湘潭大学学生宿舍网技术方案书终稿文档格式.docx

湘潭大学学生宿舍网技术方案书终稿文档格式.docx

《湘潭大学学生宿舍网技术方案书终稿文档格式.docx》由会员分享，可在线阅读，更多相关《湘潭大学学生宿舍网技术方案书终稿文档格式.docx（52页珍藏版）》请在冰点文库上搜索。

中国教育网2M；

中国电信100M；

中国联通100M。

校园网站已成为学校教学、科研和管理的重要平台，形象宣传和对外交流的重要渠道。

二零零五年十二月，校园主干网采用千兆以太网网络技术，以光纤作为主干网通信介质，通过对部分光缆的改造，实现千兆交换到骨干和部分关键节点，百兆交换到桌面。

全面启用校园网用户实名认证及KILL网络版防病毒软件对网络用户进行管理。

添置F5做出口流量负载均衡、反垃圾邮件网关对垃圾/病毒邮件进行过滤。

校园网主应用服务器分别采用SUN公司小型机和LENOVO服务器机群，实现服务器的集中管理。

为了进一步提高学校信息化建设水平，使信息化更好的服务于老师与学生，学校打算对学生宿舍网进行信息化建设，为学生提供更好的学习和交流平台。

第二章网络建设原则与目标

2.1网络建设原则

2.1.1安全性

网络必须具有良好的安全防范措施和密码保护技术，灵活方便的权限设定和控制机制，使系统具有多种有效手段，防范各种形式对网络的非法入侵和内部攻击，以保证网络的实体安全、网络安全、系统安全和信息安全，有效地保障正常的业务活动和防止内部信息数据不被非法窃取、篡改或泄漏。

因此系统应分别针对不同的应用和不同的网络通信环境，采取不同的措施，包括系统安全机制、数据存取的权限控制等，@@@网络充分考虑安全性，针对教育行业网络的各种应用，有多种的保护机制，如划分VLAN、IP/MAC地址绑定、802.1x用户访问控制、802.1d、802.1w、802.1s冗余链路保护等，另外还具有良好的防病毒能力，提高整个网络的安全性，保证内外网安全。

2.1.2先进性

系统设计既要采用先进的概念、技术和方法，又要注意结构、设备、工具的相对先进成熟，整个系统的生命周期应有比较长的时间，可以在信息技术不断发展的今天，在系统建成以后比较长的一段时间内能满足用户需求增长的需要；

不但能反映当今的先进水平，而且具有发展潜力，能保证在未来若干年内占主导地位，保证网络建设的领先地位，采用千兆以太网技术构建网络主干、支干线路。

2.1.3开放性

采用开放的软硬件平台和数据库管理系统，遵循国际标准化组织提出的开放系统互联的标准，应用软件必须独立于软硬件平台，能集成任何第三方的应用，具有良好的可扩展性、可移植性和互操作性。

2.1.4扩展性

系统必须具有良好的可扩充性，在系统结构、系统容量与技术方案等方面必须具有升级换代的可能，核心设备必须采用模块化的结构，跟踪网络发展的前沿方向，符合网络的发展趋势并具有充分的扩展性。

系统建设必须尽量保护现有的软、硬件资源，保证各部门现有的计算机系统的使用，逐步过渡，有效保护用户投资，最终形成一个统一的、一体化的综合网络系统。

2.1.5高性能

网络链路和设备具备足够高的数据转发能力，保证各种信息的高质量无阻塞传输；

交换系统具有很高的交换容量与多服务支持的能力，保证网络服务的质量。

2.1.6可运营

为了让校园网能够良性、稳定、持续、健康的发展，并收回网络建设成本，学校或运营商需要对校园网进行运营，通过对上网的学生用户收取一定的费用来达到“以网养网”的目的，并要求运营系统能够贴近校园用户的应用模式，方便维护和管理。

2.1.7规范化和标准化

网络体系结构、通信协议及软件的设计和开发必须按照国家或行业标准进行，要模块化、结构化、数据要代码化，以便于信息共享和交流及将来的维护。

在系统设计和软件开发时，应用程序必须规范化、模块化和可以复用。

2.2网络建设目标

通过以上的网络建设原则，本次新校区网络建设要实现以下目标：

1）实现宿舍网区的高速接入；

2）实现网络的稳定、高效；

3）能够对接入用户进行身份认证；

4）能够限制用户的每月上网流量；

5）能够实现对网络设备的有效监控；

第三章产品选型说明

3.1宿舍区核心交换机设备选型说明

根据湘潭大学学生宿舍网建设的实际情况，需要在宿舍区部署两台核心交换机，为了满足实际网络的需要和未来的升级扩展，该核心交换机要求：

支持各种模块热插拔、支持多种千兆端口、支持链路聚合IEEE802.3ad、支持三层协议、较高的背板带宽和包转发率、硬件或NP多业务卡方式支持IPV6（保证网络系统以后平滑升级）、支持三种生成树、支持802.1x、各种QOS和组播协议的支持等。

根据具体情况，建议宿舍网核心交换机采用@@@新一代多业务万兆核心路由交换机RG-S6806E，该设备具体特点如下：

RG-S6806E是@@@网络推出的基于NP+ASIC构架的新一代多业务万兆核心路由交换机，拥有6个扩展插槽，RG-S6806E在保障高性能大容量的基础上提供强大的安全防护能力，并且拥有业务按需叠加扩展能力，达到业务和性能并重的设计需求。

RG-S6806E多业务万兆核心路由交换机提供1.2T背板带宽，并支持将来扩展到2.4T的能力，高达428Mpps的二/三层包转发速率可为用户提供高速无阻塞的数据交换，强大的交换路由功能、安全智能技术可同@@@各系列交换机配合，为用户提供完整的端到端解决方案，是大型网络核心骨干和大流量节点交换机的理想选择。

RG-S6806E交换机通过扩展高性能的多业务卡支持策略路由、IPV6、MPLS、loadbalancing、NAT、VPN、Firewall、webcacheredirect等业务功能，满足客户环境灵活而复杂的不同应用需求。

产品特性

Ø

强大数据处理设计（SPOH设计）

RG-S6806E的交换、路由、ACL、QoS等复杂功能通过硬件实现，避免了软件实现同样功能对数据高速处理的影响。

管理模块执行路由管理、网络管理、网络服务等任务，用户接口模块可以独立实现硬件路由、交换和组播功能；

用户交换端口则独立实现硬件ACL和QoS功能，同步式处理设计（SPOH设计）极大地提高整机处理能力。

强大的扩展能力

RG-S6806E多业务万兆核心路由交换机目前提供1.2T背板带宽，在不更换机箱的情况下，未来仅通过更换管理模块可以支持背板带宽扩展到2.4T。

RG-S6806E多业务万兆核心路由交换机通过扩展高性能的多业务卡，可以支持策略路由、IPV6、MPLS、loadbalancing、NAT、VPN、Firewall、webcacheredirect等功能。

高安全保障措施

物理安全：

RG-S6806E提供冗余管理模块、冗余电源模块、各种模块热拔插等物理安全保障措施。

病毒和攻击防护：

面对现在网络环境越来越多的网络病毒和攻击威胁，RG-S6806E提供强大的网络病毒和攻击防护能力，不仅提供了基于SPOH技术的ACL功能，而且还支持防源IP地址欺骗（SouceIPSpoofing）、防DOS/DDOS攻击（Synflood，Smurf），防扫描（PingSweep）等能力。

提供多端口同步监控技术，支持灵活的网络监控，提升网络监控能力

设备管理安全：

为了避免非管理人员登陆并操纵网络设备，造成网络传输和安全的影响，RG-S6806E提供了SSH加密登陆功能，以及telnet/web登录的源IP限制功能。

接入安全：

硬件支持IP、MAC、端口绑定，提高用户接入控制能力。

支持802.1X技术，满足6元素绑定接入限制

支持IGMP源端口检查，可有效控制非法组播源，提高网络安全。

通过PVLAN（保护端口）隔离用户之间信息互通，不必占用VLAN资源。

端口MAC地址锁和端口MAC地址接入数量功能可以屏蔽非法主机的接入

丰富的应用支持技术（QOS、组播）

RG-S6806E提供多种流分类技术和多种QOS技术，包括SP、WRR、WFQ、WRED、CAR、HOL等，为各种应用的带宽保障提供需要的支持技术。

流分类：

可以依据数据流的源/目的MAC地址、源/目的三层IP地址、三层协议（IP/IPX）、四层协议（UDP/TCP）、源/目的四层协议端口号、COS、TOS对数据流进行区分，实现2/3/4层的流分类功能。

数据标记：

802.1p是二层协议，可以为数据提供8个级别的优先级标记；

DSCP在三层的IP协议报文里进行优先级标记，可以提供64个级别的优先标记。

队列调度：

严格优先级队列SP保证高优先级业务总是在低优先级业务之前处理；

WRR是一种加权循环队列调度机制，首先处理高优先级，但在处理高优先级业务时，较低优先级的业务并没有被完全阻塞，而是按一定的比例同时进行。

WFQ是加权公平队列，对所有的数据流进行排队，监控吞吐率，并根据发送的信息量分配权值。

WFQ试图公平地为每个对话分配带宽，保证低带宽应用可以获得对接口的访问权，而不会被高带宽应用全部占用。

拥塞控制：

WRED加权随机早期检测协议，可以设置各个数据流在拥塞发生之前自动丢失数据的阀值，避免较高优先级应用的拥塞丢失。

HOL通过消除HOL阻塞确保最高可能的吞吐量；

最大限度地减少包丢失，减少多路传输和广播流量拥塞

承诺信息速率：

CAR可以为重要的数据流设定固定的带宽，如果设定的带宽合理，满足该数据流的需求，就可以保证重要数据流的正常转发。

提供多种组播支持技术，包括IGMPsnooping、IGMP、PIM（SM、DM），DVMRP，保证了网络中提供组播服务时的带宽合理占用。

支持领先的万兆以太网技术（IEEE802.3AE、IEEE802.3AK）

万兆以太网采用了IEEE802.3以太网媒体访问控制（MAC）协议、IEEE802.3以太网帧格式，以及IEEE802.3帧的最大和最小尺寸。

万兆以太网是以太网在速度和距离方面的进步，采用全双工技术，不需要应用低速的、半双工的CSMA/CD协议。

在其他方面，万兆以太网保留了初期以太网模型的精髓，因而可以和现有以太网环境无缝融合，支持客户已有应用。

RG-S6806E提供目前主流的四种万兆局域网传输标准：

10GBASE-R、10GBASE-W、10GBASE-LX4、10GBASE-CX4，四种传输标准在数据链路层以上都相同，差别在于物理层。

10GBASE-R和10GBASE-CX4用于传统的以太网环境，10GBASE-R采用光纤作为传输介质，10GBASE-CX4采用同轴铜缆作为传输介质，而10GBASE-W可与OC-192电路、SONET/SDH设备一起运行，保护传统基础投资，使运营商能够在不同地区通过城域网提供端到端以太网。

10GBSE-LX4则使用WDM波分复用技术进行数据传输。

支持L2VPN（QINQ）

RG-S6806E支持ServiceProvidervlan（DoubleTagging、VLANtunnel），允许对交换数据进行二次VLAN标识，外层标识用于创建VPN，提供链路选择，内层标识用于标识业务VLAN信息，实现在以太网环境中的L2VPN，解决了传统以太网环境无法提供数据传输安全控制的问题。

ECMP/WCMP（Equal-CostMultipathRouting/Weight-CostMultipathRouting）

存在多条不同链路到达同一目的地址的网络环境中，如果使用传统的路由技术，发往该目地址的数据包只能利用其中的一条链路，其它链路处于备份状态或无效状态，并且在动态路由环境下相互的切换需要一定时间，而等值多路径路由协议和权重多路径路由协议可以在该网络环境下同时使用多条链路，不仅增加了传输带宽，并且可以无时延无丢包地备份失效链路的数据传输。

最长匹配（LPM）三层交换技术

在传统的硬件三层交换机中采用“一次路由、多次交换”的路由技术，并且使用精确流匹配方式进行硬件三层转发，大量耗费CPU资源，并且占用大量的硬件存储资源。

最长匹配（LPM）三层交换技术可以解决传统方式“多次交换”中采用精确流匹配”而带来存储空间压力过大的问题。

最长匹配（LPM）技术支持直连路由、静态路由、动态学习到的路由都直接以网段形式存储于硬件转发表，一个目的网段使用一个转发表项，而不明目的网段IP地址的数据包直接通过硬件缺省路由转发。

因此，LPM技术的优点是极大地节约存储空间，拥有硬件缺省路由，所以，病毒和攻击数据包可以通过硬件网段路由或缺省路由进行转发，不增加额外的硬件表项，避免了存储溢出问题，保障设备的正常运行。

支持完善的双核心技术

RG-S6806E支持包括802.1D、802.1W、802.1S在内的多种生成树协议以及虚拟路由协议VRRP，提供完善的双核心保障技术。

所以本次宿舍网络建设我们建议选择@@@新一代多业务万兆核心路由交换机RG-S6806E作为宿舍网的核心交换机。

3.2宿舍区接入交换机设备选型说明

根据湘潭大学校园网建设的实际情况，为了满足实际网络环境的需要，对于所有接入交换机都要求：

较高的背板带宽和包转发率、支持三种生成树协议、支持基于时间和协议的网络访问控制、具有较高的安全性能、支持IP地址+MAC地址+交换机端口绑定、支持802.1x、各种QOS的支持等。

根据具体情况，建议接入交换机采用@@@安全智能交换机STAR-S2126G/S2150G，该设备具体特点如下：

STAR-S2126G/S2150G是两款全线速可堆叠的安全智能交换机，在提供智能的流分类、完善的服务质量（QoS）和组播应用管理特性同时，并可以根据网络实际使用环境，实施灵活多样的安全控制策略，可有效防止和控制病毒传播和网络攻击，控制非法用户使用网络，保证合法用户合理使用网络资源，充分保障网络安全和网络合理化使用和运营。

STAR-S2126G/S2150G可通过SNMP、Telnet、Web和Console口等多种方式提供丰富的管理。

S2126G/S2150G以极高的性价比为各类型网络提供完善的端到端的QoS服务质量、灵活丰富的安全策略管理和基于策略的网管，最大化满足高速、安全、智能的企业网新需求。

产品特性：

高性能

12.8G/18.5G背板带宽为所有的端口提供非阻塞性能。

灵活完备的安全控制策略

通过内在的多种安全机制可有效防止和控制病毒传播和网络流量攻击，控制非法用户使用网络，保证合法用户合理化使用网络，防止过渡占用网络带宽资源，如BT泛滥下载；

安全策略有端口安全、端口隔离、专家级ACL、时间ACL、端口ARP报文合法性检查、基于数据流的带宽限速、六元素绑定、基于应用内容的深度识别和控制等，满足企业网、校园网加强对访问者进行控制、限制非授权用户通信，合理化运营网络的需要；

硬件实现端口与MAC地址和用户IP地址的绑定，严格限定端口上用户接入；

通过将端口设为保护端口即可简单方便地隔离用户之间信息互通，不必占用VLAN资源；

通过PrivateVLAN可以在交换机的同一VLAN中提供端口之间的通讯或安全隔离，确保数据流进入有效端口，而不会被发送到其它端口，即解决了因传统802.1QVLAN造成全网VID资源不够的问题，同时又无需利用安全规则资源即能达到隔离不同用户以及不同组用户之间通讯的功能，充分保护用户隐私；

通过@@@SAM平台，可实现用户账号、MAC地址、IP地址、交换机IP、交换机端口等六大元素之间的灵活任意绑定，有效确认用户合法性和唯一性；

支持业界特有的IGMP源端口检查，有效杜绝非法组播源播放和大量占用大量网络带宽，提高网络安全性；

提供极为有效的PortBlocking功能，避免端口受到其它端口发送的广播包、多播包等报文的干扰，有效减轻端口负载负担，提高端口带宽，保护用户PC更高效安全地运行；

基于源IP地址控制的Telnet和Web设备访问控制，增强了设备网管的安全性，避免黑客恶意攻击和控制设备；

SSH（SecureShell）和SNMPv3可以通过在Telnet和SNMP进程中加密管理信息，保证管理设备信息的安全性，防止黑客攻击和控制设备；

可灵活控制二－七层数据报文，使得任何一个用户PC上的任何一种应用报文通过网络都能得到有效控制，充分保障了网络的安全和合理化使用。

完善的QoS策略

支持802.1P、端口优先级、IPTOS、二到七层流过滤等QoS策略，具备MAC流、IP流、应用流等多层流分类和流控制能力，实现带宽控制、转发优先级等多种流策略，支持网络根据不同的应用、以及不同应用所需要的服务质量特性，提供服务；

极灵活的带宽控制能力，可以基于交换机端口、MAC地址、IP地址、VLANID、协议、应用组合进行带宽限速，限速粒度精细：

1Mbps（128KB）粒度/百兆端口、8Mbps（1024KB）粒度/千兆端口，可根据网络安全需求，设定不同业务应用的带宽流量，满足按需所用。

高可靠性

支持生成树协议802.1D、802.1w、802.1s，完全保证快速收敛，提高容错能力，保证网络的稳定运行和链路的负载均衡，合理使用网络通道，提供冗余链路利用率。

方便易用易管理

强大的菊花链式堆叠，最多支持堆叠8台S2126G/S2150G的混合堆叠，最大支持384个10/100M端口，保证网络的高度灵活和可扩展，网络管理更加简单；

独特的集群管理，通过一台命令交换机可管理多达20台的S3550系列和S21系列交换机，无论交换机是否在同一配线间和布线室；

强大的集群管理方式使得网络的维护工作变得非常方便和简单，只需配置1个IP地址，即可管理多台设备，不仅成倍节省了IP地址空间，而且维护和管理量也得到极大降低；

提供图形化的安全策略管理配置平台，支持安全策略自动同步下发、升级和维护功能，安全策略智能化，可大幅度提高交换机管理和配置效率，提高网络安全；

端口的VLAN自动跳转功能，无需网管员手工干预，即可将端口跳转到用户所在VLAN，实现用户全网漫游上网，减轻设备配置和维护量；

多端口同步监控，通过一个端口即可同时监控多个端口的数据流，可以只监控输入帧或只监控输出帧或双向帧，大大提高维护效率；

简单网络时间协议（SNTP）保证交换机时间的准确性，并与网络中时间服务器时间统一化，方便日志信息和流量信息的分析、故障诊断等管理；

Syslog方便各种日志信息的统一收集、维护、分析、故障定位、备份，便于管理员网络维护和管理；

CLI界面，方便高级用户配置和使用；

Java-basedWeb管理方式，实现对交换机的可视化图形管理，快速和高效地配置设备。

所以本次宿舍网络建设我们建议选择@@@安全智能交换机S2126G/S2150G作为宿舍网的接入交换机。

3.3流量统计设备选型说明

简介

RG-NTD是星网@@@网络公司面向校园网、行业用户开发的专业计费网关设备，可以作为校园，酒店，小区等因特网计费及接入网关设备。

计费方案作为校园网等整体解决方案，其中涉及以太网交换机，RG-SAM安全计费管理软件以及局域网认证客户端软件supplicants等。

RG-NTD作为主要设备之一，它对通过802.1x认证用户的以太网数据流进行分类、统计并将统计后的数据发送给RG-SAM。

RG-NTD的计费功能必须配合使用RG-SAM安全计费管理软件。

RG-NTD提供两个1000MSX光接口。

一个10/100M自适应FEFastEthernet快速以太网接口。

RG-NTD支持将数据流进行分类的流量计费策略，向RG-SAM提供流量分类计费的原始信息。

RG-NTD支持旁路模式和穿透模式。

主要性能

1、支持穿透、旁路两种工作模式。

2、分类统计用户数据流。

3、支持集团用户应用。

4、支持转发控制功能。

5、支持web管理。

6、支持串口管理。

数据流分类概述

数据流分类是按照用户访问的目的地址不同而将数据流分为若干种类例。

例如可以将国内地址分成一类，将国外地址分成一类，将校内地址分成一类。

在RG-SAM上可根据不同类别的流指定不同的计费策略。

数据流分类配置

目前RG-NTD支持6种数据流，分别是国内上行流量，国内下行流量，国外上行流量，国外下行流量，校内上行流量，校外上行流量。

进行数据流分类需要配置IP对照表，RG-NTD通过将用户数据流目的IP地址和IP对照表进行比较，来判断该数据流属于哪一种类别。

当用户数据流的IP地址在IP对照表种无法查到的时候，默认数据流为国内类别。

数据流方向区分

RG-NTD通过光口来接收数据流，RG-NTD具有穿透和旁路两种工作模式。

RG-NTD工作在穿透模式下，通过两个光口来定义流的方向。

光口的作用固定：

其中一个用来接收局域网内部的流量，一个用来接收局域网外部的流量。

RG-NTD根据IP对照表和数据流的方向来判断属于上述6种数据流中的哪一种。

RG-NTD工作在旁路模式下，通过一个GE口来接收数据流，数据流方向的区分由RG-NTD自身来完成。

第四章解决方案

4.1拓扑图

4.2方案说明

根据学校宿舍区的分布情况以及本次布线的实际情况，我们本次在宿舍区的建设采用两层架构，即宿舍区的核心和宿舍区的接入。

我们在琴湖学生公寓和金翰林学生公寓分别采用一台宿舍区的核心交换机来负责各自学生宿舍区的接入；

由于目前布线是采用每栋楼有两个集中点，所以我们在每栋楼内采用两组堆叠的方式来负责每栋学生宿舍的接入，考虑到学生宿舍网的带宽需求量大，我们在每栋宿舍的每个堆叠点通过双千兆链路上联到宿舍区的核心交换机，为了能够同时使这两条链路，我们在这上面通过端口绑定即AP的方式实现双千兆链路同时传输数据，提高接入到宿舍核心的传输带宽；

同时为了确保宿舍区的核心到校园网核心的链路带宽足够用户使用，我们本次在宿舍区的核心到校园网核心我们采用双万兆链路捆绑的方式，以确保宿舍区与核心互连的带宽。

这种双千兆链路上联，不仅能够提高上联的带宽，同时通过双链路方式实现链路的时时备份，确保链路的稳定性。

由于北青楼、中兴楼及北青办公楼相距金翰林以及琴湖学生公寓较远，为了能够使接入合理，我们本次将北青楼、中兴楼通过千兆单模上联到文科楼现有汇聚设备STAR-S4909，北青办公楼由于信息点很少就通过单模光纤上联到北青楼，以就近原则为北青楼、中兴楼及北青办公楼提供接入服务。

为了能够有效的管理学生对网络的访问和接入，我们采用网络中心现有的认证计费系统RG-SAM来对学生进行集中控制，因为RG-SAM可以实现标书要求支持的所有功能。

同时考虑到学生宿舍接入进来以后，将实现全校统一认证，为了确保服务器的稳定可靠，我们将采用双机热备的方式，以实现服务器的稳定和数据的安全性，同时将将数据文件保存在高性能的存储磁盘阵列上，存储磁盘阵列采用RG-iS