【正文】 ? 提供批量配置功能，將用戶從煩瑣，重復(fù)的配置工作中解脫。 網(wǎng)絡(luò)管理安全設(shè)計(jì) 華為 3 公司的 Quidview 網(wǎng)絡(luò)管理軟件使用靈活的組件技術(shù)，支持多種操作平臺，并能夠與多種通用網(wǎng)管平臺集成，實(shí)現(xiàn)從設(shè)備級到網(wǎng)絡(luò)級全方位的網(wǎng)絡(luò)管理。在樓道以太網(wǎng)交換機(jī)上按端口劃分 Vlan，每個用戶占用一個 Vlan。 北京科技大學(xué) VLAN 劃分 通常采用包月方式，同時需要實(shí)現(xiàn)帳號和端口綁定的功能，故采用一個用戶一個 VLAN，并限制一個 VLAN 下同時接入的用戶數(shù)量。通過這種機(jī)制，使得整個網(wǎng)絡(luò)的流量做到最優(yōu)，有效的保證了視頻點(diǎn)播、網(wǎng)絡(luò)電視、會議電視、視頻游戲等視頻業(yè)務(wù)的開展，通過組 播實(shí)現(xiàn)的視頻業(yè)務(wù)有： 會議電視：利用網(wǎng)絡(luò)和數(shù)字視像技術(shù)實(shí)現(xiàn)異地會議的交互傳輸和控制。同時這種多 ISP 接入的上網(wǎng)方式又可以通過策略路由的路由備份功能方便的在多 ISP 之間實(shí)現(xiàn) 平滑切換，保證校園內(nèi)用戶訪問外部網(wǎng)站業(yè)務(wù)的不中斷性。傳統(tǒng)的路由設(shè)備在增加新的業(yè)務(wù)特性的時候，必須通過更換單板等硬 件升級的方式來實(shí)現(xiàn)，這樣對于用戶來說，是一筆極大的浪費(fèi)。這樣就可以避免校園網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件進(jìn)行的一些基于流的共計(jì)，因?yàn)檫@種攻擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的 IP 地址，來不斷消耗主控處理 板的 CPU 處理能力，直到徹底使主控處理板的 CPU 喪失處理能力，整個機(jī)器癱掉。 整體設(shè)計(jì)說明 北京科技大學(xué)網(wǎng)絡(luò)建設(shè)是要求從北京科技大學(xué)實(shí)際的應(yīng)用出發(fā)，考慮到整體校園網(wǎng)數(shù)量大、上網(wǎng)時間集中、突發(fā)流量較大等因素，華為 3 在實(shí)際的在建網(wǎng)的過程當(dāng)中遵循了以下幾點(diǎn)要求： 萬兆核心節(jié)點(diǎn)交換機(jī) S8500：因北京科技大學(xué)校園網(wǎng)流量較大因此在建設(shè)的過程當(dāng)中，應(yīng)當(dāng)充分考慮到核心交換機(jī)的交換性能，以及轉(zhuǎn)發(fā)性能，華為 3 S8512 萬兆核心交換機(jī)具有 14 個插槽， 12 個業(yè)務(wù)插槽，具有強(qiáng)大的可擴(kuò)展性。對于實(shí)驗(yàn)樓與綜合樓的接入可以考慮到這兩個節(jié)點(diǎn)處信息點(diǎn)數(shù)量較少，可能存在的流量相對較少，建議采用 S6506R 核心交換機(jī)作為該節(jié)點(diǎn)的核心設(shè)備，同時與主樓、圖書館處的核心交換機(jī) S8505 相又構(gòu)成了三層的網(wǎng) 絡(luò)。 考慮到網(wǎng)絡(luò)的發(fā)展非常迅猛，因此在建網(wǎng)的過程當(dāng)中要求充分考慮到網(wǎng)絡(luò)的可擴(kuò)展性以及相關(guān)前沿技術(shù)的支持性，從目前網(wǎng)絡(luò)的規(guī)劃，要求核心采用萬兆主干網(wǎng)的方式，要求對于目前的主流交換機(jī)技術(shù)如：萬兆、 IPv MPLS VPN 等技術(shù)均能夠支持，同時考慮到對未來的語音視頻的支持要求能夠提供良好的 Qos保障能力。 應(yīng)用系統(tǒng)的需求。因此要求能夠提供主流的網(wǎng)絡(luò)體系結(jié)構(gòu)。 提高網(wǎng)絡(luò)管理水平，增加網(wǎng)絡(luò)故障快速檢測能力。 目前校園網(wǎng)安全機(jī)制有：趨勢服務(wù)器 /客戶端計(jì)算機(jī)病毒防治軟件一套 。 華為網(wǎng)絡(luò)負(fù)載均衡技術(shù) WebSwitch 功能需求： 局域網(wǎng)負(fù)載平衡設(shè)主要用于實(shí)現(xiàn)服務(wù)器的高可用性服務(wù) 含校園網(wǎng)站的高可用性服務(wù) 以及內(nèi)容分發(fā)服務(wù)中緩存服務(wù)器的負(fù)載平衡。主要特點(diǎn)如下： 多出口的需求： 典型的組網(wǎng)有中國教育和科研網(wǎng)（ CERNET）出口和運(yùn)營商網(wǎng)絡(luò)出口。北京科技大學(xué)校園網(wǎng)技術(shù)項(xiàng)目建議書 北京科技大學(xué)校園網(wǎng)改造技術(shù)建議書 目錄 1．概述 3 校園網(wǎng)建設(shè)背景 3 北京科技大學(xué)校園網(wǎng)建網(wǎng)需求分析 4 一般建網(wǎng)需求 4 北京科技大學(xué)建網(wǎng)需求 5 整體建網(wǎng)原則 9 2．網(wǎng)絡(luò)設(shè)計(jì)規(guī)范 12 改造基本需求 12 總體改造結(jié)、構(gòu)業(yè)務(wù)設(shè)計(jì) 12 整體網(wǎng)絡(luò)設(shè)計(jì)規(guī)范 15 3．總體網(wǎng)絡(luò)設(shè)計(jì) 18 網(wǎng)核心改造組網(wǎng)描述 18 以太網(wǎng)核心交換機(jī) 改造組網(wǎng)描述 21 接入層設(shè)計(jì)方案 24 整體設(shè)計(jì)說明 24 業(yè)務(wù)流量說明 26 華為北京科技大學(xué)解決方案特點(diǎn)： 27 完全的分布式的處理方式 27 對于新特性的業(yè)務(wù)支持力度 IPv6 28 量身定做的校園網(wǎng)內(nèi)部服務(wù)器的負(fù)載均衡： 28 基于復(fù)雜流的檢測和控制 29 出口路由器 NE05 策略路由的需求 30 出口路由器的 ACL 的功能 31 E 系列接入層交換機(jī) 32 QOS 功能 33 VPN 的功能 33 組播業(yè)務(wù) 33 4．北京科技大學(xué)詳細(xì)網(wǎng)絡(luò)設(shè)計(jì) 35 IP 地址規(guī)劃和路由策略 35 北京科技大學(xué) VLAN 劃分 36 網(wǎng)管解決方案 36 5．核心網(wǎng)安全設(shè)計(jì) 39 、用戶嚴(yán)格隔離 39 、用戶唯一標(biāo)識 40 、防止對 DHCP 服務(wù)器的攻擊 40 、惡意用戶追查 40 網(wǎng)絡(luò)管理安全設(shè)計(jì) 41 組網(wǎng)安全性設(shè)計(jì) 44 出口運(yùn)營商線路備份 44 6．組網(wǎng)核心設(shè)備介紹 45 ? S8500 萬兆核心路 由交換機(jī) 45 Quidway? S6506R 千兆路由交換機(jī) 51 Quidway? NetEngine 05 高端路由器 53 Quidway? S5000 系列智能千兆以太網(wǎng)交換機(jī) 55 Quidway? E 系列教育網(wǎng)以太網(wǎng)交換機(jī) 60 Quidway? Eudemon200（守護(hù)神）防火墻 64 1．概述 校園網(wǎng)建設(shè)背景 根據(jù) 2020 年的最新調(diào)查結(jié)果來看，我國目前的上網(wǎng)總?cè)丝谝堰_(dá) 12020 萬，其中校園用戶占了 32%，是最大的用戶群。多出口帶來了以下兩個需求： 多權(quán)限 ISP 需求。數(shù)據(jù)中心通過提供網(wǎng)站高可用性服務(wù)，可以保證數(shù)據(jù)中心用戶的前端應(yīng)用系統(tǒng)的高可用性、高可擴(kuò)展性和負(fù)載平衡，從而減少服務(wù)停頓時間，加強(qiáng)用戶忠誠度和滿意度。郵件服務(wù)器防病毒網(wǎng)關(guān)一套，該病毒網(wǎng)關(guān)的采用金山防病毒引擎。 校園網(wǎng)絡(luò)應(yīng)具備的其他功能（如：視頻會議、遠(yuǎn)程教學(xué)、 IP 電話、資源共享等）。 華為 3 針對北京科技大學(xué)校園網(wǎng)的建設(shè)為用戶量身設(shè)計(jì)網(wǎng)絡(luò)體系結(jié)構(gòu)，根據(jù)目前北京科技大學(xué)的網(wǎng)絡(luò)現(xiàn)狀，結(jié)合學(xué)校內(nèi)部的整體建筑結(jié)構(gòu)，建議在學(xué)校選擇幾個信息點(diǎn)數(shù)相對教密集的地方分散性的構(gòu)建骨干節(jié)點(diǎn)，對于原有的幾個骨干節(jié)點(diǎn)考慮到重新布線帶來的工程問題，建議保持不變，全校以學(xué)生公寓、綜合樓、圖書館、主樓、圖書館、實(shí)驗(yàn)樓、科技樓、采礦樓、辦公 樓為主節(jié)點(diǎn)，就近形成環(huán)行網(wǎng)，對于新增大樓的信息點(diǎn)可以選擇就近的接入點(diǎn)接入從而盡可能的減少因信息點(diǎn)的新增而帶來的施工問題。 根據(jù)目前學(xué)校的需求，北京科技大學(xué)應(yīng)用系統(tǒng)的需求主要分為以下幾點(diǎn)：行政系統(tǒng)應(yīng)用（校辦、財(cái)務(wù)等）、學(xué)籍管理系統(tǒng)（學(xué)生處）、一卡通（飯卡、取款卡的統(tǒng)一）。 整體網(wǎng)絡(luò)應(yīng)用層的支持以及相關(guān)業(yè)務(wù)區(qū)分。 園區(qū)骨干網(wǎng)的組網(wǎng)主要是在主樓、圖書館、綜合樓、實(shí)驗(yàn)樓四個節(jié)點(diǎn)構(gòu)成環(huán)行網(wǎng)絡(luò)采用動態(tài)路由協(xié)議 OSPF，環(huán)網(wǎng)的構(gòu)成進(jìn)一步大大提高了網(wǎng)絡(luò)的可靠性，同時華為 S8505 萬兆交換機(jī)其 750G 背板容量進(jìn)一步滿足大型節(jié)點(diǎn)高數(shù)據(jù)量轉(zhuǎn)發(fā)的特點(diǎn)完全滿足骨干節(jié)點(diǎn)的需求，整個改造后的 ATM 網(wǎng)絡(luò)與校園網(wǎng)核心交換機(jī)之間采用 10GE 的帶寬相連大大擴(kuò)大的原有的帶寬，原校園網(wǎng)核心交換機(jī) CB9000可進(jìn)一步使用 S8512 替換，同樣采用 10GE 接口與改造后的 ATM 網(wǎng)相連進(jìn)一步擴(kuò)大骨干網(wǎng)的帶寬。S8512 全分布式的處理方式，所有端口線速轉(zhuǎn)發(fā)，背板容量 ，包轉(zhuǎn)發(fā)率432Mpps，最大可以支持 290GE 的線速轉(zhuǎn)發(fā)，可以為用戶提供強(qiáng)大的三層交換功能。 S8512 是根據(jù)最長匹配來查找路由的，是針對網(wǎng)斷進(jìn)行路由的。華為公司充分考慮到用戶的相關(guān)的需求，因此 NE05 的核心交換機(jī)對于新業(yè)務(wù) MPLS VPN、 IPv6 等技術(shù)均可支持。使得在任何一個 ISP 網(wǎng)絡(luò)出現(xiàn)問題時，校園網(wǎng)內(nèi)訪問外部網(wǎng)站的流量可以切換到另外一個 ISP 作為出口。 付費(fèi)視頻：按節(jié)目收費(fèi)的視訊節(jié)目。 對一層 樓一個 VLAN ①本層樓的內(nèi)部互訪無須經(jīng)過三層交換機(jī)，優(yōu)化了組網(wǎng)。 方法二：利用 PVlan 技術(shù)。 網(wǎng)絡(luò)集中監(jiān)視 Quidview 網(wǎng)絡(luò)管理軟件提供統(tǒng)一拓?fù)浒l(fā)現(xiàn)功能，實(shí)現(xiàn)全網(wǎng)監(jiān)控，可以實(shí)時監(jiān)控所有設(shè)備的運(yùn)行狀況，并根據(jù)網(wǎng)絡(luò)運(yùn)行環(huán)境變化提供合適的方式對網(wǎng)絡(luò)參數(shù)進(jìn)行配置修改， 保證網(wǎng)絡(luò)以最優(yōu)性能正常運(yùn)行。 ? 提供設(shè)備配置文件管理功能，幫助用戶建立配置文件版本管理機(jī)制，減少災(zāi)難情況下網(wǎng)絡(luò)的恢復(fù)時間。 ? 通過定期輪詢機(jī)制，幫助用戶及時了解網(wǎng)絡(luò)關(guān)鍵設(shè)備的在線情況。然后通過華為的網(wǎng)絡(luò)管理系統(tǒng)Quidview 的 MAC 地址和 IP 地址的反向查找功能，就可以根據(jù)源 IP 或源 MAC 在Quidview 網(wǎng)管上查到該用戶所在的交換機(jī)以及在該交換機(jī)上所接的端口，通過這種方式可以立刻定位用戶，方便對于大型網(wǎng)絡(luò)的管理，能夠方便快捷的防止惡意用戶的攻擊。 、用戶嚴(yán)格隔離 方法一：用 Vlan 隔離。 3）對于固定 IP 地址用戶，需要針對標(biāo)識符（ MAC 地址）設(shè)定保留 IP 地址。由 S6503 完成對其下掛的匯聚交換機(jī)以及樓道交換機(jī)的組播用戶進(jìn)行報(bào)文復(fù)制和發(fā)送。 如圖 1 所示： NE05 的多 ISP 解決方案組網(wǎng)圖 在上面的組網(wǎng)中，校園網(wǎng)內(nèi)的用戶通過教育網(wǎng)訪問教育網(wǎng)站，通過運(yùn)營商網(wǎng)絡(luò)訪問國外和國內(nèi)收費(fèi)網(wǎng)站。在北京科技大學(xué)的建網(wǎng)的過程當(dāng)中希望能夠考慮到網(wǎng)絡(luò)的延續(xù)性以及相關(guān)的技術(shù)的支持性，以便于網(wǎng)絡(luò)的建設(shè)的發(fā)展。華為 3 所采用產(chǎn)品 NE0 S851 S6503 等三層轉(zhuǎn)發(fā)模式均為最長路由匹配技術(shù)。華為 E 系列接入層交換機(jī)具有強(qiáng)大的業(yè)務(wù)特性，可以支持 256/128 個標(biāo)準(zhǔn)的 VLAN，并能夠提供強(qiáng)大的業(yè)務(wù)功能：如 認(rèn)證、 IP地址綁定、動態(tài) ACL、 動態(tài) Vlan、防止 Proxy 等功能。為實(shí)現(xiàn)校區(qū)內(nèi)的高速互聯(lián)，核心層由圖書館節(jié)點(diǎn)、主樓節(jié)點(diǎn)構(gòu)成，對于這兩個節(jié)點(diǎn)的接入是采取二層的組網(wǎng)方式，其匯聚層的減少大大降低了網(wǎng)絡(luò)當(dāng)中在匯聚層有可能會產(chǎn)生流量瓶頸的問題。 對于目前主流技術(shù)的支持。學(xué)校內(nèi)部用戶也不允許通過校園內(nèi)部網(wǎng)訪問三產(chǎn)公司的相關(guān)資源 以上是對于不同類別用戶的上網(wǎng)方式的劃分，這樣既可以解決相關(guān)用戶的上網(wǎng)需求又可以提高整網(wǎng)的安全性，進(jìn)而 提高整個網(wǎng)絡(luò)的穩(wěn)定性、可靠性。 總體改造結(jié)、構(gòu)業(yè)務(wù)設(shè)計(jì)： 主流的網(wǎng)絡(luò)體系結(jié)構(gòu) 北京科技大學(xué)校園園區(qū)面積很大，從目前的情況看來對于學(xué)校新增校區(qū)的信息點(diǎn)的接入，按照傳統(tǒng)的星星結(jié)構(gòu)的方式將會在學(xué)校內(nèi)部產(chǎn)生大量的布 線等工程而引起的施工等問題，為了解決因布線而產(chǎn)生的不必要的工程問題，在網(wǎng)絡(luò)的最初布線過程當(dāng)中應(yīng)當(dāng)充分考慮到學(xué)校后期的新大樓的信息點(diǎn)的接入問題。 隨著校園網(wǎng)規(guī)模的不斷擴(kuò)大，全網(wǎng)絡(luò)安全問題變得更加重要，需盡快采取有效措施，防止來自內(nèi)網(wǎng)和外網(wǎng)的攻擊，目前校園網(wǎng)已設(shè)病毒防治系統(tǒng)，還應(yīng)配備入侵檢測系統(tǒng)，主機(jī)漏洞檢測系統(tǒng)以及防郵件垃圾等設(shè)施，防火墻應(yīng)有 DMZ 方式控制，同時在校園網(wǎng)結(jié)構(gòu)上進(jìn)行調(diào)整，確保 網(wǎng)絡(luò)安全。其中 CISCO 路由器與中心路由器采用靜態(tài)路由連接；其余的與中心路由器采用 OSPF 動態(tài)路由協(xié)議連接。 安全管理的需求： 校園用戶接受新鮮事務(wù)的能力非常強(qiáng)，因此校園也成為黑客最多的場所之一，如何保障校園網(wǎng)絡(luò)的安全成為建網(wǎng)時不得不考慮的問題，目前主要攻擊手段有 DOS， DDOS 等 上網(wǎng)日志的需求，主要是配合公安機(jī)關(guān)保證社會的穩(wěn)定和校園的安全 組播業(yè)務(wù)的需求，特別是可控 組播的需求將隨著校園信息化的深入而體現(xiàn)出來。北京科技大學(xué)校園網(wǎng)絡(luò)建設(shè)從網(wǎng)絡(luò)流量模型上看和企業(yè)網(wǎng)的流量模型相似，用戶集中而網(wǎng)絡(luò)流量大，但實(shí)際應(yīng)用上還存在許多和企業(yè)網(wǎng)不同的地方。 另據(jù)華為公司市場部 提供的資料，中國網(wǎng)民的普及率是 %，但在大學(xué)生群體中的普及率是 93%。用戶可通過不同的賬號名或采用相同的賬號，不同的域名認(rèn)證，獲得不同的上網(wǎng)權(quán)限。 北京科技大學(xué)建網(wǎng)需求 北京科技大學(xué)校園網(wǎng)始建 1998 年，經(jīng)過 6 年的不斷發(fā)展，已經(jīng)初具規(guī)模，成為學(xué)校教學(xué)和科研不可缺少的組成部分。 校園網(wǎng)現(xiàn)有管理軟件為 HP Open View 和 3COM Tracent。 原 ATM 組網(wǎng)圖如下所示： 整體建網(wǎng)原則 早期的高校校園網(wǎng)主要是共用內(nèi)部教育系統(tǒng)主機(jī)資源，共享簡單數(shù)據(jù)庫，多以二層交換為主，很少有三層應(yīng)用，存在 安全、可管理性較差、無業(yè)務(wù)增值能力 等方面的問題。 對于用戶上網(wǎng)類型的區(qū)分。 針對學(xué)校的行政系統(tǒng)考慮到安全性要求較高可以采用對與行政系統(tǒng)的應(yīng)用只對部分學(xué)校用戶開放，設(shè)置單獨(dú)的 VLAN，以實(shí)現(xiàn)安全隔離，對于學(xué)籍管理系統(tǒng)也可以同樣采取這樣的方式來進(jìn)行管理設(shè)計(jì)。 北京科技大學(xué)整體校園網(wǎng)的建設(shè)是一個復(fù)雜的多業(yè)務(wù)、多需求