【導(dǎo)讀】Xxx教育城域網(wǎng)技術(shù)建議書。杭州華三通信技術(shù)有限公司

　　

【正文】 能的業(yè)務(wù)處理引擎，能夠支持 MPLS VPN業(yè)務(wù)的線速轉(zhuǎn)發(fā)，適用大型企業(yè)組建高性價(jià)比 VPN業(yè)務(wù)網(wǎng)絡(luò)。 ? 強(qiáng)大的路由能力 支持靜態(tài)路由、 RIPv1/v OSPF、 ISIS、 BGPv4等標(biāo)準(zhǔn)路由協(xié)議。提供全分布式策略路由功能，可對(duì)網(wǎng)絡(luò)流量進(jìn)行靈活的控制和調(diào)度，在復(fù)雜的網(wǎng)絡(luò)環(huán)境下仍能保持端口的線速轉(zhuǎn)發(fā)。 ? 完善的 MPLS VPN 功能 SR8800能夠?qū)崿F(xiàn)基于硬件的全分布式 MPLS線速轉(zhuǎn)發(fā)，支持完善的 L3 MPLS VPN 以及 L2 VPN，可以面向大型的行業(yè)以及企業(yè)網(wǎng)絡(luò)提供 VPN的端到端的解決方案。 SR8800支持三種跨域的方式；提供多角色主機(jī)解決方案，可以通過在 PE上配置策略路由，使來自 CE的報(bào)文可以訪問多個(gè) VPN；提供分層 PE的解決方案（ HoPE），可 以將 PE的功能分布到多個(gè) PE設(shè)備上，多個(gè) PE承擔(dān)不同的角色，并形成層次結(jié)構(gòu)，共同完成一個(gè) PE的功能。還可以支持嵌套 VPN、 MCE、 VPN內(nèi) NAT，提供高品質(zhì)、安全和多層次的 MPLS VPN解決方案。 ? 分布式的體系架構(gòu) SR8800采用全分布式的體系架構(gòu)設(shè)計(jì)，可以提供全分布式的 IP/MPLS轉(zhuǎn)發(fā)。 ? 高可靠性 設(shè)備級(jí)可靠性 SR8800采用分布式結(jié)構(gòu)和無源背板設(shè)計(jì)，支持雙主控交換板，電源系統(tǒng)采用 1+1冗余熱備份，支持雙路電源輸入，所有單板支持熱插拔。通過虛擬冗余路由協(xié)議（ VRRP），可以在設(shè)備故障時(shí)不間斷地與外 界保持通信； 鏈路級(jí)可靠性 通過 RPR等環(huán)網(wǎng)技術(shù)，具有故障自愈的功能，可以保障 50毫秒以內(nèi)的倒換時(shí)間，確保音頻、視頻等實(shí)時(shí)業(yè)務(wù)不受影響。 協(xié)議級(jí)可靠性 通過優(yōu)雅重啟（ GR），可以在路由器發(fā)生主備倒換時(shí)，不間斷的轉(zhuǎn)發(fā) IP報(bào)文； ? 集成一體化組網(wǎng) 強(qiáng)大的二層功能 SR8800融合了以太網(wǎng)交換機(jī)的特性，支持以太網(wǎng)的交換處理，支持 VLAN的劃分、端口聚合、端口綁定等二層功能是典型的路由交換一體化設(shè)備，扁平化了網(wǎng)絡(luò)結(jié)構(gòu)，增強(qiáng)了網(wǎng)絡(luò)的可靠性。 豐富的業(yè)務(wù)能力 SR8800提供基于硬件形態(tài)的防火墻、 VPN網(wǎng)關(guān)、 NAT等業(yè) 務(wù)，解決了以往依賴單臺(tái)設(shè)備、單一功能、獨(dú)立部署的防護(hù)方式， SR8800將安全融合到網(wǎng)絡(luò)之中。 SR8800可以和華為 3Com公司的 Xlog配合，形成完善的網(wǎng)絡(luò)流量分析解決方案。通過對(duì)于網(wǎng)絡(luò)流量的采集和統(tǒng)計(jì)，可以在不改變網(wǎng)絡(luò)拓?fù)涞那闆r下及時(shí)了解網(wǎng)絡(luò)當(dāng)前的使用狀況以及網(wǎng)絡(luò)中各鏈路流量的變化，達(dá)到對(duì)于全網(wǎng)的流量監(jiān)控、服務(wù)質(zhì)量監(jiān)控，最終實(shí)現(xiàn)對(duì)于網(wǎng)絡(luò)的優(yōu)化使用。 . 中小學(xué)校園網(wǎng)核心交換機(jī) 一、豐富的業(yè)務(wù)，適應(yīng)融合業(yè)務(wù)網(wǎng)絡(luò)發(fā)展趨勢(shì) ? 全面的 MPLS業(yè)務(wù)能力 H3C S7500E所有產(chǎn)品均支持 VRFLite特性，可以做為 MCE設(shè)備使用；支持三層的 MPLS VPN和二層的 MPLS VPN（ Martini、 Kompella），可擴(kuò)展支持 VPLS技術(shù)；支持 MPLS OAM特性，方便用戶的管理和維護(hù)；與 H3C MPLS VPN Manager配合，實(shí)現(xiàn)圖形化的 MPLS部署與維護(hù)。 ? 線速的 IPv4/IPv6業(yè)務(wù)能力 H3C S7500E支持 IPv4/IPv6雙協(xié)議棧 ,支持多種 6to4隧道技術(shù)，支持 IPv4/IPv6的組播技術(shù)，為用戶提供完善的 IPv4/IPv6解決方案； H3C S7500E采用分布式體系架構(gòu)，實(shí)現(xiàn) IPv4/IPv6業(yè)務(wù)的線速無阻塞轉(zhuǎn)發(fā)； H3C S7500E已經(jīng)通過了信息產(chǎn)業(yè)部的 IPv6入網(wǎng)認(rèn)證和 IPv6 Ready第二階段金色認(rèn)證，是成熟商用的 IPv6產(chǎn)品。 ? 有線無線一體化，有源無源一體化 H3C S7500E集成的無線控制模塊提供豐富的業(yè)務(wù)能力，包括精細(xì)的用戶控制管理、完善的 RF管理及安全機(jī)制、快速漫游、超強(qiáng)的 QOS和對(duì) IPV6的支持等；無線控制模塊通過與安全策略服務(wù)器的聯(lián)動(dòng)，實(shí)現(xiàn)對(duì)無線接入用戶的端點(diǎn)準(zhǔn)入防御，提高了整網(wǎng)的安全性。 H3C S7500E是業(yè)界最高密度的以太網(wǎng)無源光網(wǎng)絡(luò)（ EPON）設(shè)備，單臺(tái)最大可接入 10240個(gè) FTTH用戶； H3C S7500E是高可靠的 EPON系統(tǒng)，采用分布式體系結(jié)構(gòu)、模塊化設(shè)計(jì)，主控板冗余熱備份、無源背板、冗余電源支持雙路供電，具有電信級(jí)可靠性。 ? 支持 Portal 認(rèn)證 H3C S7500E支持大容量的 Portal認(rèn)證功能，可以在數(shù)千用戶的局域網(wǎng)中做為 EAD網(wǎng)關(guān)設(shè)備，為全網(wǎng)用戶提供 EAD安全認(rèn)證功能；可以在大中型的校園網(wǎng)中擔(dān)任匯聚 /核心設(shè)備的同時(shí)，為學(xué)生宿舍區(qū)的認(rèn)證計(jì)費(fèi)提供 Portal認(rèn)證功能。 二、靈活的配置，適應(yīng)各種應(yīng)用場(chǎng)景 ? 配線間融合業(yè)務(wù)網(wǎng)絡(luò)的最佳選擇 H3C S7500E針對(duì) 配線間的需求定制開發(fā)了 SA板卡，單臺(tái)設(shè)備可以提供 480個(gè)千兆線速接口和 4個(gè)萬兆線速接口。 H3C S7500E支持端點(diǎn)準(zhǔn)入防御解決方案，解決終端安全問題；內(nèi)置2800W電源直接提供 PoE功能，對(duì) IP語音和無線接入提供良好的支持。 ? 政府電力城域網(wǎng)邊緣和匯聚的最佳選擇 H3C S7500E支持 VRFLite特性，為用戶提供高可靠高性能的 MCE設(shè)備；通過配置 Salience VITurbo引擎，可以提供集中式 MPLS業(yè)務(wù)功能，適合在城域網(wǎng)邊緣作為高性價(jià) PE設(shè)備使用；通過配置 EA類板卡，可以提供分布式線速的 MPLS業(yè)務(wù)功能，適合在城域網(wǎng)匯聚層作為高性能的 PE使用。 ? IPv6網(wǎng)絡(luò)的最佳選擇 H3C S7500E所有 Salience VI引擎都可以提供集中式 IPv6功能， H3C S7500E針對(duì)IPv4/IPv6高性能的要求還開發(fā)了分布式 IPv4/IPv6轉(zhuǎn)發(fā)的 SC板卡，在整機(jī)滿配置狀態(tài)下實(shí)現(xiàn)線速無收斂，為高校用戶提供了高性能低成本的雙棧匯聚核心設(shè)備，同時(shí)也滿足其他行業(yè)用戶 IPv6 Ready的需求。 三、全方位的安全保障，抵御多種網(wǎng)絡(luò)安全威脅 ? 三平面安全保障機(jī)制 H3C S7500E提供完善的安全防護(hù)機(jī)制，可從控制、 管理、轉(zhuǎn)發(fā)三平面全面保障網(wǎng)絡(luò)的安全：在控制平面，內(nèi)置協(xié)議報(bào)文攻擊識(shí)別模塊，防止 TCN、 ARP等協(xié)議報(bào)文攻擊， OSPF/BGP/ISIS路由協(xié)議采用 MD5驗(yàn)證，防止非法路由更新報(bào)文導(dǎo)致的網(wǎng)絡(luò)癱瘓；在管理平面， SNMPv3網(wǎng)管協(xié)議， SSH V2，基于 、 AAA/Radius的用戶身份認(rèn)證以及分級(jí)的用戶權(quán)限管理保證了設(shè)備管理的安全性；在轉(zhuǎn)發(fā)平面，支持 IP、 VLAN 、 MAC和端口等多種組合精細(xì)綁定；支持 uRPF單播反向路徑轉(zhuǎn)發(fā) ，防止非法流量訪問網(wǎng)絡(luò)，采用 最長(zhǎng)匹配逐包轉(zhuǎn)發(fā)機(jī)制 ，有效抵御 病毒 的攻擊。 ? 有線 無線全面支持 EAD H3C S7500E是 EAD端點(diǎn)準(zhǔn)入防御解決方案的重要組成部分， S7500E可以動(dòng)態(tài)的接收來自安全策略服務(wù)器的控制策略，根據(jù)終端的安全狀態(tài)給予下發(fā)相應(yīng)的訪問權(quán)限。 H3C S7500E既支持有線終端用戶的 EAD，也支持無線終端用戶的 EAD，能夠做到終端安全防范無漏洞。 ? 增強(qiáng)的 ACL特性 H3C S7500E系列產(chǎn)品支持強(qiáng)大的 ACL能力：支持標(biāo)準(zhǔn)和擴(kuò)展 ACL；支持基于 VLAN的 ACL，方便用戶配置，節(jié)省 ACL資源；支持出方向和入方向的 ACL，每板最大可支持 9K條 ACL，滿足金融等行業(yè)訪問權(quán)限 嚴(yán)格控制的需求。 四、電信級(jí)的高可靠性，保障用戶業(yè)務(wù)長(zhǎng)期穩(wěn)定運(yùn)行 ? 電信級(jí)高可靠性設(shè)計(jì) H3C S7500E采用無單點(diǎn)故障設(shè)計(jì)，所有關(guān)鍵部件，如主控板、交換網(wǎng)、電源和風(fēng)扇等采用冗余設(shè)計(jì)；無源背板避免了機(jī)箱出現(xiàn)單點(diǎn)故障；所有單板和電源模塊支持熱插拔功能； H3C S7500E系列可以在惡劣的環(huán)境下長(zhǎng)時(shí)間穩(wěn)定運(yùn)行，達(dá)到 ％的電信級(jí)可靠性。 ? 多業(yè)務(wù)高可靠性運(yùn)行 H3C S7500E支持不間斷轉(zhuǎn)發(fā)和優(yōu)雅重啟，提供毫秒級(jí)的切換時(shí)間；支持等價(jià)路由，可幫助用戶建立多條等值路徑，實(shí)現(xiàn)流量的負(fù)載均衡及冗余備份；支持 RRPP快速環(huán)網(wǎng)保護(hù)協(xié)議，提供小于 200ms的環(huán)網(wǎng)故障保護(hù)；支持 SmartLink協(xié)議，保證雙上行網(wǎng)絡(luò)拓?fù)涞臉I(yè)務(wù)毫秒級(jí)快速切換。通過上述技術(shù)， H3C S7500E可以在承載多業(yè)務(wù)的情況下不間斷運(yùn)行，實(shí)現(xiàn)業(yè)務(wù)的永續(xù)。 ? 支持熱補(bǔ)丁技術(shù) H3C S7500E能夠在不重啟設(shè)備的前提下，通過熱補(bǔ)丁技術(shù)，在線修改軟件 BUG，增加新 的業(yè)務(wù)特性。 H3C S7500E提供控制補(bǔ)丁單元狀態(tài)切換的用戶命令，使用戶能夠方便的加載、激活、去激活、運(yùn)行或刪除補(bǔ)丁單元。通過熱補(bǔ)丁技術(shù)，降低了設(shè)備需要重啟的次數(shù)，為客戶提供更長(zhǎng)的網(wǎng)絡(luò)正常工作 時(shí)間。 . 中小學(xué)校園網(wǎng) 接入交換機(jī) 在 接入層 ，我們選用了 H3C為教育行業(yè)定制的 E126A/E152接入交換機(jī)。該產(chǎn)品具有一下一些特點(diǎn)： ? 全面的接入安全策略 H3C E126A/E152教育網(wǎng)交換機(jī)支持 特有的 ARP入侵檢測(cè)功能，可有效防止黑客或攻擊者通過 ARP報(bào)文實(shí)施 校園網(wǎng)常見的“ 中間人 ” 攻擊，對(duì)不符合 DHCP Snooping動(dòng)態(tài) 綁定表 或手工配置的靜態(tài)綁定表 的非法 ARP欺騙報(bào)文直接丟棄 。同時(shí)支持 IP Source Check特性，防止包括 MAC欺騙、 IP欺騙、 MAC/IP欺騙在內(nèi)的非法地址仿冒，以及大流量地址 仿冒帶來的 DoS攻擊。另外， 利用 DHCP Snooping的信任端口特性還可以 有效杜絕學(xué)生私設(shè) DHCP服務(wù)器，保證 DHCP環(huán)境的真實(shí)性和一致性。 E126A/E152教育網(wǎng)交換機(jī)支持端口安全特性族可以有效防范基于 MAC地址的攻擊。 可以實(shí)現(xiàn)基于 MAC地址允許 /限制流量，或者設(shè)定每個(gè)端口允許的 MAC地址的最大數(shù)量，使得某個(gè)特定端口上的 MAC地址可以由管理員靜態(tài)配置，或者由交換機(jī)動(dòng)態(tài)學(xué)習(xí)。 E126A/E152系列教育網(wǎng)交換機(jī)有強(qiáng)大硬件 ACL能力，能深度識(shí)別報(bào)文，支持 L2~L7包過濾功能，提供基于源 MAC地址、目 的 MAC、 MAC地址范圍、源 IP地址、目的 IP地址、 IP協(xié)議類型、物理端口、 TCP/UDP端口、 TCP/UDP端口范圍、 VLAN、 VLAN范圍等定義 ACL，以便交換機(jī)進(jìn)行后續(xù)的處理。 E126A/E152教育網(wǎng)交換機(jī)支持集中式 MAC地址認(rèn)證和 ，支持用戶帳號(hào)、 IP、 MAC、 VLAN、端口等用戶標(biāo)識(shí)元素的動(dòng)態(tài)或靜態(tài)綁定，同時(shí)實(shí)現(xiàn)用戶策略（ VLAN、 QOS、 ACL）的動(dòng)態(tài)下發(fā)；支持配合 H3C公司的 CAMS系統(tǒng)對(duì)在線用戶進(jìn)行實(shí)時(shí)的管理，及時(shí)的診斷和瓦解網(wǎng)絡(luò)非法行為。支持對(duì) Proxy進(jìn)行有效的管理 。 ? 增強(qiáng)的網(wǎng)絡(luò)管理和維護(hù)的易用性 H3C E126A/E152教育網(wǎng)交換機(jī)支持通過 FTP、 TFTP實(shí)現(xiàn)設(shè)備的遠(yuǎn)程升級(jí)，支持 SNMP v1/v2/v3，可支持 Open View等通用網(wǎng)管平臺(tái)，以及 Quidview網(wǎng)管系統(tǒng)。支持CLI命令行， Web網(wǎng)管， TELNET， HGMP集群管理，使設(shè)備管理更方便。 E126A/E152教育網(wǎng)交換機(jī)支持跨交換機(jī)的遠(yuǎn)程端口鏡像 RSPAN，可以將接入端口的流量鏡像到核心交換機(jī)上，配合核心交換機(jī)的網(wǎng)流分析功能和 XLOG系統(tǒng)，可以對(duì)全網(wǎng)業(yè)務(wù)和流量進(jìn)行監(jiān)控、優(yōu)化部署和惡意攻擊監(jiān)控， 滿足校園網(wǎng)精細(xì)化管理的需要。 E126A/E152教育網(wǎng)交換機(jī)支持 VCT（ Virtual Cable Test）電纜檢測(cè)功能，便于快速定位網(wǎng)絡(luò)故障點(diǎn)；并支持 DLDP（ Device Link Detection Protocol）單向鏈路檢測(cè)協(xié)議，可以有效的防止網(wǎng)絡(luò)中單通故障的發(fā)生，大幅提高網(wǎng)絡(luò)維護(hù)效率，切實(shí)將設(shè)備的易用性帶給用戶。 ? 高性能與靈活擴(kuò)展能力 H3C E126A/E152系列教育網(wǎng)交換機(jī)具有 ，支持所有端口線速轉(zhuǎn)發(fā)，滿足了教育用戶對(duì)高帶寬的需求。設(shè)備支持 2/4個(gè) GE上行，采 用固定電口和通用 SFP的靈活千兆連接方式，在降低用戶成本的同時(shí)，更好的考慮了用戶后續(xù)升級(jí)的實(shí)際需求。 E126A/E152教育網(wǎng)交換機(jī) 采用專利技術(shù)允許交換機(jī)利用專用互聯(lián)電纜實(shí)現(xiàn) 多達(dá)16臺(tái) 設(shè)備的堆疊，最大擴(kuò)展至 768個(gè) 10/100M端口 ，支持 E126A和 E152混合堆疊。 具有即插即用、單一 IP管理，同步升級(jí)的優(yōu)點(diǎn)。同時(shí)大大降低系統(tǒng)擴(kuò)展的成本，保護(hù)了用戶投資。 ? 豐富的業(yè)務(wù)支持能力 H3C E126A/E152教育網(wǎng)交換機(jī)支持 SP（ Strict Priority）、 WRR（ Weighted Round Robin）、 SP+WRR三種隊(duì)列調(diào)度算法，支持每個(gè)端口 4/8個(gè)輸出隊(duì)列，可以以不同的優(yōu)先級(jí)將報(bào)文放入端口的輸出隊(duì)列。 E126A/E152教育網(wǎng)交換機(jī)支持端口限速功能，限速粒度可達(dá) 64Kbps，防止惡意侵占網(wǎng)絡(luò)帶寬 ，也 為網(wǎng)絡(luò)帶寬的精細(xì)化管理提供了手段。 E126A/E152教育網(wǎng)交換機(jī)支持 IPv6 host，包括 IP v6單播地址配置， ICMP v6， IP v6鄰居發(fā)現(xiàn)協(xié)議（ ND）， TCP v6， TFTP v6， TRACERT v6管理特性 。 . 千兆防火墻 網(wǎng)絡(luò)出口是校園網(wǎng)進(jìn)入教育城域網(wǎng)的關(guān)鍵設(shè)備，需要完成安全隔離、 NAT轉(zhuǎn)換、策略路由等多種功能。為了更好的獲取教育城域網(wǎng)的資源，網(wǎng)絡(luò)出口需要選擇性能較高的設(shè)備，不能成為系統(tǒng)的瓶頸。按照以上一些要求，我們選擇了 SecPath F1000S這款性價(jià)比最高的千