【正文】 C S7500E 支持 VRFLite 特性，為用戶提供高可靠高性能的 MCE 設備；通過配置 Salience VITurbo 引擎，可以提供集中式 MPLS 業(yè)務功能，適合在城域網邊緣作為高性價 PE 設備使用；通過配置 EA 類板卡，可以提供分布式線速的MPLS 業(yè)務功能，適合在城域網匯聚層作為高性能的 PE 使用。通過上述技術， H3C S7500E 可以在承載多業(yè)務的情況下不間斷運行，實現業(yè)務的永續(xù)。在安全性方面，數據中心交換機具有安全機制保障所承載業(yè)務的安全。在業(yè)務特性方面，匯聚交換機支持豐富的 QoS 特性，可保障重要業(yè)務得到優(yōu)先轉發(fā)；支持 IPv6，可平穩(wěn)過 渡到下一代網絡。H3C S5500EI 系列交換機提供增強的 ACL 控制邏輯 ，支持超大容量的入端口和出端口 ACL，并且支持基于 VLAN 的 ACL 下發(fā)，在簡化用戶配置過程的同時，避免了 ACL 資源的浪 費。同時通過設置 Voice VLAN 安全特性，只允許語音流量通過，可以有效防止突發(fā)數據流量對 Voice VLAN 內的語音流量的沖擊。支持 CLI命令行，Web 網管， TELNET，HGMP 集群管理，使設備管理更方便，并且支持 等加密方式，使得管理更加安全。在業(yè)務特性方面，路由器支持豐富的 QoS 特性，可保障重要業(yè)務得到優(yōu)先轉發(fā)；支持 IPv6，可平穩(wěn)過渡到下一代網絡。豐富的報表提供業(yè)務流量趨勢圖、流量分布圖、 Top N 用戶列表、Top N 應用協(xié)議列表等報表，并支持按照用戶名 /用戶組、使用 頻度、使用時段、應用分類、應用協(xié)議、流量大小等進行多維度組合定制報表，使用戶能全面掌握網絡中的流量、應用和業(yè)務分布， 為合理規(guī)劃網絡 、制定流量控制策略提供依據。 接入層設計接入層實現各終端電腦的高速接入，根據各業(yè)務系統(tǒng)的分布，可采用千兆到桌面以及百兆到桌面兩種方案。H3C S5100EI 系列交換機采用專利技術允許交換機利用 專用互聯電纜實現多達 16 臺設備的堆疊，支持不同端口設備的混合堆疊?？梢?實現基于 MAC 地址允許/限制流量，或者 設定每個端口允許的MAC 地址的最大數量，使得某個特定端口上的 MAC 地址可以由管理員靜態(tài)配置，或者由交換機動態(tài)學習。支持流量整形保證以太網交換機可以對輸出報文速率進行控制。同 時支持 IP Source Check 特性，防止包括 MAC 欺 騙、IP 欺騙、MAC/IP 欺騙在內的非法地址仿冒，以及大流量地址仿冒帶來的 DoS 攻擊。支持 CLI 命令行， Web 網管， Tel，HGMP 集群管理，使設備管理更方便。豐富的業(yè)務支持能力H3C E126A/E152 教育網交換機支持 SP（Strict Priority）、WRR（Weighted Round Robin）、SP+WRR 三種隊列調度算法，支持每個端口 4/8 個輸出隊列，可以以不同的優(yōu)先級將報文放入端口的輸出隊列。使得無線局域網的網絡性能、網絡管理和安全管理能力得以大幅提高。 校園網絡設計方案 第 29 頁, 共 59 頁在設備選型中，我們建議無線局域網與交換機采用相同的品牌，以確保系統(tǒng)的兼容性，并實現統(tǒng)一化管理。AP 的功率 調整和信道切換是網絡 部署和調試時不可缺少的重要手段，信道和功率還需要按照國家代碼自動設置，無線控制器的 RF 管理功能使得網絡部署非常簡單。在校園網絡建設中，網絡安全建設主要包括以下幾大部分：、 對重點區(qū)域的安全隔離和訪問控制，通過增加防火墻，實現對業(yè)務系統(tǒng)資源和外部網絡安全隔離和訪問權限的控制。本次選用的核心交換機、匯聚交換機和接入交換機具有豐富的安全特性，可以解決網絡中存在的安全問題，詳細參見下表：攻擊類型攻擊行為 交換機安全防范特性核心交換機匯聚交換機接入交換機端口 MAC 數限制 具有 具有 具有禁止某個 VLAN 的 MAC 地址學習 ＋ 靜態(tài) MAC 表 具有 具有 具有端口安全 具有 具有 具有MAC 表攻擊MAC + IP + 端口綁定,端口安全中的 1 個特性具有 具有 具有DHCP Relay Option 82 具有 具有 具有DHCP Snooping Option 82 具有 具有 具有DHCP DOS攻擊DHCP 報文限速 具有 具有 具有資源耗盡型攻擊CPU 惡意沖擊ARP 限速 具有 具有 具有 校園網絡設計方案 第 34 頁, 共 59 頁廣播風暴抑制 具有 具有 具有環(huán)路檢測 具有 具有 具有安全準入特性 具有 具有 具有 具有 具有 具有防范攻擊的其它特性端口安全特性 具有 具有 具有ARP 入侵檢測 具有 具有 具有端口隔離 具有 具有 具有ARP 欺騙攻擊IsolateUserVLAN 具有 具有 具有DHCP relay Security 具有 具有 具有MAC/IP 欺騙攻擊 IP 源地址保護 具有 具有 具有DHCP 服務器欺騙攻擊DHCP Snooping Trust 具有 具有 具有STP 根保護 具有 具有 具有根橋偽裝攻擊 BPDU 保護 具有 具有 具有TCN 攻擊TCBPDU 報文非立即處理機制具有 具有 具有假冒偽裝型攻擊路由源偽裝攻擊OSPF/RIP 路由 MD5 驗證 具有 具有二層，不具有 具有 具有 具有SNMPv3 具有 具有 具有用戶信息嗅探 SFTP 具有 具有 具有遠程管理終端限制(Tel VTY 配置 ACL)具有 具有 具有設備控制權攻擊管理人員泄密用戶分級 具有 具有 具有 校園網絡設計方案 第 35 頁, 共 59 頁暴力嘗試攻擊遠程管理終端限制(Tel VTY 配置 ACL)具有 具有 具有在用戶接入安全控制，設計時采取以下針對性的措施解決以下 MAC、IP 地址的安全問題。因此在網絡的設計實施中必須對網絡的可靠性進行詳盡的考慮和設計。? 網絡核心設備支持不間斷轉發(fā)，主控板熱備份。冗余電源支持：S7500E 能提供冗余電源。? 網絡核心設備支持軟件在線升級，升級過程中業(yè)務不中斷。 物理設備和鏈路穩(wěn)定性 網絡結構的可靠性校園網絡設計首先從網絡結構上保證了高可靠性和高冗余性： 校園網絡設計方案 第 36 頁, 共 59 頁1)網絡 核心層和數據中心采用雙機冗余架構設計，通過路由協(xié)議、不間斷路由等技術配合實現可靠性；2) 網絡核心層和數據中心設備間互聯全部采用雙或多 鏈路互聯，配合路由協(xié)議、VRRP、MSTP 等技術實現局域網絡的可靠性。接入層交換機啟用 ARP 檢測特性，解決 ARP 攻擊和欺騙的問題。、 通過配置交換機所具有的安全功能，加強的網絡的安全控制。?支持智能的負載均衡支持智能負載均衡技術，保證只對處于 AP 覆蓋重疊區(qū)的無 線用戶才啟動AP 負載均衡功能，有效的避免誤均衡的出現，從而最大限度的提高了無線網絡容量。? 易于管理、AP“ 零配置”采用無線控制器和 FIT AP 配合組網時，只需要在無線控制器上對一類相同屬性的 AP 建立配置模板，AP 在啟動時可以自動從無 線控制器上下載最新的配置文件，真正做到了零配置，免維護，即插即用，極大地減輕了網絡管理員在部署網絡階段的維護工作量。綜合上述分析，對于大規(guī)模部署的校園網無線局域網，我們建議采用 FIT AP 的方案。E126A/E152 教育網交換機支持 IPv6 host，包括 IPv6 單播地址配置，ICMPv6，IPv6 鄰居發(fā)現協(xié)議（ND），IPv6TCP， IPv6TFTP，IPv6TRACERT 管理特性。E126A/E152 教育網交換機支持 VCT（Virtual Cable Test）電纜檢測功能，便于快速定位網絡故障點；并支持 DLDP（Device Link Detection Protocol）單向鏈路檢測協(xié)議，可以有效的防止網絡中單通故障的發(fā)生，大幅提高網 絡維護效率，切實將設備的易用性帶給用戶。E126A/E152 教育網交換機支持端口安全特性族，可以有效防范基于 MAC地址的攻擊。增強的網絡管理和維護的易用性H3C S5100EI 系列交換機支持通過 FTP、TFTP 實現設備 的遠程升級，支持SNMP v1/v2/v3，可支持 Open View 等通用網管平臺，以及 iMC 智能管理中心。 校園網絡設計方案 第 23 頁, 共 59 頁并且支持基于全局、VLAN、端口（ 組）的 ACL 下發(fā)，有效簡化配置過程并節(jié)約硬件資源。同時大大降低系統(tǒng)擴展的成本，保護了用戶投 資。對于教學樓、宿舍區(qū)的接入可采用 10/100M 到終端的解決方案。目前，H3C 是唯一能實現對 Skype 在 PCPC、PCPhone 兩種通信模式進行實時有效控制的廠商?；谏鲜鲆蛩兀覀兘ㄗh出口路由器采用 H3C SR6604 高端路由器。 該系列交 換機還支持 sFlow 功能，可以對出入方向的報文按比例隨機抽樣，靈活實現報文采集。這樣不但能夠隔離私網內不同 VPN 的報文轉發(fā)路徑，而且通過與PE 間的配合，也能夠將每個 VPN 的路由正確發(fā)布至對端 PE，保證 VPN 報文在公網內的傳輸。 7VM 海岸線網絡 安全資訊站多重可靠性保護S5500EI 系列交換機還具備設備級和鏈路級的多重可靠性保護。基于以上要求，我們建議匯聚交換機選用 H3C 的 S5500－EI ，S5500－EI 系列交換機具有以下特點：高擴展性保護投資隨著用戶端速度不斷提高，用戶最終會使集群千兆鏈路達到飽和，而能夠擁有多條集群 10GE 鏈路將是我們的未來發(fā)展方向?；谏鲜鲆蛩?，我們建議數據中心交換機采用 H3C S7502E 高端交換機。H3C S7500E 提供控制補丁單元狀態(tài)切換的用戶命令，使用戶能夠方便的加載、激活、去激活、運行或刪除補丁單元。、 全方位的安全保障，抵御多種網絡安全威脅?三平面安全保障機制H3C S7500E 提供完善的安全防護機制，可從控制、管理、轉發(fā)三平面全面保障網絡的安全：在控制平面，內置協(xié)議報文攻擊識別模塊，防止 TCN、ARP 等協(xié)議報文攻擊，OSPF/BGP/ISIS 路由協(xié)議采用 MD5 驗證，防止非法路由更新報文導致的網絡癱瘓；在管理平面，SNMPv3 網管協(xié)議， SSH V2，基于、AAA/Radius 的用 戶身份認證以及分級的用 戶權限管理保證了設備管理的安全性；在轉發(fā)平面，支持 IP、VLAN 、MAC 和端口等多種組合精細綁定；支持 uRPF 單播反向路徑 轉發(fā) ，防止非法流量 訪問網 絡，采用最長匹配逐包轉發(fā)機制，有效抵御病毒的攻擊。 ?線速的 IPv4/IPv6 業(yè)務能力H3C S7500E 支持 IPv4/IPv6 雙協(xié)議棧,支持多種 6to4 隧道技術，支持IPv4/IPv6 的組 播技術， 為 用戶提供完善的 IPv4/IPv6 解決方案；H3C S7500E 采用分布式體系架構，實現 IPv4/IPv6 業(yè)務的線速無阻塞轉發(fā)；H3C S7500E 已經通過了信息產業(yè)部的 IPv6 入網認證和 IPv6 Ready 第二 階段金色認證，是成熟商用的IPv6 產 品。在業(yè)務特性方面，核心交換機支持豐富的 QoS 特性，可保障重要業(yè)務得到優(yōu)先轉發(fā)；支持 IPv6，可平穩(wěn)過 渡到下一代網絡；并且支持內置防火墻、內置無線控制器等多種業(yè)務功能插卡，可以進行靈活的部署， 實現業(yè)務的擴展和融合。為便于網絡的管理和維護，校園網還將建設 1 套網絡管理系統(tǒng)，實現對校園網絡平臺設備的統(tǒng)一管理，網絡管理應具有拓撲、故障、性能、配置和圖形化設備管理等功能，為了實現更 為方便的通過遠程方式對網絡的狀態(tài)進行監(jiān)控和維護，網絡 系統(tǒng)采用 B/S 架構。在 XX 校園網中，接入層采用千兆及百兆到桌面的接入模式，對于數據傳輸量較大或重要區(qū)域采用千兆到桌面的方案，如綜合辦公、圖書館等，其它的 為百兆接入，同時，無線 AP 接入采用 POE 方式進行設備的供電。XX 學院主校區(qū)設立整個校園網的核心層，同時，在新機場實訓基地設立分核心?？稍鲋敌詫W院網絡的建設、使用和維護需要投入大量的人力、物力，因此網 絡的增值性是網絡持續(xù)發(fā)展基礎。廣州 XX 職業(yè)技術學院校園網絡設計方案華三通信技術有限公司2022 年 12 月 校園網絡設計方案 第 2 頁, 共 59 頁目錄第 1 章 概述 ..................................................................................................................3第 2 章 系統(tǒng)建設需求 ..................................................................................................3第 3 章 網絡平臺建設方案 ..........................................................................................4 網絡設計原則 .............................................