【導(dǎo)讀】S8500萬(wàn)兆核心路由交換機(jī)45. S6506R千兆路由交換機(jī)51. S5000系列智能千兆以太網(wǎng)交換機(jī)55. E系列教育網(wǎng)以太網(wǎng)交換機(jī)60. Eudemon200（守護(hù)神）防火墻64. 根據(jù)2020年的最新調(diào)查結(jié)果來(lái)看，我國(guó)目前的上網(wǎng)總?cè)丝谝堰_(dá)12020萬(wàn)，其中校園用戶占了32%，是最大的用戶群。另?yè)?jù)華為公司市場(chǎng)部提供的資料，中國(guó)網(wǎng)民的普及率是%，但在大學(xué)生群體中的普及率是93%。網(wǎng)吧上網(wǎng)，97%的學(xué)生用201校園卡打電話。開展，提高教育系統(tǒng)信息化水平成為當(dāng)前工作的重點(diǎn)。統(tǒng)信息化建設(shè)的關(guān)鍵，尤其是高校校園網(wǎng)建設(shè)。須給他們提供一個(gè)實(shí)踐的環(huán)境，這個(gè)環(huán)境離不開校園網(wǎng)。們對(duì)此深信不疑，并將全身心地為之努力。時(shí)用戶通過(guò)選擇WEB認(rèn)證上的相應(yīng)選擇項(xiàng)進(jìn)行選擇。多ISP分別計(jì)費(fèi)的需求，對(duì)應(yīng)不同的ISP，計(jì)費(fèi)策略不一致。成為學(xué)校教學(xué)和科研不可缺少的組成部分。為了加快北京科技大學(xué)信息化建設(shè)速

　　

【正文】 方式中，因?yàn)閷?duì)用戶能實(shí)現(xiàn)動(dòng)態(tài)的 VLAN+MAC+IP 綁定，可對(duì)用戶發(fā)動(dòng)的偽造攻擊報(bào)文進(jìn)行合法性檢查和過(guò)濾，具有一定的網(wǎng)絡(luò)安全性保障。 不同 VLAN 間的互訪，必須經(jīng)過(guò)三層交換機(jī)進(jìn)行轉(zhuǎn)發(fā)。 網(wǎng)管解決方案 根據(jù)網(wǎng)絡(luò)實(shí)際情況可采用華為 Quidview 網(wǎng)管系統(tǒng)。 特性 該系統(tǒng)采用開放式結(jié)構(gòu)設(shè)計(jì)，嚴(yán)格遵守標(biāo)準(zhǔn)的 SNMP 協(xié)議（ RFC1157），主要使用 RFC1213 定義的 MIB 信息，具有投資省、使用靈活、易于移植等特點(diǎn)： 使用靈活 QuidView 系統(tǒng)的使用方式非常靈活，既可以作為設(shè)備級(jí)的應(yīng)用程序集成到已有的網(wǎng)管平臺(tái)（如： HPOpenView、 RadiumsNMS、 SNMPC、 NetManager）中進(jìn)行網(wǎng)絡(luò)級(jí)管理，又可以作為獨(dú)立的應(yīng)用程序執(zhí)行進(jìn)行設(shè)備級(jí)管理。 支持 WEB 方式 基于 WEB 的管理是網(wǎng)管方式的一次革命，其主要優(yōu)勢(shì)在于：基于 WEB 的管理允許網(wǎng)絡(luò)管理人員使用任一種瀏覽器在網(wǎng)絡(luò)的任何節(jié)點(diǎn)上方便迅速地配置、控制及監(jiān)視網(wǎng)絡(luò)。在 Web Server 上安裝了網(wǎng)管軟件后，其它網(wǎng)管機(jī)器不用預(yù)裝網(wǎng)管軟件，只須安裝了 WEB 瀏覽器并且設(shè)備能上網(wǎng) ，就能使用 QuidView 系統(tǒng)管理 。 成本低 QuidView 不像大型網(wǎng)管系統(tǒng)那樣系統(tǒng)龐大，它將網(wǎng)管人員最為關(guān)心的網(wǎng)絡(luò)信息直觀而濃縮地呈現(xiàn)于網(wǎng)管人員面前，使其方便地了解設(shè)備各端口的運(yùn)行情況以及主要的設(shè)備性能指標(biāo)。 支持多種操作系統(tǒng)平臺(tái) 純 Java 的實(shí)現(xiàn)，保證 QuidView 無(wú)須修改便能運(yùn)行于當(dāng)前主流 的各種平臺(tái)之上。除此以外， QuidView 系統(tǒng)使用全新的 JFC 類庫(kù)，所有控件均支持 Look and Feel 特性，該特性使得 QuidView 既可以在不同平臺(tái)上呈現(xiàn)出統(tǒng)一的顯示風(fēng)格，也能夠使控件的風(fēng)格與操作系統(tǒng) 相一致。 功能 功能 描述 路由器設(shè)備視圖 設(shè)備端口的配置情況：端口個(gè)數(shù)、端口種類、端口當(dāng)前狀態(tài)等 路由器設(shè)備整體配置信息 系統(tǒng)信息（系統(tǒng)描述、系統(tǒng)標(biāo)識(shí)、重啟時(shí)間、所在地、設(shè)備名、聯(lián)絡(luò)方式）、地址轉(zhuǎn)換表、接口表、IP 表、 IP 路由表、 TCP 聯(lián)接表。 路由器設(shè)備整體運(yùn)行狀態(tài) CPU 負(fù)載、系統(tǒng)溫度、風(fēng)扇狀態(tài)、 VOS 內(nèi)存空閑率、 NonVolatile 空閑率、內(nèi)存分布錯(cuò)誤次數(shù)、內(nèi)存分配不足引起的分配錯(cuò)誤 輸入 IP 報(bào)文、表頭錯(cuò)誤的輸入 IP報(bào)文、地址錯(cuò)誤 IP 報(bào)文、未知協(xié)議數(shù)據(jù)報(bào)、緩沖溢出輸入 IP 報(bào)文、緩沖溢出 的輸出 IP 報(bào)文、轉(zhuǎn)發(fā)的 IP 報(bào)文、無(wú)路由的輸出 IP 報(bào)文、成功重組的 IP 報(bào)文 路由器設(shè)備端口配置信息 接口描述、接口類型、最大傳輸單元、接口速率、物理地址、管理狀態(tài)、操作狀態(tài)、持續(xù)運(yùn)行時(shí)間、本地描述 路由器設(shè)備端口運(yùn)行狀態(tài) 接口使用率、輸入包誤碼率、輸出包誤碼率、輸入包丟棄率、輸出包丟棄率、輸入包未知協(xié)議率 下圖是該產(chǎn)品的界面示例： 5．核心網(wǎng)安全設(shè)計(jì) 網(wǎng)絡(luò)安全是任何一個(gè)網(wǎng)絡(luò)建設(shè)時(shí)首先要考慮的重要問(wèn)題，北京科技大學(xué)校園網(wǎng)的環(huán)境更加復(fù)雜，學(xué)生的技術(shù)水平都較高，好奇心比較強(qiáng)，校園網(wǎng)的網(wǎng)絡(luò)安全更加值得 關(guān)注。 TCP/IP 網(wǎng)絡(luò)本身就存在很多安全漏洞，很容易被一些惡意用戶利用并實(shí)施攻擊，或非法占用網(wǎng)絡(luò)資源，侵犯其它用戶的合法利益，甚至導(dǎo)致整個(gè)網(wǎng)絡(luò)系統(tǒng)崩潰。任何一個(gè)網(wǎng)絡(luò)設(shè)備都必需首先具備足夠的自我保護(hù)和防范能力，華為 3的交換機(jī)和路由器等網(wǎng)絡(luò)設(shè)備在安全性方面有豐富實(shí)用的功能，大體可分為兩類，一類是自身防攻擊措施，另一類是用戶安全保證措施。 、用戶嚴(yán)格隔離 方法一：用 Vlan 隔離。在樓道以太網(wǎng)交換機(jī)上按端口劃分 Vlan，每個(gè)用戶占用一個(gè) Vlan。 方法二：利用 PVlan 技術(shù)。在樓道交換機(jī)上劃分 PVlan，使用戶端口之間不能通信，用戶端口只能和 Uplink 口通信。 方法三：使用以太網(wǎng) MUX 設(shè)備。該類設(shè)備將接入層交換機(jī)的端口分為兩類：上行口 Uplink 和用戶端口。用戶端口之間不能通信， Uplink 口可以和所有端口通信。 、用戶唯一標(biāo)識(shí) 一般的邊緣路由器對(duì)于用戶上行報(bào)文，只根據(jù)目的 IP 地址進(jìn)行轉(zhuǎn)發(fā)，不做源地址檢查，這是出現(xiàn)網(wǎng)絡(luò)和用戶安全性問(wèn)題的根本原因所在。對(duì)于靜態(tài) IP 地址分配方案，接入層交換機(jī)可在操作界面中實(shí)現(xiàn)用戶的 VLAN ID+IP+MAC 綁定關(guān)系的指定；對(duì)于動(dòng)態(tài) IP 地址分配方案，在 IP 地址動(dòng)態(tài)分 配后，接入層交換機(jī)可實(shí)現(xiàn)用戶的 VLAN ID+IP+MAC 的綁定。 VLAN 信息由設(shè)備構(gòu)造，不可仿冒，可作為用戶上網(wǎng)的唯一標(biāo)識(shí)。 、防止對(duì) DHCP 服務(wù)器的攻擊 使用 DHCP Server 動(dòng)態(tài)分配 IP 地址會(huì)存在兩個(gè)問(wèn)題：一是 DHCP Server 假冒，用戶將自己的計(jì)算機(jī)設(shè)置成 DHCP Server 后會(huì)與局方的 DHCP Server 沖突；二是用戶 DHCP Smurf，用戶使用軟件變換自己的 MAC 地址，大量申請(qǐng) IP 地址，很快將 DHCP 的地址池耗光。 由于 DHCP是通過(guò)二層廣播包起作用的，故在二層嚴(yán)格隔離用戶， 可防止 DHCP Server 假冒。為解決 DHCP Smurf，在以太網(wǎng)接入時(shí)，對(duì)用戶劃分 Vlan，由匯聚層交換機(jī)控制一個(gè) Vlan 下申請(qǐng)的最大 IP 地址數(shù)，當(dāng)該 Vlan 的 IP 地址數(shù)目達(dá)到限制值后，拒絕新的 DHCP 申請(qǐng)。 Vlan 的劃分可根據(jù)學(xué)校的實(shí)際情況靈活掌握。 、惡意用戶追查 對(duì)每個(gè)用戶分配一個(gè)賬戶，使用 CAMS 管理用戶。由 CAMS 記錄用戶每次上網(wǎng)的用戶名，源 IP 地址，上網(wǎng)開始和結(jié)束時(shí)間。然后通過(guò)華為的網(wǎng)絡(luò)管理系統(tǒng)Quidview 的 MAC 地址和 IP 地址的反向查找功能，就可以根據(jù)源 IP 或源 MAC 在Quidview 網(wǎng)管上查到該用戶所在的交換機(jī)以及在該交換機(jī)上所接的端口，通過(guò)這種方式可以立刻定位用戶，方便對(duì)于大型網(wǎng)絡(luò)的管理，能夠方便快捷的防止惡意用戶的攻擊。 網(wǎng)絡(luò)管理安全設(shè)計(jì) 華為 3 公司的 Quidview 網(wǎng)絡(luò)管理軟件使用靈活的組件技術(shù)，支持多種操作平臺(tái)，并能夠與多種通用網(wǎng)管平臺(tái)集成，實(shí)現(xiàn)從設(shè)備級(jí)到網(wǎng)絡(luò)級(jí)全方位的網(wǎng)絡(luò)管理。 網(wǎng)絡(luò)集中監(jiān)視 Quidview 網(wǎng)絡(luò)管理軟件提供統(tǒng)一拓?fù)浒l(fā)現(xiàn)功能，實(shí)現(xiàn)全網(wǎng)監(jiān)控，可以實(shí)時(shí)監(jiān)控所有設(shè)備的運(yùn)行狀況，并根據(jù)網(wǎng)絡(luò)運(yùn)行環(huán)境變化提供合適的方式對(duì)網(wǎng)絡(luò)參數(shù)進(jìn)行配置修改， 保證網(wǎng)絡(luò)以最優(yōu)性能正常運(yùn)行。 ? 全網(wǎng)設(shè)備的統(tǒng)一拓?fù)湟晥D ? 拓?fù)渥詣?dòng)發(fā)現(xiàn)，拓?fù)浣Y(jié)構(gòu)動(dòng)態(tài)刷新 ? 可視化操作方式：拓?fù)湟晥D節(jié)點(diǎn)直接點(diǎn)擊進(jìn)入設(shè)備操作面板 ? 在網(wǎng)絡(luò)、設(shè)備狀態(tài)改變時(shí)，改變節(jié)點(diǎn)顏色，提示用戶 ? 對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行定時(shí)（輪詢間隔時(shí)間可配置）的輪循監(jiān)視和狀態(tài)刷新并表現(xiàn)在網(wǎng)絡(luò)視圖上 ? 支持拓?fù)溥^(guò)濾，讓用戶關(guān)注所關(guān)心的網(wǎng)絡(luò)設(shè)備情況 ? 支持快速查找拓?fù)鋵?duì)象，并在導(dǎo)航樹和拓?fù)湟晥D中定位該拓?fù)鋵?duì)象 故障管理 故障管理主要功能是對(duì)全網(wǎng)設(shè)備的告警信息和運(yùn)行信息進(jìn)行實(shí)時(shí)監(jiān)控，查詢和統(tǒng)計(jì)設(shè)備的告警信息。 ? 告 警實(shí)時(shí)監(jiān)視，提供告警聲光提示，支持外接告警箱 ? 支持告警轉(zhuǎn)到 Email、手機(jī)短信 ? 支持告警過(guò)濾，讓用戶關(guān)注重要的告警，查詢結(jié)果可生成報(bào)表 ? 支持告警基級(jí)別重新定義，支持告警轉(zhuǎn)存，保證系統(tǒng)的運(yùn)行效率和穩(wěn)定性 ? 支持告警拓?fù)涠ㄎ?，將顯示的焦點(diǎn)定位到產(chǎn)生選定告警的拓?fù)鋵?duì)象 ? 支持告警相關(guān)性分析，包括屏蔽重復(fù)告警、屏蔽閃斷告警、屏蔽rootcause 告警等 集群管理 針對(duì)本次組網(wǎng)中大量二層交換機(jī)等低端設(shè)備的應(yīng)用環(huán)境， Quidview 網(wǎng)絡(luò)管理軟件提供集群管理功能，通過(guò)一個(gè)指定公網(wǎng) IP 的設(shè)備（稱作命令 交換機(jī)）對(duì)網(wǎng)絡(luò)進(jìn)行管理。 ? 實(shí)現(xiàn)對(duì)一組設(shè)備統(tǒng)一、集中、批量配置管理； ? 實(shí)現(xiàn)設(shè)備的集中維護(hù)管理； ? 網(wǎng)絡(luò)拓?fù)湫畔⒆詣?dòng)收集、維護(hù)，動(dòng)態(tài)更新； ? 節(jié)省公網(wǎng) IP 地址資源； ? 實(shí)現(xiàn)方便的軟件升級(jí)、配置數(shù)據(jù)備份、配置數(shù)據(jù)恢復(fù)； 流量性能監(jiān)控 Quidview 網(wǎng)絡(luò)管理軟件可以統(tǒng)計(jì)不同線路的利用情況，不同資源的利用情況，為優(yōu)化或擴(kuò)充網(wǎng)絡(luò)提供依據(jù)。 Quidview 提出了層次化性能監(jiān)控的概念，針對(duì)不同的側(cè)重點(diǎn)，提供不同的性能監(jiān)控工具。 Quidview 網(wǎng)絡(luò)管理軟件提供 Traffic View 工具，能夠檢測(cè)網(wǎng)絡(luò)設(shè) 備端口流量變化，它使得網(wǎng)絡(luò)管理者能夠直觀地觀測(cè)設(shè)備流量的變化，從而對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行有效的管理。 針對(duì)用戶關(guān)注的業(yè)務(wù)性能， Quidview 網(wǎng)絡(luò)管理軟件提供了基于報(bào)文流七元組信息的流量工具―― NSCamp。NDA，它是網(wǎng)流的收集和分析工具。其中，網(wǎng)流收集器（ NSC， NetStream Collector）提供快速的網(wǎng)流設(shè)備數(shù)據(jù)收集工具，包含的功能： ? 收集多個(gè)網(wǎng)流設(shè)備輸出的網(wǎng)流統(tǒng)計(jì)數(shù)據(jù)； ? 通過(guò)配置過(guò)濾器過(guò)濾掉不必要的數(shù)據(jù)； ? 通過(guò)聚合減少統(tǒng)計(jì)數(shù)據(jù)的磁盤空間占用量； ? 分層次存儲(chǔ)數(shù)據(jù)（便于客戶端應(yīng)用程序獲取數(shù)據(jù) ）； 網(wǎng)流數(shù)據(jù)分析器（ NDA， NetStream Data Analyzer）可以分析由 NSC 生成的所有數(shù)據(jù)文件，對(duì)數(shù)據(jù)文件中的數(shù)據(jù)進(jìn)行進(jìn)一步的聚合、排序，并將分析的結(jié)果以各種圖形方式（如柱狀圖、餅圖和趨勢(shì)圖等）顯示出來(lái)，提供如下功能： ? 詳細(xì)自治域矩陣數(shù)據(jù)查詢功能 ? 網(wǎng)流分布的圖形化分析 ? 詳細(xì)自治域矩陣流量分析功能 故障定位與地址反查 針對(duì)最為常見的端口故障， Quidview 網(wǎng)絡(luò)管理軟件提供了便捷的定位檢測(cè)工具――路徑跟蹤和端口環(huán)回測(cè)試；當(dāng)用戶報(bào)告網(wǎng)絡(luò)端口使用異常時(shí)，網(wǎng)絡(luò)管理員可以通過(guò)網(wǎng)管對(duì)指 定用戶端口做環(huán)回測(cè)試，直接定位端口故障。 為了網(wǎng)管工作自動(dòng)化，網(wǎng)絡(luò)設(shè)備內(nèi)嵌智能 Agent，對(duì)需要經(jīng)過(guò)復(fù)雜計(jì)算的性能數(shù)據(jù)主動(dòng)進(jìn)行監(jiān)視，在超出閾值時(shí)自動(dòng)上報(bào)告警，并轉(zhuǎn)發(fā)到 Email、 BP、手機(jī)短信及時(shí)通知網(wǎng)絡(luò)管理員，讓網(wǎng)絡(luò)管理員隨時(shí)隨地監(jiān)控網(wǎng)絡(luò)運(yùn)行狀況。 端口反查功能支持兩種方式的查找定位功能： MAC 地址端口反查和 IP 地址端口反查，使用時(shí)分別輸入終端用戶的 MAC 地址或 IP 地址，能夠定位該終端用戶連接的交換機(jī)及交換機(jī)的端口，幫助網(wǎng)絡(luò)管理員及早定位非法報(bào)文接入網(wǎng)絡(luò)的原始端口，及時(shí)關(guān)閉端口，防止一些違規(guī)用戶進(jìn)行非法操 作比如濫發(fā)報(bào)文、訪問(wèn)非法站點(diǎn)等，危害網(wǎng)絡(luò)安全。 Quidview 網(wǎng)絡(luò)管理軟件提供完善的用戶管理解決方案： ? 針對(duì)本次教育網(wǎng)中用戶的管理需求，提供了對(duì)接入用戶的訪問(wèn)記錄功能，為用戶提供詳細(xì)的網(wǎng)絡(luò)訪問(wèn)統(tǒng)計(jì)信息和一個(gè)完整的用戶訪問(wèn)跟蹤記錄，便于追蹤非法用戶。 ? Web 日志追蹤查詢 提供 Web 特性，具有完善的安全機(jī)制，用戶可隨時(shí)隨地管理網(wǎng)絡(luò)，降低管理網(wǎng)絡(luò)的難度與強(qiáng)度，使網(wǎng)絡(luò)運(yùn)維過(guò)程流程化，能夠靈活地組織設(shè)備集合，快捷地獲得設(shè)備各類信息。 ? 提供設(shè)備日志分析工具，使用戶及時(shí)了解網(wǎng)絡(luò)中設(shè)備運(yùn)行狀況。 ? 通過(guò)定期輪詢機(jī)制，幫助用戶及時(shí)了解網(wǎng)絡(luò)關(guān)鍵設(shè)備的在線情況。 ? 提供批量配置功能，將用戶從煩瑣，重復(fù)的配置工作中解脫。 ? 提供設(shè)備配置文件管理功能，幫助用戶建立配置文件版本管理機(jī)制，減少災(zāi)難情況下網(wǎng)絡(luò)的恢復(fù)時(shí)間。 ? 具有完善的報(bào)表功能，讓用戶對(duì)網(wǎng)絡(luò)運(yùn)行情況一目了然。 提供統(tǒng)一的任務(wù)機(jī)制，使用戶對(duì)網(wǎng)絡(luò)運(yùn)維管理能夠統(tǒng)一流程 組網(wǎng)安全性設(shè)計(jì) 網(wǎng)絡(luò)當(dāng)中，線路的備份非常重要，北京科技大學(xué)的網(wǎng)絡(luò)的設(shè)計(jì)當(dāng)中，我們?cè)诤诵膶硬捎铆h(huán)網(wǎng)的方式進(jìn)行組網(wǎng)，這樣可以在采用擴(kuò)大帶寬的同時(shí)實(shí)現(xiàn)線路上的備份，當(dāng)其中一條線路出現(xiàn)故 障，可以通過(guò)環(huán)網(wǎng)實(shí)現(xiàn)線路的接替。這樣大大提高了網(wǎng)絡(luò)組網(wǎng)的可靠性，進(jìn)而提高全網(wǎng)的可靠性。 出口運(yùn)營(yíng)商線路備份 北京科技大學(xué)的出口建議采用多 ISP 的方式，以確保校園網(wǎng)絡(luò)的可靠性，但是在實(shí)際的應(yīng)用當(dāng)中可能會(huì)產(chǎn)生 ISP 服務(wù)商線路終端的問(wèn)題，因此學(xué)校可以在出口路由器上配置備份策略，當(dāng)一個(gè) ISP 服務(wù)商的線路出現(xiàn)問(wèn)題的情況下，可以選擇有限級(jí)較低的策略從其他的 ISP 出口上網(wǎng)實(shí)現(xiàn) ISP 線路的備份。 6．組網(wǎng)核心設(shè)備介紹 ? S8500 萬(wàn)兆核心路由交換機(jī) Quidway? S8500 是華為公司推出的 新一代高性能萬(wàn)兆核心路由交換機(jī)產(chǎn)品，可廣泛應(yīng)用于運(yùn)營(yíng)商大型 IP 城域網(wǎng)匯聚層或中小型城域網(wǎng)核心層、園區(qū)網(wǎng)企業(yè)網(wǎng)核心，與華為公司其他產(chǎn)品一起構(gòu)建華為公司高性能端到端 IP 網(wǎng)絡(luò)解決方案。Quidway? S850