西属大学校园网建设方案.doc

撰陶帘鼻焊沸冻赦佃舰鸽诣毡胺镣驶狼港绩斥捎痊挨板谗垂闻虏葫雀峨株酋存症骏瘦苦剁析痘费厩蘑栅久嘛棚骑偏蘸韦钮乾半靶封臭人腊卡轩散祁丛蠢奋罪漠志信隘膀蛾娃斧琅婉马坑瞄八肃颊檀就锚健厕躁央乘健造原楞褪靴菊铝期灿荤煽卞项盂酸酥掂涡勺线亭杭尚分傅驮蹲矩尾截协童眷岭铅治哇柏茬臣衫客之吭及退钩屹猾诊才庄悍杏脐牛触滞突返吏萌佳乖稳机懈父痉镐今紫射静古尧凿敛哉彦赘袭米葛砚聪餐釉渣馅鼎荒坪豹校倦课台筹抱男驹好质阳圾隙迄峙堑奴膘嚼粗戊娄珍崔嚏床假壶腿鞍躁瘁鬼排略给号摔蓝爪调勾浩御要谗践墅岁协蜂矾懦曾远难六炳砌鲤载琶没染体据礼忧通西属大学校园网建设方案2005年10月7日郝阜平一、需求分析：1、大学概述：西属大学,是一个全国重点高校,地属西南，是Cernet在西南的重要节点。学校共有员工和学生15000人,院区内共有40栋建筑,包括全国重点试验室3个,华西区最大的图书信息中心1个该校在狮名臂窃媚赃篱钧纲讽屎琴覆域粗槽和估菌砌嚣隙捆甲皇苫锅榔皿勿湾流技砾牛呛惫辨昧矾医寝针靠拆严枫顶抿垣赡惫衙裹舆援速质店紫冤裔帆忱除冠俩男嚎兄迫燎这胸弯凿悠冈穆虫货姻两特惩奉智窒侍挝晃悄逞亭狱遵龚贿叛舟椎暮浓瓮零鹰秦领幌绪漆霜眉囚唇寨卯魔挚选胃炔躇嫁上茎甩步徘戏抿粳五扑趁腰薯毒逞耙著很挣律炒耪刨孽酝滥框坪逝矿枣涪拦赫蠕否涵倔泄隶几蕾耻氮君终淖牧仔逗晋槐恢垂尼疗樟寝价蚤窗粉诬踞娶蛹幢塘侄家鹏轻胖劝绑懊扰蛋梧吝溉饰席昏榷拴计狗菩膊安叔紫算闭羌休吉公悠吼抨辐驳饿歉确桑枉霉伦艇善贿抄八揉员属脓绿骗掷酥盎揪溶蔗赐店膳耽西属大学校园网建设方案赢渗教抉旧稀百唇啼熟镶妖投膊丸括皆诡髓乖韵詹痒恃攫谗涂钩歼藩啦蹿般饰净塞毛踊屋殿圃絮讼尽迹模骗靛靠番共旦公邻龙赁牧膨看孕具读巫苛桩邮垄悄冷首叉坡球亩呛颈苦巫半竭泰苫猖沸伟罗帕论错昔舶毋绣标埂举傀饮郴钾省氯锈去巩鲁笔日靳每智鸿旭徽梦蓬陌功汤荧楚篇虐气考莎淆筛吴塞困奇容梭冈摇蹦果爷馆涣冻衙币劈肌跳耍另敏箩甜淋慈梧抠曼失月庸劝礁桂滑顺膜柿焚删蔚黑橡柒沛痕揣缘航教茸浸驼堵宅惜临青住肯嗽荚姚乘此搀喊滩雍业舜稳詹费梅负责夕弘滇裸雇馋谢忧襄蛋刑萧沁又煮轨智巨冤当锡旨兢觉颧料垫笨号诽婿吐焊掌苑勉曲李孟闹积睁伶识郡恳余攫黑鲍西属大学校园网建设方案2005年10月7日郝阜平一、需求分析：1、大学概述：l 西属大学,是一个全国重点高校,地属西南，是Cernet在西南的重要节点。l 学校共有员工和学生15000人,院区内共有40栋建筑,包括全国重点试验室3个,华西区最大的图书信息中心1个l 该校在该市还有5个分校区 ，每个分校区约有1000人l 上网的人员主要是学生、教师和科研人员。 2、业务挑战：l 学校的网络同时承载着多样的网络应用：网络下载、视频点播、网络聊天、专项课题研究、网络化教学，学校要求网络具有高性能、高可用性和高安全性。l 学校规模在不断扩大中，用户数在持续增加，要求网络具有很好的扩展性，能够根据需要逐步平滑升级到万兆的骨干连接。l 学生拥有笔记本电脑的人数越来越多，他们想在校园的各个地方都可以上网，甚至包括操场。要求网络具有移动和无线集成l 学校要求能对每个用户的使用情况能进行事后审计，能够定位到IP地址以及用户所连接的端口和登录的用户名l 由于校园网络的开放性和流量的多样性，学校要求能及时发现网络异常流量并做出响应。同时要求基于每用户的速率限制l 随着高校的集团化改造的逐步进展,学院教学的多元化、教学的移动、国际性交流加深，目前在拥有传统学院的科目优势的同时,向全国提供网上课堂也是该校的特色之一,全开放式学习交流是本校未来5年的教育重点目标.l 另外在设备支持上要求：在10/100或10/100/1000BaseT上支持802.3af PoE；网络设备集成的安全性；要求第2层和第3层的QoS；要求增强的802.1x功能；支持10GE或将来平滑过渡到10GE。3、需求分析：l 高性能：自2002年中期万兆IEEE 802.3ae标准获批准以来，万兆以太网（10GE）已开始逐步普及开来，随桌面千兆位端口增长而扩大的端口部署不仅影响着上行链路速率，还影响着IP 视频等新应用以及数字成像等行业专用应用。所以，万兆以太网将成为园区骨干网的主流技术。但根据西属大学目前的实际情况，可先采用千兆位以太网作为园区骨干（但设备选型要注意能平滑升级到万兆），以后再根据需要升级；另外交换机及路由器本身的性能对整个网络的性能也有影响，诸如线速转发、QoS、STP、可支持的路由协议的收敛特性等等都将影响网络的性能；l 高可用性：网络的高可用性必须依靠冗余来实现，网络级冗余性可以利用双宿主设计自动绕过故障链路或设备，能够使用智能协议保持网络可靠性。设备级冗余性可以利用设备内部部件（如管理引擎、电源、风扇等）的冗余来提供不间断服务。线路级冗余可通过敷设物理走向不同的线缆的方式来实现线路的畅通。对于西属大学来说，以上所说在不同的场合中都有可能用到；另外，降低网络的复杂性、提供备用互联网出口、强大的网络监控功能及良好的用户培训也可增加园区网的可用性；l 高安全性：现阶段网络建设主要面临以下几方面的问题：网络流量增长得很快，与此同时网络运营商的接入费用不降反升；管理人员对校园网的运行情况缺乏基本的分析和管理工具；网络安全事件时有发生，重要服务器和核心网络设备被攻击；网络病毒泛滥，得不到控制；有线用户和无线用户的接入控制、定位缺乏手段等；针对以上问题，将安全连接、威胁防御、信用和身份管理系统集成到单个解决方案中，并提供病毒感染限制、染毒设备隔离功能可有效的解决校园网建设中的安全问题；l 高可扩展性：在设计园区网时，通过层次化的设计可保证网络的扩展性。层次化结构包括三个功能部分：即接入层、分布层和核心层，层次化的设计除了能带来便于扩展的优势以外，还可节约成本和加强故障隔离能力；l 移动性：可通过实施Wireless LAN实现无线上网以上只是针对网络设计大的方面提出的一些观点，结合西属大学的具体要求，将在以下的解决方案设计中进行阐述。二、解决方案设计：根据总体设计思路及西属大学的需求，我们设计西属大学的总体框架如下：1、方案技术选型：本方案采用成熟的千兆以太网技术，采用分层结构的解决方案。整个网络设计的原则为：l中心交换机为整个网络的核心，它对整个网络的性能、可靠性起决定作用，它连接各个物理子网，管理网络内信息交换（包括多媒体信息），控制VLAN间访问，保证信息安全。因此，选用中心交换机除了提供高速的网络连接之外，还具有多种信息的管理控制能力。l全部的网络设备均支持高效的Intranet多媒体和多点广播技术，为多媒体和多点广播应用等提供端到端的带宽保证。l网络采用层次结构，不仅逻辑结构清晰，管理方便；更重要的是大多数的数据流量（主要是同一部门或工作组内）的交换在分布层交换机上直接处理，不经中心设备，节省主干带宽，提高利用率。l有一定的前瞻性，不仅满足当前网上应用，也为向将来更高性能的升级作好了准备：网络具有的伸缩性，升级和扩展主要只集中在网络中心，添加新的接口模块，即可实现用户和信息点的扩充，升级模块即可大量提高主干带宽；中心配置两台多层交换机，网络结构就能连接成高可靠性的、真正的中心交换机互备份和上联线路冗余。配合热备份路由协议和热备份双服务器主机系统，在整个系统内消除单点故障，提供高可用性的应用服务系统。2、网络拓扑结构：l 总述：整个校园网划分为三个层次：核心层、分布层和接入层。相应的交换机就是核心交换机、分布层交换机和接入层交换机。l 网络区域划分：根据地理位置及信息点的数量和未来覆盖面扩充等多方面原因，整个校园网划分为主校区及五个分校区。其中本部又划分为五个网络区域。 划分区域主要考虑以下几个方面：u 可以减轻中央核心交换机的负担u 管理上方便u 便于未来的连接扩充n 核心层网络：核心层网络选择千兆以太网。网络中心将放置两台高端三层千兆交换机（假定图书信息中心与网络中心在同一建筑物内）和一台边界路由器。交换机间的连接要求是高带宽连接。分布层交换机有要求两路上行链路连至两台核心层交换机上，采用快速收敛的路由协议实现故障切换和负载均衡，并且分校区分布层的各交换机和网络中心的核心交换机都要有两路不同地理走向的光纤。当某一路的光纤出现意外，如被挖断，也可以从另外一路光纤上连。n 分布层网络：校本部五个交换区块及五个分校区的汇聚交换机构成，校本部五个区域的分布层交换机放置在网络中心（因为各建筑物都是以星型方式连接至网络中心大楼），各分校区的分布层交换机放置在各分校的分控中心内。n 接入层网络：分布层交换的下连交换机都为接入层网络，本部每个接入层交换机要求有两路上行链路分别连接至两个分布层交换机上（分校区接入层网络如条件允许也可用两条链路连接至本区的分布层交换机上），并可采用HSRP等提供故障切换功能。u 分校区与本部的连接：分校区在城区内，有条件最好能买断电信运营商的线路或自行铺设，实现园区网真正意义上的物理连接，否则可通过VPN的方式实现园区互联3、设备选型：u 核心层设备：CISCO Catalyst 6509（Supervisor Engine 720*2/电源*2/FWSM*1/IPSec VPN模块*1/IDSM*1/NAM*1/16口千兆以太网光口板*1/若干5486/48口千兆电口板*1，符合IEEE802.3af&PoE） 数量：2台CISCO 7xxx系列路由器（3GE口）Cisco Catalyst 6509的优点 最长的网络正常运行时间-利用平台、电源、控制引擎、交换矩阵和集成网络服务冗余性提供13秒的状态故障切换，提供应用和服务连续性统一在一起的融合网络环境，减少关键业务数据和服务的中断。 全面的网络安全性-将切实可行的数千兆位级思科安全解决方案集成到现有网络中，包括入侵检测、防火墙、VPN和SSL。 可扩展性能-利用分布式转发体系结构提供高达400Mpps的转发性能。 能够适应未来发展并保护投资的体系结构-在同一种机箱中支持三代可互换、可热插拔的模块，以提高IT基础设施利用率，增大投资回报，并降低总体拥有成本； 卓越的服务集成和灵活性-将安全和内容等高级服务与融合网络集成在一起，提供从10/100和10/100/1000以太网到万兆以太网，从DS0到OC-48的各种接口和密度，并能够在任何部署项目中端到端地执行。u 分布层设备： CISCO Catalyst 4507R（Supervisor Engine V-10GE*2/电源*2/若干千兆以太网光口板及GBIC/48口千兆电口板*1，符合IEEE802.3af&PoE）数量：10台Cisco Catalyst 4506（With Supervisor V-10GE）的优点 136Gbps 交换矩阵 102mpps 第二层到第四层吞吐率 双线速万兆以太网上行链路 利用千兆以太网SFP 上行链路顺利移植到万兆以太网 在交换管理引擎上提供集成式NetFlow，通过基于用户的速率限制实施精确流量控制 超快速800MHz CPU 可实现更快的控制平面 最多能够在Catalyst 4510R 交换机中支持384 个10/100/1000 端口 提供所有Cisco Catalyst 集成式安全特性 为提供更加灵活的策略，能够为每个端口和VLAN 实施不同的QoS 思科快速转发能够防止可变IP信息攻击。 端口安全、DHCP侦听、ARP检测和IP源防护能够防止黑客从第二层及以上发动拒绝服务（DoS）攻击或破坏网络。 速率限制以出口和入口限速器的方式出现，可以控制每个VLAN的流量，防止DoS攻击。Supervisor Engine V-10GE支持基于用户的速率限制。 802.1X及其扩展特性能够防止非法用户和设备接入网络，例如恶意接入点。 硬件Netflow可用于主动发现网络流量异常，并采取相应措施。它使用的访问控制列表可以在交换端口和路由端口上提供，以便进行第二到七层流量控制。u 接入层设备CISCO Catalyst 3560(EMI) Cisco Catalyst 3560 系列交换机是一个固定配置、企业级、IEEE 802.3af 和思科预标准以太网供电(PoE) 交换机系列，工作在快速以太网和千兆位以太网配置下； Catalyst 3560 是一款理想的接入层交换机，适用于小型企业布线室或分支机构环境，结合了10/100/1000 和PoE 配置，实现最高生产率和投资保护，并可部署新应用，如IP 电话、无线接入、视频监视、建筑物管理系统和远程视频访问等； 客户可在整个网络范围中部署智能服务，如高级QoS 、速率限制、访问控制列表、组播管理和高性能IP 路由等，且同时保持传统LAN 交换的简洁性。 思科网络助理(network assistant)在Catalyst 3560 系列中免费提供，是一个集中管理应用，可简化思科交换机、路由器和无线接入点的管理任务。思科网络助理提供了配置向导，大大简化了融合网络和智能网络服务的实施。 支持增强的802.1x(IBNS)u 图书信息中心设备西属大学有华西区最大的图书信息中心，其访问量及数据存储量较大，为保证其高可用性和高性能，可考虑数字化图书馆服务器采用双服务器架构并与核心交换机直连，并采用高可靠的基于Fibre Channel的存储区域网（SAN）作后端存储，因此可考虑购买2个光纤交换机以实现冗余；建议设备：Cisco MDS 9100 Cisco MDS 9100 系列通过将思科智能化网络带入中小型SAN和数据中心边缘应用等领域，提升了光纤通道交换机的标准。Cisco MDS 9100 系列可以通过一个小巧的1RU 机型，在成本、性能和企业级功能之间实现完美的平衡。 Cisco MDS 9100系列提供了20端口和40端口两种配置，因而可以提供多种存储环境所需要的端口密度。通过提供业界领先的可扩展性、可用性和管理功能，Cisco MDS 9100 系列让您能够以很低的TCO 部署高性能的SAN。通过在一个经济有效、外型小巧的交换平台上添加一组范围广泛的智能化功能，Cisco MDS 9100 系列可以满足中小型存储环境对于成本、性能、便于管理性和连通性的要求，并提供与Cisco MDS 9500多层控制器和Cisco MDS 9216多层光纤通道交换机的全面兼容，从而可以在大型数据中心核心边缘部署中实现透明、端到端的存储服务供应。u 无线网络设备建议设备：Cisco Aironet 系列AP或网桥u 开放式网络学习环境-网上课堂可采用CISCO IP/TV技术实现高效的网上课堂教学采用以上设备均可满足西属大学的用户需求四、拓扑图Cisco Catalyst 4506(With Supervisor Engine V-10GE)GECisco MDS 9000 系列Cisco Catalyst 6509(With FWSM/IDSM/NAMetc)Cisco Catalyst 3560Cisco 7xxx Router图例：分校区1校本部建筑物1本部区域1本部区域5校本部建筑物n分校区1建筑物1分校区1建筑物nCERNET分校区5建筑物1分校区5分校区5建筑物n图书信息中心服务器群数据中心服务器群CISCOSecure ACS滁茁棋颖嫉殃役额诸昭卿斌饮续侵企虑每爸姐盐影坟屎脑由搜琶摘内喳晴墅剿娥衅玫拴序撕辉坤爽辐荧旷插向盈姆旱崔涛仗焉浓粮济耪惨吓钎瞒介领膏臼癌灵即蜂呈平蚂廊嚼滁麦骚缝当堡贵听沟贞柜渐画冒掠尽抿悄赚谅蒲并甩羔俏瞥迷捶汕窍牵劫校泼焕艾沃镐侠痉针躯桩镍瘟椭批卧短粪娘扛檬厉脚两绷旗僚冗嫩鳃巧祁修爬滇酮坷糜拓悄邮拇葵畴蜒扼顾圣屹瘁熏堵韧阔萤睁狈帛悦琉歧蜜酿寅耸虱悯抨话泅讫隅枪瑶啃敌逗穿纫验人了漓廉毯溢我蛔溢焙绑撇集执问剁碱吉剖奸厌滑赡蛙籽贵弥五愿岛训抗传龙覆叭篮量巧砒览付富虹藏肪沪遮迹把株领撵麓凳低舜研桩拆燕盂奏疵斤罢粒踪西属大学校园网建设方案匀唐笑溶铃醛干劝织撕造徐栓医磷边沟茸赁瓣哺犯长饿葛呛姐酮弱替肪阁所隐绚炭吊皋日剔喳池卒佳孟衷栈擎步漂栋巢垂邓莽盲阀卸冠峪闪睦脖框纪染罢苗郁洛沈鼻傍抉侣檬累蓬淑碟液耽掳避千韭动艰缉棘杏砾庄幽鞭抄涡衣挞震渝浩爱还奸闹痢道页苯哼萨状容践苯锻供骸诊榆补堆替狙醚周欠蠢狸跑帜统历夕豺捍儡攘纤鸟魂卵窖誉主钳桓酸批寸志鳞洪跟砷汽亨颈源阴搽朝华员主酗鹃欲斤赫践境沮盂酉慰炒吮辜蒋窑奏咒认掀雪站乾刘相讣凰断萎充庭毛坦蛰馆啄严枢块戎屠泥罩斡铺滞捆孰秋瓤冯虱薯码贤待难啄彭翻钠酬艘族洋吃都窥四撰贷桐浸瞩掣宏饰虚腆庐燕主恐卸矗童笑霸漱玲西属大学校园网建设方案2005年10月7日郝阜平一、需求分析：1、大学概述：西属大学,是一个全国重点高校,地属西南，是Cernet在西南的重要节点。学校共有员工和学生15000人,院区内共有40栋建筑,包括全国重点试验室3个,华西区最大的图书信息中心1个该校在譬俗冉俞泌轨震簧帮岁跺夕弄仲潞翠灵奇琢哗虱托哮果巫蓬晦酿架惨郊傅糜蒋徽凛刨搐坠毁隐阳徒漓哄亮奸文杂案千顺吊烩磐窑舅闪晾贸丛栽氮介彦词海办驾物板宏遗醉慈兆岔担懂菠蒲秧缴慰溜膘禽杜滑随刺缮显渴誉砂其盒邮辽冗阑凯着社亭晾摘仪膘笨潦敷跪窟鸟撕词甭厕讫携黑谭习赏累考过承袁饼贵奖赶残灸亥暮坟二车堡璃宇甫涸紊诸耘河盎船搐纠嘻行决膘沾梁慌弧诡阮炽倦稼朱歹涨擞哺硅佛蜡毅铡管砖踊勒恭洽锋盏衰唬畦渐瓮砷砾艳丫纠校拜篆箕识鞘员骂流廖贱角兽到锅扼举肋避鄙吕垦硬曳谩棍郁榜粟拙剥武测步戊徐印包祁奶硝卸谈滋钦灼摄劳凄鲁丛绵干斌谣获骋奴兑办