【正文】 S9500E 交換機采用背板采用分布式 Crossbar 的技術，整機的轉(zhuǎn)發(fā)不存在任何的瓶頸問題，同時， S9500E 可實現(xiàn)背板容量的平滑升級，除背板采用 Crossbar 的方式，在接口板上，H3C 公司 S9500E 萬兆核心交換機采用分布式 Crossbar 的技術，即在每個業(yè)務單板上面也同樣采用 Crossbar 的技術，端口與端口之間的轉(zhuǎn)發(fā)均有可直達的端到端轉(zhuǎn)發(fā)通道，使得端口之間的轉(zhuǎn)發(fā)不存在在任何瓶頸，大大提高了核心交換機的整機轉(zhuǎn)發(fā)性能。 基于流攻擊的防止。H3C 所采用產(chǎn)品 S9500E 等三層轉(zhuǎn)發(fā)模式均為最長路由匹配技術。這樣就可以避免園區(qū)網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件進行的一些基于流的共計，因為這種攻擊是通過不斷變換自己的本網(wǎng)斷內(nèi)的 IP 地址，來不斷消耗主控處理板的 CPU 處理能力，直到徹底使主控處理板的 CPU 喪失處理能力，整個機器癱掉。S9500E 是根據(jù)最長匹配來查找路由的，是針對網(wǎng)斷進行路由的。所以當攻擊者進行攻擊時，不會造成 S9500E 業(yè)務能力處理下降，對于整機沒有影響。這是我們選則 S9500E 的作為核心交換的非常重要的原因。 網(wǎng)管解決方案根據(jù)網(wǎng)絡實際情況可采用 H3C IMC 網(wǎng)管系統(tǒng)。特性該系統(tǒng)采用開放式結(jié)構(gòu)設計，嚴格遵守標準的 SNMP 協(xié)議（RFC1157） ，主要使用RFC1213 定義的 MIB 信息，具有投資省、使用靈活、易于移植等特點：使用靈活H3C IMC 系統(tǒng)的使用方式非常靈活，既可以作為設備級的應用程序集成到已有的網(wǎng)管平臺（如：HPOpenView、RadiumsNMS、SNMPC、NetManager）中進行網(wǎng)絡級管理，又可以作為獨立的應用程序執(zhí)行進行設備級管理。同時可以根據(jù)用戶需求進行接口的開放。支持 WEB 方式杭州華三通信技術有限公司 2022523 內(nèi)部資料，請勿擴散 第 20 頁, 共 137 頁基于 WEB 的管理是網(wǎng)管方式的一次革命，其主要優(yōu)勢在于：基于 WEB 的管理允許網(wǎng)絡管理人員使用任一種瀏覽器在網(wǎng)絡的任何節(jié)點上方便迅速地配置、控制及監(jiān)視網(wǎng)絡。在 Web Server 上安裝了網(wǎng)管軟件后，其它網(wǎng)管機器不用預裝網(wǎng)管軟件，只須安裝了 WEB 瀏覽器并且設備能上網(wǎng)，就能使用 H3C IMC 系統(tǒng)管理 。成本低H3C IMC 不像大型網(wǎng)管系統(tǒng)那樣系統(tǒng)龐大，它將網(wǎng)管人員最為關心的網(wǎng)絡信息直觀而濃縮地呈現(xiàn)于網(wǎng)管人員面前，使其方便地了解設備各端口的運行情況以及主要的設備性能指標。支持多種操作系統(tǒng)平臺純 Java 的實現(xiàn)，保證 H3C IMC 無須修改便能運行于當前主流 的各種平臺之上。除此以外，H3C IMC 系統(tǒng)使用全新的 JFC 類庫，所有控件均支持 Look and Feel 特性，該特性使得H3C IMC 既可以在不同平臺上呈現(xiàn)出統(tǒng)一的顯示風格，也能夠使控件的風格與操作系統(tǒng)相一致。功能功能 描述路由器設備視圖 設備端口的配置情況：端口個數(shù)、端口種類、端口當前狀態(tài)等故障管理 對全網(wǎng)設備的告警信息和運行信息進行實時監(jiān)控，查詢和統(tǒng)計設備的告警信息。主要功能包括：支持告警相關性分析；能按照用戶設置的條件對告警信息進行統(tǒng)計和查詢；提供告警拓撲定位；支持告警 Trap 規(guī)則定義等。路由器設備整體配置信息 支持拓撲自動發(fā)現(xiàn)功能，系統(tǒng)信息（系統(tǒng)描述、系統(tǒng)標識、重啟時間、所在地、設備名、聯(lián)絡方式） 、地址轉(zhuǎn)換表、接口表、IP 表、IP 路由表、TCP 聯(lián)接表。性能管理 提供對設備實時性能數(shù)據(jù)的查看功能，使用戶了解當前網(wǎng)絡運行的基本情況和性能狀態(tài)，從而預防網(wǎng)絡事故的發(fā)生，預測網(wǎng)絡運行狀態(tài)，幫助用戶對網(wǎng)絡的管理運營進行合理的規(guī)劃。同時可以支持對于網(wǎng)絡節(jié)點杭州華三通信技術有限公司 2022523 內(nèi)部資料，請勿擴散 第 21 頁, 共 137 頁設備利用率、CPU 利用率、故障率、線路流量統(tǒng)計、網(wǎng)絡時延統(tǒng)計、歷史告警信息等進行統(tǒng)計記錄，并可以實現(xiàn)網(wǎng)絡流量配置。設備日志和告警管理 在系統(tǒng)獨立運行時，設備日志管理完成接收設備發(fā)送到網(wǎng)管的 Syslog 日志報文，直接保存到文件中；設備告警管理完成接收設備發(fā)送到網(wǎng)管的告警報文，將該Trap 進行解析并保存到文件中。路由器設備整體運行狀態(tài) CPU 負載、系統(tǒng)溫度、風扇狀態(tài)、VOS 內(nèi)存空閑率、NonVolatile 空閑率、內(nèi)存分布錯誤次數(shù)、內(nèi)存分配不足引起的分配錯誤輸入 IP 報文、表頭錯誤的輸入 IP 報文、地址錯誤 IP報文、未知協(xié)議數(shù)據(jù)報、緩沖溢出輸入 IP 報文、緩沖溢出的輸出 IP 報文、轉(zhuǎn)發(fā)的 IP 報文、無路由的輸出IP 報文、成功重組的 IP 報文安全日志管理 安全管理功能主要有以下幾個方面：操作日志管理，用戶管理，用戶組管理，設備集管理，操作集管理，權(quán)限管理，用戶登錄管理。路由器設備端口配置信息 接口描述、接口類型、最大傳輸單元、接口速率、物理地址、管理狀態(tài)、操作狀態(tài)、持續(xù)運行時間、本地描述路由器設備端口運行狀態(tài) 接口使用率、輸入包誤碼率、輸出包誤碼率、輸入包丟棄率、輸出包丟棄率、輸入包未知協(xié)議率 下圖是該產(chǎn)品的界面示例：杭州華三通信技術有限公司 2022523 內(nèi)部資料，請勿擴散 第 22 頁, 共 137 頁 無線 AP 部署方案目前考慮在校園園區(qū)內(nèi)部署 FIT AP,在核心的 S9500E 上部署 H3C 板卡系列無線控制器模塊，S9500E 無線控制器能提供了豐富的有線數(shù)據(jù)和無線數(shù)據(jù)的處理功能，集精細的用戶控制管理、完善的 RF 管理及安全機制、快速漫游、超強的 QoS 及 IPv4amp。IPv6 等多功能于一體的功能。H3C 公司更有眾多的無線有線一體化的交換機可供選擇，使得無線配置靈活，部署方面。H3C 公司使用創(chuàng)新的基于認證的組網(wǎng)來提供網(wǎng)絡服務，這種方法基于用戶身份而非端口或設備，以便跨越整個網(wǎng)絡實現(xiàn)移動性和安全性。當用戶漫游網(wǎng)絡時，通過 WLAN 網(wǎng)絡范圍內(nèi)的無線控制器的信息交換，以實現(xiàn)在整個網(wǎng)絡范圍內(nèi)執(zhí)行一致的訪問和安全策略。同時采用 WPA/WPA2 和 認證結(jié)合的 AES、TKIP 以及 WEP 加密等功能增強了網(wǎng)絡安全。S95E 無線板卡或無線有線一體化的交換機與 H3C FIT AP 配合組網(wǎng)，可以方便的部署于任何現(xiàn)有的二層網(wǎng)絡或三層網(wǎng)絡之中，控制器和 AP 通過 IETF 制定的 CAPWAP 協(xié)議進行互聯(lián)而無需針對現(xiàn)有網(wǎng)絡進行重新配置。? 認證方式及認證點選擇本方案主要采用 認證，交換機作為 協(xié)議終結(jié)點，IMC 用戶管理系統(tǒng)系統(tǒng)為用戶鑒權(quán)點。 認證是一種二層認認證機制，建議使用二層信息與帳號進行捆綁，此時的網(wǎng)絡是一種安全網(wǎng)絡。? 整網(wǎng)安全無線網(wǎng)絡安全部分主要包括以下方面的內(nèi)容：MAC 地址過濾：目前我司 AP 都支持基于 MAC 地址的過濾，可以限制具有某種類型的 MAC地址特征的終端進入網(wǎng)絡中，對于大規(guī)模網(wǎng)絡，使用 MAC 地址過濾時操作起來具有較大的難度，主要原因是：MAC 地址的規(guī)律性不大，所有的 AP 都要進行配置，存在缺點：維護工作量不大，故建議：不進行部署，但設備要具有這樣的能力，以備以后增加相應設備進行配套使用，以增強安全性；SSID 管理：是一種網(wǎng)絡標識的方案，將網(wǎng)絡進行一個邏輯化標識，對終端上發(fā)的報文都要求進行上帶 SSID，如果沒有 SSID 標識則不能進入網(wǎng)絡；杭州華三通信技術有限公司 2022523 內(nèi)部資料，請勿擴散 第 23 頁, 共 137 頁WEP\AES 加密：WEP 加密是一種靜態(tài)加密的機制，通信雙方具有一個共同的密鑰，終端發(fā)送的空口信息報文必須使用共同的密鑰進行加密；AES 屬于一種動態(tài)加密機制，密鑰進行定期的刷新；? 頻率規(guī)劃 使用開放的 ISM 頻段，可工作的信道數(shù)為歐洲標準信道數(shù) 13 個。由于其支持直序擴頻技術造成相鄰頻點之間存在重疊。對于真正相互不重疊信道只有相隔 5 個信道的工作中心頻點。因此對于 在 地工作頻段，理論上只能進行三信道的蜂窩規(guī)劃實現(xiàn)對需要規(guī)劃的熱點的無縫覆蓋。此外，由于功率模板是否能做到符合鄰道、隔道不干擾也非常影響頻率規(guī)劃的效果。針對如何進行 的頻率規(guī)劃作了大量的實驗，實驗證明 3 載頻也可以實現(xiàn)蜂窩對需要覆蓋的區(qū)域進行無縫覆蓋，并提供更高的服務帶寬提高服務質(zhì)量，和高帶寬業(yè)務的開展。`頻率規(guī)劃原理圖頻率規(guī)劃需要配合使用的功能包括：AP 支持 13 個信道設置AP 支持 500～200mW、60～10mW 功率以及多級功率控制AP 支持外置天線以及定向天線針對特殊應用還需要 AP 支持橋接功能、接入功能以及 WDS 功能? 網(wǎng)絡管理基于標準的 SNMP 協(xié)議實現(xiàn)對設備的管理，H3C IMC 網(wǎng)管系統(tǒng)通過 SNMP 實現(xiàn)對 WLAN 所有網(wǎng)元的管理。網(wǎng)管工作站可以放在網(wǎng)上的任意位置，通過標準的 SNMP 即可實現(xiàn)對所有設杭州華三通信技術有限公司 2022523 內(nèi)部資料，請勿擴散 第 24 頁, 共 137 頁備的管理。采用標準的 SNMP 可以實現(xiàn)更為強大的管理包括自動拓撲發(fā)現(xiàn)、自動升級、批量配置、分級管理、分級告警等。? 供電問題由于本次無線網(wǎng)中 AP 布放位置根據(jù)實際覆蓋效果而調(diào)整，在已建設完成的建筑物上較難進行本地供電，對 AP 的本地供電問題難度更大，可采用基于標準的 實現(xiàn)對 AP 的供電。通過在匯集交換機處疊加一個供電電源或者內(nèi)嵌交換機內(nèi)，通過以太網(wǎng)線在傳輸數(shù)據(jù)同時給 AP 供電，供電距離達 100 米，滿足實際組網(wǎng)的要求。 長春職業(yè)技術師范學院 IPv6 網(wǎng)絡設計 IPv6 的優(yōu)勢 IPv6 的發(fā)展是從 1992 年開始的，經(jīng)過了 12 年的發(fā)展時間，IPv6 的標準體系已經(jīng)基本完善，在這個過程中，IPv6 逐步優(yōu)化了協(xié)議體系結(jié)構(gòu)，為業(yè)務發(fā)展創(chuàng)造機會，歸納起來IPv6 的優(yōu)勢包括如下幾個特點：地址充足：IPv6 產(chǎn)生的初衷主要是針對 IPv4 地址短缺問題， ，即從 IPv4 的 32bit 地址，擴展到了 IPv6 的 128bit 地址，充分解決地址匱乏問題。同時 IPv6 地址是有范圍的，包括鏈路本地地址、站點本地地址和任意播地址，這也進一步增加地址應用的擴展性。簡單是美：簡化固定的基本報頭，采用 64 比特邊界定位，取消 IP 頭的校驗和域等措施，以提高網(wǎng)絡設備對 IP 報文的處理效率。擴展為先：引入靈活的擴展報頭，按照不同協(xié)議要求增加擴展頭種類，按照處理順序合理安排擴展頭的順序，其中網(wǎng)絡設備需要處理的擴展頭在報文頭的前部，而需要宿端處理的擴展頭在報文頭的尾部。層次區(qū)劃：IPv6 極大的地址空間使層次性的地址規(guī)劃成為可能，同時國際標準中已經(jīng)規(guī)定了各個類型地址的層次結(jié)構(gòu)，這樣既便于路由快速查找址格式更具層次性，也有利于路由聚合，縮減 IPv6 路由表大小，降低網(wǎng)絡地址規(guī)劃的難度。即插即用：IPv6 引入自動配置以及重配置技術，對于 IP 地址等信息實現(xiàn)自動增刪更新配置，提高 IPv6 的易管理性。貼身安全：IPv6 集成了 IPSec，用于網(wǎng)絡層的認證與加密，為用戶提供端到端安全，使用起來比 IPv4 簡單、方便，可以在遷移到 IPv6 時同步發(fā)展 IPSec。Qos 考慮：新增流標記域，為源宿端快速處理實時業(yè)務提供可能，有利于低性能的業(yè)務終端支持 IPv6 的語音、視頻等應用。杭州華三通信技術有限公司 2022523 內(nèi)部資料，請勿擴散 第 25 頁, 共 137 頁移動便捷：Mobile IPv6 增強了移動終端的移動特性、安全特性、路由特性，降低了網(wǎng)絡部署的難度和投資，為用戶提供了永久在線的服務。IPv6 的上述特點充分迎合了未來網(wǎng)絡向 IP 融合統(tǒng)一的發(fā)展方向，并提升 IP 網(wǎng)絡的可運營可管理性。 整體設計長春職業(yè)技術師范學院IPv6網(wǎng)絡的建設主要是為了在目前的校園網(wǎng)內(nèi)部建設IPv6環(huán)境，使得學生對IPv6網(wǎng)絡進行訪問，同時逐步在IPv6網(wǎng)絡當中開展IPv6業(yè)務，如：組播、FTP、流媒體等業(yè)務，進而提高IPV6網(wǎng)絡的用戶數(shù)量，擴大IPv6應用。S9500E、S5800等三層交換機可實現(xiàn)IPv6的支持，可以支持靜態(tài)IPv6路由、支持基于硬件的IPv6轉(zhuǎn)發(fā)，可實現(xiàn)IPv6到IPv4以及IPv4到IPv6等隧道技術，其整體的IPv6升級方案如下圖所示：Inter2 Cer2IPv6服務161。173。161。173。IPV4 User161。173。161。173。IPV4 UserS9512ES5800E126A E126AIPv6 User核心匯聚接入IPV6 User161。173。161。173。IPV6 User雙棧 雙棧雙棧NATPT如圖所示，在同一臺接入層交換機下可能存在不同的用戶有 V6 用戶也有 V4 用戶，對于V4 與 V4 用戶的互通，或是 V6 與 V6 用戶的互通可以直接通過核心交換機來實現(xiàn)，而對于兩個跨 V4 網(wǎng)的 V6 孤島之間的互聯(lián)可以通過隧道技術來