【正文】 ARP 欺騙報(bào)文直接丟棄。同時(shí)大大降低系統(tǒng)擴(kuò)展的成本，保護(hù)了用戶投 資。H3C S5100EI 系列交換機(jī)采用專利技術(shù)允許交換機(jī)利用 專用互聯(lián)電纜實(shí)現(xiàn)多達(dá) 16 臺(tái)設(shè)備的堆疊，支持不同端口設(shè)備的混合堆疊。其中 S5100CEI 機(jī)型支持最多 2 個(gè)可擴(kuò)展的萬兆接口，并且支持 40G 帶寬的堆疊。接入層交換機(jī)，我們建議千兆交換機(jī)選用 H3C S5100 系列交換機(jī)，百兆到桌面選用 H3C 為教育行業(yè)用戶專門研發(fā)的 E 系列交換機(jī)。對(duì)于教學(xué)樓、宿舍區(qū)的接入可采用 10/100M 到終端的解決方案。 接入層設(shè)計(jì)接入層實(shí)現(xiàn)各終端電腦的高速接入，根據(jù)各業(yè)務(wù)系統(tǒng)的分布，可采用千兆到桌面以及百兆到桌面兩種方案。通過掉電保護(hù)（PFC）、二層回退等高可靠性設(shè)計(jì)，確保 SecPath ACG 在斷電、軟硬件故障或鏈路故障的情況下，網(wǎng)絡(luò)鏈路仍然暢通，保證用戶業(yè)務(wù)的不間斷正常運(yùn)行。用戶行為分析采用先進(jìn)的技術(shù)分析手段，全面分析網(wǎng)絡(luò)應(yīng)用的流量類型和流量流向趨勢，統(tǒng)計(jì)網(wǎng)絡(luò)熱點(diǎn)，發(fā)掘業(yè)務(wù)增 長點(diǎn)；分析用戶行為， 統(tǒng)計(jì) 用戶興趣， 為個(gè)性化運(yùn)營提供依據(jù)，并通過開放的平臺(tái)接口，與第三方 業(yè)務(wù)平臺(tái) 對(duì)接，提供高附加 值業(yè)務(wù)，如在用戶行為興趣分析的基礎(chǔ)上提供定向 WEB 廣告服務(wù)。目前，H3C 是唯一能實(shí)現(xiàn)對(duì) Skype 在 PCPC、PCPhone 兩種通信模式進(jìn)行實(shí)時(shí)有效控制的廠商。豐富的報(bào)表提供業(yè)務(wù)流量趨勢圖、流量分布圖、 Top N 用戶列表、Top N 應(yīng)用協(xié)議列表等報(bào)表，并支持按照用戶名 /用戶組、使用 頻度、使用時(shí)段、應(yīng)用分類、應(yīng)用協(xié)議、流量大小等進(jìn)行多維度組合定制報(bào)表，使用戶能全面掌握網(wǎng)絡(luò)中的流量、應(yīng)用和業(yè)務(wù)分布， 為合理規(guī)劃網(wǎng)絡(luò) 、制定流量控制策略提供依據(jù)。完善的安全審計(jì)系統(tǒng)可對(duì)各種 P2P/IM、網(wǎng)絡(luò)游戲、網(wǎng)絡(luò)多媒體、文件共享、郵件收發(fā)、數(shù)據(jù)傳輸?shù)雀鞣N上網(wǎng)行為提供全方面的行為監(jiān)控和記錄；同時(shí)，通過綜合分析、檢測用戶網(wǎng)絡(luò)流量與流向趨勢，事后 對(duì)歷史數(shù)據(jù)進(jìn)行分析， 為 用戶提供細(xì)粒度的網(wǎng)絡(luò)行為審計(jì)管理系統(tǒng)。H3C ACG 具有以下優(yōu)點(diǎn)：強(qiáng)大的 P2P/IM 業(yè)務(wù)監(jiān)控通過 H3C 長期積累的狀態(tài)機(jī)檢測技術(shù)，能精確檢測 Thunder（迅雷）、BitTorrent、eMule（電騾）、eDonkey （電驢）、 、MSN、PPLive 等近百種 P2P/IM應(yīng)用?；谏鲜鲆蛩?，我們建議出口路由器采用 H3C SR6604 高端路由器。在業(yè)務(wù)特性方面，路由器支持豐富的 QoS 特性，可保障重要業(yè)務(wù)得到優(yōu)先轉(zhuǎn)發(fā)；支持 IPv6，可平穩(wěn)過渡到下一代網(wǎng)絡(luò)。網(wǎng)絡(luò)出口路由器應(yīng)具備以下功能和特性：在可靠性方面，路由器應(yīng)支持電源、 處理系統(tǒng)的冗余備份。網(wǎng)絡(luò)出口配置 1 臺(tái)高端路由器，路由器實(shí)現(xiàn)外部網(wǎng)絡(luò)互聯(lián)，并提供 NAT 功能，配置 1 臺(tái)應(yīng)用控制網(wǎng)關(guān)，實(shí)現(xiàn)對(duì)出口帶寬的靈活 調(diào)配，并 實(shí)現(xiàn)對(duì)用戶行為進(jìn)行審計(jì)和監(jiān)管。 該系列交 換機(jī)還支持 sFlow 功能，可以對(duì)出入方向的報(bào)文按比例隨機(jī)抽樣，靈活實(shí)現(xiàn)報(bào)文采集。支持 CLI命令行，Web 網(wǎng)管， TELNET，HGMP 集群管理，使設(shè)備管理更方便，并且支持 等加密方式，使得管理更加安全。支持出、入兩個(gè)方向的端口鏡像，用于 對(duì)指定端口上的 報(bào)文進(jìn)行監(jiān)控，將端口上的數(shù)據(jù)包復(fù)制到監(jiān)控端口，以進(jìn)行網(wǎng)絡(luò)檢測和故障排除。提供靈活的 對(duì)列 調(diào)度算法，可以同 時(shí)基于端口和隊(duì)列進(jìn)行設(shè)置，支持 SP（Strict Priority）、WRR（Weighted Round Robin）、SP+WRR 三種模式。這樣不但能夠隔離私網(wǎng)內(nèi)不同 VPN 的報(bào)文轉(zhuǎn)發(fā)路徑，而且通過與PE 間的配合，也能夠?qū)⒚總€(gè) VPN 的路由正確發(fā)布至對(duì)端 PE，保證 VPN 報(bào)文在公網(wǎng)內(nèi)的傳輸。同時(shí)通過設(shè)置 Voice VLAN 安全特性，只允許語音流量通過，可以有效防止突發(fā)數(shù)據(jù)流量對(duì) Voice VLAN 內(nèi)的語音流量的沖擊。 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 17 頁, 共 59 頁多業(yè)務(wù)支持能力支持 PoE（Power over Ether）技術(shù)，通過以太網(wǎng) 對(duì)所連接的設(shè)備（如 IP Phone, Wireless AP 等）進(jìn) 行遠(yuǎn)程供電，從而使得不必在使用現(xiàn)場為設(shè)備部署單獨(dú)的電源系統(tǒng)，能夠極大地減少部署終端設(shè)備的布線和管理成本。除了設(shè)備級(jí)可靠性以外，還支持豐富的鏈路可靠性以外，還支持豐富的鏈路可靠性技術(shù)，比如華三通信獨(dú) 創(chuàng)的 RRPP 快速環(huán)網(wǎng)保護(hù)機(jī)制。 7VM 海岸線網(wǎng)絡(luò) 安全資訊站多重可靠性保護(hù)S5500EI 系列交換機(jī)還具備設(shè)備級(jí)和鏈路級(jí)的多重可靠性保護(hù)。H3C S5500EI 系列交換機(jī)提供增強(qiáng)的 ACL 控制邏輯 ，支持超大容量的入端口和出端口 ACL，并且支持基于 VLAN 的 ACL 下發(fā)，在簡化用戶配置過程的同時(shí)，避免了 ACL 資源的浪 費(fèi)。完備的安全控制策略H3C S5500EI 系列交換機(jī)支持 EAD（端點(diǎn)準(zhǔn)入防御）功能，配合后臺(tái)系 統(tǒng)可以將終端防病毒、補(bǔ)丁修復(fù)等 終端安全措施與網(wǎng)絡(luò)接入控制、訪問權(quán)限控制等網(wǎng)絡(luò)安全措施整合為一個(gè)聯(lián)動(dòng)的安全體系，通過對(duì)網(wǎng)絡(luò)接入終端的檢查、隔離、修復(fù)、管理和監(jiān)控，使整個(gè)網(wǎng)絡(luò)變被動(dòng)防御為主動(dòng)防御、 變單點(diǎn)防御為全面防御、 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 16 頁, 共 59 頁變分散管理為集中策略管理，提升了網(wǎng)絡(luò)對(duì)病毒、蠕蟲等新興安全威脅的整體防御能力。IPv4 到 IPv6 的演變是以太網(wǎng)發(fā)展的大勢所趨，網(wǎng) 絡(luò)設(shè)備對(duì) 于 IPv6 的支持不僅是簡單的可用就行，而是需要達(dá)到商用的標(biāo)準(zhǔn)， S5500EI 已經(jīng)通過了國際最權(quán)威的 IPv6 Ready 第二階 段認(rèn)證，而且通過了信息產(chǎn)業(yè)部嚴(yán)格的 IPv6 入網(wǎng)測試?；谝陨弦?，我們建議匯聚交換機(jī)選用 H3C 的 S5500－EI ，S5500－EI 系列交換機(jī)具有以下特點(diǎn)：高擴(kuò)展性保護(hù)投資隨著用戶端速度不斷提高，用戶最終會(huì)使集群千兆鏈路達(dá)到飽和，而能夠擁有多條集群 10GE 鏈路將是我們的未來發(fā)展方向。在業(yè)務(wù)特性方面，匯聚交換機(jī)支持豐富的 QoS 特性，可保障重要業(yè)務(wù)得到優(yōu)先轉(zhuǎn)發(fā)；支持 IPv6，可平穩(wěn)過 渡到下一代網(wǎng)絡(luò)。 匯聚層設(shè)計(jì)匯聚來自配線間的流量和執(zhí)行策略，當(dāng)路由協(xié)議應(yīng)用于這一層時(shí)，具有負(fù)載均衡、快速收斂和易于擴(kuò)展等特點(diǎn)，這一層還可作為 接入設(shè)備的第一跳網(wǎng)關(guān)。S7502E 具有高轉(zhuǎn)發(fā)性能，整機(jī)具有 192Gbps 交換容量、143Mpps 轉(zhuǎn)發(fā)性能，同時(shí)，S7502E 采用全分布式 轉(zhuǎn)發(fā)，并采用最 長匹配、逐包轉(zhuǎn)發(fā)的處理機(jī)制，保證業(yè)務(wù)的高速率轉(zhuǎn)發(fā)?；谏鲜鲆蛩?，我們建議數(shù)據(jù)中心交換機(jī)采用 H3C S7502E 高端交換機(jī)。在安全性方面，數(shù)據(jù)中心交換機(jī)具有安全機(jī)制保障所承載業(yè)務(wù)的安全。在性能方面，數(shù)據(jù)中心交換機(jī)所有端口線速轉(zhuǎn)發(fā)，保障圖書館多種業(yè)務(wù)進(jìn)行并發(fā)交換。 數(shù)據(jù)中心設(shè)計(jì)為實(shí)現(xiàn)對(duì)校園網(wǎng)服務(wù)器統(tǒng)一管理和控制，同時(shí)考慮到擴(kuò)展性，服務(wù)器的接入獨(dú)立配置交換機(jī)實(shí)現(xiàn)，為保 證服務(wù)器接入的高可用性，配置 2 臺(tái)全千兆三層路由交換機(jī)，數(shù)據(jù)中心交換機(jī)通 過 VRRP 協(xié)議實(shí)現(xiàn)互為熱備 和負(fù)載分擔(dān)。H3C S7500E 提供控制補(bǔ)丁單元狀態(tài)切換的用戶命令，使用戶能夠方便的加載、激活、去激活、運(yùn)行或刪除補(bǔ)丁單元。通過上述技術(shù)， H3C S7500E 可以在承載多業(yè)務(wù)的情況下不間斷運(yùn)行，實(shí)現(xiàn)業(yè)務(wù)的永續(xù)。、 電信級(jí)的高可靠性，保障用戶業(yè)務(wù)長期穩(wěn)定運(yùn)行?電信級(jí)高可靠性設(shè)計(jì)H3C S7500E 采用無單點(diǎn)故障設(shè)計(jì)，所有關(guān)鍵部件，如主控板、交 換網(wǎng)、電源和風(fēng)扇等采用冗余設(shè)計(jì)；無源背板避免了機(jī)箱出現(xiàn)單點(diǎn)故障；所有單板和電源模塊支持熱插拔功能；H3C S7500E 系列可以在惡劣的 環(huán)境下長時(shí)間穩(wěn)定運(yùn)行，達(dá)到 ％的電信級(jí)可靠性。H3C S7500E 既支持有線終端用戶的 EAD，也支持無線終端用戶的 EAD，能 夠做到終端安全防范無漏洞。、 全方位的安全保障，抵御多種網(wǎng)絡(luò)安全威脅?三平面安全保障機(jī)制H3C S7500E 提供完善的安全防護(hù)機(jī)制，可從控制、管理、轉(zhuǎn)發(fā)三平面全面保障網(wǎng)絡(luò)的安全：在控制平面，內(nèi)置協(xié)議報(bào)文攻擊識(shí)別模塊，防止 TCN、ARP 等協(xié)議報(bào)文攻擊，OSPF/BGP/ISIS 路由協(xié)議采用 MD5 驗(yàn)證，防止非法路由更新報(bào)文導(dǎo)致的網(wǎng)絡(luò)癱瘓；在管理平面，SNMPv3 網(wǎng)管協(xié)議， SSH V2，基于、AAA/Radius 的用 戶身份認(rèn)證以及分級(jí)的用 戶權(quán)限管理保證了設(shè)備管理的安全性；在轉(zhuǎn)發(fā)平面，支持 IP、VLAN 、MAC 和端口等多種組合精細(xì)綁定；支持 uRPF 單播反向路徑 轉(zhuǎn)發(fā) ，防止非法流量 訪問網(wǎng) 絡(luò)，采用最長匹配逐包轉(zhuǎn)發(fā)機(jī)制，有效抵御病毒的攻擊。?政府電力城域網(wǎng)邊緣和匯聚的最佳選擇H3C S7500E 支持 VRFLite 特性，為用戶提供高可靠高性能的 MCE 設(shè)備；通過配置 Salience VITurbo 引擎，可以提供集中式 MPLS 業(yè)務(wù)功能，適合在城域網(wǎng)邊緣作為高性價(jià) PE 設(shè)備使用；通過配置 EA 類板卡，可以提供分布式線速的MPLS 業(yè)務(wù)功能，適合在城域網(wǎng)匯聚層作為高性能的 PE 使用。、 靈活的配置，適應(yīng)各種應(yīng)用場景?配線間融合業(yè)務(wù)網(wǎng)絡(luò)的最佳選擇H3C S7500E 針對(duì)配線間的需求定制開發(fā)了 SA 板卡，單臺(tái)設(shè)備可以提供480 個(gè)千兆線速接口和 4 個(gè)萬兆線速接口。H3C S7500E 是業(yè)界最高密度的以太網(wǎng)無源光網(wǎng) 絡(luò)（EPON）設(shè)備，單臺(tái)最大可接入 10240 個(gè) FTTH 用戶；H3C S7500E 是高可靠的 EPON 系統(tǒng)，采用分布式體系結(jié)構(gòu)、模塊化設(shè)計(jì)，主控板冗余熱備份、無源背板、冗余電源支持雙路供電，具有電信級(jí)可靠性。 ?線速的 IPv4/IPv6 業(yè)務(wù)能力H3C S7500E 支持 IPv4/IPv6 雙協(xié)議棧,支持多種 6to4 隧道技術(shù)，支持IPv4/IPv6 的組 播技術(shù)， 為 用戶提供完善的 IPv4/IPv6 解決方案；H3C S7500E 采用分布式體系架構(gòu)，實(shí)現(xiàn) IPv4/IPv6 業(yè)務(wù)的線速無阻塞轉(zhuǎn)發(fā)；H3C S7500E 已經(jīng)通過了信息產(chǎn)業(yè)部的 IPv6 入網(wǎng)認(rèn)證和 IPv6 Ready 第二 階段金色認(rèn)證，是成熟商用的IPv6 產(chǎn) 品。S7510E 中配置的所有接口均可 實(shí)現(xiàn)線速轉(zhuǎn)發(fā)。S7510E 具有 10 個(gè)槽位，其中 8 個(gè)為業(yè)務(wù)模塊插槽，并支持豐富的接口模 塊，如萬兆、千兆、百兆等類型接口，可根據(jù)網(wǎng) 絡(luò)規(guī)模實(shí)現(xiàn) 在線擴(kuò)展。基于上述因素，我們建議核心交換機(jī)采用 H3C S7510E 高端交換機(jī)。在業(yè)務(wù)特性方面，核心交換機(jī)支持豐富的 QoS 特性，可保障重要業(yè)務(wù)得到優(yōu)先轉(zhuǎn)發(fā)；支持 IPv6，可平穩(wěn)過 渡到下一代網(wǎng)絡(luò)；并且支持內(nèi)置防火墻、內(nèi)置無線控制器等多種業(yè)務(wù)功能插卡，可以進(jìn)行靈活的部署， 實(shí)現(xiàn)業(yè)務(wù)的擴(kuò)展和融合。在可靠性方面，核心交換機(jī)應(yīng)達(dá)到 %的高可靠性，采用全模塊化設(shè)計(jì)，電源、風(fēng) 扇、引擎、業(yè)務(wù)模塊等均可實(shí)現(xiàn)熱插拔，支持電源、引擎等關(guān)鍵部件的1+1 冗余 熱備 份，支持 VRRP、路由優(yōu)雅（GR）等高可靠性協(xié)議，實(shí)現(xiàn)核心層的業(yè)務(wù)不間斷轉(zhuǎn)發(fā)。核心層配置 2 臺(tái)高端交換機(jī)作為核心交換機(jī)，兩臺(tái)交換機(jī)之間通過萬兆鏈路進(jìn)行互聯(lián)，形成雙機(jī)復(fù)用，在兩臺(tái)中心交換機(jī)之間 啟用 VRRP 協(xié)議，這樣在其 校園網(wǎng)絡(luò)設(shè)計(jì)方案 第 10 頁, 共 59 頁中一臺(tái)出現(xiàn)故障的時(shí)候，業(yè)務(wù)可以自動(dòng)切換到另外一臺(tái)。 核心層設(shè)計(jì)XX 學(xué)院主校區(qū)設(shè)立整個(gè)校園網(wǎng)的核心層，同時(shí)，在新機(jī)場實(shí)訓(xùn)基地設(shè)立分核心。為便于網(wǎng)絡(luò)的管理和維護(hù)，校園網(wǎng)還將建設(shè) 1 套網(wǎng)絡(luò)管理系統(tǒng)，實(shí)現(xiàn)對(duì)校園網(wǎng)絡(luò)平臺(tái)設(shè)備的統(tǒng)一管理，網(wǎng)絡(luò)管理應(yīng)具有拓?fù)?、故障、性能、配置和圖形化設(shè)備管理等功能，為了實(shí)現(xiàn)更 為方便的通過遠(yuǎn)程方式對(duì)網(wǎng)絡(luò)的狀態(tài)進(jìn)行監(jiān)控和維護(hù)，網(wǎng)絡(luò) 系統(tǒng)采用 B/S 架構(gòu)。網(wǎng)絡(luò)接入層提供校園網(wǎng)用戶的接入，并實(shí)現(xiàn)網(wǎng)絡(luò)接入的安全防御，如 ARP攻擊防護(hù)，同時(shí)，結(jié)合用戶管理系統(tǒng)實(shí)現(xiàn)對(duì)接入用戶認(rèn)證、 計(jì)費(fèi)等管理。校園網(wǎng)設(shè)立數(shù)據(jù)中心，實(shí)現(xiàn)各業(yè)務(wù)系統(tǒng)服務(wù)器的集中部署，數(shù)據(jù)中心網(wǎng)絡(luò)平臺(tái)獨(dú)立建設(shè)，配置 2 臺(tái)模塊 化交換機(jī)設(shè)備， 為服務(wù)器提供高性能、高可靠、可擴(kuò)展性的接入平臺(tái)，同時(shí)，通過核心交換機(jī)內(nèi)置高性能的防火墻模塊提供安全保護(hù)。 校園網(wǎng)絡(luò)總體結(jié)構(gòu)校園網(wǎng)絡(luò)平臺(tái)將采用層次化通用結(jié)構(gòu)設(shè)計(jì)，采用核心層、匯聚層和接入層三層架構(gòu)，包括網(wǎng)絡(luò)骨干、數(shù)據(jù)中心、網(wǎng)絡(luò)出口、網(wǎng)絡(luò)接入、無線網(wǎng)絡(luò)等五大部分。在 XX 校園網(wǎng)中，接入層采用千兆及百兆到桌面的接入模式，對(duì)于數(shù)據(jù)傳輸量較大或重要區(qū)域采用千兆到桌面的方案，如綜合辦公、圖書館等，其它的 為百兆接入，同時(shí)，無線 AP 接入采用 POE 方式進(jìn)行設(shè)備的供電。對(duì)于校園園區(qū)網(wǎng)的匯聚層設(shè)備，應(yīng)該能夠承載校園園區(qū)的多種融合業(yè)務(wù)，能夠融合 IPv網(wǎng)絡(luò)安全、流量分析等多種業(yè)務(wù)，提供不間斷轉(zhuǎn)發(fā)、優(yōu)雅重啟、 環(huán)網(wǎng)保護(hù)等多種高可靠技術(shù)，能 夠承載校園園區(qū)融合業(yè)務(wù)的需求。目前，XX 學(xué)院在主校區(qū)共有 15 幢建筑物，新機(jī) 場實(shí)訓(xùn) 基地共有 6 幢建筑物。對(duì)于校園網(wǎng)核心層設(shè)備，應(yīng)該在提供大容量、高性能 L2/L3 交換服務(wù)基礎(chǔ)上，能夠進(jìn)一步融合了硬件 IPv網(wǎng) 絡(luò)安全、網(wǎng)絡(luò)業(yè)務(wù)分析等智能特性，可為校園園區(qū)構(gòu)建融合業(yè)務(wù)的基礎(chǔ)網(wǎng)絡(luò)平臺(tái)，進(jìn)而幫助用戶實(shí)現(xiàn) IT 資源整合的需求。XX 學(xué)院主校區(qū)設(shè)立整個(gè)校園網(wǎng)的核心層，同時(shí)，在新機(jī)場實(shí)訓(xùn)基地設(shè)立分核心。根據(jù)廣州 XX 職業(yè)技術(shù)學(xué)院的網(wǎng)絡(luò)分布情況，校園網(wǎng)共分成核心層、 匯聚層和接入層三層。 安全可靠性設(shè)計(jì)應(yīng)充分考慮整個(gè)網(wǎng)絡(luò)的穩(wěn)定性，支持網(wǎng)絡(luò)節(jié)點(diǎn)的備份和線路保護(hù)，提供網(wǎng)絡(luò)安全防范措施。