一,、整體網(wǎng)絡(luò)設(shè)計(jì)拓?fù)鋱D

　　二、方案描述

　　結(jié)合高校網(wǎng)絡(luò)的特點(diǎn),，為了便于管理和維護(hù),，校園網(wǎng)按照功能劃分為6個(gè)功能區(qū)，分別是：數(shù)據(jù)中心服務(wù)器區(qū)（部署在核心機(jī)房）,、辦公區(qū)（含1座辦公樓,、4座教學(xué)樓、2座實(shí)驗(yàn)樓和1個(gè)實(shí)訓(xùn)中心）,、圖書館區(qū)（1座樓）,、學(xué)生公寓區(qū)（8座公寓樓、1座綜合服務(wù)中心樓）,、餐廳單身教師宿舍區(qū)（1座餐廳樓,、2座單身宿舍樓、1座文印中心樓）,、教師家屬區(qū)（8座樓）,。

　　網(wǎng)絡(luò)采用分層的網(wǎng)絡(luò)架構(gòu)組網(wǎng),，分為核心－匯聚－接入三個(gè)層次的組網(wǎng)模式,，實(shí)現(xiàn)千兆骨干。核心網(wǎng)由2臺(tái)H3C公司的S7506E高端多業(yè)務(wù)路由交換機(jī)組成,。配置24個(gè)千兆SFP端口,、其中8個(gè)Combo接口,，用于滿足服務(wù)器區(qū)、辦公區(qū),、圖書館,、學(xué)生公寓、餐廳單身宿舍和教師家屬區(qū)六大功能區(qū)匯聚交換機(jī)的接入,；H3C S7506E通過運(yùn)營商專線（現(xiàn)有帶寬30M）和老校區(qū)校園網(wǎng)互聯(lián),。

　　S7506E可以提供8個(gè)插槽，其中2個(gè)插槽用于配置路由處理引擎,，剩余6個(gè)插槽用于業(yè)務(wù)板塊,，S7506E采用全分布式轉(zhuǎn)發(fā)方式，可以提供768Gbps的交換容量,，包轉(zhuǎn)發(fā)性能為492Mpps,。該交換機(jī)最大支持576個(gè)千兆端口、分布式硬件支持IPv6和IPv4,，可以完全滿足學(xué)校平滑的升級(jí)到下一代校園網(wǎng)的需求,。 

　　為了滿足各功能區(qū)千兆主干、百兆到桌面的設(shè)計(jì)要求,，匯聚交換機(jī)建議采用H3C S5500-28F路由交換機(jī),，該交換機(jī)提供24個(gè)千兆SFP光接口，8個(gè)光電復(fù)用接口,，2個(gè)擴(kuò)展插槽,，可擴(kuò)展萬兆模塊，將來可平滑升級(jí)至萬兆網(wǎng)絡(luò),，使用該交換自帶的24個(gè)千兆光接口,，通過配置光纖模塊可上聯(lián)到核心交換機(jī)，下聯(lián)接入層E系列交換機(jī),。H3C S5500-28F具有192Gbps的交換能力,、96Mpps包專訪率，可完全滿足6大功能區(qū)高帶寬數(shù)據(jù)交換要求,，并且支持IPv6/IPv4雙協(xié)議棧,，可以平滑的升級(jí)到下下一代網(wǎng)絡(luò)Cernet2，從而保護(hù)現(xiàn)有投資,。

　　在網(wǎng)絡(luò)接入層,，為滿足千兆上聯(lián)，百兆接入的設(shè)計(jì)要求,，我們建議部署H3C針對(duì)教育行業(yè)開發(fā)的E系列接入交換機(jī),，E系列接入交換機(jī)是H3C公司為滿足教育行業(yè)構(gòu)建高安全、高智能網(wǎng)絡(luò)需求而專門設(shè)計(jì)的新一代以太網(wǎng)交換機(jī)產(chǎn)品,，在滿足校園網(wǎng)高性能,、高密度的接入的基礎(chǔ)上,，提供更全面的安全接入策略和更強(qiáng)的網(wǎng)絡(luò)管理維護(hù)易用性，是理想的校園網(wǎng)接入層交換機(jī),。我們建議采用兩款型號(hào)E126A和E152,，分別可24端口和48端口接入，可根據(jù)本校的實(shí)際規(guī)劃信息數(shù),，靈活配置,。在接入層部署該設(shè)備可有效杜絕學(xué)生私設(shè)DHCP服務(wù)器，防范基于MAC地址的攻擊,；設(shè)備支持集中式MAC地址認(rèn)證和802.1x認(rèn)證,，支持用戶賬號(hào)、IP,、MAC,、VLAN、端口等用戶標(biāo)識(shí)元素的動(dòng)態(tài)或靜態(tài)綁定,，結(jié)合網(wǎng)管認(rèn)證計(jì)費(fèi)軟件可對(duì)在線用戶進(jìn)行實(shí)時(shí)的管理,，及時(shí)的診斷和瓦解網(wǎng)絡(luò)非法行為，支持對(duì)Proxy（網(wǎng)絡(luò)代理）進(jìn)行有效的管理,。

　　針對(duì)數(shù)據(jù)中心服務(wù)器區(qū)接入層部署S5120-48P-EI系列交換機(jī),，實(shí)現(xiàn)GE光纖上行、GE到桌面的解決方案,，滿足在校師生訪問校內(nèi)服務(wù)器共享資源時(shí)對(duì)數(shù)據(jù)交換高帶寬的業(yè)務(wù)需求,。該交換機(jī)具有192G的交換機(jī)能力、72Mpps轉(zhuǎn)發(fā)能力,，支持安全認(rèn)證協(xié)議802.1X,、動(dòng)態(tài)ARP檢測、組播IGMP Sooping,、ACL訪問控制列表等豐富的業(yè)務(wù)特性,，可安全、高效的滿足數(shù)據(jù)中心服務(wù)器群接入網(wǎng)絡(luò)的需要,。

　　為了保證高校網(wǎng)絡(luò)校園網(wǎng)的出口安全,，特在外網(wǎng)的出口處部署H3C F1000E千兆防火墻系統(tǒng)，該設(shè)備支持外部攻擊防范,、內(nèi)網(wǎng)安全,、流量監(jiān)控、郵件過濾,、網(wǎng)頁過濾,、應(yīng)用層過濾等功能，能夠有效的保證網(wǎng)絡(luò)的安全；采用ASPF（Application Specific Packet Filter）應(yīng)用狀態(tài)檢測技術(shù),，可對(duì)連接狀態(tài)過程和異常命令進(jìn)行檢測；有效保障內(nèi)網(wǎng)安全,。并利用其強(qiáng)大的NAT地址轉(zhuǎn)換功能為內(nèi)網(wǎng)用戶提供高效的互聯(lián)網(wǎng)接入服務(wù),。

　　現(xiàn)在的網(wǎng)絡(luò)安全威脅事件絕大多數(shù)來源于網(wǎng)絡(luò)內(nèi)部，為了保證高校網(wǎng)絡(luò)校園服務(wù)器區(qū)及各功能業(yè)務(wù)區(qū)的3-4層網(wǎng)絡(luò)安全,，避免校園網(wǎng)內(nèi)的用戶對(duì)服務(wù)器區(qū)的各種3-4層攻擊和威脅,，特在核心交換機(jī)上部署防火墻板卡，通過在防火墻板卡上劃分不同安全區(qū)域,，將各個(gè)功能區(qū)根據(jù)安全級(jí)別進(jìn)行劃分,，并設(shè)置相應(yīng)的安全策略，以保證各功能區(qū)及關(guān)鍵業(yè)務(wù)點(diǎn)的安全性,。

　　為實(shí)現(xiàn)對(duì)校園出口流量帶寬的合理分配,，對(duì)在校學(xué)生及教職工的上網(wǎng)行為進(jìn)行有效管控，在網(wǎng)絡(luò)出口部署ACG2000應(yīng)用控制網(wǎng)關(guān),。H3C SecPath ACG（Application Control Gateway）是業(yè)界識(shí)別最全面,、控制手段最豐富的高性能應(yīng)用控制網(wǎng)關(guān)，能對(duì)網(wǎng)絡(luò)中的P2P/IM帶寬濫用,、網(wǎng)絡(luò)游戲,、炒股、網(wǎng)絡(luò)視頻,、網(wǎng)絡(luò)多媒體,、非法網(wǎng)站訪問等行為進(jìn)行精細(xì)化識(shí)別和控制，保障網(wǎng)絡(luò)關(guān)鍵應(yīng)用和服務(wù)的帶寬,，對(duì)網(wǎng)絡(luò)流量,、用戶上網(wǎng)行為進(jìn)行深入分析與全面的審計(jì)，進(jìn)而幫助用戶全面了解網(wǎng)絡(luò)應(yīng)用模型和流量趨勢,，優(yōu)化其帶寬資源,，開展各項(xiàng)業(yè)務(wù)提供有力的支撐。

　　為了滿足校內(nèi)師生對(duì)無線上網(wǎng)的需求,，可采用H3C一體化無線校園解決方案,，采用無線控制器+瘦AP的架構(gòu)組建無線網(wǎng)絡(luò)，在核心層部署WX5004無線控制器,，無線控制器實(shí)現(xiàn)無線AP的管理和控制,，在室內(nèi)樓道部署無線AP，實(shí)現(xiàn)無線信號(hào)的覆蓋,，無線AP零配置,，部署簡單；這種組網(wǎng)方式具有組網(wǎng)靈活，業(yè)務(wù)開展能力強(qiáng)等特點(diǎn),，作為有線網(wǎng)絡(luò)的有效補(bǔ)充,，使校內(nèi)師生可以更加靈活便捷的使用網(wǎng)絡(luò)。

　　H3C一體化無線校園解決方案有效實(shí)現(xiàn)了有線和無線網(wǎng)絡(luò)的融合,，通過統(tǒng)一的硬件平臺(tái),、統(tǒng)一的網(wǎng)絡(luò)管理、統(tǒng)一的用戶管理,、統(tǒng)一的應(yīng)用安全,，為校園用戶提供安全的無線接入。一體化技術(shù)的價(jià)值還包含組網(wǎng)成本的降低,，擴(kuò)容成本的降低,，運(yùn)營成本的降低，以及業(yè)務(wù)開展的便利等多個(gè)方面,。H3C高端無線控制器WX5004最大可接入256個(gè)FIT AP,，支持5000個(gè)無線客戶端設(shè)備。此外,，H3C通過iMC智能網(wǎng)絡(luò)管理平臺(tái)為網(wǎng)絡(luò)管理員提供了圖形化,、一體化管理能力，可以高效地管理有線/無線網(wǎng)絡(luò),。

　　三,、網(wǎng)絡(luò)設(shè)計(jì)方案特點(diǎn)

　　根據(jù)高校網(wǎng)絡(luò)具體情況，結(jié)合我們對(duì)高校校園網(wǎng)應(yīng)用的理解和建設(shè)校園網(wǎng)的經(jīng)驗(yàn),，設(shè)計(jì)了高校網(wǎng)絡(luò)網(wǎng)絡(luò)建設(shè)方案,。該方案具有以下特點(diǎn)：

　　架構(gòu)——采用大型網(wǎng)絡(luò)的設(shè)計(jì)架構(gòu)，核心－匯聚－接入,；

　　性能——采用較高性能的核心交換機(jī)S7506E（交換容量：768G,、包轉(zhuǎn)發(fā)率：492Mpps）完全滿足高校網(wǎng)絡(luò)校園網(wǎng)快速數(shù)據(jù)交換和轉(zhuǎn)發(fā)；

　　安全性——選用的所有網(wǎng)絡(luò)設(shè)備都集成基礎(chǔ)的安全特性,，核心層交換機(jī)配置防火墻插卡,，可有效防范內(nèi)網(wǎng)攻擊，接入層交換機(jī)上支持防ARP欺騙,、DHCP服務(wù)器欺騙等安全特性,，從而保證了高校網(wǎng)絡(luò)網(wǎng)絡(luò)的安全性；

　　擴(kuò)展性——采用靈活的網(wǎng)絡(luò)設(shè)計(jì)架構(gòu),，模塊化的核心設(shè)備（S7506E,、S5500-28F-EI），支持萬兆以太網(wǎng)端口等特性,，從而保證了高校網(wǎng)絡(luò)未來3-5年之內(nèi)可以平滑的升級(jí)到下一代網(wǎng)絡(luò),；

　　IPv6——選用的所有網(wǎng)絡(luò)設(shè)備都支持IPv6（S7506E、S5500-28F-EI）及IPv4到IPv6的過渡技術(shù)，從而保證了高校網(wǎng)絡(luò)網(wǎng)絡(luò)從IPv4到IPv6平滑的過渡,；

　　網(wǎng)絡(luò)業(yè)務(wù)分析——所選用的交換機(jī)產(chǎn)品都支持遠(yuǎn)程端口鏡像RSPAN,，可以將接入端口的流量鏡像到核心交換機(jī)上，配合流量分析系統(tǒng),，可以對(duì)全網(wǎng)業(yè)務(wù)和流量進(jìn)行監(jiān)控,、優(yōu)化部署和惡意攻擊監(jiān)控，滿足校園網(wǎng)精細(xì)化管理的需要,。