某县教育局网络建设设计方案.doc
《某县教育局网络建设设计方案.doc》由会员分享，可在线阅读，更多相关《某县教育局网络建设设计方案.doc（20页珍藏版）》请在冰点文库上搜索。
某县教育局网络建设设计方案
2017.4
某县教育局网络建设设计方案
第一章项目概述
1.1项目背景
在十二五期间，教育信息化被各行各业广泛讨论、研究。
而随着教育事业十三五的提出，教育科技化、信息化更是教育改革的重心之一。
教育信息化，要求在教育过程中较全面地运用以计算机、多媒体和网络通讯为基础的现代信息技术，促进教育改革，从而适应正在到来的信息化社会提出的新要求，对深化教育改革，实施素质教育，具有重大的意义。
网络作为信息化的基础之一，更加需要架构稳定、性能卓越、技术先进的网络设备来为教育信息化保驾护航。
1.2需求分析
1.2.1一般建网需求
根据某县教育局网络建设的需求，需要建设一个支持办公数字化、网络化、自动化的国内先进的基础网络平台，满足数字化办公网络建设的需要，也满足教育信息化建设的长期要求。
网络平台具有较好的服务质量、较高安全性、便于管理和维护，能够支持办公的各种应用，也支持信息发布、网上信息发布等。
接入层支持千兆到桌面，核心层支持全千兆并且具有向万兆速率平滑扩容的能力。
网络关键节点能够冗余热备保障系统连续稳定运行。
具有高带宽、高可靠、高性能、高安全的特性。
办公网络组建投入使用以后是一个要求相对稳定的环境，对网络的稳定性要求相当高，如果万一出现网络中断的现象，有可能就会对办公造成损失，有一些数据可能造成丢失。
出口设备要具有防火墙的特色功能，防止恶意入侵对全网的影响。
需要做到使用方便，存在WEB认证需求。
要求能做到基于WEB的身份认证、带宽动态调整（隐性需求）、多WEB界面（隐性需求）等。
需要解决账号和端口绑定问题。
通过此种方式限制账号的使用区域。
能够实现全网的安全管理，包括：
IP、MAC的盗用问题、防止接入用户的非法DHCPSERVER、PROXY等用户。
对于用户的上网行为能够实现实时的跟踪以及事后的追查。
网络办公日益普及，各种重要资料皆为信息化数据。
这就让如何保障网络的安全成为建网时不得不考虑的问题，目前主要攻击手段有DOS，DDOS等
上网日志的需求，主要是作日后的审核和查验。
组播业务的需求，特别是可控组播的需求将随着网络信息化的深入而体现出来。
1.2.2某县教育局网络建设需求
本次工程的总体任务如下：
充分考虑办公信息化工作的新需要、新应用，按照相关系统的国家标准，设计出符合本工程实际的建设方案。
方案应以“先进、实用、经济、合理，用管两便、安全可靠，易于扩展”的指导思想为原则，采用先进成熟的主流技术，充分考虑新建系统的可扩充性和与原有系统的兼容性，并体现科学规划、合理布局、预留充分、应用方便的特点，达到现代化、高效、舒适、安全、节能的人文办公环境的要求。
在提出完整可行的建设方案的前提下，有效地组织施工，完成整个办公信息化系统的建设。
1.3建网原则
某县教育局网络建设遵循以下基本原则：
n高带宽
为了保障全网的高速转发，全网的组网设计的无瓶颈性，要求方案设计的阶段就要充分考虑到，同时要求核心交换机具有高性能、高带宽的特点，整网的核心交换要求能够提供无瓶颈的数据交换。
n可增值性
某县教育局网络建设在建设、使用和维护需要投入大量的人力、物力，因此网络的增值性是网络持续发展基础。
所以在建设时要充分考虑业务的扩展能力，能针对不同的用户需求提供丰富的增值业务。
n可扩充性
考虑到用户数量和业务种类发展的不确定性，要求对于核心交换机与汇聚交换机具有强大的扩展功能，昆钢科技大厦智能化系统网络要建设成完整统一、组网灵活、易扩充的弹性网络平台，能够随着需求变化，充分留有扩充余地。
n开放性
技术选择必须符合相关国际标准及国内标准，避免个别厂家的私有标准或内部协议，确保网络的开放性和互连互通，满足信息准确、安全、可靠、优良交换传送的需要；开放的接口，支持良好的维护、测量和管理手段，提供网络统一实时监控的遥测、遥控的信息处理功能，实现网络设备的统一管理。
n安全可靠性
设计应充分考虑整个网络的稳定性，支持网络节点的备份和线路保护，提供网络安全防范措施。
n高速率、低延时：
为了保障业务的正常开展，以及与安宁的互联互通，计算机网络需要做到高速率，低延时；其中办公网络需要做到千兆接入、万兆骨干；
n成熟、稳定、可靠：
计算机网络的稳定性直接关系到正常业务的可用性；在设计中应尽量考虑网络品牌的成熟度，以及整网架构稳定、可靠；
n灵活、可扩展：
随着科技的进步、业务的发展，业务应用对计算机网络的要求可能发生变化；这就需要计算机网络具备灵活，可扩展的特性，满足未来3-5年甚至更长商检内，各种的业务需要；
n安全、易管理：
办公网、安防监控网中，都承载着部分敏感信息的传输，同时办公网还连接着互联网；这就要求计算机网络本身设计足够安全，而且便于维护、管理；
1.4网络建设目标
高可用――网络作为数据中心的基础设施，网络的高可用直接影响到业务系统的可用性。
网络层的高可用至少包括高可靠、高安全和先进性三个方面：
u高可靠：
应采用高可靠的产品和技术，充分考虑系统的应变能力、容错能力和纠错能力，确保整个网络基础设施运行稳定、可靠。
当今，关键业务应用的可用性与性能要求比任何时候都更为重要。
u高安全：
网络基础设计的安全性，涉及到业务的核心数据安全。
应按照端到端访问安全、网络L2-L7层安全两个维度对安全体系进行设计规划，从局部安全、全局安全到智能安全，将安全理念渗透到整个数据中心网络中。
u先进性：
建成网络将长期支撑业务发展，网络是数据的基础支撑平台，因此数据网络的建设需要考虑后续的机会成本，采用主流的、先进的技术和产品（如数据中心级设备、CEE、FCoE、虚拟化支持等），保证基础支撑平台4~8年内不会被淘汰，从而实现投资的保护。
易扩展――教育局面向的业务越来越广泛，未来的业务只会更加多元化，业务系统频繁调整与扩展再所难免，因此数据中心网络平台必须能够适应业务系统的频繁调整，同时在性能上应至少能够满足未来4~8年的业务发展。
对于网络设备的选择和协议的部署，应遵循业界标准，保证良好的互通性和互操作性，支持业务的快速部署。
易管理――网络设备繁多，各种协议和应用部署越来越复杂，对运维人员的要求也越来越高，单独依赖运维人员个人的技术能力和业务能力是无法保证业务运行的持续性的。
因此数据中心需要提供完善的运维管理平台，对数据中心IT资源进行全局掌控，减少日常的运维的人为故障。
同时一旦出现故障，能够借助工具直观、快速定位。
第二章网络改造设计方案
2.1某县教育局网络建设设计方案
2.1.1总体设计思路
我们遵循自顶向下的层次设计思想，以简约实用的网络架构为主。
为了保障网络系统的可靠性和可用性要求，在该网络系统的设计上我们采用以基础千兆链路为主干，千兆接入到桌面，并在网络出口采用一台高性能、高吞吐的防火墙设备。
在防火墙后面部署一台高性能、高吞吐的上网行为管理设备，负责对外上网行为管理、流量监管等。
2.1.2详细设计
根据需求，按照前述原则，本方案办公网络拓扑图如下
n核心层设计
核心交换机在整个办公内网系统中即是重中之重的，它承载着所有下层交换设备转发过来的数据流量，以及服务器区域、对外出口区域的互联；同时还需要对所有流量、区域进行Qos、ACL等安全划分；是整个网络中最重要的设备。
基于此，网络核心层采用H3CS7503E核心交换机。
S7503E-M支持不间断转发和优雅重启，提供毫秒级的切换时间；支持等价路由，可帮助用户建立多条等值路径，实现流量的负载均衡及冗余备份；支持RRPP快速环网保护协议，提供小于200ms的环网故障保护；支持Smart-Link协议，保证双上行网络拓扑的业务毫秒级快速切换。
通过上述技术，H3CS7503E可以在承载多业务的情况下不间断运行，实现业务的永续；S7503E-M能够在不重启设备的前提下，通过热补丁技术，在线修改软件BUG，增加新的业务特性。
H3CS7503E提供控制补丁单元状态切换的用户命令，使用户能够方便的加载、激活、去激活、运行或删除补丁单元。
通过热补丁技术，降低了设备需要重启的次数，为客户提供更长的网络正常工作时间。
n接入层设计
办公网采用H3C全千兆的交换机S5110-28C-SI，该机自带24个GE电口，同时自带4个千兆上行光口，充分满足各终端用户的千兆接入。
接入交换机支持IPv4/IPv6的三层协议，还可实现弱三层接入，实现高带宽接入的同时，更方便安全管理策略的指定；接入交换机还支持ARP防御、802.1x认证、IP+端口+MAC的捆绑等安全功能，为办公网络的稳定运行提供坚实的基础；
n网络出口设计
办公网出口采用H3CSecPathF1010防火墙。
H3CSecPathF1010防火墙支持多维一体化安全防护，可从用户、应用、时间、五元组等多个维度，对流量展开IPS、AV、DLP等一体化安全访问控制，能够有效的保证网络的安全；支持多种VPN业务，如L2TPVPN、GREVPN、IPSecVPN和SSLVPN等，与智能终端对接实现移动办公；提供丰富的路由能力，支持RIP/OSPF/BGP/路由策略及基于应用与URL的策略路由；支持IPv4/IPv6双协议栈同时，可实现针对IPV6的状态防护和攻击防范。
在防火墙后端部署一台ACGSecPathACG1000-T上网行为管理。
H3CACGSecPathACG1000-T能对网络中的网络社区、P2P/IM带宽滥用、网络游戏、炒股、网络多媒体、非法网站访问等行为进行精细化识别和控制。
利用智能流控、智能阻断、智能路由等技术，配合创新的社交网络行为管理功能、清晰易管理日志等功能，可以提供业界最全面、完善的上网行为管理解决方案。
从而保障网络关键应用和服务的带宽，对网络流量、用户上网行为进行深入分析与全面的审计，为用户全面了解网络应用模型和流量趋势，优化其带宽资源，开展各项业务提供有力的支撑。
n服务器接入区域设计
服务器通过千兆光缆直接和核心级交换机进行互连，以此保证各服务器应用系统的带宽保障，全面保证应用系统的干净合理的运行环境。
另外如果使用虚拟机技术，服务器区的汇聚可以方便实现虚拟机迁移等功能，为将来业务提供更灵活、更安全的保障；
第三章相关技术介绍
3.1产品介绍
3.1.1H3CS7503E-M系列高端多业务路由交换机
Ø产品概述
H3CS7500E系列产品是杭州华三通信技术有限公司（以下简称H3C公司）面向融合业务网络的高端多业务路由交换机，该产品基于H3C自主知识产权的ComwareV5/V7操作系统，以IRF2（IntelligentResilientFramework2，第二代智能弹性架构）、IRF3（IntelligentResilientFramework3，第三代智能弹性架构）技术为系统基石的虚拟化软件系统，支持云数据中心化所需的TRILL、EVB、FCoE和MDC（一虚多）技术，完全兼容40GE和100GE以太网标准，进一步融合MPLSVPN、IPv6、网络安全、无线、无源光网络等多种网络业务，提供不间断转发、不间断升级、优雅重启、环网保护等多种高可靠技术，在提高用户生产效率的同时，保证了网络最大正常运行时间，从而降低了客户的总拥有成本（TCO）。
H3CS7500E基于40G，100G平台设计，支持千兆光、千兆电、万兆光、万兆电、40G、100G等丰富的以太网接口，满足用户多层次的链路带宽需求。
H3CS7500E采用绿色环保的设计理念，符合“限制电子设备有害物质标准（RoHS）”，是绿色环保的路由交换机。
Ø产品特点
丰富的业务，适应融合业务网络发展趋势
IRF2（第二代智能弹性架构—横向虚拟化）
H3CS7500E面向数据中心技术的演进，推出了IRF2为代表的软件虚拟化技术，提供2-4台主机的协同工作、统一管理和不间断维护功能；IRF2不仅成为数据中心交换设备高性能、虚拟化的关键技术，而且对于传统企业网应用，IRF2所提供的高可靠性和无缝升级、扩展能力，也成为H3C用户增值服务的重要组成部分；另外H3C的IRF2虚拟化技术还可根据组网的要求支持长距离（80KM）的普通以太网万兆光纤堆叠。
IRF3：
（第三代智能弹性架构—纵向虚拟化）
H3CS7500E系列产品可以在纵向维度上支持异构虚拟化，将核心和接入设备通过IRF3技术形成一台纵向逻辑虚拟设备，支持AC、AP统一管理、配置，相当于把一台盒式设备作为一块远程接口板加入主设备系统，以达到扩展I/O端口能力和进行集中控制管理的目的。
IRF3技术可以简化管理，大幅度降低网络管理节点；简化布线，二层变为一层，节省横向连接线缆；最终实现数据转发平面虚拟化，便与简化业务部署和自动编排。
全面的MPLS、VPLS业务能力
H3CS7500E所有产品均支持Multi-VRF特性，可以作为MCE设备使用；支持三层的MPLSVPN和二层的MPLSVPN（Martini、Kompella）；支持MPLSOAM特性，方便用户的管理和维护；与H3CMPLSVPNManager配合，实现图形化的MPLS部署与维护。
全面支持VPLS，VLL，还支持分层VPLS以及QINQ+VPLS接入方式，提供端到端2层VPN接入方案，支持MPLS/VPLS全线速转发，满足VPLS规模部署要求。
高性能IPv4/IPv6业务能力
H3CS7500E支持IPv4/IPv6双协议栈,支持多种隧道技术，支持IPv4/IPv6的组播技术，为用户提供完善的IPv4/IPv6解决方案；H3CS7500E采用分布式体系架构，实现IPv4/IPv6业务的线速无阻塞转发；H3CS7500E已经通过了信息产业部的IPv6入网认证和IPv6Ready第二阶段认证，是成熟商用的IPv6产品。
有线无线一体化，有源无源一体化
H3CS7500E集成的无线控制模块提供丰富的业务能力，包括精细的用户控制管理、完善的RF管理及安全机制、快速漫游、超强的QoS和对IPv6的支持等；无线控制模块通过与安全策略服务器的联动，实现对无线接入用户的端点准入防御，提高了整网的安全性。
H3C7500E采用了支持AC功能的芯片设计，可拓展随板AC功能，为客户组建有线无线一体化网络的提供更丰富的选择。
H3CS7500E是业界最高密度的以太网无源光网络（EPON）设备，其提供高可靠的EPON系统，采用分布式体系结构、模块化设计，主控板冗余热备份、无源背板、冗余电源支持双路供电，具有电信级可靠性。
EAD端点准入防护技术
H3CS7500E支持大容量的Portal认证功能，可以在数千用户的局域网中做为EAD网关设备，为全网用户提供EAD安全认证功能；可以在大中型的校园网中担任汇聚/核心设备的同时，为学生宿舍区的认证计费提供Portal认证功能。
BYOD基础网络架构
支持丰富的接入认证方式，可以在数千用户的局域网中做为认证网关设备，为接入用户提供安全认证功能；也可以配合SSLVPN插卡，在大中型的园区网中担任汇聚/核心设备的同时作为VPN认证网关。
H3CS7500E为BYOD移动办公特性提供了基础网络架构，便于拓展BYOD应用如移动ERP、OA、UC&C等。
云数据中心化技术
作为企业级网络核心设备，H3CS7500E系列产品可以助力用户从容面对云数据中心化所需的一系列技术及解决方案：
TRILL：
随着服务器和交换机规模的增加，数据中心网络越来越倾向于扁平化的网络架构以便于维护管理，这就要求构建一个大型的二层网络；H3CS7500E系列产品支持通过TRILL技术和纵向虚拟化技术来进行数据中心大二层网络的构建。
数据中心大二层技术TRILL（TRansparentInterconnectionofLotsofLinks，多链路透明互联）协议将三层路由技术IS-IS（IntermediateSystem-to-IntermediateSystem，中间系统到中间系统）的设计思路引入二层网络，并对其进行了必要的改造。
从而将二层的简单、灵活性与三层的稳定、可扩展和高性能有机融合起来。
MDC：
H3CS7500E产品可以通过MDC技术实现正真的1：
N的虚拟化，即把一台交换机虚拟成N台互相独立的虚拟交换机，不同于传统的交换机虚拟化技术，MDC虚拟出的每台交换机之间物理隔离、安全隔离，拥有独立的硬件资源和管理权限，满足多业务客户共享核心交换机的需求，这样，一方面可以充分利用核心交换机的能力达到隔离复用的作用，另一方面也降低了用户的投资成本，一举两得。
EVB：
H3CS7500E产品支持EVB（EdgeVirtualBridging），通过VEPA（VirtualEthernetPortAggregator）技术将虚拟机产生的网络流量上传至与服务器相连的物理交换机进行处理，不仅实现了虚拟机间流量转发，同时还解决了虚拟机流量监管、访问控制策略部署等问题。
FCOE：
H3CS7500E系列产品支持FCOE技术；FCOE技术主要用来解决云计算数据中心LAN网络和存储网络异构的问题，通过FCoE和CEE技术的部署，可以实现数据中心前端网络和后端网络架构的融合，解决数据、计算和存储三网割裂的技术难题，从而大大降低数据中心的采购和扩容成本；
EVI：
H3CS7500E系列产品支持EVI（EthernetVirtualInterconnection，以太网虚拟化互联）技术，EVI是一种先进的"MACinIP"技术，EVI解决方案部署非常简单，基于现有的IP网络，给分散的物理站点提供灵活的二层互联功能，能够实现64个站点的互联。
全方位的安全保障，抵御多种网络安全威胁
三平面安全保障机制
H3CS7500E提供完善的安全防护机制，可从控制、管理、转发三平面全面保障网络的安全：
在控制平面，内置协议报文攻击识别模块，防止TCN、ARP等协议报文攻击，OSPF/BGP/IS-IS路由协议采用MD5验证，防止非法路由更新报文导致的网络瘫痪；在管理平面，SNMPv3网管协议，SSHV2，基于802.1x、AAA/Radius的用户身份认证以及分级的用户权限管理保证了设备管理的安全性；在转发平面，支持IP、VLAN、MAC和端口等多种组合精细绑定；支持uRPF单播反向路径转发，防止非法流量访问网络，采用最长匹配逐包转发机制，有效抵御病毒的攻击。
H3CS7500E还支持内置的高性能防火墙、异常流量清洗等模块，将专业的安全融入到交换机之中。
有线无线全面支持EAD
H3CS7500E是EAD端点准入防御解决方案的重要组成部分，S7500E可以动态的接收来自安全策略服务器的控制策略，根据终端的安全状态给予下发相应的访问权限。
H3CS7500E既支持有线终端用户的EAD，也支持无线终端用户的EAD，能够做到终端安全防范无漏洞。
增强的ACL特性
H3CS7500E系列产品支持强大的ACL能力：
支持标准和扩展ACL；支持基于VLAN的ACL，方便用户配置，节省ACL资源；支持出方向和入方向的ACL，满足金融等行业访问权限严格控制的需求。
电信级的高可靠性，保障用户业务长期稳定运行
电信级高可靠性设计
H3CS7500E采用无单点故障设计，所有关键部件，如主控板、电源和风扇等采用冗余设计；无源背板避免了机箱出现单点故障；所有单板和电源模块支持热插拔功能；H3CS7500E系列可以在恶劣的环境下长时间稳定运行，达到99.999％的电信级可靠性。
多业务高可靠性运行
H3CS7500E支持不间断转发和优雅重启，提供毫秒级的切换时间；支持等价路由，可帮助用户建立多条等值路径，实现流量的负载均衡及冗余备份；支持RRPP快速环网保护协议；支持Smart-Link协议，保证双上行网络拓扑的业务毫秒级快速切换。
通过上述技术，H3CS7500E可以在承载多业务的情况下不间断运行，实现业务的永续。
基于IRF2架构的HA
IRF2技术可以把多台S7500E虚拟成一个“联合设备”，使用和配置都如同一台机器，而且扩展端口数量和交换能力，同时也通过多台设备之间的互相备份增强了设备的可靠性，提供毫秒级的链路收敛能力。
简化了管理过程，降低管理成本，并可根据实际需求平滑扩容网络容量。
支持基于硬件的丰富的OAM故障检测机制，实现毫秒级链路故障检测。
硬件级加密技术
S7500E支持硬件级加密技术Macsec技术（802.1ae），区别于传统端到端基础应用层保护的软加密技术，Macsec通过鉴别数据源的密码技术保护管理桥接网络和其他数据的控制协议，保护信息完整并提供再保护和保密服务。
通过确认由该站发来的帧，可根源上保护2层协议受到的攻击。
3.1.2H3CS5110-SI系列交换机
Ø产品概述
H3CS5110-SI系列以太网交换机是H3C公司自主开发的全千兆以太网交换机产品，具备丰富的业务特性，广泛应用于企业网和园区网的接入。
S5110-SI系列交换机在满足高性能接入的基础上，采用新一代绿色节能设计理念，给用户带来一个高性能、高性价比、绿色节能的接入网络。
Ø产品特点
高性能与灵活扩展能力
H3CS5110-SI系列交换机支持所有端口线速转发，满足了用户对高带宽的需求。
S5110-SI系列交换机至少支持2或4端口千兆上行，并且SFP端口既可以支持百兆光模块，也可以支持千兆光模块，在降低用户成本的同时，更好的考虑了用户后续升级的实际需求。
H3CS5110-SI系列交换机可支持32台设备的堆叠，最大扩展至1664个100/1000M端口，支持不同端口设备的混合堆叠。
具有即插即用、单一IP管理。
同时大大降低系统扩展的成本，保护了用户投资。
增强的多业务能力
H3CS5110-SI系列交换机支持端口限速以及流限速功能，防止恶意侵占网络带宽，也为网络带宽的精细化管理提供了手段。
H3CS5110-SI系列交换机支持丰富的队列调度算法，可以以不同的优先级将报文放入端口的输出队列。
H3CS5110-SI系列交换机支持丰富的IPv6管理功能及支持丰富的IPv6业务特性等。
专业的防雷功能
H3CS5110-SI系列交换机采用专业的内置防雷技术，支持支持业界领先的6KV业务端口防雷能力，使其在比较恶劣的工作环境中也能极大的降低雷击对设备的损坏率。
绿色节能
H3CS5110-SI系列是H3C新一代绿色节能以太网交换机，采用多种绿色节能设计，包括auto-power-down（端口自动节能），如果在一段时间内接口状态始终为down，则系统自动停止对该接口供电，自动进入节能模式；支持一键节能模式，通过控制设备上指示灯亮/灭以及端口节能状态降低能耗；支持EEE节能功能，端口如果在连续一段时间之内空闲，系统会将该端口设置为节能模式，当有报文收发时再通过定时发送的监听码流唤醒端口恢复业务，达到节能的效果，满足材料环保与安全性的欧盟RoHS标准。
简单易用的网络管理
H3CS5110-SI系列交换机支持通过FTP、TFTP实现设备的远程升级，支持SNMPv1/v2/v3，可支持OpenView等通用网管平台，以及iMC智能管理中心。
支持CLI命令行，Web网管，TELNET，使设备管理更方便。
并且支持SSH2.0等加密方式，使得管理更加安全。
三层功能
H3CS5110-SI系列交换机支持简单的三层功能，支持静态路由及RIP协议，提供三层路由接口。
3.1.3H3CSecPathF1010防火墙
Ø产品概述
H3CSecPathF10X0系列防火墙是杭州华三通信技术有限公司（以
升级会员 