【正文】 新的命令 ................................................... 73 、惡意用戶追查 ................................................... 73 防病毒攻擊 ..................................................... 73 EAD 全網(wǎng)安全聯(lián)動解決方案 ........................................ 74 網(wǎng)絡管理安全設計 ................................................ 76 組網(wǎng)安全性設計 .................................................. 79 出口運營商線路備份 .............................................. 80 6． 組網(wǎng)核心設備介紹 ............................................... 81 QUIDWAY174。 S6500 系列高端多業(yè)務交換機 ............................... 87 服務器群萬兆匯聚交換機 S5600 .................................... 92 QUIDWAY174。 S3026CPWR 智能型以太網(wǎng)供電交換機 ...................... 104 QUIDWAY174。報告顯示，截止到 2020 年 6 月 30 日，我國上網(wǎng)用戶總數(shù)為 8700 萬，比去年同期增長 %，上網(wǎng)計算機達到 3630 萬臺。 CN 下注冊的域名數(shù)、網(wǎng)站數(shù)分別達到 38 萬和 萬。 同時，隨著國家信息化工作的深入開展，提高教育系統(tǒng)信息化水平成為當前工作的重點。在信息化的建設過程中，它的作用體現(xiàn)在如下幾個方面： 校園網(wǎng)能促進教師和學生盡快提高應用信息技術的水平；信息技術學科的內(nèi)容是發(fā)展的，它是一門應用型學科，因此，為了讓學生學到實用的知識，必須給他們提 供一個實踐的環(huán)境，這個環(huán)境離不開校園網(wǎng)。 校園網(wǎng)是學校現(xiàn)代化管理的基礎，深入、全面的學校信息管理系統(tǒng)必須建立在校園網(wǎng)上。 教育即未來，作為國家最重要的戰(zhàn)略工程，如何應用信息技術改造我們傳統(tǒng)的教學和管理手段； 如何加深學生對于信息化和信息技術的理解與了解；如何造就同時具 XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 6 備傳統(tǒng)和信息雙重文化的一代新人，已成為教育界當前最為緊迫的任務之一。我們對此深信不疑，并將全身心地為之努力。 在實際的建設過程當中，應當充分考慮到學校內(nèi)部的校園網(wǎng)多業(yè)務以及特色業(yè)務等擴展性，如：校園網(wǎng)內(nèi)部的服務器的訪問，由于學生 的訪問的內(nèi)容多樣化決定，涉及到基礎網(wǎng)絡設施的建設和業(yè)務應用平臺建設兩個不同的層面。 XXXXX 大學 校園網(wǎng)絡建設從網(wǎng)絡流量模型上看和企業(yè)網(wǎng)的流量模型相似，用戶集中而網(wǎng)絡流量大，但實際應用上還存在許多和企業(yè)網(wǎng)不同的地方。多出口帶來了以下兩個需求： 1) 多權限 ISP 需求。譬如做到用 戶不認證前能自由訪問校園內(nèi)部分服務器，采用“ user163”登錄，可實現(xiàn) Inter 和校園網(wǎng)絡自由訪問，采用“ usercre”登錄，可訪問 CERNET 和校園網(wǎng)。 2) 多 ISP 分別計費的需求，對應不同的 ISP，計費策略不一致。 用戶管理的需求： XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 7 1) 使用方便，存在 WEB 認證需求。 2) 需要解決賬號和端口綁定問題。 3) 能夠?qū)崿F(xiàn)全網(wǎng)的安全管理，包括： IP、 MAC 的盜用問題、防止接入用戶的非法 DHCP Server、 Proxy 等用戶。 5) 對用戶帶寬進行控制的需求，要求設備能對用戶的帶寬進行控制，譬如限制為 64K 、 256K、 512K、 1M、 2M、 5M、 10M 等等級。為了更好的為學生提供全方面的教學資料，越來越的多學校在自己的內(nèi)部局域網(wǎng)上面為學生提供多種教學資料，如：多媒體教學課件、典型的考試資料等等提供給學生上網(wǎng)下載使用。 安全管理的需 求： 1) 校園用戶接受新鮮事務的能力非常強，因此校園也成為黑客最多的場所之一，如何保障校園網(wǎng)絡的安全成為建網(wǎng)時不得不考慮的問題，目前主要攻擊手段有 DOS， DDOS 等 2) 上網(wǎng)日志的需求，主要是配合公安機關保證社會的穩(wěn)定和校園的安全 組播業(yè)務的需求，特別是可控組播的需求將 隨著校園信息化的深入而體現(xiàn)出來 。 XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 8 整體 建網(wǎng)原則 早期的高校校園網(wǎng)主要是共用內(nèi)部教育系統(tǒng)主機資源，共享簡單數(shù)據(jù)庫，多以二層交換為主，很少有三層應用，存在 安全 、可管理性較差、無業(yè)務增值能力 等方面的問題。 基于對 XXXXX 大學 校園網(wǎng)業(yè)務需求的深入理解，結合自身產(chǎn)品和技術特點，華為公司推出了了完善的 XXXXX 大學 校園網(wǎng)解決方案，為 XXXXX 大學 提供“ 高擴展、 多業(yè)務、高安全 ”的精品網(wǎng)絡。 可增值性 XXXXX 大學 校園網(wǎng)絡的建設、使用和維護需要投入大量的人力、物力，因此網(wǎng)絡的增值性是網(wǎng)絡持續(xù)發(fā)展基礎。 可擴充性 考慮到 XXXXX 大學 用戶數(shù)量和業(yè)務種類發(fā)展的不確定性， 要求對于核心交換機與匯聚交換機具有強大的擴展功能， XXXXX 大學 校園網(wǎng)絡要建設成完整統(tǒng)一、組網(wǎng)靈活、易擴充的彈性網(wǎng)絡平臺，能夠隨著需求變化，充分留有擴充余地。 安全可靠性 設計應充分考慮整個網(wǎng)絡的穩(wěn)定性，支持網(wǎng)絡節(jié)點的備份和線路保護，提供網(wǎng)絡安全防范措施。組網(wǎng)圖如下所示 ： 如圖所示， XXXXX 大學 的校園網(wǎng)改造主要目的是將整個校園網(wǎng)的性能、帶寬進行全網(wǎng)的改造，包括學生宿舍區(qū)以及教學區(qū)的網(wǎng)絡改造， 網(wǎng)絡整體分為三個層次：核心層 、 匯聚層、接入層。 三個核心之間采用萬兆相連，進而形成堅實的“鐵三角”；匯聚層設在每個教學樓上，每個教學樓設置一個匯聚節(jié)點，匯聚層為高性能“小核心”型交換機，根據(jù)各個樓的配線間的數(shù)量不同，可以分別采用 1 臺或是 2 臺匯聚層交換機進行匯聚， 建議采用華為3Com S5600 作為樓層匯聚交換機；接入層就是每個樓的接入交換機，接入層交換機的選擇仍然非常中要，考慮到接入層交換機的對于終端用戶接入的控制起著非常重要的作用，因此建議采用安全性、控制性較高的設備，我們在此建議采用華為 3Com E050/E026 接入交換機作為樓層接入交換機， E050/E026 分別為 48/24 口交換機，用戶可以根據(jù)接入信息點的數(shù)量靈活選擇不同的產(chǎn)品，滿足實際信息點數(shù)量的需求。 核心層的重點應當中重點考慮如何提高核心的組網(wǎng)架構，因此在實際的應用的過程當中建議采用環(huán)形的方式，如上圖所示，鐵三角的模式進一步提高了核心網(wǎng)的安全性以及穩(wěn)定性。樓內(nèi)匯聚層設備不但分擔了核心設備的部分壓力，同時提高了網(wǎng)絡的安全性。 Quidway S5600 系列全千兆智能彈性交換機支持華為 3COM 創(chuàng)新的 IRF（ Intelligent Resilient Framework）技術，能夠?qū)崿F(xiàn)用戶網(wǎng)絡的高度彈性智能擴 XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 12 展。同時 S5600 支持萬兆上聯(lián)最大程度的提高了匯聚層與核心交換機之間的帶寬擴展需求。華為 3Com E050/E026 具有 48/24 個固定的 10/100M 自適應以太網(wǎng)接口， 2 個擴展插槽，背板容量 ，包轉(zhuǎn)發(fā)率 可以實現(xiàn)所有端口的線速轉(zhuǎn)發(fā)，支持各種類型的上行接口，支持堆疊 。 支持 認證，其高性價比的特性可滿足用戶對于強業(yè)務、高性價比的組網(wǎng)要求 用戶認證、計費管理： 出口處采用 華為 3Com 專業(yè)用戶認證計費設備 MA5200 作為全網(wǎng)出口計費設備，MA5200 具有強大的認證功能，可以實現(xiàn)按流量計費、支持多種計費策略，同時可以實現(xiàn)監(jiān)控全網(wǎng)的出口流量，同時其旁掛式的方式大大提高了網(wǎng)絡的安全性，避免了在出口產(chǎn)生流量瓶頸的問題， 本次組網(wǎng)采用 CAMS 綜合管理軟件實行全網(wǎng)的用戶認證 和計費管理。 網(wǎng)管平臺 ： 為提高網(wǎng)絡管理的效率，減輕網(wǎng)絡維護的壓力，本次組網(wǎng)采用 Quidview 網(wǎng)管系統(tǒng)進行全網(wǎng)設備的統(tǒng)一管理。 Quidview 網(wǎng)絡管理軟件基于靈活的組件化結構，包括網(wǎng)元管理平臺、廣域網(wǎng)管理系統(tǒng)、局域網(wǎng)管理系統(tǒng)、資源管理系統(tǒng)等，用戶可以根據(jù)自己的管理需要和網(wǎng)絡情況靈活選擇自己需要的組件，真正實現(xiàn)“按需建 XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 13 構” 。 考慮到 IP 地址的管理比較繁瑣，在實際的應用的過程當中建議可以與 CAMS 配合，實現(xiàn) IP 地址分配至用戶的方式進行 IP 地址的管理。華為 3 S5600 匯聚層交換機，交換容量 192/240G，包轉(zhuǎn)發(fā)率 66/102Mpps 可支持 2 個萬兆接口上行 ，用戶無需任何投資，可以直接購買 10GE 模塊 ，可直接插到匯聚層 S5600 交換機上就可以實現(xiàn)萬兆帶寬的升級，原上聯(lián) GE 接口可以作為下聯(lián)接口用。 XXXXX大學 解決方案特點： 華為 XXXXX 大學 教育網(wǎng)組網(wǎng)解決方案的優(yōu)點有以下幾點： 完全的分布式的處理方式 S8500 為用戶提供完全的分布式的處理方式， XXXXX 大學 的校園網(wǎng)內(nèi)部的數(shù)據(jù)量是非常大的，因此主交換機是否能夠做到線速關系到整個網(wǎng)絡的是否會發(fā)生擁塞。而用戶又由于測試儀器的 限制無法確認實際配置的性能，這一點在 華為公司是絕對不會出現(xiàn)的。因為 S8500 的路由查找模式為最長匹配。但是 S8500 是根據(jù)最長匹配來查找路由的，是針對網(wǎng)斷進行路由的。這是我們 選則 S8500 的作為核心交換的非常重要的原因。 核心交換機先進的體系架構設計 網(wǎng)絡的背板技術經(jīng)歷了共享式、緩存式等發(fā)展， Crossbar 技術被公認為最為完美的一種設計方式，華為 3Com公司 S8505交換機采用背板采用分布式 Crossbar的技術，整機的轉(zhuǎn)發(fā)不存在任何的瓶頸問題，同時， S8505 可實現(xiàn)背板容量的平滑升級，除背板采用 Crossbar 的方式，在接口板上，華為 3Com 公司 S8505 萬兆核心交換機采用分布式 Crossbar 的技術，即在每個業(yè)務單板上面也同樣采用 Crossbar 的技術，端口與端口之間的轉(zhuǎn)發(fā)均有可直達的端到端轉(zhuǎn)發(fā)通道，使得端口之間的轉(zhuǎn)發(fā)不存在在任何瓶頸，大大提高了核心交換機的整機轉(zhuǎn)發(fā)性能。 華為 3 所采用產(chǎn)品 S8500、 S5600 等三層轉(zhuǎn)發(fā)模式均為最長路由匹配技術。 S8500是根據(jù)最長匹配來查找路由的，是針對網(wǎng)斷進行路由的。這是我們選則 S8500 的作為核心交換的非常重要的原因。并且用戶不需要花一半的投資專門用在備份設備上面， IRF 中 所有的設備都實際參與業(yè)務運行。 DRR 實現(xiàn)了路由協(xié)議熱備份的技術，做到了同一個 fabric 中各個 unit 上路由信息的嚴格同步，并且在其中一個或多個 unit 出現(xiàn)故障的時候，其它 unit 可以照常運行并迅速接管故障 unit 的功能，此時，域內(nèi)路由協(xié)議不會隨之出現(xiàn)中斷，二 /三層轉(zhuǎn)發(fā)流量和業(yè)務也不會出現(xiàn)中斷， 從而實現(xiàn)了真正意義上的不中斷路由協(xié)議、不中斷業(yè)務的故障保護和設備切換功能。由于聚合成員可以位于系統(tǒng)的不同設備上，這樣即使某些成員所在的設備整個 XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 18 出現(xiàn)故障，也不會導致聚合鏈路完全失效，其它正常工作的 unit 會繼續(xù)管理和維護剩下的聚合端口的狀態(tài)。 分布式鏈路聚合（ DLA） DLA 技 術允許 IRF 網(wǎng)絡核心外的其他交換機等設備以多宿主的方式接入 IRF 網(wǎng)絡核心，極大提高了全網(wǎng)的可用性。 高性能 由于 IRF 設備是由多個支持 IRF 特性的單機設備堆疊而成的， IRF 設備的交換容量和端口數(shù)量就是 IRF 內(nèi)部所有單機設備交換容量和端口數(shù)量的總和。 IRF 數(shù)據(jù)報文 數(shù)據(jù)報文 鏈路故障 IRF XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 19 擴展性 IRF 技術最大支持八臺設備的