河南安阳师范学院数字化校园信息化建设方案 - 图文(5)

? 路由协议的开放性：开放性的路由协议保证了不同厂商都能对本路由协议进行支持，这不

仅保证了目前网络的互通性，而且保证了将来网络发展的扩充能力和选择空间。 ? 网络的拓扑结构 ：网络拓扑结构直接影响协议的选择。例如RIP这样比较简单的路由协议

不支持分层次的路由信息计算，对复杂网络的适应能力较弱。路由协议还必须支持网络拓扑的变化，在拓扑发生变化时，无论是对网络中的路由本身，还是网络设备的管理都要使影响最小。

? 网络节点数量：不同的协议对于网络规模的支持能力有所不同，需要按需求适当选择，有

时还需要采用一些特殊技术解决适应网络规模方面的扩展性问题。 ? 对于本网络，在选择路由协议时不能只看眼前，还要充分考虑今后的扩展性

? 与其他网络的互连要求：通过划分成相对独立管理的网络区域，可以减少网络间的相关性，

有利于网络的扩展，路由协议要能支持减少网络间的相关性，是通常划分为一个自治系统（AS），在AS之间需要采用适当的区域间路由协议。必要时还要考虑路由信息安全因素和对路由交换的限制管理。

? 管理和安全上的要求：通常要求在可以满足功能需求的情况下尽可能简化管理。但有时为

了实现比较完善的管理功能或为了满足安全的需要，例如对路由的传播和选用提出一些人为的要求，就需要路由协议对策略的支持。

3.3.2.2、路由协议选择

考虑到协议的通用性、标准性以信息网的网络规模，建议在本次网络建设中选择OSPF作为未来网络动态路由协议，选择OSPF主要有以下几个原因：

? 标准开放性及成熟性

OSPF是开放的标准协议，受到广大厂家设备及组织的支持，也是目前网络构建中用得最多的协议，也是在企业网中应用最广泛的IGP协议；因此其性能是经受过考验及验证的。 ? 扩展能力分域功能非常适合网络扩展

OSPF提供分域功能一方面保证路由转发效率，另一方面要提供很好的网络扩展能力。

3.4、网络服务质量保证

建议方案，以学校实际规划为主。

在传统的IP网络中，所有的报文都被无区别的等同对待，每个网络设备对所有的报文均采用先

第 20 页 共 73 页

入先出（FIFO）的策略进行处理，它尽最大的努力（best-effort）将报文送到目的地，但对报文传送的可靠性、传送延迟等性能不提供任何保证。

随着IP技术的日趋成熟，IP网络运营商化已经成为大势所趋，于是形成了语音、视频、数据等多种业务IP统一承载，由于语音、视频等实时业务自身的特点对承载平台提出了严格的服务质量要求，因此就必须在网络中部署相应的QoS技术，使得网络管理者能够有效地控制网络资源的使用，能够在有限资源的IP平台上综合语音、视频及数据等多种业务，能够区分业务、针对不同的业务提供特色的差分服务。

QoS旨在针对各种应用的不同需求，为其提供不同的服务质量，例如：提供专用带宽、减少报文丢失率、降低报文传送时延及时延抖动等。为实现上述目的，QoS提供了下述功能：

1、报文分类和着色 2、避免和管理网络拥塞 3、流量监管和流量整形 4、QoS信令协议

在网络设计中，设计合理的QOS保障方案，利用有限的资源，以获得更好的网络使用效益，是非常必要的。良好的QOS保障方案可以确保一般情况下网络具有最好的使用效率、实时业务具有较小延时，恶劣情况下保证关键业务得到应有的网络服务。

衡量QoS的指标包括：

1、带宽/吞吐量 - 指网络的两个节点之间特定应用业务流的平均速率； 2、时延 - 指数据包在网络的两个节点之间传送的平均往返时间； 3、抖动 - 指时延的变化；

4、丢包率 - 指在网络传输过程中丢失报文的百分比，用来衡量网络正确转发用户数据的能力； 5、可用性 - 指网络可以为用户提供服务的时间的百分比。 在本期网络中QOS方案部署如下：

在接入层交换机接入端口根据不同业务进行VLAN标记,并可以对报文进行802.1P优先级标记，以便后续的核心交换根据相应优先级标记（802.1P、DSCP）进行调度，当然还可以根据策略的需要部署CAR流量监管策略，对用户的接入速率进行控制，保证网络各项应用系统处于健康（轻载）的运行状态。

第 21 页 共 73 页

第4章、校园网高安全设计

4.1、核心交换机内置强大的安全特性

4.1.1、关键部件的安全稳定

主机支持冗余的管理模块、冗余的电源模块、各种模块热拔插等安全稳定保障技术。 主机监控显示屏可直接显示交换机名、CPU利用率、内存利用率、管理模块与线卡温度、风扇和电源工作状态、持续工作时间等，提供及时的设备关键状态查看，提升系统安全稳定的维护能力。

主机实时检测CPU的使用状态，并提供业界领先的硬件CPU保护技术（CPP，CPU Protect Policy），CPP技术对发往CPU的数据进行流区分和流限速，避免非法攻击包对CPU的攻击和资源消耗。

4.1.2、病毒和攻击防护

采用硬件方式提供多种安全防护能力，例如NFPP、CPP、防DDOS攻击、非法数据包检测、数据加密、防源IP地址欺骗等等，避免了传统软件实现方式对整机性能的影响。

NFPP是英文Network Foundation Protection Policy的缩写，中文意思是“基础网络保护策略”；NFPP技术可以联动网络设备自身的安全检测和安全防护技术，实现网络设备的自动智能安全体系。

随着交换机应用的逐渐普及，以及网络攻击的不断增多，越来越需要为数据交换机提供一种保护机制，对发往交换机CPU的数据流，进行流分类和优先级分级处理，以及CPU的带宽限速，以确保在任何情况下CPU都不会出现负载过高的状况，从而能为用户提供一个稳定的网络环境，这种保护机制就是CPU Protect Policy，简称CPP。

提供业界最为强大的ACL特性，基于SPOH技术提供IP标准、IP扩展、MAC扩展、时间、专家级等丰富的ACL技术，支持IPv4/IPv6双栈下的输入输出ACL。

提供线卡分布式的IPFIX监控技术，及时发现网络中的异常流量，有助于提早发现网络中病毒和攻击等不安全行为，并通过流量监控技术提供的详细异常流量数据信息，识别攻击源或攻击手段。

支持同时启用多组的多端口同步监控技术，并且支持灵活的输入、输出、双向数据镜像，满足

第 22 页 共 73 页

灵活的网络监控需求，提升网络监控能力。

4.1.3、设备管理安全

提供SSHv1/v2的加密登陆和管理功能，避免管理信息明文传输引发的潜在威胁。 Telnet/Web登录的源IP限制功能，避免非法人员对网络设备的管理。

SNMPv3提供加密和鉴别功能，可以确保数据从合法的数据源发出，确保数据在传输过程中不被篡改，并且加密报文，确保数据的机密性。

4.1.4、接入安全

硬件支持IP、MAC、端口绑定，提高用户接入控制能力。 支持802.1X技术，满足6元素绑定接入限制。

支持IGMP源端口检查、源IP检查、IGMP过滤等功能，可有效控制非法组播源，提高网络安全。

IGMP v3支持通告客户端主机希望接收的多播源服务器的地址，避免非法的组播数据流占用网络 …… 此处隐藏：2247字，全部文档内容请下载后查看。喜欢就下载吧 ……