【文章內(nèi)容簡介】 擊和控制設備，增強了設備網(wǎng)管的安全性。 SSH（ Secure Shell）和 SNMPv3 可以通過在 Tel 和 SNMP 進程中加密管理信息，保證管理設備信息的安全性，防止黑客攻擊和控制設備。 控制非法用戶使用網(wǎng)絡，保證合法用戶合理化使用網(wǎng)絡，如多元素綁定、端口安全、時間 ACL、基于數(shù)據(jù)流的帶寬限速等 ，滿足企業(yè)網(wǎng)、校園網(wǎng)加強對訪問者進行控制、限制非授權用戶通信的需求。 強大的多業(yè)務支撐能力 支持 IPv IPv6 組播功能，包含豐富的組播協(xié)議。比如 IGMP Snooping、 IGMP、 MLD、PIM、 PIM for IPv MSDP 等協(xié)議族，為 IPv4 網(wǎng)絡、 IPv6 網(wǎng)絡、 IPv4 和 IPv6 共存的網(wǎng)絡提供了組播服務支持。 支持 IGMP 源端口和源 IP 檢查功能，有效地杜絕非法的組播源，提高網(wǎng)絡的安全性。 支持等價路由（ ECMP）等豐富的三層特性和業(yè)務特性，滿足不同網(wǎng)絡鏈路規(guī)劃下的通信需要。 支持豐富的 MPLS VPN 功能。智能偵測 MPLS 斷網(wǎng)，智能選擇冗余線路保持 MPLS VPN的連通性。支持在三層 MPLS VPN 中作為 PE， MVRF 使用。 支持國際流量監(jiān)控標準 IPFIX（ IP Flow Information Export），結(jié)合銳捷流量分析系統(tǒng)，IPFIX 技術可以對網(wǎng)絡中的所有流量進行統(tǒng)計分析和異常檢測，輸出各種豐富的網(wǎng)絡流量分析報表，包括：流量使用報表、歷史報表、接口報表、可解析的主機地址、流量分析、變量顯示等信息，能夠幫助管理員在網(wǎng)絡異常行為發(fā)生時快速分析出網(wǎng)絡中存在的問題，為網(wǎng)絡容量規(guī)劃、網(wǎng)絡應用監(jiān)控 以及故障診斷等提供客觀準確的決策依據(jù)。 完善的 QoS 策略 具備 MAC 流、 IP 流、應用流等多層流分類和流控制能力，實現(xiàn)精細的流帶寬控制、轉(zhuǎn)發(fā)優(yōu)先級等多種流策略，支持網(wǎng)絡根據(jù)不同的應用、以及不同應用所需要的服務質(zhì)量特性，提供服務。 以 DiffServ 標準為核心的 QoS 保障系統(tǒng)，支持 、 IP TOS、二到七層流過濾、 SP、WRR 等完整的 QoS 策略，實現(xiàn)基于全網(wǎng)系統(tǒng)多業(yè)務的 QoS 邏輯。 高可靠性 支持生成樹協(xié)議 、 、 ，完全保證快速收斂，提高容錯能力，保證網(wǎng)絡的穩(wěn)定運行和鏈 路的負載均衡，合理使用網(wǎng)絡通道，提供冗余鏈路利用率。 支持 VRRP 虛擬路由器冗余協(xié)議，有效保障網(wǎng)絡穩(wěn)定。 支持 RLDP，可快速檢測鏈路的通斷和光纖鏈路的單向性，并支持端口下的環(huán)路檢測功湖南工業(yè)職業(yè)技術學院 網(wǎng)絡技術專業(yè)教學資源庫 10 能，防止端口下因私接 Hub 等設備形成的環(huán)路而導致網(wǎng)絡故障的現(xiàn)象。 支持 ERPS （ ），國際標準為核心以太網(wǎng)設計的二層鏈路冗余備份協(xié)議，其環(huán)路阻斷以及鏈路恢復都集中在主控設備上進行 ,非主控設備直接向主控設備匯報自己的鏈路情況 ,無需經(jīng)過其他非主控設備的處理 ,因此環(huán)路中斷以及恢復時間比 STP 快?；谝陨蠀^(qū)別 , ERPS 在 理想環(huán)境下的鏈路恢復能力能夠達到百毫秒級。 在不啟用 STP 的情況下，可以通過 REUP(Rapid Ether Uplink Protection Protocol)提供一個快速上鏈保護功能， REUP 使得用戶在關閉 STP 的情況下，仍提供基本的鏈路冗余，同時提供比 STP 更快的毫秒級故障恢復。 支持 BFD，為各上層協(xié)議如路由協(xié)議， MPLS 等提供一種快速檢測兩臺路由設備之間轉(zhuǎn)發(fā)路徑連通狀態(tài)的方法，大大減少了上層協(xié)議在鏈路狀態(tài)變化時的收斂時間。 接入層設計 接入?yún)^(qū)主要是負責本校區(qū)內(nèi)的信息點互聯(lián)起來，為各個信息點 提供 layer2 層接入功能。 使用百兆接入的全網(wǎng)管交換機，實現(xiàn)百兆用戶到桌面。 接入層主要完成以下功能： 結(jié)合 web portal 認證系統(tǒng)，部署 協(xié)議，實現(xiàn)“入網(wǎng)身份認證，也可升級實現(xiàn)主機健康檢查、網(wǎng)絡安全事件監(jiān)控與主動防御”。 通過 VLAN 定義實現(xiàn)業(yè)務劃分。 實現(xiàn) QoS，對數(shù)據(jù)包進行分類和標記。 接入網(wǎng)設備全部采用百兆鏈路上連匯聚設備，以保證接入網(wǎng)連接匯聚網(wǎng)的帶寬要求。 接入網(wǎng)作為用戶終端接入校園網(wǎng)的接口，在為用戶終端提供高速、方便的網(wǎng)絡接入服務的同時，需要對用戶終端進行入網(wǎng)認證、訪問行為規(guī)范 控制，從而拒絕非法用戶使用網(wǎng)絡，保證合法用戶合理使用網(wǎng)絡資源，并有效防止和控制病毒傳播和網(wǎng)絡攻擊。 當前的數(shù)據(jù)網(wǎng)安全正遭受嚴峻挑戰(zhàn)，病毒、外部入侵（黑客）、拒絕服務攻擊、內(nèi)部的誤用和濫用，以及各種災難事故的發(fā)生，時刻威脅著網(wǎng)絡的業(yè)務運轉(zhuǎn)和信息安全。但與此同時，大多數(shù)正在使用的網(wǎng)絡安全系統(tǒng)都缺乏真正的全局防護能力。當網(wǎng)絡受到來自各方面的攻擊時，整個網(wǎng)絡系統(tǒng)的穩(wěn)定性將無從談起，可以看出，計算機網(wǎng)絡的安全防護能力是影響網(wǎng)絡系統(tǒng)穩(wěn)定可靠性的重要因素之一，網(wǎng)絡設備作為網(wǎng)絡系統(tǒng)的基礎平臺，其安全防護能力顯得尤為重要，尤 其是接入層交換機。所以本次設計交換機具備安全功能如 圖 5 所示。 湖南工業(yè)職業(yè)技術學院 網(wǎng)絡技術專業(yè)教學資源庫 11 圖 5 RGS2600GI 系列 交換機 特性 接入交換機設計為銳捷百兆 RGS2600GI系列 交換機。銳捷接入交換和認證計費系統(tǒng)在湖南本地高校具備眾多案例。已經(jīng)得到客戶廣泛認可。本次配置交換機如下： 24 口百兆接入交換機： RGS2628GI 48 口百兆接入交換機： RGS2652GI 這幾款產(chǎn)品功能完全滿足學校需求，性能和質(zhì)量都通過國家權威測試機構(gòu)（工業(yè)和信息化部電信傳輸研究所）的測試，并且還具備低功耗功能。綜合考慮選用銳捷產(chǎn)品。 本次 配置接入交換機除了上述安全功能外，還可與認證計費系統(tǒng)聯(lián)動，體現(xiàn)特點如下： 接入交換機與計費認證系統(tǒng)聯(lián)動，對接入用戶的信息（用戶名、 IP、 MAC、交換機端口等）自動進行綁定，保證用戶身份的唯一性。 校園網(wǎng)中經(jīng)常存在校園網(wǎng)帳號共享上網(wǎng)、代理、帳號盜用等情況，計費系統(tǒng)需要能夠與接入交換機聯(lián)動，在用戶接入到校園網(wǎng)時，將校園網(wǎng)的帳號信息與交換機、 PC 的硬件信息進行綁定，最大程度保證用戶入網(wǎng)身份唯一，保護賬戶安全，且審計可定位到人。 交換機與計費認證系統(tǒng)聯(lián)動，實現(xiàn)用戶對接入帶寬的控制 需要跟接入交換機聯(lián)動，根據(jù)用戶相應 的計費策略，在接入網(wǎng)絡時就實現(xiàn)帶寬的分配控制。在接入層實現(xiàn)帶寬的控制，可以避免用戶主動或者被動向校園網(wǎng)內(nèi)發(fā)送大量數(shù)據(jù)包，造成內(nèi)網(wǎng)資源的過度占用。 實現(xiàn)基于用戶的策略下發(fā)，實在不同場景下的策略控制。 校園網(wǎng)用戶使用網(wǎng)絡的場景較多，學生需要在宿舍、圖書館等地訪問，老師需要在教室、實驗樓等使用，需要認證計費系統(tǒng)在認證時將針對該用戶的策略下發(fā)到接入交換機上，實現(xiàn)不同場景下的策略控制，如學生只可以在宿舍、圖書館訪問校園網(wǎng)，在教室內(nèi)則拒絕登陸等。 無線交換網(wǎng)絡設計 建設原則： 系統(tǒng)的先進性 － 采用國際最新的無線網(wǎng)絡 科技，使其在無線領域具有較高的水平。結(jié)合學院的實際業(yè)務，建立高可用性的無線系統(tǒng)。 功能的豐富性 – 系統(tǒng)應該具有豐富的無線應用功能，滿足不同人員及訪客的個性化應用需求。 湖南工業(yè)職業(yè)技術學院 網(wǎng)絡技術專業(yè)教學資源庫 12 系統(tǒng)的可擴展性 － 擴充方便，設置修改靈活，操作維護簡單，系統(tǒng)構(gòu)筑時間短，能夠適應業(yè)務的快速變化。 實用性－系統(tǒng)將充分考慮實用性，以學院的實際需求為出發(fā)點，充分滿足學院使用方便、系統(tǒng)管理方便的原則。 系統(tǒng)的可靠性 － 可靠性、穩(wěn)定性是本系統(tǒng)一個非常重要的設計原則，必須采取有效的手段，保證整個系統(tǒng)的可靠穩(wěn)定運行，并充分做到 7X24 的全天候服務 ，關鍵的設備和功能模塊要做到雙備份，實現(xiàn)多級的冗余設計，保證系統(tǒng)無單一故障點，達到電信運營要求水準，以最大限度的保護學院投資。 系統(tǒng)的共享性 – 充分利用現(xiàn)有各種系統(tǒng)的資源，充分利用有線傳輸以及數(shù)據(jù) IP 網(wǎng)絡，考慮節(jié)省長期運行成本。 規(guī)范性與開放性 － 能夠與 TCP/IP、 Inter 系統(tǒng)、業(yè)務系統(tǒng)等直接或間接互聯(lián)并集成合作。 系統(tǒng)的可維護性 – 在日常運行過程中，系統(tǒng)需提供對運行情況的監(jiān)測和控制功能，從而保證系統(tǒng)的正常運行，強大的功能、友好的界面對系統(tǒng)進行維護是今后系統(tǒng)充分發(fā)揮效力的關鍵。維護系統(tǒng)是為了 讓系統(tǒng)更好的發(fā)揮功效。 系統(tǒng)的可管理性 － 提供統(tǒng)一的圖形化管理工具，方便進行全面的管理。 用戶認證采用多種接入方式為主，同時支持用戶名 /密碼認證方式，且要求能夠與第三方IP 計費廠商的計費解決方案充分融合。 為用戶提供安全的 WLAN 接入方式，保護合法用戶的認證和數(shù)據(jù)信息，防止非法用戶的入侵。 新校區(qū) WLAN 系統(tǒng)業(yè)務類型： 通過 WLAN 接入方式，無線網(wǎng)絡設備能夠支持為 WLAN 用戶提供豐富的數(shù)據(jù)業(yè)務類型，主要包括： (1) 支持互聯(lián)網(wǎng)無線寬帶接入 WLAN 為用戶訪問 Inter 提供了一種寬帶接入方式。通過 WLAN 接入設備，用戶能夠高速使用 WWW， FTP， Email 等各種 Inter 業(yè)務。 (2) 支持虛擬專用網(wǎng)業(yè)務 (VPN) 移動辦公者可以通過 WLAN 接入方式，高速訪問校園內(nèi)部網(wǎng)絡資源，如校園內(nèi)部網(wǎng)頁，內(nèi)部郵件系統(tǒng)，內(nèi)部文件系統(tǒng)等。 (3) 支持多媒體數(shù)據(jù)業(yè)務 WLAN 接入方式為用戶使用多媒體應用（如視頻點播、數(shù)字視頻廣播、視頻會議、遠程醫(yī)療、遠程購物、遠程監(jiān)控、遠程教學等）提供支持。 (4) 支持基于 WLAN 的增值業(yè)務 基于 WLAN 接入方式的的數(shù)據(jù)業(yè)務可以和現(xiàn)有的數(shù)據(jù)業(yè)務結(jié)合，如 VOIP 語音應用，短消 息服務，移動電子郵件，移動個人理財，娛樂天地，位置服務，游戲等。 無線網(wǎng)絡設計是本次新校區(qū)建設的亮度，設計思路：全校設計，重點覆蓋。 湖南工業(yè)職業(yè)技術學院 網(wǎng)絡技術專業(yè)教學資源庫 13 如圖 6 所示。 長 沙 職 業(yè) 技 術 學 院 無 線 網(wǎng) 絡 拓 撲 圖圖 例 ：萬 兆 單 模 光 纖千 兆 光 纖千 兆 六 類 網(wǎng) 線P O E 千 兆 接 入 交 換 機核 心 交 換 機（ 虛 擬 化 交 換 系 統(tǒng) ）公 共 教 學 樓宿 舍 ， 實 訓 樓無 線 室 內(nèi) A P無 線 室 內(nèi) A P宿 舍 樓 專 用無 線 控 制 器其 他 樓 宇 專 用無 線 控 制 器圖 書 館 及 辦 公 ， 等特 殊 教 育 大 樓樓 棟 匯 聚 交 換 機無 線 室 外 A P無 線 室 內(nèi) A P無 線 室 外 A P無 線 室 內(nèi) A P無 線 室 外 A P無 線 室 外 A PP O E 千 兆 接 入 交 換 機P O E 千 兆 接 入 交 換 機P O E 千 兆 接 入 交 換 機樓 棟 匯 聚 交 換 機樓 棟 匯 聚 交 換 機 樓 棟 匯 聚 交 換 機 圖 6 星湘職院校園網(wǎng)無線拓撲結(jié)構(gòu) 新校區(qū)無線由無線 AP，無線 POE 交換機，無線控制器組成。 無線 AP 由于教育應用現(xiàn)代化，無線終端設備種類多種多樣包括：無線手機、平板和無線筆記本。這些接入設備對信號覆蓋強度和無線信道都有要求。 本次使用銳捷 RGAP320I無線 AP，如圖 7 所示。 圖 7 RGAP320I 無線 AP RGAP320I是銳捷網(wǎng)絡推出的 搭載 “ Xsense” 靈動天線的 無線接入點（ AP）產(chǎn)品。業(yè)界領先的 “ Xsense” 靈動天線，跨越式的提升了 AP 的覆蓋性能，保障了移動智能終端最優(yōu)的接入效果。不僅如此，高達 600Mbps 的最大傳輸速率也使得 RGAP320I能夠輕松滿足各種無線業(yè)務的承載使用。而且該產(chǎn)品還充分考慮了無線網(wǎng)絡安全、射頻控制、移動訪問、服務質(zhì)量保證、無縫漫游等重要因素，配合銳捷網(wǎng)絡 WS 系列無線控制器產(chǎn)品，完成無線用戶數(shù)據(jù)轉(zhuǎn)發(fā)、安全和訪問控制。 RGAP320I采用雙路雙頻設計，可支持同時工作在 。湖南工業(yè)職業(yè)技術學院 網(wǎng)絡技術專業(yè)教學資源庫 14 該產(chǎn)品呈壁掛式，可安全方便地安裝于墻壁、天花板等各種位置。 RGAP320I產(chǎn)品可支持本地供電與遠程以太網(wǎng)供電模式，可根據(jù)客戶現(xiàn)場供電環(huán)境進行靈活選擇，特別適合部署在大型校園、企業(yè)辦公、醫(yī)院、運營熱點等環(huán)境。 無線 AP 特性： Xsense：會思考的靈動天線 65536 種天線路徑選擇，覆蓋無死角 銳捷網(wǎng)絡創(chuàng)新研發(fā)的 Xsense 靈動天線矩陣架構(gòu)， RGAP320I內(nèi)置高達 16根陣列天線，并能夠動態(tài)選擇不同的天線組合，支持最高 65536 種組合方案，徹底解決傳統(tǒng)天線 存在覆蓋盲區(qū)的弱點。無論在任何角落， Xsense 都能定制出一條最適合移動智能終端當前位置的天線路徑，真正實現(xiàn)全面覆蓋，絕無死角。 全自動調(diào)節(jié)，讓信號隨你而 “ 動 ”。 無論終端如何移動，都有最佳的信號路徑跟隨，這是 Xsense 靈動天線技術帶來的革命性改變。無需人工干預， Xsense 憑借其強大的運算性能，可以在 1 毫秒內(nèi)完成 300 次指向終端的信號路徑切換，即便在快速奔跑狀態(tài)下也能保證