【正文】 的鏈路和設備冗余設計來綜合保證：l 設備的可靠：雙主控、雙電源l 網(wǎng)絡的可靠：關(guān)鍵設備雙歸屬、重要鏈路手工聚合、服務器采用雙網(wǎng)卡l 協(xié)議的可靠：VRRP、防火墻HRPl 架構(gòu)的可靠：重要設備冗余部署、流量路徑合理規(guī)劃l 應用的可靠：服務器健康檢查l 建議接入交換機上沒有VLAN重疊的規(guī)劃，管理簡單，并能控制廣播域影響；l 利用MSTP多實例特性，合理規(guī)劃VLAN與實例映射關(guān)系，實現(xiàn)業(yè)務流量的負載分擔；l 規(guī)劃多個VRRP組，實現(xiàn)匯聚三層網(wǎng)關(guān)的備份和負載分擔；為防止錯誤的配置或連接形成端口自環(huán)，可在交換機下行端口上開啟loopbackdetection功能，發(fā)生自環(huán)時有多種處理模式可供選擇；l 在邊緣與PC或服務器相連的端口配成邊緣端口，并啟動BPDU保護，端口狀態(tài)快速轉(zhuǎn)換和不接收BPDU報文；l 為了避免交換機頻繁收到TC報文而去頻繁刪除MAC和ARP表項，繼而引起CPU繁忙業(yè)務中斷的情況，建議屆時在交換機上開啟TC保護功能；l 為避免整網(wǎng)收到搶根報文而引起網(wǎng)絡強烈震蕩，在根橋與其它設備相連的端口上開啟root保護功能；l 匯聚與接入層交換機相連的端口避免配置trunk all，只允許使用的vlan通過，各個雙歸屬環(huán)用vlan隔開，防止一個環(huán)上的廣播泛到另一個環(huán)上去；通過浮動靜態(tài)路由和虛擬交換機技術(shù)，可以方便的實現(xiàn)不同業(yè)務的鏈路分擔，例如學生宿舍的流量通過上行鏈路進入到一臺核心交換機，辦公業(yè)務通過另外一條上行鏈路進入到另外一臺核心交換機。. IPv6園區(qū)規(guī)劃作為數(shù)字化校園的一部分，IPv6網(wǎng)絡能力必不可少。進行IPv4園區(qū)規(guī)劃時，同時需要考慮IPv6網(wǎng)絡應用。BBB大學YYY新校區(qū)園區(qū)網(wǎng)是一個全面支持IPv6的網(wǎng)絡，后續(xù)的部署也全部采用支持支持雙棧的交換機設備，三層設備上同時運行OSPFv2和OSPFv3兩套協(xié)議，盡管運行在同一個設備上，這兩套協(xié)議是互相獨立的。OSPFv3的邏輯拓撲圖（AREA規(guī)劃）和OSPFv2可以完全不同。. 網(wǎng)絡拓撲總體設計在校園網(wǎng)的建設中，網(wǎng)絡架構(gòu)的選擇具有舉足輕重的作用，組網(wǎng)架構(gòu)決定整個校園網(wǎng)絡的性能、可擴展性、可管理性、線纜布放、區(qū)域劃分等諸多關(guān)鍵因素，從目前的主流的組網(wǎng)架構(gòu)上看，每種組網(wǎng)架構(gòu)都具有優(yōu)點與缺點，關(guān)鍵是要選擇適合于學校自身特點的架構(gòu)，合理的組網(wǎng)架構(gòu)是一個優(yōu)秀校園網(wǎng)絡的基礎。本次BBB大學YYY新校區(qū)校園網(wǎng)采用星形網(wǎng)絡結(jié)構(gòu)為主的三層結(jié)構(gòu)（核心層、匯聚層及接入層）。三層結(jié)構(gòu)是大型網(wǎng)絡常用的層次化網(wǎng)絡設計模型。核心層主要承擔高速數(shù)據(jù)交換的任務，同時要為各匯聚節(jié)點提供最佳傳輸通道；匯聚層的主要任務是把大量來自接入層的訪問路徑進行匯聚和集中，承擔路由聚合和訪問控制的任務。這就要求匯聚層設備必須具備良好的可擴展性，必須使用模塊化的體系結(jié)構(gòu)，可通過增加板卡提高端口密度，以便匯接更多的接入層設備；接入層的主要任務是完成用戶的接入，它直接和用戶連接，可能遭受ARP風暴、MAC掃描、ICMP風暴、帶寬攻擊等等攻擊方式，對安全性的要求很高，另一方面必須提供靈活的用戶管理手段。此種組網(wǎng)方案的結(jié)構(gòu)簡單，層次分明，便于管理；控制簡單，便于建網(wǎng)；網(wǎng)絡延遲時間較小，傳輸誤差較低。對于鏈路層的安全可考慮采用不同鏈路的主備主干光纜方式實現(xiàn)。YYY校區(qū)校園信息網(wǎng)網(wǎng)絡拓撲示意見圖。請根據(jù)學校實際情況畫出拓撲圖YYY校區(qū)校園網(wǎng)絡拓撲示意圖下面就各個區(qū)域做詳細的設計。. 核心層設計核心層：提供高速的三層交換骨干。216。 核心層不進行終端系統(tǒng)的連接；216。 核心層不實施影響高速交換性能的ACL等功能。. 網(wǎng)絡方案說明網(wǎng)絡核心區(qū)作為YYY校區(qū)整個校園網(wǎng)的數(shù)據(jù)交換核心，是BBB大學YYY校區(qū)應用系統(tǒng)可靠和高效率運行的基礎，因此建議在核心區(qū)配置兩臺吞吐量高、核心萬兆全分布式線速路由交換機，接入各個功能區(qū)域，下行萬兆光纖連接匯聚交換機，形成萬兆無阻塞線速轉(zhuǎn)發(fā)骨干網(wǎng)。核心設備采用多級交換架構(gòu)，即使用獨立的交換網(wǎng)板卡，可以為設備提供擴展的交換容量，多塊交換網(wǎng)板同時分擔業(yè)務流量；控制引擎和交換網(wǎng)板硬件相互獨立，并且配置冗余電源和冗余風扇，最大程度的保障設備可靠性。兩臺核心設備互為備份，之間采用雙萬兆連接，區(qū)域匯聚設備雙歸屬上聯(lián)，其中任何一臺核心交換機或核心交換機上的板卡出現(xiàn)故障后，正常工作的核心交換機能夠立即接管故障核心交換機所有交換工作。在兩臺核心交換機都正常工作時能夠?qū)S區(qū)匯聚交互機區(qū)域轉(zhuǎn)發(fā)過來的數(shù)據(jù)流量進行負載均衡，兩臺核心交換機同時承擔核心網(wǎng)絡數(shù)據(jù)交換工作。為了簡化網(wǎng)絡部署，簡化網(wǎng)絡管理，并提高故障恢復的速度，核心和各個功能分區(qū)建議采用虛擬交換架構(gòu)技術(shù)。兩臺核心交換機虛擬成一臺邏輯交換機，通過跨設備鏈路聚合與匯聚層設備互聯(lián)。. 安全規(guī)劃l 采用安全交換一體化架構(gòu)，核心交換機應支持多業(yè)務安全板卡，以便簡化網(wǎng)絡拓撲、減少網(wǎng)絡單點故障，提高安全處理性能，方便后期擴展。本次部署IPS模塊，及時阻止各種針對系統(tǒng)漏洞的攻擊，屏蔽蠕蟲、病毒和間諜軟件，防御DOS及DDOS攻擊，阻斷或限制P2P應用，完成應用系統(tǒng)、網(wǎng)絡基礎設施和系統(tǒng)性能保護的關(guān)鍵任務。l 本次需部署網(wǎng)流分析功能模塊，以便管理員能了解網(wǎng)絡真實運行情況，減少故障隱患，優(yōu)化網(wǎng)絡鏈路。l 但是為了避免在核心區(qū)由于多區(qū)域之間安全策略的交叉而導致部署復雜，維護困難。所以核心區(qū)只提供高速轉(zhuǎn)發(fā)功能，各區(qū)域間的訪問控制策略在各區(qū)域邊界（出口路由器或匯聚交換機）實施。l 核心交換機支持高性能MPLS處理，可以有效隔離校園網(wǎng)各業(yè)務，減少各業(yè)務之間干擾，保證業(yè)務之間的安全性和可靠性. 設備間連接方式兩臺核心設備分別放置在網(wǎng)絡中心核心機房和圖書館核心機房，采用雙單模萬兆接口互聯(lián)，并且采用虛擬交換架構(gòu)技術(shù)虛擬成一臺邏輯設備。單臺匯聚交換機雙萬兆鏈路接入兩臺核心，核心交換機與放置在相同核心機房的匯聚交換機采用多模萬兆互聯(lián)，與不同核心機房的匯聚交換機采用單模萬兆互聯(lián)。2條下行萬兆鏈路采用跨設備聚合技術(shù)虛擬成一條邏輯鏈路，簡化網(wǎng)絡部署提高故障恢復速度。. 設備選型核心設備選擇多級交換架構(gòu)的高可靠核心交換機——H3C 核心交換機S12500。H3C S12500采用先進的CLOS多級多平面交換架構(gòu)，可以提供續(xù)的帶寬升級能力。S12500是中國國內(nèi)第一款100G平臺交換機，支持未來40GE和100GE以太網(wǎng)標準，整機可以提供576個萬兆端口，提供業(yè)界密度最高的萬兆接入能力；面對下一代數(shù)據(jù)中心突發(fā)流量，創(chuàng)新的采用了“分布式入口緩存”技術(shù)，可以實現(xiàn)數(shù)據(jù)在萬兆線速下的200ms緩存，滿足數(shù)據(jù)中心、高性能計算等網(wǎng)絡突發(fā)流量的要求；為了滿足數(shù)據(jù)中心級網(wǎng)絡高可靠、高可用、虛擬化的要求，S12500采用創(chuàng)新IRF2（第二代智能彈性架構(gòu)）設計，將多臺高端設備虛擬化為一臺邏輯設備，同時支持獨立的控制引擎、檢測引擎、維護引擎，為系統(tǒng)提供強大的控制能力和50ms的高可靠保障。產(chǎn)品特點如下：1) 先進的CLOS多級多平面交換架構(gòu)l 采用先進的CLOS多級多平面交換架構(gòu)，提供持續(xù)的帶寬升級能力。l 基于100G平臺的多級交換網(wǎng)交換機，支持未來40GE和100GE以太網(wǎng)標準，充分滿足數(shù)據(jù)中心應用及未來發(fā)展需求。l 獨立的交換網(wǎng)板卡，控制引擎和交換網(wǎng)板硬件相互獨立，最大程度的提高設備可靠性，同時為后續(xù)產(chǎn)品帶寬的持續(xù)升級提供保證。l 超高端口密度，單臺設備支持576個萬兆端口，滿足數(shù)據(jù)中心高密度萬兆應用的需求。2) 創(chuàng)新的多引擎控制設計l 采用了創(chuàng)新的硬件設計，通過獨立的控制引擎、檢測引擎、維護引擎為系統(tǒng)提供強大的控制能力和50ms的高可靠保障。l 獨立的控制引擎，提供強大的主控CPU系統(tǒng)，輕松處理各種協(xié)議報文及控制報文，并支持協(xié)議報文精細控制，為系統(tǒng)提供完善的抗協(xié)議報文攻擊的能力；l 獨立的檢測引擎，提供高可靠和高性能的FFDR（Fast Fault Detection and Restoration快速故障檢測及恢復）CPU系統(tǒng)，專門用于BFD、OAM等快速故障檢測，并與控制平面的協(xié)議實行聯(lián)動，支持快速保護切換和快速收斂，可以實現(xiàn)50ms的故障檢測，保障業(yè)務不中斷；l 獨立的維護引擎，智能化的EMS（Embedded Maintenance Subsystem嵌入式維護子系統(tǒng)） CPU系統(tǒng)，該CPU系統(tǒng)支持電源智能管理，可以支持單板順序上下電（降低單板同時上電帶來的電源沖擊，提高設備壽命，降低電磁輻射，降低系統(tǒng)功耗），設備在線狀態(tài)檢查。3) IRF2（第二代智能彈性架構(gòu)）面對數(shù)據(jù)中心統(tǒng)一交換架構(gòu)的應用需求，S12500支持IRF2（第二代智能彈性架構(gòu)）技術(shù)，將多臺高端設備虛擬化為一臺邏輯設備，在可靠性、分布性和易管理性方面具有強大的優(yōu)勢，主要體現(xiàn)在三個方面：l 可靠性：通過專利的路由熱備份技術(shù)，在整個虛擬架構(gòu)內(nèi)實現(xiàn)控制平面和數(shù)據(jù)平面所有信息的冗余備份和無間斷的三層轉(zhuǎn)發(fā)，極大的增強了虛擬架構(gòu)的可靠性和高性能，同時消除了單點故障，避免了業(yè)務中斷；l 分布性：通過分布式跨設備鏈路聚合技術(shù)，實現(xiàn)多條上行鏈路的負載分擔和互為備份，從而提高整個網(wǎng)絡架構(gòu)的冗余性和鏈路資源的利用率；l 易管理性：整個彈性架構(gòu)共用一個IP管理，簡化網(wǎng)絡設備管理，簡化網(wǎng)絡拓撲管理，提高運營效率，降低維護成本。4) 數(shù)據(jù)中心級可靠性保障l S12500提供專用FFDR（Fast Fault Discovery and Restore－快速故障檢測及恢復）CPU系統(tǒng)，專門用于BFD、OAM等快速故障檢測，并與控制平面的協(xié)議實行聯(lián)動，支持快速保護切換和快速收斂。l 支持BFD for VRRP/BGP/ISIS/RIP/OSPF/RSVP/靜態(tài)路由等。l 控制引擎和交換網(wǎng)板硬件相互獨立，實現(xiàn)控制平面和轉(zhuǎn)發(fā)平面的物理分離，控制引擎1+1冗余；交換網(wǎng)板8+1冗余；最大限度的提高系統(tǒng)的故障隔離能力和可靠性。l 豎插框結(jié)構(gòu)及風扇框1+1冗余，充分適應數(shù)據(jù)中心風道散熱要求及可靠性要求。電源模塊N+M冗余。5) 多層次的安全保護l 控制平面的多級保護及安全性，S12500的控制平面策略特性通過配置QoS過濾和限速來管理從數(shù)據(jù)平面（DP）到控制平面（CP）的報文流，保護S12500交換機在遭受DoS攻擊時能識別和保護重要的報文，丟棄非法的報文，保證控制平面在遭受攻擊或者大流量的情形下維護正常的轉(zhuǎn)發(fā)和協(xié)議狀態(tài)。l 支持海量的ACL規(guī)則，匹配長度多達80Bytes，且滿足全線速轉(zhuǎn)發(fā)；可以對各種L2/IPv4/IPv6/MPLS報文及其字段組合進行精細的安全接入控制。 6) 分布式緩存機制及精細化QoSl 面對下一代數(shù)據(jù)中心突發(fā)流量，創(chuàng)新的采用了“分布式入口緩存”技術(shù)。每個端口可以精確地對所有流向該端口的各個業(yè)務流進行精確的帶寬分配和流量整形，轉(zhuǎn)發(fā)平面的精確調(diào)度確保支持Ingress方向的分布式緩存，有效共享和利用分布在各線卡上的緩存空間，提供更好的緩存效果。l 網(wǎng)絡應用模型已經(jīng)由C/S轉(zhuǎn)換為B/S模型，應用方式的轉(zhuǎn)變，導致網(wǎng)絡突發(fā)流量的增大，大緩存機制已經(jīng)成為網(wǎng)絡設備的迫切需求。S12500每萬兆端口256MB Buffer，支持200ms突發(fā)流量，再結(jié)合分布式入口緩存機制，滿足大型數(shù)據(jù)中心高突發(fā)流量的需求。l 每板最大48K的硬件隊列，支持精細化QoS和流量管理，能準確的按照需求配置給不同用戶、不同業(yè)務流分配不同的優(yōu)先級和隊列，保證不同的帶寬、業(yè)務延遲和抖動性能。7) 全方位的維護檢測機制l 在線狀態(tài)檢測機制，通過專用的維護引擎，可以實現(xiàn)對設備的交換網(wǎng)板，背板通信通道，業(yè)務通信通道，關(guān)鍵芯片，存儲器等進行檢測。一旦相關(guān)模塊發(fā)生故障，通過EMS上報給系統(tǒng)。l 單板隔離功能，可以將指定單板從轉(zhuǎn)發(fā)平面中隔離出來，不再參與轉(zhuǎn)發(fā)平面的轉(zhuǎn)發(fā)，但被隔離單板仍在控制平面中，可對其進行管理操作?？梢詫υ搯伟暹M行實時診斷、CPLD升級等業(yè)務處理，不影響整機系統(tǒng)的業(yè)務。l 支持以太網(wǎng)OAM，提供多種設備級和網(wǎng)絡級的故障檢測手段。8) 綠色環(huán)保設計l S12500通過智能化的EMS引擎系統(tǒng)，支持對電源的智能管理功能，可以支持單板順序上電（降低單板同時上電帶來的電源沖擊，提高設備壽命，降低電磁輻射），可以控制單板下電，隔離故障/空閑單板，降低系統(tǒng)功耗。l S12500風扇采用高效PWM調(diào)速風扇，支持無級調(diào)速。系統(tǒng)可以自動收集單板溫度，根據(jù)設備實際情況計算風扇調(diào)速曲線，并將調(diào)速命令下發(fā)到風扇框。系統(tǒng)支持風扇狀態(tài)監(jiān)控（轉(zhuǎn)速監(jiān)控、故障告警等）可以根據(jù)環(huán)境溫度、單板配置自動分區(qū)調(diào)速，降低設備功耗和運行噪聲，有效降低環(huán)境噪音并延長風扇壽命。l S12500支持內(nèi)部端口的自動檢測，當某槽位未配置接口板時，或者端口未連接線纜時候，系統(tǒng)可以自動關(guān)閉相應的內(nèi)部端口，節(jié)省了整機功耗。l S12500產(chǎn)品滿足材料環(huán)保與安全性的歐盟RoHS標準。. 匯聚層設計匯聚層：作為接入層和核心層的分界層，匯聚層完成以下的功能：216。 各功能分區(qū)IP地址或路由區(qū)域的匯聚；216。 不同業(yè)務功能的匯聚；216。 本功能區(qū)VLAN 間的路由；216。 廣播域或組播域的邊界；216。 在匯聚層實施功能區(qū)內(nèi)、功能區(qū)之間的安全訪問策略。. 網(wǎng)絡方案說明匯聚層共包括6個區(qū)域匯聚點：學生公寓組團學生公寓組團會澤院組團、工科教學組團、理科教學組團、學生會堂組團。匯聚區(qū)是BBB大學YYY校區(qū)網(wǎng)絡承上啟下的關(guān)鍵，需要保證該層次網(wǎng)絡的可靠性。每個區(qū)域匯聚區(qū)部署1臺高端交換機，采用多引擎架構(gòu)架構(gòu)，并且配置冗余引擎、冗余電源和冗余風扇，以保障設備的可靠性。區(qū)域匯聚交換機分別通過萬兆冗余鏈路接入到兩臺核心交換機，下行接入各個建筑單體的接入交換機，由于學生公寓組團1和2單個建筑信息點數(shù)量眾多，所以建議在學生宿舍每個建筑中部署2臺樓宇匯聚交換機，每臺配置雙電源，提高樓宇匯聚節(jié)點的可靠性。為了簡化網(wǎng)絡部署，簡化網(wǎng)絡管理，并提高故障恢復的速度，樓宇匯聚交換機采用虛擬交換架構(gòu)互聯(lián)，區(qū)域匯聚設備通過跨設備鏈路聚合與核心設備互聯(lián)。. 安全規(guī)劃l 為了防止各個部分之間非法訪問，導致竊取、破壞等攻擊，本次在匯聚層部署防火墻進行安全區(qū)域的隔離。l 后期還可以針對綜合辦公樓區(qū)部署網(wǎng)流分析功能，以便管理員能了解該區(qū)域