【正文】 共享簡(jiǎn)單數(shù)據(jù)庫(kù)，多以二層交換為主，很少有三層應(yīng)用，存在 安全、可管理性較差、無(wú)業(yè)務(wù)增值能力 等方面的問(wèn)題。 基于對(duì) 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 校園網(wǎng)業(yè)務(wù)需求的深入理解，結(jié)合自身產(chǎn)品和技術(shù)特點(diǎn)，H3C 公司推出了了完善的 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 校園網(wǎng)解決方案，為 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院提供“ 高擴(kuò)展、多業(yè)務(wù)、高安全 ”的精品網(wǎng)絡(luò)。 可增值性 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 校園網(wǎng)絡(luò)的建設(shè)、使用和維護(hù)需要投入大量的人力、物力，因此網(wǎng)絡(luò)的增值性是網(wǎng)絡(luò)持續(xù)發(fā)展基礎(chǔ)。 可擴(kuò)充性 考慮到 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 用戶(hù)數(shù)量和業(yè)務(wù)種類(lèi)發(fā)展的不確定性，要求對(duì)于核心交換機(jī)與匯聚交 換機(jī)具有強(qiáng)大的擴(kuò)展功能， 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 校園網(wǎng)絡(luò)要建設(shè)成完整統(tǒng)一、組網(wǎng)靈活、易擴(kuò)充的彈性網(wǎng)絡(luò)平臺(tái)，能夠隨著需求變化，充分留有擴(kuò)充余地。 安全可靠性 設(shè)計(jì)應(yīng)充分考慮整個(gè)網(wǎng)絡(luò)的穩(wěn)定性，支持網(wǎng)絡(luò)節(jié)點(diǎn)的備份和線路保護(hù)，提供網(wǎng)絡(luò)安全防范措施。 第 2章 總體網(wǎng)絡(luò)設(shè)計(jì) 整體網(wǎng)絡(luò)改造描述 為滿(mǎn)足 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 三至五年的建設(shè)需求，本次方案主要采用分期建設(shè)的模式來(lái)實(shí)現(xiàn)整個(gè)校園網(wǎng)數(shù)字化建設(shè)。 二期建設(shè)主要實(shí)現(xiàn)現(xiàn)有網(wǎng)絡(luò)核心、匯聚、接入及網(wǎng)管系統(tǒng)替換 與可靠性加固 ， 宿 舍網(wǎng)新建等內(nèi)容。 三期建設(shè)主要實(shí)現(xiàn)校園特色建設(shè)，隨著信息化基礎(chǔ)建設(shè)不斷完善，無(wú)線終端日漸普及，無(wú)線校園網(wǎng)建設(shè)也成為各高校必不可少的基礎(chǔ)設(shè)施建設(shè)，無(wú)線校園的建設(shè)可以給老師與學(xué)生帶來(lái)更大的自用空間，有效的擬補(bǔ)了有線網(wǎng)絡(luò)的不足。第一，外網(wǎng)出口帶寬不夠?qū)е掠脩?hù)訪問(wèn)外網(wǎng)速度明顯下降，無(wú)法滿(mǎn)足用戶(hù)正常需求。 通過(guò)以上兩點(diǎn)作出以下改造。第一，出口 NAT轉(zhuǎn)換功能。 而根據(jù)現(xiàn)在校園網(wǎng)同時(shí)在線人數(shù)一千至兩千人的實(shí)際需求已經(jīng)遠(yuǎn)遠(yuǎn)超出了現(xiàn)有在線設(shè)備 AR46的負(fù)載能力，建議在 網(wǎng)絡(luò)的出口部署 H3C 最新的 SR6602 路由器， SR6602 路由器 是一款系統(tǒng)帶寬 48G，最大并發(fā)連接數(shù) 400 萬(wàn)的萬(wàn)兆出口 網(wǎng)關(guān) ， 完全 滿(mǎn)足用戶(hù)網(wǎng)絡(luò)的需求 。從而建議在出口防火墻 處通過(guò)部署一臺(tái) F5000 萬(wàn)兆防火墻實(shí)現(xiàn)內(nèi)外網(wǎng)的安全隔離。 ACG 應(yīng)用控制網(wǎng)關(guān)在出口部署主要具備兩大功能。第二， ACG應(yīng)用控制網(wǎng)關(guān)將通過(guò)自動(dòng)更新數(shù)字育苗更新應(yīng)用程序特征庫(kù)對(duì)出口數(shù)據(jù)應(yīng)用進(jìn)行杭州華三通信 技術(shù)有限公司 2020105 內(nèi)部資料，請(qǐng)勿擴(kuò)散 第 14 頁(yè) , 共 137 頁(yè) 監(jiān)管與控制，通過(guò)應(yīng)用控制合理分配某種應(yīng)用對(duì)帶寬的實(shí)際占用情況等。 如圖所示， 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 的網(wǎng)絡(luò)建設(shè)是要建成一個(gè)高效、安全的網(wǎng)絡(luò)， 網(wǎng)絡(luò)整體分為三個(gè)層次：核心層、 匯聚層、 接入層 。服務(wù)器群 相對(duì)接入信息點(diǎn)數(shù)量較多，服務(wù)器區(qū)域可以設(shè)置有防病毒服務(wù)器、補(bǔ)丁服務(wù)器、 web 服務(wù)器、郵件服務(wù)器等。 接入層采用 E126 智能接入交換機(jī)， E126 智能接 入交換機(jī)具有端口限速、防 ARP 攻擊、擴(kuò)展訪問(wèn)控制列表、 IP+MAC+設(shè)備管理 IP 等多種適合于接入層所設(shè)計(jì)的接入層功能，完全滿(mǎn)足校園網(wǎng)建設(shè)接入層控制，為用戶(hù)提供百兆到桌面的接入能力，并且提供千兆光路上聯(lián)。通過(guò)網(wǎng)絡(luò)管理軟件不但能夠及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)的問(wèn)題，對(duì)網(wǎng)絡(luò)的變化做出迅速的響應(yīng)，而且可以通過(guò)網(wǎng)絡(luò)管理軟件對(duì)整個(gè)網(wǎng)絡(luò)進(jìn)行優(yōu)化，遠(yuǎn)程監(jiān)控 、網(wǎng)絡(luò)設(shè)備管理、調(diào)解網(wǎng)絡(luò)流量、達(dá)到充分利用網(wǎng)絡(luò)資源、減少管理技術(shù)人員和節(jié)省管理成本的目的。 網(wǎng)絡(luò)層次介紹： 在核心層， 核心層主要采用 2 個(gè)骨干節(jié)點(diǎn)，選配 2 臺(tái) S9500E 交換機(jī)，網(wǎng)絡(luò)中心核心交換機(jī)同時(shí)提供服務(wù)器接入?yún)^(qū)域，重要的服務(wù)器例如日志服務(wù)器、防病毒服務(wù)器和補(bǔ)丁服務(wù)器，同時(shí)提供網(wǎng)絡(luò)的審計(jì)、網(wǎng)管等功能區(qū)域。 匯聚層 ， 根據(jù)具體的需求每 500 個(gè)節(jié)點(diǎn)左右 選用 1 臺(tái) S5800 作為匯聚，根據(jù)網(wǎng)絡(luò)設(shè)計(jì)的原則，匯聚層交換機(jī)應(yīng)是性能相對(duì)比較高的小核心，匯聚層是部署網(wǎng)絡(luò)中的各種策略的部分， S5800 萬(wàn)兆交換機(jī)交換容量 360G，包轉(zhuǎn)發(fā)率 156Mpps，具有 1 個(gè)插槽 。匯聚層設(shè)備不但分擔(dān)了核心設(shè)備的部分壓力， 在 同時(shí)提高了網(wǎng)絡(luò)的安全性 和穩(wěn)定性 。利用 IRF 技術(shù)，用戶(hù)可以將多臺(tái)設(shè)備通過(guò)堆疊接口連接起來(lái)組成一個(gè)聯(lián)合設(shè)備（ Fabric），并將這些設(shè)備 看作單一設(shè)備進(jìn)行管理和使用，降低了管理成本，同時(shí)實(shí)現(xiàn)按需購(gòu)買(mǎi)、平滑擴(kuò)容，在網(wǎng)絡(luò)升級(jí)時(shí)最大限度地保護(hù)已有投資。 在接入層， 接入層是直接與用戶(hù)相連的設(shè)備，因此，在實(shí)際的應(yīng)用的過(guò)程當(dāng)中我們建議采用 H3C E126A 產(chǎn)品，建議通過(guò)在 E126A 上配置千兆 電 接口與 匯聚 交換機(jī) S5800 進(jìn)行鏈接，這樣將會(huì)進(jìn)一步擴(kuò)大帶寬。 無(wú)線網(wǎng)絡(luò)的應(yīng)用 在校區(qū)內(nèi)進(jìn)行無(wú)線的覆蓋，現(xiàn)階段校園網(wǎng)的無(wú)線覆蓋已經(jīng)成為一種趨勢(shì)和必然 ， 對(duì)于無(wú)線的覆蓋以后，使得學(xué)校教學(xué)和辦公的得到的極大便利，無(wú)線的覆蓋可以分為室內(nèi)的無(wú)線覆蓋和室外的無(wú)線覆蓋， 采取通行的網(wǎng)絡(luò)協(xié)議標(biāo)準(zhǔn)：目前無(wú)線局域網(wǎng)普遍采用 系列標(biāo)準(zhǔn)，因此無(wú)線局域網(wǎng)將主要支持 （ 54M 帶寬）標(biāo)準(zhǔn)以提供可供實(shí)際應(yīng)用的相對(duì)穩(wěn)定的網(wǎng)絡(luò)通訊服務(wù)； 全面 的無(wú)線網(wǎng)絡(luò)支撐系統(tǒng)（包括無(wú)線網(wǎng)管 、無(wú)線安全等）， 以避免 無(wú)線設(shè)備 及軟件 之間的不兼容性或網(wǎng)絡(luò)管理的混亂 而 導(dǎo)致 的 問(wèn)題 ； 保證網(wǎng)絡(luò)訪問(wèn)的安全性，支持 安全認(rèn)證方式； 采用非獨(dú)立型的無(wú)線網(wǎng)絡(luò)結(jié)構(gòu)選型； 采用 H3C 的 FIT WLAN 的模式。 安全、認(rèn)證、管理要求 : 為了阻止非授權(quán)用戶(hù)訪問(wèn)無(wú)線網(wǎng)絡(luò)，以及防止對(duì)無(wú)線局域網(wǎng)數(shù)據(jù)流的非法偵聽(tīng)，無(wú)線網(wǎng)絡(luò)要具有相應(yīng)的安全手段，主要包括：物理地址（ MAC）過(guò)濾、服務(wù)區(qū)標(biāo)識(shí)符 (SSID)匹配、有線等效保密（ WEP）、二層隔離、 WPA支持等； 杭州華三通信 技術(shù)有限公司 2020105 內(nèi)部資料，請(qǐng)勿擴(kuò)散 第 17 頁(yè) , 共 137 頁(yè) 本無(wú)線局域網(wǎng)的用戶(hù)認(rèn)證支持集中認(rèn)證（ WEB PORTAL 認(rèn)證方式）和 安全認(rèn)證方式（支持受保護(hù)的 PEAP(Protected EAP)）， AP、訪問(wèn)控制系統(tǒng)及認(rèn)證計(jì)費(fèi)系統(tǒng)必須為要配合要通過(guò)驗(yàn)證，便于使用用戶(hù)的使用及維護(hù)。詳細(xì)介紹參加第三章。 IMC 網(wǎng)絡(luò)管理軟件是 H3C 公司對(duì)數(shù)據(jù)通信設(shè)備如路由器、交換機(jī)等進(jìn)行統(tǒng)一管理和維護(hù)的網(wǎng)管產(chǎn)品，位于網(wǎng)絡(luò)解決方案的管理層，能夠?qū)崿F(xiàn)網(wǎng)元管理和網(wǎng)絡(luò)管理的功能。 第 3章 網(wǎng)絡(luò)業(yè)務(wù)設(shè)計(jì) 認(rèn)證方式的選擇 IMC 的認(rèn)證 可以配合 H3C 接入交換機(jī) 或 BAS 設(shè)備，結(jié)合 認(rèn)證方式實(shí)現(xiàn)對(duì)接入用戶(hù)的端點(diǎn)準(zhǔn)入控制。 同時(shí) IMC 用戶(hù)認(rèn)證系統(tǒng)可以對(duì)網(wǎng)絡(luò)的接入用戶(hù)進(jìn)行很好的甄別，確認(rèn)用戶(hù)權(quán)限，同時(shí)實(shí)現(xiàn)計(jì)費(fèi)。這種組網(wǎng)方案具有適應(yīng)性廣的特點(diǎn)，可以應(yīng)用與 長(zhǎng)春職業(yè)技術(shù)師范學(xué)院 網(wǎng)絡(luò)出口、分支機(jī)構(gòu)入口、關(guān)鍵區(qū)域保護(hù)等多種應(yīng)用場(chǎng)景。 S5800匯聚層交換機(jī)萬(wàn)兆的支持 從網(wǎng)絡(luò)的整體結(jié)構(gòu)上我們可以看出整個(gè)網(wǎng)絡(luò)的設(shè)計(jì)是匯聚與接入之間均采用 千 兆的方式，接入與最終用戶(hù)之間采用百兆的方式進(jìn)行互通， 由于百兆接入用戶(hù)的眾多， 整個(gè)網(wǎng)絡(luò)的瓶頸在核心與匯聚之間的連接存在瓶頸，隨著網(wǎng)絡(luò)接入用戶(hù)的不斷擴(kuò)大，匯聚與接入之間可 以采用萬(wàn)兆的方式進(jìn)行互聯(lián)。 核心與匯聚層之間直接采用萬(wàn)兆的帶寬將匯聚層存在的帶寬瓶頸問(wèn)題徹底解決 。H3C S9500E 背板交換容量 夠做到所有 GE 接口的雙向的線速， H3C 公司的 S9500E 的性能指標(biāo)是經(jīng)過(guò)完整的測(cè)試，而業(yè)界廠家在指標(biāo)宣稱(chēng)上面往往與給最終提供給用戶(hù)的不一致。 再次 ,分布式的轉(zhuǎn)發(fā)，對(duì)于 S9500E 路由查找是非常有益的補(bǔ)充。這樣就可以避免校園網(wǎng)內(nèi)外的非法用戶(hù)利用專(zhuān)門(mén)的攻擊軟件來(lái)攻擊中心交換機(jī)，因?yàn)檫@種攻 擊是通過(guò)不斷變換自己的本網(wǎng)斷內(nèi)的 IP地址，來(lái)不斷消耗主控處理板的 CPU處理能力，直到徹底使主控處理板的 CPU喪失處理能力，整個(gè)機(jī)器癱掉。所以當(dāng)攻擊者進(jìn)行攻擊時(shí)， S9500E只能造成該接口板的業(yè)務(wù)能力處理下降，但是對(duì)于整機(jī)沒(méi)有多大影響。 杭州華三通信 技術(shù)有限公司 2020105 內(nèi)部資料，請(qǐng)勿擴(kuò)散 第 19 頁(yè) , 共 137 頁(yè) 良好的互通性 S9500E 具有良好的互通性， S9500E 支持標(biāo)準(zhǔn)的路由協(xié)議，包括 OSPF、 BGP ISIS、RIP 等路由協(xié)議，在實(shí)際的開(kāi)局中與 Foundry、思科、 Exreme 等多種廠家均能夠?qū)崿F(xiàn)互通，在華南理工大學(xué)、山東大學(xué)等用戶(hù)都得到實(shí)際的應(yīng)用驗(yàn)證。 基于流攻擊的防止。這樣就可以避免園區(qū)網(wǎng)內(nèi)外的非法用戶(hù)利用專(zhuān)門(mén)的攻擊軟件進(jìn)行的一些基于流的共計(jì)，因?yàn)檫@種攻擊是通過(guò)不斷變換自己的本網(wǎng)斷內(nèi)的 IP地址，來(lái)不斷消耗主控處理板的 CPU 處理能力，直到徹底使主控處理板的 CPU 喪失處理能力，整個(gè)機(jī)器癱掉。所以當(dāng)攻擊者進(jìn)行攻擊時(shí)，不會(huì)造成 S9500E 業(yè)務(wù)能力處理下降，對(duì)于整機(jī)沒(méi)有影響。 網(wǎng)管解決方案 根據(jù)網(wǎng)絡(luò)實(shí)際情況可采用 H3C IMC 網(wǎng)管系統(tǒng)。同時(shí)可以根據(jù)用戶(hù)需求進(jìn)行接口的開(kāi)放。在 Web Server 上安裝了網(wǎng)管軟件后，其它網(wǎng)管機(jī)器不用預(yù)裝網(wǎng)管軟件，只須安裝了 WEB 瀏覽器并且設(shè)備能上網(wǎng)，就能使用 H3C IMC 系統(tǒng)管理 。 支持多種操作系統(tǒng)平臺(tái) 純 Java 的實(shí)現(xiàn)，保證 H3C IMC 無(wú)須修改便能運(yùn)行于當(dāng)前主流 的各種平臺(tái)之上。 功能 功能 描述 路由器設(shè)備視圖 設(shè)備端口的配置情況：端口個(gè)數(shù)、端口種類(lèi)、端口當(dāng)前狀態(tài)等 故 障管理 對(duì)全網(wǎng)設(shè)備的告警信息和運(yùn)行信息進(jìn)行實(shí)時(shí)監(jiān)控，查詢(xún)和統(tǒng)計(jì)設(shè)備的告警信息。 路由器設(shè)備整體配置信息 支持拓?fù)渥詣?dòng)發(fā)現(xiàn)功能，系統(tǒng)信息（系統(tǒng)描述、系統(tǒng)標(biāo)識(shí)、重啟時(shí)間、所在地、設(shè)備名、聯(lián)絡(luò)方式）、地址轉(zhuǎn)換表、接口表、 IP表、 IP 路由表、 TCP聯(lián)接表。同時(shí)可以支持對(duì)于網(wǎng)絡(luò)節(jié)點(diǎn)設(shè)備利用率、 CPU 利用率、故障率、線路流量統(tǒng)計(jì)、網(wǎng)絡(luò)時(shí)延統(tǒng)計(jì)、歷史告警信息等進(jìn)行統(tǒng)計(jì)記錄，并可以實(shí)現(xiàn)網(wǎng)絡(luò)流量配置。 路由器設(shè)備整體運(yùn)行狀態(tài) CPU 負(fù)載、系統(tǒng)溫度、風(fēng)扇狀態(tài)、 VOS 內(nèi)存空閑率、NonVolatile 空閑率、內(nèi)存分布錯(cuò)誤次數(shù)、內(nèi)存分配 不足引起的分配錯(cuò)誤 輸入 IP 報(bào)文、表頭錯(cuò)誤的輸入 IP 報(bào)文、地址錯(cuò)誤 IP報(bào)文、未知協(xié)議數(shù)據(jù)報(bào)、緩沖溢出輸入 IP 報(bào)文、緩沖溢出的輸出 IP報(bào)文、轉(zhuǎn)發(fā)的 IP 報(bào)文、無(wú)路由的輸出 IP報(bào)文、成功重組的 IP 報(bào)文 安全日志管理 安全管理功能主要有以下幾個(gè)方面：操作日志管理，用戶(hù)管理，用戶(hù)組管理，設(shè)備集管理，操作集管理，權(quán)限管理，用戶(hù)登錄管理。IPv6 等多功能于一體 的 功能。 H3C 公司使用創(chuàng)新的基于認(rèn)證 的組網(wǎng)來(lái)提供網(wǎng)絡(luò)服務(wù)，這種方法基于用戶(hù)身份而非端口或設(shè)備，以便跨越整個(gè)網(wǎng)絡(luò)實(shí)現(xiàn)移動(dòng)性和安全性。同時(shí)采用 WPA/WPA2 和 認(rèn)證結(jié)合的 AES、 TKIP 以及 WEP 加密等功能增強(qiáng)了網(wǎng)絡(luò)安全。 ? 認(rèn)證方式及認(rèn)證點(diǎn)選擇 本方案主要采用 認(rèn)證，交換機(jī)作為 協(xié)議終結(jié)點(diǎn)， IMC 用戶(hù)管理系統(tǒng) 系統(tǒng)為用戶(hù)鑒權(quán)點(diǎn)。 ? 整網(wǎng)安全 無(wú)線網(wǎng)絡(luò)安全部分主要包括以下方面的內(nèi)容： MAC 地址過(guò)濾：目前我司 AP 都支持基于 MAC 地址的過(guò)濾，可以限制具有某種類(lèi)型的 MAC地址特征的終端進(jìn)入網(wǎng)絡(luò)中，對(duì)于大規(guī)模網(wǎng)絡(luò)，使用 MAC 地址過(guò)濾時(shí)操作起來(lái)具有較大的難度，主要原因是： MAC地址的規(guī)律性不大，所有的 AP 都要進(jìn)行配置， 存在缺點(diǎn)：維護(hù)工作量不大，故建議：不進(jìn)行部署，但設(shè)備要具有這樣的能力，以備以后增加相應(yīng)設(shè)備進(jìn)行配套使用，以增強(qiáng)安全性； SSID 管理：是一種網(wǎng)絡(luò)標(biāo)識(shí)的方案，將網(wǎng)絡(luò)進(jìn)行一個(gè)邏輯化標(biāo)識(shí)，對(duì)終端上發(fā)的報(bào)文都要求進(jìn)行上帶 SSID，如果沒(méi)有 SSID 標(biāo)識(shí)則不能進(jìn)入網(wǎng)絡(luò)； 杭州華三通信 技術(shù)有限公司 2020105 內(nèi)部資料，請(qǐng)勿擴(kuò)散 第 23 頁(yè) , 共 137 頁(yè) WEP\AES 加密： WEP 加密是一種靜態(tài)加密的機(jī)制，通信雙方具有一個(gè)共同的密鑰，終端發(fā)送的空口信息報(bào)文必須使用共同的密鑰進(jìn)行加密； AES 屬于一種動(dòng)態(tài)加密機(jī)制，密鑰進(jìn)行定期的刷新； ? 頻率規(guī)劃 使用開(kāi)放的 ISM 頻段，可工作的信道 數(shù)為歐洲標(biāo)準(zhǔn)信道數(shù) 13個(gè)。對(duì)于真正相互不重疊信道只有相隔 5個(gè)信道的工作中心頻點(diǎn)。此外，由于功率模板是否能做到符合鄰道、隔道不干擾也非常影響頻率規(guī)劃的效果。 ` 頻率規(guī)劃原理圖 頻率規(guī)劃需要配合使用的功能包括： AP 支持 13個(gè)信道設(shè)置 AP 支持 500～ 200mW、 60～ 10mW 功率以及多級(jí)功率控制 AP 支持外置天線以及定向天線 針對(duì)特殊應(yīng)用還需要 AP支持橋接功能、接入功能以及 WDS功能 ? 網(wǎng)絡(luò)管理 基于標(biāo)準(zhǔn)的 SNMP 協(xié)議實(shí)現(xiàn)對(duì)設(shè)備的管理， H3C IMC 網(wǎng)管系統(tǒng)通過(guò) SNMP 實(shí)現(xiàn)對(duì) WLAN 所有網(wǎng)元的管理。采用標(biāo)準(zhǔn)的 SNMP 可以實(shí)現(xiàn)更為強(qiáng)大的管理包括自動(dòng)拓?fù)浒l(fā)現(xiàn)、自動(dòng) 升級(jí)、批量配置、分級(jí)管理、分級(jí)告警等。通過(guò)在匯集交換機(jī)處疊加一個(gè)供電電源或者內(nèi)嵌交換機(jī)內(nèi)，通過(guò)以太網(wǎng)線在傳輸數(shù)據(jù)同時(shí)給 AP供電，供電距離達(dá) 100 米，滿(mǎn)足實(shí)際組