【正文】 、授權(quán)管理描述－認(rèn)證管理是接入層交換機(jī)和認(rèn)證軟件平臺重要的特性，本次我們建議采用。2) 網(wǎng)管平臺?？紤]認(rèn)證的效率，本次認(rèn)證主要由接入層 QuidwayE050/E026交換機(jī)來完成。綜合考慮，華為 3公司在實際的在建網(wǎng)的過程當(dāng)中遵循了以下幾點要求：1) 認(rèn)證交換機(jī)。 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項目 機(jī)密文件 39認(rèn)證管理方案是一個整體的方案，考慮 XXXXX大學(xué)原有計費(fèi)網(wǎng)關(guān)，因此本次主要在新建校園網(wǎng)內(nèi)實施相應(yīng)的管理措施。2) 全方位的用戶管理方案用戶的管理隨著網(wǎng)絡(luò)的擴(kuò)大逐步顯得更加的重要，從目前的校園網(wǎng)的建設(shè)來看，不同的學(xué)校有著不同的網(wǎng)絡(luò)的管理方式，如：MAC 幫的、IP 地址的綁定、卡號密碼的綁定等，不同方式各有千秋。正是這一點打動許多學(xué)校老師的心。這些認(rèn)證技術(shù)各有千秋，PPPOE 技術(shù)被廣泛的應(yīng)用在寬帶小區(qū)，WEB 認(rèn)證被應(yīng)用在一些信息系統(tǒng)內(nèi)，而。但是如何進(jìn)行用戶身份確認(rèn)呢？這就需要通過認(rèn)證技術(shù)來實現(xiàn)。但是無論是計費(fèi)還是不計費(fèi)我們都需要對其身份進(jìn)行準(zhǔn)確的識別。為了消除這些隱患，我們需要引入網(wǎng)絡(luò)認(rèn)證管理技術(shù)，規(guī)范網(wǎng)絡(luò)使用，在提供體現(xiàn)公平、共享原則的同時保護(hù)絕大多數(shù)用戶的權(quán)利。路由器設(shè)備端口配置信息 接口描述、接口類型、最大傳輸單元、接口速率、物理地址、管理狀態(tài)、操作狀態(tài)、持續(xù)運(yùn)行時間、本地描述路由器設(shè)備端口運(yùn)行狀態(tài) 接口使用率、輸入包誤碼率、輸出包誤碼率、輸入包丟棄率、輸出包丟棄率、輸入包未知協(xié)議率 下圖是該產(chǎn)品的界面示例： XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項目 機(jī)密文件 37 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項目 機(jī)密文件 384．XXXXX 大學(xué)用戶管理及安全方案隨著網(wǎng)絡(luò)規(guī)模的擴(kuò)大，用戶不斷的增加，網(wǎng)絡(luò)使用中出現(xiàn)了不少不和諧的聲音：賬戶盜用，惡意欠費(fèi)，黑客攻擊，反動言論等。設(shè)備日志和告警管理 在系統(tǒng)獨立運(yùn)行時，設(shè)備日志管理完成接收設(shè)備發(fā)送到網(wǎng)管的 Syslog 日志報文，直接保存到文件中；設(shè)備告警管理完成接收設(shè)備發(fā)送到網(wǎng)管的告警報文，將該Trap 進(jìn)行解析并保存到文件中。性能管理 提供對設(shè)備實時性能數(shù)據(jù)的查看功能，使用戶了解當(dāng)前網(wǎng)絡(luò)運(yùn)行的基本情況和性能狀態(tài)，從而預(yù)防網(wǎng)絡(luò)事 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項目 機(jī)密文件 36故的發(fā)生，預(yù)測網(wǎng)絡(luò)運(yùn)行狀態(tài)，幫助用戶對網(wǎng)絡(luò)的管理運(yùn)營進(jìn)行合理的規(guī)劃。主要功能包括：支持告警相關(guān)性分析；能按照用戶設(shè)置的條件對告警信息進(jìn)行統(tǒng)計和查詢；提供告警拓?fù)涠ㄎ?；支持告?Trap 規(guī)則定義等。除此以外，QuidView 系統(tǒng)使用全新的 JFC類庫，所有控件均支持 Look and Feel特性，該特性使得 QuidView既可以在不同平臺上呈現(xiàn)出統(tǒng)一的顯示風(fēng)格，也能夠使控件的風(fēng)格與操作系統(tǒng)相一致。成本低QuidView不像大型網(wǎng)管系統(tǒng)那樣系統(tǒng)龐大，它將網(wǎng)管人員最為關(guān)心的網(wǎng)絡(luò)信息直觀而濃縮地呈現(xiàn)于網(wǎng)管人員面前，使其方便地了解設(shè)備各端口的運(yùn)行情況以及主要的設(shè)備性能指標(biāo)。支持 WEB方式基于 WEB的管理是網(wǎng)管方式的一次革命，其主要優(yōu)勢在于：基于 WEB的管理允許網(wǎng) XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項目 機(jī)密文件 35絡(luò)管理人員使用任一種瀏覽器在網(wǎng)絡(luò)的任何節(jié)點上方便迅速地配置、控制及監(jiān)視網(wǎng)絡(luò)。特性該系統(tǒng)采用開放式結(jié)構(gòu)設(shè)計，嚴(yán)格遵守標(biāo)準(zhǔn)的 SNMP協(xié)議（RFC1157） ，主要使用RFC1213定義的 MIB信息，具有投資省、使用靈活、易于移植等特點：使用靈活QuidView系統(tǒng)的使用方式非常靈活，既可以作為設(shè)備級的應(yīng)用程序集成到已有的網(wǎng)管平臺（如：HPOpenView、RadiumsNMS、SNMPC、NetManager）中進(jìn)行網(wǎng)絡(luò)級管理，又可以作為獨立的應(yīng)用程序執(zhí)行進(jìn)行設(shè)備級管理。華為 NE40可完全實現(xiàn)雙棧的運(yùn)行方式，滿足用戶的各種需求。對于終端的 PC機(jī)用戶來說也可以實現(xiàn)網(wǎng)絡(luò)的訪問，PC 機(jī)終端會攜帶 IPV6請求包向 IPv6接口發(fā)出請求，該報文通過 IPv4網(wǎng)絡(luò)時將會直接封裝為 IPv4包，當(dāng)?shù)竭_(dá)IPv6接口時，將還原為 IPv6包，當(dāng)接口得到 IPv6請求時，會返回其請求的前綴，報文同樣被封裝為 IPv4包，當(dāng)?shù)竭_(dá)終端 IPv6主機(jī)時，會直接還原為 IPv6包，并將前綴直接分給終端主機(jī)，終端主機(jī)結(jié)合自己的后綴，自動配置好 IPv6地址，進(jìn)而實現(xiàn) PC機(jī)終端與邊界路由器之間的 6to4隧道。華為 3Com可以支持跨 IPv4網(wǎng)絡(luò)的 IPv6孤島的互通，可支持在多個邊界路由器上（必須以雙棧的方式進(jìn)行運(yùn)行。 IPv6運(yùn)行模式設(shè)計在整個 IPv6網(wǎng)當(dāng)中可以運(yùn)行多種 IPv6相關(guān)業(yè)務(wù)，因此將會出現(xiàn)以下相關(guān)技術(shù)，如：6to4to雙棧等多種方式，如圖所示，全網(wǎng)的資源實驗訪問可分為以下幾種：IPV4——IPV6：IPv4與 IPv6之間的相互互通是非常重要的，在實際的應(yīng)用的過程當(dāng)中華為3Com采用 NAT轉(zhuǎn)換的方式進(jìn)行互通，在 IPv4用戶訪問 IPv6的資源時，由于 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項目 機(jī)密文件 32IPv6的 IP地址豐富，可以采用一個 IPV4對應(yīng)一個 IPv6的地址，進(jìn)行轉(zhuǎn)換；而 IPv6用戶訪問 IPv4的資源時，由于 IPv4的地址資源相對有限，可以按照收斂比采取多對一動態(tài)的轉(zhuǎn)換的方式進(jìn)行互通，其基本的實現(xiàn)方式如下：IPv6用戶在訪問 Pv4的用戶時，在邊界路由器上進(jìn)行 NAT轉(zhuǎn)換，過程是將 IP的報頭取出，改為 IPv4的報頭，與 IPv4的用戶進(jìn)行互通；同樣 IPV4用戶訪問 IPV6的用戶時，當(dāng)經(jīng)過邊界路由器的時候，邊界路由器會將 IPv4的包取出，更改為 IPv6的報文格式在 IPv6的網(wǎng)絡(luò)內(nèi)部實現(xiàn) IPv6之間的互通。IPV6 User雙棧 雙棧雙棧NATPT如圖所示，在同一臺接入層交換機(jī)下可能存在不同的用戶有 V6用戶也有 V4用戶，對于 V4與 V4用戶的互通，或是 V6與 V6用戶的互通可以直接通過核心交換機(jī)來實現(xiàn)，而對于兩個跨 V4網(wǎng)的 V6孤島之間的互聯(lián)可以通過隧道技術(shù)來實現(xiàn)，通過兩個 V6邊界路由之間建立隧道的方式進(jìn)行互訪，邊界路由交換機(jī) S8500以及匯聚層交換機(jī) S5600都采用雙棧運(yùn)行的模式，對于 V6用戶訪問 V4的資源方式，可以采用ALG或是 NPATPT的方式來實現(xiàn)，將 V6的和 V4的報文頭進(jìn)行互譯，從而實現(xiàn) V6與V4用戶的互通。161。IPV4 UserS8512S5600E050/E026 E050/E026IPv6 User核心匯聚接入IPV6 User161。161。IPV4 User161。161。華為S8500、S5600等三層交換機(jī)可實現(xiàn)IPv6的支持，可以支持靜態(tài)IPv6路由、支持基于硬件的IPv6轉(zhuǎn)發(fā)，可實現(xiàn)IPv6到IPv4以及IPv4到IPv6等隧道技術(shù)，其整體的IPv6升級方案如下圖所示： XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項目 機(jī)密文件 31Inter2 Cer2IPv6服務(wù)161。IPv6的上述特點充分迎合了未來網(wǎng)絡(luò)向 IP融合統(tǒng)一的發(fā)展方向，并提升 IP網(wǎng)絡(luò)的可運(yùn)營可管理性。Qos 考慮：新增流標(biāo)記域，為源宿端快速處理實時業(yè)務(wù)提供可能，有利于低性能的業(yè)務(wù)終端支持 IPv6的語音、視頻等應(yīng)用。即插即用：IPv6 引入自動配置以及重配置技術(shù)，對于 IP地址等信息實現(xiàn)自動增刪更新配置，提高 IPv6的易管理性。擴(kuò)展為先：引入靈活的擴(kuò)展報頭，按照不同協(xié)議要求增加擴(kuò)展頭種類，按照處理順序合理安排擴(kuò)展頭的順序，其中網(wǎng)絡(luò)設(shè)備需要處理的擴(kuò)展頭在報文頭的前部，而需要宿端處理的擴(kuò)展頭在報文頭的尾部。同時 IPv6地址是有范圍的，包括鏈路本地地址、站點本地地址和任意播地址，這也進(jìn)一步增加地址應(yīng)用的擴(kuò)展性。對于 IPv6的業(yè)務(wù)開展，對于 IPv6流媒體的訪問同樣可以采用 IPv6組播協(xié)議進(jìn)行 IPv6業(yè)務(wù)的開展，通過核心、匯聚 IPv6協(xié)議的支持，可以在全網(wǎng)開展IPv6業(yè)務(wù)，確保 IPv6組播業(yè)務(wù)能夠很好的開展，便于 IPv6業(yè)務(wù)的豐富、提高。同時，對于無視頻流需求端口無需要進(jìn)行復(fù)制。網(wǎng)絡(luò)教學(xué)：使用視頻和通訊設(shè)備實現(xiàn)一點對多點或點對點的交互式異地遠(yuǎn)端教學(xué)，實現(xiàn)學(xué)生和教師的實時交流，學(xué)生還可隨時進(jìn)行學(xué)習(xí)點播和查詢。付費(fèi)視頻：按節(jié)目收費(fèi)的視訊節(jié)目。由 S5600完成對其下掛的匯聚交換機(jī)以及樓道交換機(jī)的組播用戶進(jìn)行報文復(fù)制和發(fā)送。 組播業(yè)務(wù)Quidway S8500、S5600、E050 通過標(biāo)準(zhǔn)的組播協(xié)議完成用戶的組播管理，S850S5600 均可以支持豐富的組播協(xié)議，包括ICMP、PIM－SM、PIM－DM、MSDP 等組播協(xié)議，可支持豐富的業(yè)務(wù)，包括視頻點播、流媒體點播，可支持各種流媒體終端以及組播源的種類。同時 S8500 以及 S5600 可實現(xiàn)基于業(yè)務(wù)類型的流領(lǐng)控制功能，如：基于端口、IP、Vlan 等帶寬管理以及優(yōu)先權(quán)的分配，可實現(xiàn)帶寬管理最小粒度為8K。4．IP 地址盜用的防止在校園網(wǎng)的應(yīng)用當(dāng)中 IP地址的盜用是最為經(jīng)常的一種非法手段，用戶在認(rèn)證通過以后將自己獲取的 IP地址進(jìn)行修改，然后在進(jìn)行一些非法操作，在 XXXXX大學(xué)的網(wǎng)絡(luò)的設(shè)計當(dāng)中我們針對該問題，在接入層交換機(jī)上提供防止 IP地址盜用的功能，用戶在更改 IP地址后， 客戶端與 E050配合，直接將用戶下線，其下線功能是由 E050來實現(xiàn)的，不依賴于 ，因此對于學(xué)生自己從網(wǎng)上下載的 ，E050 仍然可以對其進(jìn)行有效的控制。華為 E050接入層交換機(jī)可以為用戶提供強(qiáng)大的動態(tài)VLAN功能切實可行的為用戶提供豐富的業(yè)務(wù)功能。 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項目 機(jī)密文件 272．動態(tài) Vlan的功能對于位置移動的用戶（有便攜機(jī)） ，可以采用動態(tài) Vlan的技術(shù)來實現(xiàn)，用戶的的 Vlan是和用戶的 ID號對應(yīng)的，用戶可以通過不同地理位置的接入點上網(wǎng)，用戶認(rèn)證的過程當(dāng)中，Raduis 服務(wù)器會根據(jù)用戶的 ID號對應(yīng)到用戶所屬的 Vlan當(dāng)中。 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項目 機(jī)密文件 25傳統(tǒng)堆疊的組播數(shù)據(jù)轉(zhuǎn)發(fā)IRFServerHost5Host4Host3Host1Host2Unit1Unit3Unit4Unit2Unit 4Unit 1Host 5SourceUnit2上的轉(zhuǎn)發(fā)表組播數(shù)據(jù)流圖 9 IRF的組播數(shù)據(jù)轉(zhuǎn)發(fā)：Host 5 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項目 機(jī)密文件 26如圖所示，在實際的應(yīng)用過程當(dāng)中建議采用兩臺 樓層匯聚交換機(jī)跨設(shè)備捆綁與核心交換機(jī)形成帶寬、線路上的負(fù)荷分擔(dān)、鏈路擴(kuò)展，兩臺 S5600交換機(jī)之間采用IRF技術(shù)形成一個單一的 Unit，同時又實現(xiàn)鏈路的跨設(shè)備捆綁進(jìn)而實現(xiàn)鏈路的帶寬擴(kuò)大，再者當(dāng)任何兩臺設(shè)備之間的鏈路出現(xiàn)問題，IRF 都能構(gòu)確保整個網(wǎng)絡(luò)的安全、穩(wěn)定。該組播轉(zhuǎn)發(fā)表只維護(hù)本unit上的用戶出端口和 fabric內(nèi)其他 unit上出端口的 unit號，而且只記錄出端口所在的 unit號，并不關(guān)心具體的端口號。同傳統(tǒng)的堆疊技術(shù)和多臺單機(jī)互聯(lián)設(shè)備相比，使用 IRF技術(shù)堆疊的設(shè)備，可以做到按需轉(zhuǎn)發(fā)組播數(shù)據(jù)報文，減少設(shè)備間組播數(shù)據(jù)流量。相對于集中式的轉(zhuǎn)發(fā)，減少了對單臺設(shè)備的依賴，同時減輕設(shè)備的轉(zhuǎn)發(fā)負(fù)載。因此對于外界設(shè)備來說，fabric 始終就是一臺設(shè)備。如果有 unit離開，則需要把和此unit相關(guān)的表項從 fabric內(nèi)刪除掉。為了實現(xiàn) fabric內(nèi)二層分布式轉(zhuǎn)發(fā)，而且 IRF內(nèi)的交換機(jī)表現(xiàn)的象一臺設(shè)備一樣，當(dāng)一臺 unit新學(xué)習(xí)到 MAC表項以及用戶配置的 MAC表項，都需要同步到 fabric內(nèi)的其它設(shè)備上。但是無論端口是在本地，還是在其它 unit上，轉(zhuǎn)發(fā)過程只需要一次查詢二層轉(zhuǎn)發(fā)表，就可以被交換出去。當(dāng) fabric內(nèi)一臺 unit接收到轉(zhuǎn)發(fā)報文，通過查找自己的二層轉(zhuǎn)發(fā)表，就可以得到轉(zhuǎn)發(fā)的出端口，這個端