普教校园网络建设方案

校园网络系统建设方案
目录
第1章建设目标.......................................................................................................... 错误!未定义书签。

第2章网络设计原则ﻩ错误!未定义书签。

2。

1带宽保障............................................................................................................... 错误!未定义书签。

2。

2有线无线一体化ﻩ错误!未定义书签。

2.3ﻩ安全可靠性................................................................................................................ 错误!未定义书签。

２.4网络可控性ﻩ错误!未定义书签。

第3章ﻩ计算机系统网络设计 ......................................................................................... 错误!未定义书签。

３.１ﻩ大目湾学校校园网拓扑图设计............................................................................. 错误!未定义书签。

3。

2总体网络设计ﻩ错误!未定义书签。

３。

３ﻩ核心交换层设计 ................................................................................................. 错误!未定义书签。

3.3。

1核心交换机简介 .......................................................................................... 错误!未定义书签。

3．4ﻩ接入层设计 ............................................................................................................. 错误!未定义书签。

3。

5校园无线网络设计ﻩ错误!未定义书签。

3。

5．1无线场景化部署 .......................................................................................... 错误!未定义书签。

3。

５。

2AＰ部署位置ﻩ错误!未定义书签。

３。

5．3无线ＡP供电方案ﻩ错误!未定义书签。

３。

５。

4......................................................................................................................... 无线覆盖信号错误!未定义书签。

３.5。

5工作频段与频点规划 .................................................................................. 错误!未定义书签。

3。

５。

6ﻩ基于用户、流量、频段的智能负载均衡 ................................................. 错误!未定义书签。

3．５．7ﻩRＩＰT边缘智能感知技术保障上网不掉线ﻩ错误!未定义书签。

３。

５.８AＰ信号冗余................................................................................................ 错误!未定义书签。

3．5．9ﻩ无线校园网使用控制................................................................................... 错误!未定义书签。

3。

６ﻩ网络出口设计 ....................................................................................................... 错误!未定义书签。

3。

6.1ﻩ安全ﻩ错误!未定义书签。

3。

6．2ﻩ出口路由与上网行为管理ﻩ错误!未定义书签。

３。

7ﻩ网络管理 ............................................................................................................... 错误!未定义书签。

第1页
第1章建设目标
数字化校园综合平台建设的总体目标是：利用先进成熟的计算机技术、网络技术、数字视频监控技术、数字广播技术与数据库技术,通过科学合理的管理规范与完备通用的技术规范，基于统一的信息标准整合、集成各种信息资源,构建安全、可靠、可扩展、易维护的综合管理平台，保障校园一卡通业务、办公业务、教务网络管理系统、科研管理系统以及以数字图书馆为基础的多媒体网络教学资源系统等稳定高效运行、实现学校各项业务和管理工作的信息化；为广大师生提供简便、快捷的网络化信息服务。

第2章网络设计原则
2.1 带宽保障
学校信息化建设是一个庞大而且复杂的工程，为了保障全网的高速转发，校园网全网的组网设计的无瓶颈性,要求方案设计的阶段就要充分考虑到，同时要求核心交换机具有高性能、高带宽的特性,整网的核心交换要求能够提供无瓶颈的数据交换。

2.2 有线无线一体化
随着信息技术的飞速发展,教师和学生对校园网的依赖性相当之高，不仅有线网络要满足学校教学和办公需求，“随时随地获取信息＂已成为广大师生们的新需求。

因此学校迫切需要为广大教师、学生、行政管理人员、后勤人员打造一个具有打造一个具有技术前瞻性的无线校园网，与目前的有线网络进行无缝融合,提供优良的无线体验。

2.3 安全可靠性
设计应充分考虑整个网络的稳定性，支持网络节点的备份和线路保护，同时提供网络安全防范措施,保护内部网络和数据不被来自外网或内网的非法用户攻击,确保学校内部网
第1页
络、各系统以及业务的安全稳定运行.
2.4 网络可控性
校园网建好以后,只有进行有效的管理，网络才能有效、稳定的运行，并且发挥出校园网络的价值。

所以校园网建设完成后,最重要是对使用者的管理，只有授权的使用者才能正常使用网络，对不允许上网的个人则限制进入网络.
第3章计算机系统网络设计
3.1 大目湾学校校园网拓扑图设计
大目湾学校网络拓扑设计
3.2 总体网络设计
大目湾学校数字化校园网建设主要包括基础骨干网络、无线网络及网络出口，实现有线、无线一体化。

根据模块化、分层设计的理念，本次校园网的建设大致分为:核心交换区、接入交换区、校园网无线覆盖区、出口、网络使用管理与设备管理。

⏹接入交换机千兆到桌面,通过级联或堆叠的方式，简化实施管理和介绍光纤、设备
投入,一个弱电间内可以2~3台接入交换机级联或堆叠；
⏹接入交换机级联或堆叠后采用千兆光纤上连至核心交换机;
⏹教学和办公区共部署99个吸顶式无线AＰ;
⏹教师和学生宿舍区，每间宿舍部署1个墙面式AP，提供每间宿舍无线网络。

共部署
83个墙面式AP；
⏹核心机房部署1台无线控制器对学校所有AＰ进行控制、管理;
⏹出口部署防火墙设备保障学校网络安全;
⏹出口部署网关设备，实现网络出口路由和上网行为管理;
⏹部署1套网管软件,对学校网络设备进行统一监控、管理、配置。

第2页
3.3 核心交换层设计
核心交换区负责汇聚各个楼栋数据进行高性能数据转发,同时也负责与服务器区、校园网出口区之间的流量转发。

核心交换机是一个高速的二层和三层数据集中转发设备,设备需要提供较高的交换容量和包转发性能,以保证学校全网数据的正常、线速转发．核心交换机作为学校整网的网关,并提供DHＣP动态地址分配服务.此次学校网络点位加上无线接入用户，考虑最大用户数为2000人,所以核心交换机需要具备较高的ARP表项和MAC地址表项，以满足学校全网用户的正常上网和数据转发.本次提供的核心交换机和线卡支持ＡPR容量170Ｋ,MAC地址表项128K,充分满足学校大规模的业务需求。

针对学校不同部门、区域、人员的访问控制,可以在核心交换机上启用针对性的访问控制策略,保障数据访问的安全性。

3.3.1 核心交换机简介
RＧ—S7805E
一、产品特性
➢性能满足未来十年网络发展
RG—S78０５Ｅ产品支持业界最高性能的小包线速转发能力,包括最高密度板卡在内的所有板卡均可实现64字节小包线速转发，从容应对未来网络对高速转发不丢包的苛刻需求.
➢虚拟交换单元ＶSU３。

0
支持业界领先的VSＵ3。

0(Ｖiｒｔｕal Switch Uｎit，虚拟交换单元)虚拟化技术，最大将4台物理设备虚拟化为一台逻辑设备，统一运行管理，大幅减少网络节点,降低网络运维管理人员工作量。

增加网络可靠性,实现50~2００ms链路故障快速切换，保障关键业务不中断传输。

支持跨设备链路聚合,方便接入服务器/交换机实现双活链路上联,网络有效连接带宽成本增长。

➢虚拟交换设备VＳD
RＧ—S７805E产品通过VSＤ(VirtｕaｌSwｉｔcｈＤeｖiｃｅ,虚拟交换设备)技术可将一台设备虚拟化为多台虚拟设备,每台虚拟设备具有独立的配置管理界面、独立硬件资源分配(比如内存、ＴCAM、硬件转发表),可以独立重启而不影响其它的虚拟交换机。

最大程
第3页
度上为您实现网络资源的按需分配，可让核心交换机资源同时共享给多个区域或用户使用。

另外,通过同时开启VSU3。

０和ＶSD技术，可以实现网络资源的彻底池化➢电信级的高可靠性设计
RＧ—S7805E产品各关键部件均为冗余设计：主控引擎１+1冗余，风扇Ｎ+M冗余,电源模块1＋1冗余,同时各冗余组件均支持热插拔,最大程度上提高整机的可靠性和可用性。

支持热补丁和ＩＳSU技术,可实现设备在线进行补丁升级。

支持GR ｆoｒOＳPF/ＩS－IＳ/BGP等,支持BＦD for VＲRP/OSPF/BGP4/ISIＳ／IＳISｖ6／MPLS／静态路由等，实现各协议的快速故障检测机制，故障检测时间小于５０ms。

➢多进程模块化操作系统
从1998年起，锐捷网络就开始了模块化操作系统的研发投入,RG—Ｓ7805E产品软件平台基于新一代的ＲGＯＳ11。

X多进程模块化操作系统，支持全面的虚拟化能力和园区网特性。

在多进程模块化、进程备份、热补丁等关键可用性指标上达到业界领先水平。

➢高效的绿色节能
RG－S７805Ｅ产品采用40nm芯片工艺,相比传统9０nｍ和６5nｍ工艺更节能。

内部系统低压供电设计,高效率模块化电源,供电系统效率更高.
多核CPU支持动态功耗管理，全部光口采用无PHＹ设计，降低光口功耗，全部以太网电口支持EEＥ高效节能标准，低负载时可节约功耗.
智能风扇支持25６级调速，精密温控,节能降噪；高温下可长期工作,适应恶劣环境,为您大幅度节省空调能耗。

二、技术参数
第4页
第5页
第6页
3.4 接入层设计
楼栋接入区主要是负责为楼栋内各个信息点提供２层接入功能,根据实际需求,本次学
第7页
校全网共部署5２台24口千兆接入交换机。

接入交换机主要完成以下功能：
⏹接入交换机千兆到桌面，通过级联或堆叠方式，千兆链路上连核心交换机。

⏹通过VLAN定义实现业务划分。

⏹实现QoＳ，对数据包进行分类和标记。

⏹接入网作为用户终端接入校园网的唯一接口,在为用户终端提供高速、方便的网络
接入服务的同时,需要对用户终端进行入网认证、访问行为规范控制,从而拒绝非法用户使用网络,保证合法用户合理使用网络资源，并有效防止和控制病毒传播和网络攻击。

3.5 校园无线网络设计
3.5.1 无线场景化部署
(一)教学、办公楼等场景
●教学、办公楼等无线网络主要用于老师教学、办公、上网、学生学习以及其它数
字化应用.在教学楼环境，老师、学生等活动范围大，所以无线信号覆盖区域需要全面、无盲区.
●教学、办公楼部署80２。

11n标准室内双频吸顶式无线AP于走廊或大教室内,此
次学校共部署99个室内双频吸顶式无线ＡP
(二)宿舍楼场景
宿舍楼房间较密集，为减少AP之间的信号干扰和提高上网速率，每个宿舍部署８６盒墙面式AP，使每个宿舍独享一个无线ＡP。

墙面式ＡP提供有线接入网口,实现有线无线一体化接入。

此次项目教师和学生宿舍区,每间宿舍部署1个墙面式AＰ，提供每间宿舍无线网络。

共部署83个墙面式AＰ。

3.5.2 AＰ部署位置
（1）吸顶式AP部署
办公室、教学楼、阅览室、会议室等场景采用吸顶式无线。

办公室、教学楼、小会议
第8页
室使用的AP部署在走廊，考虑３个左右的办公室和教室使用1个无线AP；阅览室、大会议室部署在室内。

AP部署位置如下图所示:
（2）墙面式ＡP部署
宿舍楼区域每个宿舍部署１个86盒墙面式AP,直接部署于宿舍８6盒槽内,部署
简单、方便.
宿舍AＰ部署如下图所示:
3.5.3 无线ＡP供电方案
本次规划的无线校园网的AＰ采用POE交换机供电，无线AP就行接入楼道POE接入交换机,POＥ交换机支持POE802.３aｆ和802。

3at标准，最大单端口支持30W供电.
3.5.4 无线覆盖信号
覆盖区域信号强度不低于—65ｄBｍ，信噪比ＳNR≥20。

业务使用较为集中区域的接入速率应不低于140Mbps。

3.5.5 工作频段与频点规划
依照WＬAN的国际规范和国际无线电管理委员会的标准，WLAN无线设备的工作频段为２４00-2483。

5ＭHz，带宽8３。

５MＨz,划分为14个子信道，每个子频道带宽为22 MHz, 最多有１3个信道可用.频道分配如下图所示:
在多个频道同时工作的情况下,为保证频道之间不互相干扰,要求两个频道的中心频率间隔不能低于25MHz。

考虑参照北美标准设计的许多WLAＮ设备和终端（比如网卡)不能使用1２、13信道做为学生信道,因此建议一般选用１/６／11信道。

８02。

11g使用开放的２。

4GHz IＳM频段，可工作的信道数为欧洲标准信道数1３个。

由于其支持直序扩频技术造成相邻频点之间存在重叠．对于真正相互不重叠信道只有相隔5个信道的工作中心频点．因此对于80２.11g在２。

４GHz地工作频段,理论上只能进行三信道的蜂窝规划实现对需要规划的热点的无缝覆盖．
部署双频点的无线接入点，８0２。

11n同时工作在2.4ＧHｚ和5GHz频点；
第9页
➢5GHz:
更多的频谱资源—数量较多的不冲突频点，更少的干扰(蓝牙、微波炉)，从40ＭＨｚ信道绑定获得最高的性能，很多80２.１1n的客户端只有在5GHｚ频段上支持４０MHz；
➢2。

４GHz:
采用2.4GHz频点，兼容原有的802。

11a、ｂ/g的客户端;不建议在2.4GＨz频点使用４0MH ｚ信道绑定,大部分客户端不支持;避免了80２.11a、b/ｇ与802。

11ｎ混用,降低性能。

3.5.6 基于用户、流量、频段的智能负载均衡
某个共同区域内，可能发生这样的问题:大部分终端全部接入某个ＡP,而相邻的AＰ则很少用户选择，这就造成了AＰ之间的负载不均衡，部分ＡP过载，部分AP空载的情况。

所以WＬAN网络需要一种方法来实现在网络中（多个ＡＰ间）均衡地分担无线用户的负载,这是保证无线接入的性能和Ｑoｓ的关键。

这种技术一般被称为WLAN网络负载均衡技术。

智能负载均衡功能首先能够区分相邻ＡＰ之间共同覆盖区域,实时准确地发现负载均衡组，其次利用准确的负载均衡的算法,最后有效的控制“过载”无线用户的离开。

从而实现。

AP通过如下智能负载均衡技术,可以准确有效地在WLAＮ网络中平衡用户的负载,充分地保证每个无线用户的性能和带宽。

1.频谱导航技术(BandSｅlect)
AP支持检测客户端是否自带双频网卡,如果是,AP会拒绝客户端连接2．4Ｇ一定次数，优先将客户端接入5。

8G,再计算当前2。

4G和5.８G接入用户数量差异,当超过一定差异时,启动频段间负载均衡，防止5.8G和2.4G接入用户数量差异过大．随着双频终端越来越多,除了传统的迅驰笔记本外，iPad 2、Ｎeｗ iPad、ｉＰhone 5都已经使用双频网卡,频谱导航技术能够讲负载引导到较少人使用，较少干扰的５ＧＨz频段上,大幅度降低２。

4GHz压力，提升AP使用效率.
2.支持基于用户会话数、流量、用户数的负载均衡算法
第10页
智能负载均衡技术可以让用户灵活地选择基于用户会话数、用户数或流量的负载均衡,满足用户不同的WＬAN应用需求。

用户还可以灵活地选择是否使能负载均衡。

3.智能地隐藏高负载ＡP
当一些AP的负载过高时，通过智能负载均衡技术可以维持已存在的无线用户会话,而把这些ＡＰ对新的接入用户进行隐藏,从而让新的接入用户只能够发现和接入到负载较小的AP上.这样可以平滑地进行负载均衡控制，而又可以保证用户快速地接入到网络中。

一个有效的WＬAN网络负载均衡方法必须系统化地综合了如下的关键技术:
➢实时准确地发现负载均衡组;
➢负载均衡的算法;
➢能够有效地控制无线用户的离开或接入到ＡＰ
其过程及原理如下:
1.实时准确发现负载均衡组
AＰ能够实时跟踪无线客户端位置，当一个AP听到来自某个无线用户的扫描信号，将向AC通告自己发现了某个无线用户。

AＣ将以该无线用户的MAC地址为索引，纪录哪些AP 听到了该用户的信号。

为了保证这些信息的实时准确,通过老化机制,系统可以将过期的纪录老化掉。

有了这样的信息，根据某个无线用户的MＡC地址查询到的AP列表,就对应了在特定时刻和特定位置下,能够为该用户提供ＷLAN接入服务的AＰ.由于无线客户端的扫描过程是非常频繁的,所以很自然地确保系统可以实时地跟踪无线用户的位置变化,根据特定用户MAC地址查询到的ＡＰ列表就是实时动态的负载均衡组。

整个过程完全是自动的，不需要用户手工配置负载均衡组。

为了保证系统的性能，减少AＰ和AＣ间的通讯负荷,AP还可以只在自己听到的无线用户信息发生变化时,才通知AC刷新信息。

2．负载均衡条件判断
当无线用户确定了自己要关联到某个AＰ后，将向该AP发起关联请求,该请求将被A Ｐ发送到ＡC上进行集中处理.运行在AＣ上的负载均衡算法首先要判断是否需要进行负载均衡控制.负载均衡要求:当前ＡP的负载超出用户预设置的阈值并且负载均衡组的负载不均衡。

用户可以选择设置是按照用户流量还是用户数进行负载均衡控制,只有负载超出了
第11页
一定阈值,系统才启动负载均衡控制.此外,只有负载均衡组成员的负载不均衡时,系统才进行负载均衡。

这时系统会根据预先实时学习的用户信息,动态地计算出当前的负载均衡组成员,即当前哪些AP可以为该用户提供接入服务。

然后比较这些ＡＰ当前的负载,如果当前AＰ的负载超出均衡组中负载最轻的ＡP，并且满足了指定值，那么就意味着当前AP 的负载过高,需要设法把新的接入用户平衡到其他AＰ中，而不是在本ＡP上提供接入服务.
3.5.7 RIPT边缘智能感知技术保障上网不掉线
当AＰ发现AＣ故障宕机后,会快速切换为智能模式继续进行数据转发,不影响用户使用体验，真正保证无线网络永不中断。

3.5.8 ＡP信号冗余
基于无线网管系统实现ＡP间信号的冗余，当其中一台AP故障后，周边的其他AP自动调整发射功率，覆盖该ＡP的区域,确保该AP内的无线终端设备正常接入无线网络．
3.5.9 无线校园网使用控制
学校无线网络需要对学校领导、老师、访客和学生不同的使用权限,对于学校无线网络的使用管理，通过象山教育局身份认证平台进行统一身份认证。

3.6 网络出口设计
3.6.1 安全
学校网络出口部署防火墙设备,保护网络学校内部网络不受外部网络的病毒攻击和入侵行为。

防火墙实现基于用户、资源、应用的访问控制。

可以与身份认证系统对接，实现一体化策略配置，可视化安全管理更加快捷高效。

可实现防火墙、VPN、UTM多业务高性能防护.支持防病毒、IＰS、流控、Ｗeb过滤的高性能处理.支持DoS/DDoS攻击防护，支持MAC
第12页
和IＰ绑定功能,支持智能防范蠕虫病毒技术、ARＰ攻击防护、TCP报文标志位不合法攻击防范、超大ICMP报文攻击防范等等网络攻击防护。

支持双机状态热备功能,支持Aｃtive ／Ａｃｔivｅ和Ａctiｖe/Passive两种工作模式,实现负载分担和业务备份，支持自动同步特征库和策略库,支持双配置文件。

3.6.2 出口路由与上网行为管理
学校网络出口部署出口网关设备,满足学校高容量上网出口需求。

出口网关设备具备路由、上网行为管理和流控功能.实现学校高速上网、上网日志管理与审计、人员及业务的流量管理。

（1）流量识别,精细管理
应用控制引擎可精确识别上千种应用（例如,Ｐ2Ｐ应用、即时通讯、流媒体、网络游戏、炒股软件、办公应用等)。

通过对P２P应用的压缩控制,可有效降低P2P应用对出口网络带宽的占用率,提高其余业务的带宽使用率，有效提速．
（2）关键应用，持续保障
通过对关键用户/关键应用的识别，将其置于独立的ＶIP通道，有效保障关键用户/关键应用的带宽不受其他应用的影响．
（3）高性能、高稳定网络出口
首先，配备高性能的硬件。

保证高稳定性。

锐捷所有出口产品均支持硬件BYPASS,在掉电、重启、设备故障等突发情况下,出口始终能保持通畅.
最后，高性能NAＴ、ＰBR(策略路由),彻底解决了基础转发性能问题。

而且在内嵌高性能DPＩ引擎作用下，协议识别和策略执行将不会影响到性能。

3.7 网络管理
学校部署网管平台,对学校所有网络设备进行统一配置、管理、监控和告警,管理员全局掌握学校整网情况，快速发现和定位故障。

1)拓扑呈现
拓扑管理展示了被管理网络的真实情况，直观的为网管人员提供了全网布局情况和设备运行情况,采用Flａｓh技术动态的展现全网设备和连线状态，绚丽界面保证了客户的真
第13页
实感体验，不同设备类型之间采用不同的图标进行区分,系统还可通过自动布局功能自动调整网络拓扑图,完善展现效果，也可以由用户手动添加或布局控制，并通过拓扑图上呈现的丰富的设备、告警、流量信息,实时的检视网络运行的全貌;可以直接在拓扑图上查找用户关注的设备和链路节点,进行点击获取更加详细的信息;用户还可以将拓扑图保存或者直接导出，为管理提供依据和便利；
2)链路信息
可通过链路信息查看功能实时了解网络链路双向的速率、丢包率、错包率、单播包速率、广播包速率，帮助管理员实时了解网络流量情况,分析网络问题；
3)网络应用分析
可分别从设备角度和软件的角度对网内设备使用的软件及版本情况进行分析，清晰展示当前网内设备软件版本、设备型号和安装数量，为用户整体的网络规划提供依据。

在分批实施的网络中，管理员可以清楚的了解锐捷设备有几个软件版本在网内应用，每个版本的使用数量是多少，并可进一步查看各个版本分别对应的是哪些设备,如果有必要可以对这一批设备进行批量版本升级，保持网内版本统一性．
4)TOP N的分析呈现
对网络设备关键参数采用进行ＴOP Ｎ的方式进行呈现，提升管理员对危险设备的关注度。

在此直接给出ＣPU利用率、内存利用率、接口带宽利用率等几个重要指标的TＯＰN视图，在系统的首页给用户一个直接的呈现，可以根据该排序信息确定关注设备,进而对网络故障进行定位.
5)危险设备汇总
对网内存在风险设备进行集中呈现，管理员无需多个功能点间进行切换,对网内存在风险的设备一目了然的进行查看。

6)网络听诊器
可定期对网内设备执行连通状态检查，直观呈现设备连通状态。

设备的连通状态是设备能够提供服务的基本信息,通过定期执行设备连通状态的检查，并生成连通性检查报告,管理员可以下载查验连通状态报告，对无人值守时的网络连通状态进行分析。

7)故障告警
系统可通过告警模块实时接收网络监控过程中产生的故障，并通过告警过滤将管理员关注的设备以及告警信息通过邮件、短信、声音等方式发送到管理员手中,让管理员第一时
第14页
间关注到自己所关心的告警,及时进行解决;
第15页。