【正文】 間表對不同的 URL 策略 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 20 頁, 共 59 頁設(shè)置不同的響應(yīng)動(dòng)作，避免保密信息的外泄，免受非法信息的干擾，確保網(wǎng) 絡(luò)的健康使用。及時(shí)的特征庫更新H3C 專業(yè)安全團(tuán)隊(duì)密切跟蹤應(yīng)用變化，并 對應(yīng)用協(xié)議特征庫及時(shí)更新；支持在線自動(dòng)/手動(dòng)升級方式，升 級過程無需重啟系統(tǒng)，不影響系統(tǒng)業(yè)務(wù)運(yùn)行。該系列硬件支持最大 136Gbps 交換容量，保 證所有端口線速交換。H3C S5100EI 系列交換機(jī)支持端口安全特性族可以有效防范基于 MAC 地址的攻擊。H3C S5100EI 系列以太網(wǎng)交換機(jī)支持流量監(jiān)管和帶寬 粒度控制，流量限速的最小粒度為 1Kbit/s，確保 為進(jìn)入交換機(jī)的特定業(yè)務(wù)提供帶寬保證，即使在網(wǎng)絡(luò)擁塞時(shí)，也能 滿足一定的丟包、 時(shí)延及時(shí)延抖動(dòng)等 QoS 需求。H3C E 系列交換機(jī)具有以下特點(diǎn)：全面的接入安全策略H3C E126A/E152 教育網(wǎng)交換機(jī)支持特有的 ARP 入侵檢測功能，可有效防止黑客或攻擊者通過 ARP 報(bào)文實(shí)施校園網(wǎng)常見的“ 中間 人”攻擊，對不符合DHCP Snooping 動(dòng)態(tài)綁定表或手工配置的靜 態(tài)綁定表的非法 ARP 欺騙報(bào)文直接丟棄。增強(qiáng)的網(wǎng)絡(luò)管理和維護(hù)的易用性H3C E126A/E152 教育網(wǎng)交換機(jī)支持通過 FTP、TFTP 實(shí)現(xiàn)設(shè)備的遠(yuǎn)程升級，支持 SNMP v1/v2/v3，可支持 Open View 等通用網(wǎng)管平臺，以及 iMC 智能管理中心。同時(shí) 大大降低系 統(tǒng)擴(kuò)展的成本，保護(hù)了用戶投資。第三代無線局域網(wǎng)采用無線交換機(jī)和 FIT AP（即“瘦”AP ）的架構(gòu)，對傳統(tǒng)WLAN 設(shè)備的功能做了重新劃分，將密集型的無線網(wǎng)絡(luò)和安全處理功能轉(zhuǎn)移到集中的 WLAN 交換機(jī)中 實(shí)現(xiàn)，同時(shí)加入了許多重要新功能，諸如無線網(wǎng)管、AP間自適應(yīng)、無線安管、RF 監(jiān)測、無 縫漫游以及 Qos。建議配套 H3C WSM 無線業(yè)務(wù)管理系統(tǒng)，實(shí)現(xiàn)對 無線網(wǎng)絡(luò)的管理，通過WSM 無 線業(yè)務(wù)管理器，用 戶可以獲得全面的無線業(yè)務(wù)管理能力。? 豐富的 RF 管理和安全RF 管理功能，可以使得無線網(wǎng)絡(luò)的布網(wǎng)靈活性大大增強(qiáng)，網(wǎng)絡(luò)的可維護(hù)性得到很大的提高。 網(wǎng)絡(luò)安全性設(shè)計(jì)校園網(wǎng)絡(luò)承載多種業(yè)務(wù)系統(tǒng)，并實(shí)現(xiàn)與外界網(wǎng)絡(luò)的互聯(lián)互通，為確保業(yè)務(wù)系統(tǒng)的安全性，需根據(jù)不同的 業(yè)務(wù)類型，采取相 應(yīng)的安全措施。對此，需通過交換機(jī)的安全特性加以防護(hù)。 網(wǎng)絡(luò)可靠性設(shè)計(jì)各業(yè)務(wù)系統(tǒng)的安全運(yùn)行，對網(wǎng)絡(luò)系統(tǒng)的可靠性提出了很高的要求。? 所有關(guān)鍵器件，如主控板、電源等都采用冗余設(shè)計(jì)， 業(yè)務(wù)模塊支持熱插拔。熱插拔特性：S7500E 任意單板均支持熱插拔特性，保 證系統(tǒng)出現(xiàn) 故障需要維護(hù)，或系統(tǒng)需要升級擴(kuò)展時(shí)，不需要停機(jī) 處理，保 證網(wǎng)絡(luò)的 724 小時(shí)不間斷運(yùn)行。? 網(wǎng)絡(luò)核心設(shè)備支持軟件熱補(bǔ)丁，打補(bǔ)丁過程中主控板和接口板都不需要重啟動(dòng)，業(yè)務(wù)不中斷。 設(shè)備級冗余性設(shè)計(jì)網(wǎng)絡(luò)核心節(jié)點(diǎn)設(shè)備的可靠是確保整個(gè)網(wǎng)絡(luò)的有效運(yùn)轉(zhuǎn)的關(guān)鍵所在。接入層交換機(jī)啟用 DHCP 安全特性，解決用戶私自架設(shè)非法 DHCP 服務(wù)器的問題。 重要安全區(qū)域隔離為使網(wǎng)絡(luò)能夠阻止、檢測由面向?qū)W生開放的業(yè)務(wù)資源、校外其它用戶發(fā)起的異常流量和攻擊，對數(shù)據(jù)中心和網(wǎng)絡(luò)出口等重要區(qū)域進(jìn)行保護(hù)，網(wǎng)絡(luò)設(shè)計(jì)時(shí)使用防火墻實(shí)現(xiàn)各區(qū)域的安全隔離,參見下圖：中心交換機(jī)H 3 C S 7 5 0 2 E服務(wù)器系統(tǒng)用戶管理系統(tǒng)H 3 C C A M S匯聚交換機(jī)H 3 C S 5 5 0 0 E I接入交換機(jī)H 3 C S 5 1 0 0辦公樓千兆到桌面數(shù)據(jù)中心匯聚交換機(jī)H 3 C S 5 5 0 0 E I核心交換機(jī)H 3 C S 7 5 1 0 E網(wǎng)絡(luò)中心機(jī)房圖書館 、 實(shí)驗(yàn)樓等百兆到桌面接入交換機(jī)H 3 C E 1 5 2 / 1 2 6 A宿舍區(qū)百兆到桌面網(wǎng)絡(luò)出口教 育 科 研 網(wǎng)電 信 / 網(wǎng) 通出口路由器H 3 C S R 6 6 0 4應(yīng)用流量控制H 3 C A C G － 2 0 0 0 M宿舍區(qū)百兆到桌面匯聚交換機(jī)H 3 C S 5 5 0 0 E I匯聚交換機(jī)H 3 C S 5 5 0 0 E I內(nèi)置防火墻接入交換機(jī)H 3 C E 1 5 2 / 1 2 6 A校園網(wǎng)骨干無線網(wǎng)控制器A C 模塊無線 A P 無線 A P接入交換機(jī)H 3 C E 1 5 2 / 1 2 6 A 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 32 頁, 共 59 頁通過在核心交換機(jī)增加防火墻模塊，同時(shí)為數(shù)據(jù)中心和網(wǎng)絡(luò)出口提供安全區(qū)、虛擬接口等特點(diǎn)，提供高達(dá)6Gbps 處理性能，并充分利用核心交換機(jī)的高可靠性，為確保系統(tǒng)的可靠性，并分別在兩臺中心交換機(jī)上配置防火墻模塊，實(shí)現(xiàn)防火墻 的負(fù)載分擔(dān)和冗余備份。? IPv6無線控制器實(shí)現(xiàn)了 IPv4/IPv6 雙協(xié)議棧。?方便升級FIT AP 還支持軟件自動(dòng)更新功能，在其每次重新啟 動(dòng)時(shí)會自動(dòng)比較當(dāng)前運(yùn)行的版本和無線控制器上保存的版本，如果無線控制器上保存的版本更新，AP會自動(dòng)更新本地的軟件映像， 軟件升級不再需要網(wǎng)管人員的干預(yù)。無線網(wǎng)絡(luò)結(jié)構(gòu)參見下圖： 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 28 頁, 共 59 頁中心交換機(jī)H 3 C S 7 5 0 2 E服務(wù)器系統(tǒng)用戶管理系統(tǒng)H 3 C C A M S匯聚交換機(jī)H 3 C S 5 5 0 0 E I接入交換機(jī)H 3 C S 5 1 0 0辦公樓千兆到桌面數(shù)據(jù)中心匯聚交換機(jī)H 3 C S 5 5 0 0 E I核心交換機(jī)H 3 C S 7 5 1 0 E網(wǎng)絡(luò)中心機(jī)房圖書館 、 實(shí)驗(yàn)樓等百兆到桌面接入交換機(jī)H 3 C E 1 5 2 / 1 2 6 A宿舍區(qū)百兆到桌面網(wǎng)絡(luò)出口教 育 科 研 網(wǎng)電 信 / 網(wǎng) 通出口路由器H 3 C S R 6 6 0 4應(yīng)用流量控制H 3 C A C G － 2 0 0 0 M宿舍區(qū)百兆到桌面匯聚交換機(jī)H 3 C S 5 5 0 0 E I匯聚交換機(jī)H 3 C S 5 5 0 0 E I內(nèi)置防火墻接入交換機(jī)H 3 C E 1 5 2 / 1 2 6 A校園網(wǎng)骨干無線網(wǎng)控制器A C 模塊無線 A P 無線 A P接入交換機(jī)H 3 C E 1 5 2 / 1 2 6 A無線網(wǎng)絡(luò)組成包括以下部分：無線控制系統(tǒng)，設(shè)備建議部署在網(wǎng)絡(luò)中心， 為確保整個(gè)無線網(wǎng)絡(luò)的高可性，建議采用在核心交換機(jī)配置無線控制模塊，通過交換機(jī)的高性能來實(shí)現(xiàn)路由和轉(zhuǎn)發(fā)，并配置無線控制器模 塊實(shí)現(xiàn)無線的管理。 無線網(wǎng)絡(luò)設(shè)計(jì)無線局域網(wǎng)技術(shù)經(jīng)過十幾年的發(fā)展，已經(jīng)歷了三代技術(shù)及產(chǎn)品的發(fā)展。高性能與靈活擴(kuò)展能力H3C E126A/E152 教育網(wǎng)交換機(jī)具有 的背板交換容量，支持所有端口線速轉(zhuǎn)發(fā)， 滿足了教育用戶對高帶寬的需求?？梢詫?shí)現(xiàn)基于 MAC 地址允許/限制流量，或者 設(shè)定每個(gè)端口允許的 MAC 地址的最大數(shù)量，使得某個(gè)特定端口上的 MAC 地址可以由管理員靜態(tài)配置，或者由交換機(jī)動(dòng)態(tài)學(xué)習(xí)。支持 CLI 命令行，Web 網(wǎng)管， TELNET，HGMP 集群管理，使設(shè)備管理更方便。H3C S5100EI 系列交換機(jī)提供 和集中 MAC 認(rèn)證方式對接入的用戶進(jìn)行認(rèn)證，允 許合法用戶通過， 對于非法用戶則拒 絕其上網(wǎng)。全面的接入安全策略H3C S5100EI 系列交換機(jī)支持 EAD（端點(diǎn)準(zhǔn)入防御）功能，配合后臺系統(tǒng)可以將終端防病毒、補(bǔ)丁修復(fù)等終端安全措施與網(wǎng)絡(luò)接入控制、 訪問權(quán)限控制等網(wǎng)絡(luò)安全措施整合為一個(gè)聯(lián)動(dòng)的安全體系，通 過對網(wǎng)絡(luò)接入終端的檢查、隔離、修復(fù)、管理和監(jiān)控，使整個(gè)網(wǎng)絡(luò)變被動(dòng)防御為主動(dòng)防御、 變單 點(diǎn)防御為全面防御、變分散管理為集中策略管理，提升了網(wǎng)絡(luò)對病毒、蠕蟲等新 興安全威脅的整體防御能力。接入層交換機(jī)應(yīng)具有豐富的安全特性，配合用戶認(rèn)證系統(tǒng)實(shí)現(xiàn)對接入用戶的認(rèn)證計(jì)費(fèi)，同時(shí)，交換機(jī)還應(yīng)具有防偽 DHCP Server 的接入， 對終端 ARP 各種形式攻擊的防護(hù)。領(lǐng)先的“一拖 N”清理技術(shù)采用業(yè)界流行的 ID 軌跡檢測技術(shù)、時(shí)鐘偏移檢測技 術(shù)，結(jié)合多種應(yīng)用層特征檢測技術(shù)如應(yīng)用特征檢測、流量/連接數(shù)統(tǒng)計(jì)、 TTL 檢測、MAC 地址檢測等，能實(shí)時(shí)準(zhǔn)確的識別出以 NAT、Proxy 方式進(jìn)行共享接入的用戶以及準(zhǔn)確的 PC 數(shù)量，并實(shí)施告警、阻斷等控制措施。應(yīng)用控制網(wǎng)關(guān)選用 H3C SecPath ACG（Application Control Gateway），H3C ACG 是 業(yè)界識別最全面、控制手段最豐富的高性能應(yīng)用控制網(wǎng)關(guān)，能對網(wǎng)絡(luò)中的 P2P/IM 帶寬濫用、 “地下 ”VoIP、“一拖 N”、網(wǎng) 絡(luò)游戲、炒股、多媒體 應(yīng)用、非法網(wǎng)站訪問等行為進(jìn)行精細(xì)化識別和控制；同時(shí)，可對網(wǎng)絡(luò)流量、用戶上網(wǎng)行為進(jìn)行深入分析與全面的事后審計(jì)，并具有強(qiáng)大的 URL 過濾功能，進(jìn)而幫助用戶優(yōu)化其網(wǎng)絡(luò)資源，全面了解網(wǎng)絡(luò)應(yīng) 用模型和流量趨勢，開展各項(xiàng)業(yè)務(wù)提供有力的支撐。 網(wǎng)絡(luò)出口設(shè)計(jì)網(wǎng)絡(luò)出口實(shí)現(xiàn)校園網(wǎng)絡(luò)與外界網(wǎng)絡(luò)互聯(lián)，出口網(wǎng)絡(luò)應(yīng)具有一定的可靠性，提供網(wǎng)絡(luò)安全防護(hù)能力，并對 出口帶寬進(jìn)行有效的分配和控制，同時(shí)加強(qiáng)對用戶行為進(jìn)行監(jiān)管。豐富的 QoS 策略H3C S5500EI 系列交換機(jī)支持支持 L2（Layer 2）~L4（Layer 4）包過濾功能，提供基于源 MAC 地址、目的 MAC 地址、源 IP 地址、目的 IP 地址、TCP/UDP 端口號、協(xié)議類型、VLAN 的流分 類。所有機(jī)型都支持內(nèi)置的雙冗余電源，其中 S550028FEI 支持可插拔的冗余電源模塊，也就是說我們可以根據(jù)實(shí)際環(huán)境的需要靈活配置交流或直流電源模塊，此外整機(jī)還支持電源和風(fēng)扇的故障檢測及告警，可以根據(jù)溫度的變化自動(dòng)調(diào)節(jié)風(fēng)扇的轉(zhuǎn)速，這些設(shè)計(jì)使我們這款盒式交換機(jī)具備了機(jī)柜式交換機(jī)的高可靠性。H3C S5500EI 系列交換機(jī)支持兩個(gè)擴(kuò)展槽位，每個(gè)槽位支持單端口或雙端口的 10GE 擴(kuò)展模塊，在實(shí)現(xiàn)千兆匯聚或接入時(shí)保留進(jìn)一步支持 10GE 的擴(kuò)展能力，盡力保護(hù)用戶投資。S7510E 具有 4 個(gè)槽位，其中 2 個(gè)為業(yè)務(wù)模塊插槽，并支持豐富的接口模 塊，如萬兆、千兆、百兆等類型接口，可根據(jù)網(wǎng) 絡(luò)規(guī)模實(shí)現(xiàn) 在線擴(kuò)展。通過熱補(bǔ)丁技術(shù)，降低了設(shè)備需要重啟的次數(shù)， 為客戶提供更長的網(wǎng)絡(luò)正常工作時(shí)間。?有線無線全面支持 EADH3C S7500E 是 EAD 端點(diǎn)準(zhǔn)入防御解決方案的重要組成部分，S7500E 可以 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 13 頁, 共 59 頁動(dòng)態(tài)的接收來自安全策略服務(wù)器的控制策略，根據(jù)終端的安全狀態(tài)給予下發(fā)相應(yīng)的訪問權(quán)限。?有線無線一體化，有源無源一體化H3C S7500E 集成的無線控制模塊提供豐富的業(yè)務(wù) 能力，包括精細(xì)的用戶控制管理、完善的 RF 管理及安全機(jī)制、快速漫游、超 強(qiáng)的 QOS 和對 IPV6 的支持等；無線控制模塊通過與安全策略服務(wù)器的聯(lián)動(dòng)，實(shí)現(xiàn)對無線接入用戶的端點(diǎn)準(zhǔn)入防御，提高了整網(wǎng)的安全性。在安全性方面，核心交換機(jī)應(yīng)既能保障自身的運(yùn)行安全，也能通過一些安全機(jī)制保障所承載業(yè)務(wù)的安全。同時(shí)，為加強(qiáng)對接入用戶的控制和管理，系統(tǒng)還部署用戶認(rèn)證、 計(jì)費(fèi)管理系統(tǒng)。接入層設(shè)備以選擇二層交換機(jī)為主，設(shè)備應(yīng)具有靈活的擴(kuò)展能力，支持堆疊， 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 8 頁, 共 59 頁具有強(qiáng)安全性，可以實(shí)現(xiàn) IP、MAC、端口的 綁定，支持 認(rèn)證，支持 DHCP Snooping ，防止非法 DHCP 接入和 ARP 攻擊。對 于 XX 學(xué)院主校園的核心層，必 須提供高性能、高可靠的網(wǎng)絡(luò)結(jié)構(gòu)，推薦 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 7 頁, 共 59 頁采用高可靠的多設(shè)備冗余的星型結(jié)構(gòu)。所以在建設(shè)時(shí)要充分考慮業(yè)務(wù)的擴(kuò)展能力，能針對不同的用戶需求提供豐富的寬帶增值業(yè)務(wù)，使網(wǎng)絡(luò)具有自我造血機(jī)制，實(shí)現(xiàn)以網(wǎng)養(yǎng)網(wǎng)。根據(jù)國家示范性高等職業(yè)院校建設(shè)項(xiàng)目的要求，XX 學(xué)院擬完善數(shù)字化校園網(wǎng)絡(luò)平臺， 為數(shù)字化教學(xué)平臺提供一個(gè)良好的支撐平臺。、 3 、 網(wǎng)絡(luò)平臺建設(shè)方案 網(wǎng)絡(luò)設(shè)計(jì)原則廣州 XX 職業(yè)技術(shù)學(xué)院校園網(wǎng)建設(shè)要實(shí)現(xiàn)內(nèi)部全方位的數(shù)據(jù)共享，應(yīng)用三層交換，提供全面的 QoS 保障服 務(wù)，使網(wǎng)絡(luò)安全可靠，從而實(shí)現(xiàn)教育管理、多媒體教學(xué)自動(dòng)化，必須具備高性能、高安全性、高可靠性，可管理、可增值特性以及開放性、兼容性、可擴(kuò)展性。根據(jù)廣州 XX 職業(yè)技術(shù)學(xué)院的網(wǎng)絡(luò)分布情況，校園網(wǎng)共分成核心層、 匯聚層和接入層三層。對于校園園區(qū)網(wǎng)的匯聚層設(shè)備，應(yīng)該能夠承載校園園區(qū)的多種融合業(yè)務(wù)，能夠融合 IPv網(wǎng)絡(luò)安全、流量分析等多種業(yè)務(wù)，提供不間斷轉(zhuǎn)發(fā)、優(yōu)雅重啟、 環(huán)網(wǎng)保護(hù)等多種高可靠技術(shù)，能 夠承載校園園區(qū)融合業(yè)務(wù)的需求。網(wǎng)絡(luò)接入層提供校園網(wǎng)用戶的接入，并實(shí)現(xiàn)網(wǎng)絡(luò)接入的安全防御，如 ARP攻擊防護(hù)，同時(shí)，結(jié)合用戶管理系統(tǒng)實(shí)現(xiàn)對接入用戶認(rèn)證、 計(jì)費(fèi)等管理。在可靠性方面，核心交換機(jī)應(yīng)達(dá)到 %的高可靠性，采用全模塊化設(shè)計(jì)，電源、風(fēng) 扇、引擎、業(yè)務(wù)模塊等均可實(shí)現(xiàn)熱插拔，支持電源、引擎等關(guān)鍵部件的1+1 冗余 熱備 份，支持 VRRP、路由優(yōu)雅（GR）等高可靠性協(xié)議，實(shí)現(xiàn)核心層的業(yè)務(wù)不間斷轉(zhuǎn)發(fā)。S7510E 中配置的所有接口均可 實(shí)現(xiàn)線速轉(zhuǎn)發(fā)。?政府電力城域網(wǎng)邊緣和匯聚的最佳選擇H3