【正文】 fabric 內(nèi)的各個設備上，每個設備獨立運行協(xié)議，與外部協(xié)議實體進 XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 21 行交互；同時為了保持 IRF 作為一個整體運行， unit 之間完成必要的信息交互。 設備的熱插拔 組成 fabric 的設備可以任意的插入和拔出，而不會影響當前 fabric 的正常運行。 IRF 數(shù)據(jù)報文 數(shù)據(jù)報文 鏈路故障 IRF XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 19 擴展性 IRF 技術最大支持八臺設備的堆疊，用戶可以按照自身的需要購買 IRF 交換機。 DRR 實現(xiàn)了路由協(xié)議熱備份的技術，做到了同一個 fabric 中各個 unit 上路由信息的嚴格同步，并且在其中一個或多個 unit 出現(xiàn)故障的時候，其它 unit 可以照常運行并迅速接管故障 unit 的功能，此時，域內(nèi)路由協(xié)議不會隨之出現(xiàn)中斷，二 /三層轉(zhuǎn)發(fā)流量和業(yè)務也不會出現(xiàn)中斷， 從而實現(xiàn)了真正意義上的不中斷路由協(xié)議、不中斷業(yè)務的故障保護和設備切換功能。 華為 3 所采用產(chǎn)品 S8500、 S5600 等三層轉(zhuǎn)發(fā)模式均為最長路由匹配技術。因為 S8500 的路由查找模式為最長匹配。 考慮到 IP 地址的管理比較繁瑣，在實際的應用的過程當中建議可以與 CAMS 配合，實現(xiàn) IP 地址分配至用戶的方式進行 IP 地址的管理。華為 3Com E050/E026 具有 48/24 個固定的 10/100M 自適應以太網(wǎng)接口， 2 個擴展插槽，背板容量 ，包轉(zhuǎn)發(fā)率 可以實現(xiàn)所有端口的線速轉(zhuǎn)發(fā)，支持各種類型的上行接口，支持堆疊 。 核心層的重點應當中重點考慮如何提高核心的組網(wǎng)架構，因此在實際的應用的過程當中建議采用環(huán)形的方式，如上圖所示，鐵三角的模式進一步提高了核心網(wǎng)的安全性以及穩(wěn)定性。 可擴充性 考慮到 XXXXX 大學 用戶數(shù)量和業(yè)務種類發(fā)展的不確定性， 要求對于核心交換機與匯聚交換機具有強大的擴展功能， XXXXX 大學 校園網(wǎng)絡要建設成完整統(tǒng)一、組網(wǎng)靈活、易擴充的彈性網(wǎng)絡平臺，能夠隨著需求變化，充分留有擴充余地。 安全管理的需 求： 1) 校園用戶接受新鮮事務的能力非常強，因此校園也成為黑客最多的場所之一，如何保障校園網(wǎng)絡的安全成為建網(wǎng)時不得不考慮的問題，目前主要攻擊手段有 DOS， DDOS 等 2) 上網(wǎng)日志的需求，主要是配合公安機關保證社會的穩(wěn)定和校園的安全 組播業(yè)務的需求，特別是可控組播的需求將 隨著校園信息化的深入而體現(xiàn)出來 。 2) 需要解決賬號和端口綁定問題。多出口帶來了以下兩個需求： 1) 多權限 ISP 需求。 教育即未來，作為國家最重要的戰(zhàn)略工程，如何應用信息技術改造我們傳統(tǒng)的教學和管理手段； 如何加深學生對于信息化和信息技術的理解與了解；如何造就同時具 XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 6 備傳統(tǒng)和信息雙重文化的一代新人，已成為教育界當前最為緊迫的任務之一。 CN 下注冊的域名數(shù)、網(wǎng)站數(shù)分別達到 38 萬和 萬。 ................... 68 、防止對 DHCP 服務器的攻擊 ........................................ 72 XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 3 Private VLAN............................................... 72 訪問控制列表 ............................................... 72 新的命令 ................................................... 73 、惡意用戶追查 ................................................... 73 防病毒攻擊 ..................................................... 73 EAD 全網(wǎng)安全聯(lián)動解決方案 ........................................ 74 網(wǎng)絡管理安全設計 ................................................ 76 組網(wǎng)安全性設計 .................................................. 79 出口運營商線路備份 .............................................. 80 6． 組網(wǎng)核心設備介紹 ............................................... 81 QUIDWAY174。 S8500 系列萬兆核心路由交換機 ............................. 81 QUIDWAY174。 8700 萬網(wǎng)民當中 ， 教育的用戶占有 %，教育用戶當中絕大部分的網(wǎng)民主體是來自于學生用戶， 報告中主要數(shù)據(jù) 說明，前十年的發(fā)展取得豐碩成果，我國互聯(lián)網(wǎng)事業(yè)正在持續(xù)快速的發(fā)展，并在普及應用上進入嶄新的多元化應用階段！互聯(lián)網(wǎng)的影響正逐步滲透到人們生產(chǎn)、生活、工作、學習的各個角落。信息技術的應用，勢必極大地推進教育手段和教育內(nèi)容的革命性變革。用戶可通過不同的賬號名或采用相同的賬號，不同的域名認證，獲得不同的上網(wǎng)權限。通過此種方式限制賬號的使用區(qū)域。 XXXXX大學 建網(wǎng)需求 XXXXX大學的用戶需求請自行添加。 XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 9 開放性 技術選擇必須符合相關國際標準及國內(nèi)標準，避免個別廠家的私有標準或內(nèi)部協(xié)議，確保網(wǎng)絡的開放性和互連互通，滿足信息準確、安全、可靠、優(yōu)良交換傳送的需要；開放的接口，支持良好的維護、測量和管理手段，提供網(wǎng)絡統(tǒng)一實時監(jiān)控的遙測、遙控的信息處理功能，實現(xiàn)網(wǎng)絡設備的統(tǒng) 一管理。 在匯聚層， 由于宿舍區(qū)存在密集度高的大量用戶，為了保證數(shù)據(jù)傳輸和交換的效率，現(xiàn)在各個樓內(nèi)設置三層樓內(nèi)匯聚層。 華為 E 系列接入層交換機具有強大的業(yè)務特性，可以支持 256 個標準的 VLAN， VLAN ID 均可 達 4096 個 并能夠提供強大的業(yè)務功能：如 認證 、動態(tài) ACL、動態(tài) Vlan、防止 Proxy 等功能。 S5600匯聚層 交換機萬兆的 支持 從網(wǎng)絡的整體結構上我們可以看出整個網(wǎng)絡的設計是采用核心萬兆環(huán)網(wǎng)，核心與匯聚、匯聚與接入之間均采用千兆的方式，接入與最終用戶之間采用百兆的方式進行互通，整個網(wǎng)絡的瓶頸在核心與匯聚 之間的連接存在瓶頸，隨著網(wǎng)絡接入用戶的不斷擴大，匯聚與接入之間可以采用萬兆的方式進行互聯(lián)。這樣就可以避免校園網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件來攻擊中心交換機，因為這種攻擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的 IP 地址，來不 XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 16 斷消耗主控處理板的 CPU 處理能力，直到徹底使主控處理板的 CPU 喪失處理能力，整個機器癱掉。這樣就可以避 免校園網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件進行的一些基于流的共計，因為這種攻擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的 IP 地址，來不斷消耗主控處理板的CPU 處理能力，直到徹底使主控處理板的 CPU 喪失處理能力，整個機器癱掉。 U n i t 1O S P FR I P備份信息U n i t 2U n i t 3 U n i t 4U n i t 1O S P FR I PU n i t 2U n i t 3 U n i t 4???備份信息 IRF 的分布式彈性路由 鏈路的備份 分布式的聚合技術進一步消除了聚合設備單點失效的問題，提高了聚合鏈路的可用性。由于業(yè)務的需要，如果用戶需要擴展網(wǎng)絡的容量，只需要堆疊更多的 IRF 交換機，就可以達到擴容的目的。 當一臺設備通過堆疊線接入到一個正在運行的 fabric 內(nèi)，原有的 fabric 就會檢測到新的設備，同時驗證新設備是否可以加入到 fabric，如果驗證通過，新加入的設備將會得到原有的全局配置信息和轉(zhuǎn)發(fā)信息，同時將自己設備特有的配置和轉(zhuǎn)發(fā)信息散發(fā)到 fabric 內(nèi)，經(jīng)過短暫的信息交互后，新加入的設備就可以參與轉(zhuǎn)發(fā)了。 在外界看來，組成 IRF 的各個設備好像是一個協(xié)議實體在運行，而在內(nèi)部，各個協(xié)議分布運行在 IRF 的各個設備上，每個設備都獨立承擔本設備的協(xié)議計算，協(xié)議在fabric 內(nèi)負載分擔運行，這樣不僅提高了設備的利用率，同時，由于是分布式運行，每臺設備上只需要保留本 unit 的信息，任何一臺設備上不需要 fabric 完整的協(xié)議狀態(tài)信息，節(jié)省了大量的設備間備份操作。這種最短路徑的轉(zhuǎn)發(fā)方式，比起單向的轉(zhuǎn)發(fā)，不僅效率高，而且可以起到負載分擔的作用。為了實現(xiàn) fabric 內(nèi)二層分布式轉(zhuǎn)發(fā)，而且 IRF 內(nèi)的交換機表現(xiàn)的象一臺設備一樣，當一臺 unit 新學習到 MAC表項以及用戶配置的 MAC 表項，都 需要同步到 fabric 內(nèi)的其它設備上。 同傳統(tǒng)的堆疊技術和多臺單機互聯(lián)設備相比，使用 IRF 技術堆疊的設備，可以做到按需轉(zhuǎn)發(fā)組播數(shù)據(jù)報文，減少設備間組播數(shù)據(jù)流量。華為 E050接入層交換機可以為用戶提供強大的動態(tài) VLAN功能切實可行的為用戶提供豐富的業(yè)務功能。由 S5600 完成對其下掛的匯聚交換機以及樓道交換機的組播用戶進行報文復制和發(fā)送。 對于 IPv6 的業(yè)務開展，對于 IPv6 流媒體的訪問同樣可以采用 IPv6 組播協(xié)議進行 IPv6 業(yè)務的開展，通過核心、匯聚 IPv6 協(xié)議的支持，可以在全網(wǎng)開展 IPv6業(yè)務，確保 IPv6 組播業(yè)務能夠很好的開展，便于 IPv6 業(yè)務的豐富、提高。 Qos 考慮： 新增流標記域，為源宿端快速處理實時業(yè)務提供可能，有利于低性能的業(yè)務終端支持 IPv6 的語音、視頻等應用。161。161。華為 NE40 可完全實現(xiàn)雙棧的運行方式，滿足用戶的各種需求。除此以外， QuidView 系統(tǒng)使用全新的 JFC 類庫，所有控件均支持 Look and Feel 特性，該特性使得 QuidView 既可以在不同平臺上呈現(xiàn)出統(tǒng)一的顯示風格，也能夠使控件的風格與操作系統(tǒng)相一致。主要功能包括：支持告警相關性分析；能按照用戶設置的條件對告警信息進行統(tǒng)計和查詢；提供告警拓撲定位；支持告警 Trap 規(guī)則定義等。 特性 該系統(tǒng)采用開放式結構設計，嚴格遵守標準的 SNMP 協(xié)議（ RFC1157），主要使用 RFC1213定義的 MIB 信息，具有投資省、使用靈活、易于移植等特點： 使用靈活 QuidView 系統(tǒng)的使用方式非常靈活，既可以作為設備級的應用程序集成到已有的網(wǎng)管平臺（如： HPOpenView、 RadiumsNMS、 SNMPC、 NetManager）中進行網(wǎng)絡級管理，又可以作為獨立的應用程序執(zhí)行進行設備級管理。IPV6 User 雙棧 雙棧 雙棧 NATPT XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 32 用戶訪問 IPv4 的資源時，由于 IPv4 的地址資源相對有限，可以按照收斂比采取多對一動態(tài)的轉(zhuǎn)換的方式進行互通，其基本的實現(xiàn)方式如下： IPv6 用戶在訪問 Pv4 的用戶時，在邊界路由器上進行 NAT 轉(zhuǎn)換，過程是將 IP 的報頭取出，改為 IPv4 的報頭，與 IPv4 的用戶進行互通；同樣 IPV4 用戶訪問 IPV6 的用戶時，當經(jīng)過邊界路由器的時候，邊界路由器會將 IPv4 的包取出，更改為 IPv6 的報文格式在 IPv6 的網(wǎng)絡內(nèi)部實現(xiàn) IPv6 之間的互通。 IPV4 User161。 IPv6 的上述特點充分迎合了未來網(wǎng)絡向 IP 融合統(tǒng)一的發(fā)展方向，并提 升 IP 網(wǎng)絡的可運營可管理性。同時 IPv6 地址是有范圍的，包括鏈路本地地址、站點本地地址和任意播地址，這也進一步增加地址應用的擴展性。 付費視頻： 按節(jié)目收費的視訊節(jié)目。 4． IP 地址盜用的防止 在校園網(wǎng)的應用當中 IP 地址的盜用是最為經(jīng)常的一種非法手段，用戶在認證通過以后將