【正文】 而且從校園網(wǎng)實(shí)際使用情況看，學(xué)生宿舍區(qū)的網(wǎng)絡(luò)建設(shè)中認(rèn)證管理是最為突出的問題，考慮到學(xué)生的技術(shù)水平較高、學(xué)校內(nèi)喜歡攻擊網(wǎng)絡(luò)的學(xué)生較多，在實(shí)際的建網(wǎng)過程當(dāng)中應(yīng)當(dāng)充分考慮到這些因素可能會(huì)帶來的相關(guān)問題，在組網(wǎng)建設(shè)過程當(dāng)中避免。路由器設(shè)備整體運(yùn)行狀態(tài) CPU負(fù)載、系統(tǒng)溫度、風(fēng)扇狀態(tài)、VOS 內(nèi)存空閑率、NonVolatile空閑率、內(nèi)存分布錯(cuò)誤次數(shù)、內(nèi)存分配不足引起的分配錯(cuò)誤輸入 IP報(bào)文、表頭錯(cuò)誤的輸入 IP報(bào)文、地址錯(cuò)誤 IP報(bào)文、未知協(xié)議數(shù)據(jù)報(bào)、緩沖溢出輸入 IP報(bào)文、緩沖溢出的輸出 IP報(bào)文、轉(zhuǎn)發(fā)的 IP報(bào)文、無路由的輸出IP報(bào)文、成功重組的 IP報(bào)文安全日志管理 安全管理功能主要有以下幾個(gè)方面：操作日志管理，用戶管理，用戶組管理，設(shè)備集管理，操作集管理，權(quán)限管理，用戶登錄管理。雙 棧 模 式華為 3Com NE40路由器支持雙棧方式的運(yùn)行，即一臺(tái)路由器可實(shí)現(xiàn)同時(shí)處理IPv4以及 IPv6兩種方式，如下圖所示： XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 34在由同一個(gè)物理網(wǎng)絡(luò)當(dāng)中同時(shí)存在兩種模式的 IP網(wǎng)絡(luò)，即：IPv6 網(wǎng)絡(luò)與 IPv4網(wǎng)絡(luò)，IPV6 用戶之間可實(shí)現(xiàn)互通，同時(shí) IPv4用戶亦可在同一張網(wǎng)絡(luò)當(dāng)中實(shí)現(xiàn)互通，這樣每個(gè)點(diǎn)的用戶即可以通過核心路由器之間進(jìn)行 IPv4的互通，也可以通過核心路由器 NE40 進(jìn)行 IPv6的互通，進(jìn)行 IPV6的相關(guān)實(shí)驗(yàn)。173。S5600、S8500 均支持可控組播，可控制的組播源的地址，可確保對(duì)終端用戶的控制。這樣學(xué)校便攜機(jī)使用者能夠方便的使用學(xué)校的網(wǎng)絡(luò)資源，同時(shí)學(xué)校有能夠?qū)σ苿?dòng)用戶進(jìn)行管理監(jiān)控。在 fabric內(nèi)任何 unit接收到轉(zhuǎn)發(fā)報(bào)文，都會(huì)在本 unit上進(jìn)行源 MAC地址學(xué)習(xí)，就像其它任何交換機(jī)所作的一樣；但是，無論 fabric內(nèi)有多少臺(tái)設(shè)備，IRF 交換機(jī)必須表現(xiàn)的像一臺(tái)交換機(jī)在工作一樣，那么，在一臺(tái) unit上學(xué)習(xí)的二層轉(zhuǎn)發(fā)表項(xiàng)，fabric內(nèi)的其它 unit也必須有，否則，報(bào)文就會(huì)在 VLAN內(nèi)廣播。IRF交換機(jī)支持的多數(shù)協(xié)議，例如 RSTP、IGMP－SNOOPING、LACP 等，這些協(xié)議 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 21都是分布運(yùn)行在 fabric內(nèi)的各個(gè)設(shè)備上，每個(gè)設(shè)備獨(dú)立運(yùn)行協(xié)議，與外部協(xié)議實(shí)體進(jìn)行交互；同時(shí)為了保持 IRF作為一個(gè)整體運(yùn)行，unit 之間完成必要的信息交互。IRF XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 19擴(kuò)展性IRF技術(shù)最大支持八臺(tái)設(shè)備的堆疊，用戶可以按照自身的需要購買 IRF交換機(jī)。華為 3所采用產(chǎn)品 S8500、S5600 等三層轉(zhuǎn)發(fā)模式均為最長路由匹配技術(shù)?？紤]到 IP地址的管理比較繁瑣，在實(shí)際的應(yīng)用的過程當(dāng)中建議可以與 CAMS配合，實(shí)現(xiàn) IP地址分配至用戶的方式進(jìn)行 IP地址的管理。核心層的重點(diǎn)應(yīng)當(dāng)中重點(diǎn)考慮如何提高核心的組網(wǎng)架構(gòu)，因此在實(shí)際的應(yīng)用的過程當(dāng)中建議采用環(huán)形的方式，如上圖所示，鐵三角的模式進(jìn)一步提高了核心網(wǎng)的安全性以及穩(wěn)定性。安全管理的需求：1) 校園用戶接受新鮮事務(wù)的能力非常強(qiáng)，因此校園也成為黑客最多的場所之一，如何保障校園網(wǎng)絡(luò)的安全成為建網(wǎng)時(shí)不得不考慮的問題，目前主要攻擊手段有 DOS，DDOS 等2) 上網(wǎng)日志的需求，主要是配合公安機(jī)關(guān)保證社會(huì)的穩(wěn)定和校園的安全組播業(yè)務(wù)的需求，特別是可控組播的需求將隨著校園信息化的深入而體現(xiàn)出來。多出口帶來了以下兩個(gè)需求：1) 多權(quán)限 ISP需求。CN 下注冊(cè)的域名數(shù)、網(wǎng)站數(shù)分別達(dá)到 38萬和 。 S8500系列萬兆核心路由交換機(jī) .............................80 QUIDWAY174。信息技術(shù)的應(yīng)用，勢(shì)必極大地推進(jìn)教育手段和教育內(nèi)容的革命性變革。通過此種方式限制賬號(hào)的使用區(qū)域。開放性技術(shù)選擇必須符合相關(guān)國際標(biāo)準(zhǔn)及國內(nèi)標(biāo)準(zhǔn)，避免個(gè)別廠家的私有標(biāo)準(zhǔn)或內(nèi)部協(xié)議，確保網(wǎng)絡(luò)的開放性和互連互通，滿足信息準(zhǔn)確、安全、可靠、優(yōu)良交換傳送的需要；開放的接口，支持良好的維護(hù)、測量和管理手段，提供網(wǎng)絡(luò)統(tǒng)一實(shí)時(shí)監(jiān)控的遙測、遙控的信息處理功能，實(shí)現(xiàn)網(wǎng)絡(luò)設(shè)備的統(tǒng)一管理。華為 E系列接入層交換機(jī)具有強(qiáng)大的業(yè)務(wù)特性，可以支持 256個(gè)標(biāo)準(zhǔn)的 VLAN，VLAN ID均可達(dá) 4096個(gè)并能夠提供強(qiáng)大的業(yè)務(wù)功能：如 、動(dòng)態(tài) ACL、動(dòng)態(tài) Vlan、防止 Proxy等功能。這樣就可以避免校園網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件來攻擊中心交換機(jī)，因?yàn)檫@種攻擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的 IP地址，來 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 16不斷消耗主控處理板的 CPU處理能力，直到徹底使主控處理板的 CPU喪失處理能力，整個(gè)機(jī)器癱掉。IRF的分布式彈性路由鏈路的備份分布式的聚合技術(shù)進(jìn)一步消除了聚合設(shè)備單點(diǎn)失效的問題，提高了聚合鏈路的 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 18可用性。當(dāng)一臺(tái)設(shè)備通過堆疊線接入到一個(gè)正在運(yùn)行的 fabric內(nèi)，原有的 fabric就會(huì)檢測到新的設(shè)備，同時(shí)驗(yàn)證新設(shè)備是否可以加入到 fabric，如果驗(yàn)證通過，新加入的設(shè)備將會(huì)得到原有的全局配置信息和轉(zhuǎn)發(fā)信息，同時(shí)將自己設(shè)備特有的配置和轉(zhuǎn)發(fā)信息散發(fā)到 fabric內(nèi)，經(jīng)過短暫的信息交互后，新加入的設(shè)備就可以參與轉(zhuǎn)發(fā)了。這種最短路徑的轉(zhuǎn)發(fā)方式，比起單向的轉(zhuǎn)發(fā)，不僅效率高，而且可以起到負(fù)載分擔(dān)的作用。同傳統(tǒng)的堆疊技術(shù)和多臺(tái)單機(jī)互聯(lián)設(shè)備相比，使用 IRF技術(shù)堆疊的設(shè)備，可以做到按需轉(zhuǎn)發(fā)組播數(shù)據(jù)報(bào)文，減少設(shè)備間組播數(shù)據(jù)流量。由 S5600完成對(duì)其下掛的匯聚交換機(jī)以及樓道交換機(jī)的組播用戶進(jìn)行報(bào)文復(fù)制和發(fā)送。Qos 考慮：新增流標(biāo)記域，為源宿端快速處理實(shí)時(shí)業(yè)務(wù)提供可能，有利于低性能的業(yè)務(wù)終端支持 IPv6的語音、視頻等應(yīng)用。IPV6 User雙棧 雙棧雙棧NATPT如圖所示，在同一臺(tái)接入層交換機(jī)下可能存在不同的用戶有 V6用戶也有 V4用戶，對(duì)于 V4與 V4用戶的互通，或是 V6與 V6用戶的互通可以直接通過核心交換機(jī)來實(shí)現(xiàn)，而對(duì)于兩個(gè)跨 V4網(wǎng)的 V6孤島之間的互聯(lián)可以通過隧道技術(shù)來實(shí)現(xiàn)，通過兩個(gè) V6邊界路由之間建立隧道的方式進(jìn)行互訪，邊界路由交換機(jī) S8500以及匯聚層交換機(jī) S5600都采用雙棧運(yùn)行的模式，對(duì)于 V6用戶訪問 V4的資源方式，可以采用ALG或是 NPATPT的方式來實(shí)現(xiàn)，將 V6的和 V4的報(bào)文頭進(jìn)行互譯，從而實(shí)現(xiàn) V6與V4用戶的互通。除此以外，QuidView 系統(tǒng)使用全新的 JFC類庫，所有控件均支持 Look and Feel特性，該特性使得 QuidView既可以在不同平臺(tái)上呈現(xiàn)出統(tǒng)一的顯示風(fēng)格，也能夠使控件的風(fēng)格與操作系統(tǒng)相一致。這些認(rèn)證技術(shù)各有千秋，PPPOE 技術(shù)被廣泛的應(yīng)用在寬帶小區(qū)，WEB 認(rèn)證被應(yīng)用在一些信息系統(tǒng)內(nèi)，而。、授權(quán)管理描述－認(rèn)證管理是接入層交換機(jī)和認(rèn)證軟件平臺(tái)重要的特性，本次我們建議采用。但是如何進(jìn)行用戶身份確認(rèn)呢？這就需要通過認(rèn)證技術(shù)來實(shí)現(xiàn)。成本低QuidView不像大型網(wǎng)管系統(tǒng)那樣系統(tǒng)龐大，它將網(wǎng)管人員最為關(guān)心的網(wǎng)絡(luò)信息直觀而濃縮地呈現(xiàn)于網(wǎng)管人員面前，使其方便地了解設(shè)備各端口的運(yùn)行情況以及主要的設(shè)備性能指標(biāo)。161。即插即用：IPv6 引入自動(dòng)配置以及重配置技術(shù)，對(duì)于 IP地址等信息實(shí)現(xiàn)自動(dòng)增刪更新配置，提高 IPv6的易管理性。 組播業(yè)務(wù)Quidway S8500、S5600、E050 通過標(biāo)準(zhǔn)的組播協(xié)議完成用戶的組播管理，S850S5600 均可以支持豐富的組播協(xié)議，包括ICMP、PIM－SM、PIM－DM、MSDP 等組播協(xié)議，可支持豐富的業(yè)務(wù)，包括視頻點(diǎn)播、流媒體點(diǎn)播，可支持各種流媒體終端以及組播源的種類。相對(duì)于集中式的轉(zhuǎn)發(fā)，減少了對(duì)單臺(tái)設(shè)備的依賴，同時(shí)減輕設(shè)備的轉(zhuǎn)發(fā)負(fù)載。如果采用環(huán)形連接，而且報(bào)文需要從 fabric內(nèi)其它 unit轉(zhuǎn)發(fā)出去，那么收到報(bào)文的 unit一般會(huì)有兩條路徑選擇將報(bào)文轉(zhuǎn)發(fā)到出端口所在的 unit上。1 234IRF XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 20軟件版本升級(jí)相對(duì)于以前的簡單堆疊，對(duì)堆疊體內(nèi)多臺(tái)單機(jī)進(jìn)行軟件升級(jí)的操作將要執(zhí)行多次，而 IRF交換機(jī)，通過 WEB網(wǎng)管，用戶只需要執(zhí)行一次操作，就可以實(shí)現(xiàn) fabric內(nèi)所有 unit的軟件的自動(dòng)升級(jí)。IRF 是在提供業(yè)務(wù)的同時(shí)進(jìn)行備份。再次,分布式的轉(zhuǎn)發(fā)，對(duì)于 S8500路由查找是非常有益的補(bǔ)充。在接入層，接入層是直接與用戶相連的設(shè)備，因此，在實(shí)際的應(yīng)用的過程當(dāng)中我們建議采用華為 3Com E050/E026產(chǎn)品，由于樓內(nèi)布線采用千兆銅纜布線，所以建議通過在 E050/E026上配置千兆電接口與樓內(nèi)核心交換機(jī) S5600進(jìn)行鏈接，這樣將會(huì)進(jìn)一步擴(kuò)大帶寬。所以在建設(shè)時(shí)要充分考慮業(yè)務(wù)的擴(kuò)展能力，能針對(duì)不同的用戶需求提供豐富的寬帶增值業(yè)務(wù)，使網(wǎng)絡(luò)具有自我造血機(jī)制，實(shí)現(xiàn)以網(wǎng)養(yǎng)網(wǎng)。要求能做到基于 WEB的身份認(rèn)證、多 ISP選擇、W 用戶費(fèi)率查詢、帶寬動(dòng)態(tài)調(diào)整（隱性需求） 、多 WEB界面（隱性需求）等。校園網(wǎng)提供了學(xué)校與外界交流的窗口，學(xué)校應(yīng)將校園網(wǎng)與互聯(lián)網(wǎng)聯(lián)接，這也是學(xué)校信息化的要求，做到了這一步，通過校園網(wǎng)去了解世界、在互聯(lián)網(wǎng)上樹立學(xué)校的形象都是很容易的。 .........................................15 匯聚層強(qiáng)大的 IRF擴(kuò)展性能 ...................................15： ...................................24 E系列接入層交換機(jī) .........................................25 QOS功能 ...................................................26 廣播風(fēng)暴的抑止 .............................................27 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 2 組播業(yè)務(wù) ...................................................27 XXXXX大學(xué) IPV6網(wǎng)絡(luò)設(shè)計(jì) ..........................................28 IPv6的優(yōu)勢(shì) ...............................................28 整體設(shè)計(jì) ...................................................29 IPv6運(yùn)行模式設(shè)計(jì) ..........................................30 ....................................................334．XXXXX 大學(xué)用戶管理及安全方案 ........................................37 ......................................37 ......................................3授權(quán)管理描述 ..........................................38－ .......................................384．4 CAMS 對(duì)用戶上網(wǎng)認(rèn)證的管理 .......................................42 用戶需求分析 ...............................................42 CAMS解決方案 ..............................................42 業(yè)務(wù)認(rèn)證流程 ...............................................55 管理方案的堅(jiān)定執(zhí)行者：E050、E026 智能交換機(jī) ......................57 端口＋I(xiàn)P＋MAC 地址的綁定： .................................57 接入層防 Proxy的功能 .......................................57 MAC地址盜用的防止 ..............