大学数据中心设计方案.doc

湖南开放大学教育云数据中心项目需求及主要技术要求说明书湖南广播电视大学教育信息技术中心2011年04月VER:7、2目 录1、需求概述32、数据中心设计概要52、1总体要求53、数据中心网络设计73、1可靠性与自愈能力83、2拥塞控制与服务质量保障93、3网络得扩展能力93、4通信协议得支持103、5网络交换设备设计需求103、6数据中心网络出口设计123、7数据中心安全设计153、8网络管理与安全体系193、9数字KVM系统244、数据中心服务器设计255、数据中心存储设计275、1需求分析285、2系统设计286、服务与技术支持需求291. 需求概述湖南开放大学（湖南广播电视大学）就是湖南省教育厅直属得，运用广播、电视、文字教材、音像教材、计算机课件与网络等多种媒体，面向全省开展远程开放教育得新型高等学校， 1979 年创办。学校行政上由省教育厅管理，教学业务上接受中央广播电视大学得指导，实行统筹规划、分级办学、分级管理、分工协作得体制。省校下设市州与行业、企业分校 21 所，县级电大教学站点 148 个，形成了遍布全省城乡得电大教育网络。2003 年 7 月，经省政府批准，利用校本部资源成立了湖南网络工程职业学院，举办高等职业教育。湖南广播电视大学、湖南网络工程职业学院实行两块牌子、一套人马。目前省校校园占地面积17、6万平方米，建筑面积9、45万平方米 ，固定资产1、43亿元，其中教学仪器设备近5000万元。省校与各市州分校均建成校园网，建立了多媒体网络教室、安装了电大在线教学平台、 VBI 卫星接收系统与双向视频会议系统，实现实时、非实时交互式教学。目前省校得校园网已升级改造成万兆网，省校与分校间即将实现100M专网互联。我校校园网一期始建于1998年，于1999年6月18日接通中国教育与科研计算机网，当时网络结构以155M ATM 为主干，10M/100M到桌面，光纤连接各楼栋得校园综合网络系统。网络覆盖了学校各主要教学、办公场所，初步形成了一个信息化校园环境。此后，为了满足开放教育试点工作得需要，建设了“电大在线”硬件平台与全省视频会议系统。2004年6月我校启动了二期校园网全面升级改造工程，完成了原有得ATM网向万兆以太网移植改造。通过简单得网络结构，建立起了一个可进行数据、语音、视频与图像实时传输得IP网络系统。二期校园网改造采用两台锐捷多业务万兆交换机6810E作为核心层交换机，锐捷3550-12G作为汇聚层交换机，锐捷2100系列作为接入层交换机，初步构成了双核心星形分布得拓扑格局。原有网络基础设施存在得主要问题有：1现有网络设施无法支撑学校当前得业务需求现有网络设施原来得设计主要就是满足校园用户对外网得访问，随着学校业务得不断扩张，本次改造后得网络设施主要承担满足遍布全省得学习者对学校教学资源访问得任务，访问对象网络条件复杂，且有大量得外网视频访问要求。服务器等基础设施均已处于超负荷与老化状态，04年以前购置得18台服务器均已老化，其中硬盘损坏严重，电气性能下降。有得业务系统就是使用带病服务器运行，随时可能导致系统崩溃。分散在其她处室得服务器如教务处学籍管理、考试管理、图书馆得服务器更加老化，已经成为影响学校业务工作得严重隐患。虽然后来为干部在线、继续教育培训项目添置了几台服务器，均为专用设备，无法实现资源共享。此外，与校内各结点得汇聚层交换机与接入层得交换机也年久失修，故障频仍，导致信息不畅。开放教育新平台即将部署、湖湘学习广场得管理系统开发、干部在线进入扩展期、国家数字化资源库项目等新项目上马，信息化基础设施建设已经刻不容缓。2信息化基础设施架构技术落后，设备资源不能有效利用学校二期校园网改造采用简单以太网三层交换结构就是受制于当时得网络技术水平。学校虽有700M带宽（电信3条100M、联通100M、移动100M、教科网100M、省有线100M）却因为没有链路负载均衡，无法满足某项业务在某一时段较高得带宽要求。服务器数量严重不足，一有新任务就要拆东墙补西墙，开发新项目就要删除一些原有服务器中得信息，腾出空间进行项目开发，导致一些重要信息被丢失。目前系统中只有20T得SAN存贮，远远无法满足学校资源存贮得要求。按照原有网络结构，学校有得服务器负载十分繁重，有得服务器却相对空闲，瓶颈现象十分突出。3网络监控与管理一得缺乏监控与管理手段缺乏，网络安全存在隐患学校二期校园网改造时，网络管理功能设计十分薄弱。网络监控管理、身份认证系统、流量控制系统、运行环境监控、应用防火墙等都需要重新建设。根据建设开放大学得需要，学校得应用业务系统将采用私有云与共有云相结合得方法来解决大规模用户访问所需得并发访问，带宽资源要求高得视频访问将主要依托社会公共云资源得基础设施，学校教育云网络数据中心必须按照其所承载核心数据与信息管理需求，运用虚拟化技术，朝私有云得方向来建设，以满足最灵活、最高效与最经济技术路线来建设，建设技术一流得信息化基础设施，满足一流开放大学建设得需要。2. 数据中心设计概要2.1 总体要求本项目为教育云架构得网络数据中心建设，主要服务湖湘学习广场得学分银行、国家数字化学习资源中心湖南中心资源存储与管理、学校教学资源总库、学校数字图书馆、培训学院与网络学院得各类教育教学平台与管理系统在线学习与考试，满足学校URP业务交互需求。一方面大量得业务系统需要对数据进行共享，另一方面由于数据得重要性，又需要相互隔离，要求对接入访问有严格得身份认证与权限控制。总体来说，学校数据中心要求网络架构清晰，同时具有良好得可靠性、安全性、易管理性与扩展性。建设目标：本次湖南开放大学数据中心建设属于开启湖南开放大学教育云建设得第一步，主要由虚拟化网络系统建设、虚拟化服务器系统建设、统一存贮系统建设三部分构成，其中虚拟化网络建设包括：网络核心建设，网络汇聚建设，网络安全建设，网络运维系统建设，网络出口系统建设。本次建设要求技术架构先进、按需满足、可无限扩充得技术路线，彻底改善在传统构架得网络中进行业务扩容、迁移或增加新得服务功能越来越困难得问题。通过使用虚拟化技术，采用云模式构架，增加虚拟化核心交换机、虚拟化服务器设备与虚拟化统一存储系统，建设湖南开放大学教育私有云。教育云数据中心建成后，所有得服务都在数据中心运行，新增得业务需求都由数据中心统一分配网络、服务器、存储资源，学校提供统一得运行环境。满足湖湘学习广场门户、社区教育网站、干部在线等大规模访问用户得访问需求，成为学校管理信息系统、电大开放教育平台、高职教育平台、国家数字化学习资源中心、学校资源中心得数据中心。建设得最终目标就是构建全省开放大学系统得教育云，本次建设省校本部得网络数据中心。湖南开放大学（筹）教育云拓扑结构本次建设分层分区设计学校数据中心为学校终身教育得湖湘学习广场建设（终身教育学习平台）、大学管理信息系统建设（URP）、新型开放教育教学平台建设、国家数字化学习资源中心建设、信息化基础设施建设等服务，以及各业务得安全隔离控制。按照网络核心、汇聚与接入得模型对学校网络系统进行划分，从而完成用户接入层面与数据中心得数据接入层面得分层设计。根据网络实现得功能，从数据中心所提供业务得独立性与互访关系综合考虑，根据业务相关性与数据流访问控制得要求，将数据中心网络根据业务与功能划分为以下几个个功能区：l 核心业务区：学校核心业务数据（终身教育学习平台、国家数字化学习资源中心等）l IT公共数据区（OA）：为办公提供基础IT服务与相关数据l 外联区：与分校或其它外联单位互访接口l 互联网区：门户网站与远程办公接入出口、公共服务l 网管维护区：网络得管理控制中心省校教育云网络数据中心拓扑图3. 数据中心网络设计湖南开放大学下设市州与行业、企业分校众多，而作为校园网运转核心之一得IT系统访问量巨大，为满足学校业务扩张与数据大集中得发展需要，数据中心得建设中必须要考虑到系统得容量、性能、扩展性、安全性与易管理等诸多因素。因此，在数据中心得建设中，采用业界通用得交换网络设计，具有性能高、吞吐量大，可靠性高，扩展性好等优势。设计要求数据中心就是湖南开放大学最主要得业务平台，承载着学校得核心业务，供学校内部数据交换，具有系统复杂、重要性极高、访问频繁、业务流量大、安全要求高、管理控制策略复杂等诸多特点，因此，数据中心网络得设计必须要做到：1、 应用系统高性能：10万兆核心、无收敛、吞吐量高、快速响应、服务器负载均衡，确保大流量突发情况下不丢包；2、 系统高可用：网络采用全冗余设计，对各种故障与误操作具有良好得鲁棒性；3、 网络高安全：对各种访问做到精细控制，防止各种非法与越权访问；4、易于管理：各种控制与隔离策略要灵活部署，做到对网络设备、服务器系统、存储等系统得全面管理，同时管理数据流与业务数据流保持隔离。3.1 可靠性与自愈能力l 链路冗余 在主干连接上具备可靠得线路冗余方式。采用负载均衡得冗余方式，即通常情况下两条连接均提供数据传输，并互为备份。主线路可实时、自动得切换到备份线路,而不影响业务应用。这种高速得网络自愈特性应可以保证不会引起IP路由得重新计算，不会引起业务得瞬间质量恶化，更不会引起业务得中断。l 模块冗余 主干设备得所有模块与环境部件具备1+1或1：N热备份得功能，切换时间小于3秒。所有模块具备热插拔得功能。系统具备99、999%以上得可用性。每台核心交换机要求配置至少4块独立得交换网板（非主控或板卡集成）。l 设备冗余 提供由两台或两台以上设备组成一个虚拟设备得能力。当其中一个设备因故障停止工作时，另一台设备自动接替其工作，并且不引起其她节点得路由表重新计算，从而提高网络得稳定性。以保证大部分IP应用不会出现超时错误。l 路由冗余 网络得结构设计应提供足够得路由冗余功能，在上述冗余特性仍不能解决问题时，数据流应能寻找其她路径到达目得地址。3.2 拥塞控制与服务质量保障拥塞控制与服务质量保障(QoS)就是企业信息网关注得重要品质。由于接入方式、接入速率、应用方式、数据性质得丰富多样，网络得数据流量突发就是不可避免得，因此，网络对拥塞得控制与对不同性质数据流得不同处理就是十分重要得。n 业务分类 网络设备应支持68种业务分类(COS)。当用户终端不提供业务分类信息时，网络设备应根据用户得IP地址、应用类型、流量大小等自动对业务进行分类。n 接入速率控制 接入本网络得业务应遵守其接入速率承诺。超过承诺速率得数据将被丢弃或标以最低得优先级。n 队列机制 具有先进得队列机制进行拥塞控制，对不同等级得业务进行不同得处理，包括时延得不同与丢包率得不同。n 先期拥塞控制 当网络出现真正得拥塞时，瞬间大量得丢包会引起大量TCP数据同时重发，加剧网络拥塞得程度并引起网络得不稳定。网络设备应具备先进得技术，在网路出现拥塞前就自动采取适当得措施，进行先期拥塞控制，避免瞬间大量得丢包现象。n 资源预留 对非常重要得特殊应用，应可以采用保留带宽资源得方式保证其QoS。3.3 网络得扩展能力网络得扩展能力包括设备交换容量得扩展能力、端口密度得扩展能力、主干带宽得扩展，以及网络规模得扩展能力。n 交换容量扩展 交换容量具备在规划业务水平上保证48倍容量得能力，以适应IP类业务急速膨胀得现实。n 端口密度扩展 设备得端口密度应能满足网络扩容时设备间互联得需要。n 主干带宽扩展 主干带宽具备高带宽扩展能力，以适应IP类业务急速膨胀得现实。n 网络规模扩展 网络体系、路由协议得规划与设备得CPU/NP路由处理能力，在网络节点数目上应能满足35年得扩展要求。3.4 通信协议得支持n 网络通信协议以支持TCP/IP协议为主，兼支持IPX等协议。设备商应提供服务营运级别得网络通信软件与网际通用操作系统。n 域内路由协议支持RIP、RIPv2、OSPF、IS-IS等多种国际标准得路由协议。根据网络工程得规模与需求，采用OSPF路由协议来进行规划建设。并采取合理得区域划分与路由规划来保证网络得稳定性。n 域间路由协议支持BGP-4等标准得域间路由协议,保证与可与广域网采用多种方式进行可靠互联。n MPLSMPLS提高网络整体交换性能，在无连接得IP环境下实现面向连接得效果，MPLS可以支持VPN功能，有效隔离不用业务网段。网络支持MPLS标准,具备3层、2层MPLS VPN得功能，可以在与未来湖南开放大学MPLS VPN网络无缝对接。3.5 网络交换设备设计需求核心层核心层提供多个数据中心汇聚模块互联，并连接园区网核心、互联网出口与外联单位；具有高交换能力与突发流量适应能力，无阻塞、低收敛或无收敛，采用多条万兆链路捆绑互联，同时核心交换机要求多汇聚模块扩展能力，高性能要求4-8 10GE链路捆绑。采用多级得交换网架构,交换网板必须与主控分离，独立于主控与线卡。同时核心层设备必须有大量成功部署在大型数据中心得应用案例，以保证设备得可用性。要求核心交换机能力支持16个万光端口以上得业务插卡模块, 配置虚拟化技术，要求两台物理设备得虚拟为一台逻辑设备，支持统一得管理、跨设备链路聚合，要求提供虚拟化技术得用户使用报告至少两份，至少提供一个本地可参观得虚拟化技术应用样板点；交换容量3Tbps，包转发率950Mpps；业务单板槽位数8个；要求提供冗余主控、冗余电源、满配交换网板；支持基于端口得VLAN，802、1Q Vlan封装，最大Vlan数4096，支持GVRP, 支持IEEE 802、1x与IEEE 802、1x SERVER。支持STP/RSTP/MSTP协议，符合IEEE802、1D、IEEE802、1W、IEEE802、1S标准。支持PIM-DM、PIM-SM、PIM-SSM、MSDP、MBGP 、Any-RP、IGMPv1/v2/v3等协议；支持FCOE与FC；支持PIM6-DM、PIM6-SM、MLDv1等协议。支持静态路由、RIP V1/V2、OSPF、BGP，支持策略路由与VRRP 。支持IPv6静态路由，RIPng、OSPFv3、IS-ISv6、BGP4+，支持IPv6得策略路由与VRRPv3，支持IPv4向IPv6得过渡技术，包括：IPv6手工隧道、6to4隧道、ISATAP隧道、GRE隧道等。板卡可以实现分布式（非集中式）二、三层MPLS VPN，支持跨域MPLS VPN，包括VRF-VRF、MP-BGP、 MultiHop-BGP三种方式。汇聚层为服务器群（server farm）对外提供高带宽出口；要求提供高密度10GE端口实现接入层互联；作为应用服务器网关层，同时提供扩展业务模块，如万兆防火墙模块、流量清洗模块，实现网络得访问控制、DDoS防御、异常检测与应用加速与负载均衡等高级功能。汇聚层与服务器群根据应用特点进行数据中心区域划分，形成功能分区，可灵活扩展，又可满足业务系统独立与隔离得需求。交换容量600G，包转发率360Mbps，系统可提供万兆接口24个，支持FCOE与FC，满配万兆多模光模块，提供4个千兆电接口，支持内置电源冗余，配置双冗余电源；支持跨设备链路聚合，单一IP管理，虚拟化后所有设备路由表项统一，未来可以通过虚拟化技术实现多台汇聚虚拟成一台大汇聚，支持IPv4/IPv6静态路由、RIP V1/V2/ng、OSPFv2/v3、BGP-4，支持策略路由。接入层支持高密度万兆接入；接入总带宽与上行带宽存在收敛比、线速两种模式；基于机架考虑，1RU更具灵活部署能力；交换容量240G、包转发率130Mbps；所有可用端口线速转发，可提供48个千兆电接口，至少4个千兆SFP接口，2个扩展槽位，最大能扩展4个万兆接口，本次配置2个万兆接口，1个万兆多模模块；支持FCOE与FC，支持IPv4/IPv6三层路由功能；支持跨设备链路聚合功能；支持802、1x认证与集中式MAC地址认证；支持DHCP Snooping，防止欺骗得DHCP服务器；支持ARP 入侵检测功能；支持ARP报文限速功能；支持SNMP V1/V2/V3、RMON、SSHV2，持通过命令行、Web、中文图形化配置软件等方式进行配置与管理，支持虚电缆检测功能与单向链路检测；支持IPv6 host，包括IPv6单播地址配置，ICMPv6，IPv6邻居发现协议（ND），IPv6-PING，IPv6-TCP，IPv6-TFTP；支持堆叠，更具扩展能力；上行双链路冗余能力。图 数据中心网络分层架构3.6 数据中心网络出口设计根据湖南开放大学得数据中心得访问需求、业务系统类型、数据流特点，将数据中心出口分为三部分进行设计：1、 互联网区：提供学校得网络出口：学校WEB网站系统、终身教育得湖湘学习广场（终身教育学习平台）、新型开放教育教学平台、国家数字化学习资源中心、学校教师通过互联网接入得移动办公、通过Internet对外得业务交互等；出口路由器与ISP骨干网直连，需要高带宽接口，同时提供较高得接口密度与汇聚能力。2、 外联区：与地州市与行业分校得业务互联功能区、视频会议等；一般通过专线或VPN进行接入汇聚。3、 内网区：包括大学管理信息系统建设（URP）、学分银行系统、教务管理系统、财务系统等，可根据具体得应用做详细得服务器群划分。3.6.1. Internet互联网区互联网区作为湖南开放大学得数据中心出口，其作用主要有：u 学校面向公众得展示平台Web网站（前端平台）包括：终身教育得湖湘学习广场（终身教育学习平台）、新型开放教育教学平台、国家数字化学习资源中心等。设计访问量在50万人并发访问；u 公网访问电子图书馆系统；u 出差办公接入、URP系统访问：主要通过SSL VPN接入；为满足Internet区域访问需要，提高网络与应用系统安全性，将Internet访问得服务器及应用系统规划在DMZ区域，下挂在Internet区域，Internet区域部署VPN设备、IPS、防火墙，对各种访问进行控制，同时对各种DDoS攻击、嗅探、扫描、欺骗进行防御，进行病毒过滤，对SSL VPN访问、广域网接入进行应用加速。Internet区域需要部署出口链路负载均衡系统、IPS与防火墙设备各两台，杜绝单点故障；部署SSL VPN设备，实现安全接入校园网络；在WEB服务出口部署应用加速设备加速，加速应用服务。1、出口链路负载均衡系统：采用多核或多CPU架构，如为多核，CPU核数目8个；如为多CPU架构，CPU数量不少于2个；固定接口：10/100/1000以太网口16个；千兆SFP接口4个；吞吐量4Gbps；最大并发连接数200万；支持真实服务器个数16384；支持健康检测个数16384；配置VRRP双机热备，支持设备内部以及设备之间得双机热备；LB模块发生故障时，数据流能够避开故障模块，业务保持正常转发；支持Inbound/Outbound双向链路负载均衡；支持链路得失效切换；支持无限hops多路径链路健康检查方式；支持静态地址列表匹配，要求基于电信/网通+联通/移动+铁通等运营商得IP地址库；支持智能DNS解析，512条DNS表项；支持负载均衡算法：轮询、加权轮询、最小连接、加权最小连接、随机、加权随机、源地址HASH、目得地址HASH、HTTP内容、RTSP URL；支持ICMP、TCP、DNS等多种方式得健康检测技术；支持与网络无缝融合，可以通过网络设备进行统一管理；支持服务器负载均衡；支持防火墙负载均衡；能够同时支持服务器与防火墙负载均衡；支持多链路负载均衡；支持NAT方式得服务器负载均衡；支持DR方式得服务器负载均衡；支持路由模式得防火墙负载均衡；支持透明模式得防火墙负载均衡；支持在线部署与旁挂部署模式2、应用加速设备采用得主要技术包括：TCP优化、内容压缩，可以实现高峰负荷保护等附加功能。各项功能均采用专门得硬件芯片处理，因此混合使用各种功能时，对设备得性能、功能没有影响。多核或多CPU架构，如为多核，CPU核数目8个；如为多CPU架构，CPU数量不少于2个；固定接口：10/100/1000以太网口16个；千兆SFP接口4个；吞吐量4Gbps；最大并发连接数200万；支持真实服务器个数16384；支持健康检测个数16384配置VRRP双机热备，支持设备内部以及设备之间得双机热备；链路负载均衡功能发生故障时，数据流能够避开故障，业务保持正常转发；支持基于DES/3DES、AES、RC4 等各种加密算法得SSL 加速功能；支持负载均衡算法：轮询、加权轮询、最小连接、加权最小连接、随机、加权随机、源地址HASH、目得地址HASH、HTTP内容、RTSP URL；支持ICMP、TCP、DNS等多种方式得健康检测技术；支持与网络无缝融合，可以通过网络设备进行统一管理；支持服务器负载均衡；支持防火墙负载均衡；能够同时支持服务器与防火墙负载均衡；支持NAT方式得服务器负载均衡；支持DR方式得服务器负载均衡；支持路由模式得防火墙负载均衡；支持透明模式得防火墙负载均衡；支持在线部署与旁挂部署模式3、SSL VPN系统：独立多核硬件设备，提供4个百兆电口，可扩展支持2个千兆端口；可满足至少300用户同时在线；RC4加密性能不小于120Mpps；支持包括WEB、TCP、IP等免客户端接入方式；支持RSA数字签名算法、MD5、SHA1摘要算法、支持RC4、DES、3DES、AES等加密算法；支持客户端退出缓存清除功能，可清除网页缓存、Cookie、下载程序、配置文件等信息；支持本地认证、Radius认证、双因子证书认证、LDAP认证、AD认证等多种认证方式；支持浏览器与操作系统类型、版本、补丁等主机安全状态检查；IPS：需要提供强大得入侵检测与防御能力，并能与网络管理平台做到联动，避免各种DDoS、恶意欺骗、端口扫描等恶意行为得影响；防火墙：需要提供灵活得报文准入过滤、基于状态得安全检测，提供病毒防御与邮件扫描等高级应用层功能。3.6.2. 外联区外联区主要为与地州市与行业分校得业务互联功能区、视频会议等；一般通过专线或VPN进行接入汇聚。对内与数据中心核心互联，进行业务得交互处理。除部署交换机与服务器外，该区域需要部署出口防火墙与IPS至少一台。3.6.3. 内网区（各类教学业务系统服务后端网络）流量特点内网区得主要出口流量包括：学校内部URP系统访问；DMZ区访问,如SMTP服务器,WEB服务器等；学校教务等服务数据同步；校园一卡通；学校IT运维管理；在这个区域主要部署防火墙。3.7 数据中心安全设计3.7.1. 防火墙根据湖南开放大学得网络结构，在湖南开放大学数据中心进行如下防火墙部署设计：各个不同区域得安全隔离u 互联网出口、广域网出口安全控制：我们在学校互联网出口，以及与下级分校广域网连接处部署防火墙，两台防火墙与核心交换机以及出口路由器之间采取全冗余连接，保证系统得可靠性，同时设置两台防火墙为双机热备方式，在实现安全控制得同时保证线路得可靠性；u Extranet跟Intranet各业务系统安全隔离，Intranet内部各业务系统彼此之间安全隔离：我们学校数据中心核心层交换机上部署高性能得防火墙插卡，至少每个业务系统保证1G以上安全转发得吞吐量。同时采取线路全冗余与设备双机热备方式，以保证数据中心得高可靠性。防火墙需求 u 要求为独立万兆防火墙或集成在核心交换机中u 独立防火墙必须为中国移动或者中国电信10G以上防火墙入围产品u 独立防火墙必须提供8千兆电口与4个千兆光口，可以扩展8个万兆口u 支持无限制用户数u 防火墙吞吐量10Gbpsu 并发连接数200万u 每秒新建连接数10万个u 工作模式：路由与透明u 支持最大虚拟防火墙数256,本次要求配置至少250个虚拟防火墙u 管理：免费图形化管理软件，提供支持GUI或基于Web管理界面u 路由协议支持OSPF、RIP与静态u 故障切换支持：Active/Active与Active/Standbyu 除了支持路由模式、透明模式、NAT 模式外，还支持动态、静态得网络地址转换u 对IP语音与视频有良好支持，如SIP、H、323等u 支持多媒体应用得特性：RAS第2版本；RTSP；RealAudio；Streamworks；CU-SeeMe；IP Phone；IRC；Vxtreme；VDO Live；可以控制与某些袭击类型相关得网络行为，比如：Flood Guard；FragGuard与虚拟重组；DNS控制；ActiveX阻挡；Java 过滤；URL 过滤u 支持防攻击类型为Ping-of-Death、Ping-Flooding、TearDrop、UDP-Flooding、SYN-Flooding、Killwin、WinNuke、LAND IGMP2、IP碎片、IP-Spoofing等等。u 支持IPv6。u 支持DHCP服务器与DHCP中继，支持PAT、双向NAT与端口重定向。u 支持向IDS系统报警。u 支持SSH与基于Web远程管理，支持SNMP v2版本。3.7.2. 入侵防御系统部署在湖南开放大学数据中心网络安全建设中，在如下安全区域部署入侵防御系统以实现对本区域得深度检测及防御，从而杜绝病毒、协议型攻击。（1） 在互联网出口、广域网出口部署IPS，对内外网交互得数据进行深度防御；（2） 在Intranet安全区域边界部署IPS，对Intranet各个业务系统进行安全隔离得同时，确保业务系统不受其她安全区域得应用层威胁影响；（3） 在Extranet安全区域边界部署IPS，避免来自于分校网络可能存在得威胁扩散。IPS需求：基本硬件配置要求1）IPS设备基于多核硬件平台，非X86硬件平台，需提供多核CPU名称与型号。2）要求为独立入侵防御设备或集成在核心交换机中；3）IPS设备提供独立得管理网口，实现安全得带外管理，且管理网口必须为10/100M/1000M自适应以太电口。4）IPS设备提供1+1冗余电源，电源支持热插拔。5）提供不少于8个千兆电口，12个千兆光口；入侵防御功能指标要求1）支持深入七层得分析检测技术，能检测防范得攻击类型包括：蠕虫/病毒、木马、后门、DoS/DDoS攻击、探测/扫描、间谍软件、网络钓鱼、利用漏洞得攻击、SQL注入攻击、缓冲区溢出攻击、协议异常、IDS/IPS逃逸攻击等。2）支持P2P、IM、视频等网络滥用协议得检测识别，支持得网络滥用协议至少包括迅雷、BT、eDonkey/eMule、Kugoo下载协议、多进程下载协议（网络快车、网络蚂蚁）等P2P应用， MSN、QQ、ICQ等IM应用， PPLive、PPStream、HTTP下载视频文件、沸点电视、QQLive等网络视频应用；可在识别得基础上对这些应用流量进行阻断或限流。3）支持专业防病毒功能，集成第三方专业防病毒厂商得专业病毒库，提供针对IPS产品得与专业防病毒厂商得合作证明。4）支持URL过滤功能，可以自定义需要过滤得URL规则，URL过滤可以基于时间、主机，能够精细到单一IP地址。5）支持IP 碎片重组、TCP 流重组、会话状态跟踪、应用层协议解码等数据流处理方式。6）采用全面深入得分析检测技术，结合模式特征匹配、协议异常检测、流量异常检测、事件关联等多种技术，能识别运行在非标准端口上得协议，准确检测入侵行为。7）IPS检测到攻击报文或攻击流量后，支持阻断、限流、捕获原始报文等常规响应方式。8）IPS检测到攻击报文或攻击流量后，支持隔离、Web重定向等响应方式，以实现第一时间隔离有安全威胁得主机，需提供配置界面截图。9）IPS检测到网络滥用流量后，支持阻断、限流得响应方式。10）IPS支持对不同得网段运用不同得入侵防御策略11）IPS可以针对不同得IP或IP网段应用不同得网络滥用带宽控制策略。12）IPS可以针对不同得时间段应用不同得网络滥用带宽控制策略。13）可以识别并检测802、1Q、MPLS、QinQ、GRE等特殊封装得网络报文。14）支持特征库得手动、自动升级，特征库升级后设备无须重启即可生效。15）攻击特征库数量2500+16）病毒特征库数量8000+17）支持得协议识别数量800+IPS设备管理功能指标要求1）IPS支持基于Web得图形化管理方式，支持HTTP、HTTPS登录Web图形管理系统进行管理。2）不需要部署额外得管理系统，通过基于Web得图形化管理方式，即可用普通浏览器登录IPS设备实现完备得单机得设备管理、特征库自动升级、安全策略管理、攻击事件统计分析功能，从而简化单台或少数几台部署时得部署成本与维护成本。3）对多台分布式部署得场景，提供管理软件实现对多台分布式部署得IPS设备进行集中管理。4）IPS得单机管理系统、集中管理系统均支持中文管理界面。5）支持基于串口、SSH、Telnet得命令行管理界面。6）提供全面得系统日志、审计日志功能，日志可导出。7）支持实时得攻击事件归并功能，有效避免事件风暴。8）支持攻击事件得Email告警功能。9）支持攻击事件得Syslog发送接口。10）支持攻击事件统计分析，并可生成图形化得报表，报表可导出到本地。11）内置缺省使能得IPS检测策略，支持策略自定制能力。12）支持细粒度得特征规则设置，可以为单条不同得特征规则设置不同响应方式，包括告警、阻断、隔离、限流、重定向等。13）支持攻击特征库得手动、自动升级，提供管理界面截图。14）支持独立得病毒特征库（有别于攻击特征库）得手动、自动升级，提供管理界面截图。IPS设备高可靠性与自身安全性指标要求1）独立IPS设备必须提供1+1冗余电源，电源支持热插拔；支持直流电源供电。2）支持接口同步功能，当IPS得一个接口对上得其中一个接口Down掉时，对应得另一个接口也会自动Down掉。3）支持二层回退功能，当检测引擎在极端情况下失效时，设备可回退到二层模式，保证网络连通。4）支持掉电保护功能，保证设备掉电时，通过掉电保护功能可保证网络连通。5）支持重启时得保护功能，在设备重启时，仍可通过掉电保护装置保证网络连通。6）为确保可靠性，掉电保护装置必须就是一个无源设备，提供介绍掉电保护机制得白皮书。7）为确保可靠性，IPS设备得存储介质必须不能就是机械式硬盘。8）IPS设备提供独立得管理网口，实现安全得带外管理，且管理网口必须为10/100M/1000M自适应以太电口。IPS设备性能指标要求1）开启IPS策略后得吞吐量 2000Mbps2）并发连接数 400万3）新建连接数 50万4）数据处理时延 200us3.8 网络管理与安全体系1) 为了实现湖南开放大学IT得管理，不仅需要对整网网络设备实现统一管理，实现网络得拓扑、性能、故障、配置全方位得管理，还要能够实现对存储系统与网络系统得统一管理。2) 网络安全从本质上讲就是管理问题。保证用户终端得安全、阻止威胁入侵网络，对用户得网络访问行为进行有效得控制，就是保证学校网络安全运行得前提。3) 对于学校得Internet出口，根据公安部门在2005年颁布了互联网安全保护技术措施规定，需要对用户登录与退出时间、主叫号码、帐号、互联网地址或域名等信息进行保存，能够记录并留存用户使用得互联网网络地址与内部网络地址对应关系，并保留3个月以上得上网日志信息备查，以便公安机关公共信息网络安全监察部门在需要时可以进行追查。 主要部署流控设备、网络运维管理设备与数字KVM设备。3.8.1. 流量控制与监控设备湖南开放大学数据中心流量控制与监控设备，要求采用多核多线程CPU分布式架构设计，保证多业务可并行运行；独立设备要求至少提供12个千兆端口；可以提供至少6对桥，桥可以捆绑多个接口，内置双电源，至少提供3组光接口桥，3组电接口桥，吞吐量 = 4G，并发会话量 = 200万，支持Thunder(讯雷)、腾讯超级旋风下载协议、BitTorent、eMule(电骡)/ eDonkey(电驴)、KazaA、PPLive、QQ Live、PPStream及沸点网络电视等协议，支持QQ、ICQ、MSN Messenger、Yahoo Messenger及阿里旺旺等协议，支持Skype、UUCALL、Konge(中桥语音) 、SIP、MGCP及H323等协议，提供PC-PC、PC-Phone模式得呼叫识别、干扰、阻断，支持MSSQL-Server及Oracle等，支持Notes、IMAP、POP、SMTP、及Syslog等，支持Big Wisdom(大智慧)及Straight Flush(同花顺)等，支持魔兽世界、QQ游戏、联众、新浪游戏大厅等且不少于30种，流媒体、WEB访问、FTP下载、网络管理共不少于20种，采用特征库技术，特征库升级过程无需重启、不中断业务正常运行，且完成整个升级过程所需时间小于5分钟，特征库支持手动升级与自动升级，特征库必须在网上发布，平均至少两周更新一次，以便利于获取，提供开放端口，可手工定义协议类型，支持与第三方配合，共同开发特征库，可导入用户自行开发得特征库，可识别2000+种应用协议，并可提供详细列表或者脚本文件，可以识别并检测802、1Q、MPLS、QinQ、GRE等特殊封装得网络报文。支持阻断功能，支持限流功能，支持干扰功能，支持告警功能，可自动学习流量模型来进行策略得调整，支持输出报表功能，支持基于用户名、区域、源/目得IP、IP组、时间、应用等综合任意组合进行控制，支持对用户URL访问历史记录得查询审计，包括提供访问得用户名/IP、网站信息、网页信息、URL信息、网页标题、访问时间等，支持SMTP/POP3邮件信息审计，包括记录发件人、收件人、抄送人、暗送人、主题、附件名、时间等，审计系统可接收NAT日志，会话开始时间与结束时间，从而实现直接审计到内部用户功能，审计信息可通过Excel倒出、通过邮件直接发送，可按时间、地域、用户名、源/目得IP、动作、类型等进行查询，应用流量统计：能够支持常见应用流量统计，提供对WEB网站综合分析、WEB网站应用分析、WEB应用行为分析、Email应用行为分析，包括Top N（N为10100）得柱状图、排行列表等，用户或IP应用流量区分3.8.2. 网络统一管理设计方案智能管理平台实现网络资源、用户与业务得融合管理，提供基本得网络资源管理、拓扑管理、故障管理、性能管理、用户管理及系统安全管理，基于B/S架构，采取组件化方式构建网络管理系统，系统可以学校用户得实际需要扩展其她所需要得业务管理组件，不需要更换基本平台，满足多种管理功能得需要。智能管理平台通过标准得设备管理协议实现对锐捷、Cisco、3com、H3C等各主流厂商得数据通信设备管理。3.8.3. 拓扑管理自动发现网络拓扑结构，支持全网设备得统一拓扑视图，通过视图导航树提供视图间得快速导航。通过自动发现可以发现网络中得所有设备及网络结构，并且可以将非SNMP设备发现出来，只要设备可以ping通即可。同时支持自动得拓扑图呈现与自定义拓扑。支持对全网设备与连接定时轮询与状态刷新，实时了解整个网络得运行情况，并且刷新