某图书馆及园区管理中心网络项目解决方案建议书

XX园区管理中心及图书馆网络项目解

决方案建议书

杭州XX通信技术有限公司

2010年09月24日

目录

1.需求分析 (3)

1.1.建设背景 (3)

1.2.建设需求 (3)

1.3.建设原则 (3)

2.整体设计 (4)

2.1.总体设计概述 (4)

2.1.1.核心环网网络概述 (5)

2.1.2.园区管理中心办公网 (5)

2.1.3.图书馆网络建设 (7)

2.1.4接入层 (7)

2.1.5核心层........................................................................................ 错误!未定义书签。

2.1.4.接入交换机采用堆叠的优势....................................................... 错误!未定义书签。

2.1.5.采用WX5004无线控制器的优势 (10)

2.1.6.防火墙+UTM+IPS特征库的优势 (10)

2.1.7.采用2612-AGN无线11n无线接入的优势 (11)

需求分析

1.1. 建设背景

“XX”位于天津市中心城区和滨海新区之间，是未来天津国际化和区域化职能扩展的重要地区。

规划和建设好“XX”是实现“双城、双港”，形成海河经济带、文化带、景观带的重要一步。

XX项目规划选址位于海河中游南岸地区，周边紧邻津南新城、八里台镇、天嘉湖、双港镇、大寺镇、军粮城镇。规划总占地37平方公里，规划办学规模20万人，居住人口10万人。一期规划占地9.8平方公里，规划办学规模5.8万人，居住人口4万人左右。

本工程计算机网络系统包括园区管理中心、公共图书馆、核心骨干环及外网接入。整体网络规

划分为有线网络、无线网络、网络管理系统、网络安全控制系统4 个部分。

1.2. 建设需求

需要建设独立的园区核心环网，用于接入园区管理中心数据网、公共图书馆数据网和一期入驻的7个高校园区网。并且采用国际标准化组织通用协议，保持良好的扩展性。要求环网设备可以对各个接入单位提供速率控制。建设两个独立的局域网，一个为园区管理中心数据网，一个公共图书馆数据网，两个网络各自成网，分别接入园区核心环网。

另外本次项目需要部署瘦AP模式的无线接入，同时整网还需要考虑高度的校园网安全性。1.3. 建设原则

为实现XX网络高质、高效互联的目标要求，在网络设计构建中，应始终坚持以下建网原则：高可靠性――网络系统的稳定可靠是应用系统正常运行的关键保证，在网络设计中选用高可靠性网络产品，设备充分考虑冗余、容错能力；合理设计网络架构，制订可靠的网络备份策略，保证网络具有故障自愈的能力，最大限度地支持系统的正常运行。网络设备在出现故障时应便于诊断和排除，充分体现计算机网络的高可靠性。

技术先进性和实用性――在保证满足校园业务、应用系统业务的同时，要体现出网络系统的先进性。在网络设计中要把先进的技术与现有的成熟技术和标准结合起来，充分考虑网络应用的现状和未来发展趋势。

高性能――骨干网络性能是整个网络良好运行的基础，设计中必须保障网络及设备的高吞吐能力，保证各种信息（数据、图象）的高质量传输，才能使网络不成为业务开展的瓶颈。

标准开放性――支持国际上通用的网络协议、路由协议等开放的协议标准，有利于保证与其它网络(如中国教育网、公共数据网、学校之间等其它网络)之间的平滑连接互通，以及将来网络的扩展。

灵活性及可扩展性――根据未来业务的增长和变化，网络可以平滑地扩充和升级，最大程度的减少对网络架构和现有设备的调整。

可管理性――对网络实行集中监测、分权管理，并统一分配带宽资源。选用先进的网络管理平台，具有对设备、端口等的管理、流量统计分析，及可提供故障自动报警。

安全性――制订统一的网络安全策略，整体考虑网络平台的安全性。保证关键数据不被非法窃取、篡改或泄漏，使数据具有极高的可信性。

兼容性和经济性――兼容性，能够最大限度地保证学校现有各种计算机软、硬件资源的可用性和连续性，为不同的现存网络提供互联和升级的手段（如现有的双向教学系统），保证各种在用计算机系统（包括工作站、服务器和微机等设备）的互连入网，充分利用现有网络资源，发挥主干网的优势。经济性，就是在充分利用现有资源的情况下，最大限度地降低网络系统的总体投资，有计划、有步骤地实施，在保证网络整体性能的前提下，充分利用现有设备或做必要的升级。

2. 整体设计

2.1. 总体设计概述

XX核心环网，园区管理中心办公网，图书馆网络总体设计以高性能、高可靠性、高安全性、良好的可扩展性和可管理为原则。本次网络建设方案设计兼顾了技术的成熟性、先进性。组网图如下所示：

XX核心环网，园区管理中心办公网，图书馆网络综合示意图

2.1.1. 核心环网网络概述

H3C设计全新的基于纯IP技术的网络平台来满足高校校园网的需求变化。面向网络资源的有效、高效利用，从网络架构方面提供优化方案，使得校园核心网、接入网具有更高的可靠性和可控性，同时使得网络结构与布局在结合实际业务分布的前提下更加合理。本项目设计使用三台S5500三层交换机各部署一块万兆接口板，提供两个万兆接口。使用万兆实现双环路核心。园区管理网、图书馆网络、校园网和出口都使用双链路连接到核心环网上的两个不同节点，核心环网能够防止数据环路引起的广播风暴，而当以太网环上一条链路断开时能迅速启用备份链路以恢复环网上各个节点之间的通信通路。保证当园区管理网、图书馆网络、校园网和出口有单点故障时网络不会中断。在核心网络的出口处部署F1000-S防火墙设备，防止CERNET网络对园区网的攻击保护内部安全，同时F1000-S具备强大的地址转换功能，满足园区用户访问CERNET的需求。

2.1.2. 园区管理中心办公网

管理中心网络示意图（相当于总图的左半部分）

园区管理网上端部署一台F1000-S，使用千兆链路连接到中央核心环网两个节点上。负责整个园区管理网出口安全，防止由外部过来的攻击同时做内部地址转换。下端使用千兆电接口连接一台U200-A统一威胁管理主机。扩展使用U200-A的IPS功能，对网络中的2-7层的攻击和木马病毒等

进行整体防御。

管理中心办公网核心介绍

园区管理网的核心交换机使用两台H3C的S7510E交换机，分别配置单引擎双电源。交换机使用的支持IPV6的引擎，便于以后学校中的IP网络融合。在两台核心交换机上分别部署1块48电口接口插卡和1块24口光接口插卡。两台核心交换机之间使用千兆电接口进行心跳线连接，作为下端接入交换机的网关，进行VRRP设置达到冗余备份的作用，充分保证业务的连续性和可靠性。使两台交换机之间进行双机热备，任意一台核心交换机出现故障，另外一台核心交换机将负责所有的用户接入。设备单点故障不会影响到整个网络的运行。

管理中心办公网接入层介绍

接入交换机使用E552三层千兆交换机。使用两条千兆链路分别连接到两台核心交换机。用户网关设置于核心交换机上。交换机采用堆叠方式组网，多台设备虚拟成一台简化网络管理，高可靠性满足设备1：N的冗余备份。千兆到桌面的设计可以满足学生们的视频点播、带大附件的电子邮件、文件传输器以及WEB和JAVA工具等多种应用，也大大提升了网络的价值。E552教育网交换机支持IPv6的路由功能，从而实现IPv6报文的三层线速转发功能，E552三层交换设备可以防止ARP攻击以及DHCP广播包泛红。

无线控制器+FIT AP无线组网

部署一台无线控制器WX5004，配置双电源，提高了无线控制器本身的稳定性。无线控制器使用两条千兆链路连接到两台核心交换机上。通过无线控制器对网络中的无线AP进行控制和数据转发，实现AP的零配置。

AP使用WA2612-AGN设备，支持802.11n。在网络中使用S5120-28C-PWR-EI接入交换机负责对网络的无线接入AP提供POE的供电。AP将不再使用单独的电源线，直接使用千兆双绞线进行数据传输和供电，满足300M大功率AP需求。AP选用支持802.11n的瘦AP，对无线接入用户提供最大300M的无线接入，并且支持网络终端准入控制，便于未来关于安全性的扩展和控制。

2.1.

3. 图书馆网络建设

图书馆网络示意图（相当于总图的右半部分）

图书馆的网络设计与管理中心办公网类似，网络出口部署防火墙和UTM+IPS特征库，实现对

网络2-7层纵深一体的防护体系，在防火墙上划分DMZ区用来部署服务器集群更加有效地保护了集

群，并对服务器攻击者来说又增添了一道关卡。

2.1.4 接入层

提供网络的第一级接入功能，E552支持特有的ARP入侵检测功能，可有效防止黑客或攻击者通过ARP报文实施校园网常见的“中间人”攻击。支持端口安全特性族，可以有效防范基于MAC地址的攻击。可以实现基于MAC地址允许/限制流量，或者设定每个端口允许的MAC 地址的最大数量，使得某个特定端口上的MAC地址可以由管理员静态配置，或者由交换机动态学习，可以保证只有真正的业务主机才能够接入网络，而其他新接入主机即使连接到交换机上也无法获取地址并连通网络。并支持端口隔离功能，即便是在同一VLAN内，也可以实现端口之间的隔离，从而避免广播风暴和病毒在VLAN内的扩散从而影响所有端口。通过H3C特有的IRF2（智能弹性架构）功能，对交换机进行堆叠，使其虚拟为一台逻辑设备，用户能够简化

对网络的管理。同时部分交换机