昆山市开发区兵希中学数字化校园网技术建议书锐捷通信技术有限公司目录1 学校介绍32 项目需求32.1 网络安全平台需求分析42.2 校园智能管理中心需求分析43 设计原则64 系统规划设计64.1 兵希中学网络详细设计85 有线无线一体化校园网85.1.1 无线网络组网方案95.1.2 无线局域网安全方案125.1.3 供电问题135.1.4 FIT AP解决方案特点146 学校网络管理中心设计166.1.1 锐捷 IMC智能管理中心166.1.2 无线管理组件187 方案优势总结181 学校介绍昆山市开发区兵希中学依托园区先进的办学理念，高品味的育人方略，以“尊重个性，幸福成长”为学校愿景，将学校打造成一所具有优美的校园环境，先进的教学设施，一流的师资队伍的现代化、国际化、人性化的绿色人文学校。2 项目需求数字化校园是以数字化信息和网络为基础，在计算机和网络技术上建立起来的对教学、科研、管理、生活服务等校园信息的收集、处理、整合、存储、传输和应用，在传统校园基础上构建一个数字空间，以拓展现实校园的时间和空间维度，提升传统校园的运行效率，扩展传统校园的业务功能，最终实现教育过程的全面信息化，从而达到提高管理水平和效率的目的。所以，此次网络升级，昆山市开发区兵希中学以数字化校园为目标，建立一套完整的网络体系。本技术建议书正是秉着上述数字化校园建设的宗旨与目的和锐捷近十年在教育行业中积累的工程实施经验，根据“统一规划、承前启后、分步实施”的原则，分别从兵希中学数字化校园框架结构、各模块特点、实施建议等多个角度给予建议，帮助兵希中学学改造升级建成一个数字化的校园网络。 锐捷建议昆山市开发区兵希中学数字化校园总体构架采用“一平台三中心”的系统构架：l 以网络安全平台为基础实现安全、可靠、永续的数据传输，实现校园网络及其应用系统的安全高效运行；l 以媒体中心整合数字化校园中的非结构化数据资源，包括远程教育资源、多媒体教育资源、会议电话、校园监控等；l 以校园数据中心实现校园内结构化数据资源的存储，建设一个为全校服务的数据中心，保证数据实时更新和高度一致，为实现“网上办公、网上管理、网上教学、网上服务”提供全面的系统支持，数字化图书馆也可以考虑包含其中；l 以智能管理中心作为数字化校园的神经中枢，统一管理业务、资源和用户这三大IT组成要素。建立统一的网络管理系统，实现一套管理网络管理所有设备。2.1 网络安全平台需求分析昆山市开发区兵希中学数字化校园网是一个对外连接Cernet和Internet主干网，对内连接各教学楼、实验楼、综合楼等的综合性网络,在网络建设中尤其要关注以下需求：l 全网无阻塞的校园网：在整体网络设计中，网络性能由“最短的木板”决定，故建设真正的无阻塞校园网，要从网络、安全、存储、无线等多角度衡量，此次学校设计我们采用万兆网络核心，百兆桌面接入，千兆上行的模式来建立一个无阻塞的昆山市开发区兵希中学校园网。 l 网络自愈能力校园网高可靠性的另一项硬指标是应对故障节点、故障链路、路由震荡时网络设备的自愈能力，提供不间断转发、优雅重启、环网保护等多种高可靠技术，能够承载校园园区融合业务的需求，此次兵希中学校园网的核心设备采用的是高端万兆交换机S8606双电源冗余，同时支持各种网络链路检测协议如BFD、RRPP等，保证网络的不间断性； l 有线无线网络的真正融合校园网的建设往往是有线网络先建，无线网络后建。如何能降低无线校园网络的部署难度，减少网络管理维护的工作量，对学生无论有线还是无线实现统一帐号营运，上述都是建设无线校园网中碰到的实际问题，兵希中学校园网此次部署的方式是无线控制器加瘦AP的方式部署，能够通过IMC智能管理中心统一管理。l 建设一个安全系统校园网出口具备攻击、非法业务的隔离与控制、学生上网行为审计，具备在线主动抵御的能力、校园数据中心保护、校园核心网络自身集成安全防御能力，缩小攻击、病毒在校园影响范围，上述等等不是割裂的，安全与网络管理的融合、安全策略与网络策略的联动部署，方能构建端到端的、基于多样化环境应用的全面校园安全解决方案。2.2 校园智能管理中心需求分析随着数字化校园逐步实现了高带宽、广覆盖、可运营、可管理的数字化校园硬件平台，完成了万兆校园网改造、升级，解决了骨干带宽、出口带宽的问题，校园身份认证、计费、管理和网络安全方面的建设逐步提到了议事日程。同时校园网管理需要更加智能和易用。随着信息技术的发展，为提高办公效率及改善教学环境，当前的学校越来越多地应用了信息技术，对于网络的依赖性也越来越大，学生需要上网查阅资料、吸收新知识、接受网上教学，老师需要借此了解最新科研进展。校园网络上通常承载着学校的办公系统、教学系统及学生宿舍网络系统，网络如果发生问题，会对学校的正常运作产生严重的影响。随着网络基础架构日趋复杂，传统的设备命令行、简单的管理工具已经不能够满足网络管理的需求。业界的经验证明，选择一个优秀的网络管理系统是保证网络最大可用性的有效手段。作为业界领先的网络设备与解决方案供应商，锐捷提供包括网络管理、用户管理、业务管理等全面的管理解决方案：锐捷智能管理中心（锐捷 Intelligent Management Center，以下简称锐捷 iMC）。此次我们的网络设计中充分考虑网络的管理难题，为学校配置了锐捷的IMC智能管理中心，同时部署WSM组件，帮助学校对所有网络设备进行统一的管理，并且包括无线在内的设备都能够通过管理中心进行配置和管理，大大减弱网络管理难题，方便实用。3 设计原则此次兵希中学小学网络升级，必然是要建造成为一个先进的实用的高效网络，对此，我们对此次网络升级总结出如下设计原则。l 先进性、成熟性和实用性使用先进、成熟、实用和具有良好发展前景的技术，使得各个子系统具有较长的生命周期，不盲目追求高档次，既能满足当前的需求，又能适应未来的发展。l 高可靠性高效稳定的系统，能提供全年365天，每天24小时的不停顿运作。对于安装的服务器、终端设备、网络设备、控制设备与布线系统，必须能适应严格的工作环境，以确保系统稳定。对于兵希中学小学的网络，可靠性直接影响到大楼的功能效果，任何网络的单点失败都可能造成很大的损失。所以整个网络的拓扑设计、设备配置、协议支持都必须充分体现出对高可靠性的支持，不允许网络有任何的间断。因为这些设备的任何问题会在第一时间反映出来，造成的影响相对也更大。l 易管理和操作性先进且易于使用的图形人机界面功能，提供信息共享与交流、信息资源查询与检索等有效工具。l 高效率性注重各系统的信息共享，提高整个系统高效率的传输与运行能力。l 完整性提供与各种外界系统的通讯功能，确保信息的完整性并充分利用在整体系统的运作上。l 可扩展性把各子系统有机结合起来，充分考虑将来需求的成长空间，所提供的系统平台与技术将充分配合未来功能及扩充项目的需求，以避免将来重复的投资。标准化、结构化、模块化的设计思想贯彻始终，奠定了系统开放性、可扩展性、可维护性、可靠性和经济性的基础。综上所述，昆山市开发区兵希中学的基础设施建设项目必须从实际需要出发，必须符合一流中小学的形象，所应用的技术应坚持先进、成熟、实用，所使用的系统与设备应符合标准化及开放性的要求，系统的集成应当具有持续发展的可扩展性。4 系统规划设计基于以上因素，本次昆山市开发区兵希中学数字化校园网建设建议按照以下思路进行网络规划，将网络升级为一套安全的可管理的数字化校园网络，整网拓扑图如下：核心层设计: 共计1台核心设备锐捷 8606E-S。 核心设备配置24端口千兆/百兆以太网光接口板，其中8端口可光电复用。 配置相应数量的千兆光模块连接楼层接入设备。 配置双电源，提供冗余保护。接入层设计:终端用户采取百兆兆接入，千兆上行的接入交换机。用24/48口百兆交换机作为接入设备，设备提供24/48个百兆电口，并且提供2个复用的光电口，通过千兆上行到核心设备。其中，千兆电口可作为多台交换机之间的连接之用，光纤上连至核心。24端口POE交换机，能够提供供电功能，解决无线AP等设备在安装过程中附近没有取电设施的困扰，能够通过一根网线为设备提供所需的电力。网络接入区安全设计：学校网络运行着学校的各种应用和数据，在保证对外连通的同时也要保证校园网络的安全，此次方案我们在出口部署了UTM统一威胁管理设备，UTM采用高性能的多核、多线程安全平台能够在提供传统防火墙、VPN功能基础上，同时通过购买lincense可以提供病毒防护、URL过滤、漏洞攻击防护、垃圾邮件防护、P2P/IM应用层流量控制和用户行为审计等安全功能。管理区设计:本次方案采用了锐捷智能网络管理平台iMC和WSM组件，实现交换机以及无线在内的网络设备的统一管理，IMC能够帮助学校进行资源管理、拓扑管理、性能管理、告警管理、配置管理等功能，简化设备的配置复杂度，方便老师管理。4.1 昆山市开发区兵希中学网络详细设计兵希中学学校网络是一次改造升级的网络，网络中存在原有的和新增的网络设备，根据新增网络点位和原有网络点位，我们统计如下表：机房分布新增网络点原有网络点新增无线网点体健楼20笃真楼150笃志楼42笃思楼21笃行楼60笃是楼12合计3055 有线无线一体化校园网无线网络通过无线方式实现终端的接入，所以以下我们将详细介绍无线覆盖方案。无线局域网技术经过十几年的发展，已经历了三代技术及产品的发展。第一代无线局域网主要是采用Fat AP，每一台AP都要单独进行配置，费时、费力、费成本；第二代无线局域网融入了无线网关功能但还是不能集中进行管理和配置，其管理性和安全性以及对有线网络的依赖成为了第一代和第二代WLAN产品发展的瓶颈，由于这一代技术的AP储存了大量的网络和安全的配置，包括加密的钥匙，Radius client的安全密码 (secret) 等，而AP又是分散在建筑物中的各个位置，一旦AP的配置被盗取读出并修改，其无线网络系统就失去了安全性。另外由于AC或无线网关的硬件多数是基于Pentium架构的，所以当用户接入数量 (IP sessions)增多时，无线网的性能会急剧下降，时常会发生掉线或死机情况。在这样的环境下，基于无线交换机技术的第三代WLAN产品应运而生。第三代无线局域网采用无线交换机和FIT AP的架构，对传统WLAN设备的功能做了重新划分，将密集型的无线网络和安全处理功能转移到集中的 WLAN 交换机中实现，同时加入了许多重要新功能，诸如无线网管、AP间自适应、无线安管、RF监测、无缝漫游以及Qos。，使得无线局域网的网络性能、网络管理和安全管理能力得以大幅提高。下表为FAT AP与FIT AP两种组网方案对比:基于以上对比，我们可以看到不管是安全性还是可管理性以及其他业务能力，胖AP的模式远比不上瘦AP的部署模式，所以此次校园网路的建设我们采用瘦AP的部署方案，这也是目前主流的部署方案，符合网络发展趋势。5.1.1 无线网络组网方案无线网络采用802.1x和Portal等多种认证方式。用户接入无线网通过局域网来访问Internet。基于网络的先进性考虑,本次项目采用目前主流的无线控制器+瘦AP的架构,在实现对学校进行无缝覆盖的同时,又能够实现对无线网络的灵活管理配置,提高网络维护效率。此次采用的是锐捷 RG-WS5708无线控