【正文】 流保護(hù)、過壓保護(hù)和過熱保護(hù)技術(shù)，所有機(jī)型都支持可插拔的冗余電源模塊，也就是說可以根據(jù)實(shí)際環(huán)19 / 56境的需要靈活配置交流或直流電源模塊，此外整機(jī)還支持電源和風(fēng)扇的故障檢測及告警，可以根據(jù)溫度的變化自動(dòng)調(diào)節(jié)風(fēng)扇的轉(zhuǎn)速，這些設(shè)計(jì)使設(shè)備具備了很高的可靠性。 除了設(shè)備級(jí)可靠性以外，S5820V2 還支持豐富的鏈路級(jí)可靠性技術(shù)，比如 H3C 獨(dú)創(chuàng)的RRPP 快速環(huán)網(wǎng)保護(hù)機(jī)制，VRRPE 和 Smart link。當(dāng)網(wǎng)絡(luò)上承載多業(yè)務(wù)、大流量的時(shí)候也不影響網(wǎng)絡(luò)的收斂時(shí)間，保證業(yè)務(wù)的正常開展。出色的管理性 H3C S5820V2 系列交換機(jī)支持豐富的管理接口，例如 Console、帶外網(wǎng)口、USB 口，支持SNMPv1/V2/v3，支持 iMC 智能管理中心。支持 CLI 命令行，Web 網(wǎng)管，TELNET 及 FTP 配置，使設(shè)備管理更方便，并且支持 、SSL 等加密方式，使得管理更加安全。 接入：S3100EI全面的接入安全策略H3C S3100EI 系列交換機(jī)支持 EAD（端點(diǎn)準(zhǔn)入防御）功能，配合后臺(tái)系統(tǒng)可以將終端防病毒、補(bǔ)丁修復(fù)等終端安全措施與網(wǎng)絡(luò)接入控制、訪問權(quán)限控制等網(wǎng)絡(luò)安全措施整合為一個(gè)聯(lián)動(dòng)的安全體系，通過對(duì)網(wǎng)絡(luò)接入終端的檢查、隔離、修復(fù)、管理和監(jiān)控，使整個(gè)網(wǎng)絡(luò)變被動(dòng)防御為主動(dòng)防御、變單點(diǎn)防御為全面防御、變分散管理為集中策略管理，提升了網(wǎng)絡(luò)對(duì)病毒、蠕蟲等新興安全威脅的整體防御能力。H3C S3100EI 系列交換機(jī)支持特有的 ARP 入侵檢測功能，可有效防止黑客或攻擊者通過 ARP 報(bào)文實(shí)施日趨盛行的 “ARP 欺騙攻擊”，對(duì)不符合 DHCP Snooping動(dòng)態(tài)綁定表或手工配置的靜態(tài)綁定表的非法 ARP 欺騙報(bào)文直接丟棄。同時(shí)支持 IP Source Check 特性，防止包括 MAC 欺騙、IP 欺騙、 MAC/IP 欺騙在內(nèi)的非法地址仿冒，以及大流量地址仿冒帶來的 DoS 攻擊。另外，利用 DHCP Snooping 的信任端口特性還可以有效杜絕私設(shè) DHCP 服務(wù)器，保證 DHCP 環(huán)境的真實(shí)性和一致性。H3C S3100EI 系列交換機(jī)支持端口安全特性族，可以有效防范基于 MAC 地址的攻擊。可以實(shí)現(xiàn)基于 MAC 地址允許/限制流量，或者設(shè)定每個(gè)端口允許的 MAC地址的最大數(shù)量，使得某個(gè)特定端口上的 MAC 地址可以由管理員靜態(tài)配置，或者由交換機(jī)動(dòng)態(tài)學(xué)習(xí)。H3C S3100EI 系列交換機(jī)有強(qiáng)大硬件 ACL 能力，能深度識(shí)別報(bào)文，支持L2～L4 包過濾功能，提供基于源 MAC 地址、目的 MAC 地址、源 IP 地址、目的IP 地址、IP 協(xié)議類型、TCP/UDP 端口、TCP/UDP 端口范圍、VLAN、VLAN 范圍等定義 ACL，以便交換機(jī)進(jìn)行后續(xù)的處理。并且支持基于端口、VLAN 、全局定義和下發(fā) ACL 策略20 / 56H3C S3100EI 系列交換機(jī)支持集中式 MAC 地址認(rèn)證和 認(rèn)證，支持用戶帳號(hào)、IP、MAC、VLAN、端口等用戶標(biāo)識(shí)元素的動(dòng)態(tài)或靜態(tài)綁定，同時(shí)實(shí)現(xiàn)用戶策略（VLAN、QoS 、ACL）的動(dòng)態(tài)下發(fā)；支持配合 H3C 公司的 CAMS 系統(tǒng)對(duì)在線用戶進(jìn)行實(shí)時(shí)的管理，及時(shí)的診斷和瓦解網(wǎng)絡(luò)非法行為。支持對(duì) Proxy 進(jìn)行有效的管理。增強(qiáng)的網(wǎng)絡(luò)管理和維護(hù)的易用性H3C S3100EI 系列交換機(jī)支持通過 FTP、TFTP 實(shí)現(xiàn)設(shè)備的遠(yuǎn)程升級(jí)，支持SNMP v1/v2/v3，可支持 Open View 等通用網(wǎng)管平臺(tái)，以及 iMC 智能管理中心。支持 CLI 命令行， Web 網(wǎng)管，Tel，HGMP 集群管理，使設(shè)備管理更方便。H3C S3100EI 系列交換機(jī)支持跨交換機(jī)的遠(yuǎn)程端口鏡像 RSPAN，可以將接入端口的流量鏡像到核心交換機(jī)上，可以對(duì)全網(wǎng)業(yè)務(wù)和流量進(jìn)行監(jiān)控、優(yōu)化部署和惡意攻擊監(jiān)控，滿足園區(qū)網(wǎng)精細(xì)化管理的需要。H3C S3100EI 系列交換機(jī)支持 VCT（Virtual Cable Test）電纜檢測功能，便于快速定位網(wǎng)絡(luò)故障點(diǎn)；并支持 DLDP（Device Link Detection Protocol）單向鏈路檢測協(xié)議，可以有效的防止網(wǎng)絡(luò)中單通故障的發(fā)生，大幅提高網(wǎng)絡(luò)維護(hù)效率，切實(shí)將設(shè)備的易用性帶給用戶。高性能與靈活擴(kuò)展能力H3C S3100EI 系列交換機(jī)具有 的背板交換容量，支持所有端口線速轉(zhuǎn)發(fā)，滿足了用戶對(duì)高帶寬的需求。設(shè)備支持 2 個(gè) GE 上行，采用 2 個(gè)固定10/100/1000 兆自適應(yīng)電口和 2 個(gè)復(fù)用的通用 SFP 端口，并且 SFP 端口既可以支持百兆光模塊，也可以支持千兆光模塊，在降低用戶成本的同時(shí)，更好的考慮了用戶后續(xù)升級(jí)的實(shí)際需求。H3C S3100EI 系列交換機(jī)采用專利技術(shù)，允許交換機(jī)利用專用互聯(lián)電纜實(shí)現(xiàn)多達(dá) 16 臺(tái)設(shè)備的堆疊，最大擴(kuò)展至 384 個(gè) 10/100M 端口，支持不同端口設(shè)備的混合堆疊。具有即插即用、單一 IP 管理。同時(shí)大大降低系統(tǒng)擴(kuò)展的成本，保護(hù)了用戶投資。豐富的業(yè)務(wù)支持能力H3C S3100EI 系列交換機(jī)支持 PoE（Power over Ether）技術(shù)，通過以太網(wǎng)對(duì)所連接的設(shè)備（如 IP Phone, Wireless AP 等）進(jìn)行遠(yuǎn)程供電，從而使得不必在使用現(xiàn)場為設(shè)備部署單獨(dú)的電源系統(tǒng)，能夠極大地減少部署終端設(shè)備的布線和管理成本。H3C S3100EI 系列交換機(jī)支持 SP（Strict Priority） 、WRR（Weighted Round Robin） 、SP+WRR 三種隊(duì)列調(diào)度算法，支持每個(gè)端口 4 個(gè)輸出隊(duì)列，可以以不同的優(yōu)先級(jí)將報(bào)文放入端口的輸出隊(duì)列。21 / 56 網(wǎng)絡(luò)安全 防火墻：F1000EI擴(kuò)展性最強(qiáng)基于 H3C 先進(jìn)的 OAA 開放應(yīng)用架構(gòu)，SecPath 防火墻能靈活擴(kuò)展病毒防范、網(wǎng)絡(luò)流量監(jiān)控和 SSL VPN 等硬件業(yè)務(wù)模塊，實(shí)現(xiàn) 27 層的全面安全。強(qiáng)大的攻擊防范能力能防御 DoS/DDoS 攻擊（如 CC、SYN flood、 DNS Query Flood、SYN Flood、UDP Flood 等） 、ARP 欺騙攻擊、TCP 報(bào)文標(biāo)志位不合法攻擊、Large ICMP 報(bào)文攻擊、地址掃描攻擊和端口掃描攻擊等多種惡意攻擊，同時(shí)支持黑名單、MAC 綁定、內(nèi)容過濾等先進(jìn)功能。增強(qiáng)型狀態(tài)安全過濾支持基礎(chǔ)、擴(kuò)展和基于接口的狀態(tài)檢測包過濾技術(shù)；支持 H3C 特有 ASPF 應(yīng)用層報(bào)文過濾協(xié)議，支持對(duì)每一個(gè)連接狀態(tài)信息的維護(hù)監(jiān)測并動(dòng)態(tài)地過濾數(shù)據(jù)包，支持對(duì)應(yīng)用層協(xié)議的狀態(tài)監(jiān)控。豐富的 VPN 特性集成 IPSec、 L2TP、GRE 和 SSL 等多種成熟 VPN 接入技術(shù)，保證移動(dòng)用戶、合作伙伴和分支機(jī)構(gòu)安全、便捷的接入。應(yīng)用層內(nèi)容過濾可以有效的識(shí)別網(wǎng)絡(luò)中各種 P2P 模式的應(yīng)用，并且對(duì)這些應(yīng)用采取限流的控制措施，有效保護(hù)網(wǎng)絡(luò)帶寬；支持郵件過濾，提供 SMTP 郵件地址、標(biāo)題、附件和內(nèi)容過濾；支持網(wǎng)頁過濾，提供 HTTP URL 和內(nèi)容過濾。全面 NAT 應(yīng)用支持提供多對(duì)一、多對(duì)多、靜態(tài)網(wǎng)段、雙向轉(zhuǎn)換 、Easy IP 和 DNS 映射等 NAT 應(yīng)用方式；支持多種應(yīng)用協(xié)議正確穿越 NAT，提供 DNS、FTP、NBT 等NAT ALG 功能。全面的認(rèn)證服務(wù)支持本地用戶、RADIUS 、TACACS 等認(rèn)證方式，支持基于 PKI/CA 體系的數(shù)字證書（ 格式）認(rèn)證功能。支持基于用戶身份的管理，實(shí)現(xiàn)不同身份的用戶擁有不同的命令執(zhí)行權(quán)限，并且支持用戶視圖分級(jí)，對(duì)于不同級(jí)別的用戶賦予不同的管理配置權(quán)限。集中管理與審計(jì)提供各種日志功能、流量統(tǒng)計(jì)和分析功能、各種事件監(jiān)控和統(tǒng)計(jì)功能、郵件告警功22 / 56能。：T1000A強(qiáng)大的入侵抵御能力SecPath IPS 是業(yè)界唯一集成漏洞庫、專業(yè)病毒庫、應(yīng)用協(xié)議庫的 IPS 產(chǎn)品，特征庫數(shù)量已達(dá) 10000+。配合 H3C FIRST（Full Inspection with Rigorous State Test）專有引擎技術(shù)，能精確識(shí)別并實(shí)時(shí)防范各種網(wǎng)絡(luò)攻擊和濫用行為。SecPath IPS 通過了國際權(quán)威組織 CVE(Common Vulnerabilities amp。 Exposures，通用漏洞披露)的兼容性認(rèn)證，在系統(tǒng)漏洞研究和攻擊防御方面達(dá)到了業(yè)界頂尖水平。專業(yè)的病毒查殺SecPath T1000A IPS 集成卡巴斯基防病毒引擎，內(nèi)置卡巴斯基專業(yè)病毒庫。采用第二代啟發(fā)式代碼分析技術(shù)、獨(dú)特的實(shí)時(shí)監(jiān)控腳本病毒攔截技術(shù)等多種最尖端的反病毒技術(shù)，能實(shí)時(shí)查殺大量文件型、網(wǎng)絡(luò)型和混合型等各類病毒；并采用新一代虛擬脫殼和行為判斷技術(shù)，準(zhǔn)確查殺各種變種病毒、未知病毒。零時(shí)差的應(yīng)用保護(hù)H3C 專業(yè)安全團(tuán)隊(duì)密切跟蹤全球知名安全組織和廠商發(fā)布的安全公告，經(jīng)過分析、驗(yàn)證所有這些威脅，生成保護(hù)操作系統(tǒng)、應(yīng)用系統(tǒng)以及數(shù)據(jù)庫漏洞的特征庫；H3C通過了微軟的 MAPP (Microsoft Active Protections Program)認(rèn)證，可以提前獲得微軟的漏洞信息。同時(shí)，通過部署于全球的蜜罐系統(tǒng)，實(shí)時(shí)掌握最新的攻擊技術(shù)和趨勢，以定期（每周）和緊急（當(dāng)重大安全漏洞被發(fā)現(xiàn)）兩種方式發(fā)布，并自動(dòng)或手動(dòng)地分發(fā)到 IPS 設(shè)備中，使用戶的 IPS 設(shè)備在漏洞被公布的同時(shí)立刻具備防御零時(shí)差攻擊的能力。帶寬濫用控制SecPath T1000A IPS 能幫助用戶遏制非關(guān)鍵應(yīng)用搶奪寶貴的帶寬和 IT 資源，從而確保網(wǎng)絡(luò)資源的合理配置和關(guān)鍵業(yè)務(wù)的服務(wù)質(zhì)量，顯著提高網(wǎng)絡(luò)的整體性能。網(wǎng)絡(luò)基礎(chǔ)設(shè)施保護(hù)SecPath T1000A IPS 具有強(qiáng)大的攻擊防護(hù)和流量模型自學(xué)習(xí)能力，當(dāng)攻擊發(fā)生、或者短時(shí)間內(nèi)大規(guī)模爆發(fā)的病毒導(dǎo)致網(wǎng)絡(luò)流量激增時(shí)，能自動(dòng)發(fā)現(xiàn)并阻斷攻擊和異常流量，以保護(hù)路由器、交換機(jī)、VoIP 系統(tǒng)、DNS 服務(wù)器等網(wǎng)絡(luò)基礎(chǔ)設(shè)施免遭各種惡意攻擊，保證關(guān)鍵業(yè)務(wù)的通暢。靈活的組網(wǎng)模式透明模式，即插即用，支持在線或 IDS 旁路方式部署；融合了豐富的網(wǎng)絡(luò)特性，23 / 56可在 MPLS、QinQ、GRE 等各種復(fù)雜的網(wǎng)絡(luò)環(huán)境中靈活組網(wǎng)。便捷的管理方式支持本地和分布式管理。在單臺(tái)或小規(guī)模部署時(shí)，通過 IPS 內(nèi)置的 Web 界面進(jìn)行圖形化管理；在大規(guī)模部署時(shí)，可通過 H3C 安全管理中心 SecCenter 對(duì)分布部署的 IPS 進(jìn)行統(tǒng)一監(jiān)控、分析與策略管理。高性能高可靠性領(lǐng)先的多核架構(gòu)及分布式搜索檢測引擎，確保 SecPath IPS 在各種大流量、復(fù)雜應(yīng)用的環(huán)境下，仍能具備線速深度檢測和防護(hù)能力，僅有微秒級(jí)時(shí)延。通過掉電保護(hù)（PFC） 、二層回退、雙機(jī)熱備等高可靠性設(shè)計(jì)，保證 IPS 在斷電、軟硬件故障或鏈路故障的情況下，網(wǎng)絡(luò)鏈路仍然暢通，保證用戶業(yè)務(wù)的不間斷正常運(yùn)行 VLAN 劃分根據(jù)校園網(wǎng)的實(shí)際需求，屬于同一部門的工作人員可能在不同的建筑物中，但需要在一個(gè)邏輯子網(wǎng)內(nèi)。網(wǎng)絡(luò)站點(diǎn)的增減，人員的變動(dòng)，無論從網(wǎng)絡(luò)管理，還是用戶的角度來講，都需要虛擬網(wǎng)技術(shù)的支持。因此在校園網(wǎng)絡(luò)的整個(gè)網(wǎng)絡(luò)規(guī)劃當(dāng)中，VLAN 的劃分是非常重要的部分，很好的利用 VLAN 技術(shù)的功能，能起到事半功倍的效果，對(duì)整個(gè)網(wǎng)絡(luò)的性能也是事關(guān)重要的。主要突出為以下幾點(diǎn)：? VLAN 劃分，可以避免廣播風(fēng)暴，在骨干網(wǎng)絡(luò)中尤為突出，在多媒體、視頻點(diǎn)播等很容易引起廣播信息；劃分之后，VLAN 是廣播只在子網(wǎng)中進(jìn)行，不會(huì)做無意義的廣播，消除了廣播風(fēng)暴產(chǎn)生的條件。? VLAN 劃分，可以增加網(wǎng)絡(luò)的安全性，在不同的VLAN之間不能隨意通訊，只限與本子網(wǎng)間通訊，不會(huì)對(duì)其他的子網(wǎng)產(chǎn)生干擾。要進(jìn)行訪問，需要通過三層交換，這樣信息流就得到相當(dāng)好的控制。? 網(wǎng)絡(luò)管理系統(tǒng)采用完全獨(dú)立的IP子網(wǎng)和VLAN，實(shí)現(xiàn)更加安全的對(duì)所有網(wǎng)絡(luò)設(shè)備進(jìn)行管理。建立VLAN 和IP 子網(wǎng)的對(duì)應(yīng)關(guān)系。? 提高管理效率，實(shí)現(xiàn)虛擬的工作組，減少站點(diǎn)的移動(dòng)和改變的開銷。? VLAN 間的子網(wǎng)訪問，可以在三層交換機(jī)上實(shí)現(xiàn)，子網(wǎng)間的通訊也可以在匯聚設(shè)備上實(shí)行，分流核心交換機(jī)的三層交換，優(yōu)化了組網(wǎng)。根據(jù)以往網(wǎng)絡(luò)管理經(jīng)驗(yàn)和骨干網(wǎng)絡(luò)網(wǎng)絡(luò)建設(shè)的實(shí)際情況，方案建議在骨干24 / 56網(wǎng)絡(luò) VLAN 劃分規(guī)劃以“靈活劃分、方便管理”為基本原則，以不同的使用群體為 VLAN 范圍劃分。這樣劃分 VLAN 的好處有：1）方便管理。為了更好的進(jìn)行 VLAN 規(guī)劃的實(shí)施，因此在網(wǎng)絡(luò)實(shí)施前期，要對(duì)網(wǎng)絡(luò)中不同區(qū)域的 VLAN 設(shè)置進(jìn)行詳細(xì)的規(guī)劃，細(xì)化到接入層網(wǎng)絡(luò)，這樣在骨干網(wǎng)絡(luò)這樣大型的校園網(wǎng)絡(luò)中如果以用戶群體來劃分 VLAN 的話，避免由于前期配置設(shè)備時(shí)復(fù)雜煩瑣，而且由于相同的用戶群體可能在不同的物理位置，導(dǎo)致造成整個(gè)校園網(wǎng)絡(luò)中 VLAN 劃分復(fù)雜，減輕管理和后期維護(hù)。所以方案建議骨干網(wǎng)絡(luò)劃分 VLAN 方式前進(jìn)行詳盡規(guī)劃，這樣既可以減少廣播域，又達(dá)到劃分VLAN，方便管理的效果，對(duì)于后期網(wǎng)絡(luò)維護(hù)和升級(jí)具有十分現(xiàn)實(shí)的意義。2） 易于實(shí)施。按群體劃分 VLAN 在工程實(shí)施中就十分的方便，不會(huì)造成VLAN 劃分復(fù)雜失誤而使得網(wǎng)絡(luò)出現(xiàn)不通的現(xiàn)象，便于工程快速實(shí)施和網(wǎng)絡(luò)中心整體規(guī)劃。3）VLAN 間路由采用三層交換設(shè)備進(jìn)行 VLAN 路由。以便不同 VLAN 間進(jìn)行訪問，對(duì)于學(xué)校重要網(wǎng)絡(luò)資源，需要進(jìn)行權(quán)限訪問的時(shí)候，建議采用專家級(jí)ACL（可同時(shí)基于 VLAN 號(hào)、以太網(wǎng)類型、MAC 地址、IP 地址、TCP/UDP 端口號(hào)、時(shí)間靈活組合限定的硬件 ACL）來進(jìn)行訪問權(quán)限設(shè)定，保障重要資料不被非法訪問。 Ip 地址劃分IP 地址的統(tǒng)一、合理規(guī)劃以及整個(gè)網(wǎng)絡(luò)向 IP