【正文】 C S7500E 支持 VRFLite 特性，為用戶(hù)提供高可靠高性能的 MCE 設(shè)備；通過(guò)配置 Salience VITurbo 引擎，可以提供集中式 MPLS 業(yè)務(wù)功能，適合在城域網(wǎng)邊緣作為高性?xún)r(jià) PE 設(shè)備使用；通過(guò)配置 EA 類(lèi)板卡，可以提供分布式線(xiàn)速的MPLS 業(yè)務(wù)功能，適合在城域網(wǎng)匯聚層作為高性能的 PE 使用。通過(guò)上述技術(shù)， H3C S7500E 可以在承載多業(yè)務(wù)的情況下不間斷運(yùn)行，實(shí)現(xiàn)業(yè)務(wù)的永續(xù)。在安全性方面，數(shù)據(jù)中心交換機(jī)具有安全機(jī)制保障所承載業(yè)務(wù)的安全。在業(yè)務(wù)特性方面，匯聚交換機(jī)支持豐富的 QoS 特性，可保障重要業(yè)務(wù)得到優(yōu)先轉(zhuǎn)發(fā)；支持 IPv6，可平穩(wěn)過(guò) 渡到下一代網(wǎng)絡(luò)。H3C S5500EI 系列交換機(jī)提供增強(qiáng)的 ACL 控制邏輯 ，支持超大容量的入端口和出端口 ACL，并且支持基于 VLAN 的 ACL 下發(fā)，在簡(jiǎn)化用戶(hù)配置過(guò)程的同時(shí)，避免了 ACL 資源的浪 費(fèi)。同時(shí)通過(guò)設(shè)置 Voice VLAN 安全特性，只允許語(yǔ)音流量通過(guò)，可以有效防止突發(fā)數(shù)據(jù)流量對(duì) Voice VLAN 內(nèi)的語(yǔ)音流量的沖擊。支持 CLI命令行，Web 網(wǎng)管， TELNET，HGMP 集群管理，使設(shè)備管理更方便，并且支持 等加密方式，使得管理更加安全。在業(yè)務(wù)特性方面，路由器支持豐富的 QoS 特性，可保障重要業(yè)務(wù)得到優(yōu)先轉(zhuǎn)發(fā)；支持 IPv6，可平穩(wěn)過(guò)渡到下一代網(wǎng)絡(luò)。豐富的報(bào)表提供業(yè)務(wù)流量趨勢(shì)圖、流量分布圖、 Top N 用戶(hù)列表、Top N 應(yīng)用協(xié)議列表等報(bào)表，并支持按照用戶(hù)名 /用戶(hù)組、使用 頻度、使用時(shí)段、應(yīng)用分類(lèi)、應(yīng)用協(xié)議、流量大小等進(jìn)行多維度組合定制報(bào)表，使用戶(hù)能全面掌握網(wǎng)絡(luò)中的流量、應(yīng)用和業(yè)務(wù)分布， 為合理規(guī)劃網(wǎng)絡(luò) 、制定流量控制策略提供依據(jù)。 接入層設(shè)計(jì)接入層實(shí)現(xiàn)各終端電腦的高速接入，根據(jù)各業(yè)務(wù)系統(tǒng)的分布，可采用千兆到桌面以及百兆到桌面兩種方案。H3C S5100EI 系列交換機(jī)采用專(zhuān)利技術(shù)允許交換機(jī)利用 專(zhuān)用互聯(lián)電纜實(shí)現(xiàn)多達(dá) 16 臺(tái)設(shè)備的堆疊，支持不同端口設(shè)備的混合堆疊。可以 實(shí)現(xiàn)基于 MAC 地址允許/限制流量，或者 設(shè)定每個(gè)端口允許的MAC 地址的最大數(shù)量，使得某個(gè)特定端口上的 MAC 地址可以由管理員靜態(tài)配置，或者由交換機(jī)動(dòng)態(tài)學(xué)習(xí)。支持流量整形保證以太網(wǎng)交換機(jī)可以對(duì)輸出報(bào)文速率進(jìn)行控制。同 時(shí)支持 IP Source Check 特性，防止包括 MAC 欺 騙、IP 欺騙、MAC/IP 欺騙在內(nèi)的非法地址仿冒，以及大流量地址仿冒帶來(lái)的 DoS 攻擊。支持 CLI 命令行， Web 網(wǎng)管， Tel，HGMP 集群管理，使設(shè)備管理更方便。豐富的業(yè)務(wù)支持能力H3C E126A/E152 教育網(wǎng)交換機(jī)支持 SP（Strict Priority）、WRR（Weighted Round Robin）、SP+WRR 三種隊(duì)列調(diào)度算法，支持每個(gè)端口 4/8 個(gè)輸出隊(duì)列，可以以不同的優(yōu)先級(jí)將報(bào)文放入端口的輸出隊(duì)列。使得無(wú)線(xiàn)局域網(wǎng)的網(wǎng)絡(luò)性能、網(wǎng)絡(luò)管理和安全管理能力得以大幅提高。 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 29 頁(yè), 共 59 頁(yè)在設(shè)備選型中，我們建議無(wú)線(xiàn)局域網(wǎng)與交換機(jī)采用相同的品牌，以確保系統(tǒng)的兼容性，并實(shí)現(xiàn)統(tǒng)一化管理。AP 的功率 調(diào)整和信道切換是網(wǎng)絡(luò) 部署和調(diào)試時(shí)不可缺少的重要手段，信道和功率還需要按照國(guó)家代碼自動(dòng)設(shè)置，無(wú)線(xiàn)控制器的 RF 管理功能使得網(wǎng)絡(luò)部署非常簡(jiǎn)單。在校園網(wǎng)絡(luò)建設(shè)中，網(wǎng)絡(luò)安全建設(shè)主要包括以下幾大部分：、 對(duì)重點(diǎn)區(qū)域的安全隔離和訪問(wèn)控制，通過(guò)增加防火墻，實(shí)現(xiàn)對(duì)業(yè)務(wù)系統(tǒng)資源和外部網(wǎng)絡(luò)安全隔離和訪問(wèn)權(quán)限的控制。本次選用的核心交換機(jī)、匯聚交換機(jī)和接入交換機(jī)具有豐富的安全特性，可以解決網(wǎng)絡(luò)中存在的安全問(wèn)題，詳細(xì)參見(jiàn)下表：攻擊類(lèi)型攻擊行為 交換機(jī)安全防范特性核心交換機(jī)匯聚交換機(jī)接入交換機(jī)端口 MAC 數(shù)限制 具有 具有 具有禁止某個(gè) VLAN 的 MAC 地址學(xué)習(xí) ＋ 靜態(tài) MAC 表 具有 具有 具有端口安全 具有 具有 具有MAC 表攻擊MAC + IP + 端口綁定,端口安全中的 1 個(gè)特性具有 具有 具有DHCP Relay Option 82 具有 具有 具有DHCP Snooping Option 82 具有 具有 具有DHCP DOS攻擊DHCP 報(bào)文限速 具有 具有 具有資源耗盡型攻擊CPU 惡意沖擊ARP 限速 具有 具有 具有 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 34 頁(yè), 共 59 頁(yè)廣播風(fēng)暴抑制 具有 具有 具有環(huán)路檢測(cè) 具有 具有 具有安全準(zhǔn)入特性 具有 具有 具有 具有 具有 具有防范攻擊的其它特性端口安全特性 具有 具有 具有ARP 入侵檢測(cè) 具有 具有 具有端口隔離 具有 具有 具有ARP 欺騙攻擊IsolateUserVLAN 具有 具有 具有DHCP relay Security 具有 具有 具有MAC/IP 欺騙攻擊 IP 源地址保護(hù) 具有 具有 具有DHCP 服務(wù)器欺騙攻擊DHCP Snooping Trust 具有 具有 具有STP 根保護(hù) 具有 具有 具有根橋偽裝攻擊 BPDU 保護(hù) 具有 具有 具有TCN 攻擊TCBPDU 報(bào)文非立即處理機(jī)制具有 具有 具有假冒偽裝型攻擊路由源偽裝攻擊OSPF/RIP 路由 MD5 驗(yàn)證 具有 具有二層，不具有 具有 具有 具有SNMPv3 具有 具有 具有用戶(hù)信息嗅探 SFTP 具有 具有 具有遠(yuǎn)程管理終端限制(Tel VTY 配置 ACL)具有 具有 具有設(shè)備控制權(quán)攻擊管理人員泄密用戶(hù)分級(jí) 具有 具有 具有 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 35 頁(yè), 共 59 頁(yè)暴力嘗試攻擊遠(yuǎn)程管理終端限制(Tel VTY 配置 ACL)具有 具有 具有在用戶(hù)接入安全控制，設(shè)計(jì)時(shí)采取以下針對(duì)性的措施解決以下 MAC、IP 地址的安全問(wèn)題。因此在網(wǎng)絡(luò)的設(shè)計(jì)實(shí)施中必須對(duì)網(wǎng)絡(luò)的可靠性進(jìn)行詳盡的考慮和設(shè)計(jì)。? 網(wǎng)絡(luò)核心設(shè)備支持不間斷轉(zhuǎn)發(fā)，主控板熱備份。冗余電源支持：S7500E 能提供冗余電源。? 網(wǎng)絡(luò)核心設(shè)備支持軟件在線(xiàn)升級(jí)，升級(jí)過(guò)程中業(yè)務(wù)不中斷。 物理設(shè)備和鏈路穩(wěn)定性 網(wǎng)絡(luò)結(jié)構(gòu)的可靠性校園網(wǎng)絡(luò)設(shè)計(jì)首先從網(wǎng)絡(luò)結(jié)構(gòu)上保證了高可靠性和高冗余性： 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 36 頁(yè), 共 59 頁(yè)1)網(wǎng)絡(luò) 核心層和數(shù)據(jù)中心采用雙機(jī)冗余架構(gòu)設(shè)計(jì)，通過(guò)路由協(xié)議、不間斷路由等技術(shù)配合實(shí)現(xiàn)可靠性；2) 網(wǎng)絡(luò)核心層和數(shù)據(jù)中心設(shè)備間互聯(lián)全部采用雙或多 鏈路互聯(lián)，配合路由協(xié)議、VRRP、MSTP 等技術(shù)實(shí)現(xiàn)局域網(wǎng)絡(luò)的可靠性。接入層交換機(jī)啟用 ARP 檢測(cè)特性，解決 ARP 攻擊和欺騙的問(wèn)題。、 通過(guò)配置交換機(jī)所具有的安全功能，加強(qiáng)的網(wǎng)絡(luò)的安全控制。?支持智能的負(fù)載均衡支持智能負(fù)載均衡技術(shù)，保證只對(duì)處于 AP 覆蓋重疊區(qū)的無(wú) 線(xiàn)用戶(hù)才啟動(dòng)AP 負(fù)載均衡功能，有效的避免誤均衡的出現(xiàn)，從而最大限度的提高了無(wú)線(xiàn)網(wǎng)絡(luò)容量。? 易于管理、AP“ 零配置”采用無(wú)線(xiàn)控制器和 FIT AP 配合組網(wǎng)時(shí)，只需要在無(wú)線(xiàn)控制器上對(duì)一類(lèi)相同屬性的 AP 建立配置模板，AP 在啟動(dòng)時(shí)可以自動(dòng)從無(wú) 線(xiàn)控制器上下載最新的配置文件，真正做到了零配置，免維護(hù)，即插即用，極大地減輕了網(wǎng)絡(luò)管理員在部署網(wǎng)絡(luò)階段的維護(hù)工作量。綜合上述分析，對(duì)于大規(guī)模部署的校園網(wǎng)無(wú)線(xiàn)局域網(wǎng)，我們建議采用 FIT AP 的方案。E126A/E152 教育網(wǎng)交換機(jī)支持 IPv6 host，包括 IPv6 單播地址配置，ICMPv6，IPv6 鄰居發(fā)現(xiàn)協(xié)議（ND），IPv6TCP， IPv6TFTP，IPv6TRACERT 管理特性。E126A/E152 教育網(wǎng)交換機(jī)支持 VCT（Virtual Cable Test）電纜檢測(cè)功能，便于快速定位網(wǎng)絡(luò)故障點(diǎn)；并支持 DLDP（Device Link Detection Protocol）單向鏈路檢測(cè)協(xié)議，可以有效的防止網(wǎng)絡(luò)中單通故障的發(fā)生，大幅提高網(wǎng) 絡(luò)維護(hù)效率，切實(shí)將設(shè)備的易用性帶給用戶(hù)。E126A/E152 教育網(wǎng)交換機(jī)支持端口安全特性族，可以有效防范基于 MAC地址的攻擊。增強(qiáng)的網(wǎng)絡(luò)管理和維護(hù)的易用性H3C S5100EI 系列交換機(jī)支持通過(guò) FTP、TFTP 實(shí)現(xiàn)設(shè)備 的遠(yuǎn)程升級(jí)，支持SNMP v1/v2/v3，可支持 Open View 等通用網(wǎng)管平臺(tái)，以及 iMC 智能管理中心。 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 23 頁(yè), 共 59 頁(yè)并且支持基于全局、VLAN、端口（ 組）的 ACL 下發(fā)，有效簡(jiǎn)化配置過(guò)程并節(jié)約硬件資源。同時(shí)大大降低系統(tǒng)擴(kuò)展的成本，保護(hù)了用戶(hù)投 資。對(duì)于教學(xué)樓、宿舍區(qū)的接入可采用 10/100M 到終端的解決方案。目前，H3C 是唯一能實(shí)現(xiàn)對(duì) Skype 在 PCPC、PCPhone 兩種通信模式進(jìn)行實(shí)時(shí)有效控制的廠商?；谏鲜鲆蛩兀覀兘ㄗh出口路由器采用 H3C SR6604 高端路由器。 該系列交 換機(jī)還支持 sFlow 功能，可以對(duì)出入方向的報(bào)文按比例隨機(jī)抽樣，靈活實(shí)現(xiàn)報(bào)文采集。這樣不但能夠隔離私網(wǎng)內(nèi)不同 VPN 的報(bào)文轉(zhuǎn)發(fā)路徑，而且通過(guò)與PE 間的配合，也能夠?qū)⒚總€(gè) VPN 的路由正確發(fā)布至對(duì)端 PE，保證 VPN 報(bào)文在公網(wǎng)內(nèi)的傳輸。 7VM 海岸線(xiàn)網(wǎng)絡(luò) 安全資訊站多重可靠性保護(hù)S5500EI 系列交換機(jī)還具備設(shè)備級(jí)和鏈路級(jí)的多重可靠性保護(hù)?；谝陨弦?，我們建議匯聚交換機(jī)選用 H3C 的 S5500－EI ，S5500－EI 系列交換機(jī)具有以下特點(diǎn)：高擴(kuò)展性保護(hù)投資隨著用戶(hù)端速度不斷提高，用戶(hù)最終會(huì)使集群千兆鏈路達(dá)到飽和，而能夠擁有多條集群 10GE 鏈路將是我們的未來(lái)發(fā)展方向?；谏鲜鲆蛩?，我們建議數(shù)據(jù)中心交換機(jī)采用 H3C S7502E 高端交換機(jī)。H3C S7500E 提供控制補(bǔ)丁單元狀態(tài)切換的用戶(hù)命令，使用戶(hù)能夠方便的加載、激活、去激活、運(yùn)行或刪除補(bǔ)丁單元。、 全方位的安全保障，抵御多種網(wǎng)絡(luò)安全威脅?三平面安全保障機(jī)制H3C S7500E 提供完善的安全防護(hù)機(jī)制，可從控制、管理、轉(zhuǎn)發(fā)三平面全面保障網(wǎng)絡(luò)的安全：在控制平面，內(nèi)置協(xié)議報(bào)文攻擊識(shí)別模塊，防止 TCN、ARP 等協(xié)議報(bào)文攻擊，OSPF/BGP/ISIS 路由協(xié)議采用 MD5 驗(yàn)證，防止非法路由更新報(bào)文導(dǎo)致的網(wǎng)絡(luò)癱瘓；在管理平面，SNMPv3 網(wǎng)管協(xié)議， SSH V2，基于、AAA/Radius 的用 戶(hù)身份認(rèn)證以及分級(jí)的用 戶(hù)權(quán)限管理保證了設(shè)備管理的安全性；在轉(zhuǎn)發(fā)平面，支持 IP、VLAN 、MAC 和端口等多種組合精細(xì)綁定；支持 uRPF 單播反向路徑 轉(zhuǎn)發(fā) ，防止非法流量 訪問(wèn)網(wǎng) 絡(luò)，采用最長(zhǎng)匹配逐包轉(zhuǎn)發(fā)機(jī)制，有效抵御病毒的攻擊。 ?線(xiàn)速的 IPv4/IPv6 業(yè)務(wù)能力H3C S7500E 支持 IPv4/IPv6 雙協(xié)議棧,支持多種 6to4 隧道技術(shù)，支持IPv4/IPv6 的組 播技術(shù)， 為 用戶(hù)提供完善的 IPv4/IPv6 解決方案；H3C S7500E 采用分布式體系架構(gòu)，實(shí)現(xiàn) IPv4/IPv6 業(yè)務(wù)的線(xiàn)速無(wú)阻塞轉(zhuǎn)發(fā)；H3C S7500E 已經(jīng)通過(guò)了信息產(chǎn)業(yè)部的 IPv6 入網(wǎng)認(rèn)證和 IPv6 Ready 第二 階段金色認(rèn)證，是成熟商用的IPv6 產(chǎn) 品。在業(yè)務(wù)特性方面，核心交換機(jī)支持豐富的 QoS 特性，可保障重要業(yè)務(wù)得到優(yōu)先轉(zhuǎn)發(fā)；支持 IPv6，可平穩(wěn)過(guò) 渡到下一代網(wǎng)絡(luò)；并且支持內(nèi)置防火墻、內(nèi)置無(wú)線(xiàn)控制器等多種業(yè)務(wù)功能插卡，可以進(jìn)行靈活的部署， 實(shí)現(xiàn)業(yè)務(wù)的擴(kuò)展和融合。為便于網(wǎng)絡(luò)的管理和維護(hù)，校園網(wǎng)還將建設(shè) 1 套網(wǎng)絡(luò)管理系統(tǒng)，實(shí)現(xiàn)對(duì)校園網(wǎng)絡(luò)平臺(tái)設(shè)備的統(tǒng)一管理，網(wǎng)絡(luò)管理應(yīng)具有拓?fù)?、故障、性能、配置和圖形化設(shè)備管理等功能，為了實(shí)現(xiàn)更 為方便的通過(guò)遠(yuǎn)程方式對(duì)網(wǎng)絡(luò)的狀態(tài)進(jìn)行監(jiān)控和維護(hù)，網(wǎng)絡(luò) 系統(tǒng)采用 B/S 架構(gòu)。在 XX 校園網(wǎng)中，接入層采用千兆及百兆到桌面的接入模式，對(duì)于數(shù)據(jù)傳輸量較大或重要區(qū)域采用千兆到桌面的方案，如綜合辦公、圖書(shū)館等，其它的 為百兆接入，同時(shí)，無(wú)線(xiàn) AP 接入采用 POE 方式進(jìn)行設(shè)備的供電。XX 學(xué)院主校區(qū)設(shè)立整個(gè)校園網(wǎng)的核心層，同時(shí)，在新機(jī)場(chǎng)實(shí)訓(xùn)基地設(shè)立分核心。可增值性學(xué)院網(wǎng)絡(luò)的建設(shè)、使用和維護(hù)需要投入大量的人力、物力，因此網(wǎng) 絡(luò)的增值性是網(wǎng)絡(luò)持續(xù)發(fā)展基礎(chǔ)。廣州 XX 職業(yè)技術(shù)學(xué)院校園網(wǎng)絡(luò)設(shè)計(jì)方案華三通信技術(shù)有限公司2022 年 12 月 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 2 頁(yè), 共 59 頁(yè)目錄第 1 章 概述 ..................................................................................................................3第 2 章 系統(tǒng)建設(shè)需求 ..................................................................................................3第 3 章 網(wǎng)絡(luò)平臺(tái)建設(shè)方案 ..........................................................................................4 網(wǎng)絡(luò)設(shè)計(jì)原則 .............................................