華中科大學生宿舍子網案例

2019-11-05 01:58:50

字體：大中小

來源：轉載

供稿：網友

　　華中科技大學東校區學生宿舍網的建設目標是將學校新建的的15棟韻苑學生公寓共10694個信息點連入校園網，建成后，每一個接入點都可以在宿舍訪問校園網和Internet。

需求分析

1.核心交換設備要求具有強大的處理能力和良好的安全、可靠性、可擴展性；支持各種成熟技術，未來能平滑升級到萬兆。

2.接入層網絡設備需要支持基于MAC地址802.1x功能和基于端口802.1X功能，以此保證賬號的惟一性；同時，支持遠程telnet治理、mib-Ⅱ及遠程開關交換機端口功能；此外還要求適應大量用戶并發認證及復雜的工作環境等。

3.要求能夠實現對用戶名、ip地址、MAC地址、交換機端口、交換機IP的同時綁定，以此杜絕非法用戶惡意盜用合法用戶的用戶名、密碼、IP和MAC等現象，確保計費工作。

4.解決用戶私自架設代理服務器的現象。

5.支持標準Radius認證計費，可連接多種接入設備。一方面要求設備支持802.1x認證方式；另一方面又要求系統支持基于時長、流量以及包月的計費模式；從而為網絡治理提供完善、靈活、可定制的計費策略；同時還需要保證3萬個以上用戶并行時網絡運營的穩定和治理簡便。

6.網絡必須具備高可靠、易治理等特征。

網絡設計原則

學生宿舍網既有一般網絡的特點，又有其非凡性，除了一般網絡所必需的可靠性、穩定性和安全性等要求外，在進行學生宿舍網建設規劃時，還應該考慮所有信息點的可控性、高性能以及要害業務的QoS保證等。另外，在網絡設計中，如何預留擴展空間和進行投資保護，以滿足新應用的需求以及信息量增長和變化需要，也是學生宿舍網建設過程中需要重點考慮的因素。

在充分考慮學生宿舍網的多應用、易治理的同時，本文介紹的方案同時還遵循高性能、要害業務服務質量保證、信息點可控性、先進性、可靠穩定性、安全性的原則。

網絡解決方案

針對用戶需求，本方案采用了千兆骨干、百兆到桌面，整個網絡采用分布式三層交換構架。具有超高的帶寬和良好的可擴展、可治理性（見圖）。

華中科大學生宿舍子網案例（圖一）

華中科技大學東校區學生宿舍網絡拓撲

核心層：在網絡核心層選用銳捷網絡（原實達網絡）自主研發的萬兆核心交換機RG-S6806。

匯聚層：在樓棟匯聚層我們選用銳捷網絡的STAR-S3550系列三層交換機。

接入層：接入層我們選用銳捷網絡的支持802.1x的千兆智能交換機RG-S2126G/2150G。

安全計費：方案選用基于802.1x技術的SAM系統結合接入層S2126G/S2150G交換機對學生接入控制進行治理。

網絡治理：為了對整個網絡的設備進行治理，建議配置STAR View網管系統。

網絡方案特點

高性能

千兆主干，百兆交換到桌面：核心選用可支持萬兆技術的交換平臺，主干采用千兆，百兆交換到桌面，滿足大容量、高速率的數據傳輸。

復雜功能硬件實現:核心的RG-S6806不僅硬件實現三層路由和交換,其他要害功能,如ACL、QoS、策略路由等復雜功能均通過硬件實現，匯聚的STAR-S3550也是硬件實現三層交換、ACL以及QoS，非凡是核心交換機RG-S6806采用板卡智能分布式處理設計，用戶接口模塊可以獨立實現路由、交換、ACL、QoS、收集用戶信息等功能，這種分布式處理可以極大地提高整體處理能力。

分布式三層交換：在匯聚層引入第三層交換，減輕核心交換機的壓力，可有效減少廣播包，并提高網絡傳輸效率；

超高背板保證所有數據包線速轉發：本方案采用的核心、匯聚、接入層交換機均具有超高的交換容量和二、三層包轉發率，確保所有數據線速轉發。

分布式認證、認證報文與業務數據流分離：基于802.1x的銳捷安全認證治理系統，由每一個接入層的安全交換機承擔對接入用戶的認證，采用認證報文與業務數據流分離技術，實現網絡的高速傳輸無瓶頸。

智能化

端到端的QoS：由接入交換機到匯聚到核心，全面覆蓋端口速率限制、應用流分類識別，要害業務流量帶寬保證等多層交換質量保證；

基于流的智能識別：全程基于交換機物理端口、MAC地址、IP地址、TCP/UDP端口號來區分同的業務流；

基于流的帶寬控制：全程基于交換機端口、MAC地址、IP地址、協議、應用組合進行帶寬限速；

高安全

全局網絡安全：通過安全控制協議建立一種聯動機制，以Radius為核心，支持第三方的防火墻、IDS、安全交換機聯動起來，實現全局的網絡安全；

事前的準確認證和身份定位：用戶使用網絡前，通過用戶賬號與IP、MAC、交換機IP、端口、VLAN六元素的復合綁定，對用戶進行準確的身份認證，其中，賬號與交換機以及接入端口的綁定，實現了準確的用戶定位。

事中的實時處理：當網絡中有對受保護的要害服務器或系統進行惡意攻擊的時候，IDS入侵檢測系統能夠檢測到發起攻擊的源IP地址，通過S-SCP安全控制協議，IDS實時將攻擊源IP通知S-Radius，S-Radius在在線用戶表中找到源惡意攻擊者，通過SNMP協議將惡意攻擊者剔除下線。這一整個過程實現了全自動的實時處理。

事后的完整審計：日志服務器記錄有用戶完整的訪問記錄，包括源IP、目的IP、源端口、目的端口、源MAC、目的MAC、訪問開始時間、訪問結束時間、發送流量、接受流量等，結合日志治理查詢系統，可以進行快速完整的審計。

入網即認證:用戶只要使用網絡，就要進行身份認證，保證只有已經申請開戶的合法用戶才可以使用網絡。

強大的接入控制：對接入用戶進行賬號與IP、MAC、交換機IP、端口、VLAN六元素的復合綁定同時實現賬號漫游；

高可靠

鏈路級冗余備份及負載均衡：核心的RG-S6806和匯聚的STAR-S3550除了支持傳統的802.1d生成樹協議外，同時支持最新的802.1w、802.1s生成樹協議，在保證鏈路冗余的情況下，實現了兩個鏈路間的負載均衡。

要害部件冗余:RG-S6806提供冗余的治理交換引擎、冗余的電源等要害部件的冗余，配合銳捷先進的RAPS（銳捷自動保護系統），實現系統高的穩定性和可靠性。

RG-S6806提供冗余的治理交換引擎、冗余的電源等要害部件的冗余，配合銳捷先進的RAPS（銳捷自動保護系統），實現系統高的穩定性和可靠性。嚴格測試：所選設備經Smartbit等專業儀器嚴格測試，保證研發和生產階段的可靠性；

易治理

三張圖：簡單、清楚的設備治理圖、拓撲狀態圖和流量分析圖將網絡治理工作量降到最低；

中文化：中文化界面及內核，非凡適合中國人；

一站式：可在一個網管工作上實現對全網的完整治理，并支持第三方網管軟件無縫治理。

完滿解決IP地址沖突和IP地址盜用：銳捷S-Radius對用戶進行認證時的IP屬性校驗，完全杜絕了IP地址沖突的發生，包括認證前IP不按要求設置的不予通過認證以及認證通過后更改IP地址立即剔除下線；對用戶賬號與IP地址綁定，為每個用戶分配一個固定的IP地址，防止IP地址被他人盜用。

上一篇：Hanaro電信與Force10網絡公司為將來做準備

下一篇：襄樊教育城域網應用案例