樣就保證了全網(wǎng)IPv6的實(shí)現(xiàn)。RGeLog可以結(jié)合銳捷出口引擎（RGNPE）、應(yīng)用控制引擎(RGACE)全系列產(chǎn)品、銳捷認(rèn)證系統(tǒng)（SAM或SMP），實(shí)現(xiàn)對出口引擎提供的NAT五元組、ACE提供的URL訪問日志的分析。RGS5750E系列交換機(jī)能夠提供靈活的介質(zhì)接口，滿足網(wǎng)絡(luò)建設(shè)中不同介質(zhì)的連接需要。而萬兆端口的可擴(kuò)展性既方便用戶現(xiàn)在使用萬兆網(wǎng)絡(luò)，也方便用戶后續(xù)升級網(wǎng)絡(luò)到萬兆。比如IGMP Snooping、IGMP、MLD、PIM、PIM for IPvMSDP等協(xié)議族，為IPv4網(wǎng)絡(luò)、IPv6網(wǎng)絡(luò)、IPv4和IPv6共存的網(wǎng)絡(luò)提供了組播服務(wù)支持；支持IGMP源端口和源IP檢查功能，有效地杜絕非法的組播源，提高網(wǎng)絡(luò)的安全性；支持等價(jià)路由（ECMP）、權(quán)重路由（WCMP）等豐富的三層特性和業(yè)務(wù)特性，滿足不同網(wǎng)絡(luò)鏈路規(guī)劃下的通信需要。RGS2900E系列交換機(jī)包括RGS2928GE 、RGS2952GE二款產(chǎn)品，是銳捷網(wǎng)絡(luò)基于網(wǎng)絡(luò)安全和易用好管理的理念推出的新一代安全智能交換機(jī)，充分融合了網(wǎng)絡(luò)發(fā)展需要的高性能、高安全、多業(yè)務(wù)、易用性特點(diǎn)，為用戶提供全新的技術(shù)特性和解決方案。方便易用易管理采用靈活復(fù)用的千兆電接口和千兆SFP口組合的形式，可最靈活滿足是否需要多個(gè)千兆鏈路上鏈或多個(gè)千兆服務(wù)器的連接，方便用戶根據(jù)網(wǎng)絡(luò)架構(gòu)靈活選擇連接形式；支持設(shè)備間的混合堆疊，通過堆疊不僅可以統(tǒng)一管理和使用設(shè)備，降低管理成本，同時(shí)可以靈活地組合和擴(kuò)展端口，平滑擴(kuò)容，保障了網(wǎng)絡(luò)的高度靈活和可擴(kuò)展，網(wǎng)絡(luò)管理更加簡單；提供圖形化的安全策略管理平臺，支持安全策略自動同步下發(fā)、升級和維護(hù)功能，安全策略智能化，可大幅度提高交換機(jī)管理和配置效率，提高網(wǎng)絡(luò)安全；網(wǎng)絡(luò)時(shí)間協(xié)議（NTP）保證交換機(jī)時(shí)間的準(zhǔn)確性，并與網(wǎng)絡(luò)中時(shí)間服務(wù)器時(shí)間統(tǒng)一化，方便日志信息和流量信息的分析、故障診斷等管理；Syslog方便各種日志信息的統(tǒng)一收集、維護(hù)、分析、故障定位、備份，便于管理員網(wǎng)絡(luò)維護(hù)和管理；多端口同步監(jiān)控，通過一個(gè)端口即可同時(shí)監(jiān)控多個(gè)端口的數(shù)據(jù)流，可以只監(jiān)控輸入幀或只監(jiān)控輸出幀或雙向幀，大大提高維護(hù)效率；CLI界面，方便高級用戶配置和使用；Javabased Web管理方式，實(shí)現(xiàn)對交換機(jī)的可視化圖形界面配置和管理，智能人性化的配置界面，實(shí)現(xiàn)快速和高效地配置設(shè)備。銳捷NPE設(shè)備，采用NAT與REF（銳捷快速轉(zhuǎn)發(fā)）高效配合，并充分利用xflow技術(shù)，實(shí)現(xiàn)高速NAT，NPE成為網(wǎng)絡(luò)出口的高性能推力引擎。有效的流量控制流量控制是防止某些用戶或者應(yīng)用（如BT、迅雷、網(wǎng)絡(luò)電視等P2P應(yīng)用）占用過多的網(wǎng)絡(luò)資源，保證用戶能夠公平使用帶寬。簡單的，可以通過所訪問的目的地址進(jìn)行區(qū)分，訪問電信走電信線路，訪問網(wǎng)通走網(wǎng)通線路。NPE采用先進(jìn)的流表處理技術(shù)，利用源IP、目的IP、源端口、目的端口、協(xié)議號等5個(gè)元素來定義一條流。WEB可視化管理，簡單易用NPE重構(gòu)了Web管理方式，讓使用者能夠輕松駕馭NPE網(wǎng)絡(luò)出口引擎的強(qiáng)大功能。（比如：政府的政務(wù)公開的服務(wù)器，高校的精品課程服務(wù)器等），NPE能夠通過智能判斷訪問用戶所在運(yùn)營商，而將訪問數(shù)據(jù)智能解析定位到對應(yīng)的ISP鏈路上，以加速對服務(wù)器的訪問。與功能強(qiáng)大的ACL配合使用，可以根據(jù)報(bào)文的源地址，目的地址,應(yīng)用協(xié)議進(jìn)行有效組合，實(shí)現(xiàn)策略路由。先進(jìn)的體系架構(gòu)NPE系列網(wǎng)絡(luò)出口引擎采用多核處理器體系架構(gòu)，單個(gè)處理器內(nèi)部基于銳捷自主知識產(chǎn)權(quán)的虛擬多處理器（vCPU）技術(shù)，從而在xflow框架下構(gòu)建起一個(gè)高性能、高穩(wěn)定的轉(zhuǎn)發(fā)平臺全新的多核架構(gòu)在滿足高性能、低功耗、高靈活性、易升級的要求下，讓NPE成功的向更深層次發(fā)展。完善的QoS策略以DiffServ標(biāo)準(zhǔn)為核心的QoS保障系統(tǒng)，、IP TOS、二到七層流過濾、SP、WRR等完整的QoS策略，實(shí)現(xiàn)基于全網(wǎng)系統(tǒng)多業(yè)務(wù)的QoS邏輯；具備MAC流、IP流、應(yīng)用流等多層流分類和流控制能力，實(shí)現(xiàn)靈活精細(xì)的帶寬控制、轉(zhuǎn)發(fā)優(yōu)先級等多種流策略，帶寬限制粒度達(dá)64Kbps，支持網(wǎng)絡(luò)根據(jù)不同的業(yè)務(wù)、以及不同業(yè)務(wù)所需要的服務(wù)質(zhì)量特性，提供差異化服務(wù)。支持BFD，為各上層協(xié)議如路由協(xié)議，MPLS等提供一種快速檢測兩臺路由設(shè)備之間轉(zhuǎn)發(fā)路徑連通狀態(tài)的方法，大大減少了上層協(xié)議在鏈路狀態(tài)變化時(shí)的收斂時(shí)間。NFPP (Network Foundation Protection Policy基礎(chǔ)網(wǎng)絡(luò)保護(hù)策略)是用來增強(qiáng)交換機(jī)安全的一種保護(hù)體系，通過對攻擊源頭采取隔離措施，可以使交換機(jī)的處理器和信道帶寬資源得到保護(hù)，從而保證報(bào)文的正常轉(zhuǎn)發(fā)以及協(xié)議狀態(tài)的正常。RGS5750E系列交換機(jī)以極高的性價(jià)比為大型網(wǎng)絡(luò)匯聚、中型網(wǎng)絡(luò)核心、數(shù)據(jù)中心服務(wù)器接入提供了高性能、完善的端到端的服務(wù)質(zhì)量、靈活豐富的安全設(shè)置和基于策略的網(wǎng)管，最大化滿足高速、安全、智能的企業(yè)網(wǎng)需求。另一方面，針對網(wǎng)絡(luò)的有效提高網(wǎng)絡(luò)帶寬利用效，需要對數(shù)據(jù)流量進(jìn)行全面監(jiān)控和分析，為此，特別配置了一套銳捷流量分析系統(tǒng)，它是專門用來監(jiān)視網(wǎng)絡(luò)活動，幫助用戶了解流量構(gòu)成、協(xié)議分布和用戶活動的軟件，廣泛適用于各種行業(yè)網(wǎng)絡(luò)的流量統(tǒng)計(jì)，它利用Flow技術(shù)來收集網(wǎng)絡(luò)中有關(guān)流量的重要信息，并對收集的數(shù)據(jù)進(jìn)行深入分析，為管理人員提供豐富有用的報(bào)表，以些用于監(jiān)控網(wǎng)絡(luò)系統(tǒng)內(nèi)的帶寬效用情況、進(jìn)行流量與協(xié)議分析。如果讓RGeLog和銳捷用戶認(rèn)證系統(tǒng)（SAM或SMP）對接，可以提供詳細(xì)的用戶信息，如用戶賬號、用戶名、地址、電話等。其次，把核心、區(qū)域匯聚的IPv6三層交換機(jī)（RGS861RGS860RGS5750）開啟雙棧及IPv6的靜態(tài)路由或OSPFv3。目前很多高校已經(jīng)或開始建設(shè)校園內(nèi)的IPv6網(wǎng)絡(luò)（局部）或IPv6的城域網(wǎng)（覆蓋城域范圍內(nèi)的若干高校），這些IPv6網(wǎng)絡(luò)都將接入CERNET2。SNC具有如下特點(diǎn)：減少手動錯(cuò)誤SNC基于界面的向?qū)降呐渲梅绞綆椭鷾p少配置更改過程中的手動錯(cuò)誤。并能根據(jù)主機(jī)信息生成詳細(xì)的圖形報(bào)表，以直觀的方式為管理員進(jìn)行呈現(xiàn)。第三方殺毒軟件聯(lián)動經(jīng)常出現(xiàn)這種問題：雖然網(wǎng)絡(luò)管理部門已經(jīng)作出了入網(wǎng)用戶必須安裝殺毒軟件的規(guī)定，但缺乏強(qiáng)制手段保障規(guī)則的有效實(shí)施，用戶往往視而不見。 用戶身份唯一性保障GSN通過對用戶身份信息的六大元素：用戶名、密碼、用戶IP、用戶MAC、交換機(jī)IP、交換機(jī)端口 進(jìn)行靈活的綁定，實(shí)現(xiàn) 用戶身份←→用戶PC←→物理位置 的緊密關(guān)聯(lián)，保障入網(wǎng)用戶身份合法可靠。本次方案采用的RGESS易安全系統(tǒng)是銳捷網(wǎng)絡(luò)GSN全局安全網(wǎng)絡(luò)解決方案的核心組成部分，GSN全局安全網(wǎng)絡(luò)解決方案定位于網(wǎng)絡(luò)訪問控制NAC領(lǐng)域，從網(wǎng)絡(luò)接入者的身份、接入主機(jī)的健康性以及網(wǎng)絡(luò)通信的安全性等多方面為用戶構(gòu)建一個(gè)全局的安全網(wǎng)絡(luò)。但是，以上傳統(tǒng)的網(wǎng)絡(luò)安全措施實(shí)現(xiàn)的都只是單點(diǎn)或者局部的安全。安全事件從發(fā)現(xiàn)到控制，基本采取手工方式，難以及時(shí)控制與防范；3. 對于未知的安全事件和網(wǎng)絡(luò)病毒，無法控制；4. 用戶普遍安全意識不足，校方單方面的安全控制管理，難度大；5. 現(xiàn)有安全設(shè)備工作分散，無法協(xié)同管理、協(xié)同工作，只能形成單點(diǎn)防御。其中，由于內(nèi)部人員而造成的網(wǎng)絡(luò)安全問題占到了70%。 ACE采用Tyco的外置光旁路單元和內(nèi)置電口旁模塊由于目前P2P應(yīng)用已經(jīng)發(fā)展飛速，給人們帶來便捷的同時(shí)嚴(yán)重消耗了有限的網(wǎng)絡(luò)帶寬，降低上網(wǎng)質(zhì)量。適用于大規(guī)模的網(wǎng)絡(luò)，無軟件升級方式帶來的弊端。協(xié)議級：提供實(shí)時(shí)的協(xié)議熱備份功能，負(fù)責(zé)將協(xié)議的配置信息備份到其他所有的成員設(shè)備，從而實(shí)現(xiàn)協(xié)議可靠。換句話講，就是將多臺物理設(shè)備虛擬為一臺邏輯上統(tǒng)一的設(shè)備，使其能夠?qū)崿F(xiàn)統(tǒng)一的運(yùn)行，從而達(dá)到減小網(wǎng)絡(luò)規(guī)模的目的。虛擬化交換單元技術(shù)支持為了保證網(wǎng)絡(luò)的可靠性、故障自愈性，在方案設(shè)計(jì)中均需要考慮各種冗余設(shè)計(jì)，如網(wǎng)絡(luò)冗余節(jié)點(diǎn)、冗余鏈路等。通過上述三個(gè)方面的共同保障，華為9306交換機(jī)無論處于何種情況的網(wǎng)絡(luò)中，均可保證自身系統(tǒng)的高度穩(wěn)定性。技術(shù)特點(diǎn)：技術(shù)的具體實(shí)現(xiàn)機(jī)制是，在線卡分布式設(shè)計(jì)的基礎(chǔ)上，為各個(gè)物理端口配備專用的FFP（FFP: fast filter processor）處理模塊，F(xiàn)FP模塊可以實(shí)現(xiàn)硬件處理Qos與ACL功能，實(shí)現(xiàn)整機(jī)數(shù)據(jù)端口級同步處理ACL/QOS；同時(shí)，通過線卡芯片線速轉(zhuǎn)發(fā)L2/L3/組播數(shù)據(jù)，實(shí)現(xiàn)了從線卡到端口的全面分布式硬件設(shè)計(jì)，有效分流、緩解線卡ASIC芯片的負(fù)載壓力，極大地提升交換機(jī)的整體數(shù)據(jù)處理能力。（暫有以下設(shè)備）選用的核心華為9306是華為網(wǎng)絡(luò)推出的面向十萬兆平臺設(shè)計(jì)的下一代高密度多業(yè)務(wù)IPV6核心路由交換機(jī)，滿足未來以太網(wǎng)絡(luò)的應(yīng)用需求，支持下一代的以太網(wǎng)100G速率接口，提供6插槽設(shè)計(jì)主機(jī)：HUAWEI 9306。1) 核心區(qū)塊類似上文所述核心層的概念。因此方案中特別部署有一套銳捷網(wǎng)絡(luò)RGELOG安全日志管理系統(tǒng)，用于集中的分析和呈現(xiàn)NPE、RGWALL、ACE的各種日志，幫助管理員建立一套可信賴的武威涼州區(qū)職業(yè)中等專業(yè)學(xué)校網(wǎng)絡(luò)出口安全審計(jì)系統(tǒng)。同時(shí)，為了確保出口安全在出口部署一臺高性能防火墻RGWALL1600，該設(shè)備是面向大型園區(qū)網(wǎng)出口用戶開發(fā)的新一代電信級高性能防火墻設(shè)備。同時(shí)這款產(chǎn)品的產(chǎn)品性能、安全功能和擴(kuò)展能力都達(dá)到了業(yè)界的領(lǐng)先水平，正是憑借這樣出色的設(shè)計(jì)，該產(chǎn)品通過信產(chǎn)部的全面安全功能測試。4) 宿舍網(wǎng)建設(shè)將用于校園網(wǎng)的以網(wǎng)養(yǎng)網(wǎng)為了實(shí)現(xiàn)統(tǒng)一的整體數(shù)字校園網(wǎng)，宿舍網(wǎng)絡(luò)建設(shè)需求亟待解決?；A(chǔ)網(wǎng)絡(luò)服務(wù)旨在將現(xiàn)在已有的服務(wù)系統(tǒng)如何實(shí)現(xiàn)雙棧并存和無縫轉(zhuǎn)換以保障業(yè)務(wù)的連續(xù)性，涉及DNS、DHCPvWEB和FTP等服務(wù)。l l QoS的問題如何在IPv4 的“盡力而為”的基礎(chǔ)上實(shí)現(xiàn)可靠安全的傳輸一直是困擾互聯(lián)網(wǎng)發(fā)展的一大難題。另外，由于不能及時(shí)修改或刪除離校和學(xué)生在每一系統(tǒng)中的賬號信息，也存在很大的安全風(fēng)險(xiǎn)。5) 終端的主機(jī)安全要求70％以上威脅網(wǎng)絡(luò)安全的攻擊行為都是來自校園網(wǎng)內(nèi)用戶；內(nèi)網(wǎng)防御能力弱，病毒、木馬泛濫；“合法用戶”的“非法行為”危害巨大；常規(guī)手段難以及時(shí)發(fā)現(xiàn)并阻斷攻擊行為；發(fā)生的安全事件不能審計(jì)到人，無法進(jìn)行有效處理。隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，各種安全事件層出不窮，消除網(wǎng)絡(luò)安全問題已成為我們信息化部門考慮的焦點(diǎn)。學(xué)校信息化建設(shè)是一項(xiàng)龐大的系統(tǒng)工程。同時(shí)，為了保證骨干網(wǎng)絡(luò)對IPv6數(shù)據(jù)和應(yīng)用的有效承載，也要求設(shè)備必須ASIC硬件支持IPv6技術(shù)，并且設(shè)備采用分布式線卡ASIC實(shí)現(xiàn)， 這樣才能保證IPV4和IPV6轉(zhuǎn)發(fā)和應(yīng)用都能實(shí)現(xiàn)高可用性。178。積極推進(jìn)信息技術(shù)在教育中的普及應(yīng)用，切實(shí)提高教育信息化支持教育現(xiàn)代化發(fā)展的能力。2) 七大系統(tǒng)：l 專業(yè)設(shè)置預(yù)測系統(tǒng)；l 教學(xué)基本狀態(tài)數(shù)據(jù)庫系統(tǒng)；l 大學(xué)英語與網(wǎng)絡(luò)教育網(wǎng)上考試系統(tǒng)；l 網(wǎng)絡(luò)教育資源管理和質(zhì)量監(jiān)管系統(tǒng)；l 精品課程共享系統(tǒng)；l 立體化教材數(shù)字資源系統(tǒng)，終身學(xué)習(xí)服務(wù)系統(tǒng)。同時(shí)，隨著Cernet2的啟動，IPV6技術(shù)也已經(jīng)在校園網(wǎng)中實(shí)驗(yàn)并逐步應(yīng)用。第二階段是應(yīng)用平臺建設(shè)時(shí)期，時(shí)間大約是從2000年到2005年。建立校外實(shí)習(xí)基 地30多處，組建學(xué)生科研興趣小組20多個(gè)，組織學(xué)生積極參與青少年生物多樣性探索活動，先后有5項(xiàng)獲省級獎勵，1項(xiàng)獲全國青少年“英特爾英才 獎”，2001年被國家教育部等四部委評為第六屆全國生物和環(huán)境實(shí)踐活動優(yōu)秀項(xiàng)目一等獎。有教學(xué)實(shí)習(xí)場所3處，占地1468畝。在傳統(tǒng)校園的基礎(chǔ)上構(gòu)建一個(gè)數(shù)字空間，以拓展現(xiàn)實(shí)校園的時(shí)間和空間維度，從而提升傳統(tǒng)校園的效率，擴(kuò)展傳統(tǒng)校園的功能，最終實(shí)現(xiàn)教育過程的全面信息化，達(dá)到提高教育質(zhì)量和效率的目的。與