校园网网络安全方案设计.doc

某校园网络安全方案设计第一章、-5年内的网络需求,既要保证校园网能很好的为学校服务,又要保护学校的投资。,四分建设、六分管理,,?整个网络需要具有高度的稳定性,能够满足不同用户对网络访问的不同要求网络高性能需求?整个网络系统需要具有很高的性能,能够满足各种流媒体的无障碍传输,保证校园网各种应用的畅通无阻?认证计费效率高,对用户的认证和计费不会对网络性能造成瓶颈网络安全需求?防止IP地址冲突?非法站点访问过滤?非法言论的准确追踪?恶意攻击的实时处理?记录访问日志提供完整审计网络管理需求?需要方便的进行用户管理,包括开户、销户、资料修改和查询?需要能够对网络设备进行集中的统一管理?需要对网络故障进行快速高效的处理第二章、:核心、接入。核心采用一台RG-S4909,负责整个校园网的数据转发,同时为接入交换机S1926F+、内部服务器提供百兆接口。网络出口采用RG-WALL1200防火墙。原有网络设备功能较少,无法进行安全防护,已经不能满足应用的需求。:不更换核心设备核心仍然采用锐捷网络S4909交换机,在中校区增加一台SAM服务器,部署SAM系统,同时东校区和西校区各用3台S2126G替换原有S1926F+,其中汇聚交换机各采用一台新增的S2126G,剩余的两台S2126G用于加强对关键机器的保护,中校区的网络结构也做相应的调整,采用现有的两台S2126G做为汇聚设备,其它交换机分别接入这两台交换机,从而实现所有汇聚层交换机都能进行安全控制,重点区域在接入层进行安全控制的网络布局。方案二:更换核心设备核心采用一台锐捷网络面向10万兆平台设计的多业务IPV6路由交换机RG-S8606,负责整个校园网的数据转发。在中校区增加一台SAM服务器,部署SAM系统,同时东校区和西校区各用3台S2126G替换原有S1926F+。将原有的S4909放到东校区做为汇聚设备,下接三台S2126G实现安全控制,其它二层交换机分别接入相应的S2126G。西校区汇聚采用一台S2126G,剩余两台S2126G用于保护重点机器,其它交换机接入对应的S2126G。中校区的网络结构也做相应的调整,采用现有的两台S2126G做为汇聚设备,其它交换机分别接入这两台交换机,从而实现所有汇聚层交换机都能进行安全控制,重点区域在接入层进行安全控制的网络布局。-S8606构成,核心交换机RG-S8606主要具有5特性:1、骨干网带宽设计:千兆骨干,可平滑升级到万兆整个骨干网采用千兆双规线路的设计,二条线路通过VRRP冗余路由协议和OSPF动态路由协议实现负载分担和冗余备份,以后,随着网络流量的增加,可以将链路升级到万兆。2、骨干设备的安全设计:CSS安全体系架构3、CSS之硬件CPPCPP即CPUProtectPolicy,RG-S8606采用硬件来实现,CPP提供管理模块和线卡CPU的保护功能,对发往CPU的数据流进行带宽限制(总带宽、QOS队列带宽、类型报文带宽),这样,对于ARP攻击的数据流、针对CPU的网络攻击和病毒数据流,RG-S8606分配给其的带宽非常的有限,不会影响其正常工作。由于锐捷10万兆产品RG-S8606采用硬件的方式实现,不影响整机的运行效率4、CSS之SPOH技术现在的网络需要更安全、需要为不同的业务提供不同的处理优先级,这样,大量的ACL和QOS需要部署,需要核心交换机来处理,而这些应用属于对交换机硬件资源消耗非常大的,核心交换机RG-S8606通过在交换机的每一个用户端口上增加一个FFP(快速过滤处理器),专门用来处理ACL和QOS,相当于把交换机的每一个端口都变成了一台独立的交换机,可以保证在非常复杂的网络环境中核心交换机的高性能。骨干设备的稳定性设计:三平面分离技术数据平面、管理平面、控制平面分离的设计思想交换机中的数据类型可以分为三大类:数据平面:各种二层\三层\组播\ACL\QOS数据管理平面:、SNMP对设备进行管理维护的数据流控制平面:各种协议比如STP、ARP、OSPF、RIP交互的数据流RG-S8606通过将三个平面进行分离,可以保证在数据流量非常大、网络异常比如有回路、有大量攻击数据流、OSPF协议无法收敛的情况下,管理员仍然可以通过各种网络管理方式登陆到网络设备上,通过察看接口状态、日志纪录、协议的信息,可以发现网络中存在的问题,关闭有问题的端口、停止异常的协议,从而达到了在线排除网络故障、在不重启交换机的