方案建议书1Word文件下载.doc

1、4.5.4用户的安全接入244.5.5网络病毒与攻击的过滤254.6网络管理平台274.6.1网络管理概述274.6.2有效的管理网络系统285方案特色295.1先进硬件体系架构设计，提供强大的处理能力295.2关键部件冗余，有效保证网络电信级可靠性295.3设备能完整的攻击和病毒防范能力，确保网络安全295.4专用硬件多业务的加速，提升网络性能295.5采用超低功耗设计，延长核心交换平台的寿命306产品选型30前言随着当代信息技术向中小学教育的扩展，随着多媒体计算机在教育教学过程中的应用越来越普遍，校园网络的建设提到了重要的议事日程。从当今世界发达国家教育信息化发展的经验来看，从单机发展到网

2、络，是中小学教育信息化发展的必然趋势。因此，在当前我国基础教育信息化发展过程中，以校园网络的建设为核心与基础，加快教育现代化的进程，实现我国基础教育改革发展中的跳跃式发展，这是全面贯彻素质教育的关键性步骤。1 xxx校园网建设概述1.1 XX高中校园网建设的意义信息化为学校教学管理服务。借助学校教育教学网站，可以扩大学校的宣传，提升学校知名度和影响力。信息化为学生学习服务。学生可以以全新的学习模式和学习手段来学习，或进行基于网络的自主式、协作式、研究探索式的学习，从而全面提高其自身素质与能力，提升学习效率。信息化为家庭教育和学校教育结合服务。借助网络，家长可以更方便的了解学生在校学习生活的情况

3、，老师与家长之间的交流也更加方便，通过网络可以促进学校教育与家庭教育的结合。1.2 XX高中校园网建设带来四个改变第一个变化：多媒体的校园。从教学应用的角度而言，通过实施校园网整体方案，原来的教师、学生和网络三者之间的关系会发生变化，传统的“填鸭式”教育将通过多媒体的教育手段得到有效改善。这主要体现在以下三个层面：1.教师的工作职能有所转变，他们将成为帮助学生掌握学习方法和信息技术的领路人，而不再仅仅是把知识传授给学生。2.学生成为学习的主体，主动提高自己的学习能力并发挥个人的创新意识。3.校园网为教师和学生“教与学”环节搭建出多媒体的交互平台。作为学生学习的指导者，教师将在教学过程中采用网络

4、、多媒体技术，利用网络上丰富的教学资源，激发学生的学习兴趣，提高教学质量。多媒体技术则将文本、声音、图像、动画和视频技术融为一体，使教学活动变得生动且形式多变，从而提高学生学习的积极性、效率和效果。第二个变化：网络化的校园。从教学管理的角度而言，实施校园网整体方案，学校能有效地利用计算机网络，采用先进的管理软件，规范学校的管理行为，提高管理水平和效率。首先，利用计算机存储量大、处理快速的特点，在减轻学校管理者工作量的同时，为学校的决策提供更加准确、丰富的信息。其次，因为学校办公、信息交流和通讯方面有了合适的管理平台，从而使学校逐步跨入电子化、无纸化办公阶段。第三个变化：智能的校园。植根于应用方

5、案的基础信息平台之上，“校园一卡通”得到了大规模的应用。它采用先进的信息集成技术，能同时嵌入学校正在使用的各种管理信息系统，使得分散的各个管理信息系统成为一个有机的整体，从而充分利用了各个管理信息系统的有效资源，真正实现了校园管理智能化。这意味着，无论学生的就餐、教师的考勤、图书馆的管理，还是学生注册、个人基本资料的存储，只要一张小小的卡片就可完成。第四个变化：开放的校园。网络化的校园不仅仅指校园内部的管理效率大为提高，它还包括学校的开放程度的提高。通过在服务器上开发的校园网站，学校可以面向学生家庭开放、面向社会开放，促进社会与学校的交流和沟通。从宣传效果而言，通过交互网页的新媒介手段，学校也

6、进一步提高了自身的知名度。1.3 XX高中网络建设设计原则XX高中建设校园网的时候还应该坚持下面一些原则：高速校园网校园网络是所有应用的基础平台，为了支持数据、话音、视像多媒体的传输能力，要求全网无带宽瓶颈，保证各种应用软件的带宽需求。高稳定可靠性校园网是各种应用的统一通信平台，平均无故障时间以及故障恢复时间，要保持在一个可容忍的许可范围之内。不但要考虑设备本身的冗余、容错能力，还要从网络架构的合理设计上，保障网络的稳定可靠运行。高安全制定统一的安全策略，整体考虑网络平台的安全性，构建全局安全网络。保证关键数据不被非法窃取、篡改或泄漏，使数据具有极高的可信性。良好可扩展性高性价比，满足目前需要

7、，通过灵活性和模块化的方式平滑升级网络功能和扩展网络规模，满足不断增长的教学和管理的网络需求。2 需求分析XX高中网络设施建设目标是：建设一个适应现代远程教育应用需要，集Internet服务、数据、语音、视频服务于一体的高带宽、多功能、多服务、开放的、多业务接入的网络。校园网采用核心、汇聚，接入的三层结构。在核心层，此次网络的建设主要是为了实现骨干网带宽的提升，骨干网带宽提升至千兆支持万兆。XX高中是新建校区，有艺术楼、图书馆、教学楼3栋、实验楼3栋，学生宿舍楼4栋，教师宿舍楼和食堂等共14栋建筑，XX高中校园要完成14栋楼的信息化建设，实现校园信息共享和数字化教学。各大楼综合布线采用六类线布

8、线，大楼到中心机房部署单模光纤。为此，建议xxx信息化项目采用全千兆以太网技术架构实施，建成后力争该网络在未来五年内具有先进性。3 技术方案设计3.1 拓扑结构设计 XX高中整个网络信息化系统划分为六个部分：服务器区域、出口区域、核心层、汇聚层、接入层。整网采用星形架构部署，中心机房部署在图书馆。接入层负责用户端的PC终端接入，汇聚层负责对于接入本信息化网络系统的各种数据流进行合理的转发、路由聚合等工作，以降低核心层的数据处理压力；核心层负责整个网络内部和外部的数据高速转发，是一个高速的数据转发处理平台；服务器区为整个信息化平台提供了丰富的内部信息资源，如学校内部的数字图书馆等资源；服务器区还

9、将部署一台专用服务器，并安装网管软件，负责这个网络内的路由、交换等网络设备，并对于网络不断优化；学校通过出口区域访问外部丰富的Internet资源的，五个部分各司其职，组成个完整的网络体系，为学校师生、管理人员，提供丰富的内外部资源，建设一个适应现代远程教育应用需要，为用户提供Internet服务、数据、语音、视频服务于一体的高带宽，多功能、多服务、开放的、多业务接入的网络。3.2 方案描述3.2.1 核心层设计核心层选用迈普MyPower S6800-4A-AC万兆核心路由交换机，作为网络核心交换设备，完成对校园网内部各大楼数据的汇聚和数据交换，各大楼部署千兆汇聚交换机4128F-AC通过单

10、模光纤上联到核心交换机。 迈普MyPower S6800-4A-AC万兆核心路由交换机整机总插槽8个，配置冗余引擎后，业务接口的插槽4个，交换容量1600Gbps，包转发率958Mpps，可以提供超大容量L2/L3层数据交换服务；采用ATCA理念，先进的电信级99.999%设备稳定性设计，所有部件全冗余，主控卡和交换矩阵硬件分离；支持MPLS和IPv6数据的全分布式硬件线速处理，满足核心层设备高密度、高吞吐量的MPLS和IPv6数据转发要求；提供电信网络的管理特性，通过OAM协议可以对网络链路、业务、用户端进行全面的管理。XX高中互联网出口部署MP3840路由器，实现对校园网进出数据的路由转发

11、，为保障网路数据安全，在出口部署MSG4000安全网关，对城域网数据进行安全控制。迈普MSG4000语音网关具有防火墙，IPS，防病毒，流量控制，贷款管理，行为审计和日志管理管理。同时为了将数据中心接入校园网，在XX高中数据中心部署一台S4128F-AC数据中心交换机直接接入到核心交换机S6800-04A-AC，实现校园网内部对数据中心无阻塞的数据访问。3.2.2 汇聚层设计各大楼一层弱电间部署全千兆三层交换机MyPower SM4128F-AC作为大楼数据的汇聚设备，MyPower SM4128F-AC通过单模光纤上联到XX高中校园网核心设备S6800-04A-AC，下行通过六类线对接入交换

12、机进行汇聚。MyPower S4100F交换机进行二层、三层数据转发时，可以实现所有千兆端口和万兆端口的全线速三层转发，交换容量304G/352G,，转发率155M/191Mpps，可以满足网络汇聚的需求。MyPower S4100F交换机具有完善的安全控制、QoS、组播能力等功能，能根据用户定义对数据包进行四至七层的ACL过滤，结合802.1x认证协议，可以向用户提供各种安全应用。3.2.3 整楼栋接入设计根据艺术楼、图书馆、教学楼3栋、实验楼3栋，学生宿舍楼4栋，教师宿舍楼和食堂，图书馆等大楼信息点和数据分布情况，采用MyPower S3100接入交换机完成对楼层信息点的汇聚，并通过电口上

13、联到本大楼的汇聚交换机，楼层接入交换机部署在楼层弱电间。MyPower S3100系列交换机能在二层上实现所有的端口IP数据包的全线速转发，并具有完善的安全管理、QoS、组播能力等功能。MyPower S3100系列交换机能根据用户定义对数据包进行二至七层过滤，结合802.1x认证协议，以及迈普特有的相关安全功能，满足用户安全性要求。 针对图书馆和艺术楼（办公）的实际应用需求,在图书馆和艺术楼的部署无线,在楼层部署WA2000-211高性能无线AP，满足移动办公用户对无线网络的需求，迈普WA2000-211-AC无线AP可以实现对半径15米得覆盖,同时配合迈普WA6000-200-AC无线控制

14、器部署FIT AP解决方案,实现无线三层漫游,负载均衡和功率动态调整等功能。3.3 XX高中网络规划3.3.1 IP地址规划3.3.1.1 规划原则IP地址的合理规划是网络设计中的重要一环，大型计算机网络必须对IP地址进行统一规划并得到实施。IP地址规划的好坏，影响到网络路由协议算法的效率，影响到网络的性能，影响到网络的扩展，影响到网络的管理，也必将直接影响到网络应用的进一步发展。IP地址空间分配，要与网络拓扑层次结构相适应，既要有效地利用地址空间，又要体现出网络的可扩展性和灵活性，同时能满足路由协议的要求，以便于网络中的路由聚类，减少路由器中路由表的长度，减少对路由器CPU、内存的消耗，提高

15、路由算法的效率，加快路由变化的收敛速度，同时还要考虑到网络地址的可管理性。具体分配时要遵循以下原则：唯一性：一个IP网络中不能有两个主机采用相同的IP地址；简单性：地址分配应易于管理，降低网络扩展的复杂性，简化路由表项；灵活性：地址分配应满足多种路由策略的优化，充分利用地址空间。在公有地址有保证的前提下，尽量使用公有地址，主要是设备loopback地址、设备间互连地址、拨号地址池；IP地址分配既要考虑到扩充，又要能做到连续；尽量分配连续的IP地址空间，并为将来的网络扩展预留一定的地址空间；在每个网络中，相同的业务和功能尽量分配连续的IP地址空间，有利于路由聚合以及安全控制；IP地址的分配必须采

16、用VLSM技术，保证IP地址的利用率；采用CIDR技术，可减小路由器路由表的大小，加快路由收敛速度，也可以减小网络中广播路由信息的大小。不同地址段，可根据业务类型，设置相应权限、访问相应资源。3.3.1.2 IPv6网络扩展设计计算机技术和通信技术的发展和融合使Internet的应用和规模飞速发展，IPv4技术以其简洁有效而取得了巨大成功，但IPv4的最大问题在于IP地址资源紧缺。随着移动和宽带技术的发展，IP地址的需求还将更大。例如，大量终端的IP接入需要更多的IP地址，面对下一代网络对IP地址的庞大需求，IPv4显然无法满足。除了IP地址问题，IPv4还存在路由表庞大、QoS和移动等一系列

17、问题。据预测，到2005年中国的互联网用户将达到2亿人，在数量上将达到世界第一位。但IPv4地址空间有限，就算全部互联网用户不都是永远在线，IP地址也将在3、4年后也将被耗尽。未雨绸缪，为解决地址空间问题，以及其它一些IPv4中的疑难问题，发展了IPv6协议。必须在IPv4地址枯竭前逐步引进IPv6，经过IPv6与IPv4的共存时代，最终全面过渡到IPv6。IPv6的技术优势是明显的，但是IPv6应用所面临的一个重要问题就是如何部署IPv6网络。目前的Internet网络以IPv4为主导，不可能一次性地将网络的所有设备升级为IPv6，为此IPv6必须提供多种过渡技术来解决部署问题，3.3.1.

18、3 过渡阶段IPv4到IPv6的过渡是从网络边缘向核心演进，IPv4和IPv6会在较长时间内共存 起始：所有网络基于IPv4，Internet上都是纯IPv4设备，使用NAT缓解IPv4地址资源紧张 初级阶段：引入IPv6 Intranet，提供IPv6接入等服务。IPv4网络中出现若干IPv6孤岛，不同的IPv6孤岛使用自动或人工配置的隧道通过IPv4网络连接起来“IPv6-in-IPv4” 共存阶段：IPv6得到较大规模的应用，出现了骨干的IPv6 Internet网络，在IPv6平台上引入了大量的业务。IPv6业务可以通过IPv6 Internet网络与IPv6 Intranet网络，从

19、而可以充分利用IPv6的诸多优势，如Qos保证。但由于IPv6网络之间有可能不是相互连通的，因此还会使用隧道。在IPv6平台上实现丰富的业务加快了IPv6的实施。但仍将有大量的传统IPv4业务存在，许多节点也仍然是双栈节点 主导阶段：IPv6占据主导地位，具备全球范围内的连通性，所有的业务都运行在IPv6平台上。网络结构得以简化，维护也更加容易。在从IPv4升级到IP6的过程中，一定要注意从IPv4过渡到IPv6的过渡策略，考虑产品和方案平滑升级到IPv6的能力，保护投资。3.3.1.4 过渡策略IPv6技术现在正处于完善的阶段。因此，在建设IPv6网络初期，应当选择具有升级能力的网络设备，比

20、如以NP或ASIC为处理器实现的IPv6技术等。应当考虑与现有IPv4网络的互通性。由于IPv4网络资源丰富，上面有很多业务，因此要考虑怎样在IPv6网络上访问IPv4网络的资源。应当选择响应速度快、服务好的厂商。由于IPv6还处于发展期，会出现很多新功能，新技术，因此设备的版本升级必然比较频繁。同时用户可能根据自己的实际情况，对设备厂家提出一些特色需求。为此应当选择响应速度、服务好的厂商。应当不要选用有私有协议、专利技术的厂家设备。这些厂家的设备不能很好的和其他厂家的设备互通。为以后升级、扩容造成很大麻烦。3.3.1.5 IPv4/IPv6过渡策略方案同时支持IPv6/ IPv4两种业务流，

21、不影响目前主要的IPv4业务，满足IPv6应用时的过渡网络环境。IPv4/IPv6共存开通建议： 内部V6-V6、V4-V4业务，通过双栈设备实现业务的互连，不涉及IPv6协议与IPv4协议的转换，与普通单网络业务转发模型类似； 内部V6-V4业务互通，利用核心路由交换机作为协议转换设备，运行NAT-PT协议进行转换； V6业务-外部V4业务互通，利用核心路由交换机作为协议转换设备，进行IPv6业务与外部IPv4业务的互通； V6业务与外部IPv6孤岛业务互连，建议在设备实现手工隧道或6TO4隧道，穿越IPv4网络。方案中选用的迈普交换机，均支持丰富的IPv6路由协议和丰富的IPv6隧道、双栈

22、实现方式，可为未来升级至IPv6网络提供高性能的处理平台。3.3.2 VLAN设计为提升网络性能、增强网络的安全性，对XX高中校园网系统做必要的VLAN设计。虚拟网技术把传统的广播域按需要分割成各个独立的子广播域，将广播限制在虚拟工作组中，由于广播域的缩小，网络中广播包消耗带宽所占的比例大大降低，网络的性能得到显著的提高，同时VLAN部署也可以增强网络的安全性。交换式以太网中，利用VLAN技术，可以将由交换机连接成的物理网络划分成多个逻辑子网。一个VLAN中的站点所发送的广播数据包将仅转发至属于同一VLAN的站点。而不是网络中的所有站点。在交换式以太网中，各站点可以分别属于不同的VLAN。构成

23、VLAN的站点不论其所处的物理位置，既可以挂接在同一个交换机中，也可以挂接在不同的交换机中。实现VLAN主要有以下几种途径：1、基于端口的VLAN就是将交换机中的若干个端口定义为一个VLAN，同一个VLAN中的站点具有相同的网络地址，不同的VLAN之间进行通信需要通过路由器。采用这种方式的VLAN其不足之处是灵活性不好。2、基于MAC地址的VLAN交换机对站点的MAC地址和交换机端口进行跟踪，在新站点入网时根据需要将其划归至某一个VLAN，而无论该站点在网络中怎样移动，由于其MAC地址保持不变，故用户不需进行网络地址的重新配置。这种技术的不足之处在于站点入网时，需要对交换机进行较复杂的手工配置

24、，以确定该站点属于哪一个VLAN。3、基于网络地址的VLAN在此VLAN中，新站点入网时无需进行太多配置，交换机根据各站点网络地址自动将其划分成不同的VLAN。在三种VLAN的实现技术中，基于网络地址的VLAN智能化程度最高，实现起来也最复杂。4、根据IP组播划分VLANIP组播实际上也是一种VLAN的定义，即认为一个IP组播组就是一个VLAN。这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，主要适合于不在同一地理范围的局域网用户组成一个VLAN，不适合局域网，主要是效率不高。5、按策略划分VLAN基于策略组成的VLAN能实现多种分配方法，

25、包括VLAN交换机端口、MAC地址、IP地址、网络层协议等。网络管理人员可根据自己的管理模式和本单位的需求来决定选择哪种类型的VLAN 。6、按用户定义、非用户授权划分VLAN基于用户定义、非用户授权来划分VLAN，是指为了适应特别的VLAN网络，根据具体的网络用户的特别要求来定义和设计VLAN，而且可以让非VLAN群体用户访问VLAN，但是需要提供用户密码，在得到VLAN管理的认证后才可以加入一个VLAN。我们建议本项目以基于端口形式划分VLAN，并按各职能部门的不同创建相应的VLAN。3.3.3 路由协议规划在不同的VLAN间要实现互通必须提供路由，路由的产生可以由管理员指定，或者由路由器

26、运行动态路由协议而产生。由管理员指定的路由称为静态路由，它是由管理员手工设置每一个路由器，它的优点是不占用网络的资源，没有路由更新信息所占用的网络开销，缺点是网络中的管理员要对每一条路由都非常清晰地了解，当一个网络变得规模很大时，系统设置很困难。由路由器动态产生的路由叫动态路由，它是由路由器动行一定的动态路由协议，彼此通告路由信息，然后在此信息的基础上产生各个路由器的路由表，常见的动态路由协议有RIP v1/v2、IGRP、EIGRP、OSPF、IS-IS、BGP4等协议。 RIP协议RIP使用广播用户数据报协议（UDP）数据报文的方式把路由表项发送到相邻路由器。因为RIP使用UDP作为其发送

27、机制，所以发送到相邻路由器的路由表更新不能得到保证。路由器间RIP表项的发送缺省是在路由器初始启动后30s。当一个路由器在到另一个已经活动的路由器的连接上变成活动时，这种路由器的“公布”也会出现在路由器之间。使用RIP的路由器期待在180s之内从邻接路由器获得更新。如果在这段时间内没有收到邻接路由器的路由表更新，则去往未更新路由器的网络路由被标识为不可用，强制把ICMP网络不可到达消息返回给通过未更新路由器而连接的资源请求者。一旦接收更新计时器到达240 s，未更新路由器的路由表项将被从路由表中移去。路由器现在接收到的要到达通过未更新路由器连接的报文，现在可以被重定向到此路由器的缺省网络路径上

28、。RIP协议的优点：简单，应用广泛，几乎所有的厂商在其网络产品中都提供对它的支持。它的缺点：整个网络不能超过15跳，采用全网广播来发送路由更新信息在广域网内占用带宽。路由更新不带子网信息，要求连续的子网。IGRP协议内部网关路由选择协议（ IGRP）是Cisco专有的距离向量路由选择协议，目的在于解决RIP协议的限制。虽然RIP在小型同构网络上工作得相当好，但它的跳数小（16）的特点严重限制了网络的大小下，并且单一的度量（跳数）不能给复杂网络提供有弹性的路由选择。IGRP通过使网络跳数增加到255跳和为满足当今复杂网络路由选择弹性提供而提供的多种度量（链路可靠性、带宽、网络间延迟和负载），解决

29、了RIP的不足。 EIGRP协议EIGRP是Cisco 公司拥有的路由协议。EIGRP综合了距离向量协议与链路状态协议的优点。此外EIGRP利用散播更新算法（ Diffusing Update Algorithm，DUAL），从而加快了收敛，并且减少了网络中产生路由环的可能。EIGRP比其他路由协议更有优势的一点是：它不仅支持IP，并且支持Novell NetWare IPX和AppleTalk。因此，减化了网络设计和故障处理。OSPF协议OSPF用链路状态算法来计算在每个区域中到所有目的的最短路径，当一个路由器首先开始工作，或者任一个路由变化发生，这个配备给OSPF的路由器将LSA扩散到同一

30、级区域内所有路由器，这些LSA包含这个路由器的链接状态和它与邻居路由器联系的信息，从这些LSA的收集中形成了链路状态数据库，在这个区域中的所有路由器都有一个特定的数据库来描述这个区域的拓扑结构。这个路由器于是就运行Diskjtra算法，这个算法利用链路状态数据库在该区域中形成到所有目的的最短路径树，从这个最短路径树中形成了IP路由表。在网络中发生的任何改变将会被链路状态包扩散出去，同时使路由器利用这些新信息，重新计算最短路径树。IS-IS协议IS - IS（Intermediate System -to-Intermediate System,中间系统到中间系统）是一个分级的链接状态路由协议。IS - IS可以在不同的子网上操作，包括广播型的LAN、WA N和点到点链路。IS - IS是一个链接状态协议，实际上与O S P F非常相似，它也使用H ello协议寻找毗邻节点，使用一个传播协议发送链接信息。但是，至少存在两个技术问题：IS - IS使用一个小的度量值（6比特），严重限制了能与它进行转换的信息；而且链接状态也只有8比特长，路由器能通告的记录只有2 5 6个。BGP4协议B G P是自治系统间的路由协议，它的主要功能是和其他B G P会话者之间交换网络可达性信息。一个B G P说话者是任何为B G P配置的设备。B G P使