【正文】 本方案選用目前園區(qū)網(wǎng)和大樓局域網(wǎng)廣泛應(yīng)用的以太網(wǎng)技術(shù)，以太網(wǎng)具有維護方便、較好的兼容性、低廉的成本，是成熟、可靠和穩(wěn)定的技術(shù)。目前將 10Gb/s 速率 大學(xué)校園網(wǎng)絡(luò)方案設(shè)計書 第 24 頁 共 96 頁適配為 ：? 在 GMII 接口處發(fā)送 HOLD 信號，MAC 層在一個時鐘周期停止發(fā)送；? 利用“Busy idle”，物理層向 MAC 層在 IPG 期間發(fā)送“Busy idle”，MAC 層收到后，暫停發(fā)送數(shù)據(jù)。減少了許多不必要的開銷，簡化了 SDH 幀結(jié)構(gòu)，與千兆以太網(wǎng)相比，增強了物理層的網(wǎng)絡(luò)管理和維護，在物理線路上實現(xiàn)保護倒換。10G WAN 物理層并不是簡單的將以太網(wǎng) MAC 幀用 OC192c 承載，雖然借鑒了 OC192c 的塊狀幀結(jié)構(gòu)、指針、映射以及分層的開銷。 HSSG 小組為此提出了修改千兆以太網(wǎng)幀格式的建議，在以太網(wǎng)幀中添加了長度域和 HEC 域。當(dāng) MAC 層有數(shù)據(jù)需要發(fā)送時，PCS 子層對這些數(shù)據(jù)進行 8B/10B 編碼，當(dāng)發(fā)現(xiàn)幀頭和幀尾時，自動添加特殊的碼組 SFD(幀起始定界符) 和 EFD（幀結(jié)束定界符） ；當(dāng) PCS 子層收到來自底層的 10B 編碼數(shù)據(jù)時，可很容易地根據(jù) SFD 和 EFD 找到幀的起始和結(jié)束從而完成幀定界。同時，由于以太網(wǎng)的原設(shè)計是面向局域網(wǎng)的，網(wǎng)絡(luò)管理功能較弱，傳輸距離短并且其物理線路沒有任何保護措施。為了使接收端能夠?qū)⑼粋€ OC192c 中不同的以太網(wǎng)幀正確區(qū)分開，采用 HEC(Header Error Control)的定界策略，PMA 層將 PCS 層送來的業(yè)務(wù)數(shù)據(jù)裝入OC192c 幀中，為了提高接收端線路時鐘的恢復(fù)能力，在 PMA 層對整個幀以7+6+1 多項式進行幀同步擾碼，最后將擾碼后的信號放在光纖介質(zhì)上傳輸。在 PCS 層提供從 10GMII 到 PMA 的映射并進行 MAC 幀定界。為了獲得 速率， 標(biāo)準(zhǔn)小組定義了一種機制來降低以太網(wǎng) MAC 幀的速率，使得 10G 以太網(wǎng)可以使用 OC192c 信道，通過 10GMII 接口提供 ，線路比特誤碼率為 1012。這兩種物理層的共同點是：共用一個 MAC 層；僅支持全雙工操作方式；省略了 CSMA/CD；采用光纖作為物理介質(zhì)。在 MAN 和 WAN 中應(yīng)用 10G 以太網(wǎng)技術(shù)，比采用 ATM/SONET 技術(shù)構(gòu)建的類似 MAN 和 WAN 費用低 25%。而且可以采用 1000BaseT 模塊，在雙絞線上運行千兆。能對網(wǎng)絡(luò)使用情況進行跟蹤、分析和統(tǒng)計。所以在LAN 范圍里使用新的堆疊技術(shù)是一種趨勢。 。因此系統(tǒng)無論從結(jié)構(gòu)上、產(chǎn)品性能上都必須具有非常高的可靠性，能夠保證系統(tǒng)可靠運行，盡量減少網(wǎng)絡(luò)設(shè)備故障、系統(tǒng)維護工作和意外事故對網(wǎng)絡(luò)性能的影響。能夠較好地承載主要網(wǎng)絡(luò)應(yīng)用，使其能夠有足夠的應(yīng)用滿意度。在網(wǎng)絡(luò)中采用千兆以太網(wǎng)技術(shù)將使企業(yè)的網(wǎng)絡(luò)系統(tǒng)平臺保持先進性和向后兼容性。最初的以太網(wǎng)都是 10M 速率和帶寬共享式，只能作一些低速的桌面接入，而現(xiàn)在的以太網(wǎng)不僅是全交換的網(wǎng)絡(luò)，而且提供 100M、1000M 的各種交換帶寬。因此，我們在網(wǎng)絡(luò)設(shè)計時必須堅持系統(tǒng)互通性原則。所以在網(wǎng)絡(luò)設(shè)計之初，選擇防火墻、IDS、郵件過濾系統(tǒng)、防病毒軟件等設(shè)備時就必須考慮這些設(shè)備是否具備安全日志分析、流量報表分析等功能。 大學(xué)校園網(wǎng)絡(luò)方案設(shè)計書 第 18 頁 共 96 頁安全審計跟蹤機制的內(nèi)容是在安全審計跟蹤中記錄有關(guān)安全的信息，而安全審計管理的內(nèi)容是分析和報告從安全審計跟蹤中得來的信息。網(wǎng)絡(luò)防病毒系統(tǒng)可以解決病毒的傳播，同時也可以通過互動體系更全面防范病毒傳播。訪客通過訪問控制網(wǎng)關(guān)使用內(nèi)部網(wǎng)絡(luò)后（有線或無線連接） ，訪客可能對內(nèi)部網(wǎng)絡(luò)進行非法訪問和網(wǎng)絡(luò)入侵；此時網(wǎng)絡(luò)入侵檢測系統(tǒng)可檢測到本事件；入侵檢測系統(tǒng)通過協(xié)議聯(lián)動相應(yīng)的訪問控制網(wǎng)關(guān)；訪問控制網(wǎng)關(guān)通過 ACL 禁止正在進行入侵的訪客使用內(nèi)部網(wǎng)絡(luò)。 事中快速反應(yīng)機制在新的安全形勢下的網(wǎng)絡(luò)建設(shè)，我們應(yīng)該考慮全防衛(wèi)的網(wǎng)絡(luò)安全是是從網(wǎng)絡(luò)的各個層面、各個產(chǎn)品類型的角度考慮，是一個全面的安全體系架構(gòu)。同時，為了實時、準(zhǔn)確、快速的定位用戶位置，可以考慮采用多屬性綁定功能加強對用戶的管理。所以線速 ACL 技術(shù)，具備以下關(guān)鍵特性：線速擴展訪問控制列表（ACL）—提供線速交換和路由功能的同時，線速控制數(shù)據(jù)轉(zhuǎn)發(fā)和限制對系統(tǒng)管理界面的訪問功能豐富的 ACL 實現(xiàn)方案—基于源或目的 MAC 地址、以太網(wǎng)幀結(jié)構(gòu)、IP 地址、IP 協(xié)議類型、TCP 或 UDP 端口、 IP 優(yōu)先級或 ToS 值對流量進行識別。訪問控制表（ACL）策略是一種由 Policy Director 使用的方法，它向安全域中的資源提供了細(xì)粒度保護, 是一組規(guī)則或許可權(quán)，指定對受保護對象執(zhí)行操作所需的條件。在網(wǎng)絡(luò)中合理地部署入侵檢測系統(tǒng)，就相當(dāng)于在各個交通十字路口安裝電子監(jiān)視眼和攝像頭一樣，可以捕獲系統(tǒng)中各種違反正常安全策略的異常行為。在網(wǎng)絡(luò)出口處或者在網(wǎng)絡(luò)的每個安全域的邊界我們都可以部署防火墻。綜上所述，系統(tǒng)安全問題不是僅僅涉及安全技術(shù)、產(chǎn)品等方面的片面問題，而是涵蓋了技術(shù)、人員、管理等多方面的系統(tǒng)問題，必須采取系統(tǒng)化的方法加以解決。最后要說明的一點就是“沒有 100%的安全性”。安全的多面性使僅僅采用安全產(chǎn)品來防范難以奏效。由于信息技術(shù)在不斷地變化，信息技術(shù)安全問題具有動態(tài)性。邏輯安全涉及到訪問控制和數(shù)據(jù)完整性等方面。 安全需求分析安全問題從來就不是單一的問題，它涉及到許多方方面面。自指定付費方式計費方式有很多種：包月制、按時長計費、按流量計費等等。并且提供出帳、核帳、銷帳的功能。計費子系統(tǒng)計費子系統(tǒng)讀取 Radius 服務(wù)器生成的用戶訪問記錄，對其進行處理，產(chǎn)生原始的用戶計費信息，提供給帳務(wù)系統(tǒng)做帳務(wù)處理和用戶查詢使用。目前 認(rèn)證技術(shù)已經(jīng)發(fā)展到可以基于邏輯端口的身份認(rèn)證，即基于主機 MAC 地址的認(rèn)證。 標(biāo)準(zhǔn)可以利用為 PPP 編寫的可擴展驗證協(xié)議，并將其與物理介質(zhì)聯(lián)系起來，如以太網(wǎng)、令牌網(wǎng)或無線局域網(wǎng)。RADIUS 是一個提供驗證服務(wù)的 IETF 標(biāo)準(zhǔn)的方法。但是隨著無線 LAN 的應(yīng)用以及 LAN 接入在電信網(wǎng)上大規(guī)模開展，有必要對端口加以控制，以實現(xiàn)用戶級的接入控制。目前，業(yè)界存在的身份認(rèn)證技術(shù)比較多，例如：基于 PPPOE 的 RADIUS 認(rèn)證、基于LDAP 認(rèn)證技術(shù)、基于 DHCP 認(rèn)證技術(shù)、基于 WEB 認(rèn)證 技術(shù)、 認(rèn)證協(xié)議等等。 精確統(tǒng)一的用戶管理精確性：什么時間什么地點什么人在訪問什么資源。每當(dāng)設(shè)備出現(xiàn)故障，就能清楚的發(fā)現(xiàn) 大學(xué)校園網(wǎng)絡(luò)方案設(shè)計書 第 12 頁 共 96 頁是哪臺設(shè)備發(fā)生的，并能查看詳細(xì)故障信息。所以網(wǎng)絡(luò)管理系統(tǒng)必須具有如下的功能：拓?fù)涔芾? 能夠?qū)蝹€或多個網(wǎng)絡(luò)設(shè)備進行自動拓?fù)洹＝搪毠ひ话闶窃谏习嗥陂g上網(wǎng)。 應(yīng)用類型分析校園網(wǎng)絡(luò)絕大多數(shù)為客戶終端機，同時有部分主要針對校內(nèi)的網(wǎng)絡(luò)資源服務(wù)，例如FTP、BBS 、視頻廣播等。首先是每天流量的高峰使用期長，一般在早上 9：00－次日 1：00?；顒又行姆謩e從兩棟教學(xué)樓接入。 網(wǎng)絡(luò)建設(shè)目標(biāo)大學(xué)校園網(wǎng)寬帶 IP 園區(qū)網(wǎng)系統(tǒng)的建設(shè)目標(biāo)是是建設(shè)一個集數(shù)據(jù)、語音、視頻服務(wù)于一體的高帶寬、多功能、多服務(wù)、開放的、多業(yè)務(wù)接入的 IP 多媒體交換園區(qū)網(wǎng)。? 對開發(fā)環(huán)境和工具的要求：⑴ 基于客戶機/服務(wù)器環(huán)境、分布式環(huán)境、 Inter 環(huán)境。⑷ 分布式，具有分布式和集中式處理能力。⑷ 具有高度的安全性。? 可靠性：保證網(wǎng)絡(luò)和應(yīng)用系統(tǒng)安全穩(wěn)定運行。? 系統(tǒng)中關(guān)鍵應(yīng)用的服務(wù)器必須具有較高的性能。? 網(wǎng)絡(luò)系統(tǒng)可以支持第三層交換。? MPEG2/DVD 視頻點播、高清晰度電視基本帶寬為 3M8M。? 電話、傳真、電子郵件和基本公眾服務(wù)應(yīng)用基本帶寬為 64K。 系統(tǒng)性能需求根據(jù) XX 五中校園網(wǎng)建設(shè)原則和功能需求，對校園網(wǎng)性能提出以下需求：? 主干帶寬為 1000M，考慮到成本問題，前期規(guī)劃主干設(shè)計為 100M，但在設(shè)計中要考慮到 100M 升級到 1000M 的問題。? 利用網(wǎng)絡(luò)技術(shù)，實現(xiàn)多媒體信息交換、視頻點播、網(wǎng)絡(luò)會議、網(wǎng)絡(luò)電話、遠程教育（如與校外班通過網(wǎng)絡(luò)遠程教學(xué)）等等功能。? 建立遠程訪問（RAS） ，利用校園網(wǎng)實時在家備課、辦公和接入 Inter。 （未來教師將逐漸轉(zhuǎn)變?yōu)殡娮咏虒W(xué)讀物、課件的研究制作者和學(xué)生自主學(xué)習(xí)、協(xié)商學(xué)習(xí)的指導(dǎo)者與答疑者。? 建立學(xué)生電子閱覽室（廳） 。 系統(tǒng)功能需求根據(jù)當(dāng)今技術(shù)發(fā)展的現(xiàn)狀，結(jié)合 XX 五中實際情況提出以下校園網(wǎng)主要功能：? 建立課件、教學(xué)信息資料庫及相關(guān)系統(tǒng)。在上述基礎(chǔ)上以現(xiàn)代教育技術(shù)為指導(dǎo)，建立滿足學(xué)校員工教學(xué)、科研、管理工作和學(xué)生自主學(xué)習(xí)所需要的軟硬件環(huán)境和各類信息資源庫和應(yīng)用系統(tǒng)，使其成為內(nèi)接外連的教育信息服務(wù)體。單機用戶由于協(xié)作工作關(guān)系，數(shù)據(jù)交換和信息查詢的需求迅猛增長，辦公自動化和無紙化的呼聲日益強烈。為適應(yīng)現(xiàn)代教育的發(fā)展需要，學(xué)校通過信息化建設(shè)，把計算機應(yīng)用于學(xué)校的管理、辦公、教師備課、多媒體教學(xué)和發(fā)布校園新聞等等。目前，我國教育的重心正在由傳統(tǒng)應(yīng)試教育向素質(zhì)教育轉(zhuǎn)化，素質(zhì)教育作為提高我國綜合國力的基礎(chǔ)工程至關(guān)重要。從這個意義上講，在 21 世紀(jì)，中國的每一所學(xué)校都應(yīng)該建立起自己的校園網(wǎng)。通過連接教育網(wǎng)和 Inter，可以查找資料并和其他院校共享資源，獲得更廣泛的合作，建設(shè)網(wǎng)校并提供遠程教學(xué)，建設(shè)網(wǎng)站，提供對外強有力的宣傳窗口，提高我們學(xué)校的影響力，讓更多的考生和家長了解學(xué)校。信息化時代的到來，使以獲取并傳授知識信息為主體的學(xué)校，感受到了莫大的發(fā)展和生存的壓力。培訓(xùn)校園網(wǎng)管理人員，建立校園網(wǎng)信息資源開發(fā)、收集、整理隊伍，培訓(xùn)員工校園網(wǎng)的使用技能。實現(xiàn)授課點播、輔助教學(xué)和電子設(shè)備等。培養(yǎng)和倡導(dǎo)學(xué)生自主學(xué)習(xí)、協(xié)商學(xué)習(xí)、信息求索的探究精神。教師的作用交通過網(wǎng)絡(luò)使所有自學(xué)者受益，促使終身教育社會化。? 通過建立對外信息站點，實現(xiàn)學(xué)校信息上 Inter 和對外信息服務(wù)。? 兼容校內(nèi)有線電視網(wǎng)、廣播網(wǎng)、監(jiān)控等網(wǎng)絡(luò)系統(tǒng)，實現(xiàn)信息互傳，達到多網(wǎng)合一，拓展校園網(wǎng)絡(luò)功能。? 對部分應(yīng)用要求高帶寬的二級節(jié)點設(shè)計為 1000M。? 高質(zhì)量可視電話、視頻會議、數(shù)字音頻基本帶寬為 384K。? 3D 應(yīng)用、VRML 虛擬現(xiàn)實、計算機網(wǎng)絡(luò)實時多媒體應(yīng)用基本帶寬為 6M 以上。? 網(wǎng)絡(luò)系統(tǒng)中服務(wù)質(zhì)量支持 。? 系統(tǒng)必須具有接入廣域網(wǎng)的能力。軟件環(huán)境? 對操作系統(tǒng)的要求：⑴ 較高的性能價格比。? 對數(shù)據(jù)庫要求：⑴ 開放性，基于標(biāo)準(zhǔn)的，可與不同數(shù)據(jù)庫、開發(fā)工具互連。⑸ 支持聯(lián)機分析處理。⑵ 支持分布式、組件式的應(yīng)用體系結(jié)構(gòu)。同時，本網(wǎng)絡(luò)在建成后，除了滿足自身的業(yè)務(wù)需求外，還應(yīng)該起到一個示范性、品牌性的社會效 大學(xué)校園網(wǎng)絡(luò)方案設(shè)計書 第 8 頁 共 96 頁應(yīng)。根據(jù)信息點類型統(tǒng)計，大學(xué)校區(qū)有有線網(wǎng)絡(luò)點為 9572 個。這相當(dāng)于企業(yè)網(wǎng)絡(luò)（高峰期在工作時間）和寬帶小區(qū)（高峰期在下班后）的時間總和。網(wǎng)絡(luò)應(yīng)用的主要類型有：WWW 瀏覽、FTP 文件傳輸、收發(fā)電子郵件、在線視頻轉(zhuǎn)播和收看、多媒體課件、DHCP、實時身份認(rèn)與識別、電子商務(wù)客戶端、文件共享、網(wǎng)管終端、在線實時網(wǎng)絡(luò)游戲等。家屬一般是在下班后和周末上網(wǎng)。? 能夠自動發(fā)現(xiàn)管轄區(qū)域內(nèi)網(wǎng)上的 IP 資源，并自動以不同的圖標(biāo)表示不同的設(shè)備，也可以規(guī)定搜索的地址范圍。性能管理能夠通過設(shè)備運行情況收集和實時監(jiān)測網(wǎng)絡(luò)設(shè)備的性能指標(biāo)實現(xiàn)網(wǎng)絡(luò)性能管理，包括網(wǎng)絡(luò)流量、設(shè)備吞吐情況，設(shè)備 IP 包差錯情況，子網(wǎng)或網(wǎng)段丟包情況等，可以實時報警，并以數(shù)據(jù)表和實時圖形曲線方式顯示出來，并且可以拓展性能管理的種類安全管理網(wǎng)絡(luò)管理系統(tǒng)能夠提供嚴(yán)格的等級和權(quán)限管理，每個管理員只能在其等級和權(quán)限范圍內(nèi)操作可分為：用戶等級、功能權(quán)限、管理權(quán)限。統(tǒng)一性：在有線和無線接入上，接入層有統(tǒng)一的數(shù)據(jù)庫，方便全網(wǎng)漫游。下面著重介紹 認(rèn)證協(xié)議 的核心是可擴展認(rèn)證協(xié)議 (Extensible Authorization Protocol,EAP)，是思科、微軟和其它組織一起向 IEEE 委員會提交的一種 IEEE 標(biāo)準(zhǔn)，使得無線網(wǎng)卡制造商和RADIUS 服務(wù)器廠商可以獨立地開發(fā)出可互操作的客戶端和服務(wù)器端軟件。 就是 IEEE 為了解決基于端口的接入控制（PortBased Access Control）而定義的一個標(biāo)準(zhǔn)。EAP 是使客戶機與驗證服務(wù)器協(xié)商驗證的協(xié)議?？蓴U展驗證協(xié)議信息被包含在 信息中，并被稱為EAPOL，即 EAP over LAN。為了做到對接入用戶的精確管理，可以在上述身份認(rèn)證技術(shù)所需的客戶端軟件上實現(xiàn)多重綁定功能，即可以把 IP 地址、MAC 地址、交換機端口號、VLAN ID 等等元素根據(jù)需要靈活捆綁在一起，這樣，實現(xiàn)對用戶的精確定位就非常方便了。此信息是反映用戶使用網(wǎng)絡(luò)情況的最基本的資料，通過進一步的分析統(tǒng)計可以全面了解整個撥號網(wǎng)絡(luò)的使用情況，為管理和決策提供幫助。系統(tǒng)通常都有專門的資費管理功能，支持多種資費計算方式，包括按實際使用時間（以分鐘為單位）固定費率的計費方式，和定額限時的包月制方式，即使用時間在限定時間以內(nèi)的，只收取固定的費用，若超過了限定的時間，則要按較高的費率收取費用。學(xué)?？梢愿鶕?jù)實際情況選擇不同的計費方式。首先，在絕大多數(shù)信息系