【正文】 園內(nèi)部分服務(wù)器，采用“ user163”登錄，可實(shí)現(xiàn) Inter 和校園網(wǎng)絡(luò)自由訪問，采用“ usercre”登錄，可訪問 CERNET 和校園網(wǎng)。信息技術(shù)的應(yīng)用，勢(shì)必極大地推進(jìn)教育手段和教育內(nèi)容的革命性變革。目前 87%學(xué)生在網(wǎng)吧上網(wǎng)， 97%的學(xué)生用 201 校園卡打電話。在信息化的建設(shè)過程中，它的作用體現(xiàn)在如下幾個(gè)方面： 校園網(wǎng)能促進(jìn)教師和學(xué)生盡快提高應(yīng)用信息技術(shù)的水平；信息技術(shù)學(xué)科的內(nèi)容是發(fā)展的，它是一門應(yīng)用型學(xué)科，因此，為了讓學(xué)生學(xué)到實(shí)用的知識(shí)，必須給他們提供一個(gè)實(shí)踐的環(huán)境，這個(gè)環(huán)境離不開校園 網(wǎng)。此處主要分析北京科技大學(xué)網(wǎng)絡(luò)基礎(chǔ)設(shè)施建設(shè)和網(wǎng)絡(luò)運(yùn)營(yíng)方面相關(guān)的內(nèi)容。 考慮到用戶的以上的需求，需要在學(xué)校的內(nèi)部提供不同的路由策略，即用戶訪問教育網(wǎng)的相關(guān)站點(diǎn)，通過 CERNET 的線路，而訪問其他的網(wǎng)站如：新浪網(wǎng)、263 等網(wǎng)站則選擇運(yùn)營(yíng)商的線路作為出口路由，這要求核心的交換機(jī)或出口路由器能夠提供策略路由以支持該特性。 VOD 點(diǎn)播業(yè)務(wù)實(shí)現(xiàn)，通過建立 VOD 視頻服務(wù)器平臺(tái)，利用交換機(jī)提供的組播功能，為北京科技大學(xué)的用戶提供優(yōu)質(zhì)的視頻效果，同時(shí)節(jié)省用戶帶寬。 目前校園網(wǎng)主要可分為兩個(gè)組成部分，一期 ATM 網(wǎng)絡(luò)部分，主要通過主樓、綜合樓、實(shí)驗(yàn)樓和圖書館 4 臺(tái) 3COM CoreBuilder7000 設(shè)備組成 622M AMT 骨干環(huán)網(wǎng)，覆蓋主樓、綜合樓等 10 幾個(gè)樓宇。還有 3COM 4007R、 3COM 400 3COM NBII、 CISCO 2511 和 CABLE MODEM 設(shè)備 CISCO 7223。 ATM 網(wǎng)速度慢，校園網(wǎng)內(nèi)部速度也不夠快。屆時(shí)校園網(wǎng)信息點(diǎn)將突破 10000 點(diǎn)。 可增值性 北京科技大學(xué)校園網(wǎng)絡(luò)的建設(shè)、使用和維護(hù)需要投入大量的人力、物力，因此網(wǎng)絡(luò)的增值性是網(wǎng)絡(luò)持續(xù)發(fā)展基礎(chǔ)。 對(duì)于學(xué)校不同應(yīng)用（校辦、學(xué)籍管理等）的規(guī)劃?？紤]到老師需要使用辦公軟件工作同時(shí)又需要對(duì)外網(wǎng)的相關(guān)信息進(jìn)行查詢所以建議老師上班的時(shí)候既可以對(duì)外網(wǎng)進(jìn)行訪問又可以通過內(nèi)網(wǎng)實(shí)現(xiàn)辦公。 對(duì)于物業(yè)管理等相關(guān)部門的網(wǎng)絡(luò)訪問，對(duì)于內(nèi)部外租寫字樓等部門可以直接建議只允許訪問外網(wǎng)，而不允許訪問內(nèi)部校園網(wǎng)的資源。 網(wǎng)絡(luò)的安全。從學(xué)校的地理分布的信息點(diǎn)的多少來設(shè)定固定的骨干節(jié)點(diǎn)，同時(shí)將各骨干節(jié)點(diǎn)鏈接形成環(huán)行和星型網(wǎng)絡(luò)的混合型組網(wǎng)如下圖所示 : 圖中可以看出，學(xué)校的 8 個(gè)骨干節(jié)點(diǎn)在校園內(nèi)部構(gòu)成了兩個(gè)環(huán)網(wǎng)，外測(cè)為大環(huán)，內(nèi)側(cè)為小環(huán)，不同顏色的區(qū)域內(nèi)部如果建設(shè)新大樓或是新增信息點(diǎn)都可以選擇最近的骨干節(jié)點(diǎn)接入，從目前的地理分布來看學(xué)生公寓負(fù)責(zé)接入的地理領(lǐng)域 較為廣泛，建議在學(xué)生公寓北部，增加光收發(fā)模塊，以避免后期在該處增加節(jié)點(diǎn)而引起施工問題。 出差人員如果要求訪問學(xué)校內(nèi)部資源可以采用 VPN 的方式進(jìn)行接入，同時(shí)給用戶用戶名密碼，作為認(rèn)證手段。 整體組網(wǎng)說明： 解決方案網(wǎng)絡(luò)分為三個(gè)層次，核心層、匯聚層、接入層。 核心設(shè)備 CB9000 的帶寬瓶頸 由于根據(jù)前期的用戶反映在 CB9000 以上測(cè)試帶寬的可以達(dá)到很高，但在CB9000 以下測(cè)試出口帶寬無法超過 30M 的帶寬，在核心交換機(jī) CB9000 上可能會(huì)存在嚴(yán)重的瓶頸，從整個(gè)組網(wǎng)結(jié)構(gòu)上來分析，不難看出 CB9000 其承擔(dān)著科技樓內(nèi)部的三層交換以及出口流量的接入，同時(shí)還承擔(dān)著學(xué)生宿舍區(qū)的出口流量的接入、辦公樓出口流量的接入以及原 ATM 網(wǎng)的出口流量的接入因此其承擔(dān)的 流量非常大，從目前看來 CB9000 核心交換機(jī)的轉(zhuǎn)發(fā)性能已經(jīng)無法滿足整個(gè)校園網(wǎng)核心的要求，再加上對(duì)于原有的 ATM 網(wǎng)進(jìn)行改造以后也無法實(shí)現(xiàn)萬兆的接入，改造核心勢(shì)在必行！ 改造后的校園核心網(wǎng)絡(luò)： 由于改造后 Cer 的出口為 100M 出口再加上 Iner（網(wǎng)通運(yùn)營(yíng)商）出口總帶寬已經(jīng)完全超過 100M 帶寬因此出口路由器以及防火墻等設(shè)備接口需要更新進(jìn)一步擴(kuò)大出口帶寬減少網(wǎng)絡(luò)瓶頸。 E050/E0260SI 接入層交換機(jī)具有固定的 48/24 個(gè) 10/100M 自適應(yīng)的以太網(wǎng)接口同時(shí)具有兩個(gè)擴(kuò)展插槽，支持各種類型的上行接口，支持堆疊，所有端口全部實(shí)現(xiàn)速轉(zhuǎn)發(fā)。 出口路由器：考慮到北京科技大學(xué)的公網(wǎng)出口有兩個(gè)，用戶根據(jù)不同的目的IP 地址而選擇不同的出口線路；因此要求出口路由器具有強(qiáng)大的策略路由的功能，以及基于硬件的 ACL 列表功能，華為 NE05 高端路由器，具有強(qiáng)大的路由功能以及業(yè)務(wù)功能；最多可以支持 20 萬條 BGP 路由；每塊接口板可以支持 5K 條策略，完全滿足復(fù)雜的骨干網(wǎng)節(jié)點(diǎn)以及大型局域網(wǎng)的出口路由的需求。 基于流攻擊的防止。而用戶又由于測(cè)試儀器的限制無法確認(rèn)實(shí)際配置的性能，這一點(diǎn)在華為公司是絕對(duì)不會(huì)出現(xiàn)的。 對(duì)于新特性的業(yè)務(wù)支持力度 IPv6 數(shù)據(jù)通信的技術(shù)的發(fā)展的迅速的，所以在北京科技大學(xué)的 校園網(wǎng)的建設(shè)的過程當(dāng)中應(yīng)當(dāng)充分考慮到網(wǎng)絡(luò)的延續(xù)性以及網(wǎng)絡(luò)對(duì)于未來新業(yè)務(wù)的支持力度，如：IPv6 技術(shù)，隨著 Inter 網(wǎng)的迅速的發(fā)展，目前國(guó)內(nèi)的 IP 地址的數(shù)量越來越不夠使用，這就迫使我們需要進(jìn)一步擴(kuò)大 IPv6 的協(xié)議的支持，目前各高校正在學(xué)校內(nèi)部的部分局域網(wǎng)實(shí)驗(yàn) IPv6 的技術(shù)，再如： MPLS VPN 的技術(shù)目前好多的運(yùn)營(yíng)商都在興建自己的 VPN 線路。 S8512/NE05 可以檢測(cè)數(shù)據(jù)報(bào)文中最長(zhǎng) 128 字節(jié)的匹配內(nèi)容，例如 S8512 會(huì)根據(jù)預(yù)先設(shè)定的檢測(cè)匹配內(nèi)容如“法輪功” ,如果設(shè)置了該匹配內(nèi)容，那么 S8512 會(huì)檢測(cè)報(bào)文流中最長(zhǎng)的128 個(gè)字節(jié)內(nèi)容，如果有匹配的內(nèi)容就丟棄該流的報(bào)文，提供從校園網(wǎng)內(nèi)部的安全性，維護(hù)學(xué)校的形象。 這樣不僅保證校園網(wǎng)網(wǎng)絡(luò)結(jié)構(gòu)的穩(wěn)定并節(jié)省用戶的投資，而且靈活解決了校園網(wǎng)復(fù)雜的流量路徑選擇需求。 動(dòng)態(tài) Vlan 的功能 對(duì)于位置移動(dòng)的用戶（有便攜機(jī)），可以采用動(dòng)態(tài) Vlan 的技 術(shù)來實(shí)現(xiàn)，用戶的的 Vlan 是和用戶的 ID 號(hào)對(duì)應(yīng)的，用戶可以通過不同地理位置的接入點(diǎn)上網(wǎng)，用戶認(rèn)證的過程當(dāng)中， Raduis 服務(wù)器會(huì)根據(jù)用戶的 ID 號(hào)對(duì)應(yīng)到用戶所屬的 Vlan當(dāng)中。 組播業(yè)務(wù) Quidway S851 S650 E050/E026 通過標(biāo)準(zhǔn)的組播協(xié)議完成用戶的組播管理，并通過 HGMP 協(xié)議將各樓道交換機(jī)也納入到組播實(shí)現(xiàn)中。 IP 地址分配原則 考慮到學(xué)校的學(xué)生宿舍的固定性，為保證對(duì)于上網(wǎng)學(xué)生的可查詢性，且考慮到 私網(wǎng)地址不存在短缺等因素，建議北京科技大學(xué)的 IP 地址采用靜態(tài) IP 地址接入的方式進(jìn)行建設(shè)。 2）中心交換機(jī)支持靜態(tài)或動(dòng)態(tài)的 IP 地址分配，并支持動(dòng)態(tài) IP 地址分配方式下 DHCPRelay 功能， DHCP SERVER 可安放在園區(qū)內(nèi)部。 支持 WEB 方式 基于 WEB 的管理是網(wǎng)管方式的一次革命，其主要優(yōu)勢(shì)在于：基于 WEB 的管理允許網(wǎng)絡(luò)管理人員使用任一種瀏覽器在網(wǎng)絡(luò)的任何節(jié)點(diǎn)上方便迅速地配置、控制及監(jiān)視網(wǎng)絡(luò)。任何一個(gè)網(wǎng)絡(luò)設(shè)備都必需首先具備足夠的自我保護(hù)和防范能力，華為 3的交換機(jī)和路由器等網(wǎng)絡(luò)設(shè)備在安全性方面有豐富實(shí)用的功能，大體可分為兩類，一類是自身防攻擊措施，另一類是用戶安全保證措施。 、用戶唯一標(biāo)識(shí) 一般的邊緣路由器對(duì)于用戶上行報(bào)文，只根據(jù)目的 IP 地址進(jìn)行轉(zhuǎn)發(fā)，不做源地址檢查，這是出現(xiàn)網(wǎng)絡(luò)和用戶安全性問題的根本原因所在。由 CAMS 記錄用戶每次上網(wǎng)的用戶名，源 IP 地址，上網(wǎng)開始和結(jié)束時(shí)間。 Quidview 網(wǎng)絡(luò)管理軟件提供 Traffic View 工具，能夠檢測(cè)網(wǎng)絡(luò)設(shè) 備端口流量變化，它使得網(wǎng)絡(luò)管理者能夠直觀地觀測(cè)設(shè)備流量的變化，從而對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行有效的管理。 ? 提供設(shè)備日志分析工具，使用戶及時(shí)了解網(wǎng)絡(luò)中設(shè)備運(yùn)行狀況。 6．組網(wǎng)核心設(shè)備介紹 ? S8500 萬兆核心路由交換機(jī) Quidway? S8500 是華為公司推出的 新一代高性能萬兆核心路由交換機(jī)產(chǎn)品，可廣泛應(yīng)用于運(yùn)營(yíng)商大型 IP 城域網(wǎng)匯聚層或中小型城域網(wǎng)核心層、園區(qū)網(wǎng)企業(yè)網(wǎng)核心，與華為公司其他產(chǎn)品一起構(gòu)建華為公司高性能端到端 IP 網(wǎng)絡(luò)解決方案。 ? 具有完善的報(bào)表功能，讓用戶對(duì)網(wǎng)絡(luò)運(yùn)行情況一目了然。 為了網(wǎng)管工作自動(dòng)化，網(wǎng)絡(luò)設(shè)備內(nèi)嵌智能 Agent，對(duì)需要經(jīng)過復(fù)雜計(jì)算的性能數(shù)據(jù)主動(dòng)進(jìn)行監(jiān)視，在超出閾值時(shí)自動(dòng)上報(bào)告警，并轉(zhuǎn)發(fā)到 Email、 BP、手機(jī)短信及時(shí)通知網(wǎng)絡(luò)管理員，讓網(wǎng)絡(luò)管理員隨時(shí)隨地監(jiān)控網(wǎng)絡(luò)運(yùn)行狀況。 ? 全網(wǎng)設(shè)備的統(tǒng)一拓?fù)湟晥D ? 拓?fù)渥詣?dòng)發(fā)現(xiàn)，拓?fù)浣Y(jié)構(gòu)動(dòng)態(tài)刷新 ? 可視化操作方式：拓?fù)湟晥D節(jié)點(diǎn)直接點(diǎn)擊進(jìn)入設(shè)備操作面板 ? 在網(wǎng)絡(luò)、設(shè)備狀態(tài)改變時(shí)，改變節(jié)點(diǎn)顏色，提示用戶 ? 對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行定時(shí)（輪詢間隔時(shí)間可配置）的輪循監(jiān)視和狀態(tài)刷新并表現(xiàn)在網(wǎng)絡(luò)視圖上 ? 支持拓?fù)溥^濾，讓用戶關(guān)注所關(guān)心的網(wǎng)絡(luò)設(shè)備情況 ? 支持快速查找拓?fù)鋵?duì)象，并在導(dǎo)航樹和拓?fù)湟晥D中定位該拓?fù)鋵?duì)象 故障管理 故障管理主要功能是對(duì)全網(wǎng)設(shè)備的告警信息和運(yùn)行信息進(jìn)行實(shí)時(shí)監(jiān)控，查詢和統(tǒng)計(jì)設(shè)備的告警信息。 由于 DHCP是通過二層廣播包起作用的，故在二層嚴(yán)格隔離用戶， 可防止 DHCP Server 假冒。在樓道交換機(jī)上劃分 PVlan，使用戶端口之間不能通信，用戶端口只能和 Uplink 口通信。除此以外， QuidView 系統(tǒng)使用全新的 JFC 類庫(kù)，所有控件均支持 Look and Feel 特性，該特性使得 QuidView 既可以在不同平臺(tái)上呈現(xiàn)出統(tǒng)一的顯示風(fēng)格，也能夠使控件的風(fēng)格與操作系統(tǒng) 相一致。 ③這種劃分方式中，因?yàn)閷?duì)用戶能實(shí)現(xiàn)動(dòng)態(tài)的 VLAN+MAC+IP 綁定，可對(duì)用戶發(fā)動(dòng)的偽造攻擊報(bào)文進(jìn)行合法性檢查和過濾，具有一定的網(wǎng)絡(luò)安全性保障。 當(dāng)校園網(wǎng)以私網(wǎng)地址分配或采用混合網(wǎng)絡(luò)地址接入時(shí)，要求校園網(wǎng)提供地址變換功能，過濾掉私網(wǎng)地址。 視頻點(diǎn)播：交互式電視的一部分，它使用戶可以隨意選擇所需的視訊節(jié)目，并可隨意地控制節(jié)目播出（如快進(jìn)、快倒、暫停等）。 IP 地址盜用的防止 在校園網(wǎng)的應(yīng)用當(dāng)中 IP 地址的盜用是最為經(jīng)常的一種非法手段，用戶在認(rèn)證通過以后將自己獲取的 IP 地址進(jìn)行修改，然后在進(jìn)行一些非法操作，在北京科技大學(xué)的網(wǎng)絡(luò)的設(shè)計(jì)當(dāng)中我們針對(duì)該問題，在接入層交換機(jī)上提供防止 IP 地址盜用的功能，用戶在更改 IP 地址后， 客戶端與 E050/E026 配合，直接將用戶 下線，其下線功能是由 E050/E026 來實(shí)現(xiàn)的，不依賴于 客戶端，因此對(duì)于學(xué)生自己從網(wǎng)上下載的 的客戶端來說， E050/E026 仍然可以對(duì)其進(jìn)行有效的控制。 NE05 能夠?qū)崿F(xiàn)報(bào)文通過策略路由轉(zhuǎn)發(fā)同時(shí)執(zhí)行報(bào)文的 QOS 動(dòng)作，包括報(bào)文的復(fù)雜流分類、流量整型、 TOS 標(biāo)記、優(yōu)先級(jí)轉(zhuǎn)發(fā)等等，真正實(shí)現(xiàn)流量的監(jiān)管和可控，將通過策略路由轉(zhuǎn)發(fā)的報(bào)文也納入 QOS 的管理。例如在幾個(gè)不同服務(wù)時(shí)間段和收費(fèi)標(biāo)準(zhǔn)的 ISP 中作出選擇，以獲取最佳的性能（延遲、帶寬等）價(jià)格比。 量身定做的校園網(wǎng)內(nèi)部服務(wù)器的負(fù)載均衡： 北京科技大學(xué)的校園網(wǎng)絡(luò)的建設(shè)是一個(gè)全新的網(wǎng)絡(luò)建設(shè)，因此在實(shí)際的建設(shè)的過程當(dāng)中希望能夠考慮的網(wǎng)絡(luò)的應(yīng)用以及相關(guān)的業(yè)務(wù)特性，如：內(nèi)部的服務(wù)器的訪問的控制，傳統(tǒng)的服務(wù)器的訪問只是在服務(wù)器側(cè)使用兩臺(tái)服務(wù)器，他們之間只是建立起簡(jiǎn)單的 HA，即雙機(jī)熱備，而并無法做到服務(wù)器之間的負(fù)載均衡，華為公司針對(duì)用戶 的這一需求量身定做出新的 WebSwitch 功能，為用戶提供一系列的可靠性的保障， WebSwitch 是針對(duì)用戶的內(nèi)部用戶訪問服務(wù)器而制定出來的特殊的技術(shù)，他能夠根據(jù)用戶的訪問的流量以及相關(guān)的訪問的產(chǎn)品的性質(zhì)來動(dòng)態(tài)的調(diào)整不同的路由線路，以保證兩臺(tái)服務(wù)其上的負(fù)載均衡，確保在流量的高峰期不會(huì)因?yàn)榉?wù)器上出現(xiàn)訪問用戶太多而導(dǎo)致網(wǎng)絡(luò)繁忙，或是服務(wù)器癱機(jī)。這樣就可以避免校 園網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件來攻擊中心交換機(jī)，因?yàn)檫@種攻擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的IP 地址，來不斷消耗主控處理板的 CPU 處理能力，直到徹底使主控處理板的 CPU喪失處理能力，整個(gè)機(jī)器癱掉。所以當(dāng)攻擊者進(jìn)行攻擊時(shí)，不會(huì)造成 S8512 業(yè)務(wù)能力處理下降，對(duì)于整機(jī)沒有影響影響。 網(wǎng)管平臺(tái)。 S8505 萬兆核心交換機(jī)對(duì)于圖書館、主樓等節(jié)點(diǎn)完全可以滿足用戶的需求，其 750G 的背板容量以及豐富的接口單板完全可以滿足未來業(yè)務(wù)擴(kuò)展的需求。 Eudemon200 專業(yè)防火前其強(qiáng)大的性能以及豐富的業(yè)務(wù)特性可以配合華為 S5024實(shí)現(xiàn) DMZ區(qū)進(jìn)而提高網(wǎng)絡(luò)中心的可靠性， Eudemon200 可提供千兆光纖接口，同時(shí)可提供千兆線速 NAT 轉(zhuǎn)換。進(jìn)而提升整網(wǎng)的可靠性以及高帶寬性，對(duì)于未來業(yè)務(wù)的擴(kuò) 展有更好的支持