【正文】 .................................................................................................................................. 19 核心交換機先進的體系架構(gòu)設(shè)計 ...................................................................................................................... 19 基于流攻擊的防止。 杭州華三通信 技術(shù)有限公司 2020105 內(nèi)部資料，請勿擴散 第 3 頁 , 共 137 頁 感謝 長春職業(yè)技術(shù)師范學(xué)院 對 H3C 產(chǎn)品的信賴和支持 ， 杭州華三通信技術(shù)有限公司 非常榮幸有機會 參與 項目 方案的策劃 。8700 萬網(wǎng)民當中，教育的用戶占有 %，教育用戶當中絕大部分的網(wǎng)民主體是來自于學(xué)生用戶，報告中主要數(shù)據(jù)說明，前十年的發(fā)展取得豐碩成果，我國互聯(lián)網(wǎng)事業(yè)正在持續(xù)快速的發(fā)展，并在普及應(yīng)用上進入嶄新的多元化應(yīng)用階段！互聯(lián)網(wǎng)的影響正逐 步滲透到人們生產(chǎn)、生活、工作、學(xué)習(xí)的各個角落。信息技術(shù)的應(yīng)用，勢必杭州華三通信 技術(shù)有限公司 2020105 內(nèi)部資料，請勿擴散 第 9 頁 , 共 137 頁 極大地推進教育手段和教育內(nèi)容的革命性變革。 用戶管理的需求： 1) 使用方便，存在 客戶端 認證需求。 2) VOD 點播業(yè)務(wù)實現(xiàn)，通過建立 VOD視頻服務(wù)器平臺，利用交換機提供的組播功能，為 長春職業(yè)技術(shù)師范學(xué)院 的用戶提供優(yōu)質(zhì)的視頻效果，同時節(jié)省用戶帶寬。所以在建設(shè)時要充分考慮業(yè)務(wù)的擴展能力，能針對不同的用戶需求提供豐富的增值業(yè)務(wù)，使網(wǎng)絡(luò)具有自我造血機制，實現(xiàn)以網(wǎng)養(yǎng)網(wǎng)。 提高全網(wǎng)可靠性與智能化管理，實現(xiàn)全網(wǎng)統(tǒng)一管理。第二，出口設(shè)備策略部署實現(xiàn)路由匹配，根據(jù)目的地址選擇不同出口功能。 二期建設(shè)規(guī)劃如下圖所示： 核心層解決方案總體設(shè)計以高性能、高可靠性、高安全性、良好的可擴展性、可管理性和統(tǒng)一的網(wǎng)管系統(tǒng)及可靠組播為原則，以及考慮到技術(shù)的先進性、成熟性，并采 用模塊化的設(shè)計方法。網(wǎng)控平臺應(yīng)實現(xiàn)分級管理功能。同時 S7500E 支持萬兆上聯(lián)最大程度的提高了匯聚層與核心交換機之間的帶寬擴展需求。 網(wǎng)管平臺 ： 為提高網(wǎng)絡(luò)管理的效率，減輕網(wǎng)絡(luò)維護的壓力，本次組網(wǎng)采用 IMC 網(wǎng)管系統(tǒng)進行全網(wǎng)設(shè)備的統(tǒng)一管理。 根據(jù) 長春職業(yè)技術(shù)師范學(xué)院 的用戶特點，考慮到網(wǎng)絡(luò)中心的維護工作量，這里我們建議杭州華三通信 技術(shù)有限公司 2020105 內(nèi)部資料，請勿擴散 第 18 頁 , 共 137 頁 采用 認證方式。因為 S9500E 的路由查找模式為最長匹配。 H3C 所采用產(chǎn)品 S9500E 等三層轉(zhuǎn)發(fā)模式均為最長路由匹配技術(shù)。 支持 WEB 方式 基于 WEB 的管理是網(wǎng)管方式的一次革命，其主要優(yōu)勢在于：基于 WEB 的管理允許網(wǎng)絡(luò)管理人員使用任一種瀏覽器在網(wǎng)絡(luò)的任何節(jié)點上方便迅速地配置、控制及監(jiān)視網(wǎng)絡(luò)。 性能管理 提供對設(shè)備實時性能數(shù)據(jù)的查看功能，使用戶了解當前網(wǎng)絡(luò)運行的基本情況和性能狀態(tài)，從而預(yù)防網(wǎng)絡(luò)事故的發(fā)生，預(yù)測網(wǎng)絡(luò)運行狀態(tài)，幫 助用戶對網(wǎng)絡(luò)的管理運營杭州華三通信 技術(shù)有限公司 2020105 內(nèi)部資料，請勿擴散 第 21 頁 , 共 137 頁 進行合理的規(guī)劃。當用戶漫游網(wǎng)絡(luò)時，通過 WLAN 網(wǎng)絡(luò)范圍內(nèi)的無線控制器的信息交換，以實現(xiàn)在整個網(wǎng)絡(luò)范圍內(nèi)執(zhí)行一致的訪問和安全策略。因此對于 在 地工作頻段，理論上只能進行三信道的蜂窩規(guī)劃實現(xiàn)對需要規(guī)劃的熱點的無縫覆蓋。 長春職業(yè)技術(shù)師范學(xué)院 IPv6 網(wǎng)絡(luò)設(shè)計 IPv6 的優(yōu)勢
。 針對如何進行 的頻率規(guī)劃作了大量的實驗，實驗證明 3 載頻也可以實現(xiàn)蜂窩對需要覆蓋的區(qū)域進行無縫覆蓋，并提供更高的服務(wù)帶寬提高服務(wù)質(zhì)量，和高帶寬業(yè)務(wù)的開展。 S95E 無線板卡 或無線有線一體化的交換機 與 H3C FIT AP 配合組網(wǎng)，可以方便的部署于任何現(xiàn)有的二層網(wǎng)絡(luò)或三層網(wǎng)絡(luò)之中，控制器和 AP 通過 IETF 制定的 CAPWAP 協(xié)議進行互聯(lián)而無需針對現(xiàn)有網(wǎng)絡(luò)進行重新配 置。 設(shè)備日志和告警管理 在系統(tǒng)獨立運行時，設(shè)備日志管理完成接收設(shè)備發(fā)送到網(wǎng)管的 Syslog 日志報文，直接保存到文件中；設(shè)備告警管理完成接收設(shè)備發(fā)送到網(wǎng)管的告警報文，將該 Trap進行解析并保存到文件中。 成本低 H3C IMC 不像大型網(wǎng)管系統(tǒng)那樣系統(tǒng)龐大，它將網(wǎng)管 人員最為關(guān)心的網(wǎng)絡(luò)信息直觀而濃縮地呈現(xiàn)于網(wǎng)管人員面前，使其方便地了解設(shè)備各端口的運行情況以及主要的設(shè)備性能指標。 S9500E 是根據(jù)最長匹配來查找路由的，是針對網(wǎng) 斷進行路由的。但是 S9500E是根據(jù)最長匹配來查找路由的，是針對網(wǎng)斷進行路由的。 H3C S5800 匯聚層交換機 ， 可支持 1～ 2個萬兆接口上行，用戶無需任何投資，可以直接購買 10GE 模塊，可直接插到匯聚層交換機上就可以實現(xiàn)萬兆帶寬的升級， GE 接口可以作為下聯(lián)接口用。 IMC網(wǎng)絡(luò)管理軟件基于靈活的組件化結(jié)構(gòu)，包括網(wǎng)元管理平臺、廣 域網(wǎng)管理系統(tǒng)、局域網(wǎng)管理系統(tǒng)、資源管理系統(tǒng)等，用戶可以根據(jù)自己的管理需要和網(wǎng)絡(luò)情況靈活選擇自己需要的組件，真正實現(xiàn)“按需建構(gòu)”。 H3C E126A 系列安全智能三層交換機 19 .2Gbps 的總線帶寬為交換機所有的端口提供三層線速交換能力，系統(tǒng)能夠提供 2/4 個 SFP 接口，有效解決了在單臺設(shè)備上多個千兆鏈路上行，同時接入千兆服務(wù)器的需求，極大的節(jié)省了用戶對設(shè)備投資。同時 H3C S9500E 萬兆交換機其交換容量，包轉(zhuǎn)發(fā)率 1440Mpps， 12 個業(yè)務(wù)插槽，進一步滿足大型節(jié)點高數(shù)據(jù)量轉(zhuǎn)發(fā)的特點完全滿足骨干節(jié)點的需求， S9500E 萬兆核心交換機 采用先進的全分布式體系結(jié)構(gòu)設(shè)計，通過主引擎和分布式高速業(yè)務(wù)接口板上內(nèi)置的 Crossbar 交換網(wǎng)芯片實現(xiàn)板內(nèi)、板間二、三層流量的線速分布式轉(zhuǎn)發(fā)，通過分布式高速業(yè)務(wù)接口板上內(nèi)置的高性能 CPU 與位于主控引擎上的 CPU 協(xié)同工作，實現(xiàn) ACL、流分類、 QOS、組播等業(yè)務(wù)的全分布式處理。 為實現(xiàn)網(wǎng)絡(luò)內(nèi)的高速互聯(lián)，核心層分別由兩臺核心節(jié)點組成，采用 2 臺 S9512 E 萬兆核心交換機 ，承擔(dān)著核心節(jié)點下所接入的數(shù)據(jù)信息，考慮到可靠性因素兩臺核心交換機通過 IRF 2 虛擬化技術(shù)將兩臺核心交換機虛擬成一臺核心設(shè)備，實現(xiàn)兩臺核心負載均衡 與統(tǒng)一管理 ，并可得到成倍的性能提升，避免了傳統(tǒng)設(shè)計中雙機熱備只能有一臺核心工作的方式，有效保護用戶投資并且充分利用現(xiàn)有資源。 出口安全部署，根據(jù)目前現(xiàn)有出口防火墻性能顯示 CPU 占用率與內(nèi)存占用率一直處于滿負荷狀態(tài)，給內(nèi)外網(wǎng)數(shù)據(jù)交互帶來的風(fēng)險和傳輸瓶頸也是不容置疑的，一旦出口遭到攻擊防火墻將會因負載過大造成數(shù)據(jù)堵塞。 一期建設(shè) 規(guī)劃如下圖所示： 考慮到一期投入資金有限，而根據(jù)對全網(wǎng)設(shè)備利用率及負載情況的評估以及目前終端用戶反映情況了解到目前網(wǎng)絡(luò)存在兩大問題。 開放性 技術(shù)選擇必須符合相關(guān)國際標準及國內(nèi)標準，避免個別廠家的私有標準或內(nèi)部協(xié)議，確保網(wǎng)絡(luò)的開放性和互連互通，滿足信息準確、安全、可靠、優(yōu)良交換傳送的需要；開放的接口，支持良好的維護、測量和管理手段，提供網(wǎng)絡(luò)統(tǒng)一實時監(jiān)控的遙測、遙控的信息處理功能，實現(xiàn)網(wǎng)絡(luò)設(shè)備的統(tǒng)一管理。 雙核心的高保障需求： 長春職業(yè)技術(shù)師范學(xué)院 的網(wǎng)絡(luò)組建投入使用以后是辦公和教學(xué)的平臺的環(huán)境，是院系專業(yè)教學(xué)和辦公的集合體，對網(wǎng)絡(luò)的穩(wěn)定性要求相當?shù)母撸绻f一出現(xiàn)網(wǎng)絡(luò)中斷的想象，有可能就會對學(xué)院的工作和教學(xué)造成損失，所以為保證網(wǎng)絡(luò)的穩(wěn)定、可靠、高效都是才用雙核心 長春職業(yè)技術(shù)師范學(xué)院 建網(wǎng)需求 長春職業(yè)技術(shù)師范學(xué)院 為提高網(wǎng)絡(luò)覆蓋范圍率，使計算機終端的上網(wǎng)率可以達到95％以上，各園區(qū)網(wǎng)絡(luò)設(shè)備進行升級，實現(xiàn) 各院系的 互連互通， 把核心到 匯聚層的千兆連接升級為萬兆互連，滿足數(shù)據(jù)、音視頻等信息的實時傳輸， 滿足各類網(wǎng)上應(yīng)用需求對網(wǎng)絡(luò)帶寬的需求，同時要有該網(wǎng)絡(luò)是一套自上而下的一套安全的網(wǎng)絡(luò)體系，在 未來建設(shè)的校園網(wǎng)的數(shù)據(jù)中心為全校的各級用戶提供，集中統(tǒng)一的數(shù)據(jù)存儲服務(wù)。 2) 需要解決賬號和端口綁定問題。 長春職業(yè)技術(shù)師范學(xué)院 校園網(wǎng)建網(wǎng)需求分析 一般建網(wǎng)需求 長春職業(yè)技術(shù)師范學(xué)院 的網(wǎng)絡(luò)的建設(shè)主要是 對校園網(wǎng)的網(wǎng)絡(luò)進行部署 。而校園網(wǎng)建設(shè)則是教育系統(tǒng)信息化建設(shè)的關(guān)鍵，尤其是高校校園網(wǎng)建設(shè)。 杭州華三通信技術(shù)有限公司 作為中國最大的數(shù)據(jù)通訊設(shè)備制造專業(yè)廠商，有著良好的商業(yè)信譽和經(jīng)營業(yè)績，我們有信心、有能力完成 長春職業(yè)技術(shù)師范學(xué)院 安全網(wǎng)絡(luò) 項目的建設(shè)，為 長春職業(yè)技術(shù)師范學(xué)院 提供強有力的技術(shù)保證。 本著同 長春職業(yè)技術(shù)師范學(xué)院 長期合作、共同發(fā)展的原則，提交本技 術(shù)方案建議書，根據(jù)本技術(shù)方案建議書，我們將提供系統(tǒng)的方案、優(yōu)質(zhì)的產(chǎn)品和滿意的技術(shù)服務(wù)。 同時，隨著國家信息化工作的深入開展，提高教育系統(tǒng)信息化水平成為當前工作的重點。我們對此深信不疑，并將全身心地為之努力。要求能做到基于 客戶端 的身份認證、多 ISP 選擇、 用戶費率查詢 等。 安全管理的需求： 1) 校園用戶接受新鮮事務(wù)的能力非常強，因此校園也成為黑客最多的場所之一，如何保障校園網(wǎng)絡(luò)的安全成為建網(wǎng)時不得不考慮的問題，目前主要攻擊手段有 DOS，DDOS 等 2) 上網(wǎng)日志的需求，主要是配合公安機關(guān)保證社會的穩(wěn)定和校園的安全 組播業(yè)務(wù)的需求，特別是可控組播的需求將隨著校園信息化的深入而體現(xiàn)出來 。 可擴充性 考慮到 長春職業(yè)技術(shù)師范學(xué)院 用戶數(shù)量和業(yè)務(wù)種類發(fā)展的不確定性，要求對于核心交換機與匯聚交 換機具有強大的擴展功能， 長春職業(yè)技術(shù)師范學(xué)院 校園網(wǎng)絡(luò)要建設(shè)成完整統(tǒng)一、組網(wǎng)靈活、易擴充的彈性網(wǎng)絡(luò)平臺，能夠隨著需求變化，充分留有擴充余地。 三期建設(shè)主要實現(xiàn)校園特色建設(shè)，隨著信息化基礎(chǔ)建設(shè)不斷完善，無線終端日漸普及，無線校園網(wǎng)建設(shè)也成為各高校必不可少的基礎(chǔ)設(shè)施建設(shè)，無線校園的建設(shè)可以給老師與學(xué)生帶來更大的自用空間，有效的擬補了有線網(wǎng)絡(luò)的不足。 而根據(jù)現(xiàn)在校園網(wǎng)同時在線人數(shù)一千至兩千人的實際需求已經(jīng)遠遠超出了現(xiàn)有在線設(shè)備 AR46的負載能力，建議在 網(wǎng)絡(luò)的出口部署 H3C 最新的 SR6602 路由器， SR6602 路由器 是一款系統(tǒng)帶寬 48G，最大并發(fā)連接數(shù) 400 萬的萬兆出口 網(wǎng)關(guān) ， 完全 滿足用戶網(wǎng)絡(luò)的需求 。 如圖所示， 長春職業(yè)技術(shù)師范學(xué)院 的網(wǎng)絡(luò)建設(shè)是要建成一個高效、安全的網(wǎng)絡(luò)， 網(wǎng)絡(luò)整體分為三個層次：核心層、 匯聚層、 接入層 。 網(wǎng)絡(luò)層次介紹： 在核心層， 核心層主要采用 2 個骨干節(jié)點，選配 2 臺 S9500E 交換機，網(wǎng)絡(luò)中心核心交換機同時提供服務(wù)器接入?yún)^(qū)域，重要的服務(wù)器例如日志服務(wù)器、防病毒服務(wù)器和補丁服務(wù)器，同時提供網(wǎng)絡(luò)的審計、網(wǎng)管等功能區(qū)域。 在接入層， 接入層是直接與用戶相連的設(shè)備，因此，在實際的應(yīng)用的過程當中我們建議采用 H3C E126A 產(chǎn)品，建議通過在 E126A 上配置千兆 電 接口與 匯聚 交換機 S5800 進行鏈接，這樣將會進一步擴大帶寬。 IMC 網(wǎng)絡(luò)管理軟件是 H3C 公司對數(shù)據(jù)通信設(shè)備如路由器、交換機等進行統(tǒng)一管理和維護的網(wǎng)管產(chǎn)品，位于網(wǎng)絡(luò)解決方案的管理層，能夠?qū)崿F(xiàn)網(wǎng)元管理和網(wǎng)絡(luò)管理的功能。 S5800匯聚層交換機萬兆的支持 從網(wǎng)絡(luò)的整體結(jié)構(gòu)上我們可以看出整個網(wǎng)絡(luò)的設(shè)計是匯聚與接入之間均采用 千 兆的方式，接入與最終用戶之間采用百兆的方式進行互通， 由于百兆接入用戶的眾多， 整個網(wǎng)絡(luò)的瓶頸在核心與匯聚之間的連接存在瓶頸，隨著網(wǎng)絡(luò)接入用戶的不斷擴大，匯聚與接入之間可 以采用萬兆的方式進行互聯(lián)。這樣就可以避免校園網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件來攻擊中心交換機，因為這種攻 擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的 IP地址，來不斷消耗主控處理板的 CPU處理能力，直到徹底使主控處理板的 CPU喪失處理能力，整個機器癱掉。這樣就可以避免園區(qū)網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件進行的一些基于流的共計，因為這種攻擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的 IP地址，來不斷消耗主控處理板的 CPU 處理能力，直到徹底使主控處理板的 CPU 喪失處理能力，整個機器癱掉。在 Web Server 上安裝了網(wǎng)管軟件后，其它網(wǎng)管機器不用預(yù)裝網(wǎng)管軟件，只須安裝了 WEB 瀏覽器并且設(shè)備能上網(wǎng)，就能使用 H3C IMC 系統(tǒng)管理 。同時可以支持對于網(wǎng)絡(luò)節(jié)點設(shè)備利用率、 CPU 利用率、故障率、線路流量統(tǒng)計、網(wǎng)絡(luò)時延統(tǒng)計、歷史告警信息等進行統(tǒng)計記錄，并可以實現(xiàn)網(wǎng)絡(luò)流量配置。同時采用 WPA/WPA2 和 認證結(jié)合的 AES、 TKIP 以及 WEP 加密等功能增強了網(wǎng)絡(luò)安全。此外，由于功率模板是否能做到符合鄰道、隔道不干擾也非常影響頻率規(guī)