【正文】 DiffServ對(duì)聚合的業(yè)務(wù)類(lèi)提供QoS保證，可擴(kuò)展性好，便于在大規(guī)模網(wǎng)絡(luò)中使用。 DiffServ模型的基本原理是將網(wǎng)絡(luò)中的流量分成多個(gè)類(lèi)，每個(gè)類(lèi)接受不同的處理，尤其是網(wǎng)絡(luò)出現(xiàn)擁塞時(shí)不同的類(lèi)會(huì)享受不同的優(yōu)先處理，從而得到不同的丟棄率、時(shí)延以及時(shí)延抖動(dòng)。對(duì)于關(guān)鍵的核心業(yè)務(wù)的部分，需要優(yōu)先保證這些業(yè)務(wù)的時(shí)延和帶寬；而對(duì)于其它業(yè)務(wù)來(lái)說(shuō)，也應(yīng)當(dāng)有相應(yīng)的QOS策略來(lái)提供不同的服務(wù)質(zhì)量保證。各種病毒就是通過(guò)Internet傳播的，并導(dǎo)致網(wǎng)絡(luò)性能下降。通過(guò)安全管理平臺(tái)，可采集網(wǎng)絡(luò)中的網(wǎng)絡(luò)設(shè)備、安全設(shè)備和服務(wù)器的安全日志，結(jié)合ACG記錄的用戶應(yīng)用訪問(wèn)信息，實(shí)時(shí)輸出審計(jì)報(bào)告。：在IPv4環(huán)境下，可以通過(guò)NAT日志的分析軟件實(shí)現(xiàn)源IP地址的追查。H3C E328/E352 E126A/E152產(chǎn)品支持loopbackdetection，可以方便校園網(wǎng)絡(luò)管理者輕松判斷網(wǎng)絡(luò)單向鏈路故障點(diǎn)，有效降低管理成本。2．當(dāng)采用三層架構(gòu)后，匯聚層設(shè)備終結(jié)VLAN的缺省網(wǎng)關(guān)，因此當(dāng)發(fā)生廣播風(fēng)暴時(shí)，核心層設(shè)備并不會(huì)受到影響。交換機(jī)在端口上按照VLAN定時(shí)發(fā)送檢測(cè)報(bào)文，如果發(fā)出去的報(bào)文能從同一個(gè)端口收上來(lái)，那么證明該端口上有環(huán)路。在接入層以下發(fā)生的ARP攻擊基本不能防御，而且當(dāng)接入層ARP攻擊發(fā)生時(shí)影響的范圍是在該匯聚交換機(jī)下某個(gè)VLAN的所有設(shè)備。綁定的網(wǎng)關(guān)信息在終端上的APR表中優(yōu)先權(quán)最高，不會(huì)被篡改。 對(duì)于是手工分配IP地址，則接入交換機(jī)必須支持IP+MAC+端口綁定如果固定IP地址的用戶需要訪問(wèn)網(wǎng)絡(luò)，必須在接入交換機(jī)上手工配置IP靜態(tài)綁定表的表項(xiàng)，即：用戶的IP地址、MAC地址及連接該用戶的端口之間的綁定關(guān)系。通過(guò)監(jiān)聽(tīng)DHCP報(bào)文，記錄DHCP客戶端IP地址與MAC地址的對(duì)應(yīng)關(guān)系； 通過(guò)設(shè)置DHCP Snooping信任端口，保證客戶端從合法的服務(wù)器獲取IP地址。接入層交換機(jī)一般只對(duì)端口進(jìn)行VLAN劃分，VLAN的終結(jié)是在三層設(shè)備上，也就是匯聚交換機(jī)上。此后，Host A 和Host C之間看似“直接”的通信，實(shí)際上都是通過(guò)黑客所在的主機(jī)間接進(jìn)行的，即Host B擔(dān)當(dāng)了“中間人”的角色，可以對(duì)信息進(jìn)行了竊取和篡改。這樣一來(lái)，網(wǎng)段內(nèi)的其他主機(jī)發(fā)給該用戶的所有數(shù)據(jù)都被重定向到錯(cuò)誤的MAC地址，同網(wǎng)段內(nèi)的用戶無(wú)法正?；ピL。這樣一來(lái)，主機(jī)訪問(wèn)網(wǎng)關(guān)的流量，被重定向到一個(gè)錯(cuò)誤的MAC地址，導(dǎo)致該用戶無(wú)法正常訪問(wèn)外網(wǎng)。按照ARP協(xié)議的設(shè)計(jì)，一個(gè)主機(jī)即使收到的ARP應(yīng)答并非自身請(qǐng)求得到的，也會(huì)將其IP地址和MAC地址的對(duì)應(yīng)關(guān)系添加到自身的ARP映射表中。n 中心機(jī)房布署一臺(tái)安全管理設(shè)備SecCenter，能實(shí)時(shí)、全面地了解全網(wǎng)安全狀況。因此某大學(xué)數(shù)據(jù)中心的安全防護(hù)以數(shù)據(jù)中心服務(wù)器資源為核心向外延：以ASIC、FPGA和NP技術(shù)組成的具有高性能精確檢測(cè)引擎的IPS提供對(duì)網(wǎng)絡(luò)報(bào)文深度檢測(cè)，構(gòu)成對(duì)數(shù)據(jù)中心網(wǎng)絡(luò)的應(yīng)用層保護(hù)；以高性能硬件防火墻構(gòu)成的數(shù)據(jù)中心網(wǎng)絡(luò)邊界防護(hù)。數(shù)據(jù)中心面臨的威脅包括：面向網(wǎng)絡(luò)層的攻擊：主要是數(shù)據(jù)中心還要面對(duì)拒絕服務(wù)攻擊（DoS）和分布式拒絕服務(wù)攻擊（DDoS）的挑戰(zhàn)。 多出口，高帶寬，網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜173。 環(huán)路問(wèn)題導(dǎo)致的網(wǎng)絡(luò)震蕩用戶管理問(wèn)題：173。 缺少帶寬高高性能的防護(hù)方案173。n 無(wú)線校園網(wǎng)的管理部署：IMC智能管理平臺(tái)+WSMB無(wú)線管理組件。 更易擴(kuò)展：根據(jù)需要，可以靈活增加補(bǔ)點(diǎn)AP，支持三層漫游，方便擴(kuò)展支持無(wú)線監(jiān)控、話音應(yīng)用等業(yè)務(wù)。 配置簡(jiǎn)單：AP零配置、所有的配置集中在無(wú)線交換機(jī)上完成，簡(jiǎn)單便捷；178。但是在這樣大型的范圍內(nèi)部署，無(wú)線AP將分散在校園的各個(gè)角落，假如不能實(shí)現(xiàn)有效的管理，將大大增加維護(hù)的難度。與匯聚層設(shè)備共同完整DLA（分布式鏈路聚合），提高可靠性和快速收斂時(shí)間，故障恢復(fù)時(shí)間從OSPF的若干秒提高到50毫秒，大大縮短故障恢復(fù)時(shí)間，提升網(wǎng)絡(luò)的可靠性和可用性。IRF智能彈性架構(gòu)簡(jiǎn)介：當(dāng)兩臺(tái)核心交換機(jī)利用IRF2技術(shù)被成功虛擬成一臺(tái)設(shè)備后，在端口容量擴(kuò)大一倍的同時(shí)，實(shí)現(xiàn)了通過(guò)一個(gè)管理界面進(jìn)行統(tǒng)一管理。提升某大學(xué)網(wǎng)絡(luò)的服務(wù)質(zhì)量。OSPFv3的邏輯拓?fù)鋱D（AREA規(guī)劃）和OSPFv2可以完全不同。其他路由協(xié)議所能適應(yīng)的網(wǎng)絡(luò)和具備的主要優(yōu)點(diǎn)，OSPF都能適應(yīng)。 引入了兩個(gè)新的選項(xiàng)：R位和V6位；167。 OSPF的版本號(hào)由2變成了3；167。去掉了認(rèn)證信息。所以即使運(yùn)行OSPF v3也需要為路由器分配IPv4地址。OSPFv3只能用來(lái)交換IPv6路由信息，ISISv6可以同時(shí)交換IPv4路由信息和IPv6路由信息。對(duì)于大規(guī)模的IP網(wǎng)絡(luò)，為了保證網(wǎng)絡(luò)的可靠性和可擴(kuò)展性，內(nèi)部路由協(xié)議（IGP）必須使用鏈路狀態(tài)路由協(xié)議，只能在OSPF與ISIS之間進(jìn)行選擇。劃分多個(gè)Area的目的是確保當(dāng)一個(gè)Area內(nèi)部的線路出現(xiàn)問(wèn)題時(shí)，不會(huì)影響到其它Area，路由表收斂時(shí)間短，對(duì)骨干網(wǎng)的路由表影響會(huì)很小。這個(gè)區(qū)域是該核心網(wǎng)絡(luò)OSPF的骨干區(qū)域，負(fù)責(zé)交換不同Area之間的路由信息。因此，在實(shí)際網(wǎng)絡(luò)部署中，對(duì)于IGP路由協(xié)議的選擇，通常采用OSPF或ISIS，建議某大學(xué)采用OSPF協(xié)議。路徑的選擇取決于鏈路的metrics, 而metrics可包括可靠性、延遲、帶寬、負(fù)載、mtu、通訊費(fèi)用和業(yè)務(wù)數(shù)據(jù)流向控制等。不恰當(dāng)?shù)倪x擇有時(shí)對(duì)網(wǎng)絡(luò)是致命的。在某大學(xué)的IPv6網(wǎng)絡(luò)建設(shè)中，對(duì)用戶建議每樓層使用一個(gè)VLAN，便于管理，具體的VLAN劃分，保持與原有的IPv4網(wǎng)絡(luò)的VLAN劃分一致即可。IPv6網(wǎng)絡(luò)設(shè)備的LOOPBACK地址采用/128的地址。IPv6的地址分配原則同IPv4一樣遵循CIDR原則。IP地址的分配需要有足夠的靈活性，應(yīng)考慮到現(xiàn)有業(yè)務(wù)、新型業(yè)務(wù)以及各種特殊的業(yè)務(wù)要求、滿足各種用戶接入的需要。 地址資源應(yīng)全網(wǎng)統(tǒng)一分配；216。由于本次項(xiàng)目部署的交換機(jī)S95E和S75E都支持上述功能，因此可以滿足本次項(xiàng)目的要求。具體分配時(shí)要遵循以下原則：n 唯一性：一個(gè)IP網(wǎng)絡(luò)中不能有兩個(gè)主機(jī)采用相同的IP地址；n 簡(jiǎn)單性：地址分配應(yīng)簡(jiǎn)單易于管理，降低網(wǎng)絡(luò)擴(kuò)展的復(fù)雜性，簡(jiǎn)化路由表項(xiàng)n 連續(xù)性：連續(xù)地址在層次結(jié)構(gòu)網(wǎng)絡(luò)中易于進(jìn)行路徑疊合，大大縮減路由表，提高路由算法的效率n 可擴(kuò)展性：地址分配在每一層次上都要留有余量，在網(wǎng)絡(luò)規(guī)模擴(kuò)展時(shí)能保證地址疊合所需的連續(xù)性n 靈活性：地址分配應(yīng)具有靈活性，以滿足多種路由策略的優(yōu)化，充分利用地址空間。IP地址的合理規(guī)劃是網(wǎng)絡(luò)設(shè)計(jì)中的重要一環(huán)，大型計(jì)算機(jī)網(wǎng)絡(luò)必須對(duì)ＩＰ地址進(jìn)行統(tǒng)一規(guī)劃并得到實(shí)施。在IPV6校園網(wǎng)規(guī)劃中，建議這樣實(shí)施。，從安全性和可靠性考慮，不建議這樣部署。IPV4數(shù)據(jù)包不需要起隧道，通過(guò)NE80后進(jìn)入CERNET。造成了大量的IPV4報(bào)文和廣播報(bào)文沖擊中興T64G，造成了中興T64G的高負(fù)荷運(yùn)行，網(wǎng)絡(luò)的可靠性也大大降低。 某大學(xué)IPv6網(wǎng)絡(luò)出口設(shè)計(jì)目前，有部分IPV6用戶通過(guò)搭建的IPV4網(wǎng)絡(luò)平臺(tái)以TRUNK隧道透?jìng)鱅PV6報(bào)文，IPV6報(bào)文終結(jié)在中興T64G三層交換設(shè)備上?，F(xiàn)網(wǎng)設(shè)備改造后設(shè)備連接方式（上行）對(duì)端設(shè)備位置Nortel8610S7510E（24端口千兆電口+4端口萬(wàn)兆光）萬(wàn)兆單模校本部S9508E北校區(qū)西院Nortel8603S7503E（24千兆光+2端口萬(wàn)兆光）萬(wàn)兆單模北校區(qū)S7510E北校區(qū)西院Nortel8603S5528C（2端口萬(wàn)兆光）萬(wàn)兆單模北校區(qū)S7510E北校區(qū)東院S2024MS5528C（2端口萬(wàn)兆光）萬(wàn)兆單模北校區(qū)S7510E北校區(qū)西院S5528C（2端口萬(wàn)兆光）萬(wàn)兆單模北校區(qū)S7510E北校區(qū)西院 IPV6用戶接入方式設(shè)計(jì)1. IPV6用戶接入方式校本部（辦公區(qū)，家屬區(qū)，學(xué)生宿舍區(qū)）北區(qū) （教學(xué)區(qū)，學(xué)生宿舍區(qū)，家屬區(qū)）南區(qū)　(第一教學(xué)樓，第二教學(xué)樓，１號(hào)綜合樓，２號(hào)綜合樓，友誼賓館三號(hào)樓等)以辦公區(qū)為例進(jìn)行說(shuō)明：由于校園網(wǎng)中存在IPv6用戶 (辦公區(qū)、學(xué)生宿舍區(qū)、家屬區(qū))，如校園網(wǎng)當(dāng)中的IPv6試驗(yàn)網(wǎng)，或IPv6研究性質(zhì)的網(wǎng)絡(luò)，或者園區(qū)網(wǎng)中的IPv6用戶數(shù)量較多。上行萬(wàn)兆光纖連接到核心交換機(jī)S7510E：優(yōu)勢(shì)說(shuō)明：1． 北校區(qū)東院、西院實(shí)行分區(qū)域管理?，F(xiàn)網(wǎng)設(shè)備改造后設(shè)備連接方式（上行）對(duì)端設(shè)備位置北電S8610S9508E（24千兆電口+8端口萬(wàn)兆光）萬(wàn)兆單模光纖校本部S9508E萬(wàn)兆端口南校區(qū)機(jī)房北電S1612GS7510E（24千兆光+4端口萬(wàn)兆）萬(wàn)兆單模光纖南校區(qū)S9508E萬(wàn)兆端口南校區(qū)宿舍區(qū)無(wú)新增S7503E（24千兆光口+2端口萬(wàn)兆）萬(wàn)兆單模光纖南校區(qū)S9508E萬(wàn)兆端口南校區(qū)辦公區(qū) 某大學(xué)校園網(wǎng)分區(qū)詳細(xì)設(shè)計(jì)（北校區(qū)）2．北校區(qū)網(wǎng)絡(luò)現(xiàn)狀描述n 北校區(qū)匯集節(jié)點(diǎn)為Nortel8610，上行單模百兆連接到校本部核心交換機(jī)Nortel8610B上；n 辦公教學(xué)區(qū)千兆光纖直接連接到北校區(qū)匯聚交換機(jī)Nortel8603上；n 宿舍區(qū)接入交換機(jī)S2024M千兆光纖接入?yún)R聚層交換機(jī)Nortel1612G，Nortel1612G上行千兆光纖連接到北校區(qū)核心交換機(jī)Nortel8610；n 研究生公寓樓和教師公寓樓匯聚層交換機(jī)Nortel1612G上行千兆光纖連接到北校區(qū)核心交換機(jī)Nortel8610；下行百兆光纖連接家屬區(qū)Utstar DSLM設(shè)備上；n 家屬區(qū)用戶是通過(guò)ADSL/VDSL接入新大校園網(wǎng)的，家屬區(qū)接入設(shè)備是Utstar DSLM設(shè)備，Utstar DSLM設(shè)備上行千兆光纖連接到北校區(qū)核心交換機(jī)Nortel8610；n H3C S5516 千兆上聯(lián)農(nóng)大（教育城域網(wǎng)）；n 北校區(qū)現(xiàn)網(wǎng)接入交換機(jī)統(tǒng)計(jì)：所在樓宇接入交換機(jī)連接方式（上行）對(duì)端設(shè)備一號(hào)實(shí)驗(yàn)樓2024M*1+S2024*21000M單模光纖Nortel8610二號(hào)實(shí)驗(yàn)樓2024M*1+S2024*31000M單模光纖Nortel8610一號(hào)教學(xué)樓2024M*1+S2024*11000M單模光纖Nortel8610二號(hào)教學(xué)樓2024M*11000M單模光纖Nortel8610三號(hào)教學(xué)樓2024M*1+S2024*11000M單模光纖Nortel8610工程訓(xùn)練中心自配置銳捷S19261000M單模光纖Nortel8610家屬區(qū)銳捷2024M*11000M單模光纖Nortel8610圖書(shū)館自配置1000M單模光纖Nortel8610網(wǎng)絡(luò)中心Cisco 35481000M單模光纖Nortel8610本校區(qū)網(wǎng)絡(luò)中心Cisco 35481000M單模光纖Nortel86104號(hào)宿舍樓銳捷2024M*4＋2024*41000M單模光纖　Nortel86032號(hào)實(shí)驗(yàn)樓B銳捷2024M1000M單模光纖Nortel8610軟件學(xué)院自配置1000M單模光纖Nortel8610研究生公寓銳捷2024M*11000M單模光纖　Nortel1612北校區(qū)網(wǎng)絡(luò)中心S5516，到城域網(wǎng)1000M單模光纖Nortel8610本校區(qū)網(wǎng)絡(luò)中心　1000M電口Nortel8610服務(wù)器　100M電口Nortel8610本校區(qū)北電8610B　100M電口，光電轉(zhuǎn)換器Nortel8610網(wǎng)絡(luò)機(jī)房　100M雙絞線直連Nortel8610家屬區(qū)Utstar　1000M單模光纖Nortel86103．北校區(qū)改造后網(wǎng)絡(luò)拓樸方案：n 北校區(qū)核心交換機(jī)北電S8610替換為S7510E, 上行單模萬(wàn)兆連接到校本部核心交換機(jī)S9508E。n 家屬區(qū)匯聚層交換機(jī)替換為S7510E,上行萬(wàn)兆連接到南校區(qū)核心交換機(jī)S9508E。方案優(yōu)勢(shì)說(shuō)明：1．光纖線路稍做更改，家屬區(qū)實(shí)現(xiàn)三層網(wǎng)絡(luò)架構(gòu)?，F(xiàn)網(wǎng)設(shè)備改造后設(shè)備連接方式（上行）對(duì)端設(shè)備位置北電S8603S7510E（24口千兆光+4端口萬(wàn)兆光）萬(wàn)兆單模S9508E宿舍區(qū)機(jī)房S5528C（新增）萬(wàn)兆單模S9508E10與11 校本部家屬區(qū)網(wǎng)絡(luò)設(shè)計(jì)1．校本部家屬區(qū)網(wǎng)絡(luò)拓樸2．校本部家屬區(qū)網(wǎng)絡(luò)現(xiàn)狀描述家屬區(qū)交換機(jī)組網(wǎng)方式分為兩種，一種是一臺(tái)匯聚交換機(jī)S2024M千兆單模連接到核心交換機(jī)Nortel8610. 下行百兆連接12臺(tái)S3026交換機(jī)。2. 匯聚層交換機(jī)S7510E支持10個(gè)插槽，擴(kuò)展性好。其余宿舍樓單模千兆上行?，F(xiàn)網(wǎng)設(shè)備改造后設(shè)備連接方式（上行）對(duì)端設(shè)備位置光電轉(zhuǎn)換器（12宿舍樓，計(jì)財(cái)處，招生就業(yè)處，后勤集團(tuán)，教務(wù)處，成教院，團(tuán)委，人口所，附中）9個(gè)單模模塊1000M單模S7510E中心機(jī)房24光纖鏈路（非重要樓宇）S7503E(24口千兆光+2口萬(wàn)兆光)1000M單模S9508E中心機(jī)房S2024M重要樓宇(生物地理樓；3號(hào)教學(xué)樓；逸夫樓；綜合樓；計(jì)算中心；行政樓)7臺(tái)S5528C，7塊萬(wàn)光單模模塊1000M單模S7503E中心機(jī)房5．校本部辦公區(qū)改造后需升級(jí)的樓宇統(tǒng)計(jì)：序號(hào)樓宇在網(wǎng)設(shè)備原連接方式替換設(shè)備改造后連接方式1生物地理樓S2024M單模1000M上行S5528C單模萬(wàn)兆上行22號(hào)教學(xué)樓S2024M單模1000M上行S5528C單模萬(wàn)兆上行33號(hào)教學(xué)樓S2024M單模1000M上行S5528C單模萬(wàn)兆上行4逸夫樓S2024M單模1000M上行S5528C單模萬(wàn)兆上行5綜合樓S2024M單模1000M上行S5528C單模萬(wàn)兆上行