大學(xué)校園網(wǎng)建設(shè)技術(shù)建議書(更新版)

　　

【正文】 6業(yè)務(wù)，確保 IPv6組播業(yè)務(wù)能夠很好的開展，便于 IPv6業(yè)務(wù)的豐富、提高。由 S5600完成對(duì)其下掛的匯聚交換機(jī)以及樓道交換機(jī)的組播用戶進(jìn)行報(bào)文復(fù)制和發(fā)送。華為 E050接入層交換機(jī)可以為用戶提供強(qiáng)大的動(dòng)態(tài)VLAN功能切實(shí)可行的為用戶提供豐富的業(yè)務(wù)功能。同傳統(tǒng)的堆疊技術(shù)和多臺(tái)單機(jī)互聯(lián)設(shè)備相比，使用 IRF技術(shù)堆疊的設(shè)備，可以做到按需轉(zhuǎn)發(fā)組播數(shù)據(jù)報(bào)文，減少設(shè)備間組播數(shù)據(jù)流量。為了實(shí)現(xiàn) fabric內(nèi)二層分布式轉(zhuǎn)發(fā)，而且 IRF內(nèi)的交換機(jī)表現(xiàn)的象一臺(tái)設(shè)備一樣，當(dāng)一臺(tái) unit新學(xué)習(xí)到 MAC表項(xiàng)以及用戶配置的 MAC表項(xiàng)，都需要同步到 fabric內(nèi)的其它設(shè)備上。這種最短路徑的轉(zhuǎn)發(fā)方式，比起單向的轉(zhuǎn)發(fā)，不僅效率高，而且可以起到負(fù)載分擔(dān)的作用。在外界看來(lái)，組成 IRF的各個(gè)設(shè)備好像是一個(gè)協(xié)議實(shí)體在運(yùn)行，而在內(nèi)部，各個(gè)協(xié)議分布運(yùn)行在 IRF的各個(gè)設(shè)備上，每個(gè)設(shè)備都獨(dú)立承擔(dān)本設(shè)備的協(xié)議計(jì)算，協(xié)議在 fabric內(nèi)負(fù)載分擔(dān)運(yùn)行，這樣不僅提高了設(shè)備的利用率，同時(shí)，由于是分布式運(yùn)行，每臺(tái)設(shè)備上只需要保留本 unit的信息，任何一臺(tái)設(shè)備上不需要 fabric完整的協(xié)議狀態(tài)信息，節(jié)省了大量的設(shè)備間備份操作。當(dāng)一臺(tái)設(shè)備通過(guò)堆疊線接入到一個(gè)正在運(yùn)行的 fabric內(nèi)，原有的 fabric就會(huì)檢測(cè)到新的設(shè)備，同時(shí)驗(yàn)證新設(shè)備是否可以加入到 fabric，如果驗(yàn)證通過(guò)，新加入的設(shè)備將會(huì)得到原有的全局配置信息和轉(zhuǎn)發(fā)信息，同時(shí)將自己設(shè)備特有的配置和轉(zhuǎn)發(fā)信息散發(fā)到 fabric內(nèi)，經(jīng)過(guò)短暫的信息交互后，新加入的設(shè)備就可以參與轉(zhuǎn)發(fā)了。由于業(yè)務(wù)的需要，如果用戶需要擴(kuò)展網(wǎng)絡(luò)的容量，只需要堆疊更多的 IRF交換機(jī)，就可以達(dá)到擴(kuò)容的目的。IRF的分布式彈性路由鏈路的備份分布式的聚合技術(shù)進(jìn)一步消除了聚合設(shè)備單點(diǎn)失效的問(wèn)題，提高了聚合鏈路的 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 18可用性。這樣就可以避免校園網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件進(jìn)行的一些基于流的共計(jì)，因?yàn)檫@種攻擊是通過(guò)不斷變換自己的本網(wǎng)斷內(nèi)的 IP地址，來(lái)不斷消耗主控處理板的CPU處理能力，直到徹底使主控處理板的 CPU喪失處理能力，整個(gè)機(jī)器癱掉。這樣就可以避免校園網(wǎng)內(nèi)外的非法用戶利用專門的攻擊軟件來(lái)攻擊中心交換機(jī)，因?yàn)檫@種攻擊是通過(guò)不斷變換自己的本網(wǎng)斷內(nèi)的 IP地址，來(lái) XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 16不斷消耗主控處理板的 CPU處理能力，直到徹底使主控處理板的 CPU喪失處理能力，整個(gè)機(jī)器癱掉。 S5600匯聚層交換機(jī)萬(wàn)兆的支持 從網(wǎng)絡(luò)的整體結(jié)構(gòu)上我們可以看出整個(gè)網(wǎng)絡(luò)的設(shè)計(jì)是采用核心萬(wàn)兆環(huán)網(wǎng)，核心與匯聚、匯聚與接入之間均采用千兆的方式，接入與最終用戶之間采用百兆的方式進(jìn)行互通，整個(gè)網(wǎng)絡(luò)的瓶頸在核心與匯聚之間的連接存在瓶頸，隨著網(wǎng)絡(luò)接入用戶的不斷擴(kuò)大，匯聚與接入之間可以采用萬(wàn)兆的方式進(jìn)行互聯(lián)。華為 E系列接入層交換機(jī)具有強(qiáng)大的業(yè)務(wù)特性，可以支持 256個(gè)標(biāo)準(zhǔn)的 VLAN，VLAN ID均可達(dá) 4096個(gè)并能夠提供強(qiáng)大的業(yè)務(wù)功能：如 、動(dòng)態(tài) ACL、動(dòng)態(tài) Vlan、防止 Proxy等功能。在匯聚層，由于宿舍區(qū)存在密集度高的大量用戶，為了保證數(shù)據(jù)傳輸和交換的效率，現(xiàn)在各個(gè)樓內(nèi)設(shè)置三層樓內(nèi)匯聚層。開放性技術(shù)選擇必須符合相關(guān)國(guó)際標(biāo)準(zhǔn)及國(guó)內(nèi)標(biāo)準(zhǔn)，避免個(gè)別廠家的私有標(biāo)準(zhǔn)或內(nèi)部協(xié)議，確保網(wǎng)絡(luò)的開放性和互連互通，滿足信息準(zhǔn)確、安全、可靠、優(yōu)良交換傳送的需要；開放的接口，支持良好的維護(hù)、測(cè)量和管理手段，提供網(wǎng)絡(luò)統(tǒng)一實(shí)時(shí)監(jiān)控的遙測(cè)、遙控的信息處理功能，實(shí)現(xiàn)網(wǎng)絡(luò)設(shè)備的統(tǒng)一管理。 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 8 XXXXX大學(xué)建網(wǎng)需求XXXXX大學(xué)的用戶需求請(qǐng)自行添加。通過(guò)此種方式限制賬號(hào)的使用區(qū)域。用戶可通過(guò)不同的賬號(hào)名或采用相同的賬號(hào)，不同的域名認(rèn)證，獲得不同的上網(wǎng)權(quán)限。信息技術(shù)的應(yīng)用，勢(shì)必極大地推進(jìn)教育手段和教育內(nèi)容的革命性變革。8700 萬(wàn)網(wǎng)民當(dāng)中，教育的用戶占有 %，教育用戶當(dāng)中絕大部分的網(wǎng)民主體是來(lái)自于學(xué)生用戶，報(bào)告中主要數(shù)據(jù)說(shuō)明，前十年的發(fā)展取得豐碩成果，我國(guó)互聯(lián)網(wǎng)事業(yè)正在持續(xù)快速的發(fā)展，并在普及應(yīng)用上進(jìn)入嶄新的多元化應(yīng)用階段！互聯(lián)網(wǎng)的影響正逐步滲透到人們生產(chǎn)、生活、工作、學(xué)習(xí)的各個(gè)角落。 S8500系列萬(wàn)兆核心路由交換機(jī) .............................80 QUIDWAY174。 ...................6防止對(duì) DHCP服務(wù)器的攻擊 ........................................71 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 3 Private VLAN...............................................71 訪問(wèn)控制列表 ...............................................71 新的命令 ...................................................7惡意用戶追查 ...................................................72 防病毒攻擊 .....................................................72 EAD全網(wǎng)安全聯(lián)動(dòng)解決方案 .........................................73 網(wǎng)絡(luò)管理安全設(shè)計(jì) ................................................75 ..................................................78 ..............................................796．組網(wǎng)核心設(shè)備介紹 ....................................................80 QUIDWAY174。CN 下注冊(cè)的域名數(shù)、網(wǎng)站數(shù)分別達(dá)到 38萬(wàn)和 。 教育即未來(lái)，作為國(guó)家最重要的戰(zhàn)略工程，如何應(yīng)用信息技術(shù)改造我們傳統(tǒng)的教 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 6學(xué)和管理手段；如何加深學(xué)生對(duì)于信息化和信息技術(shù)的理解與了解；如何造就同時(shí)具備傳統(tǒng)和信息雙重文化的一代新人，已成為教育界當(dāng)前最為緊迫的任務(wù)之一。多出口帶來(lái)了以下兩個(gè)需求：1) 多權(quán)限 ISP需求。2) 需要解決賬號(hào)和端口綁定問(wèn)題。安全管理的需求：1) 校園用戶接受新鮮事務(wù)的能力非常強(qiáng)，因此校園也成為黑客最多的場(chǎng)所之一，如何保障校園網(wǎng)絡(luò)的安全成為建網(wǎng)時(shí)不得不考慮的問(wèn)題，目前主要攻擊手段有 DOS，DDOS 等2) 上網(wǎng)日志的需求，主要是配合公安機(jī)關(guān)保證社會(huì)的穩(wěn)定和校園的安全組播業(yè)務(wù)的需求，特別是可控組播的需求將隨著校園信息化的深入而體現(xiàn)出來(lái)。 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 9可擴(kuò)充性考慮到 XXXXX大學(xué)用戶數(shù)量和業(yè)務(wù)種類發(fā)展的不確定性，要求對(duì)于核心交換機(jī)與匯聚交換機(jī)具有強(qiáng)大的擴(kuò)展功能，XXXXX 大學(xué)校園網(wǎng)絡(luò)要建設(shè)成完整統(tǒng)一、組網(wǎng)靈活、易擴(kuò)充的彈性網(wǎng)絡(luò)平臺(tái)，能夠隨著需求變化，充分留有擴(kuò)充余地。核心層的重點(diǎn)應(yīng)當(dāng)中重點(diǎn)考慮如何提高核心的組網(wǎng)架構(gòu)，因此在實(shí)際的應(yīng)用的過(guò)程當(dāng)中建議采用環(huán)形的方式，如上圖所示，鐵三角的模式進(jìn)一步提高了核心網(wǎng)的安全性以及穩(wěn)定性。華為 3Com E050/E026具有 48/24個(gè)固定的 10/100M自適應(yīng)以太網(wǎng)接口，2 個(gè)擴(kuò)展插槽，背板容量 ，包轉(zhuǎn)發(fā)率 口的線速轉(zhuǎn)發(fā)，支持各種類型的上行接口，支持堆疊。考慮到 IP地址的管理比較繁瑣，在實(shí)際的應(yīng)用的過(guò)程當(dāng)中建議可以與 CAMS配合，實(shí)現(xiàn) IP地址分配至用戶的方式進(jìn)行 IP地址的管理。因?yàn)?S8500的路由查找模式為最長(zhǎng)匹配。華為 3所采用產(chǎn)品 S8500、S5600 等三層轉(zhuǎn)發(fā)模式均為最長(zhǎng)路由匹配技術(shù)。DRR實(shí)現(xiàn)了路由協(xié)議熱備份的技術(shù)，做到了同一個(gè) fabric中各個(gè) unit上路由信息的嚴(yán)格同步，并且在其中一個(gè)或多個(gè) unit出現(xiàn)故障的時(shí)候，其它 unit可以照常運(yùn)行并迅速接管故障 unit的功能，此時(shí)，域內(nèi)路由協(xié)議不會(huì)隨之出現(xiàn)中斷，二/三層轉(zhuǎn)發(fā)流量和業(yè)務(wù)也不會(huì)出現(xiàn)中斷，從而實(shí)現(xiàn)了真正意義上的不中斷路由協(xié)議、不中斷業(yè)務(wù)的故障保護(hù)和設(shè)備切換功能。IRF XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 19擴(kuò)展性IRF技術(shù)最大支持八臺(tái)設(shè)備的堆疊，用戶可以按照自身的需要購(gòu)買 IRF交換機(jī)。設(shè)備的熱插拔組成 fabric的設(shè)備可以任意的插入和拔出，而不會(huì)影響當(dāng)前 fabric的正常運(yùn)行。IRF交換機(jī)支持的多數(shù)協(xié)議，例如 RSTP、IGMP－SNOOPING、LACP 等，這些協(xié)議 XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 21都是分布運(yùn)行在 fabric內(nèi)的各個(gè)設(shè)備上，每個(gè)設(shè)備獨(dú)立運(yùn)行協(xié)議，與外部協(xié)議實(shí)體進(jìn)行交互；同時(shí)為了保持 IRF作為一個(gè)整體運(yùn)行，unit 之間完成必要的信息交互。IRF 在進(jìn)行轉(zhuǎn)發(fā)時(shí)，會(huì)選擇一條距離出端口所在 unit最近的路徑轉(zhuǎn)發(fā)。在 fabric內(nèi)任何 unit接收到轉(zhuǎn)發(fā)報(bào)文，都會(huì)在本 unit上進(jìn)行源 MAC地址學(xué)習(xí)，就像其它任何交換機(jī)所作的一樣；但是，無(wú)論 fabric內(nèi)有多少臺(tái)設(shè)備，IRF 交換機(jī)必須表現(xiàn)的像一臺(tái)交換機(jī)在工作一樣，那么，在一臺(tái) unit上學(xué)習(xí)的二層轉(zhuǎn)發(fā)表項(xiàng)，fabric內(nèi)的其它 unit也必須有，否則，報(bào)文就會(huì)在 VLAN內(nèi)廣播。組播轉(zhuǎn)發(fā)組播數(shù)據(jù)轉(zhuǎn)發(fā)是影響網(wǎng)絡(luò)帶寬的禍?zhǔn)祝绾魏侠碛行У奶幚斫M播數(shù)據(jù)轉(zhuǎn)發(fā)是困擾業(yè)界的一個(gè)難題。這樣學(xué)校便攜機(jī)使用者能夠方便的使用學(xué)校的網(wǎng)絡(luò)資源，同時(shí)學(xué)校有能夠?qū)σ苿?dòng)用戶進(jìn)行管理監(jiān)控。并可以并通過(guò)HGMP協(xié)議將各樓道交換機(jī)也納入到組播實(shí)現(xiàn)中。S5600、S8500 均支持可控組播，可控制的組播源的地址，可確保對(duì)終端用戶的控制。貼身安全：IPv6 集成了 IPSec，用于網(wǎng)絡(luò)層的認(rèn)證與加密，為用戶提供端到端安全，使用起來(lái)比 IPv4簡(jiǎn)單、方便，可以在遷移到 IPv6時(shí)同步發(fā)展 IPSec。173。173。雙 棧 模 式華為 3Com NE40路由器支持雙棧方式的運(yùn)行，即一臺(tái)路由器可實(shí)現(xiàn)同時(shí)處理IPv4以及 IPv6兩種方式，如下圖所示： XXXXX 校園網(wǎng)改造技術(shù)建議書 XXXXX 大學(xué)網(wǎng)絡(luò)改造項(xiàng)目 機(jī)密文件 34在由同一個(gè)物理網(wǎng)絡(luò)當(dāng)中同時(shí)存在兩種模式的 IP網(wǎng)絡(luò)，即：IPv6 網(wǎng)絡(luò)與 IPv4網(wǎng)絡(luò)，IPV6 用戶之間可實(shí)現(xiàn)互通，同時(shí) IPv4用戶亦可在同一張網(wǎng)絡(luò)當(dāng)中實(shí)現(xiàn)互通，這樣每個(gè)點(diǎn)的用戶即可以通過(guò)核心路由器之間進(jìn)行 IPv4的互通，也可以通過(guò)核心路由器 NE40 進(jìn)行 IPv6的互通，進(jìn)行 IPV6的相關(guān)實(shí)驗(yàn)。支持多種操作系統(tǒng)平臺(tái)純 Java的實(shí)現(xiàn)，保證 QuidView無(wú)須修改便能運(yùn)行于當(dāng)前主流 的各種平臺(tái)之上。路由器設(shè)備整體運(yùn)行狀態(tài) CPU負(fù)載、系統(tǒng)溫度、風(fēng)扇狀態(tài)、VOS 內(nèi)存空閑率、NonVolatile空閑率、內(nèi)存分布錯(cuò)誤次數(shù)、內(nèi)存分配不足引起的分配錯(cuò)誤輸入 IP報(bào)文、表頭錯(cuò)誤的輸入 IP報(bào)文、地址錯(cuò)誤 IP報(bào)文、未知協(xié)議數(shù)據(jù)報(bào)、緩沖溢出輸入 IP報(bào)文、緩沖溢出的輸出 IP報(bào)文、轉(zhuǎn)發(fā)的 IP報(bào)文、無(wú)路由的輸出IP報(bào)文、成功重組的 IP報(bào)文安全日志管理 安全管理功能主要有以下幾個(gè)方面：操作日志管理，用戶管理，用戶組管理，設(shè)備集管理，操作集管理，權(quán)限管理，用戶登錄管理。目前認(rèn)證技術(shù)有許多，如 WEB認(rèn)證， 認(rèn)證，PPPOE 認(rèn)證。而且從校園網(wǎng)實(shí)際使用情況看，學(xué)生宿舍區(qū)的網(wǎng)絡(luò)建設(shè)中認(rèn)證管理是最為突出的問(wèn)題，考慮到學(xué)生的技術(shù)水平較高、學(xué)校內(nèi)喜歡攻擊網(wǎng)絡(luò)的學(xué)生較多，在實(shí)際的建網(wǎng)過(guò)程當(dāng)中應(yīng)當(dāng)充分考慮到這些因素可能會(huì)帶來(lái)的相關(guān)問(wèn)題，在組網(wǎng)建設(shè)過(guò)程當(dāng)中避免。 IEEE在 ，標(biāo)準(zhǔn)的起草者包括Microsoft，Cisco，Extreme，Nortel 等； 定義了基于端口的網(wǎng)絡(luò)接入控制協(xié)議（port based work access control） ，該協(xié)議適用于接入設(shè)