【正文】 .................................................................................................................................. 19 核心交換機(jī)先進(jìn)的體系架構(gòu)設(shè)計(jì) ...................................................................................................................... 19 基于流攻擊的防止。 杭州華三通信 技術(shù)有限公司 2020105 內(nèi)部資料，請(qǐng)勿擴(kuò)散 第 3 頁(yè) , 共 137 頁(yè) 感謝 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 對(duì) H3C 產(chǎn)品的信賴和支持 ， 杭州華三通信技術(shù)有限公司 非常榮幸有機(jī)會(huì) 參與 項(xiàng)目 方案的策劃 。8700 萬網(wǎng)民當(dāng)中，教育的用戶占有 %，教育用戶當(dāng)中絕大部分的網(wǎng)民主體是來自于學(xué)生用戶，報(bào)告中主要數(shù)據(jù)說明，前十年的發(fā)展取得豐碩成果，我國(guó)互聯(lián)網(wǎng)事業(yè)正在持續(xù)快速的發(fā)展，并在普及應(yīng)用上進(jìn)入嶄新的多元化應(yīng)用階段！互聯(lián)網(wǎng)的影響正逐 步滲透到人們生產(chǎn)、生活、工作、學(xué)習(xí)的各個(gè)角落。信息技術(shù)的應(yīng)用，勢(shì)必杭州華三通信 技術(shù)有限公司 2020105 內(nèi)部資料，請(qǐng)勿擴(kuò)散 第 9 頁(yè) , 共 137 頁(yè) 極大地推進(jìn)教育手段和教育內(nèi)容的革命性變革。 用戶管理的需求： 1) 使用方便，存在 客戶端 認(rèn)證需求。 2) VOD 點(diǎn)播業(yè)務(wù)實(shí)現(xiàn)，通過建立 VOD視頻服務(wù)器平臺(tái)，利用交換機(jī)提供的組播功能，為 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 的用戶提供優(yōu)質(zhì)的視頻效果，同時(shí)節(jié)省用戶帶寬。所以在建設(shè)時(shí)要充分考慮業(yè)務(wù)的擴(kuò)展能力，能針對(duì)不同的用戶需求提供豐富的增值業(yè)務(wù)，使網(wǎng)絡(luò)具有自我造血機(jī)制，實(shí)現(xiàn)以網(wǎng)養(yǎng)網(wǎng)。 提高全網(wǎng)可靠性與智能化管理，實(shí)現(xiàn)全網(wǎng)統(tǒng)一管理。第二，出口設(shè)備策略部署實(shí)現(xiàn)路由匹配，根據(jù)目的地址選擇不同出口功能。 二期建設(shè)規(guī)劃如下圖所示： 核心層解決方案總體設(shè)計(jì)以高性能、高可靠性、高安全性、良好的可擴(kuò)展性、可管理性和統(tǒng)一的網(wǎng)管系統(tǒng)及可靠組播為原則，以及考慮到技術(shù)的先進(jìn)性、成熟性，并采 用模塊化的設(shè)計(jì)方法。網(wǎng)控平臺(tái)應(yīng)實(shí)現(xiàn)分級(jí)管理功能。同時(shí) S7500E 支持萬兆上聯(lián)最大程度的提高了匯聚層與核心交換機(jī)之間的帶寬擴(kuò)展需求。 網(wǎng)管平臺(tái) ： 為提高網(wǎng)絡(luò)管理的效率，減輕網(wǎng)絡(luò)維護(hù)的壓力，本次組網(wǎng)采用 IMC 網(wǎng)管系統(tǒng)進(jìn)行全網(wǎng)設(shè)備的統(tǒng)一管理。 根據(jù) 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 的用戶特點(diǎn)，考慮到網(wǎng)絡(luò)中心的維護(hù)工作量，這里我們建議杭州華三通信 技術(shù)有限公司 2020105 內(nèi)部資料，請(qǐng)勿擴(kuò)散 第 18 頁(yè) , 共 137 頁(yè) 采用 認(rèn)證方式。因?yàn)?S9500E 的路由查找模式為最長(zhǎng)匹配。 H3C 所采用產(chǎn)品 S9500E 等三層轉(zhuǎn)發(fā)模式均為最長(zhǎng)路由匹配技術(shù)。 支持 WEB 方式 基于 WEB 的管理是網(wǎng)管方式的一次革命，其主要優(yōu)勢(shì)在于：基于 WEB 的管理允許網(wǎng)絡(luò)管理人員使用任一種瀏覽器在網(wǎng)絡(luò)的任何節(jié)點(diǎn)上方便迅速地配置、控制及監(jiān)視網(wǎng)絡(luò)。 性能管理 提供對(duì)設(shè)備實(shí)時(shí)性能數(shù)據(jù)的查看功能，使用戶了解當(dāng)前網(wǎng)絡(luò)運(yùn)行的基本情況和性能狀態(tài)，從而預(yù)防網(wǎng)絡(luò)事故的發(fā)生，預(yù)測(cè)網(wǎng)絡(luò)運(yùn)行狀態(tài)，幫 助用戶對(duì)網(wǎng)絡(luò)的管理運(yùn)營(yíng)杭州華三通信 技術(shù)有限公司 2020105 內(nèi)部資料，請(qǐng)勿擴(kuò)散 第 21 頁(yè) , 共 137 頁(yè) 進(jìn)行合理的規(guī)劃。當(dāng)用戶漫游網(wǎng)絡(luò)時(shí)，通過 WLAN 網(wǎng)絡(luò)范圍內(nèi)的無線控制器的信息交換，以實(shí)現(xiàn)在整個(gè)網(wǎng)絡(luò)范圍內(nèi)執(zhí)行一致的訪問和安全策略。因此對(duì)于 在 地工作頻段，理論上只能進(jìn)行三信道的蜂窩規(guī)劃實(shí)現(xiàn)對(duì)需要規(guī)劃的熱點(diǎn)的無縫覆蓋。 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 IPv6 網(wǎng)絡(luò)設(shè)計(jì) IPv6 的優(yōu)勢(shì)
。 針對(duì)如何進(jìn)行 的頻率規(guī)劃作了大量的實(shí)驗(yàn)，實(shí)驗(yàn)證明 3 載頻也可以實(shí)現(xiàn)蜂窩對(duì)需要覆蓋的區(qū)域進(jìn)行無縫覆蓋，并提供更高的服務(wù)帶寬提高服務(wù)質(zhì)量，和高帶寬業(yè)務(wù)的開展。 S95E 無線板卡 或無線有線一體化的交換機(jī) 與 H3C FIT AP 配合組網(wǎng)，可以方便的部署于任何現(xiàn)有的二層網(wǎng)絡(luò)或三層網(wǎng)絡(luò)之中，控制器和 AP 通過 IETF 制定的 CAPWAP 協(xié)議進(jìn)行互聯(lián)而無需針對(duì)現(xiàn)有網(wǎng)絡(luò)進(jìn)行重新配 置。 設(shè)備日志和告警管理 在系統(tǒng)獨(dú)立運(yùn)行時(shí)，設(shè)備日志管理完成接收設(shè)備發(fā)送到網(wǎng)管的 Syslog 日志報(bào)文，直接保存到文件中；設(shè)備告警管理完成接收設(shè)備發(fā)送到網(wǎng)管的告警報(bào)文，將該 Trap進(jìn)行解析并保存到文件中。 成本低 H3C IMC 不像大型網(wǎng)管系統(tǒng)那樣系統(tǒng)龐大，它將網(wǎng)管 人員最為關(guān)心的網(wǎng)絡(luò)信息直觀而濃縮地呈現(xiàn)于網(wǎng)管人員面前，使其方便地了解設(shè)備各端口的運(yùn)行情況以及主要的設(shè)備性能指標(biāo)。 S9500E 是根據(jù)最長(zhǎng)匹配來查找路由的，是針對(duì)網(wǎng) 斷進(jìn)行路由的。但是 S9500E是根據(jù)最長(zhǎng)匹配來查找路由的，是針對(duì)網(wǎng)斷進(jìn)行路由的。 H3C S5800 匯聚層交換機(jī) ， 可支持 1～ 2個(gè)萬兆接口上行，用戶無需任何投資，可以直接購(gòu)買 10GE 模塊，可直接插到匯聚層交換機(jī)上就可以實(shí)現(xiàn)萬兆帶寬的升級(jí)， GE 接口可以作為下聯(lián)接口用。 IMC網(wǎng)絡(luò)管理軟件基于靈活的組件化結(jié)構(gòu)，包括網(wǎng)元管理平臺(tái)、廣 域網(wǎng)管理系統(tǒng)、局域網(wǎng)管理系統(tǒng)、資源管理系統(tǒng)等，用戶可以根據(jù)自己的管理需要和網(wǎng)絡(luò)情況靈活選擇自己需要的組件，真正實(shí)現(xiàn)“按需建構(gòu)”。 H3C E126A 系列安全智能三層交換機(jī) 19 .2Gbps 的總線帶寬為交換機(jī)所有的端口提供三層線速交換能力，系統(tǒng)能夠提供 2/4 個(gè) SFP 接口，有效解決了在單臺(tái)設(shè)備上多個(gè)千兆鏈路上行，同時(shí)接入千兆服務(wù)器的需求，極大的節(jié)省了用戶對(duì)設(shè)備投資。同時(shí) H3C S9500E 萬兆交換機(jī)其交換容量，包轉(zhuǎn)發(fā)率 1440Mpps， 12 個(gè)業(yè)務(wù)插槽，進(jìn)一步滿足大型節(jié)點(diǎn)高數(shù)據(jù)量轉(zhuǎn)發(fā)的特點(diǎn)完全滿足骨干節(jié)點(diǎn)的需求， S9500E 萬兆核心交換機(jī) 采用先進(jìn)的全分布式體系結(jié)構(gòu)設(shè)計(jì)，通過主引擎和分布式高速業(yè)務(wù)接口板上內(nèi)置的 Crossbar 交換網(wǎng)芯片實(shí)現(xiàn)板內(nèi)、板間二、三層流量的線速分布式轉(zhuǎn)發(fā)，通過分布式高速業(yè)務(wù)接口板上內(nèi)置的高性能 CPU 與位于主控引擎上的 CPU 協(xié)同工作，實(shí)現(xiàn) ACL、流分類、 QOS、組播等業(yè)務(wù)的全分布式處理。 為實(shí)現(xiàn)網(wǎng)絡(luò)內(nèi)的高速互聯(lián)，核心層分別由兩臺(tái)核心節(jié)點(diǎn)組成，采用 2 臺(tái) S9512 E 萬兆核心交換機(jī) ，承擔(dān)著核心節(jié)點(diǎn)下所接入的數(shù)據(jù)信息，考慮到可靠性因素兩臺(tái)核心交換機(jī)通過 IRF 2 虛擬化技術(shù)將兩臺(tái)核心交換機(jī)虛擬成一臺(tái)核心設(shè)備，實(shí)現(xiàn)兩臺(tái)核心負(fù)載均衡 與統(tǒng)一管理 ，并可得到成倍的性能提升，避免了傳統(tǒng)設(shè)計(jì)中雙機(jī)熱備只能有一臺(tái)核心工作的方式，有效保護(hù)用戶投資并且充分利用現(xiàn)有資源。 出口安全部署，根據(jù)目前現(xiàn)有出口防火墻性能顯示 CPU 占用率與內(nèi)存占用率一直處于滿負(fù)荷狀態(tài)，給內(nèi)外網(wǎng)數(shù)據(jù)交互帶來的風(fēng)險(xiǎn)和傳輸瓶頸也是不容置疑的，一旦出口遭到攻擊防火墻將會(huì)因負(fù)載過大造成數(shù)據(jù)堵塞。 一期建設(shè) 規(guī)劃如下圖所示： 考慮到一期投入資金有限，而根據(jù)對(duì)全網(wǎng)設(shè)備利用率及負(fù)載情況的評(píng)估以及目前終端用戶反映情況了解到目前網(wǎng)絡(luò)存在兩大問題。 開放性 技術(shù)選擇必須符合相關(guān)國(guó)際標(biāo)準(zhǔn)及國(guó)內(nèi)標(biāo)準(zhǔn)，避免個(gè)別廠家的私有標(biāo)準(zhǔn)或內(nèi)部協(xié)議，確保網(wǎng)絡(luò)的開放性和互連互通，滿足信息準(zhǔn)確、安全、可靠、優(yōu)良交換傳送的需要；開放的接口，支持良好的維護(hù)、測(cè)量和管理手段，提供網(wǎng)絡(luò)統(tǒng)一實(shí)時(shí)監(jiān)控的遙測(cè)、遙控的信息處理功能，實(shí)現(xiàn)網(wǎng)絡(luò)設(shè)備的統(tǒng)一管理。 雙核心的高保障需求： 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 的網(wǎng)絡(luò)組建投入使用以后是辦公和教學(xué)的平臺(tái)的環(huán)境，是院系專業(yè)教學(xué)和辦公的集合體，對(duì)網(wǎng)絡(luò)的穩(wěn)定性要求相當(dāng)?shù)母撸绻f一出現(xiàn)網(wǎng)絡(luò)中斷的想象，有可能就會(huì)對(duì)學(xué)院的工作和教學(xué)造成損失，所以為保證網(wǎng)絡(luò)的穩(wěn)定、可靠、高效都是才用雙核心 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 建網(wǎng)需求 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 為提高網(wǎng)絡(luò)覆蓋范圍率，使計(jì)算機(jī)終端的上網(wǎng)率可以達(dá)到95％以上，各園區(qū)網(wǎng)絡(luò)設(shè)備進(jìn)行升級(jí)，實(shí)現(xiàn) 各院系的 互連互通， 把核心到 匯聚層的千兆連接升級(jí)為萬兆互連，滿足數(shù)據(jù)、音視頻等信息的實(shí)時(shí)傳輸， 滿足各類網(wǎng)上應(yīng)用需求對(duì)網(wǎng)絡(luò)帶寬的需求，同時(shí)要有該網(wǎng)絡(luò)是一套自上而下的一套安全的網(wǎng)絡(luò)體系，在 未來建設(shè)的校園網(wǎng)的數(shù)據(jù)中心為全校的各級(jí)用戶提供，集中統(tǒng)一的數(shù)據(jù)存儲(chǔ)服務(wù)。 2) 需要解決賬號(hào)和端口綁定問題。 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 校園網(wǎng)建網(wǎng)需求分析 一般建網(wǎng)需求 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 的網(wǎng)絡(luò)的建設(shè)主要是 對(duì)校園網(wǎng)的網(wǎng)絡(luò)進(jìn)行部署 。而校園網(wǎng)建設(shè)則是教育系統(tǒng)信息化建設(shè)的關(guān)鍵，尤其是高校校園網(wǎng)建設(shè)。 杭州華三通信技術(shù)有限公司 作為中國(guó)最大的數(shù)據(jù)通訊設(shè)備制造專業(yè)廠商，有著良好的商業(yè)信譽(yù)和經(jīng)營(yíng)業(yè)績(jī)，我們有信心、有能力完成 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 安全網(wǎng)絡(luò) 項(xiàng)目的建設(shè)，為 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 提供強(qiáng)有力的技術(shù)保證。 本著同 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 長(zhǎng)期合作、共同發(fā)展的原則，提交本技 術(shù)方案建議書，根據(jù)本技術(shù)方案建議書，我們將提供系統(tǒng)的方案、優(yōu)質(zhì)的產(chǎn)品和滿意的技術(shù)服務(wù)。 同時(shí)，隨著國(guó)家信息化工作的深入開展，提高教育系統(tǒng)信息化水平成為當(dāng)前工作的重點(diǎn)。我們對(duì)此深信不疑，并將全身心地為之努力。要求能做到基于 客戶端 的身份認(rèn)證、多 ISP 選擇、 用戶費(fèi)率查詢 等。 安全管理的需求： 1) 校園用戶接受新鮮事務(wù)的能力非常強(qiáng)，因此校園也成為黑客最多的場(chǎng)所之一，如何保障校園網(wǎng)絡(luò)的安全成為建網(wǎng)時(shí)不得不考慮的問題，目前主要攻擊手段有 DOS，DDOS 等 2) 上網(wǎng)日志的需求，主要是配合公安機(jī)關(guān)保證社會(huì)的穩(wěn)定和校園的安全 組播業(yè)務(wù)的需求，特別是可控組播的需求將隨著校園信息化的深入而體現(xiàn)出來 。 可擴(kuò)充性 考慮到 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 用戶數(shù)量和業(yè)務(wù)種類發(fā)展的不確定性，要求對(duì)于核心交換機(jī)與匯聚交 換機(jī)具有強(qiáng)大的擴(kuò)展功能， 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 校園網(wǎng)絡(luò)要建設(shè)成完整統(tǒng)一、組網(wǎng)靈活、易擴(kuò)充的彈性網(wǎng)絡(luò)平臺(tái)，能夠隨著需求變化，充分留有擴(kuò)充余地。 三期建設(shè)主要實(shí)現(xiàn)校園特色建設(shè)，隨著信息化基礎(chǔ)建設(shè)不斷完善，無線終端日漸普及，無線校園網(wǎng)建設(shè)也成為各高校必不可少的基礎(chǔ)設(shè)施建設(shè)，無線校園的建設(shè)可以給老師與學(xué)生帶來更大的自用空間，有效的擬補(bǔ)了有線網(wǎng)絡(luò)的不足。 而根據(jù)現(xiàn)在校園網(wǎng)同時(shí)在線人數(shù)一千至兩千人的實(shí)際需求已經(jīng)遠(yuǎn)遠(yuǎn)超出了現(xiàn)有在線設(shè)備 AR46的負(fù)載能力，建議在 網(wǎng)絡(luò)的出口部署 H3C 最新的 SR6602 路由器， SR6602 路由器 是一款系統(tǒng)帶寬 48G，最大并發(fā)連接數(shù) 400 萬的萬兆出口 網(wǎng)關(guān) ， 完全 滿足用戶網(wǎng)絡(luò)的需求 。 如圖所示， 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 的網(wǎng)絡(luò)建設(shè)是要建成一個(gè)高效、安全的網(wǎng)絡(luò)， 網(wǎng)絡(luò)整體分為三個(gè)層次：核心層、 匯聚層、 接入層 。 網(wǎng)絡(luò)層次介紹： 在核心層， 核心層主要采用 2 個(gè)骨干節(jié)點(diǎn)，選配 2 臺(tái) S9500E 交換機(jī)，網(wǎng)絡(luò)中心核心交換機(jī)同時(shí)提供服務(wù)器接入?yún)^(qū)域，重要的服務(wù)器例如日志服務(wù)器、防病毒服務(wù)器和補(bǔ)丁服務(wù)器，同時(shí)提供網(wǎng)絡(luò)的審計(jì)、網(wǎng)管等功能區(qū)域。 在接入層， 接入層是直接與用戶相連的設(shè)備，因此，在實(shí)際的應(yīng)用的過程當(dāng)中我們建議采用 H3C E126A 產(chǎn)品，建議通過在 E126A 上配置千兆 電 接口與 匯聚 交換機(jī) S5800 進(jìn)行鏈接，這樣將會(huì)進(jìn)一步擴(kuò)大帶寬。 IMC 網(wǎng)絡(luò)管理軟件是 H3C 公司對(duì)數(shù)據(jù)通信設(shè)備如路由器、交換機(jī)等進(jìn)行統(tǒng)一管理和維護(hù)的網(wǎng)管產(chǎn)品，位于網(wǎng)絡(luò)解決方案的管理層，能夠?qū)崿F(xiàn)網(wǎng)元管理和網(wǎng)絡(luò)管理的功能。 S5800匯聚層交換機(jī)萬兆的支持 從網(wǎng)絡(luò)的整體結(jié)構(gòu)上我們可以看出整個(gè)網(wǎng)絡(luò)的設(shè)計(jì)是匯聚與接入之間均采用 千 兆的方式，接入與最終用戶之間采用百兆的方式進(jìn)行互通， 由于百兆接入用戶的眾多， 整個(gè)網(wǎng)絡(luò)的瓶頸在核心與匯聚之間的連接存在瓶頸，隨著網(wǎng)絡(luò)接入用戶的不斷擴(kuò)大，匯聚與接入之間可 以采用萬兆的方式進(jìn)行互聯(lián)。這樣就可以避免校園網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件來攻擊中心交換機(jī)，因?yàn)檫@種攻 擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的 IP地址，來不斷消耗主控處理板的 CPU處理能力，直到徹底使主控處理板的 CPU喪失處理能力，整個(gè)機(jī)器癱掉。這樣就可以避免園區(qū)網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件進(jìn)行的一些基于流的共計(jì)，因?yàn)檫@種攻擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的 IP地址，來不斷消耗主控處理板的 CPU 處理能力，直到徹底使主控處理板的 CPU 喪失處理能力，整個(gè)機(jī)器癱掉。在 Web Server 上安裝了網(wǎng)管軟件后，其它網(wǎng)管機(jī)器不用預(yù)裝網(wǎng)管軟件，只須安裝了 WEB 瀏覽器并且設(shè)備能上網(wǎng)，就能使用 H3C IMC 系統(tǒng)管理 。同時(shí)可以支持對(duì)于網(wǎng)絡(luò)節(jié)點(diǎn)設(shè)備利用率、 CPU 利用率、故障率、線路流量統(tǒng)計(jì)、網(wǎng)絡(luò)時(shí)延統(tǒng)計(jì)、歷史告警信息等進(jìn)行統(tǒng)計(jì)記錄，并可以實(shí)現(xiàn)網(wǎng)絡(luò)流量配置。同時(shí)采用 WPA/WPA2 和 認(rèn)證結(jié)合的 AES、 TKIP 以及 WEP 加密等功能增強(qiáng)了網(wǎng)絡(luò)安全。此外，由于功率模板是否能做到符合鄰道、隔道不干擾也非常影響頻率規(guī)