【正文】 下線探測(cè)功能支持支持消息下發(fā)不支持支持對(duì)AAA服務(wù)器的特別要求無(wú)無(wú)分布式認(rèn)證支持支持網(wǎng)絡(luò)性能影響低低Radius服務(wù)器的性能影響無(wú)無(wú)標(biāo)準(zhǔn)化程度低高IP地址浪費(fèi)無(wú)無(wú). 有線無(wú)線混合組網(wǎng)下的認(rèn)證方案對(duì)有線用戶和無(wú)線用戶進(jìn)行分別認(rèn)證，有線用戶在以太網(wǎng)交換機(jī)上實(shí)現(xiàn)認(rèn)證，無(wú)線用戶在無(wú)線交換機(jī)設(shè)備上實(shí)現(xiàn)認(rèn)證。設(shè)備要求：實(shí)現(xiàn)認(rèn)證的以太網(wǎng)交換機(jī)和無(wú)線交換機(jī)必須支持標(biāo)準(zhǔn)Radius協(xié)議，能夠和CAMS配合實(shí)現(xiàn)認(rèn)證計(jì)費(fèi)功能。則必須使用對(duì)應(yīng)的某設(shè)備。 用戶綁定功能CAMS支持綁定用戶名和設(shè)備IP地址、入端口號(hào)、VLAN ID、用戶MAC地址、用戶IP地址等信息，保證用戶綁定合法性。216。用戶上網(wǎng)的區(qū)域可被限制在一定范圍內(nèi)，增強(qiáng)了網(wǎng)絡(luò)的安全性。 防代理功能針對(duì)醫(yī)院用戶，CAMS提供防代理功能，禁止用戶使用代理上網(wǎng)，并支持限制用戶使用的客戶端，要求用戶必須使用專用安全客戶端，并強(qiáng)制自動(dòng)升級(jí)，確保認(rèn)證客戶端的安全性。華為AP暫不支持防代理功能。 用戶黑名單管理CAMS認(rèn)證系統(tǒng)支持黑名單管理，支持手工加入黑名單、自動(dòng)將欠費(fèi)用戶加入黑名單、自動(dòng)將惡意登錄用戶加入黑名單、自動(dòng)將充值失敗超過(guò)閾值用戶加入黑名單并提供黑名單增強(qiáng)功能：在被試探帳號(hào)加入黑名單的同時(shí)記錄惡意試探機(jī)器的MAC地址，限制從該MAC地址的機(jī)器試探該帳號(hào)，但被試探帳號(hào)可以在其它MAC地址的機(jī)器上正常使用，保證登錄用戶的合法性。 用戶上網(wǎng)全程監(jiān)控CAMS認(rèn)證計(jì)費(fèi)系統(tǒng)能對(duì)醫(yī)生上網(wǎng)的全過(guò)程進(jìn)行管理，實(shí)現(xiàn)醫(yī)生上網(wǎng)的實(shí)時(shí)監(jiān)測(cè)。. 管方案鑒于某公司已經(jīng)具有大量的設(shè)備應(yīng)用于醫(yī)療衛(wèi)生網(wǎng)，在網(wǎng)管方面建議采用某的IMC智能管理中心產(chǎn)品，IMC智能管理中心在設(shè)備網(wǎng)管的定位上又增加了綜合網(wǎng)管的功能及周邊的增值功能，如網(wǎng)上產(chǎn)品版本管理及批理升級(jí)的功能；目前IMC智能管理中心產(chǎn)品可與其他設(shè)備廠商的網(wǎng)管共同集成于第三方網(wǎng)管平臺(tái)，為用戶提供了靈活的組件化結(jié)構(gòu)，包括網(wǎng)絡(luò)管理框架（NMF）、網(wǎng)絡(luò)配置中心（NCC）、設(shè)備管理(DM)等組件，用戶可以根據(jù)自己的管理需要和網(wǎng)絡(luò)情況靈活選擇自己需要的組件?？梢暂p松實(shí)現(xiàn)路由器、以太網(wǎng)交換機(jī)等設(shè)備管理、維護(hù)功能。IMC智能管理平臺(tái)是整個(gè)IMC智能管理系統(tǒng)的基礎(chǔ)管理平臺(tái)，IMC的各個(gè)業(yè)務(wù)組件都必須安裝在這個(gè)公用的平臺(tái)上才能使用。. 基礎(chǔ)網(wǎng)絡(luò)資源管理基礎(chǔ)網(wǎng)絡(luò)資源管理包含對(duì)各廠家網(wǎng)絡(luò)設(shè)備的分類和識(shí)別；能夠通過(guò)自動(dòng)發(fā)現(xiàn)和手工添加方式增加網(wǎng)絡(luò)設(shè)備資源；提供對(duì)網(wǎng)絡(luò)設(shè)備資源的查找、修改、刪除和批量導(dǎo)入和導(dǎo)出功能；支持對(duì)設(shè)備訪問(wèn)參數(shù)的批量配置和校驗(yàn)；支持對(duì)設(shè)備狀態(tài)和詳細(xì)信息的查看，設(shè)備的詳細(xì)信息不僅包含了設(shè)備的基本信息、接口信息、性能數(shù)據(jù)和告警信息，同時(shí)還可以在增加其他組件的情況下顯示擴(kuò)展后的業(yè)務(wù)信息；支持對(duì)設(shè)備的管理/去管理，接口的管理/去管理，接口信息的顯示和接口的UP/DOWN配置；支持設(shè)備面板管理；支持設(shè)備分組功能，通過(guò)對(duì)設(shè)備資源進(jìn)行分組管理，系統(tǒng)管理員方便的分配其他管理員的管理權(quán)限，便于職責(zé)分離；支持設(shè)備視圖管理，不同管理員可以根據(jù)自己的需要定義個(gè)性化的設(shè)備視圖，從而使管理員能夠關(guān)注于關(guān)鍵的網(wǎng)絡(luò)和設(shè)備，使網(wǎng)絡(luò)管理更加清晰。拓?fù)涓用烙^清晰，能夠?qū)崟r(shí)實(shí)時(shí)顯示當(dāng)前視圖的拓?fù)錉顟B(tài)。同時(shí)，在安裝了其他組件的情況下，拓?fù)鋾?huì)增加相應(yīng)的業(yè)務(wù)拓?fù)浜筒僮麈溄?，以滿足不同業(yè)務(wù)的需求。. 故障與告警管理告警管理：對(duì)網(wǎng)管系統(tǒng)的告警進(jìn)行統(tǒng)一管理。通過(guò)歷史監(jiān)控報(bào)表和TopN報(bào)表管理員可以快速得到網(wǎng)絡(luò)中需要關(guān)注的設(shè)備的詳細(xì)信息，通過(guò)報(bào)表的導(dǎo)出和打印功能，管理員能夠迅速將網(wǎng)絡(luò)狀況匯總數(shù)據(jù)上報(bào)給各級(jí)領(lǐng)導(dǎo)，為網(wǎng)絡(luò)的決策提供有利的支撐。操作日志管理可以對(duì)大量的操作日志進(jìn)行多種條件的過(guò)濾顯示，并可以實(shí)現(xiàn)日志的自動(dòng)刪除；4. 網(wǎng)絡(luò)業(yè)務(wù)設(shè)計(jì). IP地址規(guī)劃IP地址的合理規(guī)劃是網(wǎng)絡(luò)設(shè)計(jì)中的重要一環(huán)，大型計(jì)算機(jī)網(wǎng)絡(luò)必須對(duì)ＩＰ地址進(jìn)行統(tǒng)一規(guī)劃并得到實(shí)施。. IP地址分配原則考慮到醫(yī)院的用戶的固定性，為保證對(duì)于上網(wǎng)用戶的可查詢性。具體分配時(shí)要遵循以下原則：唯一性：一個(gè)IP網(wǎng)絡(luò)中不能有兩個(gè)主機(jī)采用相同的IP地址；簡(jiǎn)單性：地址分配應(yīng)簡(jiǎn)單易于管理，降低網(wǎng)絡(luò)擴(kuò)展的復(fù)雜性，簡(jiǎn)化路由表項(xiàng)連續(xù)性：連續(xù)地址在層次結(jié)構(gòu)網(wǎng)絡(luò)中易于進(jìn)行路徑疊合，大大縮減路由表，提高路由算法的效率可擴(kuò)展性：地址分配在每一層次上都要留有余量，在網(wǎng)絡(luò)規(guī)模擴(kuò)展時(shí)能保證地址疊合所需的連續(xù)性靈活性：地址分配應(yīng)具有靈活性，以滿足多種路由策略的優(yōu)化，充分利用地址空間。當(dāng)網(wǎng)絡(luò)以私網(wǎng)地址分配或采用混合網(wǎng)絡(luò)地址接入時(shí)，要求網(wǎng)絡(luò)提供地址變換功能，過(guò)濾掉私網(wǎng)地址。對(duì)于相對(duì)固定不變的教學(xué)區(qū)采用靜態(tài)分配IP地址，為防止地址盜用，采用IP地址與端口、地址綁定；對(duì)于流動(dòng)性大、用戶人數(shù)多、用戶增長(zhǎng)快的用戶區(qū)采用動(dòng)態(tài)分配IP地址，采用By Port的Vlan，小范圍地限制地址盜用問(wèn)題。對(duì)于服務(wù)器、網(wǎng)絡(luò)設(shè)備互連端口地址、設(shè)備Loopback地址建議使用靜態(tài)IP地址，而且各屬自不同的IP地址段，有利于骨干路由表的簡(jiǎn)化與路由的快速處理；. 路由設(shè)計(jì). 路由協(xié)議選擇及設(shè)計(jì)建議選擇何種路由協(xié)議，對(duì)于最大程度的發(fā)揮網(wǎng)絡(luò)的效能具有重要意義，因此本次某城人民醫(yī)院網(wǎng)絡(luò)建設(shè)的路由協(xié)議的選擇也就十分重要。目前常用的路由協(xié)議有多種，如RIP、OSPF、ISIS、BGP、PIM等等。選擇適當(dāng)?shù)穆酚蓞f(xié)議需要考慮以下因素：1）路由協(xié)議的開(kāi)放性：開(kāi)放性的路由協(xié)議保證了不同廠商都能對(duì)本路由協(xié)議進(jìn)行支持，這不僅保證了目前網(wǎng)絡(luò)的互通性，而且保證了將來(lái)網(wǎng)絡(luò)發(fā)展的擴(kuò)充能力和選擇空間。例如RIP這樣比較簡(jiǎn)單的路由協(xié)議不支持分層次的路由信息計(jì)算，對(duì)復(fù)雜網(wǎng)絡(luò)的適應(yīng)能力較弱。3）網(wǎng)絡(luò)節(jié)點(diǎn)數(shù)量：不同的協(xié)議對(duì)于網(wǎng)絡(luò)規(guī)模的支持能力有所不同，需要按需求適當(dāng)選擇，有時(shí)還需要采用一些特殊技術(shù)解決適應(yīng)網(wǎng)絡(luò)規(guī)模方面的擴(kuò)展性問(wèn)題。必要時(shí)還要考慮路由信息安全因素和對(duì)路由交換的限制管理。但有時(shí)為了實(shí)現(xiàn)比較完善的管理功能或?yàn)榱藵M足安全的需要，例如對(duì)路由的傳播和選用提出一些人為的要求，就需要路由協(xié)議對(duì)策略的支持。2. 擴(kuò)展能力分域功能非常適合網(wǎng)絡(luò)擴(kuò)展OSPF提供分域功能一方面保證路由轉(zhuǎn)發(fā)效率，另一方面要提供很好的網(wǎng)絡(luò)擴(kuò)展能力。. VLAN的劃分. 劃分VLAN的必要性VLAN是建立在各種交換技術(shù)基礎(chǔ)之上的。利用交換設(shè)備中的虛網(wǎng)功能，不必改變網(wǎng)絡(luò)的物理基礎(chǔ)，即可重新配置網(wǎng)絡(luò)。 ，因?yàn)樘摼W(wǎng)技術(shù)是從邏輯角度而非物理角度來(lái)劃分子網(wǎng)的，所以采用虛網(wǎng)技術(shù)能減輕系統(tǒng)的擴(kuò)容壓力，將遷移費(fèi)用降至最小。此協(xié)議結(jié)合有鑒別和加密技術(shù)以確保整個(gè)網(wǎng)絡(luò)內(nèi)部數(shù)據(jù)的保密性和完整性。，用封裝的辦法支法支持不同的網(wǎng)絡(luò)協(xié)議絡(luò)協(xié)議，如SNMP、NMP、IPX、TCP//IP、兼容性非常好性非常好。必然。VLAN Trunking技術(shù)的采用，既節(jié)省了信道數(shù)據(jù)量，又提高了可靠性，并便于管理及方便連接，提高了整個(gè)網(wǎng)絡(luò)吞吐量和性能指標(biāo)。VLAN trunking技術(shù)的優(yōu)點(diǎn)在于采用一條高速通道連接，提高了通道的使用效率，如在，如在V2，V3無(wú)數(shù)據(jù)量的情況下，V1可以獨(dú)占此100M帶寬；并且可以使得線路的連接變得簡(jiǎn)單，從而大大提高可靠性與易維護(hù)性。我們可以使用E系列支持的PVLAN（primaryvlan）這個(gè)特性，一方面實(shí)現(xiàn)用戶之間的隔離，另一方面可以為三層交換機(jī)節(jié)省VLAN資源。如果用戶希望實(shí)現(xiàn)二層報(bào)文的隔離，可以采用了為每個(gè)用戶分配一個(gè)secondary vlan的方式，每個(gè)vlan中只包含用戶連接的port和uplink port；如果希望實(shí)現(xiàn)用戶之間二層報(bào)文的互通，可以將用戶連接的端口劃入同一個(gè)VLAN中；同時(shí)創(chuàng)建primary vlan，該vlan包含所有secondary vlan中包含的端口和uplink端口，這樣對(duì)上層交換機(jī)來(lái)說(shuō)，可以認(rèn)為下層交換機(jī)中只有一個(gè)primary vlan，用來(lái)標(biāo)識(shí)設(shè)備，而不必關(guān)心primary VLAN中的端口實(shí)際所屬的VLAN，簡(jiǎn)化了配置，節(jié)省了VLAN資源。每個(gè) port的PVID就是它所屬secondary vlan的ID；uplink端口的PVID是primary vlan的ID；我們建議在接入交換機(jī)上根據(jù)各個(gè)部門(mén)之間的邏輯關(guān)系進(jìn)行靈活的VLAN劃分。這種劃分方式中，可以對(duì)用戶能實(shí)現(xiàn)動(dòng)態(tài)的VLAN+MAC+IP綁定，可對(duì)用戶發(fā)動(dòng)的偽造攻擊報(bào)文進(jìn)行合法性檢查和過(guò)濾，具有一定的網(wǎng)絡(luò)安全性保障。. VLAN規(guī)劃我們建議按不同的業(yè)務(wù)使用主體來(lái)規(guī)劃整個(gè)某城人民醫(yī)院的VLAN資源。為了減小廣播域，建議VLAN終結(jié)在匯聚層的三層交換機(jī)上，每個(gè)VLAN內(nèi)的主機(jī)數(shù)量原則上不要超過(guò)250臺(tái)，建議每個(gè)VLAN內(nèi)的PC機(jī)數(shù)量控制在50臺(tái)以內(nèi)。根據(jù)實(shí)際業(yè)務(wù)部門(mén)辦公環(huán)境的分布情況來(lái)看，在大部分情況下，兩者實(shí)現(xiàn)了重合，而對(duì)于少數(shù)由于辦公地點(diǎn)不同，隔離在不同匯集點(diǎn)的相同業(yè)務(wù)部門(mén)，我們則推薦第一種方式。靜態(tài)VLAN：形成靜態(tài)VLAN過(guò)程是將端口強(qiáng)制性地分配給VLAN的過(guò)程。這是將端口映射到VLAN的一種最通用的方法。動(dòng)態(tài)VLAN：我們知道，VLAN常常被規(guī)劃用于對(duì)“資源訪問(wèn)權(quán)限”的分組，不同的VLAN具有不同的訪問(wèn)權(quán)限，每個(gè)VLAN內(nèi)有一個(gè)IP地址網(wǎng)段，不同的VLAN/IP地址段的用戶，具有不同的訪問(wèn)資源的權(quán)限。此時(shí)，二層交換機(jī)要支持VLAN的動(dòng)態(tài)配置功能（某 全系列交換機(jī)支持）。管理VLAN：作為特殊VLAN 的典型，建議保留VLAN1作為管理VLAN，管理VLAN覆蓋到全網(wǎng)的每一臺(tái)交換機(jī)，但在第三層接口上，需要與其他業(yè)務(wù)VLAN進(jìn)行有效的隔離。VLAN1和VLAN4000的第三層路由接口處設(shè)置訪問(wèn)控制列表，只有特定的主機(jī)或者只有網(wǎng)管VLAN可以直接訪問(wèn)每一臺(tái)設(shè)備，其他均在過(guò)濾之列。業(yè)務(wù)VLAN可以按照部門(mén)的類別進(jìn)行劃分，每個(gè)部門(mén)劃分一個(gè)VLAN，部門(mén)人數(shù)超過(guò)50名的應(yīng)該劃分為兩個(gè)VLAN，以保證交換的性能，業(yè)務(wù)VLAN的命名建議采用VLAN100作為第一個(gè)業(yè)務(wù)VLAN，然后按照數(shù)字序列進(jìn)行劃分，一直到VLAN123。. 組播業(yè)務(wù)某 S7510E 、S5500、E系列通過(guò)標(biāo)準(zhǔn)的組播協(xié)議完成用戶的組播管理，S7510E 、S5500均可以支持豐富的組播協(xié)議，包括ICMP、PIM－SM、PIM－DM、MSDP等組播協(xié)議，可支持豐富的業(yè)務(wù)，包括視頻點(diǎn)播、流媒體點(diǎn)播，可支持各種流媒體終端以及組播源的種類。由S7510E 、S5500完成對(duì)其下掛的匯聚交換機(jī)以及樓道交換機(jī)的組播用戶進(jìn)行報(bào)文復(fù)制和發(fā)送。視頻教學(xué)：使用視頻和通訊設(shè)備實(shí)現(xiàn)一點(diǎn)對(duì)多點(diǎn)或點(diǎn)對(duì)點(diǎn)的交互式異地遠(yuǎn)端教學(xué)，實(shí)現(xiàn)用戶和教師的實(shí)時(shí)交流，用戶還可隨時(shí)進(jìn)行學(xué)習(xí)點(diǎn)播和查詢。視頻點(diǎn)播：交互式電視的一部分，它使用戶可以隨意選擇所需的視訊節(jié)目，并可隨意地控制節(jié)目播出（如快進(jìn)、快倒、暫停等）。對(duì)于關(guān)鍵的核心業(yè)務(wù)的部分，需要優(yōu)先保證這些業(yè)務(wù)的時(shí)延和帶寬；而對(duì)于其它業(yè)務(wù)來(lái)說(shuō)，也應(yīng)當(dāng)有相應(yīng)的QoS策略來(lái)提供不同的服務(wù)質(zhì)量保證。建議在規(guī)劃山東地稅系統(tǒng)網(wǎng)絡(luò)QoS設(shè)計(jì)時(shí)，遵循以下的原則：l 正常情況下QoS是通過(guò)帶寬來(lái)保證的，帶寬利用率達(dá)到60％可考慮擴(kuò)容l 網(wǎng)絡(luò)設(shè)備的容量不成為瓶頸l 網(wǎng)絡(luò)故障或突發(fā)流量情況下QoS策略生效l 任何時(shí)候都優(yōu)先保證關(guān)鍵的實(shí)時(shí)業(yè)務(wù). QoS體系結(jié)構(gòu)的選擇為了在IP網(wǎng)上提供QoS，IETF提出了許多服務(wù)模型和協(xié)議，其中比較突出的有IntServ (Integrated Services)模型和DiffServ (Differentiated Services)模型。對(duì)于現(xiàn)在大型運(yùn)營(yíng)網(wǎng)絡(luò)中的節(jié)點(diǎn)，這種應(yīng)用流（活動(dòng)的）的數(shù)量非常龐大，會(huì)遠(yuǎn)遠(yuǎn)超出節(jié)點(diǎn)設(shè)備所能夠處理的能力，而且可擴(kuò)展性差，僅適合在小規(guī)模網(wǎng)絡(luò)中使用。在DiffServ的體系結(jié)構(gòu)下，IETF已經(jīng)定義了EF（Expedite Forwarding）、AF1AF4（Assured Forwarding）、BE（Best Effort）等六種標(biāo)準(zhǔn)PHB（Perhop Behavior）及業(yè)務(wù)。COS和DiffServ類似，不過(guò)比DiffServ更簡(jiǎn)單，并且不象DiffServ那樣定義了一組標(biāo)準(zhǔn)的業(yè)務(wù)。本次工程推薦使用DeffServ機(jī)制實(shí)現(xiàn)QoS。如果由單一設(shè)備全部處理，開(kāi)銷較大，容易形成網(wǎng)絡(luò)瓶頸，因此需要將這些功能分布到不同的設(shè)備上去，如流分類功盡量在邊緣實(shí)現(xiàn)。DS域內(nèi)的路由器根據(jù)優(yōu)先級(jí)進(jìn)行轉(zhuǎn)發(fā)，保證高優(yōu)先級(jí)業(yè)務(wù)的QoS要求。. QoS的實(shí)現(xiàn)機(jī)制山東某城人民醫(yī)院能夠?qū)崿F(xiàn)承載包括實(shí)時(shí)業(yè)務(wù)在內(nèi)的綜合業(yè)務(wù)的QoS特性，尤其對(duì)DiffServ提供了基于標(biāo)準(zhǔn)的完善支持，包括流分類、流量監(jiān)管（Policing）、流量整形（Shaping）、隊(duì)列管理、隊(duì)列調(diào)度（Scheduling）等，完整實(shí)現(xiàn)了標(biāo)準(zhǔn)中定義的EF、AF1AFBE等六組PHB及業(yè)務(wù)。首先輸入端口號(hào)可以作為重要的分類依據(jù)，它可以單獨(dú)使用，也可以結(jié)合報(bào)文的其他信息對(duì)流分類。允許通過(guò)配置將報(bào)文的源MAC匯聚為MAC地址組，最大允許64源MAC地址組，源MAC地址組可以單獨(dú)或同其他域組合對(duì)用戶流進(jìn)行分類。三層可以參與分類的控制域包括：源和目的IP地址、TOS/DSCP字節(jié)、Protocol（協(xié)議ID）、分段標(biāo)志、ICMP報(bào)文類型。l 流量監(jiān)管流量監(jiān)管也就是我們通常所說(shuō)的CAR，是流分類之后的動(dòng)作之一。運(yùn)營(yíng)商合用之間都簽有服務(wù)水平協(xié)議（SLA） ，其中包含每種業(yè)務(wù)流的承諾速率、峰值速率、承諾突發(fā)流量、峰值突發(fā)流量等流量參數(shù)，對(duì)超出SLA約定的流量報(bào)文可指定給予pass（通過(guò)）、drop（直接丟棄）或markdown（降級(jí)）等處理，此處降級(jí)是指提高丟棄的可能性（標(biāo)記為丟棄優(yōu)先級(jí)降低），降級(jí)報(bào)文在網(wǎng)絡(luò)擁塞時(shí)將被優(yōu)先丟棄，從而保證在SLA約定范圍之內(nèi)的報(bào)文享受到SLA預(yù)定的服務(wù)。l DSCP標(biāo)記/重標(biāo)記標(biāo)記/重標(biāo)記是是流分類之后的動(dòng)作之一。目前RFC定義了六類標(biāo)準(zhǔn)業(yè)務(wù)即：EF、AF1AFBE，并且通過(guò)定義各類業(yè)務(wù)的PHB （Perhop Behavior）明確了這六類業(yè)務(wù)的服務(wù)實(shí)現(xiàn)要求，即設(shè)備處理各類業(yè)務(wù)的具體實(shí)現(xiàn)要求。在某些情況下需要重標(biāo)記DSCP。完全支持RFC定義的標(biāo)準(zhǔn)的DSCP