【正文】 行在 fabric 內(nèi)的各個(gè)設(shè)備上，每個(gè)設(shè)備獨(dú)立運(yùn)行協(xié)議，與外部協(xié)議實(shí)體進(jìn) XXXXX 校園網(wǎng)改造技術(shù)建議書(shū) XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 21 行交互；同時(shí)為了保持 IRF 作為一個(gè)整體運(yùn)行， unit 之間完成必要的信息交互。 設(shè)備的熱插拔 組成 fabric 的設(shè)備可以任意的插入和拔出，而不會(huì)影響當(dāng)前 fabric 的正常運(yùn)行。 IRF 數(shù)據(jù)報(bào)文 數(shù)據(jù)報(bào)文 鏈路故障 IRF XXXXX 校園網(wǎng)改造技術(shù)建議書(shū) XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 19 擴(kuò)展性 IRF 技術(shù)最大支持八臺(tái)設(shè)備的堆疊，用戶可以按照自身的需要購(gòu)買(mǎi) IRF 交換機(jī)。 DRR 實(shí)現(xiàn)了路由協(xié)議熱備份的技術(shù)，做到了同一個(gè) fabric 中各個(gè) unit 上路由信息的嚴(yán)格同步，并且在其中一個(gè)或多個(gè) unit 出現(xiàn)故障的時(shí)候，其它 unit 可以照常運(yùn)行并迅速接管故障 unit 的功能，此時(shí)，域內(nèi)路由協(xié)議不會(huì)隨之出現(xiàn)中斷，二 /三層轉(zhuǎn)發(fā)流量和業(yè)務(wù)也不會(huì)出現(xiàn)中斷， 從而實(shí)現(xiàn)了真正意義上的不中斷路由協(xié)議、不中斷業(yè)務(wù)的故障保護(hù)和設(shè)備切換功能。 華為 3 所采用產(chǎn)品 S8500、 S5600 等三層轉(zhuǎn)發(fā)模式均為最長(zhǎng)路由匹配技術(shù)。因?yàn)?S8500 的路由查找模式為最長(zhǎng)匹配。 考慮到 IP 地址的管理比較繁瑣，在實(shí)際的應(yīng)用的過(guò)程當(dāng)中建議可以與 CAMS 配合，實(shí)現(xiàn) IP 地址分配至用戶的方式進(jìn)行 IP 地址的管理。華為 3Com E050/E026 具有 48/24 個(gè)固定的 10/100M 自適應(yīng)以太網(wǎng)接口， 2 個(gè)擴(kuò)展插槽，背板容量 ，包轉(zhuǎn)發(fā)率 可以實(shí)現(xiàn)所有端口的線速轉(zhuǎn)發(fā)，支持各種類(lèi)型的上行接口，支持堆疊 。 核心層的重點(diǎn)應(yīng)當(dāng)中重點(diǎn)考慮如何提高核心的組網(wǎng)架構(gòu)，因此在實(shí)際的應(yīng)用的過(guò)程當(dāng)中建議采用環(huán)形的方式，如上圖所示，鐵三角的模式進(jìn)一步提高了核心網(wǎng)的安全性以及穩(wěn)定性。 可擴(kuò)充性 考慮到 XXXXX 大學(xué) 用戶數(shù)量和業(yè)務(wù)種類(lèi)發(fā)展的不確定性， 要求對(duì)于核心交換機(jī)與匯聚交換機(jī)具有強(qiáng)大的擴(kuò)展功能， XXXXX 大學(xué) 校園網(wǎng)絡(luò)要建設(shè)成完整統(tǒng)一、組網(wǎng)靈活、易擴(kuò)充的彈性網(wǎng)絡(luò)平臺(tái)，能夠隨著需求變化，充分留有擴(kuò)充余地。 安全管理的需 求： 1) 校園用戶接受新鮮事務(wù)的能力非常強(qiáng)，因此校園也成為黑客最多的場(chǎng)所之一，如何保障校園網(wǎng)絡(luò)的安全成為建網(wǎng)時(shí)不得不考慮的問(wèn)題，目前主要攻擊手段有 DOS， DDOS 等 2) 上網(wǎng)日志的需求，主要是配合公安機(jī)關(guān)保證社會(huì)的穩(wěn)定和校園的安全 組播業(yè)務(wù)的需求，特別是可控組播的需求將 隨著校園信息化的深入而體現(xiàn)出來(lái) 。 2) 需要解決賬號(hào)和端口綁定問(wèn)題。多出口帶來(lái)了以下兩個(gè)需求： 1) 多權(quán)限 ISP 需求。 教育即未來(lái)，作為國(guó)家最重要的戰(zhàn)略工程，如何應(yīng)用信息技術(shù)改造我們傳統(tǒng)的教學(xué)和管理手段； 如何加深學(xué)生對(duì)于信息化和信息技術(shù)的理解與了解；如何造就同時(shí)具 XXXXX 校園網(wǎng)改造技術(shù)建議書(shū) XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 6 備傳統(tǒng)和信息雙重文化的一代新人，已成為教育界當(dāng)前最為緊迫的任務(wù)之一。 CN 下注冊(cè)的域名數(shù)、網(wǎng)站數(shù)分別達(dá)到 38 萬(wàn)和 萬(wàn)。 ................... 68 、防止對(duì) DHCP 服務(wù)器的攻擊 ........................................ 72 XXXXX 校園網(wǎng)改造技術(shù)建議書(shū) XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 3 Private VLAN............................................... 72 訪問(wèn)控制列表 ............................................... 72 新的命令 ................................................... 73 、惡意用戶追查 ................................................... 73 防病毒攻擊 ..................................................... 73 EAD 全網(wǎng)安全聯(lián)動(dòng)解決方案 ........................................ 74 網(wǎng)絡(luò)管理安全設(shè)計(jì) ................................................ 76 組網(wǎng)安全性設(shè)計(jì) .................................................. 79 出口運(yùn)營(yíng)商線路備份 .............................................. 80 6． 組網(wǎng)核心設(shè)備介紹 ............................................... 81 QUIDWAY174。 S8500 系列萬(wàn)兆核心路由交換機(jī) ............................. 81 QUIDWAY174。 8700 萬(wàn)網(wǎng)民當(dāng)中 ， 教育的用戶占有 %，教育用戶當(dāng)中絕大部分的網(wǎng)民主體是來(lái)自于學(xué)生用戶， 報(bào)告中主要數(shù)據(jù) 說(shuō)明，前十年的發(fā)展取得豐碩成果，我國(guó)互聯(lián)網(wǎng)事業(yè)正在持續(xù)快速的發(fā)展，并在普及應(yīng)用上進(jìn)入嶄新的多元化應(yīng)用階段！互聯(lián)網(wǎng)的影響正逐步滲透到人們生產(chǎn)、生活、工作、學(xué)習(xí)的各個(gè)角落。信息技術(shù)的應(yīng)用，勢(shì)必極大地推進(jìn)教育手段和教育內(nèi)容的革命性變革。用戶可通過(guò)不同的賬號(hào)名或采用相同的賬號(hào)，不同的域名認(rèn)證，獲得不同的上網(wǎng)權(quán)限。通過(guò)此種方式限制賬號(hào)的使用區(qū)域。 XXXXX大學(xué) 建網(wǎng)需求 XXXXX大學(xué)的用戶需求請(qǐng)自行添加。 XXXXX 校園網(wǎng)改造技術(shù)建議書(shū) XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 9 開(kāi)放性 技術(shù)選擇必須符合相關(guān)國(guó)際標(biāo)準(zhǔn)及國(guó)內(nèi)標(biāo)準(zhǔn)，避免個(gè)別廠家的私有標(biāo)準(zhǔn)或內(nèi)部協(xié)議，確保網(wǎng)絡(luò)的開(kāi)放性和互連互通，滿足信息準(zhǔn)確、安全、可靠、優(yōu)良交換傳送的需要；開(kāi)放的接口，支持良好的維護(hù)、測(cè)量和管理手段，提供網(wǎng)絡(luò)統(tǒng)一實(shí)時(shí)監(jiān)控的遙測(cè)、遙控的信息處理功能，實(shí)現(xiàn)網(wǎng)絡(luò)設(shè)備的統(tǒng) 一管理。 在匯聚層， 由于宿舍區(qū)存在密集度高的大量用戶，為了保證數(shù)據(jù)傳輸和交換的效率，現(xiàn)在各個(gè)樓內(nèi)設(shè)置三層樓內(nèi)匯聚層。 華為 E 系列接入層交換機(jī)具有強(qiáng)大的業(yè)務(wù)特性，可以支持 256 個(gè)標(biāo)準(zhǔn)的 VLAN， VLAN ID 均可 達(dá) 4096 個(gè) 并能夠提供強(qiáng)大的業(yè)務(wù)功能：如 認(rèn)證 、動(dòng)態(tài) ACL、動(dòng)態(tài) Vlan、防止 Proxy 等功能。 S5600匯聚層 交換機(jī)萬(wàn)兆的 支持 從網(wǎng)絡(luò)的整體結(jié)構(gòu)上我們可以看出整個(gè)網(wǎng)絡(luò)的設(shè)計(jì)是采用核心萬(wàn)兆環(huán)網(wǎng)，核心與匯聚、匯聚與接入之間均采用千兆的方式，接入與最終用戶之間采用百兆的方式進(jìn)行互通，整個(gè)網(wǎng)絡(luò)的瓶頸在核心與匯聚 之間的連接存在瓶頸，隨著網(wǎng)絡(luò)接入用戶的不斷擴(kuò)大，匯聚與接入之間可以采用萬(wàn)兆的方式進(jìn)行互聯(lián)。這樣就可以避免校園網(wǎng)內(nèi)外的非法用戶利用專(zhuān)門(mén)的攻擊軟件來(lái)攻擊中心交換機(jī)，因?yàn)檫@種攻擊是通過(guò)不斷變換自己的本網(wǎng)斷內(nèi)的 IP 地址，來(lái)不 XXXXX 校園網(wǎng)改造技術(shù)建議書(shū) XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 16 斷消耗主控處理板的 CPU 處理能力，直到徹底使主控處理板的 CPU 喪失處理能力，整個(gè)機(jī)器癱掉。這樣就可以避 免校園網(wǎng)內(nèi)外的非法用戶利用專(zhuān)門(mén)的攻擊軟件進(jìn)行的一些基于流的共計(jì)，因?yàn)檫@種攻擊是通過(guò)不斷變換自己的本網(wǎng)斷內(nèi)的 IP 地址，來(lái)不斷消耗主控處理板的CPU 處理能力，直到徹底使主控處理板的 CPU 喪失處理能力，整個(gè)機(jī)器癱掉。 U n i t 1O S P FR I P備份信息U n i t 2U n i t 3 U n i t 4U n i t 1O S P FR I PU n i t 2U n i t 3 U n i t 4???備份信息 IRF 的分布式彈性路由 鏈路的備份 分布式的聚合技術(shù)進(jìn)一步消除了聚合設(shè)備單點(diǎn)失效的問(wèn)題，提高了聚合鏈路的可用性。由于業(yè)務(wù)的需要，如果用戶需要擴(kuò)展網(wǎng)絡(luò)的容量，只需要堆疊更多的 IRF 交換機(jī)，就可以達(dá)到擴(kuò)容的目的。 當(dāng)一臺(tái)設(shè)備通過(guò)堆疊線接入到一個(gè)正在運(yùn)行的 fabric 內(nèi)，原有的 fabric 就會(huì)檢測(cè)到新的設(shè)備，同時(shí)驗(yàn)證新設(shè)備是否可以加入到 fabric，如果驗(yàn)證通過(guò)，新加入的設(shè)備將會(huì)得到原有的全局配置信息和轉(zhuǎn)發(fā)信息，同時(shí)將自己設(shè)備特有的配置和轉(zhuǎn)發(fā)信息散發(fā)到 fabric 內(nèi)，經(jīng)過(guò)短暫的信息交互后，新加入的設(shè)備就可以參與轉(zhuǎn)發(fā)了。 在外界看來(lái)，組成 IRF 的各個(gè)設(shè)備好像是一個(gè)協(xié)議實(shí)體在運(yùn)行，而在內(nèi)部，各個(gè)協(xié)議分布運(yùn)行在 IRF 的各個(gè)設(shè)備上，每個(gè)設(shè)備都獨(dú)立承擔(dān)本設(shè)備的協(xié)議計(jì)算，協(xié)議在fabric 內(nèi)負(fù)載分擔(dān)運(yùn)行，這樣不僅提高了設(shè)備的利用率，同時(shí)，由于是分布式運(yùn)行，每臺(tái)設(shè)備上只需要保留本 unit 的信息，任何一臺(tái)設(shè)備上不需要 fabric 完整的協(xié)議狀態(tài)信息，節(jié)省了大量的設(shè)備間備份操作。這種最短路徑的轉(zhuǎn)發(fā)方式，比起單向的轉(zhuǎn)發(fā)，不僅效率高，而且可以起到負(fù)載分擔(dān)的作用。為了實(shí)現(xiàn) fabric 內(nèi)二層分布式轉(zhuǎn)發(fā)，而且 IRF 內(nèi)的交換機(jī)表現(xiàn)的象一臺(tái)設(shè)備一樣，當(dāng)一臺(tái) unit 新學(xué)習(xí)到 MAC表項(xiàng)以及用戶配置的 MAC 表項(xiàng)，都需要同步到 fabric 內(nèi)的其它設(shè)備上。 同傳統(tǒng)的堆疊技術(shù)和多臺(tái)單機(jī)互聯(lián)設(shè)備相比，使用 IRF 技術(shù)堆疊的設(shè)備，可以做到按需轉(zhuǎn)發(fā)組播數(shù)據(jù)報(bào)文，減少設(shè)備間組播數(shù)據(jù)流量。華為 E050接入層交換機(jī)可以為用戶提供強(qiáng)大的動(dòng)態(tài) VLAN功能切實(shí)可行的為用戶提供豐富的業(yè)務(wù)功能。由 S5600 完成對(duì)其下掛的匯聚交換機(jī)以及樓道交換機(jī)的組播用戶進(jìn)行報(bào)文復(fù)制和發(fā)送。 對(duì)于 IPv6 的業(yè)務(wù)開(kāi)展，對(duì)于 IPv6 流媒體的訪問(wèn)同樣可以采用 IPv6 組播協(xié)議進(jìn)行 IPv6 業(yè)務(wù)的開(kāi)展，通過(guò)核心、匯聚 IPv6 協(xié)議的支持，可以在全網(wǎng)開(kāi)展 IPv6業(yè)務(wù)，確保 IPv6 組播業(yè)務(wù)能夠很好的開(kāi)展，便于 IPv6 業(yè)務(wù)的豐富、提高。 Qos 考慮： 新增流標(biāo)記域，為源宿端快速處理實(shí)時(shí)業(yè)務(wù)提供可能，有利于低性能的業(yè)務(wù)終端支持 IPv6 的語(yǔ)音、視頻等應(yīng)用。161。161。華為 NE40 可完全實(shí)現(xiàn)雙棧的運(yùn)行方式，滿足用戶的各種需求。除此以外， QuidView 系統(tǒng)使用全新的 JFC 類(lèi)庫(kù)，所有控件均支持 Look and Feel 特性，該特性使得 QuidView 既可以在不同平臺(tái)上呈現(xiàn)出統(tǒng)一的顯示風(fēng)格，也能夠使控件的風(fēng)格與操作系統(tǒng)相一致。主要功能包括：支持告警相關(guān)性分析；能按照用戶設(shè)置的條件對(duì)告警信息進(jìn)行統(tǒng)計(jì)和查詢；提供告警拓?fù)涠ㄎ?；支持告?Trap 規(guī)則定義等。 特性 該系統(tǒng)采用開(kāi)放式結(jié)構(gòu)設(shè)計(jì)，嚴(yán)格遵守標(biāo)準(zhǔn)的 SNMP 協(xié)議（ RFC1157），主要使用 RFC1213定義的 MIB 信息，具有投資省、使用靈活、易于移植等特點(diǎn)： 使用靈活 QuidView 系統(tǒng)的使用方式非常靈活，既可以作為設(shè)備級(jí)的應(yīng)用程序集成到已有的網(wǎng)管平臺(tái)（如： HPOpenView、 RadiumsNMS、 SNMPC、 NetManager）中進(jìn)行網(wǎng)絡(luò)級(jí)管理，又可以作為獨(dú)立的應(yīng)用程序執(zhí)行進(jìn)行設(shè)備級(jí)管理。IPV6 User 雙棧 雙棧 雙棧 NATPT XXXXX 校園網(wǎng)改造技術(shù)建議書(shū) XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 32 用戶訪問(wèn) IPv4 的資源時(shí)，由于 IPv4 的地址資源相對(duì)有限，可以按照收斂比采取多對(duì)一動(dòng)態(tài)的轉(zhuǎn)換的方式進(jìn)行互通，其基本的實(shí)現(xiàn)方式如下： IPv6 用戶 在訪問(wèn) Pv4 的用戶時(shí)，在邊界路由器上進(jìn)行 NAT 轉(zhuǎn)換，過(guò)程是將 IP 的報(bào)頭取出，改為 IPv4 的報(bào)頭，與 IPv4 的用戶進(jìn)行互通；同樣 IPV4 用戶訪問(wèn) IPV6 的用戶時(shí)，當(dāng)經(jīng)過(guò)邊界路由器的時(shí)候，邊界路由器會(huì)將 IPv4 的包取出，更改為 IPv6 的報(bào)文格式在 IPv6 的網(wǎng)絡(luò)內(nèi)部實(shí)現(xiàn) IPv6 之間的互通。 IPV4 User161。 IPv6 的上述特點(diǎn)充分迎合了未來(lái)網(wǎng)絡(luò)向 IP 融合統(tǒng)一的發(fā)展方向，并提升 IP 網(wǎng)絡(luò)的可運(yùn)營(yíng)可管理性。同時(shí) IPv6 地址是有范圍的，包括鏈路本地地址、站點(diǎn)本地地址和任意播地址，這也進(jìn)一步增加地址應(yīng)用的擴(kuò)展性。 付費(fèi)視頻： 按節(jié)目收費(fèi)的視訊節(jié)目。 4． IP 地址盜用的防止 在校園網(wǎng)的應(yīng)用當(dāng)中 IP 地址的盜用是最為經(jīng)常的一種非法手段，用戶在認(rèn)證通過(guò)以后