【正文】 主備倒換過程不影響業(yè)務(wù)轉(zhuǎn)發(fā)，不丟包。通過接入層交換機(jī)進(jìn)行 IP、MAC、端口的 綁定或認(rèn)證系統(tǒng)的實(shí)施，解決IP 地址沖突和 IP 地址欺騙。RSSI/SNR 的不斷更新，更是讓系統(tǒng)可以適時(shí)了解每一個(gè)無線用戶所處電磁環(huán)境的好壞、離 AP 的距離，從而可以采取相應(yīng)的策略來提升網(wǎng)絡(luò)可用性。 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 27 頁, 共 59 頁室內(nèi)無線覆蓋將使用大量無線接入點(diǎn)（AP）提供無線網(wǎng)絡(luò)接入服務(wù)，必須有效實(shí)現(xiàn)多個(gè) AP 的統(tǒng)一策略部署和可靠的安全認(rèn)證機(jī)制，因此，采用 FIT AP 的解決方案，即采用無線控制器 結(jié)合瘦 AP 與無線網(wǎng) 絡(luò)管理系統(tǒng)的架構(gòu)。 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 25 頁, 共 59 頁E126A/E152 教育網(wǎng)交換機(jī)支持跨交換機(jī)的遠(yuǎn)程端口鏡像 RSPAN，可以將接入端口的流量鏡像到核心交換機(jī)上，可以 對(duì)全網(wǎng)業(yè)務(wù)和流量進(jìn)行監(jiān)控、優(yōu)化部署和惡意攻擊監(jiān)控，滿足校園網(wǎng)精細(xì)化管理的需要。支持基于流的 報(bào)文重定向。具有即插即用、單一 IP管理。全面地識(shí)別“ 地下”VoIP支持對(duì) Skype、SIP、中 橋、UUCall 等近百種協(xié)議或網(wǎng)關(guān)的呼叫識(shí)別、阻斷或干擾。H3C S5500EI 系列交換機(jī)支持基于 MAC 地址劃分 VLAN，很好的解決了移動(dòng)辦公的智能靈活管理；結(jié)合特有的基于全局和 VLAN 下發(fā) ACL 策略，在簡(jiǎn)化用戶配置的同時(shí)，也大幅 節(jié)約了硬件資源。另外，S5500EI 系列 還將支持單播反向路徑查找技術(shù)（uRPF ），原理是當(dāng)設(shè)備的一個(gè)接口上收到一個(gè)數(shù)據(jù)包 時(shí)，會(huì)反向查找路徑來驗(yàn)證是否存在從該接收接口到包中制定的源地址之間的路由，即驗(yàn)證了其真實(shí)性，如果不存在就將數(shù)據(jù)包刪除， 這樣我們就可以有效杜絕網(wǎng)絡(luò)中日益泛濫的源地址欺騙。在可擴(kuò)展性方面，數(shù)據(jù)中心交換機(jī)應(yīng)采用模塊化設(shè)備，支持高密度、高 帶寬接口，在業(yè)務(wù)系統(tǒng)不斷增長(zhǎng)時(shí) ，可通 過增加業(yè)務(wù)模塊 來滿足服務(wù)器接入需求。?IPv6 網(wǎng)絡(luò)的最佳選擇H3C S7500E 所有 Salience VI 引擎都可以提供集中式 IPv6 功能，H3C S7500E 針對(duì) IPv4/IPv6 高性能的要求 還開發(fā)了分布式 IPv4/IPv6 轉(zhuǎn)發(fā)的 SC 板卡，在整機(jī)滿配置狀態(tài)下實(shí)現(xiàn)線速無收斂，為高校用戶提供了高性能低成本的雙棧匯聚核心設(shè)備，同時(shí)也滿足其他行業(yè)用戶 IPv6 Ready 的需求。在性能方面，核心交換機(jī)應(yīng)采用 Crossbar 交換矩陣 ，采用全分布式轉(zhuǎn)發(fā)，支持萬兆、千兆等高速以太網(wǎng)接口，所有接口實(shí)現(xiàn)線速 轉(zhuǎn)發(fā),保障校園網(wǎng)多種業(yè)務(wù)進(jìn)行并發(fā)交換。3) 接入 層提供網(wǎng)絡(luò)的第一級(jí)接入功能，完成二層接入，并 實(shí)現(xiàn)對(duì)終端接入的安全控制，包括 ARP 防御、IP/MAC/ 端口綁定以及 POE 等高級(jí) 功能。學(xué)院網(wǎng)絡(luò)建設(shè)遵循以下基本原則：高帶寬學(xué)院網(wǎng)絡(luò)是一個(gè)龐大而且復(fù)雜的網(wǎng)絡(luò)，為了保障全網(wǎng)的高速轉(zhuǎn)發(fā)，校園網(wǎng)全網(wǎng)的組網(wǎng)設(shè)計(jì)的無瓶頸性，要求方案設(shè)計(jì)的階段就要充分考慮到，同時(shí)要求核心交換機(jī)具有高性能、高帶寬 的特，整網(wǎng)的核心交 換要求能夠提供無瓶頸的數(shù)據(jù)交換?？稍鲋敌詫W(xué)院網(wǎng)絡(luò)的建設(shè)、使用和維護(hù)需要投入大量的人力、物力，因此網(wǎng) 絡(luò)的增值性是網(wǎng)絡(luò)持續(xù)發(fā)展基礎(chǔ)。在 XX 校園網(wǎng)中，接入層采用千兆及百兆到桌面的接入模式，對(duì)于數(shù)據(jù)傳輸量較大或重要區(qū)域采用千兆到桌面的方案，如綜合辦公、圖書館等，其它的 為百兆接入，同時(shí)，無線 AP 接入采用 POE 方式進(jìn)行設(shè)備的供電。在業(yè)務(wù)特性方面，核心交換機(jī)支持豐富的 QoS 特性，可保障重要業(yè)務(wù)得到優(yōu)先轉(zhuǎn)發(fā)；支持 IPv6，可平穩(wěn)過 渡到下一代網(wǎng)絡(luò)；并且支持內(nèi)置防火墻、內(nèi)置無線控制器等多種業(yè)務(wù)功能插卡，可以進(jìn)行靈活的部署， 實(shí)現(xiàn)業(yè)務(wù)的擴(kuò)展和融合。、 全方位的安全保障，抵御多種網(wǎng)絡(luò)安全威脅?三平面安全保障機(jī)制H3C S7500E 提供完善的安全防護(hù)機(jī)制，可從控制、管理、轉(zhuǎn)發(fā)三平面全面保障網(wǎng)絡(luò)的安全：在控制平面，內(nèi)置協(xié)議報(bào)文攻擊識(shí)別模塊，防止 TCN、ARP 等協(xié)議報(bào)文攻擊，OSPF/BGP/ISIS 路由協(xié)議采用 MD5 驗(yàn)證，防止非法路由更新報(bào)文導(dǎo)致的網(wǎng)絡(luò)癱瘓；在管理平面，SNMPv3 網(wǎng)管協(xié)議， SSH V2，基于、AAA/Radius 的用 戶身份認(rèn)證以及分級(jí)的用 戶權(quán)限管理保證了設(shè)備管理的安全性；在轉(zhuǎn)發(fā)平面，支持 IP、VLAN 、MAC 和端口等多種組合精細(xì)綁定；支持 uRPF 單播反向路徑 轉(zhuǎn)發(fā) ，防止非法流量 訪問網(wǎng) 絡(luò)，采用最長(zhǎng)匹配逐包轉(zhuǎn)發(fā)機(jī)制，有效抵御病毒的攻擊。基于上述因素，我們建議數(shù)據(jù)中心交換機(jī)采用 H3C S7502E 高端交換機(jī)。 7VM 海岸線網(wǎng)絡(luò) 安全資訊站多重可靠性保護(hù)S5500EI 系列交換機(jī)還具備設(shè)備級(jí)和鏈路級(jí)的多重可靠性保護(hù)。 該系列交 換機(jī)還支持 sFlow 功能，可以對(duì)出入方向的報(bào)文按比例隨機(jī)抽樣，靈活實(shí)現(xiàn)報(bào)文采集。目前，H3C 是唯一能實(shí)現(xiàn)對(duì) Skype 在 PCPC、PCPhone 兩種通信模式進(jìn)行實(shí)時(shí)有效控制的廠商。同時(shí)大大降低系統(tǒng)擴(kuò)展的成本，保護(hù)了用戶投 資。增強(qiáng)的網(wǎng)絡(luò)管理和維護(hù)的易用性H3C S5100EI 系列交換機(jī)支持通過 FTP、TFTP 實(shí)現(xiàn)設(shè)備 的遠(yuǎn)程升級(jí)，支持SNMP v1/v2/v3，可支持 Open View 等通用網(wǎng)管平臺(tái)，以及 iMC 智能管理中心。E126A/E152 教育網(wǎng)交換機(jī)支持 VCT（Virtual Cable Test）電纜檢測(cè)功能，便于快速定位網(wǎng)絡(luò)故障點(diǎn)；并支持 DLDP（Device Link Detection Protocol）單向鏈路檢測(cè)協(xié)議，可以有效的防止網(wǎng)絡(luò)中單通故障的發(fā)生，大幅提高網(wǎng) 絡(luò)維護(hù)效率，切實(shí)將設(shè)備的易用性帶給用戶。綜合上述分析，對(duì)于大規(guī)模部署的校園網(wǎng)無線局域網(wǎng)，我們建議采用 FIT AP 的方案。?支持智能的負(fù)載均衡支持智能負(fù)載均衡技術(shù)，保證只對(duì)處于 AP 覆蓋重疊區(qū)的無 線用戶才啟動(dòng)AP 負(fù)載均衡功能，有效的避免誤均衡的出現(xiàn)，從而最大限度的提高了無線網(wǎng)絡(luò)容量。接入層交換機(jī)啟用 ARP 檢測(cè)特性，解決 ARP 攻擊和欺騙的問題。? 網(wǎng)絡(luò)核心設(shè)備支持軟件在線升級(jí)，升級(jí)過程中業(yè)務(wù)不中斷。? 網(wǎng)絡(luò)核心設(shè)備支持不間斷轉(zhuǎn)發(fā)，主控板熱備份。本次選用的核心交換機(jī)、匯聚交換機(jī)和接入交換機(jī)具有豐富的安全特性，可以解決網(wǎng)絡(luò)中存在的安全問題，詳細(xì)參見下表：攻擊類型攻擊行為 交換機(jī)安全防范特性核心交換機(jī)匯聚交換機(jī)接入交換機(jī)端口 MAC 數(shù)限制 具有 具有 具有禁止某個(gè) VLAN 的 MAC 地址學(xué)習(xí) ＋ 靜態(tài) MAC 表 具有 具有 具有端口安全 具有 具有 具有MAC 表攻擊MAC + IP + 端口綁定,端口安全中的 1 個(gè)特性具有 具有 具有DHCP Relay Option 82 具有 具有 具有DHCP Snooping Option 82 具有 具有 具有DHCP DOS攻擊DHCP 報(bào)文限速 具有 具有 具有資源耗盡型攻擊CPU 惡意沖擊ARP 限速 具有 具有 具有 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 34 頁, 共 59 頁廣播風(fēng)暴抑制 具有 具有 具有環(huán)路檢測(cè) 具有 具有 具有安全準(zhǔn)入特性 具有 具有 具有 具有 具有 具有防范攻擊的其它特性端口安全特性 具有 具有 具有ARP 入侵檢測(cè) 具有 具有 具有端口隔離 具有 具有 具有ARP 欺騙攻擊IsolateUserVLAN 具有 具有 具有DHCP relay Security 具有 具有 具有MAC/IP 欺騙攻擊 IP 源地址保護(hù) 具有 具有 具有DHCP 服務(wù)器欺騙攻擊DHCP Snooping Trust 具有 具有 具有STP 根保護(hù) 具有 具有 具有根橋偽裝攻擊 BPDU 保護(hù) 具有 具有 具有TCN 攻擊TCBPDU 報(bào)文非立即處理機(jī)制具有 具有 具有假冒偽裝型攻擊路由源偽裝攻擊OSPF/RIP 路由 MD5 驗(yàn)證 具有 具有二層，不具有 具有 具有 具有SNMPv3 具有 具有 具有用戶信息嗅探 SFTP 具有 具有 具有遠(yuǎn)程管理終端限制(Tel VTY 配置 ACL)具有 具有 具有設(shè)備控制權(quán)攻擊管理人員泄密用戶分級(jí) 具有 具有 具有 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 35 頁, 共 59 頁暴力嘗試攻擊遠(yuǎn)程管理終端限制(Tel VTY 配置 ACL)具有 具有 具有在用戶接入安全控制，設(shè)計(jì)時(shí)采取以下針對(duì)性的措施解決以下 MAC、IP 地址的安全問題。AP 的功率 調(diào)整和信道切換是網(wǎng)絡(luò) 部署和調(diào)試時(shí)不可缺少的重要手段，信道和功率還需要按照國(guó)家代碼自動(dòng)設(shè)置，無線控制器的 RF 管理功能使得網(wǎng)絡(luò)部署非常簡(jiǎn)單。使得無線局域網(wǎng)的網(wǎng)絡(luò)性能、網(wǎng)絡(luò)管理和安全管理能力得以大幅提高。支持 CLI 命令行， Web 網(wǎng)管， Tel，HGMP 集群管理，使設(shè)備管理更方便。支持流量整形保證以太網(wǎng)交換機(jī)可以對(duì)輸出報(bào)文速率進(jìn)行控制。H3C S5100EI 系列交換機(jī)采用專利技術(shù)允許交換機(jī)利用 專用互聯(lián)電纜實(shí)現(xiàn)多達(dá) 16 臺(tái)設(shè)備的堆疊，支持不同端口設(shè)備的混合堆疊。豐富的報(bào)表提供業(yè)務(wù)流量趨勢(shì)圖、流量分布圖、 Top N 用戶列表、Top N 應(yīng)用協(xié)議列表等報(bào)表，并支持按照用戶名 /用戶組、使用 頻度、使用時(shí)段、應(yīng)用分類、應(yīng)用協(xié)議、流量大小等進(jìn)行多維度組合定制報(bào)表，使用戶能全面掌握網(wǎng)絡(luò)中的流量、應(yīng)用和業(yè)務(wù)分布， 為合理規(guī)劃網(wǎng)絡(luò) 、制定流量控制策略提供依據(jù)。支持 CLI命令行，Web 網(wǎng)管， TELNET，HGMP 集群管理，使設(shè)備管理更方便，并且支持 等加密方式，使得管理更加安全。H3C S5500EI 系列交換機(jī)提供增強(qiáng)的 ACL 控制邏輯 ，支持超大容量的入端口和出端口 ACL，并且支持基于 VLAN 的 ACL 下發(fā)，在簡(jiǎn)化用戶配置過程的同時(shí)，避免了 ACL 資源的浪 費(fèi)。在安全性方面，數(shù)據(jù)中心交換機(jī)具有安全機(jī)制保障所承載業(yè)務(wù)的安全。?政府電力城域網(wǎng)邊緣和匯聚的最佳選擇H3C S7500E 支持 VRFLite 特性，為用戶提供高可靠高性能的 MCE 設(shè)備；通過配置 Salience VITurbo 引擎，可以提供集中式 MPLS 業(yè)務(wù)功能，適合在城域網(wǎng)邊緣作為高性價(jià) PE 設(shè)備使用；通過配置 EA 類板卡，可以提供分布式線速的MPLS 業(yè)務(wù)功能，適合在城域網(wǎng)匯聚層作為高性能的 PE 使用。在可靠性方面，核心交換機(jī)應(yīng)達(dá)到 %的高可靠性，采用全模塊化設(shè)計(jì)，電源、風(fēng) 扇、引擎、業(yè)務(wù)模塊等均可實(shí)現(xiàn)熱插拔，支持電源、引擎等關(guān)鍵部件的1+1 冗余 熱備 份，支持 VRRP、路由優(yōu)雅（GR）等高可靠性協(xié)議，實(shí)現(xiàn)核心層的業(yè)務(wù)不間斷轉(zhuǎn)發(fā)。對(duì)于校園園區(qū)網(wǎng)的匯聚層設(shè)備，應(yīng)該能夠承載校園園區(qū)的多種融合業(yè)務(wù)，能夠融合 IPv網(wǎng)絡(luò)安全、流量分析等多種業(yè)務(wù)，提供不間斷轉(zhuǎn)發(fā)、優(yōu)雅重啟、 環(huán)網(wǎng)保護(hù)等多種高可靠技術(shù)，能 夠承載校園園區(qū)融合業(yè)務(wù)的需求。、 3 、 網(wǎng)絡(luò)平臺(tái)建設(shè)方案 網(wǎng)絡(luò)設(shè)計(jì)原則廣州 XX 職業(yè)技術(shù)學(xué)院校園網(wǎng)建設(shè)要實(shí)現(xiàn)內(nèi)部全方位的數(shù)據(jù)共享，應(yīng)用三層交換，提供全面的 QoS 保障服 務(wù)，使網(wǎng)絡(luò)安全可靠，從而實(shí)現(xiàn)教育管理、多媒體教學(xué)自動(dòng)化，必須具備高性能、高安全性、高可靠性，可管理、可增值特性以及開放性、兼容性、可擴(kuò)展性。所以在建設(shè)時(shí)要充分考慮業(yè)務(wù)的擴(kuò)展能力，能針對(duì)不同的用戶需求提供豐富的寬帶增值業(yè)務(wù)，使網(wǎng)絡(luò)具有自我造血機(jī)制，實(shí)現(xiàn)以網(wǎng)養(yǎng)網(wǎng)。接入層設(shè)備以選擇二層交換機(jī)為主，設(shè)備應(yīng)具有靈活的擴(kuò)展能力，支持堆疊， 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 8 頁, 共 59 頁具有強(qiáng)安全性，可以實(shí)現(xiàn) IP、MAC、端口的 綁定，支持 認(rèn)證，支持 DHCP Snooping ，防止非法 DHCP 接入和 ARP 攻擊。在安全性方面，核心交換機(jī)應(yīng)既能保障自身的運(yùn)行安全，也能通過一些安全機(jī)制保障所承載業(yè)務(wù)的安全。?有線無線全面支持 EADH3C S7500E 是 EAD 端點(diǎn)準(zhǔn)入防御解決方案的重要組成部分，S7500E 可以 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 13 頁, 共 59 頁動(dòng)態(tài)的接收來自安全策略服務(wù)器的控制策略，根據(jù)終端的安全狀態(tài)給予下發(fā)相應(yīng)的訪問權(quán)限。S7510E 具有 4 個(gè)槽位，其中 2 個(gè)為業(yè)務(wù)模塊插槽，并支持豐富的接口模 塊，如萬兆、千兆、百兆等類型接口，可根據(jù)網(wǎng) 絡(luò)規(guī)模實(shí)現(xiàn) 在線擴(kuò)展。所有機(jī)型都支持內(nèi)置的雙冗余電源，其中 S550028FEI 支持可插拔的冗余電源模塊，也就是說我們可以根據(jù)實(shí)際環(huán)境的需要靈活配置交流或直流電源模塊，此外整機(jī)還支持電源和風(fēng)扇的故障檢測(cè)及告警，可以根據(jù)溫度的變化自動(dòng)調(diào)節(jié)風(fēng)扇的轉(zhuǎn)速，這些設(shè)計(jì)使我們這款盒式交換機(jī)具備了機(jī)柜式交換機(jī)的高可靠性。 網(wǎng)絡(luò)出口設(shè)計(jì)網(wǎng)絡(luò)出口實(shí)現(xiàn)校園網(wǎng)絡(luò)與外界網(wǎng)絡(luò)互聯(lián)，出口網(wǎng)絡(luò)應(yīng)具有一定的可靠性，提供網(wǎng)絡(luò)安全防護(hù)能力，并對(duì) 出口帶寬進(jìn)行有效的分配和控制，同時(shí)加強(qiáng)對(duì)用戶行為進(jìn)行監(jiān)管。領(lǐng)先的“一拖 N”清理技術(shù)采用業(yè)界流行的 ID 軌跡檢測(cè)技術(shù)、時(shí)鐘偏移檢測(cè)技 術(shù)，結(jié)合多種應(yīng)用層特征檢測(cè)技術(shù)如應(yīng)用特征檢測(cè)、流量/連接數(shù)統(tǒng)計(jì)、 TTL 檢測(cè)、MAC 地址檢測(cè)等，能實(shí)時(shí)準(zhǔn)確的識(shí)別出以 NAT、Proxy 方式進(jìn)行共享接入的用戶以及準(zhǔn)確的 PC 數(shù)量，并實(shí)施告警、阻斷等控制措施。全面的接入安全策略H3C S5100EI 系列交換機(jī)支持 EAD（端點(diǎn)準(zhǔn)入防御）功能，配合后臺(tái)系統(tǒng)可以將終