【正文】 ARP 欺騙報文直接丟棄。同時大大降低系統(tǒng)擴展的成本，保護了用戶投 資。H3C S5100EI 系列交換機采用專利技術允許交換機利用 專用互聯(lián)電纜實現(xiàn)多達 16 臺設備的堆疊，支持不同端口設備的混合堆疊。其中 S5100CEI 機型支持最多 2 個可擴展的萬兆接口，并且支持 40G 帶寬的堆疊。接入層交換機，我們建議千兆交換機選用 H3C S5100 系列交換機，百兆到桌面選用 H3C 為教育行業(yè)用戶專門研發(fā)的 E 系列交換機。對于教學樓、宿舍區(qū)的接入可采用 10/100M 到終端的解決方案。 接入層設計接入層實現(xiàn)各終端電腦的高速接入，根據(jù)各業(yè)務系統(tǒng)的分布，可采用千兆到桌面以及百兆到桌面兩種方案。通過掉電保護（PFC）、二層回退等高可靠性設計，確保 SecPath ACG 在斷電、軟硬件故障或鏈路故障的情況下，網(wǎng)絡鏈路仍然暢通，保證用戶業(yè)務的不間斷正常運行。用戶行為分析采用先進的技術分析手段，全面分析網(wǎng)絡應用的流量類型和流量流向趨勢，統(tǒng)計網(wǎng)絡熱點，發(fā)掘業(yè)務增 長點；分析用戶行為， 統(tǒng)計 用戶興趣， 為個性化運營提供依據(jù)，并通過開放的平臺接口，與第三方 業(yè)務平臺 對接，提供高附加 值業(yè)務，如在用戶行為興趣分析的基礎上提供定向 WEB 廣告服務。目前，H3C 是唯一能實現(xiàn)對 Skype 在 PCPC、PCPhone 兩種通信模式進行實時有效控制的廠商。豐富的報表提供業(yè)務流量趨勢圖、流量分布圖、 Top N 用戶列表、Top N 應用協(xié)議列表等報表，并支持按照用戶名 /用戶組、使用 頻度、使用時段、應用分類、應用協(xié)議、流量大小等進行多維度組合定制報表，使用戶能全面掌握網(wǎng)絡中的流量、應用和業(yè)務分布， 為合理規(guī)劃網(wǎng)絡 、制定流量控制策略提供依據(jù)。完善的安全審計系統(tǒng)可對各種 P2P/IM、網(wǎng)絡游戲、網(wǎng)絡多媒體、文件共享、郵件收發(fā)、數(shù)據(jù)傳輸?shù)雀鞣N上網(wǎng)行為提供全方面的行為監(jiān)控和記錄；同時，通過綜合分析、檢測用戶網(wǎng)絡流量與流向趨勢，事后 對歷史數(shù)據(jù)進行分析， 為 用戶提供細粒度的網(wǎng)絡行為審計管理系統(tǒng)。H3C ACG 具有以下優(yōu)點：強大的 P2P/IM 業(yè)務監(jiān)控通過 H3C 長期積累的狀態(tài)機檢測技術，能精確檢測 Thunder（迅雷）、BitTorrent、eMule（電騾）、eDonkey （電驢）、 、MSN、PPLive 等近百種 P2P/IM應用?；谏鲜鲆蛩兀覀兘ㄗh出口路由器采用 H3C SR6604 高端路由器。在業(yè)務特性方面，路由器支持豐富的 QoS 特性，可保障重要業(yè)務得到優(yōu)先轉(zhuǎn)發(fā)；支持 IPv6，可平穩(wěn)過渡到下一代網(wǎng)絡。網(wǎng)絡出口路由器應具備以下功能和特性：在可靠性方面，路由器應支持電源、 處理系統(tǒng)的冗余備份。網(wǎng)絡出口配置 1 臺高端路由器，路由器實現(xiàn)外部網(wǎng)絡互聯(lián)，并提供 NAT 功能，配置 1 臺應用控制網(wǎng)關，實現(xiàn)對出口帶寬的靈活 調(diào)配，并 實現(xiàn)對用戶行為進行審計和監(jiān)管。 該系列交 換機還支持 sFlow 功能，可以對出入方向的報文按比例隨機抽樣，靈活實現(xiàn)報文采集。支持 CLI命令行，Web 網(wǎng)管， TELNET，HGMP 集群管理，使設備管理更方便，并且支持 等加密方式，使得管理更加安全。支持出、入兩個方向的端口鏡像，用于 對指定端口上的 報文進行監(jiān)控，將端口上的數(shù)據(jù)包復制到監(jiān)控端口，以進行網(wǎng)絡檢測和故障排除。提供靈活的 對列 調(diào)度算法，可以同 時基于端口和隊列進行設置，支持 SP（Strict Priority）、WRR（Weighted Round Robin）、SP+WRR 三種模式。這樣不但能夠隔離私網(wǎng)內(nèi)不同 VPN 的報文轉(zhuǎn)發(fā)路徑，而且通過與PE 間的配合，也能夠?qū)⒚總€ VPN 的路由正確發(fā)布至對端 PE，保證 VPN 報文在公網(wǎng)內(nèi)的傳輸。同時通過設置 Voice VLAN 安全特性，只允許語音流量通過，可以有效防止突發(fā)數(shù)據(jù)流量對 Voice VLAN 內(nèi)的語音流量的沖擊。 校園網(wǎng)絡設計方案 第 17 頁, 共 59 頁多業(yè)務支持能力支持 PoE（Power over Ether）技術，通過以太網(wǎng) 對所連接的設備（如 IP Phone, Wireless AP 等）進 行遠程供電，從而使得不必在使用現(xiàn)場為設備部署單獨的電源系統(tǒng)，能夠極大地減少部署終端設備的布線和管理成本。除了設備級可靠性以外，還支持豐富的鏈路可靠性以外，還支持豐富的鏈路可靠性技術，比如華三通信獨 創(chuàng)的 RRPP 快速環(huán)網(wǎng)保護機制。 7VM 海岸線網(wǎng)絡 安全資訊站多重可靠性保護S5500EI 系列交換機還具備設備級和鏈路級的多重可靠性保護。H3C S5500EI 系列交換機提供增強的 ACL 控制邏輯 ，支持超大容量的入端口和出端口 ACL，并且支持基于 VLAN 的 ACL 下發(fā)，在簡化用戶配置過程的同時，避免了 ACL 資源的浪 費。完備的安全控制策略H3C S5500EI 系列交換機支持 EAD（端點準入防御）功能，配合后臺系 統(tǒng)可以將終端防病毒、補丁修復等 終端安全措施與網(wǎng)絡接入控制、訪問權限控制等網(wǎng)絡安全措施整合為一個聯(lián)動的安全體系，通過對網(wǎng)絡接入終端的檢查、隔離、修復、管理和監(jiān)控，使整個網(wǎng)絡變被動防御為主動防御、 變單點防御為全面防御、 校園網(wǎng)絡設計方案 第 16 頁, 共 59 頁變分散管理為集中策略管理，提升了網(wǎng)絡對病毒、蠕蟲等新興安全威脅的整體防御能力。IPv4 到 IPv6 的演變是以太網(wǎng)發(fā)展的大勢所趨，網(wǎng) 絡設備對 于 IPv6 的支持不僅是簡單的可用就行，而是需要達到商用的標準， S5500EI 已經(jīng)通過了國際最權威的 IPv6 Ready 第二階 段認證，而且通過了信息產(chǎn)業(yè)部嚴格的 IPv6 入網(wǎng)測試?；谝陨弦?，我們建議匯聚交換機選用 H3C 的 S5500－EI ，S5500－EI 系列交換機具有以下特點：高擴展性保護投資隨著用戶端速度不斷提高，用戶最終會使集群千兆鏈路達到飽和，而能夠擁有多條集群 10GE 鏈路將是我們的未來發(fā)展方向。在業(yè)務特性方面，匯聚交換機支持豐富的 QoS 特性，可保障重要業(yè)務得到優(yōu)先轉(zhuǎn)發(fā)；支持 IPv6，可平穩(wěn)過 渡到下一代網(wǎng)絡。 匯聚層設計匯聚來自配線間的流量和執(zhí)行策略，當路由協(xié)議應用于這一層時，具有負載均衡、快速收斂和易于擴展等特點，這一層還可作為 接入設備的第一跳網(wǎng)關。S7502E 具有高轉(zhuǎn)發(fā)性能，整機具有 192Gbps 交換容量、143Mpps 轉(zhuǎn)發(fā)性能，同時，S7502E 采用全分布式 轉(zhuǎn)發(fā)，并采用最 長匹配、逐包轉(zhuǎn)發(fā)的處理機制，保證業(yè)務的高速率轉(zhuǎn)發(fā)?；谏鲜鲆蛩?，我們建議數(shù)據(jù)中心交換機采用 H3C S7502E 高端交換機。在安全性方面，數(shù)據(jù)中心交換機具有安全機制保障所承載業(yè)務的安全。在性能方面，數(shù)據(jù)中心交換機所有端口線速轉(zhuǎn)發(fā)，保障圖書館多種業(yè)務進行并發(fā)交換。 數(shù)據(jù)中心設計為實現(xiàn)對校園網(wǎng)服務器統(tǒng)一管理和控制，同時考慮到擴展性，服務器的接入獨立配置交換機實現(xiàn)，為保 證服務器接入的高可用性，配置 2 臺全千兆三層路由交換機，數(shù)據(jù)中心交換機通 過 VRRP 協(xié)議實現(xiàn)互為熱備 和負載分擔。H3C S7500E 提供控制補丁單元狀態(tài)切換的用戶命令，使用戶能夠方便的加載、激活、去激活、運行或刪除補丁單元。通過上述技術， H3C S7500E 可以在承載多業(yè)務的情況下不間斷運行，實現(xiàn)業(yè)務的永續(xù)。、 電信級的高可靠性，保障用戶業(yè)務長期穩(wěn)定運行?電信級高可靠性設計H3C S7500E 采用無單點故障設計，所有關鍵部件，如主控板、交 換網(wǎng)、電源和風扇等采用冗余設計；無源背板避免了機箱出現(xiàn)單點故障；所有單板和電源模塊支持熱插拔功能；H3C S7500E 系列可以在惡劣的 環(huán)境下長時間穩(wěn)定運行，達到 ％的電信級可靠性。H3C S7500E 既支持有線終端用戶的 EAD，也支持無線終端用戶的 EAD，能 夠做到終端安全防范無漏洞。、 全方位的安全保障，抵御多種網(wǎng)絡安全威脅?三平面安全保障機制H3C S7500E 提供完善的安全防護機制，可從控制、管理、轉(zhuǎn)發(fā)三平面全面保障網(wǎng)絡的安全：在控制平面，內(nèi)置協(xié)議報文攻擊識別模塊，防止 TCN、ARP 等協(xié)議報文攻擊，OSPF/BGP/ISIS 路由協(xié)議采用 MD5 驗證，防止非法路由更新報文導致的網(wǎng)絡癱瘓；在管理平面，SNMPv3 網(wǎng)管協(xié)議， SSH V2，基于、AAA/Radius 的用 戶身份認證以及分級的用 戶權限管理保證了設備管理的安全性；在轉(zhuǎn)發(fā)平面，支持 IP、VLAN 、MAC 和端口等多種組合精細綁定；支持 uRPF 單播反向路徑 轉(zhuǎn)發(fā) ，防止非法流量 訪問網(wǎng) 絡，采用最長匹配逐包轉(zhuǎn)發(fā)機制，有效抵御病毒的攻擊。?政府電力城域網(wǎng)邊緣和匯聚的最佳選擇H3C S7500E 支持 VRFLite 特性，為用戶提供高可靠高性能的 MCE 設備；通過配置 Salience VITurbo 引擎，可以提供集中式 MPLS 業(yè)務功能，適合在城域網(wǎng)邊緣作為高性價 PE 設備使用；通過配置 EA 類板卡，可以提供分布式線速的MPLS 業(yè)務功能，適合在城域網(wǎng)匯聚層作為高性能的 PE 使用。、 靈活的配置，適應各種應用場景?配線間融合業(yè)務網(wǎng)絡的最佳選擇H3C S7500E 針對配線間的需求定制開發(fā)了 SA 板卡，單臺設備可以提供480 個千兆線速接口和 4 個萬兆線速接口。H3C S7500E 是業(yè)界最高密度的以太網(wǎng)無源光網(wǎng) 絡（EPON）設備，單臺最大可接入 10240 個 FTTH 用戶；H3C S7500E 是高可靠的 EPON 系統(tǒng)，采用分布式體系結構、模塊化設計，主控板冗余熱備份、無源背板、冗余電源支持雙路供電，具有電信級可靠性。 ?線速的 IPv4/IPv6 業(yè)務能力H3C S7500E 支持 IPv4/IPv6 雙協(xié)議棧,支持多種 6to4 隧道技術，支持IPv4/IPv6 的組 播技術， 為 用戶提供完善的 IPv4/IPv6 解決方案；H3C S7500E 采用分布式體系架構，實現(xiàn) IPv4/IPv6 業(yè)務的線速無阻塞轉(zhuǎn)發(fā)；H3C S7500E 已經(jīng)通過了信息產(chǎn)業(yè)部的 IPv6 入網(wǎng)認證和 IPv6 Ready 第二 階段金色認證，是成熟商用的IPv6 產(chǎn) 品。S7510E 中配置的所有接口均可 實現(xiàn)線速轉(zhuǎn)發(fā)。S7510E 具有 10 個槽位，其中 8 個為業(yè)務模塊插槽，并支持豐富的接口模 塊，如萬兆、千兆、百兆等類型接口，可根據(jù)網(wǎng) 絡規(guī)模實現(xiàn) 在線擴展?；谏鲜鲆蛩兀覀兘ㄗh核心交換機采用 H3C S7510E 高端交換機。在業(yè)務特性方面，核心交換機支持豐富的 QoS 特性，可保障重要業(yè)務得到優(yōu)先轉(zhuǎn)發(fā)；支持 IPv6，可平穩(wěn)過 渡到下一代網(wǎng)絡；并且支持內(nèi)置防火墻、內(nèi)置無線控制器等多種業(yè)務功能插卡，可以進行靈活的部署， 實現(xiàn)業(yè)務的擴展和融合。在可靠性方面，核心交換機應達到 %的高可靠性，采用全模塊化設計，電源、風 扇、引擎、業(yè)務模塊等均可實現(xiàn)熱插拔，支持電源、引擎等關鍵部件的1+1 冗余 熱備 份，支持 VRRP、路由優(yōu)雅（GR）等高可靠性協(xié)議，實現(xiàn)核心層的業(yè)務不間斷轉(zhuǎn)發(fā)。核心層配置 2 臺高端交換機作為核心交換機，兩臺交換機之間通過萬兆鏈路進行互聯(lián)，形成雙機復用，在兩臺中心交換機之間 啟用 VRRP 協(xié)議，這樣在其 校園網(wǎng)絡設計方案 第 10 頁, 共 59 頁中一臺出現(xiàn)故障的時候，業(yè)務可以自動切換到另外一臺。 核心層設計XX 學院主校區(qū)設立整個校園網(wǎng)的核心層，同時，在新機場實訓基地設立分核心。為便于網(wǎng)絡的管理和維護，校園網(wǎng)還將建設 1 套網(wǎng)絡管理系統(tǒng)，實現(xiàn)對校園網(wǎng)絡平臺設備的統(tǒng)一管理，網(wǎng)絡管理應具有拓撲、故障、性能、配置和圖形化設備管理等功能，為了實現(xiàn)更 為方便的通過遠程方式對網(wǎng)絡的狀態(tài)進行監(jiān)控和維護，網(wǎng)絡 系統(tǒng)采用 B/S 架構。網(wǎng)絡接入層提供校園網(wǎng)用戶的接入，并實現(xiàn)網(wǎng)絡接入的安全防御，如 ARP攻擊防護，同時，結合用戶管理系統(tǒng)實現(xiàn)對接入用戶認證、 計費等管理。校園網(wǎng)設立數(shù)據(jù)中心，實現(xiàn)各業(yè)務系統(tǒng)服務器的集中部署，數(shù)據(jù)中心網(wǎng)絡平臺獨立建設，配置 2 臺模塊 化交換機設備， 為服務器提供高性能、高可靠、可擴展性的接入平臺，同時，通過核心交換機內(nèi)置高性能的防火墻模塊提供安全保護。 校園網(wǎng)絡總體結構校園網(wǎng)絡平臺將采用層次化通用結構設計，采用核心層、匯聚層和接入層三層架構，包括網(wǎng)絡骨干、數(shù)據(jù)中心、網(wǎng)絡出口、網(wǎng)絡接入、無線網(wǎng)絡等五大部分。在 XX 校園網(wǎng)中，接入層采用千兆及百兆到桌面的接入模式，對于數(shù)據(jù)傳輸量較大或重要區(qū)域采用千兆到桌面的方案，如綜合辦公、圖書館等，其它的 為百兆接入，同時，無線 AP 接入采用 POE 方式進行設備的供電。對于校園園區(qū)網(wǎng)的匯聚層設備，應該能夠承載校園園區(qū)的多種融合業(yè)務，能夠融合 IPv網(wǎng)絡安全、流量分析等多種業(yè)務，提供不間斷轉(zhuǎn)發(fā)、優(yōu)雅重啟、 環(huán)網(wǎng)保護等多種高可靠技術，能 夠承載校園園區(qū)融合業(yè)務的需求。目前，XX 學院在主校區(qū)共有 15 幢建筑物，新機 場實訓 基地共有 6 幢建筑物。對于校園網(wǎng)核心層設備，應該在提供大容量、高性能 L2/L3 交換服務基礎上，能夠進一步融合了硬件 IPv網(wǎng) 絡安全、網(wǎng)絡業(yè)務分析等智能特性，可為校園園區(qū)構建融合業(yè)務的基礎網(wǎng)絡平臺，進而幫助用戶實現(xiàn) IT 資源整合的需求。XX 學院主校區(qū)設立整個校園網(wǎng)的核心層，同時，在新機場實訓基地設立分核心。根據(jù)廣州 XX 職業(yè)技術學院的網(wǎng)絡分布情況，校園網(wǎng)共分成核心層、 匯聚層和接入層三層。 安全可靠性設計應充分考慮整個網(wǎng)絡的穩(wěn)定性，支持網(wǎng)絡節(jié)點的備份和線路保護，提供網(wǎng)絡安全防范措施。