【正文】 按照以上一些要求，我們選擇了 SecPath F1000S這款性價比最高的千。 . 千兆防火墻 網(wǎng)絡(luò)出口是校園網(wǎng)進(jìn)入教育城域網(wǎng)的關(guān)鍵設(shè)備，需要完成安全隔離、 NAT轉(zhuǎn)換、策略路由等多種功能。 E126A/E152教育網(wǎng)交換機(jī)支持端口限速功能，限速粒度可達(dá) 64Kbps，防止惡意侵占網(wǎng)絡(luò)帶寬 ，也 為網(wǎng)絡(luò)帶寬的精細(xì)化管理提供了手段。同時大大降低系統(tǒng)擴(kuò)展的成本，保護(hù)了用戶投資。 E126A/E152教育網(wǎng)交換機(jī) 采用專利技術(shù)允許交換機(jī)利用專用互聯(lián)電纜實(shí)現(xiàn) 多達(dá)16臺 設(shè)備的堆疊，最大擴(kuò)展至 768個 10/100M端口 ，支持 E126A和 E152混合堆疊。 ? 高性能與靈活擴(kuò)展能力 H3C E126A/E152系列教育網(wǎng)交換機(jī)具有 ，支持所有端口線速轉(zhuǎn)發(fā)，滿足了教育用戶對高帶寬的需求。 E126A/E152教育網(wǎng)交換機(jī)支持跨交換機(jī)的遠(yuǎn)程端口鏡像 RSPAN，可以將接入端口的流量鏡像到核心交換機(jī)上，配合核心交換機(jī)的網(wǎng)流分析功能和 XLOG系統(tǒng)，可以對全網(wǎng)業(yè)務(wù)和流量進(jìn)行監(jiān)控、優(yōu)化部署和惡意攻擊監(jiān)控， 滿足校園網(wǎng)精細(xì)化管理的需要。 ? 增強(qiáng)的網(wǎng)絡(luò)管理和維護(hù)的易用性 H3C E126A/E152教育網(wǎng)交換機(jī)支持通過 FTP、 TFTP實(shí)現(xiàn)設(shè)備的遠(yuǎn)程升級，支持 SNMP v1/v2/v3，可支持 Open View等通用網(wǎng)管平臺，以及 Quidview網(wǎng)管系統(tǒng)。 E126A/E152教育網(wǎng)交換機(jī)支持集中式 MAC地址認(rèn)證和 ，支持用戶帳號、 IP、 MAC、 VLAN、端口等用戶標(biāo)識元素的動態(tài)或靜態(tài)綁定，同時實(shí)現(xiàn)用戶策略（ VLAN、 QOS、 ACL）的動態(tài)下發(fā)；支持配合 H3C公司的 CAMS系統(tǒng)對在線用戶進(jìn)行實(shí)時的管理，及時的診斷和瓦解網(wǎng)絡(luò)非法行為。 可以實(shí)現(xiàn)基于 MAC地址允許 /限制流量，或者設(shè)定每個端口允許的 MAC地址的最大數(shù)量，使得某個特定端口上的 MAC地址可以由管理員靜態(tài)配置，或者由交換機(jī)動態(tài)學(xué)習(xí)。另外， 利用 DHCP Snooping的信任端口特性還可以 有效杜絕學(xué)生私設(shè) DHCP服務(wù)器，保證 DHCP環(huán)境的真實(shí)性和一致性。該產(chǎn)品具有一下一些特點(diǎn)： ? 全面的接入安全策略 H3C E126A/E152教育網(wǎng)交換機(jī)支持 特有的 ARP入侵檢測功能，可有效防止黑客或攻擊者通過 ARP報文實(shí)施 校園網(wǎng)常見的“ 中間人 ” 攻擊，對不符合 DHCP Snooping動態(tài) 綁定表 或手工配置的靜態(tài)綁定表 的非法 ARP欺騙報文直接丟棄 。通過熱補(bǔ)丁技術(shù)，降低了設(shè)備需要重啟的次數(shù)，為客戶提供更長的網(wǎng)絡(luò)正常工作 時間。 ? 支持熱補(bǔ)丁技術(shù) H3C S7500E能夠在不重啟設(shè)備的前提下，通過熱補(bǔ)丁技術(shù)，在線修改軟件 BUG，增加新 的業(yè)務(wù)特性。 ? 多業(yè)務(wù)高可靠性運(yùn)行 H3C S7500E支持不間斷轉(zhuǎn)發(fā)和優(yōu)雅重啟，提供毫秒級的切換時間；支持等價路由，可幫助用戶建立多條等值路徑，實(shí)現(xiàn)流量的負(fù)載均衡及冗余備份；支持 RRPP快速環(huán)網(wǎng)保護(hù)協(xié)議，提供小于 200ms的環(huán)網(wǎng)故障保護(hù)；支持 SmartLink協(xié)議，保證雙上行網(wǎng)絡(luò)拓?fù)涞臉I(yè)務(wù)毫秒級快速切換。 ? 增強(qiáng)的 ACL特性 H3C S7500E系列產(chǎn)品支持強(qiáng)大的 ACL能力：支持標(biāo)準(zhǔn)和擴(kuò)展 ACL；支持基于 VLAN的 ACL，方便用戶配置，節(jié)省 ACL資源；支持出方向和入方向的 ACL，每板最大可支持 9K條 ACL，滿足金融等行業(yè)訪問權(quán)限 嚴(yán)格控制的需求。 ? 有線 無線全面支持 EAD H3C S7500E是 EAD端點(diǎn)準(zhǔn)入防御解決方案的重要組成部分， S7500E可以動態(tài)的接收來自安全策略服務(wù)器的控制策略，根據(jù)終端的安全狀態(tài)給予下發(fā)相應(yīng)的訪問權(quán)限。 ? IPv6網(wǎng)絡(luò)的最佳選擇 H3C S7500E所有 Salience VI引擎都可以提供集中式 IPv6功能， H3C S7500E針對IPv4/IPv6高性能的要求還開發(fā)了分布式 IPv4/IPv6轉(zhuǎn)發(fā)的 SC板卡，在整機(jī)滿配置狀態(tài)下實(shí)現(xiàn)線速無收斂，為高校用戶提供了高性能低成本的雙棧匯聚核心設(shè)備，同時也滿足其他行業(yè)用戶 IPv6 Ready的需求。 H3C S7500E支持端點(diǎn)準(zhǔn)入防御解決方案，解決終端安全問題；內(nèi)置2800W電源直接提供 PoE功能，對 IP語音和無線接入提供良好的支持。 ? 支持 Portal 認(rèn)證 H3C S7500E支持大容量的 Portal認(rèn)證功能，可以在數(shù)千用戶的局域網(wǎng)中做為 EAD網(wǎng)關(guān)設(shè)備，為全網(wǎng)用戶提供 EAD安全認(rèn)證功能；可以在大中型的校園網(wǎng)中擔(dān)任匯聚 /核心設(shè)備的同時，為學(xué)生宿舍區(qū)的認(rèn)證計費(fèi)提供 Portal認(rèn)證功能。 ? 有線無線一體化，有源無源一體化 H3C S7500E集成的無線控制模塊提供豐富的業(yè)務(wù)能力，包括精細(xì)的用戶控制管理、完善的 RF管理及安全機(jī)制、快速漫游、超強(qiáng)的 QOS和對 IPV6的支持等；無線控制模塊通過與安全策略服務(wù)器的聯(lián)動，實(shí)現(xiàn)對無線接入用戶的端點(diǎn)準(zhǔn)入防御，提高了整網(wǎng)的安全性。 . 中小學(xué)校園網(wǎng)核心交換機(jī) 一、豐富的業(yè)務(wù)，適應(yīng)融合業(yè)務(wù)網(wǎng)絡(luò)發(fā)展趨勢 ? 全面的 MPLS業(yè)務(wù)能力 H3C S7500E所有產(chǎn)品均支持 VRFLite特性，可以做為 MCE設(shè)備使用；支持三層的 MPLS VPN和二層的 MPLS VPN（ Martini、 Kompella），可擴(kuò)展支持 VPLS技術(shù)；支持 MPLS OAM特性，方便用戶的管理和維護(hù)；與 H3C MPLS VPN Manager配合，實(shí)現(xiàn)圖形化的 MPLS部署與維護(hù)。 SR8800可以和華為 3Com公司的 Xlog配合，形成完善的網(wǎng)絡(luò)流量分析解決方案。 協(xié)議級可靠性 通過優(yōu)雅重啟（ GR），可以在路由器發(fā)生主備倒換時，不間斷的轉(zhuǎn)發(fā) IP報文； ? 集成一體化組網(wǎng) 強(qiáng)大的二層功能 SR8800融合了以太網(wǎng)交換機(jī)的特性，支持以太網(wǎng)的交換處理，支持 VLAN的劃分、端口聚合、端口綁定等二層功能是典型的路由交換一體化設(shè)備，扁平化了網(wǎng)絡(luò)結(jié)構(gòu)，增強(qiáng)了網(wǎng)絡(luò)的可靠性。 ? 高可靠性 設(shè)備級可靠性 SR8800采用分布式結(jié)構(gòu)和無源背板設(shè)計，支持雙主控交換板，電源系統(tǒng)采用 1+1冗余熱備份，支持雙路電源輸入，所有單板支持熱插拔。還可以支持嵌套 VPN、 MCE、 VPN內(nèi) NAT，提供高品質(zhì)、安全和多層次的 MPLS VPN解決方案。 ? 完善的 MPLS VPN 功能 SR8800能夠?qū)崿F(xiàn)基于硬件的全分布式 MPLS線速轉(zhuǎn)發(fā)，支持完善的 L3 MPLS VPN 以及 L2 VPN，可以面向大型的行業(yè)以及企業(yè)網(wǎng)絡(luò)提供 VPN的端到端的解決方案。 ? 強(qiáng)大的路由能力 支持靜態(tài)路由、 RIPv1/v OSPF、 ISIS、 BGPv4等標(biāo)準(zhǔn)路由協(xié)議。 H3C SR8800提供超強(qiáng)的路由處理能力、豐富的接口和高品質(zhì)業(yè)務(wù)，提供形式多樣的廣域網(wǎng)接口，滿足豐富的接入方式的需求。 . 核心網(wǎng)關(guān)鍵設(shè)備介紹 . 城域網(wǎng)骨干路由器 SR8800核心業(yè)務(wù)路由器（以下簡稱 SR8800）是 H3C公司面向 企業(yè)網(wǎng) 應(yīng)用 而推出的新一代核心業(yè)務(wù)路由器 ，該產(chǎn)品融合了 H3C 自適應(yīng)安全 技術(shù)理念，將安全融入到網(wǎng)絡(luò)之中，集成了防火墻、安全網(wǎng)關(guān)、網(wǎng)絡(luò)流量分析等功能，解決了以往依賴單臺設(shè)備、單一功能、獨(dú)立部署的防護(hù)方式。 為了對設(shè)備進(jìn)行管理，部署一套 iMC智能管理中心，該軟件基于 SOA架構(gòu)，具備統(tǒng)一平臺、可擴(kuò)展多種功能模塊。 與區(qū)教育局網(wǎng)絡(luò)通過運(yùn)營商的 100M或者 1000M線路互聯(lián)，為加強(qiáng)網(wǎng)絡(luò)間的安全隔離，之間增加 1臺千兆防火墻，防火墻同時還實(shí)現(xiàn) NAT、訪問控制等功能。學(xué)校業(yè)務(wù)系統(tǒng)服務(wù)器、網(wǎng)管工作站通過雙絞線直接連接到中心交換機(jī)。 ? 不支持 IPv6，不能連接上教育局的 IPv6網(wǎng)絡(luò)。 ? 直接通過核心交換機(jī)上聯(lián)到教育城域網(wǎng)，不能有效過濾非法流量，給教育局的核心交換機(jī)造成巨大的壓力。 安全特性 支持基于 VLAN的用戶的控制和管理； 用戶接入的控制、驗證和鑒權(quán)；支持 DOS攻擊檢測和 SYN攻擊檢測 支持包采樣、記錄、跟蹤； 支持功能強(qiáng)大的 DOS攻擊檢測和 SYN攻擊檢測 VPN 對 MPLS VPN的有限支持 支持三層 MPLS VPN 支持二層 MPLS VPN 接口類型 通常只支持 GE、 FE接口 支持高速接口類型，包括 GE、 FE、 ATM、 PoS、RPR等 網(wǎng)絡(luò)定位 局域網(wǎng)、城域網(wǎng)接入層 /匯聚層 骨干網(wǎng)、城域網(wǎng)核心層、大型園區(qū)網(wǎng) 成本價位 成本較低 成本較高 . 中小學(xué)校園接入網(wǎng) 現(xiàn)在各個學(xué)校的校園網(wǎng)建設(shè)沒有一個統(tǒng)一的模式，只能滿足基 本的網(wǎng)絡(luò)聯(lián)通的需要，并不都能完全實(shí)現(xiàn)數(shù)字化中小學(xué)。 采用快速查找算法實(shí)現(xiàn)組播查找； 支持三 層組播協(xié)議 流分類 采用 Cache技術(shù)通過全匹配實(shí)現(xiàn)流分類，對于未匹配到 Cache表項的包交送 CPU處理；影響線速轉(zhuǎn)發(fā) 采用快速流分類算法，實(shí)現(xiàn)復(fù)雜的前綴匹配和范圍匹配操作；不影響線速轉(zhuǎn)發(fā) QoS 支持二層 QoS（ ）； 支持隊列數(shù)目較少，簡單的 WRR、優(yōu)先級隊列的調(diào)度算法； 不支持或支持簡單的擁塞控制算法。 由于路由器和三層交換機(jī)的定位不同，還有許多相關(guān)技術(shù)的要求和實(shí)現(xiàn)情況也是不同的，如物理接口、用戶控制和安全特性、 VPN支持能力、 NAT支持能力等。 ? 流分類處理不同 三層交 換機(jī)是基于流 CACHE方式的，可以簡單分類，同時由于處在網(wǎng)絡(luò)邊緣位置，也往往需要支持用戶和應(yīng)用業(yè)務(wù)流的分類。 ? 對 MPLS VPN 業(yè)務(wù)支持能力的差異 通常來講，業(yè)界高端路由器對 MPLS VPN 具備良好的支持，包括三層 MPLS VPN和二層 MPLS VPN。三層交換機(jī)通常要實(shí)現(xiàn)二層路由器的 協(xié)議的 CoS等。 ? QoS技術(shù)不同 主 要體現(xiàn)在隊列調(diào)度支持的隊列的數(shù)目和擁塞避免算法的支持上，總體上講，路由器需要支持的隊列數(shù)目較多，路由器可以做到 1k、 2k個隊列，交換機(jī)通常只提供幾個或幾十個隊列。三層交換機(jī)和千兆比路由器路由能力差異的具 體體現(xiàn)如支持的路由數(shù)，高端路由器支持的路由條數(shù)一般都可以在 1M以上，而三層交換機(jī)通常支持 256k、 128k或 64k。 ? 三層交換機(jī)和路由器的路由能力也有較大的差異 ，三層交換機(jī)套片支持的網(wǎng)絡(luò)路由的能力較弱，支持的單播和多播的數(shù)目相對較少，支持的流分類的功能較弱，因此利用三層交換機(jī)套片通常不能構(gòu)架出具備強(qiáng)大轉(zhuǎn)發(fā)能力的千兆比路由器產(chǎn)品。 ? 路由器和三層交換機(jī)轉(zhuǎn)發(fā)機(jī)制的不一樣直接導(dǎo)致這兩類設(shè)備對網(wǎng)絡(luò)惡劣環(huán)境有不同的適應(yīng)能力： 路由器具有很強(qiáng)的抗網(wǎng)絡(luò)動蕩的能力，在網(wǎng)絡(luò)動蕩的情況下也可以保持線速的轉(zhuǎn)發(fā)；而交換機(jī)在網(wǎng)絡(luò)動蕩的情況下，轉(zhuǎn)發(fā)能力將急劇下降甚至癱瘓。但是從目前來看，路由器和交換機(jī)還是還是有較大的差別，不能做到完全取代。如果某設(shè)備 失 效 ， RPR 節(jié) 點(diǎn) 可 以 進(jìn) 入pass_through狀態(tài)，仍然可以保證整個環(huán)路的連接 每臺設(shè)備只和相鄰設(shè)備連接，可靠性差不； 不具備即插即用的能力 二層多播能力 二層支持多播，多播的處理在二層芯片完成，不占用接口和交換芯片處理能力 需要占用接口和交換芯片處理能力 業(yè)務(wù)能力 很好地適應(yīng)數(shù)據(jù)業(yè)務(wù)、語音業(yè)務(wù)、視頻業(yè)務(wù) 主要適應(yīng)數(shù)據(jù)業(yè)務(wù) . 組建路由型核心網(wǎng) 現(xiàn)在網(wǎng)絡(luò)和網(wǎng)絡(luò)設(shè)備都有融合的趨勢。 . 組網(wǎng)方案對比分析 RPR環(huán) 千兆環(huán) /萬兆環(huán) 數(shù)據(jù)轉(zhuǎn)發(fā) 非本節(jié)點(diǎn)接受數(shù)據(jù)直接由硬件二層快速轉(zhuǎn)發(fā) 本節(jié)點(diǎn)和非本節(jié)點(diǎn)接受數(shù)據(jù)均做三層轉(zhuǎn) 發(fā) 保護(hù)倒換 基于 IPS技術(shù)， 50ms保護(hù)倒換 路由收斂，重新選擇最佳路由，保護(hù)倒換時間幾十秒級別 帶寬 5G 1GE/10GE 二層 Qos能力 除鏈路間的 Qos保證外，具有二層的雙隊列的保證，保證實(shí)施業(yè)務(wù)的抖動和時延 只有鏈路間的 Qos能力 公平算法 環(huán)上各個節(jié)點(diǎn)流量通過公平算法共享所有鏈路 沒有公平算法，可能出現(xiàn)某些鏈路被獨(dú)占的情況 全連接、 擴(kuò)展能力 即插即用，拓?fù)渥詣影l(fā)現(xiàn)，具備良好的擴(kuò)展能力； 環(huán)上所有節(jié)點(diǎn)全連接 ， 增加節(jié)點(diǎn)后，新增節(jié)點(diǎn)和其他所有節(jié)點(diǎn)全連接。 RPR 網(wǎng)絡(luò)可通過裸光纖直接相連，簡化網(wǎng)絡(luò)結(jié)構(gòu)，節(jié)省用戶對傳輸網(wǎng)絡(luò)的 投資；網(wǎng)絡(luò)具有高的可靠性，可提供 50ms 電信級的快速保護(hù)倒換；同時 RPR 環(huán)網(wǎng)可提供高的速率，以及很高的帶寬利用率，滿足城域網(wǎng)骨干的需要。 . RPR 技術(shù) 在教育城域網(wǎng)中的應(yīng)用 RPR 技術(shù)是眾多環(huán)網(wǎng)技術(shù)中的一種，而且是比較優(yōu)秀的一種，在具備充分保護(hù)倒換功能的情況下，不需要冗余帶寬備份，提供高可靠性、高帶寬、高利用率。通過連續(xù)性檢測和遠(yuǎn)端錯誤指示可以進(jìn)行環(huán)網(wǎng)上錯誤節(jié)點(diǎn)的探測，通過環(huán)回檢測，可以進(jìn)行環(huán)網(wǎng)錯誤節(jié) 點(diǎn)的定位和測試。 8） OAM管理的支持 RPR 環(huán)網(wǎng)提供 OAM 管理特性，主要用于錯誤管理、性能管理和配置管理。 7） TDM業(yè)務(wù)的支持 RPR 提供多業(yè)務(wù)的支持，可提供較強(qiáng)的數(shù)據(jù)業(yè)務(wù)處理能力，而對 TDM 業(yè)務(wù)的 處理能力相對較弱，可以在語音業(yè)務(wù)不大時得以應(yīng)用。在傳統(tǒng)的傳輸中， 如果增加一個新節(jié)點(diǎn)，需要對該節(jié)點(diǎn)以及與其有業(yè)務(wù)關(guān)系的節(jié)點(diǎn)進(jìn)行復(fù)雜的配置，存在 N平方的問題，也使得增加新業(yè)務(wù)不靈活，開通時間慢。網(wǎng)絡(luò)拓?fù)湫畔?