智慧校园建设技术建议书.docx

1、智慧校园建设技术建议书智慧校园建设技术建议书一、 项目背景 - 3 -二、 总体建设目标 - 3 -三、 整体建设方案 - 4 -3.1整网组网拓扑图 - 4 -3.2网络建设方案 - 5 -3.2.1校园网概述 - 5 -3.2.2校园网建设目标 - 6 -3.2.3校园网建设分析 - 6 -3.2.3.1校园核心层建设方案 - 7 -3.2.3.2大楼汇聚层建设方案 - 9 -3.2.3.3楼层接入层建设方案 - 12 -3.2.3.4网络管理建设方案 - 12 -3.3安全建设方案 - 15 -3.3.1概述 - 15 -3.3.2出口安全建设 - 16 -3.3.2.1出口双机部署 -

2、 17 -3.3.2.2路由安全 - 17 -3.3.2.3防火墙 - 18 -3.3.2.4入侵防御 - 18 -3.3.2.5用户行为管理 - 19 -3.3.2.6防病毒网关 - 19 -3.3.3运维管理建设 - 19 -3.4数据中心建设方案 - 20 -3.4.1服务器虚拟化建设方案 - 20 -3.4.1.1概述 - 20 -3.4.1.2服务器虚拟化 - 20 -3.4.1.3刀片服务器优势 - 21 -3.4.2存储虚拟化建设 - 22 -3.4.2.1方案设计原则 - 22 -3.4.2.2存储的优势 - 23 -3.4.3数据中心安全建设 - 24 -3.4.3.1概述

3、- 24 -3.4.3.2虚拟机隔离设计 - 24 -3.4.3.3虚拟防火墙部署优势 - 25 -3.4.3.4云平台深度安全防护系统 - 25 -3.5桌面云建设方案 - 27 -3.5.1概述 - 27 -3.5.2传统桌面环境目前面临的挑战 - 27 -3.5.3华为桌面云简介 - 28 -3.5.4华为桌面云优势分析 - 29 -3.5.5华为桌面云主要硬件 - 31 -3.6备份容灾建设方案 - 32 -3.6.1概述 - 32 -3.6.2本地存储异构虚拟化建设 - 33 -3.6.3异地存储容灾建设 - 34 -3.6.4备份一体机建设 - 35 -四、 方案优势 - 37 -

4、4.1具有多层次安全防护优势 - 37 -4.2具有可靠性优势 - 39 -4.2.1虚拟化可靠性 - 39 -4.2.2管理可靠性 - 39 -4.2.3服务器可靠性 - 39 -4.2.4存储可靠性 - 40 -4.2.5网络可靠性 - 40 -4.3具有成本节约的优势 - 40 -五、 方案预算 - 42 -一、项目背景智慧校园是以网络为基础，利用先进的信息化手段和工具，实现从环境（包括实验室、教室、设备等）、资源（如公文、图书、讲义、课件等）、到活动（包括教、学、科研、管理、服务、办公等） 的全部数字化、智能化，在传统校园的基础上构建一个数字空间，以拓展现实校园的时间和空间维度，从而提

5、升传统校园的效率，扩展传统校园的功能，最终实现教育过程的全面信息化，达到提高教育管理水平和效率的目的。 二、总体建设目标鉴于学校目前信息化现状、客观存在的问题以及实际需求，结合国内学校信息化的发展趋势，建议本次智慧校园建设总体目标设定为：夯实数字化的应用管理环境、智慧化的教学环境、有特色的校本课程建设环境和具有云计算能力的网络平台，最终建成一个开放、多元、人文、智慧、高效、安全、和谐的智慧校园，为学校实现战略发展目标提供强有力的支持，实现学校教研、教学、管理、服务等整体信息化，达到提升教学质量、提高人才培养水平、优化管理流程的目的。使得信息化整体水平与学校的业务发展定位一致，整体提供学校核心竞

6、争力，并实现学校优质高效的可持续发展。细化目标如下：1、提出并确定智慧校园网络的体系结构；2、制定智慧校园的信息标准与应用标准，以及各系统之间的接口标准； 3、建设一个为全校提供服务的数据中心，包括虚拟主机、应用服务、数据存储服务、数据备份服务、数据安全服务等； 4、建立全校的网络安全体系，保证校园网络的安全、保证关键数据、关键应用的安全以及关键 业务部门的安全，实现校园网络及其应用系统的安全高效运行；5、建立一整套校园信息管理系统，为实现“网上办公、网上管理、网上教学、网上服务”提供全面的系统支持。三、整体建设方案3.1整网组网拓扑图3.2网络建设方案3.2.1校园网概述校园网是指在学校范围

7、内铺设的信息网络，为学校师生提供快捷高效的教学、科研和综合信息服务。校园网既需要承载科研信息共享、多媒体教学、电子阅览、教学资料存储等教学相关的网络业务，也要承载行政和总务管理、教师办公、高校论坛等其他网络业务，因此对网络的性能、服务质量等要求极高。随着高校信息化的发展，网络中所承载内容的变化，以及接入终端的多样化，校园网的建设也面临着越来越多的新挑战。1、网络带宽问题传统校园网的接入层为百兆带宽，已经不能满足现有网络应用的高速传输需求。2、网络运营问题接入场景复杂校园网有大量的固定资产（例如打印机、摄像头、IP电话等）需要接入网络，这些终端设备都需要稳定运行；学生宿舍、教师公寓等地点又会有大

8、量PC接入网络；校园中访客众多，公共场所总会有访客频繁接入网络；由于学生和教师乐于尝试新技术，校园又是无线终端非常密集的场所。网络效率不高校园网中有大量的P2P及其他下载流量占用带宽，导致重要网络应用质量不高；有多个网络出口时，经常会出现一个出口已经非常拥塞，另一出口占用率却很低的现象；无论从技术上还是管理上，运维都显得非常复杂。网络行为管理本着对学生负责的理念，校园网需要提供网络行为管理的工具，对学生进行实名认证，对学生的上网行为进行约束，并对上网的行为能够监控记录，必要时进行回溯。IP地址分配校园网目前使用传统的DHCP方式分配IP地址，对接入用户缺乏有效的探测机制，地址回收效率也不高。校

9、园网中终端接入频繁，用户移动频率过快，使用DHCP方式会浪费大量IP地址资源。3、网络安全问题校园网的用户具有极强的网络技术以及好奇心，会不断尝试攻击校园网络；同时校园网应用繁多，结构复杂，是网络攻击、网络病毒滋生扩散的温床。4、IPv6的过渡问题校园网往往走在网络技术的最前线，作为网络技术发展的必然趋势，校园网更需要提前考虑IPV6的良好过渡。3.2.2校园网建设目标本期项目的目标是建立如下系统：1.构造一个既能覆盖本地又能与外界进行网络互通、共享信息、展示校园的计算机网络。选用技术先进、具有容错能力的网络产品，在投资和条件允许的情况下也可采用结构容错的方法完全符合开放性规范，将业界优秀的产

10、品集成于该综合网络平台之中；2.配备网络交换设备，整体网络实现万兆主干，千兆接入，保证未来各应用系统的实施以及满足学校各种计算机应用系统的大信息量的传输，为今后的网络扩容作好准备；3设备选型在技术上具有先进性，通用性，且必须便于管理，维护。应具备未来良好的可扩展性，可升级性，保护学校的投资。设备要在满足该项目的功能和性能上还具有良好的性价比。设备在选型上要是拥有足够实力和市场份额的主流产品，同时也提供很好的售后服务；4.网管设计，提供可以对整个网络系统进行管理的中文图形界面工具，使系统维护人员可以集中控制网络的所有设备，方便管理和维护。3.2.3校园网建设分析整个校园内网采用扁平化设计理念，分

11、成校园核心层、大楼汇聚层、楼层接入层和网络管理四个部分，实现采用万兆骨干，千兆到桌面，万兆主干具备40G扩展能力。3.2.3.1校园核心层建设方案1、校园核心交换机校园核心交换机主要承载全校办公和教学等业务系统数据转发、楼宇之间互联等功能，因此建议采用大交换容量、稳定性高、可靠性强的电信级核心交换机。因此校园核心交换机应具备以下特点：支持强大的业务处理能力，提升网络架构扩展性多业务路由交换平台，满足学校接入、汇聚、核心业务承载要求，支持无线、语音、视频和数据应用，为学校提供高可用、低时延、全业务的一体化网络解决方案。支持分布式L2/L3 MPLS VPN功能，支持MPLS、VPLS、分层VPL

12、S、VLL，满足学校VPN等接入需求。完善的二、三层组播协议，支持PIM SM、PIM DM、PIM SSM、MLD、IGMP Snooping，满足多终端高清视频监控和视频会议接入需求。支持运营级高可靠性设计，可视化故障诊断具备超越5个9的高可靠性，主控、电源、风扇等关键部件采用冗余设计，所有模块均支持热插拔。专用的故障检测定位子卡，提供300pps/3.3ms高精度硬件级以太OAM功能，802.3ah、802.1ag和ITU-Y.1731标准协议，网络故障发生时能够在第一时间检测所有终端Session联通性，图形化网管故障诊断界面，设备节点、链路自动遍历，实现网络快速故障检测与定位。冗余控

13、制引擎间主备无缝切换，设备优雅重启实现NSF无中断转发。支持ISSU业务运行中软件升级，设备软件升级过程中确保关键业务和服务不中断。支持完善的QOS机制，提升语音、视频用户体验提供高品质的QOS（Quality of Service）能力，支持从链路层到应用层流分类技术，具备完善的队列调度算法、拥塞控制算法，能够对数据流实现多级的精确调度，从而满足学校不同用户终端、不同业务种类的服务质量要求。提供硬件组播QOS低延时队列，全面满足学校视频业务优先级保障需求，为视频会议、监控等关键业务提供高质量承载保障。创新的优先级调度算法，对传统QOS队列调度进行了专门针对学校语音与视频的优化，大幅降低IP语

14、音时延、消除视频马赛克，提高用户体验。支持高性能IPv6业务能力，IPv4到IPv6平滑升级要求软硬件平台均支持IPv6，取得工信部IPv6入网认证和IPv6 Ready第二阶段金色认证。支持IPv4/IPv6双协议栈，支持多种隧道技术，支持IPv6静态路由、RIPng、OSPFv3、BGP+、IS-ISv6、IPv6组播，满足IPv6独立组网和IPv4/IPv6混合组网要求。支持智能流量负载均衡，提升校园IT利用效率要求负载均衡器支持加权轮询、基于连接数、加权IP地址Hash和基于HTTP URL的Hash等多种均衡调度算法，全面满足客户负载均衡要求。要求负载均衡器支持TCP和HTTP重用，

15、减轻服务器拆除/建立TCP连接的负载，提高服务器访问效率。要求负载均衡器支持动态“锁流”技术，满足校园网站在线视频负载均衡需求。强大的网络流量分析能力，随时网络健康诊断要求支持随板分布式网络Netstream业务分析功能，满足用户对网络流量实时采集、分析需要。支持Netstream V5/V8/V9多种报文格式，支持聚合流量模板，减轻网络采集器系统压力，支持实时流量采集、动态报表生成、属性分析、流量异常告警等功能。帮助客户对网络流量进行实时监控、现网设备吞吐分析，为优化网络结构、科学合理扩容提供决策依据。无线AC模块，全面满足移动办公需求要求无线AC板卡支持丰富的RF（射频）管理。支持AP上线

16、时自动选择信道和功率，在AP重叠区域，信号冲突时自动调整功率或信道，RSSI（接收信号强度指示）/SNR（信噪比）的不断更新，让系统可以实时了解每一个无线用户所处电磁环境，提升网络可用性。要求无线AC板卡支持802.1x认证、MAC地址认证、Portal认证、WAPI认证等多种认证方式，满足客户不同终端、不同安全等级设备的接入需求。支持二、三层漫游，终端设备跨AP漫游快速切换，AC间1+1、N+1多机冷备和AC间负载分担提高网络可靠性。创新节能芯片，智能功耗控制创新节能芯片，实现按流量动态调整功率，支持端口休眠，无流量不耗电。智能POE供电，可以实现基于PD设备角色启动不同的能源管理方案，保持

17、设备能源管理弹性。支持IEEE 802.3az能效以太网标准，线卡收发器具备低功率闲置模式，支持正常工作与低功率状态快速转换，低流量低功耗。2、校园网出口防火墙由于内网出口防火墙负责与学校内网互连的任务，在防火墙上配置访问控制列表ACL，通过ACL将三层IP数据包进行首次过滤，过滤掉不符合条件的数据。同时负责出口安全防护功能。3、校园网出口路由器一般情况下，路由设备主要工作在OSI七层网络模型中的第三或四层，负责校内网数据路由交换功能，因此出口路由器要采用高转发性能、高安全、高可靠。3.2.3.2大楼汇聚层建设方案大楼汇聚层交换机主要负责对接入层提供大数据量的汇聚功能，同时要满足不同业务之间的

18、隔离，因此汇聚交换机应采用具备大容量、高密度千兆端口，可提供万兆上行的万兆交换机。因此采用大楼汇聚交换机应具备以下特点：强大的多业务支持能力要求支持IGMP Snooping/ IGMP v3 snooping/Filter/Fast Leave/Proxy等协议。要求支持线速的跨VLAN组播复制功能，支持捆绑端口的组播负载分担，支持可控组播，可以充分满足IPTV和其他组播业务的需求。要求支持MCE 功能，实现了不同VPN用户在同一台设备的隔离，有效解决用户数据安全问题，同时降低用户投资成本。完备的高可靠保护机制要求不仅支持传统的STP/RSTP/MSTP生成树协议，还支持SmartLink和

19、RRPP等增强型以太网技术，可以实现毫秒级链路保护倒换，保证高可靠性的网络质量。此外，针对Smartlink和 RRPP均提供多实例功能，可实现链路负载分担，进一步提高了链路带宽利用率。要求支持以太Trunk（E-Trunk）功能。在使用E-Trunk之后，CE设备可以通过E-Trunk双归接入到两台PE设备上。从而把链路可靠性从单板级提高到了设备级，大大增强了设备级的可靠性。从而实现了跨设备的链路聚合和链路负载分担功能。极大的提升了接入侧设备的可靠性。要求支持智能以太保护SEP（Smart Ethernet Protection），SEP是一种专用于以太网链路层的环网协议。适用于半环组网场景

20、，部署时可独立于上层汇聚设备，并提供50ms的快速业务倒换性能。保证业务的不中断。在华为设备上已经利用SEP协议实现了以太网链路管理。SEP协议简单可靠、倒换性能高、维护方便、拓扑灵活，可以大大方便用户进行网络的管理和规划。要求支持双电源冗余供电，也可以交、直流同时输入。用户可灵活选择单电源工作模式或者双电源工作模式，提高了设备可靠性。要求支持BFD链路快速检测功能，能为OSPF、ISIS、VRRP、PIM等协议提供毫秒级检测机制，提高了网络可靠性。要求遵循IEEE 802.3ah和802.1ag提供点到点以太网故障管理功能，可以用于检测用户侧最后一公里以太网直连链路上的故障。完备的QoS策略

21、和安全机制要求系列交换机可以基于五元组、IP优先级、TOS、DSCP、IP协议类型、ICMP类型、TCP源端口、VLAN、以太网帧协议类型、CoS等信息，实现复杂流分流功能，支持双向ACL。5700支持基于流的双速三色限速功能，每端口支持8个优先级队列，支持WRR、DRR、SP、WRRSP、DRR+SP多种队列调度算法，有效地保证了话音、视频和数据等网络业务质量。要求系列交换机提供多种安全保护功能。支持DoS（Denial of Service）类防攻击、网络的防攻击、用户的防攻击等功能。其中Dos类防攻击主要包括SYN Flood、Land、Smurf、ICMP Flood。网络的防攻击主要

22、是指STP的bpdu/root攻击。用户的防攻击涉及DHCP仿冒攻击、中间人攻击、IP/MAC Spoofing 攻击、DHCP request flood、改变 CHADDR 值的 DoS 攻击等等。要求支持通过建立和维护DHCP Snooping 绑定表，侦听接入用户的MAC/IP 地址、租用期、VLAN-ID、接口等信息，解决 DHCP 用户的IP 和端口跟踪定位问题。同时，对不符合绑定表项的非法报文（ARP欺骗报文、擅自修改IP地址等）直接丢弃，有效防止黑客或攻击者通过ARP报文实施园区网常见的“中间人”攻击。利用DHCP Snooping 的信任端口特性还可以保证DHCP Serve

23、r 的合法性。要求支持ARP表项严格学习功能，可以防止因ARP欺骗攻击将交换机ARP表项占满，导致正常用户无法上网。同时，支持IP Source Check 特性，防止包括MAC 欺骗、IP欺骗、MAC/IP欺骗在内的非法地址仿冒带来的DOS攻击。要求支持集中式MAC地址认证和802.1x 认证及NAC功能，支持用户账号、IP、MAC、VLAN、端口、客户端是否安装病毒防范等用户标识元素的动态或静态绑定，同时实现用户策略（VLAN、QoS、ACL）的动态下发。要求支持基于端口的源MAC地址学习限制功能，有效防止用户源MAC欺骗冲击设备MAC表项，导致正常用户无法学到MAC表而泛洪的问题等。免维

24、护易部署要求支持自动配置、即插即用、USB开局、自动批量远程升级等功能，便于部署升级和业务发放，简化后续的管理和维护性能。从而大大降低了维护成本。要求支持SNMP V1/V2/V3， CLI命令行、Web网管、TELNET、HGMP集群管理等多样化的管理和维护方式，设备管理更加灵活。支持NTP、SSHv2.0、TACACS+、RMON、多日志主机、基于端口的流量统计，支持NQA网络质量分析，有利于进一步作好网络规划和改造。3.2.3.3楼层接入层建设方案接入层设备主要提供千兆桌面接入功能，建议采用静音低耗可堆叠的智能千兆桌面交换机即可。因此楼层接入交换机应具备以下特点：全新节能设计，引领低碳通

25、信要求全系列设备采用无风扇静音设计，降低整机功耗的同时，让您免除噪音的烦扰。要求整机遵循IEEE 802.3az（Energy Efficient Ethernet 能效以太网），提供端口低耗电闲置模式，大幅度降低功耗。要求可根据线缆长度进行相应输出功率调整，并且支持无连接时端口休眠优异的安全性能要求支持丰富的安全特性，如802.1x、RADIUS、NAC等安全认证方式。还支持MAC地址过滤和端口过滤功能，能有效防范黑客、病毒攻击，提供安全可靠的网络服务。强大的组网和带宽扩展能力要求提供LACP、STP/RSTP/MSTP等功能，可有效实现链路扩展及备份。 SNMP管理型交换机支持高达8个MS

26、TP实例，让组网无忧。3.2.3.4网络管理建设方案eSight是华为推出的新一代面向学校园区和分支网络管理系统，实现对学校资源、业务、用户的统一管理以及智能联动。eSight支持对IT&IP，以及非华为设备的统一管理，同时对网络流量、接入认证角色等进行智能分析，自动调整网络控制策略，全方位保证学校网络安全。同时，eSight提供灵活的开放平台，为学校量身打造自己的智能管理系统提供基础。对于网络运维人员而言，日常维护工作不仅繁杂，而且工作量大，涉及的工作内容包括监控拓扑对象、监控网元、配置网元、监控业务、诊断故障、监控性能、查看资源、报表生成等。华为公司推荐eSight网络管理系统，可以准确、

27、快捷的提供运维人员所需要的信息，大大减轻运维人员的工作量。通过eSight网络管理系统丰富的管理功能和灵活多样的维护手段，可以轻松实现网络日常维护。1、有线无线一体化网络管理通过eSight物理拓扑，可以统一监控交换机、路由器、安全设备、H3C设备、Cisco设备以及IT设备。对网络中的AC、POE交换机、FIT AP等无线设备与有线设备进行一体化集中管理，直观地看到设备之间的连接关系、设备的状态及告警，全网设备信息和状态一目了然。轻松实现业务部署，支持无线设备的批量配置，提升管理效率向导式的业务部署以及基于表单AP导入，可加速WLAN的业务部署。通过对华为AC设备的管理，实现对WLAN业务的

28、配置。AP的信息都配置在AC上，当AP上线建立隧道后从AC获取信息。多拓扑视图，方便用户从多角度了解无线网络的状态业务拓扑 ：展现AC、AP、终端用户之间连接关系及详细信息查看，并示意非法 AP的存在；提供无线业务的故障诊断能力（比如Ping）。位置拓扑：可进行障碍物设置，使得用户可以了解不同障碍物对信号衰减的影响。可查看当前热点位置及射频信号覆盖范围并在视图上标识当前非法AP位置及冲突域。颜色表示不同的频段， 深浅表示信号的范围，红色显示冲突域。2、网络管理效率快速、稳定的网络访问速度可以提高办公和学习效率，但在日常中，常常会出现网速太慢，无法正常办公的窘况。需要了解网络中的流量是被如何消耗

29、掉的。哪些应用占用了大量的带宽，这些带宽是如何造成的，是否应该调整网络的QoS策略，或是对网络进行扩容。Huawei eSight NTA网流分析组件，基于NetFlow、NetStream、sFlow 协议对网络流量进行深入分析，收集路由器、三层交换机输出的流信息，提供自定义报表功能，帮助网络管理员掌握流量及带宽使用情况，及时发现网络瓶颈，为网络规划及故障诊断等提供依据。多维度：接口流量排行、接口利用率流量排行、应用流量排行、协议流量排行、来源主机流量排行、目的主机流量排行、会话流量排行、DSCP流量排行。可定制：展现内容、展现形式、内容排版可定制。支持局部流量刷新，不引起整体界面变化。接口

30、流量排行和接口利用率排行，展示接口流量汇总信息，包括流入速率、流出速率、流入数据包、流出数据包等。点击一个具体的接口，可从应用、主机、会话、DSCP等多维度了解该接口基于时间的流量构成。通过Huawei eSight NTA网流分析组件可以精确分析出网络的使用效率情况，从而为网络运维提供助力。3.3安全建设方案3.3.1概述在出口边界区域中，防火墙透明接入网络，不对网络逻辑拓扑产生影响。使用防火墙将校园网划分成内网、外网、DMZ等不同区域，为不同区域划分不同的优先级，同时设置不同区域间的互访策略，以避免越权访问。使用防火墙来防御网络的大多数的攻击行为，以保证网络运行的稳定性，并且可以对网络内流

31、量进行多维度的监测。使用上网行为管理对校园内部用户的上网行为进行管理和监控，并可以对网络流量实现基于用户和应用的精细化话管理。本方案中在外网使用上网行为管理对用户上网行为进行分析，对网络中运行的具体应用流量进行管控，可以规范用户的上网行为。可实现如下功能：流量控制：传统网络中，设备仅仅能依靠MAC地址、VLAN等信息进行具体用户的流量识别，无法实施精细化的流量监控。上网行为管理基于产品内的应用协议分析能力，基于用户、应用/协议、时间、链路、带宽等多维度调控手段并支持其灵活组合，从而实现精细化的网络流量管控。网络违法溯源：eSight可以进行海量日志采集、存储、审计，对防火墙的日志进行智能分析，结合ASG的行为管理功能，对于校园网络用户的一些违规网络行为，可以实现快速追踪溯源，使管理方可以准确寻找到违规行为的责任人，消除安全隐患。行为管理与审计：上网行为管理实现对管道内网络流量的深入检测，分析，并把对象和访问情况进行数据化的统计分析，形成直观报表。上网行为管理针对特殊定义的检测目标和执行策略，深入到访问内容，为满足法律法规提供技术支撑。流量管理和行为管理与认证体系融合为一体。并对网络内的各项安全、网络数据信息实现统一的分析，为教学业务提供有力支撑。3.3.2出口安全建设