某校園網絡解決建設方案(編輯修改稿)

　

【文章內容簡介】 ay、ISDN、Leased Line連入遠程節點。接入層網絡由樓棟交換節點和樓層交換節點組成，接入層網絡應該可以滿足各種客戶的接入需要，而且能夠實現客戶化的接入策略，業務QOS保證，用戶接入訪問控制等等。接入層交換機亦稱外圍交換機或邊緣交換機，一般都屬于可堆疊/可擴充式固定端口交換機，應具備下列要求：1）端口選擇：對端口的選擇包括兩個方面，一個是端口數量，一個是端口類型。而且可以堆疊、易擴展，以便由于信息點的增加而從容地進行擴容。2）高性能。作為大型網絡的二級交換設備，應支持千兆/百兆高速上連以及同級設備堆疊，當然還要注意與核心交換機品牌的一致性；如果用作小型網絡的中央交換機，要求具有較高的背板帶寬和三層交換能力。3）性價比高。在滿足網絡性能要求的同時，達到最高的性價比，使用方便簡單。4）支持多級別網絡管理。樓層交換節點采用千兆智能堆疊交換機，提供智能的流分類和完善的QoS特征。為各類型網絡提供完善的端到端的服務質量、豐富的安全設置和基于策略的網管，最大化滿足高速、融合、安全的園區網新需求；本方案中各接入層交換機通過千兆鏈路上聯到各匯聚層設備，對下聯的桌面設備提供全雙工的百兆連接，為各類用戶提供無阻塞的交換性能。因此采用數十臺RGS2424G系列安全智能交換機擔當網絡接入。RGS2424G是銳捷網絡推出的全千兆安全智能接入交換機，在提供高性能、高帶寬的同時，提供智能的流分類、完善的服務質量（QoS）和組播應用管理特性，并可以根據網絡的實際使用環境，實施靈活多樣的安全控制策略，有效防止和控制病毒傳播和網絡攻擊，控制非法用戶接入和使用網絡，保證合法用戶合理化使用網絡資源，充分保障了網絡高效安全、網絡合理化使用和運營。RGS2424G特有的CPU保護控制機制，對發送到CPU的數據進行帶寬控制，以避免非法者對CPU的惡意攻擊，充分保障了交換機的安全。RGS2424G為方便不同管理員的使用習慣，提供了多種形式的管理工具，如SNMP、Telnet、Web和Console口等。RGS2424G以極高的性價比為各類型網絡提供完善的端到端的QoS服務質量、靈活豐富的安全策略管理和基于策略的網管，最大化滿足高速、高效、安全、智能的企業網新需求。、完全保證快速收斂，提高容錯能力，保證網絡的穩定運行和鏈路的負載均衡，合理使用網絡通道，提供冗余鏈路利用率。 網絡出口設計校園網出口，作為唯一連接外界網絡的平臺，是校園網與外界溝通交流的窗口，承載了各類與教學、科研、辦公、生活息息相關的應用；出口平臺對各應用的承載能力，將對高校的教學、科研、辦公、生活產生直接和間接的影響。銳捷網絡高校校園網出口解決方案，充分考慮網絡出口承載的多種業務系統對網絡的要求，形成了包含外網連接層、安全防護層、應用控制層、VPN接入層、日志管理層在內的針對性出口網絡解決方案。XX大學應用銳捷網絡高校校園網出口解決方案，在安全防護層部署1臺RGWALL1000、應用控制層部署1臺RGACE 3000完成出口網絡的應用流量控制，而RSR08承擔多出口負載均衡。這樣的出口設計將實現了多出口的合理使用，有效抵御DDoS攻擊，實現病毒、木馬以及異常流量的阻斷。為了以后擴展的需要，所以采用了RGWALL1000。RGWALL1000采用銳捷網絡獨創的分類算法（Classification Algorithm）設計的新一代安全產品——第三類防火墻，支持擴展的狀態檢測（Stateful Inspection）技術，具備高性能的網絡傳輸功能；同時在啟用動態端口應用程序(如VoIP, H323等)時，可提供強有力的安全信道。采用銳捷獨創的分類算法使得RGWALL產品的高速性能不受策略數和會話數多少的影響，產品安裝前后絲毫不會影響網絡速度；同時，RGWALL在內核層處理所有數據包的接收、分類、轉發工作，因此不會成為網絡流量的瓶頸。另外，RGWALL具有入侵監測功能，可判斷攻擊并且提供解決措施，且入侵監測功能不會影響防火墻的性能。RGWALL的主要功能包括：擴展的狀態檢測功能、防范入侵及其它（如URL過濾、HTTP透明代理、SMTP代理、分離DNS、NAT功能和審計/報告等）附加功能。RGACE 3000可有效識別包括Web迅雷在的多種應用層協議，可實現基于用戶的應用帶寬限制及數據統計，使得各種關鍵應用的帶寬得到充分的保障。銳捷RSR08路由器是高性能、通用的骨干匯聚路由器，具有高背板帶寬、高包轉發率、結構緊湊、端口密度高等特點，并能提供全范圍的光纖和銅纜接口。RSR08路由器具有強大的業務能力，可以滿足目前所有的城域匯聚和接入需求，提供多協議標準交換 (MPLS)第2或3層隧道技術、動態帶寬控制和面向連接的數據收集體系。作為多協議標記（MPLS）PE路由器，他們使提供商的基于MPLS的業務具有高度的可擴展性和可靠性。通過使用VPLS，可以利用原有網絡和以太網基礎設施提供VOIP、互聯網接入、視頻以及多點虛擬專用網（VPN）等融合業務。銳捷RSR08路由器支持包括TDM、POS、ATM和千兆位以太網，速率高達OC 48。部署在各種應用中，RSR08路由器可用于搭建骨干匯聚路由器和核心層網絡，為用戶提供綜合的、高性能、功能強大的服務, 并提供高可用性網絡所需的冗余支持。 VLAN劃分根據校園網的實際需求，屬于同一部門的工作人員可能在不同的建筑物中，但需要在一個邏輯子網內。網絡站點的增減，人員的變動，無論從網絡管理，還是用戶的角度來講，都需要虛擬網技術的支持。因此在校園網絡的整個網絡規劃當中，VLAN 的劃分是非常重要的部分，很好的利用VLAN技術的功能，能起到事半功倍的效果，對整個網絡的性能也是事關重要的。主要突出為以下幾點：l VLAN 劃分，可以避免廣播風暴，在骨干網絡中尤為突出，在多媒體、視頻點播等很容易引起廣播信息；劃分之后，VLAN 是廣播只在子網中進行，不會做無意義的廣播，消除了廣播風暴產生的條件。l VLAN 劃分，可以增加網絡的安全性，在不同的VLAN之間不能隨意通訊，只限與本子網間通訊，不會對其他的子網產生干擾。要進行訪問，需要通過三層交換，這樣信息流就得到相當好的控制。l 網絡管理系統采用完全獨立的IP子網和VLAN，實現更加安全的對所有網絡設備進行管理。建立VLAN 和IP 子網的對應關系。l 提高管理效率，實現虛擬的工作組，減少站點的移動和改變的開銷。l VLAN 間的子網訪問，可以在三層交換機上實現，子網間的通訊也可以在匯聚設備上實行，分流核心交換機的三層交換，優化了組網。根據以往網絡管理經驗和骨干網絡網絡建設的實際情況，方案建議在骨干網絡VLAN劃分規劃以“靈活劃分、方便管理”為基本原則，以不同的使用群體為VLAN范圍劃分。這樣劃分VLAN的好處有：1）方便管理。為了更好的進行VLAN規劃的實施，因此在網絡實施前期，要對網絡中不同區域的VLAN設置進行詳細的規劃，細化到接入層網絡，這樣在骨干網絡這樣大型的校園網絡中如果以用戶群體來劃分VLAN的話，避免由于前期配置設備時復雜煩瑣，而且由于相同的用戶群體可能在不同的物理位置，導致造成整個校園網絡中VLAN劃分復雜，減輕管理和后期維護。所以方案建議骨干網絡劃分VLAN方式前進行詳盡規劃，這樣既可以減少廣播域，又達到劃分VLAN，方便管理的效果，對于后期網絡維護和升級具有十分現實的意義。2） 易于實施。按群體劃分VLAN在工程實施中就十分的方便，不會造成VLAN劃分復雜失誤而使得網絡出現不通的現象，便于工程快速實施和網絡中心整體規劃。3）VLAN間路由采用三層交換設備進行VLAN路由。以便不同VLAN間進行訪問，對于學校重要網絡資源，需要進行權限訪問的時候，建議采用專家級ACL（可同時基于VLAN號、以太網類型、MAC地址、IP地址、TCP/UDP端口號、時間靈活組合限定的硬件ACL）來進行訪問權限設定，保障重要資料不被非法訪問。 Ip地址劃分IP地址的統一、合理規劃以及整個網絡向IPv6的演進是關系到整體分層網絡穩定、快速收斂的關鍵，也是某職業技術學院校園網網絡設計中的重要一環。IP地址規劃的好壞，不僅影響到網絡路由協議算法的效率，更影響到網絡的性能和穩定以及網絡的擴展和管理，也必將直接影響到相關新業務的開拓和網絡應用的進一步可持續性發展。劃分時注意使用VLAN，充分節約IP地址，使路由交換機上能夠采用聚合進行路由的合并，減少路由表的大小。出口到互聯網可以采用NAT防火墻上做地址轉換實現。校區內接入到同一匯聚層交換機的區域建議采用連續IP地址段，以便做路由匯聚。IP地址的分配原則如下：1）每個vlan分配一個C類地址2）給三層交換機設備互連的點對點IP地址分配1個C類地址，提供足夠的擴展性3）考慮到以后的網絡擴展規模，二層交換機設備的管理IP地址分配1個C類IP地址；4）可以考慮為學校校園網分配一個C類私有地址段，,