【文章內(nèi)容簡介】 型網(wǎng)絡(luò)。MPLS VPN從業(yè)務(wù)隔離的靈活性、配置/管理復(fù)雜度、擴(kuò)展性、組網(wǎng)對設(shè)備的要求等多方面對比，MPLS L3VPN技術(shù)最適合應(yīng)用在大、中型園區(qū)內(nèi)進(jìn)行業(yè)務(wù)邏輯隔離。MPLS L3VPN原是廣泛應(yīng)用于服務(wù)提供商VPN解決方案中基于PE的技術(shù)，它使用BGP在服務(wù)提供商骨干網(wǎng)上發(fā)布VPN路由，使用MPLS在服務(wù)提供商骨干網(wǎng)上轉(zhuǎn)發(fā)VPN報文。MPLS L3VPN組網(wǎng)方式靈活、可擴(kuò)展性好，并能夠方便地支持MPLS QoS和MPLS TE，因此得到越來越多的應(yīng)用。在BBB大學(xué)YYY新區(qū)園區(qū)中，我們使用交換機(jī)搭建這樣一個MPLS VPN網(wǎng)絡(luò)，承載所有業(yè)務(wù)的傳輸數(shù)據(jù)，并進(jìn)行安全隔離。接入用戶通過網(wǎng)絡(luò)邊緣的CE/MCE設(shè)備接入，認(rèn)證通過后集中策略服務(wù)器根據(jù)認(rèn)證用戶名下發(fā)策略把用戶端口加入到相應(yīng)的VLAN中，通過VLAN接口與VPN的綁定關(guān)系，把用戶加入到相應(yīng)的VPN中去；服務(wù)器端根據(jù)應(yīng)用和訪問用戶的不同，也把數(shù)據(jù)分配到相應(yīng)的VPN中傳輸，并且PE設(shè)備會為每個VPN建立獨(dú)立的轉(zhuǎn)發(fā)表項，各VPN進(jìn)行獨(dú)立的數(shù)據(jù)轉(zhuǎn)發(fā)，這樣就為用戶到服務(wù)器提供了一種端到端業(yè)務(wù)傳輸通道，把不同用戶、不同應(yīng)用的數(shù)據(jù)橫向隔離開來，保證數(shù)據(jù)傳輸?shù)乃矫苄院桶踩浴?) 統(tǒng)一應(yīng)用：能夠?yàn)楦魅航M提供正確的服務(wù)，并進(jìn)行集中的管理和策略控制。傳統(tǒng)物理隔離網(wǎng)絡(luò)造成的一個后果，必然導(dǎo)致安全策略分別部署、管理復(fù)雜度增加、應(yīng)用服務(wù)器需要重復(fù)部署且數(shù)據(jù)同步困難，本方案中各種虛擬化技術(shù)的綜合應(yīng)用，有效解決了以上難題。在校園虛擬化解決方案中，我們?yōu)橛脩籼峁┘械臄?shù)據(jù)中心服務(wù)、統(tǒng)一的Internet/廣域網(wǎng)出口、統(tǒng)一的網(wǎng)絡(luò)監(jiān)控/管理軟件，提高資源的利用率、降低管理復(fù)雜度：校園內(nèi)所有用戶共享統(tǒng)一的Internet/廣域網(wǎng)接口，通過虛擬防火墻、NAT多實(shí)例等部署方案，為不同群組的用戶和業(yè)務(wù)提供靈活的安全策略服務(wù)；集中的數(shù)據(jù)中心，通過計算虛擬化、存儲虛擬化、虛擬安全等技術(shù)，屏蔽底層硬件服務(wù)器、存儲設(shè)備間的差異，根據(jù)業(yè)務(wù)使用分配資源；統(tǒng)一的網(wǎng)絡(luò)管理、監(jiān)控軟件，通過專門的管理VPN，實(shí)現(xiàn)對整網(wǎng)資源的配置管理和對各種業(yè)務(wù)流量的監(jiān)控、規(guī)劃。總體規(guī)劃目標(biāo)根據(jù)以上分析，BBB大學(xué)數(shù)字化校園規(guī)劃目標(biāo)為：建立一個彈性的、可控的、面向教學(xué)與科研等多業(yè)務(wù)的支撐平臺，保障校園數(shù)字化業(yè)務(wù)的高可用性與服務(wù)質(zhì)量，滿足至少五年校園信息化的可持續(xù)發(fā)展支撐。3. 校本部網(wǎng)絡(luò)改造詳細(xì)設(shè)計. 本部校園網(wǎng)網(wǎng)絡(luò)改造設(shè)計校本部目前共有科學(xué)館30文淵樓71北院計算中心3間核心機(jī)房，核心機(jī)房之間均有光纜直接連接，可劃分為科學(xué)館片區(qū)網(wǎng)絡(luò)、文淵樓片區(qū)網(wǎng)絡(luò)和北院片區(qū)網(wǎng)絡(luò)。各個片區(qū)網(wǎng)絡(luò)中，建議將接入交換機(jī)改造為千兆接入交換機(jī)H3C S512024PEI，無需升級即可實(shí)現(xiàn)基于硬件的IPv4和IPv6的全線速轉(zhuǎn)發(fā)，同時支持IPv6的ACL和網(wǎng)管，實(shí)現(xiàn)IPv4到IPv6的平滑升級；。，防止未經(jīng)認(rèn)證的用戶登錄網(wǎng)絡(luò)；支持Secure Shell V2（SSH V2）特性可以提供安全的信息保障和強(qiáng)大的認(rèn)證功能，以保護(hù)以太網(wǎng)交換機(jī)不受諸如IP地址欺詐、明文密碼截取等等攻擊。匯聚層可將S551C3550改造為H3C S550028FEI，提供24個千兆SFP端口的同時，支持4端口萬兆的擴(kuò)展，可實(shí)現(xiàn)未來萬兆骨干網(wǎng)絡(luò)的平滑升級。S550028FEI同樣無需升級即可實(shí)現(xiàn)基于硬件的IPv4和IPv6的全線速轉(zhuǎn)發(fā)，支持DHCP Snooping，防止欺騙的DHCP服務(wù)器。. 本部校園網(wǎng)出口改造設(shè)計. 現(xiàn)狀分析及改造目標(biāo)BBB大學(xué)校本部現(xiàn)有網(wǎng)絡(luò)拓?fù)洌赫埜鶕?jù)學(xué)校實(shí)際情況畫出拓?fù)鋱D目前出口現(xiàn)狀及問題分析如下：無邊界路由器，校本部科學(xué)館CISCO6509還承擔(dān)了校園網(wǎng)出口路由器的功能，科學(xué)館CISCO6509核心交換機(jī)負(fù)載過大，影響了校園網(wǎng)骨干網(wǎng)絡(luò)的穩(wěn)定；出口流量整形和行為審計校園網(wǎng)出口沒有流量整形控制和行為審計系統(tǒng)，對于出現(xiàn)濫用網(wǎng)絡(luò)帶寬的情況和存在的安全隱患無法控制，在出現(xiàn)安全事件時無法追查到個人。因此本次出口改造的目標(biāo)如下：校園網(wǎng)邊界路由器，改善和提高出口性能，滿足到CERNET（帶寬將升至1Ｇ）和公眾網(wǎng)（目前有中國電信100M）多廣域出口的路由策略要求。CERNET2（IPv6節(jié)點(diǎn)）仍使用CISCO12404做單一出口。增加一臺高性能防火墻，從而提高出口的安全性、可靠性和出口帶寬。增加流量分析和整形設(shè)備，掌握網(wǎng)絡(luò)帶寬真正使用情況，保障關(guān)鍵業(yè)務(wù)的帶寬，使出口帶寬資源合理有效分配，提高出口帶寬的有效利用。增加出口流量控制和上網(wǎng)行為（內(nèi)容）審計系統(tǒng)，實(shí)現(xiàn)實(shí)時高速的對網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)流進(jìn)行采集、分析、審計、備份和還原，并進(jìn)行實(shí)時阻斷、報警和安全聯(lián)動，防止內(nèi)部網(wǎng)絡(luò)敏感信息的泄漏以及非法信息的傳播。. 詳細(xì)設(shè)計出口部署2臺H3C 開放多核路由器SR6616，互為線路和路由備份，SR6616采用多核多線程處理器、全分布式處理架構(gòu)，路由引擎和業(yè)務(wù)引擎硬件分離，所有引擎上控制平面和業(yè)務(wù)平面分離，確保系統(tǒng)全速運(yùn)行時業(yè)務(wù)和控制互不干擾，主備倒換時不丟包，業(yè)務(wù)不中斷；各業(yè)務(wù)引擎可獨(dú)立完成NAT、IPSec、Netstream等業(yè)務(wù)的分布式處理，提高系統(tǒng)的整體業(yè)務(wù)能力，消除傳統(tǒng)高端路由器通過專門的業(yè)務(wù)板處理所造成的高成本；支持分布式的SSL VPN處理，提供遠(yuǎn)程安全接入功能。出口部署一臺SecPath F5000A萬兆防火墻，吞吐量不低于40G，可通過包過濾和狀態(tài)檢測技術(shù)實(shí)現(xiàn)安全區(qū)域的劃分和邊界的隔離，根據(jù)安全策略控制出入網(wǎng)絡(luò)的信息流，針對各部門業(yè)務(wù)采用虛擬防火墻技術(shù)進(jìn)行智能區(qū)域隔離、劃分虛擬專網(wǎng)等。SecPath F5000A可配置雙電源冗余，保證設(shè)備可靠性，原有防火墻基于性能不足和簡化網(wǎng)絡(luò)結(jié)構(gòu)考慮，建議不再在出口部署，可移至它處使用。SecPath F5000A萬兆防火墻采用多核處理器，保證并行業(yè)務(wù)同時高速處理；采用分布式并行處理機(jī)制，數(shù)據(jù)快速轉(zhuǎn)發(fā)不經(jīng)過主控板，可成倍提升整機(jī)性能，確保前期低成本投入，后期順利擴(kuò)容；具備400萬并發(fā)的高性能NAT特性。多條出口鏈路的情況下，可在SecPath F5000A出口設(shè)置等價路由實(shí)現(xiàn)鏈路負(fù)載分擔(dān)；根據(jù)上行報文的特征，也可使用策略路由做負(fù)載分擔(dān)；SecPath F5000A通過探測鏈路，可分析最優(yōu)路徑（時延?。?，自動選擇最優(yōu)路徑轉(zhuǎn)發(fā)，實(shí)現(xiàn)鏈路負(fù)載均衡。出口在線部署一臺H3C ACG8800高性能應(yīng)用控制網(wǎng)關(guān)，對網(wǎng)絡(luò)的應(yīng)用進(jìn)行深度的識別分析，并對這些應(yīng)用加以疏導(dǎo)和控制，同時配合統(tǒng)一的管理中心對網(wǎng)絡(luò)違法行為進(jìn)行記錄審查。ACG8800最大并發(fā)會話數(shù)2M，整機(jī)處理能力4 Gbps，滿足BBB大學(xué)校本部近萬用戶的規(guī)模使用。為了和現(xiàn)有網(wǎng)絡(luò)能夠無縫連接ACG8800可同時提供千兆光接口和千兆電接口。ACG8800同時支持多路網(wǎng)絡(luò)上行、下行的檢測，支持在不同的方向上應(yīng)用不同的應(yīng)用控制策略；支持與標(biāo)準(zhǔn)Radius服務(wù)器的聯(lián)動，實(shí)現(xiàn)IP到用戶應(yīng)用監(jiān)測與控制；支持對可識別的協(xié)議提供基于用戶、時間、地域、應(yīng)用等的綜合組合進(jìn)行控制，包括告警、限速、干擾、阻斷等控制策略；具有完善的日志輸出，提供基于用戶、時間、應(yīng)用等的流量與流向分析報告功能，同時提供靈活的自定義報表輸出；支持行為審計功能，提供對WEB應(yīng)用、FTP應(yīng)用、Email應(yīng)用、數(shù)據(jù)庫應(yīng)用等的審計；支持網(wǎng)管軟件統(tǒng)一網(wǎng)管，支持SNMPvSNMPv2C、SNMPv3；支持CONSOLE、TELNET、WEB等管理方式。改造后的校本部出口拓?fù)淙缦拢赫埜鶕?jù)學(xué)校實(shí)際情況畫出拓?fù)鋱D4. YYY校區(qū)信息網(wǎng)絡(luò)設(shè)計. 校園信息網(wǎng)絡(luò)總體設(shè)計. 技術(shù)需求校園信息網(wǎng)作為公用信息傳輸平臺，應(yīng)滿足NGN綜合業(yè)務(wù)要求，滿足國家下一代互聯(lián)網(wǎng)（CNGI）對網(wǎng)絡(luò)提出的要求，全網(wǎng)設(shè)備支持IPv6/v4雙棧協(xié)議。l 出口需求教育網(wǎng)采用統(tǒng)一由校本部出口，電信出口原則上按YYY校區(qū)由YYY校區(qū)統(tǒng)一出口、校本部由校本部統(tǒng)一出口，其他運(yùn)營商出口由校本部出口統(tǒng)一出口，新老校區(qū)電信出口互為備份。l 無線接入需求在圖書館、體育館、會議室等公共區(qū)域場所實(shí)現(xiàn)有線、無線同時覆蓋。l 網(wǎng)絡(luò)安全性需求校園內(nèi)部網(wǎng)絡(luò)安全考慮，首先是公共資源的安全，如數(shù)據(jù)中心、圖書館要防止來自內(nèi)網(wǎng)的攻擊和安全事件；其次是各單位自身的數(shù)據(jù)安全需求；最后是用戶的接入管理；要建設(shè)一個安全、可靠、穩(wěn)定的出口來防止來自互聯(lián)網(wǎng)的攻擊。l 統(tǒng)一網(wǎng)絡(luò)管理平臺為了保障網(wǎng)絡(luò)安全、穩(wěn)定運(yùn)行，簡化管理，必須對所有網(wǎng)絡(luò)設(shè)備的狀態(tài)、性能、配置、密碼、故障、安全事件、資產(chǎn)進(jìn)行統(tǒng)一管理、監(jiān)控，使網(wǎng)絡(luò)管理者能及時、清楚的了解整個網(wǎng)絡(luò)的運(yùn)行狀況。l 時鐘同步系統(tǒng)保證網(wǎng)絡(luò)上的各種設(shè)備如服務(wù)器、交換機(jī)、路由器具有統(tǒng)一的時間。設(shè)計要求l 網(wǎng)絡(luò)整體構(gòu)架整個網(wǎng)絡(luò)采用雙核心、匯聚（核心和匯聚層設(shè)備物理位置集中在核心機(jī)房）、接入三層構(gòu)架方式，每個匯聚點(diǎn)以萬兆雙鏈路上聯(lián)至核心節(jié)點(diǎn)，公共區(qū)域雙鏈路千兆上聯(lián)至兩核心機(jī)房匯聚交換機(jī)，學(xué)生宿舍每棟樓單鏈路千兆上聯(lián)至就近學(xué)生宿舍區(qū)匯聚交換機(jī)，提供辦公區(qū)域千兆或百兆、學(xué)生區(qū)域百兆接入；信息學(xué)院、軟件學(xué)院、圖書館實(shí)現(xiàn)雙萬兆連接至匯聚。l 新老校區(qū)互聯(lián)和出口新老校區(qū)互連：YYY校區(qū)是老校區(qū)網(wǎng)絡(luò)的一個延伸，在YYY新區(qū)網(wǎng)絡(luò)建成以后，新老校區(qū)網(wǎng)絡(luò)的融合將是非常關(guān)鍵的，因此在設(shè)計時考慮通過YYY校區(qū)兩臺核心交換機(jī)分別和老校區(qū)科學(xué)館、文淵樓兩臺核心互聯(lián)來實(shí)現(xiàn)新老校區(qū)的融合，構(gòu)成4節(jié)點(diǎn)核心骨干網(wǎng)。根據(jù)新老校區(qū)互聯(lián)光纖（由XXX市廣電網(wǎng)絡(luò)有限公司提供）的情況選擇千兆或萬兆鏈路連接。出口：在YYY校區(qū)網(wǎng)絡(luò)建成后，YYY校區(qū)將有一個電信出口（約500M），老校區(qū)保持現(xiàn)狀不變，有電信（100M）、教育網(wǎng)等出口（1G），將來增加其它運(yùn)營商出口也考慮在校本部實(shí)現(xiàn)（如果其他運(yùn)營商也進(jìn)入到了YYY大學(xué)園區(qū)，也能在YYY增加其他運(yùn)營商的出口）。l 整網(wǎng)路由規(guī)劃校園網(wǎng)全網(wǎng)采用OSPF路由協(xié)議，教育網(wǎng)出口由校本部出口，電信出口由YYY校區(qū)自己的電信線路出口，其它運(yùn)營商出口集中在校本部出口。l 網(wǎng)絡(luò)安全1）邊界防護(hù)：在整個網(wǎng)絡(luò)的外部出口部署防火墻＋I(xiàn)PS設(shè)備，對出口流量進(jìn)行管理、對應(yīng)用進(jìn)行識別控制的目的，防止校園網(wǎng)絡(luò)帶寬濫用。出口安全可達(dá)到線速萬兆，支持校園網(wǎng)對帶寬的高速需求。2)數(shù)據(jù)中心保護(hù):網(wǎng)絡(luò)中心、圖書館兩個核心數(shù)據(jù)機(jī)房使用防火墻＋I(xiàn)PS重點(diǎn)進(jìn)行保護(hù)。l 內(nèi)網(wǎng)控制和行為審計為保護(hù)校園骨干網(wǎng)絡(luò)，在每個分支的匯聚節(jié)點(diǎn)（包括大匯聚區(qū)域和服務(wù)器的匯聚區(qū)域）部署安全管理設(shè)備統(tǒng)一管理從不同匯聚節(jié)點(diǎn)收集的安全事件，并能夠自動輸出審計報告，全面掌握全網(wǎng)的安全狀況。l 對于公共機(jī)房、獨(dú)立內(nèi)部局域網(wǎng)學(xué)院的網(wǎng)絡(luò)接入要求信息學(xué)院、軟件學(xué)院、圖書館、現(xiàn)教中心公共機(jī)房、實(shí)驗(yàn)室等有自己內(nèi)部管理系統(tǒng)的終端用戶，為保證接入校園網(wǎng)時的安全及網(wǎng)絡(luò)資源的正常使用，應(yīng)當(dāng)具有防ARP病毒、防DHCP欺騙的功能，并且在這些區(qū)域內(nèi)采用嚴(yán)格的端點(diǎn)準(zhǔn)入控制。l 無線網(wǎng)絡(luò)要實(shí)現(xiàn)對無線上網(wǎng)可管可控。無線網(wǎng)絡(luò)集中的策略管理，所有AP無需配置，策略可通過無線交換機(jī)統(tǒng)一下發(fā)；支持多種認(rèn)證及計費(fèi)技術(shù)（Portal、MAC）；有效的非法AP管理方案，AP在接入正常用戶的同時，可發(fā)現(xiàn)并將非法AP隔絕在網(wǎng)外。l 其它專網(wǎng)如果其它專網(wǎng)（部分或全部）要在校園信息網(wǎng)絡(luò)上運(yùn)行，則考慮在校園網(wǎng)上提供VPN的方式來實(shí)現(xiàn)，校園網(wǎng)提供安全通道，但各應(yīng)用系統(tǒng)必須考慮自身的安全措施。l 網(wǎng)絡(luò)管理部署統(tǒng)一的網(wǎng)絡(luò)管理平臺，涵蓋拓?fù)?、告警、性能和配置等管理功能，使網(wǎng)絡(luò)狀況一目了然，而且需要結(jié)合交換機(jī)和路由器設(shè)備，實(shí)現(xiàn)客戶所需的各種嚴(yán)格的訪問控制策略，從而構(gòu)成對網(wǎng)絡(luò)訪問的權(quán)限控制。網(wǎng)絡(luò)管理平臺除了管理傳統(tǒng)的路由器、交換機(jī)外，還可以對網(wǎng)絡(luò)中的無線、安全、語音、存儲、服務(wù)器、打印機(jī)、UPS等設(shè)備進(jìn)行管理，實(shí)現(xiàn)設(shè)備資源的集中化管理；可以快速、準(zhǔn)確地發(fā)現(xiàn)網(wǎng)絡(luò)資源，包括路由方式、ARP方式、IPSec VPN方式、網(wǎng)段方式等；支持設(shè)備面板管理，所見即所得的顯示設(shè)備的資產(chǎn)組成和運(yùn)行狀態(tài)。. 架構(gòu)規(guī)劃BBB大學(xué)YYY新校區(qū)數(shù)字化校園支撐平臺邏輯上以業(yè)務(wù)處理為核心，規(guī)劃為三個平面：業(yè)務(wù)流平面、安全防御層面和管控層面。業(yè)務(wù)流平面為多業(yè)務(wù)支撐的承載基礎(chǔ)。業(yè)務(wù)接口為經(jīng)過分類的不同類型應(yīng)用，連接經(jīng)過優(yōu)化的基礎(chǔ)通訊平臺，按照不同層次、不同技術(shù)的服務(wù)保障措施，實(shí)現(xiàn)用戶與數(shù)據(jù)中心之間、用戶與用戶之間的應(yīng)用交互。l 對于基礎(chǔ)平臺，經(jīng)過優(yōu)化處理，將對業(yè)務(wù)的靈活性、可控性、性能、可靠性起到提升的作用。設(shè)計內(nèi)容包括提升局部帶寬消除數(shù)據(jù)傳輸瓶頸，消除平臺單點(diǎn)故障提升網(wǎng)絡(luò)可用性，遷移IPv6技術(shù)提升業(yè)務(wù)的靈活性，部署MPLS VPN提升業(yè)務(wù)可控性。通過對基礎(chǔ)平臺實(shí)施WLAN功能拓展，提供更豐富的接入手段與移動業(yè)務(wù)。l 業(yè)務(wù)通過優(yōu)化設(shè)計，可實(shí)施兩種端到端服務(wù)質(zhì)量保障措施，其一為從園區(qū)內(nèi)部接入通過DSCP技術(shù)進(jìn)行業(yè)務(wù)區(qū)分處理，將COS Mapping到校區(qū)骨干MPLS網(wǎng)的EXP值；其二為對關(guān)鍵業(yè)務(wù)在校區(qū)骨干上部署MPLS PE實(shí)現(xiàn)資源預(yù)留。l 而數(shù)據(jù)中心作為多業(yè)務(wù)部署的心臟，通過災(zāi)備的設(shè)計，規(guī)劃其可靠性、可管理性與可擴(kuò)展性，實(shí)現(xiàn)面向業(yè)務(wù)的集中存儲、數(shù)據(jù)保護(hù)和多系統(tǒng)虛擬化，保障多業(yè)務(wù)系統(tǒng)與用戶之間的交互。安全防御層面，規(guī)劃為層次化的滲透防御部署。面向外網(wǎng)出口層、園區(qū)匯聚層、園區(qū)核心層、數(shù)據(jù)中心、用戶行為控制五個層面安全規(guī)劃設(shè)計。針對業(yè)務(wù)流的整個過程實(shí)現(xiàn)安全防護(hù)。管控層面針對業(yè)務(wù)流各個環(huán)節(jié)的相應(yīng)環(huán)節(jié)，包括設(shè)備資源、用戶資源、業(yè)務(wù)流量、業(yè)務(wù)隔離、安全信息進(jìn)行整合管理，有效調(diào)整業(yè)務(wù)流的可用性和平滑性。通過多個環(huán)節(jié)之間的關(guān)聯(lián)管理，實(shí)現(xiàn)降低多業(yè)務(wù)支撐平臺運(yùn)維的整體擁有成本。. 高可用園區(qū)規(guī)劃BBB大學(xué)YYY新校區(qū)園區(qū)網(wǎng)絡(luò)作為實(shí)際業(yè)務(wù)的接入和承載體，必須具有高可用性。高可用性主要體現(xiàn)在以下幾個方面：l 保持網(wǎng)絡(luò)長時間的無故障運(yùn)行；l 保證突發(fā)情況下的網(wǎng)絡(luò)可用性和可恢復(fù)性；l 惡劣環(huán)境條件下的網(wǎng)絡(luò)應(yīng)用；l 抵抗災(zāi)難。網(wǎng)絡(luò)建設(shè)高可用性設(shè)計，需要全方位多角度的對網(wǎng)絡(luò)可靠性給予充分保障。園區(qū)網(wǎng)絡(luò)高可用性可以通過設(shè)備自身的關(guān)鍵部件冗余、協(xié)議的不間斷轉(zhuǎn)發(fā)技術(shù)以及網(wǎng)絡(luò)拓?fù)?