【文章內(nèi)容簡介】 ，支持高密度、高 帶寬接口，在業(yè)務(wù)系統(tǒng)不斷增長時 ，可通 過增加業(yè)務(wù)模塊 來滿足服務(wù)器接入需求。基于上述因素，我們建議數(shù)據(jù)中心交換機(jī)采用 H3C S7502E 高端交換機(jī)。S7510E 具有 4 個槽位，其中 2 個為業(yè)務(wù)模塊插槽，并支持豐富的接口模 塊，如萬兆、千兆、百兆等類型接口，可根據(jù)網(wǎng) 絡(luò)規(guī)模實(shí)現(xiàn) 在線擴(kuò)展。S7502E 具有高轉(zhuǎn)發(fā)性能，整機(jī)具有 192Gbps 交換容量、143Mpps 轉(zhuǎn)發(fā)性能，同時，S7502E 采用全分布式 轉(zhuǎn)發(fā)，并采用最 長匹配、逐包轉(zhuǎn)發(fā)的處理機(jī)制，保證業(yè)務(wù)的高速率轉(zhuǎn)發(fā)。S7502E 中配置的所有接口均可 實(shí)現(xiàn)線速轉(zhuǎn)發(fā)。 匯聚層設(shè)計(jì)匯聚來自配線間的流量和執(zhí)行策略，當(dāng)路由協(xié)議應(yīng)用于這一層時，具有負(fù)載均衡、快速收斂和易于擴(kuò)展等特點(diǎn)，這一層還可作為 接入設(shè)備的第一跳網(wǎng)關(guān)。 選用的匯聚交換機(jī)應(yīng)具備以下功能和特性：在可靠性方面，匯聚交換機(jī)支持路由協(xié)議平滑重啟，支持 RSTP、MSTP 生成樹協(xié)議，支持 2 層的快速切 換，確保與核心交 換機(jī)組 網(wǎng)的可靠性， 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 15 頁, 共 59 頁在性能方面，匯聚交換機(jī)所有端口線速轉(zhuǎn)發(fā)，包括萬兆接口，保障多種 業(yè)務(wù)進(jìn)行并發(fā)交換。在業(yè)務(wù)特性方面，匯聚交換機(jī)支持豐富的 QoS 特性，可保障重要業(yè)務(wù)得到優(yōu)先轉(zhuǎn)發(fā)；支持 IPv6，可平穩(wěn)過 渡到下一代網(wǎng)絡(luò)。在安全性方面，匯聚交換機(jī)具有安全機(jī)制保障所承載業(yè)務(wù)的安全。基于以上要求，我們建議匯聚交換機(jī)選用 H3C 的 S5500－EI ，S5500－EI 系列交換機(jī)具有以下特點(diǎn)：高擴(kuò)展性保護(hù)投資隨著用戶端速度不斷提高，用戶最終會使集群千兆鏈路達(dá)到飽和，而能夠擁有多條集群 10GE 鏈路將是我們的未來發(fā)展方向。H3C S5500EI 系列交換機(jī)支持兩個擴(kuò)展槽位，每個槽位支持單端口或雙端口的 10GE 擴(kuò)展模塊，在實(shí)現(xiàn)千兆匯聚或接入時保留進(jìn)一步支持 10GE 的擴(kuò)展能力，盡力保護(hù)用戶投資。IPv4 到 IPv6 的演變是以太網(wǎng)發(fā)展的大勢所趨，網(wǎng) 絡(luò)設(shè)備對 于 IPv6 的支持不僅是簡單的可用就行，而是需要達(dá)到商用的標(biāo)準(zhǔn)， S5500EI 已經(jīng)通過了國際最權(quán)威的 IPv6 Ready 第二階 段認(rèn)證，而且通過了信息產(chǎn)業(yè)部嚴(yán)格的 IPv6 入網(wǎng)測試。這個系列產(chǎn)品是基于硬件的 IPv4/IPv6 雙棧平臺，支持豐富的 IPv4 和 IPv6 三層路由協(xié)議、 組播協(xié)議和策略路由機(jī)制，實(shí)現(xiàn) IPv4 到 IPv6 的平滑升級。完備的安全控制策略H3C S5500EI 系列交換機(jī)支持 EAD（端點(diǎn)準(zhǔn)入防御）功能，配合后臺系 統(tǒng)可以將終端防病毒、補(bǔ)丁修復(fù)等 終端安全措施與網(wǎng)絡(luò)接入控制、訪問權(quán)限控制等網(wǎng)絡(luò)安全措施整合為一個聯(lián)動的安全體系，通過對網(wǎng)絡(luò)接入終端的檢查、隔離、修復(fù)、管理和監(jiān)控，使整個網(wǎng)絡(luò)變被動防御為主動防御、 變單點(diǎn)防御為全面防御、 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 16 頁, 共 59 頁變分散管理為集中策略管理，提升了網(wǎng)絡(luò)對病毒、蠕蟲等新興安全威脅的整體防御能力。H3C S5500EI 交換機(jī)支持集中式 MAC 地址認(rèn)證、 認(rèn)證、PORTAL 認(rèn)證，支持用戶帳號、IP、MAC、VLAN、端口等用 戶標(biāo)識 元素的動態(tài)或靜態(tài)綁定，同時實(shí)現(xiàn)用戶策略（VLAN、 QoS、ACL）的動態(tài)下發(fā) ；支持配合 H3C 公司的CAMS 系統(tǒng)對在線用戶進(jìn) 行實(shí)時的管理，及時的診斷和瓦解網(wǎng)絡(luò)非法行為。H3C S5500EI 系列交換機(jī)提供增強(qiáng)的 ACL 控制邏輯 ，支持超大容量的入端口和出端口 ACL，并且支持基于 VLAN 的 ACL 下發(fā)，在簡化用戶配置過程的同時，避免了 ACL 資源的浪 費(fèi)。另外，S5500EI 系列 還將支持單播反向路徑查找技術(shù)（uRPF ），原理是當(dāng)設(shè)備的一個接口上收到一個數(shù)據(jù)包 時，會反向查找路徑來驗(yàn)證是否存在從該接收接口到包中制定的源地址之間的路由，即驗(yàn)證了其真實(shí)性，如果不存在就將數(shù)據(jù)包刪除， 這樣我們就可以有效杜絕網(wǎng)絡(luò)中日益泛濫的源地址欺騙。 7VM 海岸線網(wǎng)絡(luò) 安全資訊站多重可靠性保護(hù)S5500EI 系列交換機(jī)還具備設(shè)備級和鏈路級的多重可靠性保護(hù)。所有機(jī)型都支持內(nèi)置的雙冗余電源，其中 S550028FEI 支持可插拔的冗余電源模塊，也就是說我們可以根據(jù)實(shí)際環(huán)境的需要靈活配置交流或直流電源模塊，此外整機(jī)還支持電源和風(fēng)扇的故障檢測及告警，可以根據(jù)溫度的變化自動調(diào)節(jié)風(fēng)扇的轉(zhuǎn)速，這些設(shè)計(jì)使我們這款盒式交換機(jī)具備了機(jī)柜式交換機(jī)的高可靠性。除了設(shè)備級可靠性以外，還支持豐富的鏈路可靠性以外，還支持豐富的鏈路可靠性技術(shù)，比如華三通信獨(dú) 創(chuàng)的 RRPP 快速環(huán)網(wǎng)保護(hù)機(jī)制。當(dāng)網(wǎng)絡(luò)上承載多業(yè)務(wù)、大流量的時候也不影響網(wǎng) 絡(luò)的收斂時間，保 證業(yè)務(wù) 的正常開展。 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 17 頁, 共 59 頁多業(yè)務(wù)支持能力支持 PoE（Power over Ether）技術(shù)，通過以太網(wǎng) 對所連接的設(shè)備（如 IP Phone, Wireless AP 等）進(jìn) 行遠(yuǎn)程供電，從而使得不必在使用現(xiàn)場為設(shè)備部署單獨(dú)的電源系統(tǒng)，能夠極大地減少部署終端設(shè)備的布線和管理成本。支持 Voice VLAN 技術(shù)，交換機(jī)通過識別端口的語音流，將 對應(yīng) 的接入端口加入 Voice VLAN（專用語 音 VLAN）中，為語音流量提供專門通道，并自動下發(fā)優(yōu)先級規(guī)則保證語音流的優(yōu)先傳輸來保證通話質(zhì)量。同時通過設(shè)置 Voice VLAN 安全特性，只允許語音流量通過，可以有效防止突發(fā)數(shù)據(jù)流量對 Voice VLAN 內(nèi)的語音流量的沖擊。H3C S5500EI 系列交換機(jī)支持 MCE 功能，可以有效解決多 VPN 網(wǎng)絡(luò)帶來的用戶數(shù)據(jù)安全與網(wǎng)絡(luò)成本之間的矛盾，它使用 CE 設(shè)備本身的 VLAN 接口編號與網(wǎng)絡(luò)內(nèi)的 VPN 進(jìn)行綁定，并 為每個 VPN 創(chuàng)建和 維護(hù)獨(dú)立的路由轉(zhuǎn)發(fā)表（MultiVRF）。這樣不但能夠隔離私網(wǎng)內(nèi)不同 VPN 的報文轉(zhuǎn)發(fā)路徑，而且通過與PE 間的配合，也能夠?qū)⒚總€ VPN 的路由正確發(fā)布至對端 PE，保證 VPN 報文在公網(wǎng)內(nèi)的傳輸。豐富的 QoS 策略H3C S5500EI 系列交換機(jī)支持支持 L2（Layer 2）~L4（Layer 4）包過濾功能，提供基于源 MAC 地址、目的 MAC 地址、源 IP 地址、目的 IP 地址、TCP/UDP 端口號、協(xié)議類型、VLAN 的流分 類。提供靈活的 對列 調(diào)度算法，可以同 時基于端口和隊(duì)列進(jìn)行設(shè)置，支持 SP（Strict Priority）、WRR（Weighted Round Robin）、SP+WRR 三種模式。支持 CAR（Committed Access Rate）功能，粒度最小達(dá)64Kbps。支持出、入兩個方向的端口鏡像，用于 對指定端口上的 報文進(jìn)行監(jiān)控，將端口上的數(shù)據(jù)包復(fù)制到監(jiān)控端口，以進(jìn)行網(wǎng)絡(luò)檢測和故障排除。 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 18 頁, 共 59 頁出色的管理性H3C S5500EI 系列交換機(jī)支持 SNMPv1/v2/v3（Simple Network Management Protocol），可支持 Open View 等通用網(wǎng)管平臺以及 iMC 智能管理中心。支持 CLI命令行，Web 網(wǎng)管， TELNET，HGMP 集群管理，使設(shè)備管理更方便，并且支持 等加密方式，使得管理更加安全。H3C S5500EI 系列交換機(jī)支持基于 MAC 地址劃分 VLAN，很好的解決了移動辦公的智能靈活管理；結(jié)合特有的基于全局和 VLAN 下發(fā) ACL 策略，在簡化用戶配置的同時，也大幅 節(jié)約了硬件資源。 該系列交 換機(jī)還支持 sFlow 功能，可以對出入方向的報文按比例隨機(jī)抽樣，靈活實(shí)現(xiàn)報文采集。 網(wǎng)絡(luò)出口設(shè)計(jì)網(wǎng)絡(luò)出口實(shí)現(xiàn)校園網(wǎng)絡(luò)與外界網(wǎng)絡(luò)互聯(lián)，出口網(wǎng)絡(luò)應(yīng)具有一定的可靠性，提供網(wǎng)絡(luò)安全防護(hù)能力，并對 出口帶寬進(jìn)行有效的分配和控制，同時加強(qiáng)對用戶行為進(jìn)行監(jiān)管。網(wǎng)絡(luò)出口配置 1 臺高端路由器，路由器實(shí)現(xiàn)外部網(wǎng)絡(luò)互聯(lián)，并提供 NAT 功能，配置 1 臺應(yīng)用控制網(wǎng)關(guān)，實(shí)現(xiàn)對出口帶寬的靈活 調(diào)配，并 實(shí)現(xiàn)對用戶行為進(jìn)行審計(jì)和監(jiān)管。并通過核心交 換機(jī)的防火墻模塊實(shí)現(xiàn)對網(wǎng)絡(luò)區(qū)域的隔離和訪問控制。網(wǎng)絡(luò)出口路由器應(yīng)具備以下功能和特性：在可靠性方面，路由器應(yīng)支持電源、 處理系統(tǒng)的冗余備份。在性能方面，路由器應(yīng)提供高性能轉(zhuǎn)發(fā)，并具有 優(yōu)越的 NAT 處理能力。在業(yè)務(wù)特性方面，路由器支持豐富的 QoS 特性，可保障重要業(yè)務(wù)得到優(yōu)先轉(zhuǎn)發(fā)；支持 IPv6，可平穩(wěn)過渡到下一代網(wǎng)絡(luò)。 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 19 頁, 共 59 頁在安全性方面，路由器有安全機(jī)制保障所承載業(yè)務(wù)的安全。基于上述因素，我們建議出口路由器采用 H3C SR6604 高端路由器。應(yīng)用控制網(wǎng)關(guān)選用 H3C SecPath ACG（Application Control Gateway），H3C ACG 是 業(yè)界識別最全面、控制手段最豐富的高性能應(yīng)用控制網(wǎng)關(guān)，能對網(wǎng)絡(luò)中的 P2P/IM 帶寬濫用、 “地下 ”VoIP、“一拖 N”、網(wǎng) 絡(luò)游戲、炒股、多媒體 應(yīng)用、非法網(wǎng)站訪問等行為進(jìn)行精細(xì)化識別和控制；同時，可對網(wǎng)絡(luò)流量、用戶上網(wǎng)行為進(jìn)行深入分析與全面的事后審計(jì)，并具有強(qiáng)大的 URL 過濾功能，進(jìn)而幫助用戶優(yōu)化其網(wǎng)絡(luò)資源，全面了解網(wǎng)絡(luò)應(yīng) 用模型和流量趨勢，開展各項(xiàng)業(yè)務(wù)提供有力的支撐。H3C ACG 具有以下優(yōu)點(diǎn)：強(qiáng)大的 P2P/IM 業(yè)務(wù)監(jiān)控通過 H3C 長期積累的狀態(tài)機(jī)檢測技術(shù)，能精確檢測 Thunder（迅雷）、BitTorrent、eMule（電騾）、eDonkey （電驢）、 、MSN、PPLive 等近百種 P2P/IM應(yīng)用。同 時，可基于時間、用 戶、區(qū)域、應(yīng)用協(xié)議等，對 P2P/IM 應(yīng)用進(jìn)行告警、限流、干擾 或阻斷。完善的安全審計(jì)系統(tǒng)可對各種 P2P/IM、網(wǎng)絡(luò)游戲、網(wǎng)絡(luò)多媒體、文件共享、郵件收發(fā)、數(shù)據(jù)傳輸?shù)雀鞣N上網(wǎng)行為提供全方面的行為監(jiān)控和記錄；同時，通過綜合分析、檢測用戶網(wǎng)絡(luò)流量與流向趨勢，事后 對歷史數(shù)據(jù)進(jìn)行分析， 為 用戶提供細(xì)粒度的網(wǎng)絡(luò)行為審計(jì)管理系統(tǒng)。強(qiáng)大的過濾功能通過自定義 IP 地址、主機(jī)名、正則表達(dá)式等方式設(shè)置 URL 特征庫，支持根據(jù)不同的 URL 策略設(shè)置不同的響應(yīng)方式，支持根據(jù)時間表對不同的 URL 策略 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 20 頁, 共 59 頁設(shè)置不同的響應(yīng)動作，避免保密信息的外泄，免受非法信息的干擾，確保網(wǎng) 絡(luò)的健康使用。豐富的報表提供業(yè)務(wù)流量趨勢圖、流量分布圖、 Top N 用戶列表、Top N 應(yīng)用協(xié)議列表等報表，并支持按照用戶名 /用戶組、使用 頻度、使用時段、應(yīng)用分類、應(yīng)用協(xié)議、流量大小等進(jìn)行多維度組合定制報表，使用戶能全面掌握網(wǎng)絡(luò)中的流量、應(yīng)用和業(yè)務(wù)分布， 為合理規(guī)劃網(wǎng)絡(luò) 、制定流量控制策略提供依據(jù)。全面地識別“ 地下”VoIP支持對 Skype、SIP、中 橋、UUCall 等近百種協(xié)議或網(wǎng)關(guān)的呼叫識別、阻斷或干擾。目前，H3C 是唯一能實(shí)現(xiàn)對 Skype 在 PCPC、PCPhone 兩種通信模式進(jìn)行實(shí)時有效控制的廠商。領(lǐng)先的“一拖 N”清理技術(shù)采用業(yè)界流行的 ID 軌跡檢測技術(shù)、時鐘偏移檢測技 術(shù)，結(jié)合多種應(yīng)用層特征檢測技術(shù)如應(yīng)用特征檢測、流量/連接數(shù)統(tǒng)計(jì)、 TTL 檢測、MAC 地址檢測等，能實(shí)時準(zhǔn)確的識別出以 NAT、Proxy 方式進(jìn)行共享接入的用戶以及準(zhǔn)確的 PC 數(shù)量，并實(shí)施告警、阻斷等控制措施。用戶行為分析采用先進(jìn)的技術(shù)分析手段，全面分析網(wǎng)絡(luò)應(yīng)用的流量類型和流量流向趨勢，統(tǒng)計(jì)網(wǎng)絡(luò)熱點(diǎn)，發(fā)掘業(yè)務(wù)增 長點(diǎn)；分析用戶行為， 統(tǒng)計(jì) 用戶興趣， 為個性化運(yùn)營提供依據(jù)，并通過開放的平臺接口，與第三方 業(yè)務(wù)平臺 對接，提供高附加 值業(yè)務(wù)，如在用戶行為興趣分析的基礎(chǔ)上提供定向 WEB 廣告服務(wù)。高性能、高可靠性基于新一代多核 CPU 多核架構(gòu)及分布式搜索引擎，同時配合高容量的交換 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 21 頁, 共 59 頁背板，確保 SecPath ACG 在各種大流量、復(fù) 雜應(yīng)用的 環(huán)境下，仍能具備千兆級線速業(yè)務(wù)處理能力，僅有微秒級時延。通過掉電保護(hù)（PFC）、二層回退等高可靠性設(shè)計(jì)，確保 SecPath ACG 在斷電、軟硬件故障或鏈路故障的情況下，網(wǎng)絡(luò)鏈路仍然暢通，保證用戶業(yè)務(wù)的不間斷正常運(yùn)行。及時的特征庫更新H3C 專業(yè)安全團(tuán)隊(duì)密切跟蹤應(yīng)用變化，并 對應(yīng)用協(xié)議特征庫及時更新；支持在線自動/手動升級方式，升 級過程無需重啟系統(tǒng)，不影響系統(tǒng)業(yè)務(wù)運(yùn)行。 接入層設(shè)計(jì)接入層實(shí)現(xiàn)各終端電腦的高速接入，根據(jù)各業(yè)務(wù)系統(tǒng)的分布，可采用千兆到桌面以及百兆到桌面兩種方案。對于辦公大樓、圖書館、實(shí)驗(yàn)室等對網(wǎng)絡(luò)帶寬要求較高的,建議采用千兆到桌面的解決方案。對于教學(xué)樓、宿舍區(qū)的接入可采用 10/100M 到終端的解決方案。接入層交換機(jī)應(yīng)具有豐富的安全特性，配合用戶認(rèn)證系統(tǒng)實(shí)現(xiàn)對接入用戶的認(rèn)證計(jì)費(fèi)，同時，交換機(jī)還應(yīng)具有防偽 DHCP Server 的接入， 對終端 ARP 各種形式攻擊的防護(hù)。接入層交換機(jī)，我們建議千兆交換機(jī)選用 H3C S5100 系列交換機(jī)，百兆到桌面選用 H3C 為教育行業(yè)用戶專門研發(fā)的 E 系列交換機(jī)。選用的 S5100－EI 系列交換機(jī)具有以下特點(diǎn)：靈活的千兆接入和集群管理 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 22 頁, 共 59 頁H3C S5100EI 系列千兆以太網(wǎng)交換機(jī)提供靈活的 16/24/48 個1