【正文】 公司的網(wǎng)絡(luò)安全設(shè)備。 存儲產(chǎn)品（IP存儲亞太市場第一）：H3C作為IP存儲的領(lǐng)導者，為用戶提供了標準化、高性能、跨地域的全方位解決方案，目前H3C的IP存儲產(chǎn)品服務于XXX理工大學信息中心、XXX市圖書館存儲系統(tǒng)、XXX省圖書館存儲系統(tǒng)、XXX理工大學津橋?qū)W院存儲系統(tǒng)、XXX省警官學院圖書館存儲系統(tǒng)、曲靖師范學院存儲系統(tǒng)、XXX財經(jīng)商貿(mào)學院存儲系統(tǒng)、楚雄師范學院存儲系統(tǒng)、曲靖民族中學存儲系統(tǒng)、BBB大學附中存儲系統(tǒng)、XXX煙草機械學校存儲系統(tǒng)等多種應用環(huán)境中都實現(xiàn)了穩(wěn)定的運行。 多媒體產(chǎn)品（監(jiān)控成為平安城市第一品牌）：H3C在2006年進入監(jiān)控產(chǎn)品領(lǐng)域，2007年就成為了平安城市工程第一品牌。圖書館建有面向全國提供服務的國內(nèi)高校最大的鏡像服務基地，擁有各種服務器100多臺。并支持IRF2（第二代智能彈性架構(gòu)）技術(shù)，將多臺高端設(shè)備虛擬化為一臺邏輯設(shè)備，在可靠性、分布性和易管理性方面具有強大的優(yōu)勢，消除了單點故障，實現(xiàn)多條上行鏈路的負載分擔和互為備份，及簡化網(wǎng)絡(luò)拓撲管理。 在無線建設(shè)方面采用大容量高性能WX5004無線控制器，單控制器處理能力達到8Gbps，可管理AP數(shù)量達到256個，實現(xiàn)了有線無線的一體化。改造完成后的圖書館網(wǎng)絡(luò)支持 IPv6 和萬兆介入，到桌面為千兆端口，無線網(wǎng)覆蓋全館，圖書館數(shù)字資源集成管理系統(tǒng)實現(xiàn)了對館內(nèi)各類資源快捷方便的 “ 一站式 ” 檢索，電子資源遠程訪問系統(tǒng)使讀者在任何時間、任何地點均可方便地訪問電子資源?，F(xiàn)有教職工5000余人，學生30000 余人，教學用校區(qū)兩個，即老校區(qū)和新校區(qū)。新校區(qū)位于西安市長安區(qū)郭杜鎮(zhèn)，占地 3000 畝。由防火墻插卡實現(xiàn)嵌入網(wǎng)絡(luò)的安全功能、實現(xiàn)各個內(nèi)網(wǎng)安全區(qū)域間隔離，即擁有了準萬兆的防火墻性能，后續(xù)的擴展應用安全策略到新增的業(yè)務區(qū)域又無需添置單獨的安全設(shè)備。其目標是建設(shè)一個初步穩(wěn)定安全可靠的網(wǎng)絡(luò)，實現(xiàn)新老校區(qū)高速互聯(lián)互通，整個系統(tǒng)全部支持IPv6，易于擴充、便于管理、方便用戶接入，符合網(wǎng)絡(luò)技術(shù)的發(fā)展趨勢。在網(wǎng)絡(luò)建設(shè)方面，中南大學是湖南省高校 CERNET 網(wǎng)的唯一出口，同時該校擁有電信、網(wǎng)通互聯(lián)網(wǎng)出口達10 個之多。同時，ACG8800通過和認證服務器CAMS 進行聯(lián)動，解決了原動態(tài)IP地址無法滿足學?！耙蟊O(jiān)管必須落實到具體用戶”的需求，實現(xiàn)了基于用戶名的應用流量監(jiān)管，為“定位到用戶”提供了堅實的技術(shù)支撐。. 香港大學11n無線網(wǎng)案例分析：香港大學歷史悠久，校園信息化建設(shè)也一直是處于業(yè)界領(lǐng)先水平。因此，打造統(tǒng)一管理、全校無縫漫游、高速的無線校園網(wǎng)。通過iMC智能管理中心搭建的統(tǒng)一網(wǎng)絡(luò)管理平臺，整個無線網(wǎng)絡(luò)與有線網(wǎng)絡(luò)融為一體，方便了用戶對整個網(wǎng)絡(luò)的配置管理，同時升級后的無線校園網(wǎng)還可方便地與其他應用集成，為各種業(yè)務的開展打下了良好基礎(chǔ)，還可支持IPv4/IPv6雙協(xié)議棧，有效降低了無線校園網(wǎng)的總體擁有成本（TCO）。通過采用H3C提供的有線無線一體化校園網(wǎng)絡(luò)解決方案，香港大學實現(xiàn)了校園整網(wǎng)全面升級，構(gòu)建出統(tǒng)一管理、并與有線網(wǎng)絡(luò)互為一體，為全校師生提供了更為便捷的網(wǎng)絡(luò)服務。2. 系統(tǒng)概述BBB大學是我省唯一一所“211”工程大學，是我省高等教育的領(lǐng)頭羊、排頭兵。為了保障YYY新校區(qū)能夠如期滿足YYY校區(qū)搬遷老生遷入、新生接待、實現(xiàn)正常辦公和教學，需要在學校整體搬遷之前實現(xiàn)YYY新校區(qū)的網(wǎng)絡(luò)覆蓋，新老校區(qū)網(wǎng)絡(luò)的連通，及老校區(qū)網(wǎng)絡(luò)的升級改造工作。按照規(guī)劃目標，BBB大學YYY校區(qū)建成后，將成為強調(diào)歷史文化厚重感和傳承感的“人文校園”，體現(xiàn)充分利用自然地形、因地制宜規(guī)劃建設(shè)的“山水校園”以及適應現(xiàn)代化需要的信息化、網(wǎng)絡(luò)化、功能化的“數(shù)字化校園”。H3C的ITOIP解決方案，以IP技術(shù)為標準技術(shù)，利用SOA開放架構(gòu)實現(xiàn)對整體IT平臺的統(tǒng)一集成支撐。應該說，在“十一五”高校信息化發(fā)展戰(zhàn)略中，信息技術(shù)將成為校園的一項核心生產(chǎn)力，成為校園教學科研各項核心業(yè)務的最有力的支撐點。本次網(wǎng)絡(luò)規(guī)劃對可靠性、穩(wěn)定性及安全性都提出了更高的要求，網(wǎng)絡(luò)設(shè)計要充分考慮先進性、成熟性、可靠性、安全性、擴展性；可控、可管、可運營。因此對于校本部的出口部分，需要增加高性能出口路由器和萬兆防火墻，滿足高性能的NAT轉(zhuǎn)換、多出口的策略選錄、多出口互為備份、智能DNS解析的要求。因此，在設(shè)計網(wǎng)絡(luò)時要充分考慮高帶寬、高安全性和服務質(zhì)量（QOS）保證。 ，作為有線網(wǎng)絡(luò)的有效補充。. 系統(tǒng)設(shè)計原則及總體思路. 設(shè)計原則按照數(shù)字化校園建設(shè)理念，BBB大學將建設(shè)統(tǒng)一的校園數(shù)據(jù)中心（物理地點位于信息專業(yè)教學樓校園網(wǎng)絡(luò)管理中心內(nèi)），實現(xiàn)全部業(yè)務系統(tǒng)（財務系統(tǒng)外）統(tǒng)一的、基于IP方式的數(shù)據(jù)存儲。為大容量的教學資源庫、課件資源庫、WEB、EMAIL、FTP、BBS、視頻服務器、數(shù)據(jù)庫服務器、各種流媒體和各種應用平臺提供有力的支持。1. 統(tǒng)一性原則。2. 先進性原則?？傮w規(guī)劃要把滿足未來幾年實際應用需求、逐步實現(xiàn)數(shù)字校園作為第一要素進行考慮。根據(jù)發(fā)展的要求，信息化規(guī)劃必須具有一定的擴展能力，留有升級的余地，對此將采用結(jié)構(gòu)化、開放的、易于擴展的體系結(jié)構(gòu)，保證可擴充性，適應持續(xù)發(fā)展需要。信息化系統(tǒng)對采用的技術(shù)、產(chǎn)品等要求其具有很高的可靠性。對于一個大型的計算機網(wǎng)絡(luò)系統(tǒng)，安全性對于保證系統(tǒng)長期不間斷的穩(wěn)定運行尤其重要。規(guī)劃首先應在減少重復建設(shè)、避免資源浪費的前提下進行；在滿足應用需求的目標下，盡量選用性能價格比優(yōu)的設(shè)備。在數(shù)字化校園中，已有的非數(shù)字化資源需要數(shù)字化，新的資源經(jīng)過數(shù)字化加入數(shù)據(jù)平臺中，因此需要建立起長期的數(shù)字資源集成的體制和機制。各部門在建設(shè)信息管理系統(tǒng)時，只有遵循統(tǒng)一的信息標準，才能使不同部門建設(shè)的應用系統(tǒng)之間數(shù)據(jù)相互流通共享。并應緊密結(jié)合BBB大學教學特色，將教學、實踐和應用有機整合。2. 數(shù)字化校園以網(wǎng)絡(luò)和環(huán)境建設(shè)作為基礎(chǔ)。3. 數(shù)字化校園以教學和實訓應用為目標。4. 數(shù)字化校園以信息資源建設(shè)作為核心。5. 數(shù)字化校園以管理體制作為保證，建設(shè)并不斷完善信息化管理的各種規(guī)章制度及人才培養(yǎng)。而YYY校區(qū)新校區(qū)項目，是一個網(wǎng)絡(luò)規(guī)模大，其應用和復雜度也很高的園區(qū)網(wǎng)絡(luò)項目。分離學生上網(wǎng)、院系辦公、教學管理、外部科研院所業(yè)務，分布在不同大樓里的辦公室需要能夠共享資源，同時對Internet出口、郵件、公告等共享服務進行集中控制管理。傳統(tǒng)業(yè)務與承載關(guān)系圖l 網(wǎng)絡(luò)的安全復用問題，校園各個院系，各個業(yè)務之間有隔離需求，需要對物理網(wǎng)絡(luò)進行安全的復用。l 資源共享問題，大型的數(shù)字園區(qū)建設(shè)要求數(shù)據(jù)大集中，以數(shù)據(jù)中心方式對各個院系、師生、公眾提高服務，需要解決資源的共享問題。因此對于YYY新校區(qū)本方案將采用虛擬化設(shè)計，在同一張物理承載網(wǎng)上，邏輯劃分不同業(yè)務系統(tǒng)，界定其隔離與共享的關(guān)系；建立統(tǒng)一的的數(shù)據(jù)中心，實現(xiàn)業(yè)務的數(shù)據(jù)整合管理；利用網(wǎng)絡(luò)平臺對多業(yè)務的區(qū)分，實現(xiàn)不同業(yè)務端到端的、不同優(yōu)先等級的處理。因此虛擬化解決方案可以有效的解決網(wǎng)絡(luò)資源的安全復用，解決校園中各個院系、師生的安全隔離。未通過認證的用戶，被禁止接入網(wǎng)絡(luò)資源；通過認證而未通過安全健康檢查的用戶，被限制只能訪問“隔離區(qū)”資源，在這里升級病毒庫、打補丁、卸載非法軟件等。訪問權(quán)限動態(tài)下發(fā)其中VPN表示校園業(yè)務，將用戶屬于某個組，對這個組進行VPN訪問的授權(quán)，也就是將特定的資源授權(quán)給特定的用戶。2) 業(yè)務邏輯隔離：確保用戶群組獲得正確的資源和網(wǎng)絡(luò)流量的安全隔離；對校園網(wǎng)內(nèi)共用一個物理網(wǎng)絡(luò)傳輸各種應用數(shù)據(jù)的橫向邏輯隔離需求，業(yè)界提供了三個非常適合于典型園區(qū)網(wǎng)絡(luò)設(shè)計的解決方案：VLANVLAN是一種二層邏輯用戶分組技術(shù)，已廣泛應用并為各廠商設(shè)備所支持，這種方案配置靈活、簡單、易用性好。VRFVRFVRFVRF方案利用了設(shè)備的虛擬路由轉(zhuǎn)發(fā)功能，來進行園區(qū)內(nèi)部用戶的邏輯分組。但這種方案在增加用戶或業(yè)務時需要手工調(diào)整配置、用戶和終端的可移動性差，適用于業(yè)務、網(wǎng)絡(luò)都相對非常固定的中小型網(wǎng)絡(luò)。MPLS L3VPN原是廣泛應用于服務提供商VPN解決方案中基于PE的技術(shù)，它使用BGP在服務提供商骨干網(wǎng)上發(fā)布VPN路由，使用MPLS在服務提供商骨干網(wǎng)上轉(zhuǎn)發(fā)VPN報文。在BBB大學YYY新區(qū)園區(qū)中，我們使用交換機搭建這樣一個MPLS VPN網(wǎng)絡(luò)，承載所有業(yè)務的傳輸數(shù)據(jù)，并進行安全隔離。3) 統(tǒng)一應用：能夠為各群組提供正確的服務，并進行集中的管理和策略控制。在校園虛擬化解決方案中，我們?yōu)橛脩籼峁┘械臄?shù)據(jù)中心服務、統(tǒng)一的Internet/廣域網(wǎng)出口、統(tǒng)一的網(wǎng)絡(luò)監(jiān)控/管理軟件，提高資源的利用率、降低管理復雜度：校園內(nèi)所有用戶共享統(tǒng)一的Internet/廣域網(wǎng)接口，通過虛擬防火墻、NAT多實例等部署方案，為不同群組的用戶和業(yè)務提供靈活的安全策略服務；集中的數(shù)據(jù)中心，通過計算虛擬化、存儲虛擬化、虛擬安全等技術(shù)，屏蔽底層硬件服務器、存儲設(shè)備間的差異，根據(jù)業(yè)務使用分配資源；統(tǒng)一的網(wǎng)絡(luò)管理、監(jiān)控軟件，通過專門的管理VPN，實現(xiàn)對整網(wǎng)資源的配置管理和對各種業(yè)務流量的監(jiān)控、規(guī)劃。3. 校本部網(wǎng)絡(luò)改造詳細設(shè)計. 本部校園網(wǎng)網(wǎng)絡(luò)改造設(shè)計校本部目前共有科學館30文淵樓71北院計算中心3間核心機房，核心機房之間均有光纜直接連接，可劃分為科學館片區(qū)網(wǎng)絡(luò)、文淵樓片區(qū)網(wǎng)絡(luò)和北院片區(qū)網(wǎng)絡(luò)。防止未經(jīng)認證的用戶登錄網(wǎng)絡(luò)；支持Secure Shell V2（SSH V2）特性可以提供安全的信息保障和強大的認證功能，以保護以太網(wǎng)交換機不受諸如IP地址欺詐、明文密碼截取等等攻擊。S550028FEI同樣無需升級即可實現(xiàn)基于硬件的IPv4和IPv6的全線速轉(zhuǎn)發(fā)，支持DHCP Snooping，防止欺騙的DHCP服務器。因此本次出口改造的目標如下：校園網(wǎng)邊界路由器，改善和提高出口性能，滿足到CERNET（帶寬將升至1Ｇ）和公眾網(wǎng)（目前有中國電信100M）多廣域出口的路由策略要求。增加一臺高性能防火墻，從而提高出口的安全性、可靠性和出口帶寬。增加出口流量控制和上網(wǎng)行為（內(nèi)容）審計系統(tǒng)，實現(xiàn)實時高速的對網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)流進行采集、分析、審計、備份和還原，并進行實時阻斷、報警和安全聯(lián)動，防止內(nèi)部網(wǎng)絡(luò)敏感信息的泄漏以及非法信息的傳播。出口部署一臺SecPath F5000A萬兆防火墻，吞吐量不低于40G，可通過包過濾和狀態(tài)檢測技術(shù)實現(xiàn)安全區(qū)域的劃分和邊界的隔離，根據(jù)安全策略控制出入網(wǎng)絡(luò)的信息流，針對各部門業(yè)務采用虛擬防火墻技術(shù)進行智能區(qū)域隔離、劃分虛擬專網(wǎng)等。SecPath F5000A萬兆防火墻采用多核處理器，保證并行業(yè)務同時高速處理；采用分布式并行處理機制，數(shù)據(jù)快速轉(zhuǎn)發(fā)不經(jīng)過主控板，可成倍提升整機性能，確保前期低成本投入，后期順利擴容；具備400萬并發(fā)的高性能NAT特性。出口在線部署一臺H3C ACG8800高性能應用控制網(wǎng)關(guān)，對網(wǎng)絡(luò)的應用進行深度的識別分析，并對這些應用加以疏導和控制，同時配合統(tǒng)一的管理中心對網(wǎng)絡(luò)違法行為進行記錄審查。為了和現(xiàn)有網(wǎng)絡(luò)能夠無縫連接ACG8800可同時提供千兆光接口和千兆電接口。改造后的校本部出口拓撲如下：請根據(jù)學校實際情況畫出拓撲圖4. YYY校區(qū)信息網(wǎng)絡(luò)設(shè)計. 校園信息網(wǎng)絡(luò)總體設(shè)計. 技術(shù)需求校園信息網(wǎng)作為公用信息傳輸平臺，應滿足NGN綜合業(yè)務要求，滿足國家下一代互聯(lián)網(wǎng)（CNGI）對網(wǎng)絡(luò)提出的要求，全網(wǎng)設(shè)備支持IPv6/v4雙棧協(xié)議。l 無線接入需求在圖書館、體育館、會議室等公共區(qū)域場所實現(xiàn)有線、無線同時覆蓋。l 統(tǒng)一網(wǎng)絡(luò)管理平臺為了保障網(wǎng)絡(luò)安全、穩(wěn)定運行，簡化管理，必須對所有網(wǎng)絡(luò)設(shè)備的狀態(tài)、性能、配置、密碼、故障、安全事件、資產(chǎn)進行統(tǒng)一管理、監(jiān)控，使網(wǎng)絡(luò)管理者能及時、清楚的了解整個網(wǎng)絡(luò)的運行狀況。設(shè)計要求l 網(wǎng)絡(luò)整體構(gòu)架整個網(wǎng)絡(luò)采用雙核心、匯聚（核心和匯聚層設(shè)備物理位置集中在核心機房）、接入三層構(gòu)架方式，每個匯聚點以萬兆雙鏈路上聯(lián)至核心節(jié)點，公共區(qū)域雙鏈路千兆上聯(lián)至兩核心機房匯聚交換機，學生宿舍每棟樓單鏈路千兆上聯(lián)至就近學生宿舍區(qū)匯聚交換機，提供辦公區(qū)域千兆或百兆、學生區(qū)域百兆接入；信息學院、軟件學院、圖書館實現(xiàn)雙萬兆連接至匯聚。根據(jù)新老校區(qū)互聯(lián)光纖（由XXX市廣電網(wǎng)絡(luò)有限公司提供）的情況選擇千兆或萬兆鏈路連接。l 整網(wǎng)路由規(guī)劃校園網(wǎng)全網(wǎng)采用OSPF路由協(xié)議，教育網(wǎng)出口由校本部出口，電信出口由YYY校區(qū)自己的電信線路出口，其它運營商出口集中在校本部出口。出口安全可達到線速萬兆，支持校園網(wǎng)對帶寬的高速需求。l 內(nèi)網(wǎng)控制和行為審計為保護校園骨干網(wǎng)絡(luò)，在每個分支的匯聚節(jié)點（包括大匯聚區(qū)域和服務器的匯聚區(qū)域）部署安全管理設(shè)備統(tǒng)一管理從不同匯聚節(jié)點收集的安全事件，并能夠自動輸出審計報告，全面掌握全網(wǎng)的安全狀況。l 無線網(wǎng)絡(luò)要實現(xiàn)對無線上網(wǎng)可管可控。l 其它專網(wǎng)如果其它專網(wǎng)（部分或全部）要在校園信息網(wǎng)絡(luò)上運行，則考慮在校園網(wǎng)上提供VPN的方式來實現(xiàn)，校園網(wǎng)提供安全通道，但各應用系統(tǒng)必須考慮自身的安全措施。網(wǎng)絡(luò)管理平臺除了管理傳統(tǒng)的路由器、交換機外，還可以對網(wǎng)絡(luò)中的無線、安全、語音、存儲、服務器、打印機、UPS等設(shè)備進行管理，實現(xiàn)設(shè)備資源的集中化管理；可以快速、準確地發(fā)現(xiàn)網(wǎng)絡(luò)資源，包括路由方式、ARP方式、IPSec VPN方式、網(wǎng)段方式等；支持設(shè)備面板管理，所見即所得的顯示設(shè)備的資產(chǎn)組成和運行狀態(tài)。業(yè)務流平面為多業(yè)務支撐的承載基礎(chǔ)。l 對于基礎(chǔ)平臺，經(jīng)過優(yōu)化處理，將對業(yè)務的靈活性、可控性、性能、可靠性起到提升的作用。通過對基礎(chǔ)平臺實施WLAN功能拓展，提供更豐富的接入手段與移動業(yè)務。l 而數(shù)據(jù)中心作為多業(yè)務部署的心臟，通過災備的設(shè)計，規(guī)劃其可靠性、可管理性與可擴展性，實現(xiàn)面向業(yè)務的集中存儲、數(shù)據(jù)保護和多系統(tǒng)虛擬化，保障多業(yè)務系統(tǒng)與用戶之間的交互。面向外網(wǎng)出口層、園區(qū)匯聚層、園區(qū)核心層、數(shù)據(jù)中心、用戶行為控制五個層面安全規(guī)劃設(shè)計。管控層面針對業(yè)務流各個環(huán)節(jié)的相應環(huán)節(jié)，包括設(shè)備資源、用戶資源、業(yè)務流量、業(yè)務隔離、安全信息進行整合管理，有效調(diào)整業(yè)務流的可用性和平滑性。. 高可用園區(qū)規(guī)劃BBB大學YYY新校區(qū)園區(qū)網(wǎng)絡(luò)作為實際業(yè)務的接入和承載體，必須具有高可用性。網(wǎng)絡(luò)建設(shè)高可用性設(shè)計，需要全方位多角度的對網(wǎng)絡(luò)可靠性給予充分保障。. IPv6園區(qū)規(guī)劃作