【文章內(nèi)容簡介】 在CACHE里，以后同樣目的地址的包就不用重新查找，直接采用類似二層交換的技術(shù)，直接轉(zhuǎn)發(fā)到目的端口去。如果路由表項幾乎不變化，則可通過上面所述的硬件精確匹配的方式能夠很快的速度進行查表轉(zhuǎn)發(fā)。但是如果應(yīng)用的情況為路由表項經(jīng)常出現(xiàn)變更的情況，就會導(dǎo)致無法通過硬件的精確匹配的方式查找到路由，這時三層以太網(wǎng)交換機的就會轉(zhuǎn)為通過CPU軟件進行路由查找，查表和轉(zhuǎn)發(fā)速度就會急劇下降。這是工作基本上是處于靠CPU軟件進行路由的“多次慢路由”的情況。也就是說三層交換機在進行數(shù)據(jù)報文轉(zhuǎn)發(fā)時主要根據(jù)數(shù)據(jù)報文的五元組特征進行精確命中數(shù)據(jù)轉(zhuǎn)發(fā)，對于“紅色代碼”病毒攻擊時由于其病毒報文的端口號是頻繁進行變換，其五元組信息始終處于一個不停變換階段，這樣導(dǎo)致三層交換機CPU不停進行路由查找，由于這類報文另外一個特征就是短時間內(nèi)產(chǎn)生大量報文，從而最終導(dǎo)致三層交換機CPU在轉(zhuǎn)發(fā)過程中癱機，同時這臺交換機下掛的三層交換機同樣接收到大量病毒報文，基于上述原因其CPU轉(zhuǎn)發(fā)引擎也將癱機。與此同時當(dāng)上層交換機從轉(zhuǎn)發(fā)報文中緩解過來時而下層交換機又處于癱機中，這樣網(wǎng)絡(luò)路由必然就會出現(xiàn)較大振蕩，交換機轉(zhuǎn)發(fā)性能急劇下降，最終導(dǎo)致所有交換機癱機，整個網(wǎng)絡(luò)不可用。對于采用網(wǎng)絡(luò)拓撲驅(qū)動的路由交換機而言由于采用逐包轉(zhuǎn)發(fā)，進行的是最大匹配方式路由查找，當(dāng)數(shù)據(jù)報文端口號進行變換的情況下，對路由器轉(zhuǎn)發(fā)不造成影響，所以一旦遭受“紅色代碼”病毒攻擊時沒有任何問題。 隔絕學(xué)校之間的攻擊 在核心路由交換機S8500上支持內(nèi)嵌的防火墻、IDS模塊，隨時檢測網(wǎng)絡(luò)中任何來源的攻擊。網(wǎng)絡(luò)中心是和所有學(xué)校校園網(wǎng)直接連接的節(jié)點，S8500可以將這些來自某個學(xué)校攻擊和病毒的影響不擴散到其他學(xué)校。 網(wǎng)絡(luò)管理方案根據(jù)網(wǎng)絡(luò)實際情況可采用華為Quidview網(wǎng)管系統(tǒng)。特性該系統(tǒng)采用開放式結(jié)構(gòu)設(shè)計，嚴格遵守標準的SNMP協(xié)議（RFC1157），主要使用RFC1213定義的MIB信息，具有投資省、使用靈活、易于移植等特點：使用靈活QuidView系統(tǒng)的使用方式非常靈活，既可以作為設(shè)備級的應(yīng)用程序集成到已有的網(wǎng)管平臺（如：HPOpenView、RadiumsNMS、SNMPC、NetManager）中進行網(wǎng)絡(luò)級管理，又可以作為獨立的應(yīng)用程序執(zhí)行進行設(shè)備級管理。同時可以根據(jù)用戶需求進行接口的開放。支持WEB方式基于WEB的管理是網(wǎng)管方式的一次革命，其主要優(yōu)勢在于：基于WEB的管理允許網(wǎng)絡(luò)管理人員使用任一種瀏覽器在網(wǎng)絡(luò)的任何節(jié)點上方便迅速地配置、控制及監(jiān)視網(wǎng)絡(luò)。在Web Server上安裝了網(wǎng)管軟件后，其它網(wǎng)管機器不用預(yù)裝網(wǎng)管軟件，只須安裝了WEB瀏覽器并且設(shè)備能上網(wǎng)，就能使用QuidView系統(tǒng)管理 。成本低QuidView不像大型網(wǎng)管系統(tǒng)那樣系統(tǒng)龐大，它將網(wǎng)管人員最為關(guān)心的網(wǎng)絡(luò)信息直觀而濃縮地呈現(xiàn)于網(wǎng)管人員面前，使其方便地了解設(shè)備各端口的運行情況以及主要的設(shè)備性能指標。支持多種操作系統(tǒng)平臺純Java的實現(xiàn)，保證QuidView無須修改便能運行于當(dāng)前主流 的各種平臺之上。除此以外，QuidView系統(tǒng)使用全新的JFC類庫，所有控件均支持Look and Feel特性，該特性使得QuidView既可以在不同平臺上呈現(xiàn)出統(tǒng)一的顯示風(fēng)格，也能夠使控件的風(fēng)格與操作系統(tǒng)相一致。功能功能描述路由器設(shè)備視圖設(shè)備端口的配置情況：端口個數(shù)、端口種類、端口當(dāng)前狀態(tài)等故障管理對全網(wǎng)設(shè)備的告警信息和運行信息進行實時監(jiān)控，查詢和統(tǒng)計設(shè)備的告警信息。主要功能包括：支持告警相關(guān)性分析；能按照用戶設(shè)置的條件對告警信息進行統(tǒng)計和查詢；提供告警拓撲定位；支持告警Trap規(guī)則定義等。路由器設(shè)備整體配置信息支持拓撲自動發(fā)現(xiàn)功能，系統(tǒng)信息（系統(tǒng)描述、系統(tǒng)標識、重啟時間、所在地、設(shè)備名、聯(lián)絡(luò)方式）、地址轉(zhuǎn)換表、接口表、IP表、IP路由表、TCP聯(lián)接表。性能管理提供對設(shè)備實時性能數(shù)據(jù)的查看功能，使用戶了解當(dāng)前網(wǎng)絡(luò)運行的基本情況和性能狀態(tài)，從而預(yù)防網(wǎng)絡(luò)事故的發(fā)生，預(yù)測網(wǎng)絡(luò)運行狀態(tài)，幫助用戶對網(wǎng)絡(luò)的管理運營進行合理的規(guī)劃。同時可以支持對于網(wǎng)絡(luò)節(jié)點設(shè)備利用率、CPU利用率、故障率、線路流量統(tǒng)計、網(wǎng)絡(luò)時延統(tǒng)計、歷史告警信息等進行統(tǒng)計記錄，并可以實現(xiàn)網(wǎng)絡(luò)流量配置。設(shè)備日志和告警管理在系統(tǒng)獨立運行時，設(shè)備日志管理完成接收設(shè)備發(fā)送到網(wǎng)管的Syslog日志報文，直接保存到文件中；設(shè)備告警管理完成接收設(shè)備發(fā)送到網(wǎng)管的告警報文，將該Trap進行解析并保存到文件中。路由器設(shè)備整體運行狀態(tài)CPU負載、系統(tǒng)溫度、風(fēng)扇狀態(tài)、VOS內(nèi)存空閑率、NonVolatile空閑率、內(nèi)存分布錯誤次數(shù)、內(nèi)存分配不足引起的分配錯誤輸入IP報文、表頭錯誤的輸入IP報文、地址錯誤IP報文、未知協(xié)議數(shù)據(jù)報、緩沖溢出輸入IP報文、緩沖溢出的輸出IP報文、轉(zhuǎn)發(fā)的IP報文、無路由的輸出IP報文、成功重組的IP報文安全日志管理安全管理功能主要有以下幾個方面：操作日志管理，用戶管理，用戶組管理，設(shè)備集管理，操作集管理，權(quán)限管理，用戶登錄管理。路由器設(shè)備端口配置信息接口描述、接口類型、最大傳輸單元、接口速率、物理地址、管理狀態(tài)、操作狀態(tài)、持續(xù)運行時間、本地描述路由器設(shè)備端口運行狀態(tài) 接口使用率、輸入包誤碼率、輸出包誤碼率、輸入包丟棄率、輸出包丟棄率、輸入包未知協(xié)議率 下圖是該產(chǎn)品的界面示例： XXX校校通系統(tǒng)后期規(guī)劃和擴展設(shè)計 上聯(lián)教育城域網(wǎng) XXX校校通工程屬于XXX地市教育信息化工作的一個重要環(huán)節(jié)。XXX校校通系統(tǒng)將通過直聯(lián)光纖的方式采用以太網(wǎng)技術(shù)或和其他區(qū)縣校校通系統(tǒng)共建RPR環(huán)網(wǎng)技術(shù)和教育城域網(wǎng)的RPR骨干環(huán)網(wǎng)相連，如果采用RPR環(huán)網(wǎng)技術(shù)可以根據(jù)實際組網(wǎng)需要和城域網(wǎng)組成相交環(huán)或相交環(huán)。本次XXX校校通系統(tǒng)的出口路由器NE40可以支持RPR環(huán)網(wǎng)接口板。和城域網(wǎng)對接時，需要平滑過渡路由協(xié)議，最終使全地市的教育資源集中共享。 中小學(xué)網(wǎng)絡(luò)數(shù)量擴容由于校校通系統(tǒng)工程采用分期建設(shè)的方法，在今后將有原本不具備條件的中小學(xué)接入到校校通系統(tǒng)中。本次設(shè)計的方案無論在核心交換設(shè)備還是骨干路由設(shè)備都預(yù)留有充分的擴展空間和業(yè)務(wù)插槽，而且骨干設(shè)備的體系結(jié)構(gòu)設(shè)計均采用彈性擴展設(shè)計，在性能方面也預(yù)留了擴展空間，可以支持今后更多的中小學(xué)接入到校校通系統(tǒng)中。 平滑升級IPv6網(wǎng)絡(luò)雖然目前在普教信息化工作中，建設(shè)支持IPv6的網(wǎng)絡(luò)還不具備必要性，但是下一代互聯(lián)網(wǎng)的大潮已經(jīng)來到了我國高校信息化工作中，建設(shè)支持IPv6的校校通系統(tǒng)工程是時間的問題。但是處于保護用戶投資的考慮，不能幾年后將網(wǎng)絡(luò)重建一遍，廢棄原有的網(wǎng)絡(luò)設(shè)備。所以校校通系統(tǒng)工程必須能夠平滑升級至IPv6網(wǎng)絡(luò)。在IPv4和IPv6長期共存的時期中，如何部署過渡型校校通系統(tǒng)工程是我們設(shè)計時必須要考慮的問題。校校通系統(tǒng)工程中采用的所有路由器均能支持IPv6特性，建議在網(wǎng)絡(luò)中采用IPv4/IPv6雙棧技術(shù)。通過中小學(xué)的出口雙棧路由器和網(wǎng)絡(luò)中心的路由器部署6 to4 隧道使所有校園網(wǎng)雙棧終端和IPv4終端能夠訪問下一代教育科研網(wǎng)對于XXX校校通系統(tǒng)工程體系方案，我們進行如下論證： 可行性論證經(jīng)濟實用性XXX投入校校通系統(tǒng)建設(shè)的經(jīng)費有限，而網(wǎng)絡(luò)設(shè)備又非常昂貴，單憑網(wǎng)絡(luò)中心和區(qū)內(nèi)學(xué)校自身的力量建設(shè)一個先進龐大的校校通系統(tǒng)是非常困難的。校校通系統(tǒng)的建設(shè)方式采用與華為3Com公司合作方式，購買設(shè)備和軟件的價格非常優(yōu)惠。因此校校通系統(tǒng)設(shè)計方案具有良好的性能價格比，經(jīng)濟實用，拓撲結(jié)構(gòu)和技術(shù)符合教育資源高度共享、高效率的教育政務(wù)網(wǎng)辦公以及遠程多媒體教學(xué)的需要?？刹僮餍匀A為3Com公司目前為了擴大影響和加強其網(wǎng)絡(luò)技術(shù)的宣傳以及和全國諸多教育城域網(wǎng)、校校通工程有著充足的項目經(jīng)驗和量身定制解決方案的能力，并希望把XXX校校通工程規(guī)劃為公司級宣傳樣板工程。因此，雙方有良好的合作基礎(chǔ)，而且沒有根本的利益上的沖突。 技術(shù)路線論證完備性 該校校通系統(tǒng)方案能夠支撐全部區(qū)內(nèi)網(wǎng)絡(luò)中心、學(xué)校間資源共享、網(wǎng)絡(luò)辦公、遠程多媒體教學(xué)等主要業(yè)務(wù)，并在傳統(tǒng)的網(wǎng)絡(luò)數(shù)據(jù)業(yè)務(wù)基礎(chǔ)上融合語音視訊技術(shù)豐富教學(xué)手段和節(jié)約教育系統(tǒng)辦公的時間、人力、財力資源，具有良好的綜合性。先進性 選用目前最先進的網(wǎng)絡(luò)設(shè)備和管理軟件，使校校通系統(tǒng)具備了跟蹤最新技術(shù)的基礎(chǔ)，通過校校通系統(tǒng)同廠商進行廣泛而深層次的合作，不斷把最新的技術(shù)引入校校通系統(tǒng)，不斷充實校校通系統(tǒng)的應(yīng)用中，并充分保證校校通系統(tǒng)可以滿足未來5~10年內(nèi)的業(yè)務(wù)需求。l 支持QoS、MPLS、VPN、視頻、IP語音、可控組播、環(huán)網(wǎng)技術(shù)等先進網(wǎng)絡(luò)和通信技術(shù)。l 具有高可靠性：具有很高的容錯能力，具有抵御外界環(huán)境和人為操作失誤的能力，保證任何單點故障都不影響整個網(wǎng)絡(luò)的正常運作。l 具有良好的安全性：具有保證系統(tǒng)安全，防止系統(tǒng)被人為破壞的能力。支持AAA功能、ACL、IPSEC、NAT、路由驗證、CHAP、PAP、CA、MDDES、3DES、日志等安全功能?？蓴U展性易于增加新設(shè)備、新用戶，易于和各種公用網(wǎng)絡(luò)連接，隨系統(tǒng)應(yīng)用的逐步成熟不斷延伸和擴充，充分保護現(xiàn)有投資利益。易管理性為達到集中管理的目的，網(wǎng)絡(luò)平臺支持虛擬網(wǎng)絡(luò)，并可與路由器、骨干和局域網(wǎng)交換機配合，整個網(wǎng)絡(luò)可以進行遠程控制。 風(fēng)險分析及風(fēng)險控制由于校校通系統(tǒng)辦公教學(xué)等業(yè)務(wù)復(fù)雜性比較高，涉及的范圍廣，數(shù)據(jù)量非常大，層次結(jié)構(gòu)很復(fù)雜，在分析了各種業(yè)務(wù)實現(xiàn)方法、技術(shù)后，依然存在一定的風(fēng)險，但在制定了嚴密的風(fēng)險控制策略，并在有效的執(zhí)行下，可以把風(fēng)險控制在最小程度。整個校校通系統(tǒng)的業(yè)務(wù)應(yīng)用，包括各種現(xiàn)有系統(tǒng)的整合和新業(yè)務(wù)的開發(fā)，均依賴于校校通系統(tǒng)平臺的建設(shè)。校校通系統(tǒng)平臺的建立，為以后各種業(yè)務(wù)開發(fā)奠定了基礎(chǔ)。根據(jù)校校通系統(tǒng)的業(yè)務(wù)應(yīng)用的技術(shù)難度和風(fēng)險的預(yù)見性，我們把風(fēng)險分為業(yè)務(wù)風(fēng)險、架構(gòu)風(fēng)險、技術(shù)風(fēng)險、性能風(fēng)險、應(yīng)用風(fēng)險和非確定風(fēng)險。業(yè)務(wù)風(fēng)險：是指由于國家教育部等上級管理機構(gòu)作出相關(guān)政策的重大改革，使業(yè)務(wù)需求的結(jié)構(gòu)性或主要內(nèi)容發(fā)生重要改變，而必須將系統(tǒng)的整體業(yè)務(wù)需求進行更改的風(fēng)險。架構(gòu)風(fēng)險：是指在按照系統(tǒng)設(shè)計在進行系統(tǒng)搭建時，潛在地存在設(shè)計、實現(xiàn)、接口、驗證和維護上的問題，而使系統(tǒng)的各層平臺和組件間不能協(xié)調(diào)的運行，在整個系統(tǒng)的架構(gòu)上存在潛在的風(fēng)險。技術(shù)風(fēng)險：是指采用的技術(shù)實現(xiàn)方式不能完全達到系統(tǒng)需要的要求而存在的風(fēng)險。性能風(fēng)險：是指在多用戶和大數(shù)據(jù)量類的課題研究基礎(chǔ)上，系統(tǒng)的性能達不到預(yù)定目標而存在的風(fēng)險。應(yīng)用風(fēng)險：系統(tǒng)應(yīng)用時，由于設(shè)計的不全面，測試的不徹底，培訓(xùn)的不到位，實施的不全面，不能將各類應(yīng)用得到全面正確的實施、應(yīng)用和運行，系統(tǒng)涉及的數(shù)據(jù)不能正確得到，或者得到的數(shù)據(jù)不完整、不安全而存在的風(fēng)險。非確定風(fēng)險：潛在的其他風(fēng)險。在校校通業(yè)務(wù)應(yīng)用的整個過程中，風(fēng)險控制是通過一整套的風(fēng)險管理流程和管理機制來進行控制的。風(fēng)險的控制分為四個流程：風(fēng)險的評估：評估整個系統(tǒng)和過程中的關(guān)鍵風(fēng)險因素；風(fēng)險預(yù)防措施的定義：參照風(fēng)險預(yù)防模型，定義預(yù)防措施的層次結(jié)構(gòu)，明確具體的行為和響應(yīng)機制，以分配任務(wù)的形式，明確職責(zé)；風(fēng)險的監(jiān)控和跟蹤：管理人員根據(jù)風(fēng)險預(yù)防措施的要求，制定風(fēng)險監(jiān)控和跟蹤計劃，根據(jù)匯報計劃執(zhí)行的情況，預(yù)測新的風(fēng)險，以提交管理層識別和更新；風(fēng)險的識別和更新：各項目組在進度報告中明確出風(fēng)險，管理層將風(fēng)險確認并更新工程風(fēng)險記錄，被確認的風(fēng)險，由項目組提交具體的事實或論據(jù)。解決風(fēng)險的辦法：建立風(fēng)險控制平臺，采取預(yù)防風(fēng)險控制，并對突發(fā)的風(fēng)險具備應(yīng)急風(fēng)險控制策略。風(fēng)險控制平臺：是風(fēng)險控制所調(diào)用的所有保障條件的集合，包括預(yù)算，時間，人員，管理工具等。預(yù)防式風(fēng)險控制：采取積極主動的措施，如組織培訓(xùn)，通過宣傳設(shè)定用戶對系統(tǒng)的期望值，提早項目的準備工作等。以降低風(fēng)險的發(fā)生率。應(yīng)急風(fēng)險控制：做好響應(yīng)風(fēng)險的準備工作，制定一系列風(fēng)險控制的響應(yīng)機制和應(yīng)對方案。加快校校通系統(tǒng)相關(guān)應(yīng)用的標準化、規(guī)范化建設(shè)，有助于應(yīng)用系統(tǒng)的建設(shè)。精心設(shè)計、精心組織建設(shè)應(yīng)用系統(tǒng)平臺。在整個實施過程中不斷進行迭代，在最短的時間內(nèi)增加整個系統(tǒng)的測試次數(shù)，不斷增加整個系統(tǒng)的質(zhì)量。進行嚴格的需求控制。對業(yè)務(wù)需求的變化應(yīng)該根據(jù)其設(shè)計、開發(fā)、測試、實施的難度，需求的時間緊迫性和與當(dāng)時系統(tǒng)進展的實際情況，區(qū)分業(yè)務(wù)需求，在不影響系統(tǒng)的完整性時，把需求放在不同的版本進行分布實施。進行嚴格的版本控制。根據(jù)系統(tǒng)設(shè)計、開發(fā)、測試和實施的不同階段，借助先進的版本控制系統(tǒng)和測試系統(tǒng)，將系統(tǒng)的設(shè)計、開發(fā)、測試和實施同步進行，快速地進行迭代，發(fā)現(xiàn)問題及時處理，使系統(tǒng)的版本更新加快，增加系統(tǒng)的堅固性。在校校通系統(tǒng)分析、設(shè)計過程中，最大限度地保證系統(tǒng)結(jié)構(gòu)具備優(yōu)良的可擴充性、開放性和靈活性。5. 關(guān)鍵網(wǎng)絡(luò)設(shè)備的選型原則 核心路由交換設(shè)備的選擇——S8500選擇依據(jù)一—高可靠性整個系統(tǒng)是由主控板上的中心Crossbar＋接口板內(nèi)Crossbar＋共享內(nèi)存包處理器組成的三級分布式交換結(jié)構(gòu)。這種分布式的業(yè)務(wù)處理和交換架構(gòu)不但提高了系統(tǒng)交換容量的可擴展性、業(yè)務(wù)可擴展性，同時也避免了業(yè)務(wù)過分集中和依賴于某種單板，消除了業(yè)務(wù)處理的瓶頸，有效地隔離網(wǎng)絡(luò)故障，極大提高了系統(tǒng)的可靠性。 S8500可以配置1塊或2塊主控板。兩塊主控板可以工作在主備方式（Master－Slave）或負荷分擔(dān)（Load Balancing）方式。兩塊主控板之間具有進行實時狀態(tài)備份和同步的通信通道、主備指示和控制信號、心跳信號以提供可靠平滑的熱備份。S8500可以配置一個或兩個電源模塊。當(dāng)配置兩個電源模塊時，兩個模塊工作在均流模式（負荷分擔(dān)），當(dāng)其中一個電源模塊故障，會自動隔離，正常的電源模塊負責(zé)給整個系統(tǒng)供電。電源