大學校園網(wǎng)建設技術建議書(完整版)

　　

【正文】 身心地為之努力。 同時，隨著國家信息化工作的深入開展，提高教育系統(tǒng)信息化水平成為當前工作的重點。 S6500系列高端多業(yè)務交換機 ...............................86 服務器群萬兆匯聚交換機 S5600.....................................91 QUIDWAY174。 .........................................15 匯聚層強大的 IRF擴展性能 ...................................15： ...................................24 E系列接入層交換機 .........................................25 QOS功能 ...................................................26 廣播風暴的抑止 .............................................27 XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 2 組播業(yè)務 ...................................................27 XXXXX大學 IPV6網(wǎng)絡設計 ..........................................28 IPv6的優(yōu)勢 ...............................................28 整體設計 ...................................................29 IPv6運行模式設計 ..........................................30 ....................................................334．XXXXX 大學用戶管理及安全方案 ........................................37 ......................................37 ......................................3授權管理描述 ..........................................38－ .......................................384．4 CAMS 對用戶上網(wǎng)認證的管理 .......................................42 用戶需求分析 ...............................................42 CAMS解決方案 ..............................................42 業(yè)務認證流程 ...............................................55 管理方案的堅定執(zhí)行者：E050、E026 智能交換機 ......................57 端口＋IP＋MAC 地址的綁定： .................................57 接入層防 Proxy的功能 .......................................57 MAC地址盜用的防止 .........................................58 MAC地址反查，防攻擊特性 ...................................58 GUEST VLAN 實現(xiàn)用戶客戶端的安全下載 ..............................585．核心網(wǎng)安全設計 ......................................................60 BT業(yè)務限流量的解決方案 ...................................60 XXXXX大學安全的應用 ..............................65： .........................................65 XXXXX大學規(guī)劃高安全的校園網(wǎng)。網(wǎng)絡國際出口帶寬增長飛速，總數(shù)達到 ，比去年同期增長 %。校園網(wǎng)提供了學校與外界交流的窗口，學校應將校園網(wǎng)與互聯(lián)網(wǎng)聯(lián)接，這也是學校信息化的要求，做到了這一步，通過校園網(wǎng)去了解世界、在互聯(lián)網(wǎng)上樹立學校的形象都是很容易的。主要特點如下：多出口的需求：典型的組網(wǎng)有中國教育和科研網(wǎng)（CERNET）出口和運營商網(wǎng)絡出口。要求能做到基于 WEB的身份認證、多 ISP選擇、W 用戶費率查詢、帶寬動態(tài)調(diào)整（隱性需求） 、多 WEB界面（隱性需求）等。2) VOD 點播業(yè)務實現(xiàn)，通過建立 VOD視頻服務器平臺，利用交換機提供的組播功能，為 XXXXX大學的用戶提供優(yōu)質(zhì)的視頻效果，同時節(jié)省用戶帶寬。所以在建設時要充分考慮業(yè)務的擴展能力，能針對不同的用戶需求提供豐富的寬帶增值業(yè)務，使網(wǎng)絡具有自我造血機制，實現(xiàn)以網(wǎng)養(yǎng)網(wǎng)。 網(wǎng)絡層次介紹：在核心層，核心層主要采用三個骨干節(jié)點，分別為網(wǎng)絡中心核心交換機（教學區(qū)），服務器群核心交換機，學生宿舍區(qū)核心交換機，此次網(wǎng)絡的改造主要是為了實現(xiàn)骨干網(wǎng)帶寬的提升，由原來的千兆骨干網(wǎng)帶寬提升至萬兆，網(wǎng)絡內(nèi)部采用動態(tài)路由協(xié)議 OSPF，環(huán)網(wǎng)的構成進一步大大提高了網(wǎng)絡的可靠性，同時華為 S8512萬兆交換機其背板容量 ，交換容量 720G，包轉發(fā)率 432Mpps，具有 14個插槽，包括 12個業(yè)務插槽，S8505 背板容量 750G，交換容量 300G，包轉發(fā)率 180Mpps，進一步滿足大型節(jié)點高數(shù)據(jù)量轉發(fā)的特點完全滿足骨干節(jié)點的需求，整個改造后的 IP網(wǎng)絡與校園網(wǎng)核心交換機之間采用 10GE的帶寬相連大大擴大的原有的帶寬，S8500 萬兆核心交換機采用 Crossbar體系結構所有端口均線速轉發(fā)。在接入層，接入層是直接與用戶相連的設備，因此，在實際的應用的過程當中我們建議采用華為 3Com E050/E026產(chǎn)品，由于樓內(nèi)布線采用千兆銅纜布線，所以建議通過在 E050/E026上配置千兆電接口與樓內(nèi)核心交換機 S5600進行鏈接，這樣將會進一步擴大帶寬。 XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 143．網(wǎng)絡業(yè)務設計根據(jù) XXXXX大學的用戶特點，考慮到網(wǎng)絡中心的維護工作量，這里我們建議采用動態(tài) DHCP的方式進行 IP地址分配。再次,分布式的轉發(fā)，對于 S8500路由查找是非常有益的補充。 基于流攻擊的防止。IRF 是在提供業(yè)務的同時進行備份。因此，IRF 技術能夠通過多個單機設備的堆疊，輕易的將設備的核心交換能力、用戶端口的密度擴大數(shù)倍，從而大幅度提高了設備的性能。1 234IRF XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 20軟件版本升級相對于以前的簡單堆疊，對堆疊體內(nèi)多臺單機進行軟件升級的操作將要執(zhí)行多次，而 IRF交換機，通過 WEB網(wǎng)管，用戶只需要執(zhí)行一次操作，就可以實現(xiàn) fabric內(nèi)所有 unit的軟件的自動升級。分布式二層協(xié)議組成 IRF的多臺交換機就像一臺設備在運行，當然這也包括很多協(xié)議的運行。如果采用環(huán)形連接，而且報文需要從 fabric內(nèi)其它 unit轉發(fā)出去，那么收到報文的 unit一般會有兩條路徑選擇將報文轉發(fā)到出端口所在的 unit上。但是無論端口是在本地，還是在其它 unit上，轉發(fā)過程只需要一次查詢二層轉發(fā)表，就可以被交換出去。相對于集中式的轉發(fā)，減少了對單臺設備的依賴，同時減輕設備的轉發(fā)負載。 XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 272．動態(tài) Vlan的功能對于位置移動的用戶（有便攜機） ，可以采用動態(tài) Vlan的技術來實現(xiàn)，用戶的的 Vlan是和用戶的 ID號對應的，用戶可以通過不同地理位置的接入點上網(wǎng)，用戶認證的過程當中，Raduis 服務器會根據(jù)用戶的 ID號對應到用戶所屬的 Vlan當中。 組播業(yè)務Quidway S8500、S5600、E050 通過標準的組播協(xié)議完成用戶的組播管理，S850S5600 均可以支持豐富的組播協(xié)議，包括ICMP、PIM－SM、PIM－DM、MSDP 等組播協(xié)議，可支持豐富的業(yè)務，包括視頻點播、流媒體點播，可支持各種流媒體終端以及組播源的種類。同時，對于無視頻流需求端口無需要進行復制。即插即用：IPv6 引入自動配置以及重配置技術，對于 IP地址等信息實現(xiàn)自動增刪更新配置，提高 IPv6的易管理性。161。161。對于終端的 PC機用戶來說也可以實現(xiàn)網(wǎng)絡的訪問，PC 機終端會攜帶 IPV6請求包向 IPv6接口發(fā)出請求，該報文通過 IPv4網(wǎng)絡時將會直接封裝為 IPv4包，當?shù)竭_IPv6接口時，將還原為 IPv6包，當接口得到 IPv6請求時，會返回其請求的前綴，報文同樣被封裝為 IPv4包，當?shù)竭_終端 IPv6主機時，會直接還原為 IPv6包，并將前綴直接分給終端主機，終端主機結合自己的后綴，自動配置好 IPv6地址，進而實現(xiàn) PC機終端與邊界路由器之間的 6to4隧道。成本低QuidView不像大型網(wǎng)管系統(tǒng)那樣系統(tǒng)龐大，它將網(wǎng)管人員最為關心的網(wǎng)絡信息直觀而濃縮地呈現(xiàn)于網(wǎng)管人員面前，使其方便地了解設備各端口的運行情況以及主要的設備性能指標。設備日志和告警管理 在系統(tǒng)獨立運行時，設備日志管理完成接收設備發(fā)送到網(wǎng)管的 Syslog 日志報文，直接保存到文件中；設備告警管理完成接收設備發(fā)送到網(wǎng)管的告警報文，將該Trap 進行解析并保存到文件中。但是如何進行用戶身份確認呢？這就需要通過認證技術來實現(xiàn)。 XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 39認證管理方案是一個整體的方案，考慮 XXXXX大學原有計費網(wǎng)關，因此本次主要在新建校園網(wǎng)內(nèi)實施相應的管理措施。、授權管理描述－認證管理是接入層交換機和認證軟件平臺重要的特性，本次我們建議采用。綜合考慮，華為 3公司在實際的在建網(wǎng)的過程當中遵循了以下幾點要求：1) 認證交換機。這些認證技術各有千秋，PPPOE 技術被廣泛的應用在寬帶小區(qū)，WEB 認證被應用在一些信息系統(tǒng)內(nèi)，而。路由器設備端口配置信息 接口描述、接口類型、最大傳輸單元、接口速率、物理地址、管理狀態(tài)、操作狀態(tài)、持續(xù)運行時間、本地描述路由器設備端口運行狀態(tài) 接口使用率、輸入包誤碼率、輸出包誤碼率、輸入包丟棄率、輸出包丟棄率、輸入包未知協(xié)議率 下圖是該產(chǎn)品的界面示例： XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 37 XXXXX 校園網(wǎng)改造技術建議書 XXXXX 大學網(wǎng)絡改造項目 機密文件 384．XXXXX 大學用戶管理及安全方案隨著網(wǎng)絡規(guī)模的擴大，用戶不斷的增加，網(wǎng)絡使用中出現(xiàn)了不少不和諧的聲音：賬戶盜用，惡意欠費，黑客攻擊，反動言論等。除此以外，QuidView 系統(tǒng)使用全新的 JFC類庫，所有控件均支持 Look and Feel特性，該特性使得 QuidView既可以在不同平臺上呈現(xiàn)出統(tǒng)一的顯示風格，也能夠使控件的風格與操作系統(tǒng)相一致。華為 NE40可完全實現(xiàn)雙棧的運行方式，滿足用戶的各種需求。IPV6 User雙棧 雙棧雙棧NATPT如圖所示，在同一臺接入層交換機下可能存在不同的用戶有 V6用戶也有 V4用戶，對于 V4與 V4用戶的互通，或是 V6與 V6用戶的互通可以直接通過核心交換機來實現(xiàn)，而對于兩個跨 V4網(wǎng)的 V6孤島之間的互聯(lián)可以通過隧道技術來實現(xiàn)，通過兩個 V6邊界路由之間建立隧道的方式進行互訪，邊界路由交換機 S8500以及匯聚層交換機 S5600都采用雙棧運行的模式，對于 V6用戶訪問 V4的資源方式，可以采用ALG或是 NPATPT的方式來實現(xiàn)，將 V6的和 V4的報文頭進行互譯，從而實現(xiàn) V6與V4用戶的互通。IPV4 User161。Qos 考慮：新增流標記域，為源宿端快速處理實時業(yè)務提供可能，有利于低性能的業(yè)務終端支持 IPv6的語音、視頻等應用。對于 IPv6的業(yè)務開展，對于 IPv6流媒體的訪問同樣可以采用 IPv6組播協(xié)議進行 IPv6業(yè)務的開展，通過核心、匯聚 IPv6協(xié)議的支持，可以在全網(wǎng)開展IPv