校园网络安全的解决方案.doc

校园网络安全的解决方案

83
2020年4月19日
文档仅供参考

目 录
前 言 4
第1章 项目概况 4
1.1 项目概况 4
1.2 用户需求 5
1.3 设计思路 5
第2章 需求分析 6
2.1 总体需求 6
2.2 网络应用需求 7
2.3 网络性能需求 8
2.4 网络系统需求 9
2.4.1 网络层次分析 9
2.4.2.IP及路由需求分析 10
2.4.3.网络安全分析 10
2.4.4.网管需求分析 10
2.4.5 对主机系统的要求 11
第3章 建设目标及原则 11
3.1 建设目标 11
3.2 建设原则 12
第4章 网络方案设计 13
4.1 网络拓扑设计 13
4.2 网络层次设计 14
4.2.1万兆核心环网解决方案 15
4.2.2 万兆骨干网解决方案 16
4.2.3 千兆接入解决方案 17
4.3 网络出口设计 18
4.4 VLAN划分 20
4.5 Ip地址划分 21
第5章 中心机房设计 22
5.1 服务器设备选型 22
5.2软件系统设选择 24
5.2.1 系统软件 24
5.2.2 服务器软件 24
5.2.3 应用软件 25
5.2.4 工具软件 26
第6章 综合设计 26
6.1 多媒体教室 26
6.1.1 多媒体教室基本组成 26
6.1.2 多媒体教室的教学功能 27
6.1.3 多媒体教室的教学功能 28
6.2 电子阅览室 28
6.3 多功能厅 28
6.3.1 系统概述 28
6.3.2 用户需求 29
6.4 多媒体应用的支持 30
第7章 网络管理设计 30
7.1 宿舍网管理设计 30
7.2 办公网管理设计 31
7.3 全IP数字监控网络设计 31
7.4 网络QoS设计 32
第8章 网络安全与管理 33
8.1 网络安全 34
8.1.1 威胁网络安全因素分析 34
8.1.2 网络安全防范措施 35
8.2 网络管理 35
8.2.1 网络管理的内容 35
8.2.2 网络管理的手段 36
8.3 网络安全策略配置 37
8.3.1安全接入和配置 37
8.3.2 拒绝服务的防止 38
8.3.3 访问控制 38
8.4电源系统 39
第9章 综合布线设计 39
9.1 综合布线的设计原则 39
9.2各系统及网络设计 41
9.2.1工作区子系统(Work Area)及其网络设计 42
9.2.2 配线子系统(Horizontal)及其网络设计 42
9.2.3干线子系统及其网络设计 43
9.2.4 设备间子系统(及其网络设计) 43
9.2.5 管理子系统及其网络设计 44
9.2.6 建筑群子系统及其网络设计 44
9.3 防雷接地 44
9.3.1 设计原则 44
9.3.2 防雷防浪涌及接地系统 45
9.3.3 电源系统防雷 45
9.3.4 通讯线路雷电防护 46
9.3.5 机房内部防雷辅助措施 47
9.4 接地系统 47
9.4.1机房接地系统 47
第10章 远程访问 48
第11章 系统测试 48
第12章 技术支持及售后服务 48
12.1 服务内容 48
12.2 设计服务 49
12.3 场地检查 49
12.4 系统安装调试 49
12.5 测试和验收 50
12.6 系统后期维护和支持 50
12.7 客户技术培训 51
12.8 设备保修与软件升级 51

前 言
当今的世界正从工业化社会向信息化社会转变。一方面,社会经济已由基于资源的经济逐渐转向基于知识的经济,人们对信息的需求越来越迫切,信息在经济的发展中起着越来越重要的作用,信息的交流成为发展经济最重要的因素。另一方面,随着计算机、网络和多媒体等信息技术的飞速发展,信息的传递越来越快捷,信息的处理能力越来越强,信息的表现形式也越来越丰富,对社会经济和人们的生活产生了深刻的影响。这一切促使通信网络由传统的电话网络向高速多媒体信息网发展。
快速、高效的传播和利用信息资源是21世纪的基本特征。掌握丰富的计算机及网络信息知识不但仅是素质教育的要求而且也是学生掌握现代化学习与工作手段的要求。因此,学校校园网的有无及水平的高低,也将成为评价学校及学生选择学校的新的标准之一。而且在网络上提供有价值、有吸引力的信息,对一个单位或学校树立自己的形象,提高自己的知名度,以及开拓和国际上其它学校、组织的联系和往来能够起到很显著的作用,也为学校的腾飞与发展创造了新的契机。
第1章 项目概况
1.1 项目概况
XX大学隶属国家教委,创办于20世纪中期,建校六十多年来,为国家培养了大批有用人才,随着扩招人数的增加,旧校区越来越不能满足学校的教学要求,因此,学校立项建设新校区。新校区占地面积约1050亩,建筑总面积约38万平方米,分教学区、学生宿舍区和运动区。教学区包括图书馆、综合教学楼、院系实验楼、行政办公楼、外事活动中心、科技中心等。学生宿舍区包括五栋高层学生公寓、教师公寓及二十几栋栋多层学生宿舍,运动区包括体育馆、运动场、看台等。新校区建成后将具有一流的校舍建筑和优美的学习环境,同时还具有国内最先进的智能化教学设施,以满足发展的可持续的信息化时代和教学改革的要求,适应21世纪国家级大学的现代化教学要求。
为了进一步推动学校信息化的建设,扩大校园网的覆盖面,改进学生学习条件,为学生创造一个更为便利的学习环境。经过我公司对XX大学新址建筑的了解及勘查,对旧校址网络现状的考查及新建网络需求的分析,我公司对此XX大学网络建设做了如下的方案计划。
1.2 用户需求
XX大学随着学校教学和学生网上应用的增长,新校区校园网必须以光纤连接全校近70栋楼宇,必须覆盖了99%的教学办公场所和99%的学生宿舍。共布有2万多个网络端口,其中约1.5万多个布线端口将来要连通网络设备,共接入计算机1万多台,有固定注册用户8000人。XX大学同时提出了”XX大学万兆校园网的建设思路”,明确要求新校区的网络总体要做到以下七点:
1)要适应高校的网络特点要求:用户数量庞大,网络应用复杂,不能在终端上限制网络用户行为,只能在网络设备上解决网络问题;
2)要能够达到轻载要求:低负载,高带宽,最简单,最有效;
3)要具有先进的技术性:支持线速转发,具备高密度的万兆端口,核心设备支持T级以上的背板设计,硬件实现ACL、QoS、组播等功能;
4)要稳定、可靠:确保物理层、链路层、网络层、病毒环境下的稳定、可靠;
5)要有健壮的安全:不以牺牲网络性能为代价,实现病毒和攻击的防护、用户接入控制、路由协议安全;
6)要易于管理:具备网络拓朴发现、网络设备集中统一管理、性能监视和预警、分类查看管理事件的能力;
7)要能实现弹性扩展:包括背板带宽、交换容量、转发能力、端口密度、业务能力的可扩展。
1.3 设计思路
进行校园网总体设计,首先要进行对象研究和需求调查,明确学校的性质、任务和改革发展的特点及系统建设的需求和条件,对学校的信息化环境进行准确的描述;其次,在应用需求分析的基础上,确定学校Intranet服务类型,进而确定系统建设的具体目标,包括网络设施、站点设置、开发应用和管理等方面的目标;第三是确定网络拓扑结构和功能,根据应用需求建设目标和学校主要建筑分布特点,进行系统分析和设计;第四,确定技术设计的原则要求,如在技术选型、布线设计、设备选择、软件配置等方面的标准和要求;第五,规划校园网建设的实施步骤。
校园网总体设计方案的科学性,应该体现在能否满足以下基本要求方面:
1)整体规划安排;
2)先进性、开放性和标准化相结合;
3)结构合理,便于维护;
4)高效实用;
5)支持宽带多媒体业务;
6)能够实现快速信息交流、协同工作和形象展示。
第2章 需求分析
2.1 总体需求
在校园网络中,视频、音频、数据集于一身,如果保证不了高带宽、又多种视频、音频、数据流混杂在一起进行传输,就没法对流做出最高优先级和次高优先级及底优先级的分类,这样就不能保证重要业务的畅通,造成网络延迟、服务不可用。因此要想真正改变网络的效率,更有效的保证应用服务的运营,需要经过端到端的QOS,智能到边缘的方式来保证。经过智能到边缘,端到端的应用方式,能够减少对网络核心设备的消耗,这样保证了网络的有效畅通。能够对园区网应用中的,多媒体视频点播服务、数据备份服务、文献传递服务、E-mail服务、数据库服务器等服务。对不同服务流进行详细的分类,划分优先级,以及尽可能地避免发生拥塞。同时保证网络的高效运行,充分利用现有的带宽。
在园区网络中,存在多样的网络设备及系统应用环境,而且要考虑在用户迅速增长的今天,考虑到网络设备的可扩展性。保证在多样网络设备,用户不断增加的环境中,仍能保证网络畅通。因此万兆骨干网络平台就应具有良好的兼容性和可扩展性,能与当前校园网络无缝衔接,同时预留空间符合当前和以后的信息建设需要和足够的升级空间。
在校园网络建设中存在多用户,多服务的现状。带来了对网络系统要求具有高效率等,以保证大数据量访问下有效的处理能力。针对需求设备要能对数据做到分布式处理,这样的分布式处理能够节省主交换引擎的消耗。使数据在独立的板卡上就能做出对数据的识别,这样比在中央处理器识别要快的多。并在大量的数据应用,数据传输的过程中,要保证所有硬件设备都能够进行快速的转发,要具备高背板带宽(交换容量),所有端口都能保证线速转发。这种分布式处理能够极大地提高整体处理能力,保证了网络畅通。
现在的网络环境中稳定可靠是争相谈论的话题,因现在在网络中运行了众多重要应用及服务,是要保证7*24小时不间断的服务。就要完全能保证网络设备全天后的可用性。即使在设备出现问题时切换到备用设备的过程中,也要保证较小的延迟,以满足网络应用中的有效畅通的需要。在这样的需求中利用,冗余的管理交换引擎、冗余的电源等关键部件的冗余,支持(802.1D、802.1W)802.1S多Vlan生成树协议保证链路级的冗余和负载均衡,支持VRRP、OSPF等三层路由协议保证路由级的冗余,支持load balancing技术实现了应用级的冗余备份和负载均衡。全方位的完全保证了设备、网络、应用系统的可靠性。
在校园网络中,对于校园网的安全保障十分重要:校园网的信息点分布很广,与一般企业网比较,校园网用户的流动性大,信息点存在随意接入使用的问题。学生及外来不明身份的用户,在校园网中找到任何一个信息点,就能够进入到校园网,能够肆意干扰和破坏校园网网络平台及应用系统的正常运行。另外校园网的网络安全,还需要考虑与外网及内网不同应用系统之间的安全访问控制。为了发生安全事件后,能够有效、快捷地处理事故,采用上网审计手段是十分有必要的。由于当前类似”冲击波、震荡波病毒”的肆虐,一个健壮的网络应该提供必要的手段,禁止特定病毒的传播以及由于病毒造成的流量拥塞。
2.2 网络应用需求
这方面的需求不同学校有着明显不同,大致都能够分为,教学、科研、办公、服务这四方面应用。教师能够方便地浏览和查询网上资源,进行教学和科研工作;学生能够方便地浏览和查询网上资源实现远程学习;经过网上学习学会信息处理能力。学校的管理人员可方便地对教务、行政事务、学生学籍、财务、资产等进行综合管理,同时能够实现各级管理层之间的信息数据交换,实现网上信息采集和处理的自动化,实现信息和设备资源的共享,因此对教学、科研方面的网络设计应考虑稳定、扩展、安全等问题;办公、服务等带宽是要着重考虑的方面,因此学校应该根据自己的实际情况来考虑网络的结构,及安全问题。
校园网在信息服务与应用方面应满足以下几个方面的需求:
1)学校主页。学校应建立独立的WWW服务器,在网上提高学校主页等服务,包括校情简介、学校新闻、校报(电子报)、招生信息以及校内电话号码和电子邮件地址查询等。
2)文件传输服务。考虑到师生之间共享软件,校园网应提供文件传输服务(ftp)。文件传输服务器上存放各种各样自由软件和驱动程序,师生能够根据自己需要随时下载并把它们安装在本机上。
3)校园网站建设(WWW、FTP、E-mail、DNS、PROXY代理、拨入访问、流量计费等);
4)多媒体辅助点播教学兼远程教学:校园网要求具有数据、图像、语音等多媒体实时通讯能力;并在主干网上提供足够的带宽和可保证的服务质量,满足大量用户对带宽的基本需要,并保留一定的余量供突发的数据传输使用,最大可能地降低网络传输的延迟。
5)校园办公管理;
6)学校教务管理;
7)校园通卡应用;
8)网络安全FIREWALL;
9)图书管理、电子阅览室;
10)系统应提供基本的Web开发和信息制作的平台。
2.3 网络性能需求
性能需求:有服务效率、服务质量、网络吞吐率、网络响应时间、数据传输速度、资源利用率、可靠性、性能/价格比等;
根据本工程的特殊性,语音点和数据点使用相同的传输介质,即统一使用超5类4对双绞电缆,以实现语音、数据相互备份的需要;
对于网络主干,数据通信介质全部使用光纤,语音通信主干使用大对数电缆;光缆和大对数电缆均留有余量;对于其它系统数据传输,可采用超5类双绞线或专用线缆。
学校网内部的接入用户是在校学生和教工,上网的时间相对比较集中(主要集中在晚间和节假日),因此在此时段网络访问流量会较大,在一些特殊时候可能会出现大量的网络突发流量。
2.4 网络系统需求
科学规划网络系统结构,合理配备核心层、汇聚层以及接入层网络设备与端口,保证核心网络设备的性能和扩展性,优化接入层网络设备,建设万兆核心网、千兆骨干网、百兆到桌面的高效网络。将内外网区域划分开,确内网区域资源安全,本次主要建设内网区域。合理部署网络安全措施,在接入层即可防止一些网络攻击,提高网络接入的安全性。 建立全网统一管理系统,包含对网络设备的统一管理和配置;建立高效的网络性能监视与预警机制。
2.4.1 网络层次分析
根据本校网络的实际情况,网络应包括核心、汇聚和接入三个层次,其中核心层由大容量高性能以太网交换机组成,汇聚层由高性能宽带接入交换机组成,接入层由快速智能网管型交换设备组成。
1)核心层需求分析
核心设备担负着连接汇聚设备和部分接入的工作,是整个网络的核心,同时经过核心设备与教育网、Internet进行互联。由于核心层设备担负着整个网络的流量,核心设备和链路的稳定性将直接影响整个网络的可靠运行。
2)汇聚层需求分析
汇聚层交换层是多台接入层交换机的汇聚点,它必须能够处理来自接入层设备的所有通信量,并提供到核心层的上行链路。而汇聚层也是整个校园网的边缘,都能够进行堆叠、以扩展,还承担了网关和三层路由转发功能的重担。作为网络的骨干交换机,并具有快速数据交换能力和全双工能力,可提供容错等智能特性,还支持扩充选项及第三层交换中的虚拟局域网(VLAN)等多种功能。
3)接入层需求分析
接入层在整个学校校园网络的边缘,广大师生经过接入设备接入校园网络。根据当前的业务需求,安全和高效是必须的要求,需要交换机支持访问控制、传输质量控制、数据过滤、网络病毒防护等功能,即作为接入网络的入口设备,智能识别是一项十分重要的功能。
2.4.2.IP及路由需求分析
在网络规划中,IP地址方案的设计至关重要,好的IP地址方案不但能够减少网络负荷,还能够为以后的网络扩展打下良好的基础。在本校园网络的IP地址分配上要体现可扩展性、连续性、可管理性、简化路由。
根据网络结构,设计比较适合的路由协议。能够实现优化的网络路径选择,在网络结构发生变化时路由能够快速收敛,保证网络的畅通。
在IP地址的规划时要考虑到路由汇聚,以便能够汇聚成较少条数的路由信息向其它区域传送。
2.4.3.网络安全分析
学校校园络作为信息化建设的基础平台,为学校提高自身的核心竞争力提供了新的突破口。与此同时,网络社会与生俱来的不安全因素,如病毒、黑客、非法入侵,不健康信息等,也无时无刻不在威胁着网络的健康发展,而成为校园网建设中不容忽视的问题。一方面,网络用户成分越来越多样化,出于各种目的的网络入侵和攻击越来越频繁;另一方面,网络应用越来越深地渗透到校园教学领域。
因此,校园网络项目中需要具有先进性、标准性、有特色的,而且考虑今后扩展性的的整体安全解决方案。
2.4.4.网管需求分析
网络管理中心是整个网络的核心,一个完善的网络管理系统是网络能够稳定可靠运行的保证。
好的网络管理平台能够确保教学管理业务不致中断,这对于网络系统是至关重要的;高性能的网络有助于提高工作效率和学校的竞争力,网络管理员必须确保这些网络应用能顺利运行,另外能够降低网络维护的成本。
由于高校宿舍网节点众多,因此无法一体化管理众多的设备和用户、出现网络故障无法快速定位、IP地址盗用、IP地址冲突等问题日益严重,如何利用有限的人力物力对网络进行高效管理也成为高校宿舍网建设考虑的着重点。
2.4.5 对主机系统的要求
1、主机系统应采用国际上较新的主流技术,并具有良好的向后扩展能力;
2、主机系统应具有高的可靠性,能长时间连续工作,并有容错措施;
3、支持通用大型数据库,如SQL、Oracle等;
4、具有广泛的软件支持,软件兼容性好,并支持多种传输协议;
5、能与Internet互联,可提供互联网的应用,如WWW浏览服务、FTP文件传输服务、E-mail电子邮件服务、NEWS新闻组讨论等服务;
6、支持SNMP网络管理协议,具有良好的可管理性和可维护性;
第3章 建设目标及原则
3.1 建设目标
1、满足计算机教学科研、行政办公需要,提供各种教学、办公工具和支撑平台,并提供丰富的计算机软硬件系统资源。
2、具有完善的办公事务处理能力,包括电子公文传递、电子公文管理、电子邮件、邮件收发等无纸办公自动化功能。
3、满足信息情报交流的需要,方便学校各级领导和教学科研人员对各种信息资料、科技情报的检索和查阅。包括Web查询、电子公告、电子新闻等。
4、具有远程通信能力,借助电话网等通信手段,以最低的通信成本,方便地实现远程互联,跨越地域限制,满足学校要求,加强各单位之间的业务联系和信息资源共享。
5、具有收集、处理、查询、统计各类信息资源的能力,充分利用原有数据资源,为学校领导提供准确、快捷的数字信息,实现数据化管理和智能化决策。
6、学校网络系统要确保整个计算机网络系统的可靠性、安全性,具有一定的冗余。容错能力强,确保信息处理安全保密。
7、学校信息网络系统要保证实用和技术先进,便于非计算机专业人员使用,并能不断满足学校未来业务发展的需要,具有很强的扩展能力。
3.2 建设原则
校园网络系统的建设在实用的前提下,应当在投资保护及长远性方面做适当考虑,在技术上、系统能力上要保持五年左右的先进性。而且从学校的利益出发,从技术上讲应该采用标准、开放、可扩充的、能与其它厂商产品配套使用的设计。
根据校园网的总体需求,结合对应用系统的考虑,本次网络建设的设计目标是:高性能、高可靠性、高稳定性、高安全性、易管理的万兆骨干网络平台。
我们遵循以下的原则进行网络设计:
1.实用性和经济性
网络建设应始终贯彻面向应用,注重实效的方针,坚持实用、经济的原则,建设的万兆骨干网络平台,保护用户的投资。
2.先进性和成熟性
网络建设设计既要采用先进的概念、技术和方法,又要注意结构、设备、工具的相对成熟。不但能反映当今的先进水平,而且具有发展潜力,能保证在未来若干年内占主导地位,保证贵校网络建设的领先地位,采用万兆以太网技术来构建网络主干线路。
3.可靠性和稳定性
在考虑技术先进性和开放性的同时,还应从系统结构、技术措施、设备性能、系统管理、厂商技术支持及保修能力等方面着手,确保系统运行的可靠性和稳定性,达到最大的平均无故障时间,锐捷网络做为国内知名品牌,网络领导厂商,其产品的可靠性和稳定性是一流的。
为了保证骨干网络平台的健壮性和链路冗余性,建议网络实施时在学校启用千兆备份线路。在学校启用物理链路冗余机制,保证任何一条线路出现故障后骨干网络平台的可用性。
4.安全性和保密性
在网络设计中,既考虑信息资源的充分共享,更要注意信息的保护和隔离,因此系统应分别针对不同的应用和不同的网络通信环境,采取不同的措施,包括端口隔离、路由过滤、防DDoS拒绝服务攻击、防IP扫描、系统安全机制、多种数据访问权限控制等,锐捷网络充分考虑安全性,针正确各种应用,有多种的保护机制,如划分VLAN、IP/MAC地址绑定(过滤)、ACL、路由过滤、防DDoS拒绝服务攻击、防IP扫描、802.1x认证机制、SSH加密连接等具体技术提升整个网络的安全性。
5.可扩展性和可管理性
由于信息技术和人们对于新技术的需求发展都非常迅速,为了避免不必要的重复投资,我们必须选择具有一定扩展能力的设备,能够保证在网络规模逐渐扩大的时候,不需要增加新的设备,而只需要增加一定数量的模块就行。最好能够做到在网络技术进一步发展,现有模块不支持新技术的情况下,只需要更换相应模块,而不需要更换整个设备。
为了适应网络结构变化的要求,必须充分考虑以最简便的方法、最低的投资,实现系统的扩展和维护。为了便于扩展,对于核心设备必须采用模块化高密度端口的设备,便于将来升级和扩展。
先进的设备必须配合先进的管理和维护方法,才能够发挥最大的作用。全线采用基于SNMP标准的可网管产品,达到全程网管,降低了人力资源的费用,提高网络的易用性、可管理性,同时又具有很好的可扩充性。
第4章 网络方案设计
4.1 网络拓扑设计
局域网采用星型网络拓朴结构,星型拓朴结构为现在较为流行的一种网络结构,它是以一台中心处理机(通信设备)为主而构成的网络,其它入网机器仅与该中心处理机之间有直接的物理链路,中心处理机采用分时或轮询的方法为入网机器服务,所有的数据必须经过中心处理机。由于所有节点的往外传输都必须经过中央节点来处理,因此,对中央节点的要求比较高。
优点是网络结构简单,易于维护,便于管理(集中式);每台入网机均需物理线路与处理机互连,线路利用率低;处理机负载重(需处理所有的服务),因为任何两台入网机之间交换信息,都必须经过中心处理机;入网主机故障不影响整个网络的正常工作。对该网络支持的设备生产厂商有较好的技术支持。
局域网内的所有工作节点经过双绞线与交换机相连形成一个星型网络。办公电脑建议采用品牌的商用机,商用机运行比较稳定,而且比较耐用,运算速度较快,较适于开发使用。
根据我们的设计,XX大学网络拓扑结构图如图1所示。

图1 XX大学网络拓扑结构图
4.2 网络层次设计
从逻辑上,大型网络可分为核心层、分布层和接入层,每层都有其特点。网络层次如图2所示

图2 网络层次图
层次化设计的优点能够总结为如下几点:
1)可扩展性:因为网络可模块化增长而不会遇到问题;
2)简单性:经过将网络分成许多小单元,降低了网络的整体复杂性,使故障排除更容易,能隔离广播风暴的传播、防止路由循环等潜在的问题;
3)设计的灵活性:使网络容易升级到最新的技术,升级任意层次的网络不会对其它层次造成影响,无需改变整个环境;
4)可管理性:层次结构使单个设备的配置的复杂性大大降低,更易管理。
4.2.1万兆核心环网解决方案
网络中心节点及其它核心节点作为校园网络系统的心脏,必须提供全线速的数据交换,当网络流量较大时,对关键业务的服务质量提供保障。另外作为整个网络的交换中心,在保证高性能、无阻塞交换的同时,还必须保证稳定可靠的运行。
因此在网络中心的设备选型和结构设计上必须考虑整体网络的高性能和高可靠性。具体来说核心节点的交换机有两个基本要求:
1)高密度端口情况下,还能保持各端口的线速转发;
2)关键模块必须冗余,如管理引擎、电源、风扇。
由于校园网建设最终必将采用万兆技术,因此需要考虑到核心设备对万兆的支持能力。
综上所述,主干核心交换机属于高端系列的产品,因此在本方案中,核心交换机建议采用多业务万兆核心路由交换机。能够根据用户的需求灵活配置,灵活构建弹性可扩展的网络。多业务万兆核心路由交换机高背板带宽和二/三层包转发速率可为用户提供高速无阻塞的交换,强大的交换路由功能、安全智能技术可为用户提供完整的端到端解决方案,是大型网络核心骨干交换机的理想选择。因此网络主干全部采用万兆,末端用户楼栋全部采用千兆接入万兆校园网,采用3台万兆核心交换机RG-S6810E组成万兆核心环网。实现网络7X24小时的不间断运行,核心骨干网形成的万兆核心环网,使得整个核心层网络即使在任意一台核心交换机故障、或任意一条链路断掉的情况下依然能够保障网络的正常运行。
RG-S6810E是锐捷网络推出的基于NP+ASIC构架的新一代多业务万兆核心路由交换机,RG-S6800E在保障高性能大容量的基础上提供强大的安全防护能力,而且拥有业务按需叠加扩展能力,达到业务和性能并重的设计需求。当前提供10竖插槽设计和6横插槽设计两种主机:RG-S6810E和RG-S6806E。
RG-S6800E系列多业务万兆核心路由交换机提供2.4T/1.2T背板带宽,并支持将来扩展到4.8T/2.4T的能力,高达857Mpps/428Mpps的二/三层包转发速率可为用户提供高速无阻塞的数据交换,强大的交换路由功能、安全智能技术可同锐捷各系列交换机配合,为用户提供完整的端到端解决方案,是大型网络核心骨干和大流量节点交换机的理想选择。
RG-S6810E交换机经过先进的第三代高性能引擎可硬件支持策略路由、IPV6等协议,并可扩展支持MPLS、load balancing、NAT、VPN、Firewall、IDS、web cache redirect等丰富的业务功能,满足客户环境灵活而复杂的不同应用需求。
在此方案中,校区网络中心采用RG-S6810E多业务万兆核心路由交换机作为核心交换机。核心层交换机跟汇聚接入层交换机之间的千兆链路能够捆绑,从而实现带宽的灵活扩展。
4.2.2 万兆骨干网解决方案
汇聚层提供基于统一策略的互连性。它是核心层和接入层的分界点,定义了网络的边界,对数据包进行复杂的运算。在大中型园区网络环境中,汇聚层主要考虑的是如何保证提供浪量控制及安全控制的策略。一般需要考虑的主要因素有QoS、静态或者动态路由的选择、地址过滤等。
而在设备选型方面,汇聚层的设备对网络下层VLAN信息和生成树协议具有收敛功能,能实现简单的用户管理和控制功能,如用户的安全接入、下层网络不同层次的屏蔽和接入工作,对不同物理链路、不同特性的网络设备进行统一管理。因此汇聚层网络设备要求具备多物理接口来完成众多设备的接入工作。
综上所述,汇聚层采用七台万兆核心交换机RG-S6506E担当图书馆、综合教学楼、院系实验楼、行政办公楼、外事活动中心、科技中心、学生宿舍公寓以及区运动区域汇聚;经过6条万兆链路连接至图书馆、综合教学楼、院系实验楼、行政办公楼、科技中心、学生宿舍公寓以及区运动区的6台汇聚交换机RG-S6506E上是因为这几条链路上数据信息点比较多,传输数据量也比较大,。使用2条千兆链路连接到外事活动中心汇聚交换机RG-S6506上。
RG-S6506是锐捷网络推出的万兆骨干路由交换机,拥有6个模块扩展槽,提供管理模块冗余,支持万兆、千兆和百兆模块线速转发,能够根据用户的需求灵活配置,构建弹性可扩展的现代IP网络。”
RG-S6506交换机高达768G的背板带宽和286Mpps的二/三层包转发速率可为用户提供高速无阻塞的线速交换,强大的交换路由功能、安全智能技术可同锐捷各系列交换机配合,为用户提供完整的端到端解决方案,是小型网络核心和大型网络骨干交换机的理想选择。
4.2.3 千兆接入解决方案
接入层的主要功能是为最终用户提供对园区网络访问的途径。本层也能够提供进一步的调整,如Access-list Filtering等。在园区网络环境中,接入层主要提供如下功能:带宽共享、交换带宽、MAC层过滤、微分网段等。
在广域网环境中,接入层主要提供经过Frame Relay、ISDN、Leased Line连入远程节点。
接入层网络由楼栋交换节点和楼层交换节点组成,接入层网络应该能够满足各种客户的接入需要,而且能够实现客户化的接入策略,业务QOS保证,用户接入访问控制等等。
接入层交换机亦称外围交换机或边缘交换机,一般都属于可堆叠/可扩充式固定端口交换机,应具备下列要求:
1)端口选择:对端口的选择包括两个方面,一个是端口数量,一个是端口类型。而且能够堆叠、易扩展,以便由于信息点的增加而从容地进行扩容。
2)高性能。作为大型网络的二级交换设备,应支持千兆/百兆高速上连以及同级设备堆叠,当然还要注意与核心交换机品牌的一致性;如果用作小型网络的中央交换机,要求具有较高的背板带宽和三层交换能力。
3)性价比高。在满足网络性能要求的同时,达到最高的性价比,使用方便简单。
4)支持多级别网络管理。
楼层交换节点采用千兆智能堆叠交换机,提供智能的流分类和完善的QoS特征。为各类型网络提供完善的端到端的服务质量、丰富的安全设置和基于策略的网管,最大化满足高速、融合、安全的园区网新需求;本方案中各接入层交换机经过千兆链路上联到各汇聚层设备,对下联的桌面设备提供全双工的百兆连接,为各类用户提供无阻塞的交换性能。因此采用数十台RG-S2924G系列安全智能交换机担当网络接入。
RG-S2924G是锐捷网络推出的全千兆安全智能接入交换机,在提供高性能、高带宽的同时,提供智能的流分类、完善的服务质量(QoS)和组播应用管理特性,并能够根据网络的实际使用环境,实施灵活多样的安全控制策略,有效防止和控制病毒传播和网络攻击,控制非法用户接入和使用网络,保证合法用户合理化使用网络资源,充分保障了网络高效安全、网络合理化使用和运营。
RG-S2924G特有的CPU保护控制机制,对发送到CPU的数据进行带宽控制,以避免非法者对CPU的恶意攻击,充分保障了交换机的安全。
RG-S2924G为方便不同管理员的使用习惯,提供了多种形式的管理工具,如SNMP、Telnet、Web和Console口等。
RG-S2924G以极高的性价比为各类型网络提供完善的端到端的QoS服务质量、灵活丰富的安全策略管理和基于策略的网管,最大化满足高速、高效、安全、智能的企业网新需求。
支持生成树协议802.1D、802.1w、802.1s,完全保证快速收敛,提高容错能力,保证网络的稳定运行和链路的负载均衡,合理使用网络通道,提供冗余链路利用率。
4.3 网络出口设计
校园网出口,作为唯一连接外界网络的平台,是校园网与外界沟通交流的窗口,承载了各类与教学、科研、办公、生活息息相关的应用;出口平台对各应用的承载能力,将对高校的教学、科研、办公、生活产生直接和间接的影响。
锐捷网络高校校园网出口解决方案,充分考虑网络出口承载的多种业务系统对网络的要求,形成了包含外网连接层、安全防护层、应用控制层、VPN接入层、日志管理层在内的针对性出口网络解决方案。
XX大学应用锐捷网络高校校园网出口解决方案,在安全防护层部署1台RG-WALL1000、应用控制层部署1台RG-ACE 3000完成出口网络的应用流量控制,而RSR-08承担多出口负载均衡。这样的出口设计将实现了多出口的合理使用,有效抵御DDoS攻击,实现病毒、木马以及异常流量的阻断。
为了以后扩展的需要,因此采用了RG-WALL1000。RG-WALL1000采用锐捷网络独创的分类算法(Classification Algorithm)设计的新一代安全产品——第三类防火墙,支持扩展的状态检测(Stateful Inspection)技术,具备高性能的网络传输功能;同时在启用动态端口应用程序(如VoIP, H323等)时,可提供强有力的安全信道。
采用锐捷独创的分类算法使得RG-WALL产品的高速性能不受策略数和会话数多少的影响,产品安装前后丝毫不会影响网络速度;同时,RG-WALL在内核层处理所有数据包的接收、分类、转发工作,因此不会成为网络流量的瓶颈。另外,RG-WALL具有入侵监测功能,可判断攻击而且提供解决措施,且入侵监测功能不会影响防火墙的性能。RG-WALL的主要功能包括:扩展的状态检测功能、防范入侵及其它(如URL过滤、HTTP透明代理、SMTP代理、分离DNS、NAT功能和审计/报告等)附加功能。
RG-ACE 3000可有效识别包括Web迅雷在的多种应用层协议,可实现基于用户的应用带宽限制及数据统计,使得各种关键应用的带宽得到充分的保障。
锐捷RSR-08路由器是高性能、通用的骨干汇聚路由器,具有高背板带宽、高包转发率、结构紧凑、端口密度高等特点,并能提供全范围的光纤和铜缆接口。RSR-08路由器具有强大的业务能力,能够满足当前所有的城域汇聚和接入需求,提供多协议标准交换 (MPLS)第2或3层隧道技术、动态带宽控制和面向连接的数据收集体系。作为多协议标记(MPLS)PE路由器,她们使提供商的基于MPLS的业务具有高度的可扩展性和可靠性。经过使用VPLS,能够利用原有网络和以太网基础设施提供VOIP、互联网接入、视频以及多点虚拟专用网(VPN)等融合业务。
锐捷RSR-08路由器支持包括TDM、POS、ATM和千兆位以太网,速率高达OC- 48。部署在各种应用中,RSR-08路由器可用于搭建骨干汇聚路由器和核心层网络,为用户提供综合的、高性能、功能强大的服务, 并提供高可用性网络所需的冗余支持。
4.4 VLAN划分
根据校园网的实际需求,属于同一部门的工作人员可能在不同的建筑物中,但需要在一个逻辑子网内。网络站点的增减,人员的变动,无论从网络管理,还是用户的角度来讲,都需要虚拟网技术的支持。因此在校园网络的整个网络规划当中,VLAN 的划分是非常重要的部分,很好的利用VLAN技术的功能,能起到事半功倍的效果,对整个网络的性能也是事关重要的。主要突出为以下几点:
l VLAN 划分,能够避免广播风暴,在骨干网络中尤为突出,在多媒体、视频点播等很容易引起广播信息;划分之后,VLAN 是广播只在子网中进行,不会做无意义的广播,消除了广播风暴产生的条件。
l VLAN 划分,能够增加网络的安全性,在不同的VLAN之间不能随意通讯,只限与本子网间通讯,不会对其它的子网产生干扰。要进行访问,需要经过三层交换,这样信息流就得到相当好的控制。
l 网络管理系统采用完全独立的IP子网和VLAN,实现更加安全的对所有网络设备进行管理。建立VLAN 和IP 子网的对应关系。
l 提高管理效率,实现虚拟的工作组,减少站点的移动和改变的开销。
l VLAN 间的子网访问,能够在三层交换机上实现,子网间的通讯也能够在汇聚设备上实行,分流核心交换机的三层交换,优化了组网。
根据以往网络管理经验和骨干网络网络建设的实际情况,方案建议在骨干网络VLAN划分规划以”灵活划分、方便管理”为基本原则,以不同的使用群体为VLAN范围划分。这样划分VLAN的好处有:
1)方便管理。为了更好的进行VLAN规划的实施,因此在网络实施前期,要对网络中不同区域的VLAN设置进行详细的规划,细化到接入层网络,这样在骨干网络这样大型的校园网络中如果以用户群体来划分VLAN的话,避免由于前期配置设备时复杂烦琐,而且由于相同的用户群体可能在不同的物理位置,导致造成整个校园网络中VLAN划分复杂,减轻管理和后期维护。因此方案建议骨干网络划分VLAN方式前进行详尽规划,这样既能够减少广播域,又达到划分VLAN,方便管理的效果,对于后期网络维护和升级具有十分现实的意义。
2)