【正文】 身心地為之努力。 同時(shí)，隨著國家信息化工作的深入開展，提高教育系統(tǒng)信息化水平成為當(dāng)前工作的重點(diǎn)。 S6500系列高端多業(yè)務(wù)交換機(jī) ...............................86 服務(wù)器群萬兆匯聚交換機(jī) S5600.....................................91 QUIDWAY174。 .........................................15 匯聚層強(qiáng)大的 IRF擴(kuò)展性能 ...................................15： ...................................24 E系列接入層交換機(jī) .........................................25 QOS功能 ...................................................26 廣播風(fēng)暴的抑止 .............................................27 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 2 組播業(yè)務(wù) ...................................................27 XXXXX大學(xué) IPV6網(wǎng)絡(luò)設(shè)計(jì) ..........................................28 IPv6的優(yōu)勢 ...............................................28 整體設(shè)計(jì) ...................................................29 IPv6運(yùn)行模式設(shè)計(jì) ..........................................30 ....................................................334．XXXXX 大學(xué)用戶管理及安全方案 ........................................37 ......................................37 ......................................3授權(quán)管理描述 ..........................................38－ .......................................384．4 CAMS 對(duì)用戶上網(wǎng)認(rèn)證的管理 .......................................42 用戶需求分析 ...............................................42 CAMS解決方案 ..............................................42 業(yè)務(wù)認(rèn)證流程 ...............................................55 管理方案的堅(jiān)定執(zhí)行者：E050、E026 智能交換機(jī) ......................57 端口＋I(xiàn)P＋MAC 地址的綁定： .................................57 接入層防 Proxy的功能 .......................................57 MAC地址盜用的防止 .........................................58 MAC地址反查，防攻擊特性 ...................................58 GUEST VLAN 實(shí)現(xiàn)用戶客戶端的安全下載 ..............................585．核心網(wǎng)安全設(shè)計(jì) ......................................................60 BT業(yè)務(wù)限流量的解決方案 ...................................60 XXXXX大學(xué)安全的應(yīng)用 ..............................65： .........................................65 XXXXX大學(xué)規(guī)劃高安全的校園網(wǎng)。網(wǎng)絡(luò)國際出口帶寬增長飛速，總數(shù)達(dá)到 ，比去年同期增長 %。校園網(wǎng)提供了學(xué)校與外界交流的窗口，學(xué)校應(yīng)將校園網(wǎng)與互聯(lián)網(wǎng)聯(lián)接，這也是學(xué)校信息化的要求，做到了這一步，通過校園網(wǎng)去了解世界、在互聯(lián)網(wǎng)上樹立學(xué)校的形象都是很容易的。主要特點(diǎn)如下：多出口的需求：典型的組網(wǎng)有中國教育和科研網(wǎng)（CERNET）出口和運(yùn)營商網(wǎng)絡(luò)出口。要求能做到基于 WEB的身份認(rèn)證、多 ISP選擇、W 用戶費(fèi)率查詢、帶寬動(dòng)態(tài)調(diào)整（隱性需求） 、多 WEB界面（隱性需求）等。2) VOD 點(diǎn)播業(yè)務(wù)實(shí)現(xiàn)，通過建立 VOD視頻服務(wù)器平臺(tái)，利用交換機(jī)提供的組播功能，為 XXXXX大學(xué)的用戶提供優(yōu)質(zhì)的視頻效果，同時(shí)節(jié)省用戶帶寬。所以在建設(shè)時(shí)要充分考慮業(yè)務(wù)的擴(kuò)展能力，能針對(duì)不同的用戶需求提供豐富的寬帶增值業(yè)務(wù)，使網(wǎng)絡(luò)具有自我造血機(jī)制，實(shí)現(xiàn)以網(wǎng)養(yǎng)網(wǎng)。 網(wǎng)絡(luò)層次介紹：在核心層，核心層主要采用三個(gè)骨干節(jié)點(diǎn)，分別為網(wǎng)絡(luò)中心核心交換機(jī)（教學(xué)區(qū)），服務(wù)器群核心交換機(jī)，學(xué)生宿舍區(qū)核心交換機(jī)，此次網(wǎng)絡(luò)的改造主要是為了實(shí)現(xiàn)骨干網(wǎng)帶寬的提升，由原來的千兆骨干網(wǎng)帶寬提升至萬兆，網(wǎng)絡(luò)內(nèi)部采用動(dòng)態(tài)路由協(xié)議 OSPF，環(huán)網(wǎng)的構(gòu)成進(jìn)一步大大提高了網(wǎng)絡(luò)的可靠性，同時(shí)華為 S8512萬兆交換機(jī)其背板容量 ，交換容量 720G，包轉(zhuǎn)發(fā)率 432Mpps，具有 14個(gè)插槽，包括 12個(gè)業(yè)務(wù)插槽，S8505 背板容量 750G，交換容量 300G，包轉(zhuǎn)發(fā)率 180Mpps，進(jìn)一步滿足大型節(jié)點(diǎn)高數(shù)據(jù)量轉(zhuǎn)發(fā)的特點(diǎn)完全滿足骨干節(jié)點(diǎn)的需求，整個(gè)改造后的 IP網(wǎng)絡(luò)與校園網(wǎng)核心交換機(jī)之間采用 10GE的帶寬相連大大擴(kuò)大的原有的帶寬，S8500 萬兆核心交換機(jī)采用 Crossbar體系結(jié)構(gòu)所有端口均線速轉(zhuǎn)發(fā)。在接入層，接入層是直接與用戶相連的設(shè)備，因此，在實(shí)際的應(yīng)用的過程當(dāng)中我們建議采用華為 3Com E050/E026產(chǎn)品，由于樓內(nèi)布線采用千兆銅纜布線，所以建議通過在 E050/E026上配置千兆電接口與樓內(nèi)核心交換機(jī) S5600進(jìn)行鏈接，這樣將會(huì)進(jìn)一步擴(kuò)大帶寬。 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 143．網(wǎng)絡(luò)業(yè)務(wù)設(shè)計(jì)根據(jù) XXXXX大學(xué)的用戶特點(diǎn)，考慮到網(wǎng)絡(luò)中心的維護(hù)工作量，這里我們建議采用動(dòng)態(tài) DHCP的方式進(jìn)行 IP地址分配。再次,分布式的轉(zhuǎn)發(fā)，對(duì)于 S8500路由查找是非常有益的補(bǔ)充。 基于流攻擊的防止。IRF 是在提供業(yè)務(wù)的同時(shí)進(jìn)行備份。因此，IRF 技術(shù)能夠通過多個(gè)單機(jī)設(shè)備的堆疊，輕易的將設(shè)備的核心交換能力、用戶端口的密度擴(kuò)大數(shù)倍，從而大幅度提高了設(shè)備的性能。1 234IRF XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 20軟件版本升級(jí)相對(duì)于以前的簡單堆疊，對(duì)堆疊體內(nèi)多臺(tái)單機(jī)進(jìn)行軟件升級(jí)的操作將要執(zhí)行多次，而 IRF交換機(jī)，通過 WEB網(wǎng)管，用戶只需要執(zhí)行一次操作，就可以實(shí)現(xiàn) fabric內(nèi)所有 unit的軟件的自動(dòng)升級(jí)。分布式二層協(xié)議組成 IRF的多臺(tái)交換機(jī)就像一臺(tái)設(shè)備在運(yùn)行，當(dāng)然這也包括很多協(xié)議的運(yùn)行。如果采用環(huán)形連接，而且報(bào)文需要從 fabric內(nèi)其它 unit轉(zhuǎn)發(fā)出去，那么收到報(bào)文的 unit一般會(huì)有兩條路徑選擇將報(bào)文轉(zhuǎn)發(fā)到出端口所在的 unit上。但是無論端口是在本地，還是在其它 unit上，轉(zhuǎn)發(fā)過程只需要一次查詢二層轉(zhuǎn)發(fā)表，就可以被交換出去。相對(duì)于集中式的轉(zhuǎn)發(fā)，減少了對(duì)單臺(tái)設(shè)備的依賴，同時(shí)減輕設(shè)備的轉(zhuǎn)發(fā)負(fù)載。 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 272．動(dòng)態(tài) Vlan的功能對(duì)于位置移動(dòng)的用戶（有便攜機(jī)） ，可以采用動(dòng)態(tài) Vlan的技術(shù)來實(shí)現(xiàn)，用戶的的 Vlan是和用戶的 ID號(hào)對(duì)應(yīng)的，用戶可以通過不同地理位置的接入點(diǎn)上網(wǎng)，用戶認(rèn)證的過程當(dāng)中，Raduis 服務(wù)器會(huì)根據(jù)用戶的 ID號(hào)對(duì)應(yīng)到用戶所屬的 Vlan當(dāng)中。 組播業(yè)務(wù)Quidway S8500、S5600、E050 通過標(biāo)準(zhǔn)的組播協(xié)議完成用戶的組播管理，S850S5600 均可以支持豐富的組播協(xié)議，包括ICMP、PIM－SM、PIM－DM、MSDP 等組播協(xié)議，可支持豐富的業(yè)務(wù)，包括視頻點(diǎn)播、流媒體點(diǎn)播，可支持各種流媒體終端以及組播源的種類。同時(shí)，對(duì)于無視頻流需求端口無需要進(jìn)行復(fù)制。即插即用：IPv6 引入自動(dòng)配置以及重配置技術(shù)，對(duì)于 IP地址等信息實(shí)現(xiàn)自動(dòng)增刪更新配置，提高 IPv6的易管理性。161。161。對(duì)于終端的 PC機(jī)用戶來說也可以實(shí)現(xiàn)網(wǎng)絡(luò)的訪問，PC 機(jī)終端會(huì)攜帶 IPV6請(qǐng)求包向 IPv6接口發(fā)出請(qǐng)求，該報(bào)文通過 IPv4網(wǎng)絡(luò)時(shí)將會(huì)直接封裝為 IPv4包，當(dāng)?shù)竭_(dá)IPv6接口時(shí)，將還原為 IPv6包，當(dāng)接口得到 IPv6請(qǐng)求時(shí)，會(huì)返回其請(qǐng)求的前綴，報(bào)文同樣被封裝為 IPv4包，當(dāng)?shù)竭_(dá)終端 IPv6主機(jī)時(shí)，會(huì)直接還原為 IPv6包，并將前綴直接分給終端主機(jī)，終端主機(jī)結(jié)合自己的后綴，自動(dòng)配置好 IPv6地址，進(jìn)而實(shí)現(xiàn) PC機(jī)終端與邊界路由器之間的 6to4隧道。成本低QuidView不像大型網(wǎng)管系統(tǒng)那樣系統(tǒng)龐大，它將網(wǎng)管人員最為關(guān)心的網(wǎng)絡(luò)信息直觀而濃縮地呈現(xiàn)于網(wǎng)管人員面前，使其方便地了解設(shè)備各端口的運(yùn)行情況以及主要的設(shè)備性能指標(biāo)。設(shè)備日志和告警管理 在系統(tǒng)獨(dú)立運(yùn)行時(shí)，設(shè)備日志管理完成接收設(shè)備發(fā)送到網(wǎng)管的 Syslog 日志報(bào)文，直接保存到文件中；設(shè)備告警管理完成接收設(shè)備發(fā)送到網(wǎng)管的告警報(bào)文，將該Trap 進(jìn)行解析并保存到文件中。但是如何進(jìn)行用戶身份確認(rèn)呢？這就需要通過認(rèn)證技術(shù)來實(shí)現(xiàn)。 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 39認(rèn)證管理方案是一個(gè)整體的方案，考慮 XXXXX大學(xué)原有計(jì)費(fèi)網(wǎng)關(guān)，因此本次主要在新建校園網(wǎng)內(nèi)實(shí)施相應(yīng)的管理措施。、授權(quán)管理描述－認(rèn)證管理是接入層交換機(jī)和認(rèn)證軟件平臺(tái)重要的特性，本次我們建議采用。綜合考慮，華為 3公司在實(shí)際的在建網(wǎng)的過程當(dāng)中遵循了以下幾點(diǎn)要求：1) 認(rèn)證交換機(jī)。這些認(rèn)證技術(shù)各有千秋，PPPOE 技術(shù)被廣泛的應(yīng)用在寬帶小區(qū)，WEB 認(rèn)證被應(yīng)用在一些信息系統(tǒng)內(nèi)，而。路由器設(shè)備端口配置信息 接口描述、接口類型、最大傳輸單元、接口速率、物理地址、管理狀態(tài)、操作狀態(tài)、持續(xù)運(yùn)行時(shí)間、本地描述路由器設(shè)備端口運(yùn)行狀態(tài) 接口使用率、輸入包誤碼率、輸出包誤碼率、輸入包丟棄率、輸出包丟棄率、輸入包未知協(xié)議率 下圖是該產(chǎn)品的界面示例： XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 37 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 384．XXXXX 大學(xué)用戶管理及安全方案隨著網(wǎng)絡(luò)規(guī)模的擴(kuò)大，用戶不斷的增加，網(wǎng)絡(luò)使用中出現(xiàn)了不少不和諧的聲音：賬戶盜用，惡意欠費(fèi)，黑客攻擊，反動(dòng)言論等。除此以外，QuidView 系統(tǒng)使用全新的 JFC類庫，所有控件均支持 Look and Feel特性，該特性使得 QuidView既可以在不同平臺(tái)上呈現(xiàn)出統(tǒng)一的顯示風(fēng)格，也能夠使控件的風(fēng)格與操作系統(tǒng)相一致。華為 NE40可完全實(shí)現(xiàn)雙棧的運(yùn)行方式，滿足用戶的各種需求。IPV6 User雙棧 雙棧雙棧NATPT如圖所示，在同一臺(tái)接入層交換機(jī)下可能存在不同的用戶有 V6用戶也有 V4用戶，對(duì)于 V4與 V4用戶的互通，或是 V6與 V6用戶的互通可以直接通過核心交換機(jī)來實(shí)現(xiàn)，而對(duì)于兩個(gè)跨 V4網(wǎng)的 V6孤島之間的互聯(lián)可以通過隧道技術(shù)來實(shí)現(xiàn)，通過兩個(gè) V6邊界路由之間建立隧道的方式進(jìn)行互訪，邊界路由交換機(jī) S8500以及匯聚層交換機(jī) S5600都采用雙棧運(yùn)行的模式，對(duì)于 V6用戶訪問 V4的資源方式，可以采用ALG或是 NPATPT的方式來實(shí)現(xiàn)，將 V6的和 V4的報(bào)文頭進(jìn)行互譯，從而實(shí)現(xiàn) V6與V4用戶的互通。IPV4 User161。Qos 考慮：新增流標(biāo)記域，為源宿端快速處理實(shí)時(shí)業(yè)務(wù)提供可能，有利于低性能的業(yè)務(wù)終端支持 IPv6的語音、視頻等應(yīng)用。對(duì)于 IPv6的業(yè)務(wù)開展，對(duì)于 IPv6流媒體的訪問同樣可以采用 IPv6組播協(xié)議進(jìn)行 IPv6業(yè)務(wù)的開展，通過核心、匯聚 IPv6協(xié)議的支持，可以在全網(wǎng)開展IPv