工业外贸学校计算机网络系统设计方案
日期: 2019/8/29 浏览: 4 来源: 学海网收集整理 作者: 学海网
目录
1. 数字校园业务体系架构分析 1
2. 网络建设目标与需求 2
3. 校园网络建设规划 2
4. 基础网络解决方案 2
5. 网络出口安全解决方案 4
6. 服务应用存储备份解决方案 4
6.1 网络存储架构的选择 5
6.2 存储设备的要求 5
6.3 容灾备份系统建设 6
7. 综合管理解决方案 7
8. 认证计费系统介绍 8
8.1 UAM用户接入管理组件产品特点 8
1. 数字校园业务体系架构分析
工业外贸学校信息化改造的目标就是以服务为中心，以人（用户）为本，提高学校核心竞争力，为了实现这个目标，工业外贸学校信息化建设中要着重考虑的建设内容就是构建方便、安全、稳定、快捷、高效、协调、整合的、信息资源丰富的、集成化的数字校园综合信息服务平台；通过数字校园的建设最终实现支持学校的教学、管理、生活等各项活动，创造和谐的校园环境，促进教学质量、科研水平、管理效率的提高，促进学校的改革与发展，促进高水平大学建设。
基于工业外贸学校信息化建设的目标和建设内容，未来工业外贸学校将形成以硬件基础设施、数据资源及软件系统、多业务管理平台为校园网基础IT架构，并通过构建教学支持平台、电子校务平台、、网络服务、其他业务平台为学校用户提供各种教学、管理、生活的服务系统，并最终通过统一的数字校园综合信息应用门户系统为学校用户提供一个方便、快捷、高品质、易管理的数字校园服务，工业外贸学校数字化校园整体架构如图1所示。
图1工业外贸学校数字化校园整体架构
为了工业外贸学校信息化建设的顺利实施，本次我们将从校园网核心、网络出口、数据中心、综合应用门户四个方面来阐述工业外贸学校改造方案。
2. 网络建设目标与需求
该校信息化的总体建设目标是：建设一个具有我校特色、符合我校发展宏图的网络化、信息化、数字化新型校园环境，为学校培养高素质的技能型人才、为教师提供从事高水平科学研究和知识创新的信息化环境、为学院进行高科技辐射、高技术产业化和国际文化学术交流提供重要支撑。
网络与基础设施平台的建设目标是：建设一个万兆主干，千兆到桌面、以有线无线合一、可逐步实现无线全覆盖的高可用、高安全、高稳定、易管理的校园网络与基础设施平台，为网络资源的充分利用和共享提供强有力的保障，为学校的全面信息化奠定坚实的基础。
公共服务的建设目标是：进一步加强我院基本服务的安全性和可靠性,建设个性化通讯系统，为全校师生提供多种形式的网上交流平台, 并提供面向全校师生的公共存储服务，实现关键数据的自动备份和恢复。
基础服务应用的目标是：基于学校现有的网络应用模式，建设一套网络服务计费管理的系统，为将来学校学员上网计费管理建设一个应用平台。
3. 校园网络建设规划
根据以上具体建设目标和需求。本次工业外贸学校网系统建设将包含4个区区域。
基础网络建设区域。
校园网安全出口区域。
网络服务计费管理服务应用区域。
综合管理体系区域。
4. 基础网络解决方案
本次网络建设我们选用二层的网络架构（核心层、接入层）。详细设计拓扑结构如图2所示。
图2 校园网详细设计拓扑结构
核心层设计：核心层负责整个学校网络的数据交换，同时也是整个网络的路由交换中心，全网绝大部分第三层的转发交换都通过核心节点集中进行，为保证核心节点的高可用性，高性价比，本次核心节点采用单机双引擎双电源方式，提供冗余模式，保证业务的稳定性。核心交换机与接入交换机之间通过千兆单模光纤连接。在快速传输的同时提供光纤线路的链路冗余。
产品特点
强大的缓存能力：针对于数据中心大流量数据无阻塞传输的要求，H3C S58系列可以提供强大的缓存能力，并且支持先进的缓存调度机制可以保证设备缓存能力有效利用的最大化。
多重可靠性保护：可插拔电源以及风扇提高设备的硬件可靠性。H3C S58系列所有机型支持电源冗余，其中部分机型支持模块化双电源和双风扇组件，风扇支持前后风道，风道方向可调；所有机型的接口板，电源模块以及风扇模块均可以热插拔而不影响设备的正常运行。此外整机还支持电源和风扇的故障检测及告警，可以根据温度的变化自动调节风扇的转速。同时支持绿色节能模式，支持EEE节能特性，是满足数据中心使用需求的专业交换机。
出色的管理性：H3C S58系列交换机支持丰富的管理接口，例如Console、带外网口、USB口，支持SNMPv1/v2/v3，支持Open View等通用网管平台以及iMC智能管理中心。支持CLI命令行，Web网管，TELNET，集群管理，使设备管理更方便，并且支持SSH2.0、SSL等加密方式，使得管理更加安全。H3C S58系列交换机支持NetStream功能，以及SPAN/RSPAN/ERSPAN镜像和多个镜像观察端口，可以对网络流量进行分析以采取相应管理维护措施，使原本不可见的网络业务应用流量变得一目了然，可以为用户提供多种网流分析报表，帮助用户及时优化网络结构，调整资源部署。
开放业务架构：H3C S58系列交换机采用了H3C的开放业务架构（OAA），不仅可以提供传统交换机的二、三层报文转发的功能，而且可以集成包括防火墙，IPS，无线控制器等高性能多业务模块，使S58交换机成为一个多业务的承载平台。
接入层设计：接入层交换机主要的作用是负责所有信息点的网络接入。本次设计使用全千兆桌面，光纤上联。根据信息点的分布情况，分别部署24千兆电口；4个千兆光纤上联口和48千兆电口；4个千兆光纤上联口。两款不同接口的接入交换机，以适用于不同的信息点分布场景。具体楼栋接入交换机分配如下：
办公楼：总计20个点位，部署一台24口千兆接入交换机。
教学1楼：总计60个点位，部署一台24口和一台48口千兆接入交换机。
综合实训楼：总计90个点位，部署一台24口和两台48口千兆接入交换机。
家属1号楼：总计48个点位，部署两台24口千兆接入交换机
家属2号楼：总计12个点位，部署一台24口千兆接入交换机
家属3号楼：总计24个点位，部署一台24口千兆接入交换机
学生公寓：总计63个点位，部署一台24口千兆接入交换机和一台48口千兆接入交换机。
科技馆：总计20个点位，部署一台24口千兆接入交换机。
学生宿舍：总计20个点位，部署一台24口千兆接入交换机。
食堂：总计10个点位，部署一台原有锐捷3235交换机。
无线网络设计(未来扩容，本次配置不包含):无线网络部署的意义在于，它是有线网络接入的一个辅助，同时提供一个可以移动的网络接入方式。本次设计无线网络覆盖主要有办公楼，教学楼1栋，科技馆。前端使用传输速度达到300M的无线瘦ＡＰ，它具有穿透效果好、接入用户数量大、带宽高等特点。根据对办公楼，教学楼1栋，科技馆的实地测量，设计办公室和教学楼1栋，每次部署2个AP，科技馆由于面积不大，每次部署1个AP。所有室内AP通过POE交换机统一供电。同时为了统一管理，规划。在中心配置一台无线控制器对学院无线网络对接入AP进行集中化管理和控制，在安全方面可以做到用户接入认证。保证无线网络接入用户的合法性。
5. 网络出口安全解决方案
本次网络出口边界设计，主要体现高功能性和网络出口简洁性。
出口区规划 ：
一般的校园网出口都存在着以下的问题：
（1）目前学校有一个电信运营商出口，内部用户访问互联网速度不佳。
（2）内部网络信息没有得到很好的保障，在出口处没有安全措施，容易被外界网络的病毒，木马，黑客，等手段攻击，导致学校内部数据丢失。
（3）外部网络访问学校WEB服务器时，由于没有网络出口防御，导致学校重要数据直接挂载在公网上面。
本次在学校网络出口处设计部署一台高性能防火墙。主要起到保护学校网络信息安全的功能。包括可基于安全域、协议、源/目的端口和源/目的地址（段）、时间七元组的任意组合设置访问控制策略，基于策略的连接状态超时时间可控，基于策略的连接数限制，防病毒、反垃圾邮件、协议细度控制。支持ARP保护机制，支持IP/MAC的主动探测、查看、绑定、删除等，并支持关键服务器的ARP的主动防护等安全措施。对网络的２.３.４层、应用层的数据进行安全过滤。
同时防火墙自带的VPN功能，能够满足现有学校老师出差时，远程安全登录。保证学校外出时候访问学校数据的安全性。
6. 服务应用存储备份解决方案
一个高效，可靠地应用服务系统的建设包括3个部分。
（1）应用承载平台建设。
（2）数据存储系统。
（3）数据备份系统。
本次建设根据现有学校的服务应用具体情况，考虑网络计费管理服务应用，WEB应用，课件管理应用。其他应用做后期扩容。
应用承载平台建设
根据对应用承载平台建设中的网络计费管理系统主分析，要求建设一个高效稳定的计费管理平台业务支撑平台。根据业务类型确定服务器硬件选型如下：
推荐配置如下：两颗Intel E5620 CPU；8GB内存；2*500GB 7.2k 转热插拔 硬盘。该款配置能够满足大多数业务系统对硬件的要求。同时计费系统要求业务具有高可用性。
存储备份系统建设（二期）
本次后端数据存储设计主要包括两个部分。
6.1 网络存储架构的选择
现有市场中常用的存储架构类型有DAS，SAN，NAS。而学校的应用系统包括数据库系统应用和文件系统应用，其中数据库系统数据传输的是结构化数据，这种数据在3种存储架构类型中，传输速率最好的是SAN存储架构。而文件系统传输的数据类型是非结构化数据。这种数据传输效率最高的是NAS存储架构。根据学校的重点业务系统应用的考虑，本次存储架构建设使用SAN存储架构。如图
该存储提供双控制器,交电源,16GB缓存,2*6*GE iSCSI前端口,2*2*24G宽端口SAS后端口,含UPS Cache保护模块,含HS 阵列控制系统软件。支持最大主机数256.
6.2 存储设备的要求
专业数据存储设备其主要目的是保证应用数据的高速，安全的存储。根据学校前端服务器承载的业务类型不同。重点侧重于数据库数据的存储。这里采用数据分级处理。针对学校经常调用的数据，设计建设一级存储，使用15000转的SAS盘组建存储空间。而针对不是经常使用的存储数据，设计建设二级存储，是使用7200转的SATA盘组建存储空间。基于数据存储高效性，可靠性的考虑。要求数据存储设备具备双控制器，高缓存，并提供高数据容量空间。
6.3 容灾备份系统建设
建设该系统重点考虑，数据库业务系统和关键业务系统的数据保护和故障恢复。
服务器的全面集中保护。
操作系统备份:采用独有的簇照技术对服务器的操作系统进行在线的完全备份和增量备份。
数据库备份：数据库数据已经是校园网络数据中最重要的组成部分之一，采用对数据库的完全备份、差异备份、事物日志备份等各种备份类型，针对于学校的具体情况，制定合适的备份策略。
应用程序目录备份：通过高级打开文件备份技术，对应用程序目录和重要配置文件进行在线完全、增量备份，并制定详细的备份计划及循环策略，将应用程序目录非常完整的保护起来。
数据恢复
数据备份的目的是为了恢复。当业务数据受损时，根据受损的情况有不同的恢复方法。如基于部分数据受损时的快速恢复（提取单个文件）及全部数据受损时的快速恢复（时间点恢复）：
部分数据受损时的恢复：备份软件的恢复功能提供了快速的恢复功能，即可以在线的将某一个文件的各个版本的数据逻辑提取出来查看，当业务数据发现有受损时，只需将某一个时间点的文件数据提取出来，快速恢复受损的数据，如图3所示。
图3 容灾系统架构
对快可以实现故障瞬间恢复。
备份系统集中部署配置说明：
根据用户数据的存储和备份需求，在该网络中部署备份存储一体柜设备，作为备份系统的集中管理端。
在需要备份的服务器上安装备份存储柜客户端程序，用于备份命令的响应及数据传输。
在管理控制台集中对客户端进行模块授权，并创建备份任务，并设置合理的备份计划。
7. 综合管理解决方案
本设计建设一套网络管理系统，该网络管理系统能实现基础网络设备管理、无线设备管理和认证计费功能。构建一个高自动化、一体化、高安全性的校园网管理系统。它可以对整个网络平台实现多个维度的管理，即可实现对基础资源、用户及业务资源的统一管理。综合智能管理平台基础网络管理具有以下优势：
全面的基础资源管理。除了传统的路由器、交换机外，更能对网络中的无线、安全、语音、存储、服务器、打印机、UPS等设备进行管理，实现设备资源的集中化管理；基于发现算法，能快速、准确地发现网络资源，包括路由方式、ARP方式、IPSec VPN方式、网段方式等；支持设备面板管理，所见即所得的显示设备的资产组成和运行状态。
灵活方便的拓扑功能。除传统的IP拓扑视图外，还支持自定义视图，使用户可以根据自己的组织结构、地域情况、甚至楼层情况清晰灵活地绘制出客户化的网络拓扑；通过拓扑实时展示网络设备及链路状态，实时定位网络故障。
智能的告警管理。具有完备的告警和故障管理机制及流程，能自动汇总全网中故障设备，形成故障设备列表，使管理员能快速、清晰的找到需要关注的故障设备；提供对重复告警、突发的大流量告警、未知告警的自动过滤，用户还可以自定义过滤规则，以有效压缩海量网络告警，使得管理员直接关注真正的网络故障；提供包括实时远程告警（手机短信、Email告警）、声光告警板集中告警（按告警类型分类告警）、拓扑实时展示告警等多种机制，为管理员从多角度实时监控网络状态。
无线运营管理解决方案（二期）。提供有线无线一体化的管理手段。它可集中管理无线设备，提供策略和服务的批量部署，提升工作效率；可提供多样化的资源分组、无线拓扑，有效组织全网视图；还可融合无线端点准入和用户行为审计功能，支持RF覆盖管理和无线网络规划功能，提供无线入侵检测和防护功能，定制和展示专业的数据报表服务，从而全方位深层次满足用户从无线资源管理、无线用户管理到无线业务管理的统一运营需求。
网络管理系统认证计费功能。满足教职员工和学生接入校园网做认证计费的需求，需满足1000个用户的认证计费。系统需能提供多种灵活的计费方案：支持纯包月计费、支持包月限时、包月限流量、支持包月暂停与恢复、支持自适应包月、支持按使用量（时长/流量）计费、支持按使用量分档计费、支持时段优惠、支持按累积使用量进行奖励、支持对计费参数的灵活设置、支持组合费率（套餐）、支持实时预付费和后付费两种付费方式、支持付费方式的更改。
认证管理系统。施行对用户进行精细的权限控制，通过下发ACL、VLAN等特性，服务器可以与交换机设备配合，对接入用户进行细致的识别和控制。支持配合交换机设备下发QoS，从而将用户的权限控制精细化。支持终端防双网卡、防代理、终端状态检查、防ARP攻击等功能，能够将用户的权限进行非常细致的控制.可以和网络管理软件配合，在拓扑图上可以清晰的显示出接入设备（路由器、交换机），查看接入设备相关信息，并可通过鼠标点击方式进行设备上接入用户情况的查看。满足用户认证许可数1000个.
8. 认证计费系统介绍
认证计费系统用于学校师生上网的认证计费，建议部署认证计费系统，该系统基于IMC平台，通过在IMC平台上安装UAM用户接入组件和CAMS计费组件来实现认证计费的功能。
8.1 UAM用户接入管理组件产品特点
iMC智能管理中心除了实现基础的用户管理和网络管理功能外，最大的特色在于实现了两者之间的有机融合，在统一的操作界面上同时完成网络、用户的管理。
集中化的设备资源和用户资源管理
除对网络设备的统一管理外，iMC也对用户基本信息进行集中维护，包括用户姓名、证件号码、通讯地址、电话、电子邮件、用户分组；并提供用户附加信息管理功能，管理员可根据网络运营的习惯进行用户信息定制，如学校可以定制学号、年级等信息，企业可以定制部门、职务等信息。
设备和用户的统一分组管理
支持设备和用户分组功能，通过对设备资源和用户进行分组管理，系统管理员方便的分配其他管理员的管理权限，便于职责分离。
接入业务服务和用户分组可灵活对应，使得特定分组用户才能配置对应的特定服务，便于管理员进行接入业务管理。
用户管理与网络设备管理相融合，用户管理操作更简单
接入设备列表中可以直接看到用户相关信息，提高了操作员日常维护的效率。
设备选定后可直接对其进行用户操作，比如，针对某个接入设备，将其所挂的用户全部下线处理等。
在线用户列表中提供接入设备查看入口，可查看当前在线用户所对应的接入设备的详细信息，比如，对应的基本信息、告警、性能状况等。
网络设备管理和用户管理的全面融和，使得操作更友好，全面提升操作员操作体验。
支持多种接入及认证方式，适合多种接入组网场景及应用场景
支持802.1x、VPN接入等多种认证接入方式。
支持PAP、CHAP、EAP-MD5、EAP-TLS、PEAP等多种身份验证方式，适应不同安全要求的应用场景。
支持用户与设备IP地址、接入端口、VLAN、用户IP地址和MAC地址等硬件信息的绑定认证，增强用户认证的安全性，防止帐号盗用和非法接入。
支持与Windows域管理器、第三方邮件系统（必须支持LDAP协议）的统一认证，避免用户记忆多个用户名和密码。
支持终端准入控制（EAD）解决方案，确保所有接入网络的用户终端符合企业的安全策略。
严格的权限控制手段，强化用户接入控制管理
基于用户的权限控制策略，可以为不同用户定制不同网络访问权限。
可以控制用户的上网带宽（QoS；802.1x认证支持）、限制用户同时在线数、禁止用户设置和使用代理服务器，有效防止个别用户对网络资源的过度占用。
支持最大闲置时长限制。
可以实现对用户ACL、VLAN的控制，限制用户对内部敏感服务器和外部非法网站的访问（802.1x认证支持）。
可以限制用户IP地址分配策略，防止IP地址盗用和冲突。
可以限制用户的接入时段和接入区域，用户只能在允许的时间和地点上网。
可以限制终端用户使用多网卡和拨号网络，防止内部信息泄露。
可以限制用户必须使用专用安全客户端，并强制自动升级，确保认证客户端的安全性。
详尽的用户监控，强化对终端用户的监视控制
iMC用户管理组件提供强大的“黑名单”管理，可以将恶意猜测密码的用户加入黑名单，并可按MAC、IP地址跟踪非法行为的来源。
管理员可以实时监控在线用户，强制非法用户下线。
支持消息下发，管理员可以向上网用户发布通知消息，如“系统升级，网络将在10分中后切断”、“您的密码遭恶意试探，请注意保护密码安全”等。
iMC用户管理组件记录认证失败日志，便于方便定位用户无法认证通过的原因。
集中方便的接入业务用户管理，简化管理员维护操作
基于服务的用户分类管理，用户的认证绑定策略、安全策略、访问权限均封装于服务中，简化管理员的操作，保证网络管理模式的统一。
接入用户相关的管理动作集中化，界面对操作员来说更友好、更美观易用。
接入用户可使用自助服务，帐号申请、查询、修改都通过自助服务页面完成，既提高效率，又减轻管理员的工作量。
灵活的业务及运行环境参数调整，适应不同的运行及应用环境
系统参数配置，提供业务相关的常用参数信息配置功能。
策略服务器参数配置，提供策略服务器及安全管理相关的参数信息配置功能。
运行参数配置，提供系统运行环境相关的路径、数据库属性等基本信息的能。
证书文件配置，提供证书认证配置信息功能。
用户提示信息配置，提供给用户的相关提示信息配置功能。
客户端自动运行任务配置，提供配置客户端认证后自动运行相关程序的配能。
用户密码控制策略配置，提供配置用户密码的控制策略配置功能。
融合的接入设备管理，操作简单、管理方便
接入设备配置与iMC ACL Manager解决方案的协同，选定接入设备后，可直接为此设备进行ACL配置；同时，在接入设备列表中，可查看其对应的ACL部署信息，便于快速部署及开通业务接入业务。
为接入设备提供查询设备明细信息的链接，可通过简单的鼠标点击看到接入设备的详细信息，比如对应的基本信息、告警、性能状况等。
接入设备管理与拓扑管理的融合，拓扑中可以清晰的显示出接入设备，查看接入设备相关信息，并可通过鼠标点击方式，将此接入设备设置为非接入设备。
智能的广告推送，适应不同网络运营方需求
iMC UAM组件可以配合iMC管理平台，针对不同用户身份/接入位置进行不同的广告推送业务，协助接入用户最快获取最需要的信息，从而可与第三方广告平台配合，适应不同网络运营方需求，达成广告平台、网络运营方以及接入用户的三赢。
3.8.2 CAMS计费管理组件产品特点
先进的设计理念
基于“用户”、“服务”和“策略”三维关系进行设计，便于管理员理解和操作，解决了传统计费系统操作的复杂性。
融合的多业务统一管理模型
支持基于RADIUS的接入业务的认证、授权、计费；
支持对VPN接入的业务管理，提供基于RADIUS的VPN接入业务的基本认证与计费功能。
灵活多样的计费策略
开放的计费模型，能够满足不同应用场景的计费需求，用户可以根据运营的需要轻松定制计费方式和费率；
内置支持纯包月、包月限时、包月限流量等易于管理的包月型计费方式；
支持包月暂停的功能，可以使用户的包月截止日期顺延，并支持用户认证上网自动取消暂停。支持自适应包月，用户包月计费周期可从用户的实际使用包月服务的时间点开始；
支持按时长和按流量计费、分档计费、奖励和时段优惠，可以适应不同用户群体的需求。
清晰准确的账务处理
支持实时预付费和后付费两种付费方式，满足不同用户群体的消费习惯；
支持营业厅缴费、充值卡缴费以及批量缴费，简化管理员和用户的续费操作；
提供详尽的用户上网明细、账单和缴费信息，支持查询与打印功能，有效避免账务纠纷；
支持欠费催缴，当用户欠费、余额不足或包月即将到期时，可以通过Email和客户端等多种方式进行费用催缴；
支持用户信息、上网明细、用户账单和缴费记录的手工或自动导出，方便与第三方账务管理系统的对接。
强大的报表展示功能
支持强大的报表展示功能，可对认证用户的使用情况进行详细的统计和丰富的展示。
高性能的计费解决方案
依托于iMC平台，可采用分布式、组件化的体系结构；支持双机冷备和热备，提供准确、稳定、高性能和高可靠的计费保障；
分布式管理可最大程度满足大数量级的用户接入认证计费要求，支持用户漫游，方便部署方式和管理范围灵活调整。
全流程的用户终端管理
可以融合EAD终端准入管理组件和UBA用户行为审计组件为最终用户提供基于用户终端生命周期的管理。包含终端的接入认证、计费管理、终端桌面控制、用户行为审计等囊括事前、事中、事后的全流程终端管理方案，便于管理员在一套系统上操作。
灵活、方便的开放接口
支持提供标准、通用的基于Web Services二次开发接口，经过简单的二次开发工作，管理员可轻松将系统集成到现有运营管理系统中（如企业中的员工管理系统，学校中的学籍管理系统等），从而真正实现多系统的统一管理；
支持基于Radius Proxy技术的计费漫游和计费代理功能，便于与第三方运营管理系统进行对接。
3.9交换网络方案解决的实际问题
本次校园网络建设方案主要能够实现的目的主要有以下几个。
网络建设使用技术先进性和，网络架构完整性。同时具备网络开放性，可方便扩容。
2、本次网络建设设计全面性。包含网络基层建设，设备综合管理，服务计费管理等多领域。形成多方位，全面设计提供一个整体的解决方案。
3、本次校园网络建设，根据实际情况，具体分析。使用现在网络建设中的主流技术，具备高可靠性，同时根据未来学校网络规划，保证其技术领先性，适用于未来网络的发展。
4、提供了多种方式，解决了网络中用户上网计费问题。
5、设计到无线网络。考虑到以后无线升级。为其提供平滑过渡。
