普教教育城域网解决方案建议书

第四代教育城域网整体规划建议方案 1 88 X X X X 教教 育育 城城 域域 网网 整体规划建议方案整体规划建议方案 文档说明 文字部分为黄色标记的内容 需要根据实际的项目情况进行修改 锐捷网络有限公司 20XX 年 XX 月 第四代教育城域网整体规划建议方案 2 88 目目 录录 1教育城域网概述教育城域网概述 5 5 1 1教育信息化概述 5 1 1 1全球基础教育信息化发展历程 5 1 1 2我国基础教育信息化建设路线图 5 1 1 3我国基础教育网络的建设现状 6 1 2教育城域网的建设历程 7 1 3教育城域网的业务应用 10 1 4教育城域网整体规划思路 10 2XXXX 区教育城域网的需求分析区教育城域网的需求分析 1212 2 1XX 区教育城域网网络现状 12 2 2XX 区教育城域网需求分析 13 3XXXX 区教育城域网整体解决方案区教育城域网整体解决方案 1515 3 1XX 教育城域网建设整体设计概述 15 3 2教育城域网建设有三个主要步骤 17 3 3基础网络的完善 18 3 3 1教育城域网核心升级优化 18 3 3 2教育城域网的出口安全 19 3 3 3教育城域网数据中心 19 3 3 4无线教育城域网 19 3 4教育城域网的运维管理 19 3 5教育城域网实名制管理 20 3 6应用的整合优化 20 4XXXX 教育城域网详细设计方案教育城域网详细设计方案 2121 4 1核心骨干网高性能冗余设计 21 4 1 1虚拟化核心骨干网 21 4 1 2虚拟核心 VSU 22 4 1 3设备高可用设计 23 第四代教育城域网整体规划建议方案 3 88 4 1 4设备 99 999 的可靠性保障 23 4 1 5设备部件无单点故障 24 4 1 6引擎切换无中断 24 4 1 7教育城域网核心骨干交换机硬件自保护 25 4 1 8智动安全防御 26 4 2核心骨干网 IPFIX 流量管理 27 4 2 1IPFIX 技术简介 27 4 2 2IPFIX 技术组网 28 4 2 3IPFIX 技术实现 29 4 3教育城域网安全 29 4 3 1出口安全 29 4 3 2端点安全功能 37 4 4教育城域网数据中心设计方案 39 4 4 1教育城域网数据中心架构 40 4 4 2方案特点 42 4 5无线教育城域网 42 4 5 1无线教育城域网架构图 43 4 5 2高性能的组网架构 43 4 5 3业界领先的技术标准 44 4 5 4高稳定性 45 4 5 5集中式统一管理 46 4 5 6高安全性 48 4 5 7面向未来的无线增值应用 51 4 6教育城域网运维管理 53 4 6 1锐捷网络 ITIL 运维管理服务 54 4 6 2IT 监控管理系统 55 4 6 3锐捷 IT 运维服务 63 4 6 4教育城域网运维管理解决方案的特点 66 4 7教育城域网实名认证与流控 68 4 7 1系统框架设计 68 第四代教育城域网整体规划建议方案 4 88 4 7 2教育城域网实名制认证设计 69 4 7 3教育城域网实名制访问权限控制 70 4 7 4教育城域网实名制流控 72 4 7 5教育城域网实名制日志审计 72 4 8教育城域网网络层及应用层单点登陆设计 74 4 8 1教育信息化业务系统使用的挑战 74 4 8 2单点登陆解决方案 75 4 8 3网络层及应用层单点登陆实现的效果 77 4 8 4锐捷单点登陆设计的特点 77 4 9学校接入网络设计 78 4 9 1数字化校园的安全设计思想 79 4 9 2智能安全防御 80 4 9 3出口关键技术分析 81 5产品介绍产品介绍 8484 5 1项目产品 84 5 2产品简介 84 6锐捷锐捷 ITIT 运维服务运维服务 8585 7锐捷网络在教育行业的关注锐捷网络在教育行业的关注 8989 7 1锐捷网络简介 89 7 2连续三年教育行业占有率排名第一 90 7 3锐捷网络优势概述 91 第四代教育城域网整体规划建议方案 5 88 1教育城域网概述教育城域网概述 1 1教育信息化概述教育信息化概述 1 1 1全球基础教育信息化发展历程全球基础教育信息化发展历程 自 20 世纪 90 年代以来 世界各国都在加快教育现代化的步伐 教育信息化程度的 高低已成为当今世界衡量一个国家综合国力的重要标志之一 1 1 2我国基础教育信息化建设路线图我国基础教育信息化建设路线图 伴随着信息技术的不断发展 信息化教学应用及业务的不断丰富 以及教师信息技 术能力的不断提高 我国基础教育信息化建设也迎来了一个又一个高峰 第四代教育城域网整体规划建议方案 6 88 1 1 3我国基础教育网络的建设现状我国基础教育网络的建设现状 纵观我国各区域的教育信息化建设现状 基础教育的网络建设 主要包括以下三个 大的方面 教育城域网 主要是构建一个市教育局 区县教委 学校的三级教育信息网络平台 形成具有教育信息资源共享及教育电子政务等功能的高带宽传输的区域教育网络核心骨干 第四代教育城域网整体规划建议方案 7 88 平台 校校通工程 主要内容是全市各区县所有教育事业单位的校园内网络建设 这部分 网络接入教育城域网 并接受教育城域网的统一规划和管理 重点中小学校园网 这部分学校的教育信息化建设较为成熟 相关的教务考务的业 务应用也较为丰富 其学校自身的信息化水平较高 有能力规划 管理和完善学校的校园 网络 1 2教育城域网的建设历程教育城域网的建设历程 随着教育信息化建设的不断发展 按照教育城域网的建设的特点可分为四代 1 第一代 松散模式 拓扑图如下 网络情况 各学校通过 ADSL 等拨号方式接入电信等 ISP 线路带宽在 512K 2M 之 间 学校通过电教馆主页访问内部简单资源 业务应用 满足学校基本的上网功能 主要是网页 文本 即时通讯等基础应用 管理情况 区县电教馆对各学校网络建设基本不干预 网络建设 各个学校独立建设校园网 教育局没有统一的城域网规划和建设 2 第二代 混合模式 拓扑图如下 第四代教育城域网整体规划建议方案 8 88 网络情况 各学校通过 ADSL MSTP 等方式接入电信等 ISP 线路带宽在 2M 10M 之间 所有接入学校与区县电教馆之间通过 VPN 方式进行互联 大多数学校都要通过 区县电教馆统一出口 业务应用 除了满足学校基本的上网需求外 还开展了电子政务系统 学籍管理 系统等业务应用系统 管理情况 由电教馆统一规划和部署 对于学校校园网的管理 仅管理到出口设 备 网络建设 由教育局主导进行基础网络的建设 包括教育城域网的网络骨干 网 络出口 数据中心等 3 第三代 统一模式 拓扑图如下 网络情况 整个城域网的建设通过自建 租用裸光纤或运营商提供专网等形式来 完成 各学校接入城域网的带宽在 100M 1000M 之间 所有接入学校通过区县电教馆统 一出口 业务应用 除了满足学校基本的上网需求及常规教学业务应用外 还开展了如视 第四代教育城域网整体规划建议方案 9 88 频会议 视频教学 电子巡考等高带宽需求的业务 管理情况 由区县电教馆对整网进行统一规划和部署 包括校园网的安全与故障 有线 无线 VPN 等多种接入方式的统一管理 网络建设 教育局除了进行教育城域网的网络骨干 网络出口 数据中心等基础 网络建设外 还会涉及无线校园网建设 无线城域网建设等 会更关注业务支撑平台 的优化 包括教育城域网的运维管理 网络实名认证体系等 4 第四代 融合模式 拓扑图如下 网络情况 整个城域网的建设通过自建或租用裸光纤等形式来完成 所有接入学 校通过区县电教馆统一出口 支持有线 无线 VPN 等多种方式的统一接入 业务情况 基础教育信息化业务系统建设不断完善 业务系统的应用不断扩大 更关注多个业务的有效整合 实现业务层的统一单点登录 管理情况 区县电教馆除了对整网进行统一规划和部署外 更关注教育城域网的接 入是否可控 日志审计是否能定位到人 是否能区分师生的访问服务 及是否能保障 用户良好体验等与实名身份认证管理相关的问题 网络建设 教育局除了基础网络建设 业务支撑平台优化外 更关注网络后台建 设及应用的整合 包括统一实名身份认证平台的建设 实现网络及应用层的单点登录 等 第四代教育城域网整体规划建议方案 10 88 综上所述 教育城域网建设的发展具有明显的阶段性 从松散走向混合 从混合走 向统一 从统一走向融合 是教育城域网的发展历程与趋势 而教育城域网的建设模式决 定了教育业务应用的情况 城域网管理的需求及基础网络建设的重点等 随着教育城域网 的不断升级和完善 教育城域网上的业务应用也将越来越丰富 1 3教育城域网的业务应用教育城域网的业务应用 根据业务应用类型的不同 可以将教育城域网现有系统分为以下三大类 随着业务应用系统的不断丰富和资源建设的不断升级 原有的教育城域网建设将迎来 新一轮的挑战 面对这些新的挑战 教育城域网的建设与升级已经不是简单的网络设备的 搭建 如何构建一个能够更好服务于教育业务应用系统的教育城域网已经成为了各教育信 息化主管部门的关注热点 1 4教育城域网整体规划思路教育城域网整体规划思路 第四代教育城域网整体规划建议方案 11 88 教育城域网建设有三个主要步骤 包括基础网络完善 业务支撑优化 应用整合优化 松散模式下 各学校独立建设基础网络 各自为政 混合模式下 客户更关注基础网络的完 善 包括四个方面 有线网络改造或完善 网络出口优化 数据中心建设及智能无线网络 建设 统一模式下 客户更关注业务支撑平台的优化 他们将更多考虑业务运维管理 基 于实名身份的认证管理体系建设 融合模式下 客户关注各种应用的整合优化 实现网络 层和应用层的单点登陆 通过分析教育城域网的四种模式 三个步骤及七个方面的关系 融合模式是教育城域 网的发展趋势 具有技术领先性及保障用户良好体验的特点 那么 如何建设融合模式的 教育城域网呢 如何整体规划教育城域网的建设呢 第四代教育城域网整体规划建议方案 12 88 2XXXX 区教育城域网的需求分析区教育城域网的需求分析 2 1XXXX 区教育城域网网络现状区教育城域网网络现状 XX 区教育城域网现状如下图所示 区教育城域网包括区电教馆核心网络和区市中重点 中学网络 同时向下连接到 12 个旗县中小学网 每个县中学 小学用户约有 7000 使用人 员 区教育重点市中学有 5000 使用人员 教教育育网网 区区电电教教馆馆 FWFW 12个个县县学学校校网网络络 区区数数据据中中心心省省重重点点中中学学 区域教育城域网骨干网络区域教育城域网骨干网络 XX 区教育城域网络建设集中在 1999 2004 年间 广域骨干网采用星形结构 12 个 区县中重点中学网络通过光纤 专线连接到区域核心交换机上 区域县中其他中小学 偏 远学校通过专线 租用的光纤连接到县中重点中学 区重点中学直接通过 1000 兆光纤连接 到区核心网络 核心设备采用较早的北电三层网络设备 部分区县学校核心设备采用北电 三层网络设备与二层设备 部分区县学校核心设备采用锐捷三层交换机 2004 年建设的中 学网络 区各县中小学校园网络区各县中小学校园网络 区县学校网络分为两个时间段建设 一部分是与区电教馆于 1999 年 8 月同时建设的 设备也是通过区电教馆同意采购 一部分是于 2004 年随着农远工程同时建设 设备也是由 区电教同意采购 所采购设备是锐捷三层交换机与二层交换机 各个区县学校网络为二层 设计 核心层直接与区电教馆中心核心设备连接 接入层提供学校师生 PC 的接入 第四代教育城域网整体规划建议方案 13 88 教育城域网出口情况教育城域网出口情况 区电教管没有进行对网络出口进行设计规划 目前网络出口采用 100M 链路连接到运营 商网络提供 Internet 上网服务 通过 10M 专线连接到教育网 网络出口分别通过防火墙作 为安全防护设备 防火墙设备为比较早的天融信防火墙 应用业务系统情况应用业务系统情况 随着信息技术不断发展 区域和各校的业务相应上线使用 包括学校 OA 系统 学籍管 理 视频会议 电子政务 电子巡考等 应用业务的不断完善目前的教育城域网已无法满 足业务系统的需求 2 2XXXX 区教育城域网需求分析区教育城域网需求分析 区教育城域网骨干网需求区教育城域网骨干网需求 目前核心设备属于北电早期产品 产品早已停产 网络平时应用的过程中经常出现设 备宕机 而导致全网中断 由于产品厂家原因目前的所有该厂家的服务已经中断 而由于 电教管管理人员技术薄弱无法解决故障问题 因此每当设备出现宕机后就需要重启设备 大大影响了所有业务的使用 由于网络设备性能 链路 流量管理等问题 经常导致区电教管与各县学校的视频会 议 电话会议等无法开展 甚至有时连学校的 OA mail 学籍管理 电子政务等关键业务 也受到了影响 目前城域网络一部能满足扩容需求 部分学校在 2004 年以后想直接接入到区域核心网 络 但由于核心网络设备已无接入端口 而只能接入到就近的中学或小学 区教育城域网 核心设备老化 性能低 已无扩展等对整体教育信息改革带了很大的阻碍 区教育城域网出口需求分析区教育城域网出口需求分析 随着信息技术的不断发展 信息数据的安全等 网络出口是一个教育城域网网络安全 的关键关卡 分析当前该区网络出口情况 网络出口有多条链路 安全设备只能做最基本 的安全攻击防御和网络三层的安全防护 不能完全做到对内部业务应用 终端用户 PC 使用 的安全防护 在网络中经常遇到黑客的攻击 门户网站被黑和挂马 网络出口带宽不足网 络出口对数据的处理能力差 网络出现安全事件后不能及时定位 不能满足公安部的安全 事件审核等 众多安全问题使得我们教育城网的各级领导和管理人员感到很头疼 区教育城域网数据中心需求区教育城域网数据中心需求 第四代教育城域网整体规划建议方案 14 88 自建网以来去电教管数据中心没有通过统一的规划和部署各种业务系统 因此电教管 数据中心的服务器 存储等都是随时采购 在每次部署数的过程中比较麻烦 由于设备复 杂和老化 而导致数据中心的数据存在随时崩溃状态 多年中数据中心的隐患也曾消除 数据中心业务应用已增至 30 种 数据中心服务器性能差 也经常造成业务在各校同一 时间内访问量过大的时出现业务系统反应较慢 偶尔还会出现死机 区教育无线城域网需求区教育无线城域网需求 随着笔记本终端的普及 无线视频设备 语音设备等在学校逐渐的应用 现有有线网 络 已不能满足业务和师生的需求 分析当前教育城域网的现状和未来的发展 建立无线教育 城域网主要体现如下几个方面 无线网络的性能和稳定性逐渐提高 成本逐渐下降 在很多老的教学楼有线部署困难 采用无线接入更方便 笔记本逐渐普及 而且未来无线视频监控的应用 三网融合等因素 将为师生的无线 网络应用带来更多便利和更好体验 区教育城域网运维管理需求区教育城域网运维管理需求 越来越多关键业务应用系统的大规模使用 对教育城域网的运维和管理能力提出 了更高的要求 网络应用越复杂 涉及到的层面越多 整个网络也就越脆弱 如何保 障关键应用的顺畅运行就成为突出的问题 各学校网络维护能力有限 教育信息中心缺乏有效的网络运维和管理的工具 网络资源滥用现象难以管理 恶意网络攻击难以及时定位解决 出现紧急事件时 网络性能难以保证应急响应的顺利运行 无法保障关键业务的可用性 缺少整体规范的主动网络安全管理手段 区教育城域网实名制身份认证需求区教育城域网实名制身份认证需求 目前区教育城网中没有良好的认证管理体系 各校随意接入网络 针对各个学校 的接入无法控制 无法区分师生身份 造成业务系统 网络应用等混乱使用 而造成 第四代教育城域网整体规划建议方案 15 88 一下几点问题 公安部 82 号令 教育主管部门的网络安全要求 需要落实相关日志审计的安全措施 虽然目前已部署上网行为管理产品 然而 只能记录 IP 地址 难以真正满足审计要求 出现安全事件 难以定位到人 有没有办法解决 城域网的终端接入不可控 一条网线便可接入各学校的终端 安全隐患大 甚至 很 多学校把家属楼接入教育城域网 导致城域网出口带宽不足 有没有办法屏蔽这些用 户 用户在网上发表不良言论 出现安全事件后 日志审计难以真正定位到人 若发生公 众事件会严重影响教育局的形象 针对难以定位到人的问题 若采取 IP MAC 绑定 工作量大 老师移动办公不方便 如何解决 IP 地址滥用或内网病毒 IP 地址冲突 导致网络中断 影响业务的正常运行 该如何 解决 区教育城域网多业务统一门户单点登录需求区教育城域网多业务统一门户单点登录需求 数据中心业务应用有 30 多种 其中有部分业务需要用户账号口令登陆使用 另一部分 可直接使用 针对众多业务使用是神需要维护自己每一个应用的账号信息 对于管理员也 一样要进行建立和删除账号也相对麻烦 太多账号密码 不容易记忆 老师有时候连业务系统的登陆地址都记不住 登录频繁 每个业务系统都要多次输入密码 操作繁琐 IT 管理人员账号管理工作繁杂 账号管理工作量大 账号管理不能及时 用户信息不一致 每个系统都有一套独立的用户数据库 管理员要对每套系统中的用 户进行分别管理 工作量大 3XXXX 区教育城域网整体解决方案区教育城域网整体解决方案 3 1XXXX 教育城域网建设整体设计概述教育城域网建设整体设计概述 第四代教育城域网整体规划建议方案 16 88 根据对教育城域网业务应用系统的分析 本方案提出了第 4 代城域网建设方案 总拓 扑结构图如上图 解决方案构架涉及多个应用模块 实现不同模式 不同优化支撑功能 结合到 XX 教育城域网现状 以及满足当前的认证 安全等应用需求 方案建设可 分布实施 初次部署模式如下 第四代教育城域网整体规划建议方案 17 88 部署模式简介 XX 区教育信息中心部署 1 套 radius 身份认证系统 1 套 web portal 认证门户系统 各校出口部署 1 台 EG 融合易网关设备 各 EG 设备和信息中心 radius web portal 系统对接 实现信息交户 以及认证策略 实名信息同步下发 学校用户可分类 2 类 一类需要进行严格的安全控制 如补丁更新 软件黑白名单控 制 杀毒软件联动等端点准入功能 如机房电脑 重视安全功能的学校 另一类客户 要 求网络简单使用 同时安全隐患小的客户群 可考虑只使用 web portal 实名认证 不进行 强制的安全控制 方案可灵活实现两类用户 若需严格安全准入用户 只需安装强客户端 SA 进行主机 安全检查控制即可 同时使用客户端软件进行实名认证 对网络简单使用要求高的客户 可考虑不安装客户端 直接使用 web portal 认证即可 3 2教育城域网建设有三个主要步骤 教育城域网建设有三个主要步骤 基础网络完善 业务支撑优化 应用整合优化 网络建设示意图网络建设示意图 第四代教育城域网整体规划建议方案 18 88 基础网络的完善包括四个方面 有线网络改造或完善 网络出口优化 数据中心建设 及智能无线网络建设 业务支撑平台的优化包括 业务运维管理 基于实名身份的认证管理体系建设 应用的整合优化 实现网络层和应用层的单点登陆 3 3基础网络的完善基础网络的完善 3 3 1教育城域网核心升级优化教育城域网核心升级优化 结合教育系统的相关业务及应用 采用以下两种技术来构建和完善教育城域网的骨干 核心网 高性能冗余的万兆核心高性能冗余的万兆核心 核心设备采用当今高端路由交换产品 关键硬件达到冗余如 引擎 风扇 电源 核 心业务办卡采用模块配置 能够很好的提供今后的扩展 核心骨干网络设计为高容错功能 核心骨干网络故障时间楼层汇聚交换机 大汇聚交换机 核心交换机最终到达无线控 制器 现有无线控制器的冗余备份技术和 AP 的双上联技术只能解决上述过程中两端节点的 可靠性 而对于中间的 2 3 级交换机上联链路却无能为力 所以 一旦楼层汇聚 大汇聚 交换机的上联链路出现问题 将直接导致一栋楼 一个校区的无线网络完全瘫痪 这对于 一个运营级的无线网络来说是致命的 在无线网络的稳定性方面 除了通过 N 1 的控制器冗余技术来保障核心层无线控制器 的高可用性外 锐捷智能转发架构还提供了一种在无线控制器下联链路失效 或者 AP 的汇 聚上联链路失效 情况下 依然能保障无线网络正常运行的解决方案 如图所示 无线网络采用集中式的认证和分布式数据转发模式 当 AP 上联的交换机与 无线控制器的链路出现中断时 AP 会在超时间隔内尝试与无线控制器重新建立连接 一旦 超时 AP 不再发送 beacon 帧或者响应用户的 probe request 请求 此时 AP 进入 standalone 模式 在这种模式下 已经连接在 AP 上的用户仍然在线 并且可以访问本 地网络的资源 直到中断的链路恢复 AP 重新与无线控制器建立心跳连接 无线业务恢复 正常 AP 重新接受新用户的关联申请 第四代教育城域网整体规划建议方案 45 88 4 5 5集中式统一管理集中式统一管理 集中式统一控制和管理集中式统一控制和管理 对于 XX 教育城域网规模如此庞大的无线网络来说 管理是非常重要的事情 从 RF 射 频覆盖状态的监测 无线链路的带宽的监测 用户认证的异常报警 无线接入安全等都需 要考虑 无线局域网是一个整体系统 无线接入点之间必须互协调工作 单独改变一个无 线接入点的参数和配置 可能会会引起无线接入点之间的无线电波干扰 用户漫游重认证 和授权也可能会产生问题 因此集中控制和管理显得非常必要 锐捷网络有线无线一体化网管系统 RG SNC 为网络管理提供了灵活的选择 具备良好 的扩展性 能够满足客户网络管理不断发展的需求 基于 Web 的管理系统 为网管人员提 供了易用性极强的管理平台 通过与 SNC 系统平台的配合 还可实现无线设备的面板管理 故障管理 性能监控 软件版本管理 配置文件管理 接入用户管理 用户认证管理等功 能 并可对网络中的其它设备进行统一管理 真正实现有线无线一体化管理 有线无线统一平台管理有线无线统一平台管理 RG SNC 可对无线网络中的无线控制器和无线接入点等设备与有线网络设备进行一体化 集中管理 网管人员对全网设备信息和状态可随时全盘掌握 通过整体拓扑监视 多视图 唯独的监视和分组管理 可将客户的大规模部署无线网络设备进行集中化的控管 第四代教育城域网整体规划建议方案 46 88 无线网络健康度管理无线网络健康度管理 RG SNC 可自动创建系列无线接入点配置文件 统一远程配置 AP 的射频功率 无线信 道分配等参数 并可实时与设备保持配置信息的同步与更新 通过 RG SNC 中强大的四维监视工具 可实时统计和监视全网的设备工作状态 资源 利用 威胁告警 信道使用情况 实时流量等多维度状态 全部以统计图形直观显示给网 管人员 特别便利于网管人员的日常管理工作 第四代教育城域网整体规划建议方案 47 88 无线射频管理无线射频管理 RG SNC WLAN 组件可按照连续 按计划或按需进行射频扫描 并根据需要运行扫描以探 测和定位非法无线接入点 非法用户和非法网络 并及时向网管员告警并给出处理建议 无线控制器支持先进的智能化无线电射频监测和调控能力 可确保某个 AP 发生故障时 附 近的 AP 可以自动检测黑洞 并自动的调高发射功率来暂时缓解故障 AP 产品的盲区 这种强大的射频监测能力不仅表现在对大规模无线网络的管理工作中 即便是在初次 安装无线网络时 网管人员也可以在网络中心机房 通过无线控制器来自动调节整网所有 AP 的射频参数 比如频率 信道 功率等 AP 之间会自动协调射频参数 直到相邻的无线 接入点之间达到最优无线电射频运行环境 并把最终调整结果返回给无线控制器 网管人 员就可以实时看到射频环境的现状 并决定是否继续调整或手动单独调整 4 5 6高安全性高安全性 锐捷网络推出的智能无线解决方案 将所有的安全策略全部集中到无线控制器上统一 发布和控制 包括用户身份认证 入网行为控制 安全加密 病毒库 无线入侵检测 无 线电射频管理等 网管人员只要在无线控制器配置安全策略 就可以轻松地完成整网的安 全策略 第四代教育城域网整体规划建议方案 48 88 用户身份鉴别用户身份鉴别 为了保障网络的安全性 首先需要对于接入的用户进行身份认证 接入控制模块主要 是对用户的身份进行认证 和进行一定力度的控制 XX 教育城域网将对于无线认证采用 web 的认证方式进行认证 一个方面是减少客户端部署的复杂性 第二个方面是降低用户 的使用难度 对于 web 方面 通过心跳机制确保对用户在线情况的探测 防止用户异常下 线而造成的挂死情况发生 同时保障计费的准确性 而对于校内大量存在的 PDA Iphone 等 wifi 终端设备 由于操作系统的差异化 web 认证将不再具有广泛的兼容性 针对这种 应用 可以采用基于 MAC 地址的用户身份认证 从而实现全网统一的用户身份鉴别系统 基于用户的访问控制策略基于用户的访问控制策略 无线防火墙是锐捷网络无线控制器的独特功能 它是根据无线用户的接入特性而设计 的 无线防火墙与用户认证捆绑在一起 当无线用户成功通过认证后 他将会获得一个用 户属性 不同的无线用户有不同的策略 例如老师和工作人员可以使用更多的服务 而学 生只可以浏览网页 收发 Email 等 这样可以极大方便了校园网用户的安全管理 除了支持丰富的防火墙策略 无线控制器还提供基于用户身份的服务 以使用户在漫 游时具有诸如虚拟专用组成员资格 访问控制列表 ACL 认证 漫游策略和历史 位置 跟踪 带宽使用以及其他授权等内容 还可告知管理人员哪些用户已连接 他们位于何处 他们曾经位于何处 他们正在使用哪些服务以及他们曾经使用过哪些服务 第四代教育城域网整体规划建议方案 49 88 无线入侵检测系统无线入侵检测系统 无线网络由于使用空中的无线电射频信道工作 因此基于无线网络的入侵防护显得尤 为重要 这其中包括非法无线设备的防范与非法用户攻击的防范 非法设备可能侵占合法 AP 的正常信道工作 这样不但会对合法的无线接入点产生干扰 由于非法设备往往不具备安全功能 还会将非法用户间接带进有线网络中 锐捷智能无线 解决方案可以控制每台 AP 动态扫描其所处的环境 并将扫描到的设备信息送交无线控制器 及网管平台 这样网络管理人员即可实时发现是否有非法无线接入点存在 随后可以开启 自动保护机制 阻止无线用户通过非法无线接入点进入无线网络 另一种重要威胁是非法无线用户对合法 AP 的入侵 互联网上可以轻易地下载到很多无 线入侵和攻击工具 而原先传统的无线接入点设备均都没有侦测无线入侵的功能 所以当 受到像无线 DOS 攻击时 就会误以为是无线电波的信号受干扰或 AP 出现不稳定情况 这些 攻击将会导致用户的无线连接断线 但网管人员却无法在第一时间得到报警 利用锐捷网 络内置的 WIDS WIPS 技术 可以实时检测异常的无线数据包 当无线系统侦测出有入侵时 它会记录和显示入侵的格式 并对入侵做出自动保护响应和报警 并提醒网管人员注意并 提示相应的解决措施 一体化病毒 攻击防护系统一体化病毒 攻击防护系统 锐捷网络无线解决方案与锐捷全局安全解决方案 GSN 之间能够实现一体化联动 当无线终端试图访问网络 在该用户认证之前 需要下载一个 GSN 终端程序 可以对 无线终端的操作系统打补丁的情况 安装防病毒软件的情况 以及防病毒定义码升级的情 况 做一个检查 如果不能通过检查 可以设定策略禁止其访问网络 也可设置成将无线 用户重定向到一台升级服务器 打系统补丁 安装防病毒软件和升级病毒定义码 满足系 统制定的安全策略以后 该无线终端才可以进入认证环节进行用户的认证 通过了准入检查后 但是如何对无线终端发出数据进行有效的检查和监控是更加进一 步的病毒防护手段 通过和第三方的防病毒厂家合作 锐捷网络的智能无线交换机产品 MX 系列产品可以允许设定策略 对于某些用户以及某些可能沾染病毒的数据 将其重定向到 第四代教育城域网整体规划建议方案 50 88 防病毒设备上进行防病毒检查 检查完成后 才允许通过 否则会将数据丢弃 4 5 7面向未来的无线增值应用面向未来的无线增值应用 本次 XX 教育城域网无线网络的设计采用了集中式的认证管理和分布式数据转发架构 无论是从无线控制器和无线 AP 以及网管平台方面 都具备强大的可扩展性 无线控制器集 群技术能够保证在未来网络扩容时 新加入的无线控制器与现有无线控制器进行虚拟堆叠 分布式的数据转发架构 即使未来面对单路三条流且高达 600Mbps 速率的 802 11n AP 也 仍然能够承担起高速数据转发的任务 基于无线的增值应用基于无线的增值应用 借助无线控制器众多的开放性接口 未来可通过无线控制器与网管系统进行无线定位 无线语音 无线视频等增值性应用 永不漏接的办公电话永不漏接的办公电话 作为校园内的教职工而言 办公通信方式一般是两种 办公桌上的座机电话 随身携 带的手机 处于个人隐私或者电话费用的考虑 一般教职工们不会将手机号码公布给校外 人士 一般只会公布其办公座机号码 这样就会出现一些问题 如果校外真有重要的急事 要联络这位教职工 而他由于开会 在别的办公室办公等原因不在自己的办公桌前 就有 可能会错过这个重要的电话 另外 对于某些学校 也会存在每个学期教职工经常更换办 公室 座机电话必须不断地随之进行调整 在传统的有线网络时代 虽然通过部署基于有 线网络的 VoIP 电话 可以解决教职工更换办公室带来的烦琐的电话程控交换机频繁调整的 困扰 但是却无法解决漏接办公电话的问题 在已经部署了无线办公网络的时代 将无需担心这个问题 只要将教职工的办公座机 更换成支持无线网络的移动话机 即 VoWLAN 话机 就成为基于无线网络的 VoIP 每个教 职工的无线话机仍然是内部号码 不论他离开自己的办公桌去开会或办事 只要身处于无 线网络的覆盖下 就永远不会错过那些重要的电话 这一重大的变革 未来将会极大地优 化校园办公的效率 第四代教育城域网整体规划建议方案 51 88 校园的无线电话的运营校园的无线电话的运营 目前的有线网络时代 校内的学生只能使用运营商的手机网络 并交费给手机通讯网 络运营商 这对于学生而言本身也是一笔不小的支出 部署了校园无线网络之后 由于无线网络本身就能很好的支持无线语音的通信 随着 支持无线技术的手持电话的价格越来越低 最终将会低于 GSM 手机的价格 将会逐渐成为 学生可以承受的范畴 只要学生购买了这种移动话机 只要利用学校已经存在的无线网络 就可以免费的在校内或者校区之间免费的通话 学校也可以因此成为校园电话运营商 如 果学生需要对校外打电话 通过学校与校外手机运营商的协商和网络融合 同样可以实现 校内打校外电话 学生从校内走出校外的电话网见的切换 真正实现校内数据通信网与校 外通讯网的融合 无处不在的移动视频服务无处不在的移动视频服务 移动视频服务当前在各大城市已经开始试点和探索 该业务的前提条件就是必须具备 完善的无线网络覆盖 而这一前提条件 在已经部署了无线网络的校园内最容易得到满足 在大型高校的很多场合都会留下这类应用展示其强大魅力的舞台 比如 大型高校校内公 共汽车上的视频节目和广告播放 运动场内随时安放的赛事直播 校内文化广场为师生提 供视频节目欣赏的液晶屏幕 校内停车场的视频监控 学校考场临时搭建的考场视频监控 等等 都对视频服务的实时性或搭建的临时性提出更高的要求 而这一切的要求 都可以 利用已经部署完成的校园无线网络逐一实现 以人为本的虚拟网上展厅以人为本的虚拟网上展厅 如果把校园比做一个企业来看 学校也需要通过不断的宣传自己来获得社会各界的关 注和扶持 如同展览会中各个企业都会通过液晶屏幕播放宣传自己的 Video 政府也会在 城市的人群密集的街道放置城市信息亭向游人宣传城市特色 国内开始有部分营销意识创 新的高校 开始尝试通过虚拟网上展厅来宣传自己 如果校外人员未到学校之前 可以在 校园主页通过虚拟网上展厅的宣传 Video 提前了解学校的基本概况 如果已经步入校园的 来访人员 则可以通过学校精心设计 放置于路边显示屏上播放的宣传 Video 来了解学校 第四代教育城域网整体规划建议方案 52 88 的基本概况 院系设置 招生信息 近期荣誉等等 给社会多一个现场了解学校的机会 这种看似复杂的模式 其实只要通过已经部署完成的无线网络 这些液晶屏幕就可以随时 在校园相关管理人员的管理下不断地通过无线网络点播相应的视频服务器资源 大量的宣 传校园的实时性 Video 就会经常的出现在校外来访者面前 而且可以根据来访者的不同身 份 如上级领导视察 校外专家重要会议 兄弟院校观摩学习 承办重大活动赛事演出等 等 不断地变换欢迎内容 完全取代原有的纸张 横幅 展板等传统方式的投入和不灵活 将校园信息化水平提高到一个受人称赞的榜样 4 6教育城域网运维管理教育城域网运维管理 由于信息化建设日益复杂 越来越多学校开始关注 IT 治理和 IT 服务管理方法 ITIL 作为业界最先进的 IT 服务管理实际标准和国际标准 有唯一通过 ISO IEC2000 认证的 IT 服务标准 通过整合 IT 服务与信息化系统 可非常有效的提高学校 IT 服务支持的能力和 水平 ITIL 近年在中国十分流行 在政府 金融 大型企业 信息化程度较高的学校 已成为解决 IT 部门管理 提高 IT 服务满意度的必备工具 各学校网络维护能力有限 教育信息中心缺乏有效的网络运维和管理的工具 网络资源滥用现象难以管理 恶意网络攻击难以及时定位解决 出现紧急事件时 网络性能难以保证应急响应的顺利运行 无法保障关键业务的可用性 缺少整体规范的主动网络安全管理手段 如何建设一个全局的 统一的关键网络业务安全保障体系 已经成为保障区域教育信 息化可持续发展的核心问题 4 6 1锐捷网络锐捷网络 ITILITIL 运维管理服务运维管理服务 锐捷 RIIL V3 IT 运维管理平台能够帮助实验学校整合支离的 IT 服务 实现由局部 单项 按部门开展运维服务向全局的 一体化的 IT 运维服务 能够帮助实验学校由被动的 救火 的服务转变成科学有效的流程服务化管理 能够帮助学校从根本上解决传统运维 第四代教育城域网整体规划建议方案 53 88 工作中所存在的基础台帐管理不规范 故障发现和解决滞后 运维知识不能共享 设备资 产底数不清等突出问题 RIIL V3 IT 运维管理平台带来的不只是管理软件本身 还为用户 带来了 IT 管理理念 系统工具 过程方法 的组合 为用户提供包括管理流程与规范 业 务及实施方法在内的全方位建设 RIIL IT 运维管理方案面对用户日益复杂的 IT 环境 整合以往对网络 服务器与业务 应用 安全设备 客户端 PC 和机房基础环境等的分割管理 实现了对 IT 系统的集中 统 一 全面的监控与管理 系统通过融入 ITIL 等运维管理理念 达到了技术 功能 服务三 方面的完全整合 实现了 IT 服务支持过程的标准化 流程化 规范化 极大地提高了故 障应急处理能力 提升了信息部门的管理效率和服务水平 锐捷锐捷 ITILITIL 运维管理服务逻辑图 运维管理服务逻辑图 通过实验学校园网系统用户环境和项目需求的分析 我公司推荐采用 RIIL IT 运维管理解 决方案中的 RIIL BMC RIIL COSS 作为基础平台 配合长期咨询 基础运维服务 定制来进一 步贴近实验学校监测和运维环境 形成一体化 实用化的解决方案 根据网络规模 业务管理需求 软件部署方式如下 根据网络规模 业务管理需求 软件部署方式如下 RIIL BMC 在实验学校校内服务器各部署一套 RIIL BMC 实现对所有校区全面管理 实现 第四代教育城域网整体规划建议方案 54 88 网络拓扑发现 网络故障管理 网络性能管理 协议分析管理 网络边界管理等功能 同时实 现对应用系统的运行状况进行监控和管理 监控的资源包括 服务器 中间件 数据库 业务 应用等资源 系统同时提供以业务和资源为中心 采用多层视图 逐层展现业务应用的运行展 现功能 RIIL COSS 在学校服务器上部署一套 COSS 用于统一运维管理 实现数据集中展现 服 务流程管理 统一信息平台 集中配置库等管理模块的功能 并将各类展现的信息在 WEB 页面 上进行有机的结合 同时通过 COSS 系统的报表模块 提供对用户自身业务报表统计的支持 4 6 2ITIT 监控管理监控管理系统系统 本建设方案采用锐捷 RIIL 平台 BMC 模块 通过数据接口和定制模块来扩充系统能力 以客户化定制来进一步贴近用户业务和服务监控环境 形成一体化 实用化的解决方案 该系统可以全面监控网络硬件 服务器 软件系统 机房环境的运行状态 并用直观该系统可以全面监控网络硬件 服务器 软件系统 机房环境的运行状态 并用直观 的方式展示给管理人员 以求提高信息化的管理水平和管理效率 的方式展示给管理人员 以求提高信息化的管理水平和管理效率 该方案的技术架构图如下 该方案主要包括以下几个组件 CENSOS 集中安全运维管理平台 CENSOS 集中安全运维管理平台是部署在教育城域网中心的一个综合安全管理软件平台 从统一认证管理 集中安全监控和关键业务监控三大角度向下管理整个教育城域网的各学 第四代教育城域网整体规划建议方案 55 88 校子系统 从各个子系统获取管理信息和实时网络安全 运行状态 并可以集中制定和下 发用户策略 安全策略和资产管理策略 它包括以下几个主要的子系统 城域网 IT 运维业务流程管理系统 IT Flow 关键业务监控中心 BMC 通过锐捷网络运维管理平台具有如下监控功能 1 业务监控 对业务系统进行分析 采集和监控 包括有 EAI 查询 WEB 应用 ETS EFS 扣 税系统 发票在线系统 社保中间库等 业务系统评估 建模 创建业务系统中各子系统的关联关系 业务卡片视图 将业务系统关联 整合并以卡片形式予以直观呈现 业务健康度 繁忙度 风险度评估模型 对业务系统进行全面 深入的监控 2 网络资源监控 360 度网络自动发现 拓扑自动计算 线路自动计算 全网及网络设备性能监控 自动发现网络瓶颈 统计网络负荷 网络故障自动发现 关联性告警信息 提供运维知识库 告警快速传达机制 网络流量监控 自动监控全网流量分布情况 支持设置阶段性流量告警阀值 3 应用资源监控 对 Windows Linux HPUX IBM AIX SUN Solaris 等主流操作系统进行工作 状态 性能状态和告警等综合信息监控 对 Oracle SQL Server MySql DB2 等主流数据库进行工作状态 性能状 态和告警信息等综合信息监控 掌握数据库从用户连接 表空间 缓冲池 内存池 连接池等诸多运行状态信息 对 WebSphere Weblogic TOMCAT JBOSS Tuxedo Apache Resin 等中间 件进行工作状态 性能状态和告警信息等综合信息监控 对基础网络应用进行状态监控 例如对 DNS FTP DHCP 等服务的工作状态和 性能状态进行监控 对地税专属业务系统进行查询和模拟访问式监控 包括有 EAI 系统 ETS EFS 扣税系统 发票在线系统 社保中间库等等业务系统的深入监控 第四代教育城域网整体规划建议方案 56 88 同时 该系统还能够面向网络业务提供关键应用的可用性报表和相关资源的性能报表 从而为有针对性地进行网络和系统优化提供决策依据 系统界面如下图所示 校园网安全管理子系统 校园网安全管理子系统是整个教育城域网安全管理系统在校园网中的实现部分 它的 建设包括了每所下属学校的校园网安全管理软件工具和基础设施 这里的软件工具包括校 园网安全管理系统 CSOS 和拥有丰富功能特性的智能安全上网小助手 SU 校园网安全管理基础设施 校园网安全管理基础设施是该系统在校园网中的网络基础设备部分 它主要包括网络 入侵检测系统 NIDS 应用控制引擎 ACE 安全认证交换机等 IT 业务监管业务监管 业务卡片 直观展示信息化建设效果 业务卡片 直观展示信息化建设效果 RIIL 平台业务卡片功能 以业务评估建模为核心 为重要业务系统建立卡片式视图 在 RIIL 平台首页进行卡片式展示 提供从网络设备层面 硬件支持层面到软件应用层面的业务卡 片视图 支持业务层次设备展示 表明资源间业务依赖关系 业务卡片能够直接提供多达 7 类的告警信息 并通过点击进入告警控制台 实时呈现所有 的网络 系统 应用 安全等告警信息 包含告警的时间 告警源 告警次数 告警类型 告 警描述等 支持运维知识库的创建和修改 并支持直接通过告警信息关联到 IT 资源的详细信息 第四代教育城域网整体规划建议方案 57 88 监测页面 业务健康度业务健康度 RIIL 平台提供业务系统的健康度监控指标 并以 K 线图的形式在主页直观显示 RIIL 平台健康度指标直接由 IT 资源实时采集而得 包含有业务系统可用性和性能状 态指标 并能记录每天不同时间段的健康度指标 形成健康度平均值 业务繁忙度业务繁忙度 RIIL 平台提供业务系统的繁忙度监控指标 并以旋转齿轮形式在主页上动态实时展示 支持查看历史性繁忙度数据 历史性数据以 K 线图形式展示 支持对繁忙度指标进行权重 比调整 并能够看到每一个指标的监测数值 最大值 最小值和监测次数 第四代教育城域网整体规划建议方案 58 88 网络网络资源管理资源管理 网络发现网络发现 RIIL 平台的网络自动发现和管理技术 借鉴和发展了国内外最新的网络拓扑动态发现 和跟踪技术 支持拓扑基线技术 通过锐捷 TLOD 智能拓扑算法准确地展现出网络的当前拓 扑情况 RIIL 平台支持全球广泛使用的 SNMP 协议 简单网络管理协议 并全面支持 SNMP V1 SNMP V2 SNMP V3 三个不同的版本 充分考虑和规划了 SNMP 协议的安全性 稳定性 和兼容性原则 通过 360 度雷达扫描视图 用户能够快速了解 RIIL 平台自动发现的各类设备的统计信息 并能够实时观测到 RIIL 平台后台的扫描和发现进程 增加对网络发现情况的掌握 网络故障监控网络故障监控 RIIL 平台根据预先设定的运行监测参数持续地监测网络系统的各项运行参数 跟踪网 络拓扑的变化 一旦网络发生故障或者拓扑发生变化就可以迅速的通过前台拓扑图反映出 来 能够展现网络设备故障事件 重要网络链路故障事件 网络协议故障事件等 出现的 第四代教育城域网整体规划建议方案 59 88 故障可以在网络拓扑图上通过节点告警的形式表现给用户 并且故障和报警事件显示在统 一的告警控制台中 可根据报警事件的重要级别 优先级 重复次数 资源名称 告警地 址等等信息 用户可以直观 快速地了解报警事件的紧要性 以帮助管理人员深入了解告 警事件 用户可以设定报警过滤器和排列顺序 用来重点关注重要的网络报警事件 网络 管理人员能够看到与每一个报警有关的所有事件 系统支持通过声音 邮件 短信等特征 提示及时告警 起到准确预警和定位故障的作用 为用户发现和处理事件提供数据信息支 持 网络拓