【正文】 col）單向鏈路 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 24 頁, 共 59 頁檢測協(xié)議，可以有效的防止網(wǎng)絡(luò)中單通故障的發(fā)生，大幅提高網(wǎng)絡(luò)維護(hù)效率，切實(shí)將設(shè)備的易用性帶給用戶。支持對 Proxy 進(jìn)行有效的管理。具有即插即用、單一 IP 管理。在這樣的環(huán)境下，基于無線交 換機(jī)技術(shù)的第三代 WLAN 產(chǎn)品應(yīng)運(yùn)而生。在室外區(qū)域，直接采用室外型 AP WA2200X 系列 AP，H3C 室外型 AP 通過 IP66 等級保護(hù)，可防水防 塵，直接安裝在外。該特性使管理員可 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 30 頁, 共 59 頁以方便的為不同用戶群、不同的業(yè)務(wù)制定區(qū)分的服務(wù)策略。? 有線無線一體化的網(wǎng)管系統(tǒng)采用同一品牌的交換機(jī)和無線局域網(wǎng)產(chǎn)品，通過配置 1 套網(wǎng)絡(luò)管理系統(tǒng)，即 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 31 頁, 共 59 頁可實(shí)現(xiàn)有線無線一體化的管理 。同時(shí)，ACG 能夠以下審計(jì)功能:WEB 應(yīng)用審計(jì)——URL；源、目的 IP；訪問時(shí)間等應(yīng)用審計(jì)——登錄名；上傳或下載文件名；源、目的 IP；訪問時(shí)間等Email 應(yīng)用審計(jì) ——POP3 和 SMTP 收發(fā)郵件的郵 件名、 發(fā)件人、收件人等； 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 33 頁, 共 59 頁不支持 WEB Mail 的審計(jì)NAT 日志 審計(jì)——NAT 前后的 IP、端口號； 時(shí)間等；需要與 U200 或 F1000E等支持 FLOW 日志的設(shè)備配合 網(wǎng)絡(luò)安全保護(hù)對于校園網(wǎng)大型應(yīng)用以太網(wǎng)交換機(jī)的系統(tǒng)，網(wǎng)絡(luò)的安全特性非常重要，因以太網(wǎng)工作原理的限制，交換 式網(wǎng)絡(luò)容易造成 MAC、IP 等安全的攻擊。通過網(wǎng)絡(luò)管理系統(tǒng)，實(shí)現(xiàn)在網(wǎng)絡(luò)維護(hù)和故障解決時(shí)，可快速 查找、定位和隔離發(fā)生故障的交換機(jī)所有的端口。? 網(wǎng)絡(luò)核心設(shè)備采用全分布式體系結(jié)構(gòu)，路由與轉(zhuǎn)發(fā)分離。實(shí)時(shí)熱備份機(jī)制：在系統(tǒng)軟件及硬件的支持下，關(guān)鍵部件在發(fā)生故障能自動(dòng)啟動(dòng)備份系統(tǒng)，而且主備之間的切換要能夠?qū)崟r(shí)熱倒換，即運(yùn)行中即使發(fā)生設(shè)備故障切換也不會(huì)對網(wǎng)絡(luò)業(yè)務(wù)造成影響。校園網(wǎng)絡(luò)中所采用的核心交換機(jī)和數(shù)據(jù)中心交換機(jī) S7500E 等設(shè)備具有強(qiáng)大的設(shè)備級可靠性保證：采用分布式體系結(jié)構(gòu)： 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 37 頁, 共 59 頁S7500E 采用分布式體系結(jié)構(gòu)，與集中式體系 設(shè)備相比 較，分布式體系設(shè)備除性能可以通過插入更多的接口處理板提高整體性能外，更為關(guān)鍵的是將管理、路由轉(zhuǎn)發(fā)、接口處理等功能分配在不同的部件上， 協(xié) 同工作，分布式體系可以分散故障風(fēng)險(xiǎn)、隔離故障、提供冗余配置，提高系統(tǒng)的自動(dòng)恢復(fù)能力；如管理部件故障，只需要更換這部分板件，不影響其他功能。要保證網(wǎng)絡(luò)平臺的可靠性，必須要 選用具備電信級可靠性的網(wǎng)絡(luò)設(shè)備進(jìn)行組網(wǎng)，才能使網(wǎng)絡(luò)具有自動(dòng)恢復(fù)能力、降低人工維護(hù)工作，達(dá)到 電 信級的可靠運(yùn)行。在防火墻或路由交換機(jī)通過 IP Source Guard 以及 URPF 特性上解決偽造IP 源地址攻擊。 出口帶寬監(jiān)管校園網(wǎng)絡(luò)應(yīng)用層出不窮，在大大提升了用戶的工作效率的同時(shí)也帶來許多負(fù)面影響，針對用戶行為控制的解決方案，需要能夠 解決以下問題：用戶通過 P2P 下載電影造成網(wǎng) 絡(luò)速度變慢，怎么解決用戶在 BBS 上發(fā)布違法帖子，違反信息安全規(guī)定用戶工作時(shí)間炒股、打游戲、聊天造成工作效率的下降，怎么解決用戶訪問非法網(wǎng)站易感染病毒，如何控制校園網(wǎng)絡(luò)出口通過間部署一臺 SecPath ACG 網(wǎng)關(guān)，通過在 ACG 應(yīng)用控制網(wǎng)關(guān)，可精確識別 BT、電驢、迅雷、MSN、 Yahoo Messenger、PPLive 等近百種P2P/IM 應(yīng)用，可基于時(shí)間、用戶、區(qū)域、應(yīng)用協(xié)議，通過告警、限速、阻斷等手段進(jìn)行靈活控制，保證網(wǎng)速的正常和業(yè)務(wù)不被影響。 AP 和無線控制器之間可以穿過IPv6 網(wǎng) 絡(luò)互聯(lián)，從而使組 網(wǎng)方式更加靈活，可以滿足今后網(wǎng)絡(luò)發(fā)展的需要，保護(hù)用戶投資。? 三層漫游無線控制器支持三層漫游，并支持快速漫游，漫游切換時(shí)間小于 50ms，滿足對切換時(shí)間要求最苛刻的語音業(yè)務(wù)。無 線 控制器模塊最大可管理 640個(gè) AP，通 過在 S7510E 中集成無線控制器模塊，將充分利用核心交換機(jī)的高可靠性和高處理性能，同時(shí)，與有線網(wǎng)絡(luò)的融合度更高。 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 26 頁, 共 59 頁第一代無線局域網(wǎng)主要是采用 Fat AP（即“胖”AP ），每一臺 AP 都要單獨(dú)進(jìn)行配置，費(fèi)時(shí)、費(fèi)力、 費(fèi)成本；第二代無線局域網(wǎng)融入了無線網(wǎng)關(guān)功能但還是不能集中進(jìn)行管理和配置，其管理性和安全性以及對有線 網(wǎng)絡(luò)的依賴成為了第一代和第二代 WLAN 產(chǎn)品發(fā)展的瓶頸，由于這一代技術(shù) 的 AP 儲存了大量的網(wǎng) 絡(luò)和安全的配置，包括加密的鑰匙，Radius client 的安全密碼 (secret) 等，而 AP 又是分散在建筑物中的各個(gè)位置，一旦 AP 的配置被盜取 讀出并修改，其無 線網(wǎng) 絡(luò)系統(tǒng)就失去了安全性。設(shè)備支持 2/4 個(gè) GE 上行，采用固定電口和通用 SFP 的靈活千兆連接方式，在降低用戶 成本的同時(shí)，更好的考 慮了用戶后續(xù)升級的實(shí)際需求。E126A/E152 教育網(wǎng)交換機(jī)有強(qiáng)大硬件 ACL 能力，能深度識別報(bào)文，支持L2～L4 包過濾 功能，提供基于源 MAC 地址、目的 MAC 地址、源 IP 地址、目的IP 地址、IP 協(xié)議類型、 TCP/UDP 端口、TCP/UDP 端口范圍、VLAN、 VLAN 范圍等定義 ACL，以便交換機(jī)進(jìn)行后續(xù)的處理。并且支持 等加密方式，使得管理更加安全。同時(shí)還支持客戶端軟件版本檢測、Guest VLAN 等功能，和 CAMS 服務(wù)器配合還可以實(shí)現(xiàn)代理檢測、雙網(wǎng)卡檢測等功能。H3C S5100EI 系列交換機(jī)支持特有的 ARP 入侵檢測功能，可有效防止黑客或攻擊者通過 ARP 報(bào)文實(shí)施網(wǎng)絡(luò)中逐漸盛行的“中 間人 ”攻擊，對不符合 DHCP Snooping 動(dòng)態(tài)綁 定表或手工配置的靜態(tài)綁定表的非法 ARP 欺騙報(bào)文直接丟棄。接入層交換機(jī)，我們建議千兆交換機(jī)選用 H3C S5100 系列交換機(jī)，百兆到桌面選用 H3C 為教育行業(yè)用戶專門研發(fā)的 E 系列交換機(jī)。用戶行為分析采用先進(jìn)的技術(shù)分析手段，全面分析網(wǎng)絡(luò)應(yīng)用的流量類型和流量流向趨勢，統(tǒng)計(jì)網(wǎng)絡(luò)熱點(diǎn)，發(fā)掘業(yè)務(wù)增 長點(diǎn)；分析用戶行為， 統(tǒng)計(jì) 用戶興趣， 為個(gè)性化運(yùn)營提供依據(jù)，并通過開放的平臺接口，與第三方 業(yè)務(wù)平臺 對接，提供高附加 值業(yè)務(wù)，如在用戶行為興趣分析的基礎(chǔ)上提供定向 WEB 廣告服務(wù)。H3C ACG 具有以下優(yōu)點(diǎn)：強(qiáng)大的 P2P/IM 業(yè)務(wù)監(jiān)控通過 H3C 長期積累的狀態(tài)機(jī)檢測技術(shù)，能精確檢測 Thunder（迅雷）、BitTorrent、eMule（電騾）、eDonkey （電驢）、 、MSN、PPLive 等近百種 P2P/IM應(yīng)用。網(wǎng)絡(luò)出口配置 1 臺高端路由器，路由器實(shí)現(xiàn)外部網(wǎng)絡(luò)互聯(lián)，并提供 NAT 功能，配置 1 臺應(yīng)用控制網(wǎng)關(guān)，實(shí)現(xiàn)對出口帶寬的靈活 調(diào)配，并 實(shí)現(xiàn)對用戶行為進(jìn)行審計(jì)和監(jiān)管。提供靈活的 對列 調(diào)度算法，可以同 時(shí)基于端口和隊(duì)列進(jìn)行設(shè)置，支持 SP（Strict Priority）、WRR（Weighted Round Robin）、SP+WRR 三種模式。除了設(shè)備級可靠性以外，還支持豐富的鏈路可靠性以外，還支持豐富的鏈路可靠性技術(shù)，比如華三通信獨(dú) 創(chuàng)的 RRPP 快速環(huán)網(wǎng)保護(hù)機(jī)制。IPv4 到 IPv6 的演變是以太網(wǎng)發(fā)展的大勢所趨，網(wǎng) 絡(luò)設(shè)備對 于 IPv6 的支持不僅是簡單的可用就行，而是需要達(dá)到商用的標(biāo)準(zhǔn)， S5500EI 已經(jīng)通過了國際最權(quán)威的 IPv6 Ready 第二階 段認(rèn)證，而且通過了信息產(chǎn)業(yè)部嚴(yán)格的 IPv6 入網(wǎng)測試。S7502E 具有高轉(zhuǎn)發(fā)性能，整機(jī)具有 192Gbps 交換容量、143Mpps 轉(zhuǎn)發(fā)性能，同時(shí)，S7502E 采用全分布式 轉(zhuǎn)發(fā)，并采用最 長匹配、逐包轉(zhuǎn)發(fā)的處理機(jī)制，保證業(yè)務(wù)的高速率轉(zhuǎn)發(fā)。 數(shù)據(jù)中心設(shè)計(jì)為實(shí)現(xiàn)對校園網(wǎng)服務(wù)器統(tǒng)一管理和控制，同時(shí)考慮到擴(kuò)展性，服務(wù)器的接入獨(dú)立配置交換機(jī)實(shí)現(xiàn)，為保 證服務(wù)器接入的高可用性，配置 2 臺全千兆三層路由交換機(jī)，數(shù)據(jù)中心交換機(jī)通 過 VRRP 協(xié)議實(shí)現(xiàn)互為熱備 和負(fù)載分擔(dān)。H3C S7500E 既支持有線終端用戶的 EAD，也支持無線終端用戶的 EAD，能 夠做到終端安全防范無漏洞。H3C S7500E 是業(yè)界最高密度的以太網(wǎng)無源光網(wǎng) 絡(luò)（EPON）設(shè)備，單臺最大可接入 10240 個(gè) FTTH 用戶；H3C S7500E 是高可靠的 EPON 系統(tǒng)，采用分布式體系結(jié)構(gòu)、模塊化設(shè)計(jì)，主控板冗余熱備份、無源背板、冗余電源支持雙路供電，具有電信級可靠性。基于上述因素，我們建議核心交換機(jī)采用 H3C S7510E 高端交換機(jī)。 核心層設(shè)計(jì)XX 學(xué)院主校區(qū)設(shè)立整個(gè)校園網(wǎng)的核心層，同時(shí)，在新機(jī)場實(shí)訓(xùn)基地設(shè)立分核心。 校園網(wǎng)絡(luò)總體結(jié)構(gòu)校園網(wǎng)絡(luò)平臺將采用層次化通用結(jié)構(gòu)設(shè)計(jì)，采用核心層、匯聚層和接入層三層架構(gòu)，包括網(wǎng)絡(luò)骨干、數(shù)據(jù)中心、網(wǎng)絡(luò)出口、網(wǎng)絡(luò)接入、無線網(wǎng)絡(luò)等五大部分。對于校園網(wǎng)核心層設(shè)備，應(yīng)該在提供大容量、高性能 L2/L3 交換服務(wù)基礎(chǔ)上，能夠進(jìn)一步融合了硬件 IPv網(wǎng) 絡(luò)安全、網(wǎng)絡(luò)業(yè)務(wù)分析等智能特性，可為校園園區(qū)構(gòu)建融合業(yè)務(wù)的基礎(chǔ)網(wǎng)絡(luò)平臺，進(jìn)而幫助用戶實(shí)現(xiàn) IT 資源整合的需求。 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 6 頁, 共 59 頁可擴(kuò)充性考慮到學(xué)院用戶數(shù)量和業(yè)務(wù)種類發(fā)展的不確定性，要求對于核心交換機(jī)與匯聚交換機(jī)具有強(qiáng)大的擴(kuò)展功能，學(xué)院網(wǎng)絡(luò)要建設(shè)成完整統(tǒng)一、組網(wǎng)靈活、易 擴(kuò)充的彈性網(wǎng)絡(luò)平臺，能夠隨著需求變化，充分留有 擴(kuò)充余地。方案參考了學(xué)院《數(shù)字化校園網(wǎng)絡(luò)平臺項(xiàng)目（第一期）建設(shè)實(shí)施方案》內(nèi)容。、 建設(shè)校園無線網(wǎng)絡(luò)平臺，提高網(wǎng)絡(luò)接入的覆蓋能力，校園用戶更易于使用學(xué)院資源。 網(wǎng)絡(luò)層次化設(shè)計(jì)在校園園區(qū)網(wǎng)絡(luò)整體設(shè)計(jì)中，采用層次化、模 塊化的網(wǎng)絡(luò)設(shè)計(jì)結(jié)構(gòu)，并 嚴(yán)格定義各層功能模型，不同層 次關(guān)注不同的特性配置。XX 學(xué)院匯聚層設(shè)立將根據(jù)現(xiàn)有的信息點(diǎn)分布，結(jié)合綜合布線系統(tǒng)等多因素，一般而言，以建筑物/功能區(qū) 為單位設(shè)立匯聚層，即每個(gè)單體建筑/ 功能區(qū)設(shè)立一個(gè)網(wǎng)絡(luò)匯聚層，如數(shù)據(jù)中心和網(wǎng)絡(luò)出口分別設(shè)于匯聚層，同時(shí)對于學(xué)生宿舍區(qū)，可以采用多幢學(xué)生宿舍共用 1 個(gè)網(wǎng)絡(luò)匯聚層的方式。 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 9 頁, 共 59 頁網(wǎng)絡(luò)出口實(shí)現(xiàn)校園網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的互聯(lián)，包括與教育科、互聯(lián)網(wǎng)的互聯(lián)，網(wǎng)絡(luò)出口需實(shí)現(xiàn)校園網(wǎng)與外部網(wǎng)絡(luò)的隔離，網(wǎng)絡(luò)出口配置 1 臺路由器設(shè)備實(shí)現(xiàn)與外部網(wǎng)絡(luò)互聯(lián)，同時(shí)提供地址轉(zhuǎn)換等服務(wù)，配置 應(yīng) 用控制網(wǎng)關(guān)， 實(shí)現(xiàn)出口帶寬的管理，并對校園網(wǎng)用戶實(shí)現(xiàn) 行為審計(jì)等功能。選用的核心交換機(jī)是從可靠性、性能、業(yè)務(wù)特性、安全特性以及可擴(kuò)展性等多個(gè)方面進(jìn)行綜合考慮。 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 11 頁, 共 59 頁S7510E 具有高轉(zhuǎn)發(fā)性能，整機(jī)具有 1152Gbps 交換 容量、 773Mpps 轉(zhuǎn)發(fā)性能，同時(shí)，S7510E 采用全分布式 轉(zhuǎn)發(fā)，并采用最 長匹配、逐包轉(zhuǎn)發(fā)的處理機(jī)制，保證業(yè)務(wù)的高速率轉(zhuǎn)發(fā)。H3C S7500E 支持端點(diǎn)準(zhǔn)入防御解決方案，解決終端安全問題；內(nèi)置 2800W 電源直接提供 PoE 功能，對 IP 語音和無線接入提供良好的支持。?多業(yè)務(wù)高可靠性運(yùn)行H3C S7500E 支持不間斷轉(zhuǎn)發(fā)和優(yōu)雅重啟，提供毫秒級的切換時(shí)間；支持等價(jià)路由，可幫助用戶建立多條等值路徑， 實(shí)現(xiàn)流量的 負(fù)載均衡及冗余備份；支持RRPP 快速環(huán) 網(wǎng)保護(hù)協(xié)議 ，提供小于 200ms 的環(huán)網(wǎng)故障保護(hù)；支持 SmartLink 協(xié)議，保證 雙上行網(wǎng)絡(luò)拓?fù)涞?業(yè)務(wù)毫秒級快速切換。在業(yè)務(wù)特性方面，數(shù)據(jù)中心交換機(jī)支持豐富的 QoS 特性，可保障重要 業(yè)務(wù)得到優(yōu)先轉(zhuǎn)發(fā)；支持 IPv6，可平 穩(wěn)過渡到下一代網(wǎng)絡(luò)。 選用的匯聚交換機(jī)應(yīng)具備以下功能和特性：在可靠性方面，匯聚交換機(jī)支持路由協(xié)議平滑重啟，支持 RSTP、MSTP 生成樹協(xié)議，支持 2 層的快速切 換，確保與核心交 換機(jī)組 網(wǎng)的可靠性， 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 15 頁, 共 59 頁在性能方面，匯聚交換機(jī)所有端口線速轉(zhuǎn)發(fā)，包括萬兆接口，保障多種 業(yè)務(wù)進(jìn)行并發(fā)交換。H3C S5500EI 交換機(jī)支持集中式 MAC 地址認(rèn)證、 認(rèn)證、PORTAL 認(rèn)證，支持用戶帳號、IP、MAC、VLAN、端口等用 戶標(biāo)識 元素的動(dòng)態(tài)或靜態(tài)綁定，同時(shí)實(shí)現(xiàn)用戶策略（VLAN、 QoS、ACL）的動(dòng)態(tài)下發(fā) ；支持配合 H3C 公司的CAMS 系統(tǒng)對在線用戶進(jìn) 行實(shí)時(shí)的管理，及時(shí)的診斷和瓦解網(wǎng)絡(luò)非法行為。支持 Voice VLAN 技術(shù)，交換機(jī)通過識別端口的語音流，將 對應(yīng) 的接入端口加入 Voice VLAN（專用語 音 VLAN）中，為語音流量提供專門通道，并自動(dòng)下發(fā)優(yōu)先級規(guī)則保證語音流的優(yōu)先傳輸來保證通話質(zhì)量。 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 18 頁, 共 59 頁出色的管理性H3C S5500EI 系列交換機(jī)支持 SNMPv1/v2/v3（Simple Network Management Protocol），可支持 Open View 等通用網(wǎng)管平臺以及 iMC 智能管理中心。在性能方面，路由器應(yīng)提供高性能轉(zhuǎn)發(fā)，并具有 優(yōu)越的 NAT 處理能力。強(qiáng)大的過濾功能通過自定義 IP 地址、主機(jī)名、正則表達(dá)式等方式設(shè)置 URL 特征庫，支持根據(jù)不同的 URL 策略設(shè)置不同的響應(yīng)方式，支持根據(jù)時(shí)