【正文】 主備倒換過程不影響業(yè)務(wù)轉(zhuǎn)發(fā)，不丟包。通過接入層交換機進行 IP、MAC、端口的 綁定或認(rèn)證系統(tǒng)的實施，解決IP 地址沖突和 IP 地址欺騙。RSSI/SNR 的不斷更新，更是讓系統(tǒng)可以適時了解每一個無線用戶所處電磁環(huán)境的好壞、離 AP 的距離，從而可以采取相應(yīng)的策略來提升網(wǎng)絡(luò)可用性。 校園網(wǎng)絡(luò)設(shè)計方案 第 27 頁, 共 59 頁室內(nèi)無線覆蓋將使用大量無線接入點（AP）提供無線網(wǎng)絡(luò)接入服務(wù)，必須有效實現(xiàn)多個 AP 的統(tǒng)一策略部署和可靠的安全認(rèn)證機制，因此，采用 FIT AP 的解決方案，即采用無線控制器 結(jié)合瘦 AP 與無線網(wǎng) 絡(luò)管理系統(tǒng)的架構(gòu)。 校園網(wǎng)絡(luò)設(shè)計方案 第 25 頁, 共 59 頁E126A/E152 教育網(wǎng)交換機支持跨交換機的遠(yuǎn)程端口鏡像 RSPAN，可以將接入端口的流量鏡像到核心交換機上，可以 對全網(wǎng)業(yè)務(wù)和流量進行監(jiān)控、優(yōu)化部署和惡意攻擊監(jiān)控，滿足校園網(wǎng)精細(xì)化管理的需要。支持基于流的 報文重定向。具有即插即用、單一 IP管理。全面地識別“ 地下”VoIP支持對 Skype、SIP、中 橋、UUCall 等近百種協(xié)議或網(wǎng)關(guān)的呼叫識別、阻斷或干擾。H3C S5500EI 系列交換機支持基于 MAC 地址劃分 VLAN，很好的解決了移動辦公的智能靈活管理；結(jié)合特有的基于全局和 VLAN 下發(fā) ACL 策略，在簡化用戶配置的同時，也大幅 節(jié)約了硬件資源。另外，S5500EI 系列 還將支持單播反向路徑查找技術(shù)（uRPF ），原理是當(dāng)設(shè)備的一個接口上收到一個數(shù)據(jù)包 時，會反向查找路徑來驗證是否存在從該接收接口到包中制定的源地址之間的路由，即驗證了其真實性，如果不存在就將數(shù)據(jù)包刪除， 這樣我們就可以有效杜絕網(wǎng)絡(luò)中日益泛濫的源地址欺騙。在可擴展性方面，數(shù)據(jù)中心交換機應(yīng)采用模塊化設(shè)備，支持高密度、高 帶寬接口，在業(yè)務(wù)系統(tǒng)不斷增長時 ，可通 過增加業(yè)務(wù)模塊 來滿足服務(wù)器接入需求。?IPv6 網(wǎng)絡(luò)的最佳選擇H3C S7500E 所有 Salience VI 引擎都可以提供集中式 IPv6 功能，H3C S7500E 針對 IPv4/IPv6 高性能的要求 還開發(fā)了分布式 IPv4/IPv6 轉(zhuǎn)發(fā)的 SC 板卡，在整機滿配置狀態(tài)下實現(xiàn)線速無收斂，為高校用戶提供了高性能低成本的雙棧匯聚核心設(shè)備，同時也滿足其他行業(yè)用戶 IPv6 Ready 的需求。在性能方面，核心交換機應(yīng)采用 Crossbar 交換矩陣 ，采用全分布式轉(zhuǎn)發(fā)，支持萬兆、千兆等高速以太網(wǎng)接口，所有接口實現(xiàn)線速 轉(zhuǎn)發(fā),保障校園網(wǎng)多種業(yè)務(wù)進行并發(fā)交換。3) 接入 層提供網(wǎng)絡(luò)的第一級接入功能，完成二層接入，并 實現(xiàn)對終端接入的安全控制，包括 ARP 防御、IP/MAC/ 端口綁定以及 POE 等高級 功能。學(xué)院網(wǎng)絡(luò)建設(shè)遵循以下基本原則：高帶寬學(xué)院網(wǎng)絡(luò)是一個龐大而且復(fù)雜的網(wǎng)絡(luò)，為了保障全網(wǎng)的高速轉(zhuǎn)發(fā)，校園網(wǎng)全網(wǎng)的組網(wǎng)設(shè)計的無瓶頸性，要求方案設(shè)計的階段就要充分考慮到，同時要求核心交換機具有高性能、高帶寬 的特，整網(wǎng)的核心交 換要求能夠提供無瓶頸的數(shù)據(jù)交換?？稍鲋敌詫W(xué)院網(wǎng)絡(luò)的建設(shè)、使用和維護需要投入大量的人力、物力，因此網(wǎng) 絡(luò)的增值性是網(wǎng)絡(luò)持續(xù)發(fā)展基礎(chǔ)。在 XX 校園網(wǎng)中，接入層采用千兆及百兆到桌面的接入模式，對于數(shù)據(jù)傳輸量較大或重要區(qū)域采用千兆到桌面的方案，如綜合辦公、圖書館等，其它的 為百兆接入，同時，無線 AP 接入采用 POE 方式進行設(shè)備的供電。在業(yè)務(wù)特性方面，核心交換機支持豐富的 QoS 特性，可保障重要業(yè)務(wù)得到優(yōu)先轉(zhuǎn)發(fā)；支持 IPv6，可平穩(wěn)過 渡到下一代網(wǎng)絡(luò)；并且支持內(nèi)置防火墻、內(nèi)置無線控制器等多種業(yè)務(wù)功能插卡，可以進行靈活的部署， 實現(xiàn)業(yè)務(wù)的擴展和融合。、 全方位的安全保障，抵御多種網(wǎng)絡(luò)安全威脅?三平面安全保障機制H3C S7500E 提供完善的安全防護機制，可從控制、管理、轉(zhuǎn)發(fā)三平面全面保障網(wǎng)絡(luò)的安全：在控制平面，內(nèi)置協(xié)議報文攻擊識別模塊，防止 TCN、ARP 等協(xié)議報文攻擊，OSPF/BGP/ISIS 路由協(xié)議采用 MD5 驗證，防止非法路由更新報文導(dǎo)致的網(wǎng)絡(luò)癱瘓；在管理平面，SNMPv3 網(wǎng)管協(xié)議， SSH V2，基于、AAA/Radius 的用 戶身份認(rèn)證以及分級的用 戶權(quán)限管理保證了設(shè)備管理的安全性；在轉(zhuǎn)發(fā)平面，支持 IP、VLAN 、MAC 和端口等多種組合精細(xì)綁定；支持 uRPF 單播反向路徑 轉(zhuǎn)發(fā) ，防止非法流量 訪問網(wǎng) 絡(luò)，采用最長匹配逐包轉(zhuǎn)發(fā)機制，有效抵御病毒的攻擊?；谏鲜鲆蛩兀覀兘ㄗh數(shù)據(jù)中心交換機采用 H3C S7502E 高端交換機。 7VM 海岸線網(wǎng)絡(luò) 安全資訊站多重可靠性保護S5500EI 系列交換機還具備設(shè)備級和鏈路級的多重可靠性保護。 該系列交 換機還支持 sFlow 功能，可以對出入方向的報文按比例隨機抽樣，靈活實現(xiàn)報文采集。目前，H3C 是唯一能實現(xiàn)對 Skype 在 PCPC、PCPhone 兩種通信模式進行實時有效控制的廠商。同時大大降低系統(tǒng)擴展的成本，保護了用戶投 資。增強的網(wǎng)絡(luò)管理和維護的易用性H3C S5100EI 系列交換機支持通過 FTP、TFTP 實現(xiàn)設(shè)備 的遠(yuǎn)程升級，支持SNMP v1/v2/v3，可支持 Open View 等通用網(wǎng)管平臺，以及 iMC 智能管理中心。E126A/E152 教育網(wǎng)交換機支持 VCT（Virtual Cable Test）電纜檢測功能，便于快速定位網(wǎng)絡(luò)故障點；并支持 DLDP（Device Link Detection Protocol）單向鏈路檢測協(xié)議，可以有效的防止網(wǎng)絡(luò)中單通故障的發(fā)生，大幅提高網(wǎng) 絡(luò)維護效率，切實將設(shè)備的易用性帶給用戶。綜合上述分析，對于大規(guī)模部署的校園網(wǎng)無線局域網(wǎng)，我們建議采用 FIT AP 的方案。?支持智能的負(fù)載均衡支持智能負(fù)載均衡技術(shù)，保證只對處于 AP 覆蓋重疊區(qū)的無 線用戶才啟動AP 負(fù)載均衡功能，有效的避免誤均衡的出現(xiàn)，從而最大限度的提高了無線網(wǎng)絡(luò)容量。接入層交換機啟用 ARP 檢測特性，解決 ARP 攻擊和欺騙的問題。? 網(wǎng)絡(luò)核心設(shè)備支持軟件在線升級，升級過程中業(yè)務(wù)不中斷。? 網(wǎng)絡(luò)核心設(shè)備支持不間斷轉(zhuǎn)發(fā)，主控板熱備份。本次選用的核心交換機、匯聚交換機和接入交換機具有豐富的安全特性，可以解決網(wǎng)絡(luò)中存在的安全問題，詳細(xì)參見下表：攻擊類型攻擊行為 交換機安全防范特性核心交換機匯聚交換機接入交換機端口 MAC 數(shù)限制 具有 具有 具有禁止某個 VLAN 的 MAC 地址學(xué)習(xí) ＋ 靜態(tài) MAC 表 具有 具有 具有端口安全 具有 具有 具有MAC 表攻擊MAC + IP + 端口綁定,端口安全中的 1 個特性具有 具有 具有DHCP Relay Option 82 具有 具有 具有DHCP Snooping Option 82 具有 具有 具有DHCP DOS攻擊DHCP 報文限速 具有 具有 具有資源耗盡型攻擊CPU 惡意沖擊ARP 限速 具有 具有 具有 校園網(wǎng)絡(luò)設(shè)計方案 第 34 頁, 共 59 頁廣播風(fēng)暴抑制 具有 具有 具有環(huán)路檢測 具有 具有 具有安全準(zhǔn)入特性 具有 具有 具有 具有 具有 具有防范攻擊的其它特性端口安全特性 具有 具有 具有ARP 入侵檢測 具有 具有 具有端口隔離 具有 具有 具有ARP 欺騙攻擊IsolateUserVLAN 具有 具有 具有DHCP relay Security 具有 具有 具有MAC/IP 欺騙攻擊 IP 源地址保護 具有 具有 具有DHCP 服務(wù)器欺騙攻擊DHCP Snooping Trust 具有 具有 具有STP 根保護 具有 具有 具有根橋偽裝攻擊 BPDU 保護 具有 具有 具有TCN 攻擊TCBPDU 報文非立即處理機制具有 具有 具有假冒偽裝型攻擊路由源偽裝攻擊OSPF/RIP 路由 MD5 驗證 具有 具有二層，不具有 具有 具有 具有SNMPv3 具有 具有 具有用戶信息嗅探 SFTP 具有 具有 具有遠(yuǎn)程管理終端限制(Tel VTY 配置 ACL)具有 具有 具有設(shè)備控制權(quán)攻擊管理人員泄密用戶分級 具有 具有 具有 校園網(wǎng)絡(luò)設(shè)計方案 第 35 頁, 共 59 頁暴力嘗試攻擊遠(yuǎn)程管理終端限制(Tel VTY 配置 ACL)具有 具有 具有在用戶接入安全控制，設(shè)計時采取以下針對性的措施解決以下 MAC、IP 地址的安全問題。AP 的功率 調(diào)整和信道切換是網(wǎng)絡(luò) 部署和調(diào)試時不可缺少的重要手段，信道和功率還需要按照國家代碼自動設(shè)置，無線控制器的 RF 管理功能使得網(wǎng)絡(luò)部署非常簡單。使得無線局域網(wǎng)的網(wǎng)絡(luò)性能、網(wǎng)絡(luò)管理和安全管理能力得以大幅提高。支持 CLI 命令行， Web 網(wǎng)管， Tel，HGMP 集群管理，使設(shè)備管理更方便。支持流量整形保證以太網(wǎng)交換機可以對輸出報文速率進行控制。H3C S5100EI 系列交換機采用專利技術(shù)允許交換機利用 專用互聯(lián)電纜實現(xiàn)多達 16 臺設(shè)備的堆疊，支持不同端口設(shè)備的混合堆疊。豐富的報表提供業(yè)務(wù)流量趨勢圖、流量分布圖、 Top N 用戶列表、Top N 應(yīng)用協(xié)議列表等報表，并支持按照用戶名 /用戶組、使用 頻度、使用時段、應(yīng)用分類、應(yīng)用協(xié)議、流量大小等進行多維度組合定制報表，使用戶能全面掌握網(wǎng)絡(luò)中的流量、應(yīng)用和業(yè)務(wù)分布， 為合理規(guī)劃網(wǎng)絡(luò) 、制定流量控制策略提供依據(jù)。支持 CLI命令行，Web 網(wǎng)管， TELNET，HGMP 集群管理，使設(shè)備管理更方便，并且支持 等加密方式，使得管理更加安全。H3C S5500EI 系列交換機提供增強的 ACL 控制邏輯 ，支持超大容量的入端口和出端口 ACL，并且支持基于 VLAN 的 ACL 下發(fā)，在簡化用戶配置過程的同時，避免了 ACL 資源的浪 費。在安全性方面，數(shù)據(jù)中心交換機具有安全機制保障所承載業(yè)務(wù)的安全。?政府電力城域網(wǎng)邊緣和匯聚的最佳選擇H3C S7500E 支持 VRFLite 特性，為用戶提供高可靠高性能的 MCE 設(shè)備；通過配置 Salience VITurbo 引擎，可以提供集中式 MPLS 業(yè)務(wù)功能，適合在城域網(wǎng)邊緣作為高性價 PE 設(shè)備使用；通過配置 EA 類板卡，可以提供分布式線速的MPLS 業(yè)務(wù)功能，適合在城域網(wǎng)匯聚層作為高性能的 PE 使用。在可靠性方面，核心交換機應(yīng)達到 %的高可靠性，采用全模塊化設(shè)計，電源、風(fēng) 扇、引擎、業(yè)務(wù)模塊等均可實現(xiàn)熱插拔，支持電源、引擎等關(guān)鍵部件的1+1 冗余 熱備 份，支持 VRRP、路由優(yōu)雅（GR）等高可靠性協(xié)議，實現(xiàn)核心層的業(yè)務(wù)不間斷轉(zhuǎn)發(fā)。對于校園園區(qū)網(wǎng)的匯聚層設(shè)備，應(yīng)該能夠承載校園園區(qū)的多種融合業(yè)務(wù)，能夠融合 IPv網(wǎng)絡(luò)安全、流量分析等多種業(yè)務(wù)，提供不間斷轉(zhuǎn)發(fā)、優(yōu)雅重啟、 環(huán)網(wǎng)保護等多種高可靠技術(shù)，能 夠承載校園園區(qū)融合業(yè)務(wù)的需求。、 3 、 網(wǎng)絡(luò)平臺建設(shè)方案 網(wǎng)絡(luò)設(shè)計原則廣州 XX 職業(yè)技術(shù)學(xué)院校園網(wǎng)建設(shè)要實現(xiàn)內(nèi)部全方位的數(shù)據(jù)共享，應(yīng)用三層交換，提供全面的 QoS 保障服 務(wù)，使網(wǎng)絡(luò)安全可靠，從而實現(xiàn)教育管理、多媒體教學(xué)自動化，必須具備高性能、高安全性、高可靠性，可管理、可增值特性以及開放性、兼容性、可擴展性。所以在建設(shè)時要充分考慮業(yè)務(wù)的擴展能力，能針對不同的用戶需求提供豐富的寬帶增值業(yè)務(wù)，使網(wǎng)絡(luò)具有自我造血機制，實現(xiàn)以網(wǎng)養(yǎng)網(wǎng)。接入層設(shè)備以選擇二層交換機為主，設(shè)備應(yīng)具有靈活的擴展能力，支持堆疊， 校園網(wǎng)絡(luò)設(shè)計方案 第 8 頁, 共 59 頁具有強安全性，可以實現(xiàn) IP、MAC、端口的 綁定，支持 認(rèn)證，支持 DHCP Snooping ，防止非法 DHCP 接入和 ARP 攻擊。在安全性方面，核心交換機應(yīng)既能保障自身的運行安全，也能通過一些安全機制保障所承載業(yè)務(wù)的安全。?有線無線全面支持 EADH3C S7500E 是 EAD 端點準(zhǔn)入防御解決方案的重要組成部分，S7500E 可以 校園網(wǎng)絡(luò)設(shè)計方案 第 13 頁, 共 59 頁動態(tài)的接收來自安全策略服務(wù)器的控制策略，根據(jù)終端的安全狀態(tài)給予下發(fā)相應(yīng)的訪問權(quán)限。S7510E 具有 4 個槽位，其中 2 個為業(yè)務(wù)模塊插槽，并支持豐富的接口模 塊，如萬兆、千兆、百兆等類型接口，可根據(jù)網(wǎng) 絡(luò)規(guī)模實現(xiàn) 在線擴展。所有機型都支持內(nèi)置的雙冗余電源，其中 S550028FEI 支持可插拔的冗余電源模塊，也就是說我們可以根據(jù)實際環(huán)境的需要靈活配置交流或直流電源模塊，此外整機還支持電源和風(fēng)扇的故障檢測及告警，可以根據(jù)溫度的變化自動調(diào)節(jié)風(fēng)扇的轉(zhuǎn)速，這些設(shè)計使我們這款盒式交換機具備了機柜式交換機的高可靠性。 網(wǎng)絡(luò)出口設(shè)計網(wǎng)絡(luò)出口實現(xiàn)校園網(wǎng)絡(luò)與外界網(wǎng)絡(luò)互聯(lián)，出口網(wǎng)絡(luò)應(yīng)具有一定的可靠性，提供網(wǎng)絡(luò)安全防護能力，并對 出口帶寬進行有效的分配和控制，同時加強對用戶行為進行監(jiān)管。領(lǐng)先的“一拖 N”清理技術(shù)采用業(yè)界流行的 ID 軌跡檢測技術(shù)、時鐘偏移檢測技 術(shù)，結(jié)合多種應(yīng)用層特征檢測技術(shù)如應(yīng)用特征檢測、流量/連接數(shù)統(tǒng)計、 TTL 檢測、MAC 地址檢測等，能實時準(zhǔn)確的識別出以 NAT、Proxy 方式進行共享接入的用戶以及準(zhǔn)確的 PC 數(shù)量，并實施告警、阻斷等控制措施。全面的接入安全策略H3C S5100EI 系列交換機支持 EAD（端點準(zhǔn)入防御）功能，配合后臺系統(tǒng)可以將終