【文章內(nèi)容簡介】 校內(nèi)大量匯聚設(shè)備的萬兆上聯(lián)成本。 值得一提的是， IEEE 高速研究小組已經(jīng)開始 100Gbps（十萬兆）高速以太網(wǎng)的標(biāo)準(zhǔn)化制定工作，預(yù)計標(biāo)準(zhǔn)將在 2020年出臺。采用最新一代面向十萬兆平臺的產(chǎn)品，符合校園網(wǎng)建設(shè)中的保護(hù)投資和先進(jìn)性的原則。在十萬兆標(biāo)準(zhǔn)出臺后，就可以直接升級到下一代以太網(wǎng)。 二、有效的全局安全措施 統(tǒng)一的身份準(zhǔn)入控制及詳細(xì)的日志審計 首先，能夠安全認(rèn)證到桌面。采用六元 素的自動綁定、靜態(tài)綁定、動態(tài)綁定相結(jié)合，可以確保用戶入網(wǎng)時身份唯一，并且避免了 IP 沖突。 其次，實現(xiàn)了管理分級授權(quán)。不同職能的管理者使用同一套系統(tǒng)時可以得到不同的操作界面以及使用權(quán)限，避免了管理的安全隱患。 最后，詳細(xì)的日志審計功能記錄用戶上網(wǎng)的詳細(xì)信息（包括用戶名、 IP、 MAC 等）及完整的用戶訪問外網(wǎng)的記錄（包括源 IP、目的 IP、源端口、目的端口、訪問時間），一旦出現(xiàn)安全事件，可以進(jìn)行快速完整的審計，迅速定位到個人。 設(shè)備本身具有的強(qiáng)大的安全防護(hù)能力 銳捷核心及全線網(wǎng)絡(luò)產(chǎn)品支持豐富的安全防護(hù)能力，包括防 DOS攻擊 (Smurf、 Synflood)，防 IP 掃描 (PingSweep)，防源 IP 地址欺騙 (Source IP Spoofing)、防 ARP欺騙、防病毒、帶寬控制等功能。 銳捷網(wǎng)絡(luò)還在繼承已有的設(shè)備安全防護(hù)能力的技術(shù)基礎(chǔ)上，開發(fā)出了集多種強(qiáng)大安全功能于一體的CSS安全體系設(shè)計。 黑客對計算機(jī)網(wǎng)絡(luò)構(gòu)成的威脅大體可分為兩種：一是對網(wǎng)絡(luò)中設(shè)備的威脅 ,針對設(shè)備系統(tǒng)的漏洞或不足進(jìn)行攻擊 ,導(dǎo)致系統(tǒng)不能正常工作，甚至癱瘓。二是對網(wǎng)絡(luò)中信息 的威脅，以各種方式有選擇地破壞 ,竊取網(wǎng)絡(luò)中的數(shù)據(jù)信息。 CSS安全體系正是通過從 “系統(tǒng) ”和 “數(shù)據(jù) ”兩方面的安全技術(shù)來保護(hù)網(wǎng)絡(luò)的安全。 CSS安全體系主要是通過硬件安全監(jiān)控技術(shù)、硬件安全防護(hù)技術(shù)、豐富的設(shè)備安全管理保證系統(tǒng)的安全，通過硬件的隧道技術(shù)、認(rèn)證技術(shù)、加密技術(shù)保護(hù)了網(wǎng)絡(luò)設(shè)備傳輸?shù)臄?shù)據(jù)的安全。此外，還提供了萬兆位的安全防護(hù)模塊同時保護(hù)系統(tǒng)和數(shù)據(jù)。通過提供萬兆位安全防護(hù)模塊，可以對網(wǎng)絡(luò)中的數(shù)據(jù)進(jìn)行 27層的安全監(jiān)控防護(hù)。 GSN全局安全解決方案 GSN 系統(tǒng)能夠?qū)θW(wǎng)的所有安全事件、網(wǎng)絡(luò)病毒攻擊行為、用戶行為和用戶主機(jī)安全信息進(jìn)行深入分析和全局監(jiān)控。通過這種實時全網(wǎng)偵測，可以在第一時間內(nèi)將網(wǎng)絡(luò)異常現(xiàn)象通過接入層隔離出網(wǎng)絡(luò)，使得網(wǎng)絡(luò)異常現(xiàn)象完全不影響核心網(wǎng)絡(luò)；在發(fā)現(xiàn)安全問題后能自動對用戶進(jìn)行安全事件告警，并迅速根據(jù)用戶身份選擇將用戶隔離到安全修復(fù)區(qū)域或自動阻斷異常數(shù)據(jù)流。這一方案目前在 包括集美大學(xué)在內(nèi)的各高校取得了較好的應(yīng)用效果，例證之一就是：盛極一時并造成巨大影響的熊貓燒香病毒，在這些學(xué)校都悄然無聲。 此外，通過部署 GSN 全局安全，還能輕松的進(jìn)行主機(jī)信息獲??；實現(xiàn)主機(jī)完整性（ HI）規(guī)則（通過一系列規(guī)則的定義，約定了對用戶主機(jī)的準(zhǔn)入標(biāo)準(zhǔn)）；利用先進(jìn)的 “免疫性 ”ARP防病毒防攻擊技術(shù)，徹底解決 ARP木馬等病毒 /攻擊帶來的網(wǎng)絡(luò)中斷事故的影響。 三、負(fù)載均衡、冗余備份的出口設(shè)計 超強(qiáng)的 NAT、 PBR性能 當(dāng)前，校園網(wǎng)出口面臨的首要問題就是性能問題。性能問題主要體現(xiàn)在出口設(shè)備啟用 NAT（地址轉(zhuǎn)換）和 PBR（策略路由）功能的情況下。正是基于對校園網(wǎng)出口高性能的考慮，銳捷為校園網(wǎng)出口定制的網(wǎng)絡(luò)出口引擎 NPE50 系列能夠： 1）在啟用 NAT、 ACL、 PBR（策略路由）的情況下，在通常情況報文流情況下（平均報文長度為500byte 左右的混合報文），雙向可以達(dá)到 8Gbps 的線速轉(zhuǎn)發(fā)。每秒高達(dá) 30萬條的 NAT新建連接會話。在 2Gbps 的 NAT線速轉(zhuǎn)發(fā)下，每秒達(dá)到新建 7 萬條 NAT會話。 2）達(dá)到 200萬條的并發(fā) NAT會話數(shù)。如果按照每個網(wǎng)絡(luò)節(jié)點 300條 NAT會話，則可以同時支持將近 7000臺的網(wǎng)絡(luò)節(jié)點同時在線。 出口線路自動負(fù)載均衡、出口設(shè)備的冗余備份及鏈路的冗余備份 一方面在流量的策略上，能夠?qū)崿F(xiàn)基于源頭的流量區(qū)分和基于訪問目的的出口控制。具體舉例來說，可以將學(xué)生的流量和老師的流量制定不同的路由路徑；在對外出口上，根據(jù)所訪問的資源進(jìn)行劃分，教育網(wǎng)免費資源走 CERNET出口，免費地址列表之外的都走網(wǎng)通或者電信出口。 另一方面，從可用性角度，實現(xiàn)了任何一臺設(shè)備（任 何一臺防火墻或者任何一臺網(wǎng)絡(luò)出口引擎）的故障或者任何一條鏈路的癱瘓，都將使相應(yīng)的流量自動切換到另外一臺設(shè)備或者另外一條鏈路上。充分保證出口的可用性，時刻保持網(wǎng)絡(luò)的互聯(lián)互通。 完善的出口日志功能 針對各種網(wǎng)絡(luò)攻擊和安全威脅進(jìn)行日志記錄，采用統(tǒng)一的格式，支持本地查看的同時，還能夠通過統(tǒng)一的輸出接口將日志發(fā)送到日 志服務(wù)器，為用戶事后分析、審計提供重要信息，方案中所能提供的日志包括： ? 1）設(shè)備日志：設(shè)備狀態(tài)，系統(tǒng)事件日志 2）上網(wǎng)記錄日志：上網(wǎng)記錄日志（基于五元組、 NAT） ? 3）攻擊日志：設(shè)備網(wǎng)絡(luò)受到攻擊的日志信息 ? 總的來說，銳捷打造的高校校園網(wǎng)出口希望達(dá)到兩方面的最終效果： 第一、對用戶來說，提 供最快的外網(wǎng)訪問速度。任何的設(shè)備故障 /鏈路問題對用戶來說都是透明的，這中間的自動切換用戶無法感知，也不用去理會。 第二、對于網(wǎng)絡(luò)管理者而言，提供最高的可用性。不但提供強(qiáng)大的性能，而且在穩(wěn)定可靠性方面的提升讓管理維護(hù)變得簡單。 四、高度可運(yùn)營、易管理的網(wǎng)絡(luò) SAM安全計費管理平臺：告別運(yùn)營難題 針對高校校園網(wǎng)絡(luò)靈活運(yùn)營的需求，銳捷網(wǎng)絡(luò) SAMⅡ 校園網(wǎng)解決方案開發(fā)出貼近校園用戶需求的計費模式，不僅有計時長、包月等傳統(tǒng)計費方式，還增加了計天計費方式，并以之為基礎(chǔ)，設(shè)計了一次交 費，分段開通的計費模式。例如，一個學(xué)生需要在 6 月 1 日的時候開通，但是他 6 月 10日的時候需要出去實習(xí) 2 周，這時，用戶完全可以在 6 月 1 日的時候選擇開通 10天，系統(tǒng)就只在這 10天內(nèi)扣除相應(yīng)費用，到10日的時候系統(tǒng)會自動停用該帳號，直到用戶再次選擇開通。 其次， SAMⅡ 提供了完善的自助服務(wù)系統(tǒng)，簡單明了的中文界面為用戶提供了包括快捷注冊，個人信息、密碼進(jìn)行修改，上網(wǎng)明細(xì)、交費記錄及余額自助查詢，在線充值、注銷用戶等功能服務(wù)。不但方便了終端用戶繳費，同時也極大地減輕了管理者的管理和收費工作負(fù)擔(dān)，有效緩 解了學(xué)生繳費和學(xué)校收費的矛盾。 另外，為了給高校用戶帶來最優(yōu)的應(yīng)用體驗， SAMⅡ “想用戶之所想 ”， 提供了諸如 “精細(xì)的接入時段管理 ”、 “自動升級客戶端 ”、 “豐富的營帳及帳務(wù)功能 ”。還為學(xué)校提供了完善的流程化服務(wù)。 SAMⅡ 解決方案預(yù)置了包括批量開戶、收費通知、網(wǎng)上故障報修等在內(nèi)的多種應(yīng)用模版。這些看似簡單的模版，是銳捷網(wǎng)絡(luò)服務(wù)數(shù)百所高校用戶的經(jīng)驗積累，銳捷網(wǎng)絡(luò)通過將用戶的需求以及用戶反饋的先進(jìn)經(jīng)驗進(jìn)行積累，逐漸形成的一套立體化服務(wù)體系。需要注意的是，網(wǎng)絡(luò)建成后，該服務(wù)體系還將對用戶進(jìn)行實時跟蹤 ，及時了解用戶需求并為用戶提供網(wǎng)絡(luò)系統(tǒng)定期排查服務(wù)，保障用戶的網(wǎng)絡(luò)輕松運(yùn)行和持續(xù)運(yùn)營。 無線用戶接入管理 部署 WLAN 設(shè)備的時候，無需改動任何的有線網(wǎng)絡(luò)架構(gòu)，可以隨時擴(kuò)展 AP 來增加無線用戶。 WLAN用戶接入認(rèn)證可分為三種模式：