【導讀】本文件和本文件包含信息屬于保密信息。信技術(shù)有限公司非常榮幸有機會參與項目方案的策劃。統(tǒng)的方案、優(yōu)質(zhì)的產(chǎn)品和滿意的技術(shù)服務(wù)。期與長春職業(yè)技術(shù)師范學院共同探討、友好合作，共同推動該項目的發(fā)展!

　　

【正文】 05 內(nèi)部資料，請勿擴散 第 18 頁 , 共 137 頁 采用 認證方式。 S5800匯聚層交換機萬兆的支持 從網(wǎng)絡(luò)的整體結(jié)構(gòu)上我們可以看出整個網(wǎng)絡(luò)的設(shè)計是匯聚與接入之間均采用 千 兆的方式，接入與最終用戶之間采用百兆的方式進行互通， 由于百兆接入用戶的眾多， 整個網(wǎng)絡(luò)的瓶頸在核心與匯聚之間的連接存在瓶頸，隨著網(wǎng)絡(luò)接入用戶的不斷擴大，匯聚與接入之間可 以采用萬兆的方式進行互聯(lián)。 H3C S5800 匯聚層交換機 ， 可支持 1～ 2個萬兆接口上行，用戶無需任何投資，可以直接購買 10GE 模塊，可直接插到匯聚層交換機上就可以實現(xiàn)萬兆帶寬的升級， GE 接口可以作為下聯(lián)接口用。 核心與匯聚層之間直接采用萬兆的帶寬將匯聚層存在的帶寬瓶頸問題徹底解決 。 H3C 長春職業(yè)技術(shù)師范學院 解決方案特點： H3C 長春職業(yè)技術(shù)師范學院 教育網(wǎng)組網(wǎng)解決方案的優(yōu)點有以下幾點： 完全的分布式的處理方式 S9500E 為用戶提供完全的分布式的處理方式， 長春職業(yè)技術(shù)師范學院 的校園網(wǎng)內(nèi)部的數(shù)據(jù)量是非常大的， 因此主交換機是否能夠做到線速關(guān)系到整個網(wǎng)絡(luò)的是否會發(fā)生擁塞。H3C S9500E 背板交換容量 夠做到所有 GE 接口的雙向的線速， H3C 公司的 S9500E 的性能指標是經(jīng)過完整的測試，而業(yè)界廠家在指標宣稱上面往往與給最終提供給用戶的不一致。而用戶又由于測試儀器的限制無法確認實際配置的性能，這一點在 H3C 公司是絕對不會出現(xiàn)的。 再次 ,分布式的轉(zhuǎn)發(fā)，對于 S9500E 路由查找是非常有益的補充。因為 S9500E 的路由查找模式為最長匹配。這樣就可以避免校園網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件來攻擊中心交換機，因為這種攻 擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的 IP地址，來不斷消耗主控處理板的 CPU處理能力，直到徹底使主控處理板的 CPU喪失處理能力，整個機器癱掉。但是 S9500E是根據(jù)最長匹配來查找路由的，是針對網(wǎng)斷進行路由的。所以當攻擊者進行攻擊時， S9500E只能造成該接口板的業(yè)務(wù)能力處理下降，但是對于整機沒有多大影響。這是我們選則 S9500E的作為核心交換的非常重要的原因。 杭州華三通信 技術(shù)有限公司 2020105 內(nèi)部資料，請勿擴散 第 19 頁 , 共 137 頁 良好的互通性 S9500E 具有良好的互通性， S9500E 支持標準的路由協(xié)議，包括 OSPF、 BGP ISIS、RIP 等路由協(xié)議，在實際的開局中與 Foundry、思科、 Exreme 等多種廠家均能夠?qū)崿F(xiàn)互通，在華南理工大學、山東大學等用戶都得到實際的應(yīng)用驗證。 核心交換機先進的體系架構(gòu)設(shè)計 網(wǎng)絡(luò)的背板技術(shù)經(jīng)歷了共享式、緩存式等發(fā)展， Crossbar 技術(shù)被公認為最為完美的一種設(shè)計方式， H3C 公司 S9500E 交換機采用背板采用分布式 Crossbar 的技術(shù)，整機的轉(zhuǎn)發(fā)不存在任何的瓶頸問題，同時， S9500E 可實現(xiàn)背板容量的平滑升級，除背板采用 Crossbar的方式，在接口板上， H3C 公司 S9500E 萬兆核心交換機采用分布式 Crossbar 的技術(shù)，即在每個業(yè)務(wù)單板上 面也同樣采用 Crossbar 的技術(shù)，端口與端口之間的轉(zhuǎn)發(fā)均有可直達的端到端轉(zhuǎn)發(fā)通道，使得端口之間的轉(zhuǎn)發(fā)不存在在任何瓶頸，大大提高了核心交換機的整機轉(zhuǎn)發(fā)性能。 基于流攻擊的防止。 H3C 所采用產(chǎn)品 S9500E 等三層轉(zhuǎn)發(fā)模式均為最長路由匹配技術(shù)。這樣就可以避免園區(qū)網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件進行的一些基于流的共計，因為這種攻擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的 IP地址，來不斷消耗主控處理板的 CPU 處理能力，直到徹底使主控處理板的 CPU 喪失處理能力，整個機器癱掉。 S9500E 是根據(jù)最長匹配來查找路由的，是針對網(wǎng) 斷進行路由的。所以當攻擊者進行攻擊時，不會造成 S9500E 業(yè)務(wù)能力處理下降，對于整機沒有影響。這是我們選則 S9500E 的作為核心交換的非常重要的原因。 網(wǎng)管解決方案 根據(jù)網(wǎng)絡(luò)實際情況可采用 H3C IMC 網(wǎng)管系統(tǒng)。 特性 該系統(tǒng)采用開放式結(jié)構(gòu)設(shè)計，嚴格遵守標準的 SNMP 協(xié)議（ RFC1157），主要使用 RFC1213定義的 MIB 信息，具有投資省、使用靈活、易于移植等特點： 使用靈活 H3C IMC 系統(tǒng)的使用方式非常靈活，既可以作為設(shè)備級的應(yīng)用程序集成到已有的網(wǎng)管平臺（如： HPOpenView、 RadiumsNMS、 SNMPC、 NetManager）中進行網(wǎng)絡(luò)級管理，又可以作為杭州華三通信 技術(shù)有限公司 2020105 內(nèi)部資料，請勿擴散 第 20 頁 , 共 137 頁 獨立的應(yīng)用程序執(zhí)行進行設(shè)備級管理。同時可以根據(jù)用戶需求進行接口的開放。 支持 WEB 方式 基于 WEB 的管理是網(wǎng)管方式的一次革命，其主要優(yōu)勢在于：基于 WEB 的管理允許網(wǎng)絡(luò)管理人員使用任一種瀏覽器在網(wǎng)絡(luò)的任何節(jié)點上方便迅速地配置、控制及監(jiān)視網(wǎng)絡(luò)。在 Web Server 上安裝了網(wǎng)管軟件后，其它網(wǎng)管機器不用預裝網(wǎng)管軟件，只須安裝了 WEB 瀏覽器并且設(shè)備能上網(wǎng)，就能使用 H3C IMC 系統(tǒng)管理 。 成本低 H3C IMC 不像大型網(wǎng)管系統(tǒng)那樣系統(tǒng)龐大，它將網(wǎng)管 人員最為關(guān)心的網(wǎng)絡(luò)信息直觀而濃縮地呈現(xiàn)于網(wǎng)管人員面前，使其方便地了解設(shè)備各端口的運行情況以及主要的設(shè)備性能指標。 支持多種操作系統(tǒng)平臺 純 Java 的實現(xiàn)，保證 H3C IMC 無須修改便能運行于當前主流 的各種平臺之上。除此以外， H3C IMC 系統(tǒng)使用全新的 JFC 類庫，所有控件均支持 Look and Feel 特性，該特性使得 H3C IMC 既可以在不同平臺上呈現(xiàn)出統(tǒng)一的顯示風格，也能夠使控件的風格與操作系統(tǒng)相一致。 功能 功能 描述 路由器設(shè)備視圖 設(shè)備端口的配置情況：端口個數(shù)、端口種類、端口當前狀態(tài)等 故 障管理 對全網(wǎng)設(shè)備的告警信息和運行信息進行實時監(jiān)控，查詢和統(tǒng)計設(shè)備的告警信息。主要功能包括：支持告警相關(guān)性分析；能按照用戶設(shè)置的條件對告警信息進行統(tǒng)計和查詢；提供告警拓撲定位；支持告警 Trap 規(guī)則定義等。 路由器設(shè)備整體配置信息 支持拓撲自動發(fā)現(xiàn)功能，系統(tǒng)信息（系統(tǒng)描述、系統(tǒng)標識、重啟時間、所在地、設(shè)備名、聯(lián)絡(luò)方式）、地址轉(zhuǎn)換表、接口表、 IP表、 IP 路由表、 TCP聯(lián)接表。 性能管理 提供對設(shè)備實時性能數(shù)據(jù)的查看功能，使用戶了解當前網(wǎng)絡(luò)運行的基本情況和性能狀態(tài)，從而預防網(wǎng)絡(luò)事故的發(fā)生，預測網(wǎng)絡(luò)運行狀態(tài)，幫 助用戶對網(wǎng)絡(luò)的管理運營杭州華三通信 技術(shù)有限公司 2020105 內(nèi)部資料，請勿擴散 第 21 頁 , 共 137 頁 進行合理的規(guī)劃。同時可以支持對于網(wǎng)絡(luò)節(jié)點設(shè)備利用率、 CPU 利用率、故障率、線路流量統(tǒng)計、網(wǎng)絡(luò)時延統(tǒng)計、歷史告警信息等進行統(tǒng)計記錄，并可以實現(xiàn)網(wǎng)絡(luò)流量配置。 設(shè)備日志和告警管理 在系統(tǒng)獨立運行時，設(shè)備日志管理完成接收設(shè)備發(fā)送到網(wǎng)管的 Syslog 日志報文，直接保存到文件中；設(shè)備告警管理完成接收設(shè)備發(fā)送到網(wǎng)管的告警報文，將該 Trap進行解析并保存到文件中。 路由器設(shè)備整體運行狀態(tài) CPU 負載、系統(tǒng)溫度、風扇狀態(tài)、 VOS 內(nèi)存空閑率、NonVolatile 空閑率、內(nèi)存分布錯誤次數(shù)、內(nèi)存分配 不足引起的分配錯誤 輸入 IP 報文、表頭錯誤的輸入 IP 報文、地址錯誤 IP報文、未知協(xié)議數(shù)據(jù)報、緩沖溢出輸入 IP 報文、緩沖溢出的輸出 IP報文、轉(zhuǎn)發(fā)的 IP 報文、無路由的輸出 IP報文、成功重組的 IP 報文 安全日志管理 安全管理功能主要有以下幾個方面：操作日志管理，用戶管理，用戶組管理，設(shè)備集管理，操作集管理，權(quán)限管理，用戶登錄管理。 路由器設(shè)備端口配置信息 接口描述、接口類型、最大傳輸單元、接口速率、物理地址、管理狀態(tài)、操作狀態(tài)、持續(xù)運行時間、本地描述 路由器設(shè)備端口運行狀態(tài) 接口使用率、輸入包誤碼率、 輸出包誤碼率、輸入包丟棄率、輸出包丟棄率、輸入包未知協(xié)議率 下圖是該產(chǎn)品的界面示例： 杭州華三通信 技術(shù)有限公司 2020105 內(nèi)部資料，請勿擴散 第 22 頁 , 共 137 頁 無線 AP部署方案 目前考慮在 校園園區(qū)內(nèi)部署 FIT AP,在核心的 S9500E 上部署 H3C 板卡系列無線控制器模塊 ， S9500E 無線控制器 能提供了豐富的有線數(shù)據(jù)和無線數(shù)據(jù)的處理功能，集精細的用戶控制管理、完善的 RF 管理及安全機制、快速漫游、超強的 QoS 及 IPv4amp。IPv6 等多功能于一體 的 功能。 H3C 公司更有眾多的無線有線一體化的交換機可供選擇，使得無線配置靈活，部署方面。 H3C 公司使用創(chuàng)新的基于認證 的組網(wǎng)來提供網(wǎng)絡(luò)服務(wù)，這種方法基于用戶身份而非端口或設(shè)備，以便跨越整個網(wǎng)絡(luò)實現(xiàn)移動性和安全性。當用戶漫游網(wǎng)絡(luò)時，通過 WLAN 網(wǎng)絡(luò)范圍內(nèi)的無線控制器的信息交換，以實現(xiàn)在整個網(wǎng)絡(luò)范圍內(nèi)執(zhí)行一致的訪問和安全策略。同時采用 WPA/WPA2 和 認證結(jié)合的 AES、 TKIP 以及 WEP 加密等功能增強了網(wǎng)絡(luò)安全。 S95E 無線板卡 或無線有線一體化的交換機 與 H3C FIT AP 配合組網(wǎng)，可以方便的部署于任何現(xiàn)有的二層網(wǎng)絡(luò)或三層網(wǎng)絡(luò)之中，控制器和 AP 通過 IETF 制定的 CAPWAP 協(xié)議進行互聯(lián)而無需針對現(xiàn)有網(wǎng)絡(luò)進行重新配 置。 ? 認證方式及認證點選擇 本方案主要采用 認證，交換機作為 協(xié)議終結(jié)點， IMC 用戶管理系統(tǒng) 系統(tǒng)為用戶鑒權(quán)點。 認證是一種二層認認證機制，建議使用二層信息與帳號進行捆綁，此時的網(wǎng)絡(luò)是一種安全網(wǎng)絡(luò)。 ? 整網(wǎng)安全 無線網(wǎng)絡(luò)安全部分主要包括以下方面的內(nèi)容： MAC 地址過濾：目前我司 AP 都支持基于 MAC 地址的過濾，可以限制具有某種類型的 MAC地址特征的終端進入網(wǎng)絡(luò)中，對于大規(guī)模網(wǎng)絡(luò)，使用 MAC 地址過濾時操作起來具有較大的難度，主要原因是： MAC地址的規(guī)律性不大，所有的 AP 都要進行配置， 存在缺點：維護工作量不大，故建議：不進行部署，但設(shè)備要具有這樣的能力，以備以后增加相應(yīng)設(shè)備進行配套使用，以增強安全性； SSID 管理：是一種網(wǎng)絡(luò)標識的方案，將網(wǎng)絡(luò)進行一個邏輯化標識，對終端上發(fā)的報文都要求進行上帶 SSID，如果沒有 SSID 標識則不能進入網(wǎng)絡(luò)； 杭州華三通信 技術(shù)有限公司 2020105 內(nèi)部資料，請勿擴散 第 23 頁 , 共 137 頁 WEP\AES 加密： WEP 加密是一種靜態(tài)加密的機制，通信雙方具有一個共同的密鑰，終端發(fā)送的空口信息報文必須使用共同的密鑰進行加密； AES 屬于一種動態(tài)加密機制，密鑰進行定期的刷新； ? 頻率規(guī)劃 使用開放的 ISM 頻段，可工作的信道 數(shù)為歐洲標準信道數(shù) 13個。由于其支持直序擴頻技術(shù)造成相鄰頻點之間存在重疊。對于真正相互不重疊信道只有相隔 5個信道的工作中心頻點。因此對于 在 地工作頻段，理論上只能進行三信道的蜂窩規(guī)劃實現(xiàn)對需要規(guī)劃的熱點的無縫覆蓋。此外，由于功率模板是否能做到符合鄰道、隔道不干擾也非常影響頻率規(guī)劃的效果。 針對如何進行 的頻率規(guī)劃作了大量的實驗，實驗證明 3 載頻也可以實現(xiàn)蜂窩對需要覆蓋的區(qū)域進行無縫覆蓋，并提供更高的服務(wù)帶寬提高服務(wù)質(zhì)量，和高帶寬業(yè)務(wù)的開展。 ` 頻率規(guī)劃原理圖 頻率規(guī)劃需要配合使用的功能包括： AP 支持 13個信道設(shè)置 AP 支持 500～ 200mW、 60～ 10mW 功率以及多級功率控制 AP 支持外置天線以及定向天線 針對特殊應(yīng)用還需要 AP支持橋接功能、接入功能以及 WDS功能 ? 網(wǎng)絡(luò)管理 基于標準的 SNMP 協(xié)議實現(xiàn)對設(shè)備的管理， H3C IMC 網(wǎng)管系統(tǒng)通過 SNMP 實現(xiàn)對 WLAN 所有網(wǎng)元的管理。網(wǎng)管工作站可以放在網(wǎng)上的任意位置，通過標準的 SNMP 即可實現(xiàn)對所有設(shè)杭州華三通信 技術(shù)有限公司 2020105 內(nèi)部資料，請勿擴散 第 24 頁 , 共 137 頁 備的管理。采用標準的 SNMP 可以實現(xiàn)更為強大的管理包括自動拓撲發(fā)現(xiàn)、自動 升級、批量配置、分級管理、分級告警等。 ? 供電問題 由于本次無線網(wǎng)中 AP 布放位置根據(jù)實際覆蓋效果而調(diào)整，在已建設(shè)完成的建筑物上較難進行本地供電，對 AP的本地供電問題難度更大，可采用基于標準的 實現(xiàn)對 AP的供電。通過在匯集交換機處疊加一個供電電源或者內(nèi)嵌交換機內(nèi)，通過以太網(wǎng)線在傳輸數(shù)據(jù)同時給 AP供電，供電距離達 100 米，滿足實際組網(wǎng)的要求。 長春職業(yè)技術(shù)師范學院 IPv6 網(wǎng)絡(luò)設(shè)計 IPv6 的優(yōu)勢