领航高性能校园网构建高效,安全,可控,分层的校园网

领航高性能校园网

---高效.分层.安全.可控

JuniperNetworks

2007/11/4

Agenda校园网发展趋势高性能校园网现状概述高校信息化的深入发展，无纸化办公的普及，使得网络成为工作生活不可分割的一部分互联网在提供了海量信息资源的同时，催生了各种应用系统，占据了大量的网络带宽伴随着互联网的迅速发展，各种蠕虫，攻击，木马恶意软件等等涉及网络安全的事情愈发的突出IPv6在国内高校的发展相比欧美和日本相对缓慢……今后的发展方向核心网升级校园网整体安全IPv6网络逐步部署各种数据中心，网络资源的整合……Agenda校园网发展趋势高性能校园网高效的网络结构

Copyright©2007JuniperNetworks,Inc. ProprietaryandConfidential 6当前校园网结构汇聚层接入层核心层典型的三层结构核心+汇聚+接入核心和汇聚采用三层交换机接入采用二层交换机今后校园网结构网络层次简洁两层网络结构核心层接入层接入层分校区核心层分校区校区间互联扁平化网络结构利旧利旧核心层接入层接入层接入层接入层高效的网络结构高效的的网络络结构构网络结结构扁扁平化化减少物物理和和逻辑辑级联联级数数，提提供更更加快快速的的数据据通道道扩展核核心节节点压缩掉掉汇聚聚节点点接入直直接面面向核核心，，从而而形成成扁平平化的的网络络结构构扁平化化的前前提核心设设备需需要高高性能能和大大容量量高密度度以太太网口口用以以直接接下挂挂大量量的二二层设设备Juniper专门优优化的的纯以以太网网核心心路由由器满满足校校园网MX系列列运运营营商商级级以以太太网网核核心心路路由由器器MX系列列三三个个型型号号MX960MX480MX240MX960转发发引引擎擎和和板板卡卡交换换矩矩阵阵路由由引引擎擎线缆缆管管理理托托架架风扇扇冷冷却却系系统统风扇扇冷冷却却系系统统控制制指指示示面面板板空气气进进入入部部分分MX480MX240MX960/480/240---高性性能能和和大大容容量量互联联网网应应用用的的层层出出不不穷穷，，高高校校数数字字化化的的不不断断深深入入，，校校园园网网流流量量的的迅迅猛猛增增长长包转转发发能能力力1200/600/300Mpps包转转发发能能力力交换换能能力力960/480/240Gbps吞吐吐能能力力MX960/480/240---接口口密密度度树树立立了了业业界界新新标标杆杆高密密度度每板板卡卡40GE每板板卡卡4个10GE整机机接接口口整机机480/240/120个全全线线速速GE接口口整机机48/24/12个全全线线速速10GE接口口分层层的的业业务务网网络络Copyright©2007JuniperNetworks,Inc. ProprietaryandConfidential 18多业业务务混混载载，，职职能能网网络络没没有有分分离离校园园网网现现状状教师师办办公公OA网和和学学生生网网混混杂杂使使用用增加加单单一一物物理理网网络络的的不不安安全全性性很多多高高校校有有分分校校区区和主主校校区区互互联联尤其其分分校校区区和和主主校校区区的的财财务务等等部部门门互互联联………一卡卡通通单单独独的的专专用用网网络络增加运行维护护成本分层网络-业务平面分离离教师办公OA网和学生网从管理和运行行维护角度,应该将二者分分离财务网络安全,独立的网络和分校区财务务部门互联,提高效率一卡通网络安全,独立的网络降低运行维护护成本……如何做到?Juniper逻辑路由器构构建N平面网络逻辑路由器单台路由器可可以划分出15台逻辑路由器器和1台主路由器，，路由器上的的接口可以任任意划分到任任意的路由器器中每个逻辑路由由器都有自己己的单独的路路由表和转发发表都使用ASICs来转发报文，，因此这16台路由器接口口都是线速转转发主路由器逻辑路由器主路由器学生网:LR#0教师网:LR#1一卡通网:LR#2财务专网:LR#3V6实验网:LR#4。。。:LR#5主路由器学生网:LR#0教师网:LR#1一卡通网:LR#2财务专网:LR#3V6实验网:LR#4。。。:LR#5N平面网络L2SW业务网络分层层各业务网络之之间完全隔离离,在需要互通的的业务网络之之间配置严格格的控制策略略单一物理网络络承载多业务务良好的网络扩扩展性,极大的节省投投资成本实施部署简单单,节省运行维护护成本主路由器学生网:LR#0教师网:LR#1一卡通网:LR#2财务专网:LR#3V6实验网:LR#4。。。:LR#5VLAN#600VLAN#500VLAN#400VLAN#300VLAN#13VLAN#12VLAN#11VLAN#10VLAN#600VLAN#500VLAN#400VLAN#300VLAN#13VLAN#12VLAN#11VLAN#10L2SW学生用户教师用户全部用户财务人员MX核心节点MX核心节点MX核心节点科研人员。。。终端到核心的的安全解决方方案Copyright©2007JuniperNetworks,Inc. ProprietaryandConfidential 23校园网安全概概述影响网络安全全的因素设备尤其是核核心设备自身身的安全性,以及设备抗压压力/攻击的能力用户终端的安安全性用户滥用行为为各种网络资源源的限制和授授权访问……路由器安全之之道模块化,成熟的JUNOS系统意味着很很少的bug控制和转发分分离路由平台在面面临大流量的的情况下，依依然可以保持持路由平台的的稳定控制平面和转转发平面之间间内置防火墙墙进行过滤基于ASIC的数据包过滤滤/速率限制/采样等功能保保证路由器的的安全和城域域网的安全通过ASIC执行安全控制制功能，使得得路由器在获获得丰富功能能的同时，性性能不打折扣扣从用户终端和和用户行为方方面解决安全全问题安全的网络接入网络的用用户终端系统统应该是无漏漏洞的接入网网络的的用户户终端端应该该是干干净的的用户网网络行行为应应该是是规范范的授权访访问各各种网网络资资源……Juniper统一接接入控控制(UAC)解决方方案UnifiedAccessControlSolutionInfranetAgent(IA)全面的的企业业整合合AAA认证服服务器器Enforcers––FirewallsIDPDXSwitchesInfranetController(IC)基于用用户标标识，，网络络标识识和端端点评评估的的全面面的策策略执执行IA保护认证过的客户端免受恶意的不安全的客户端的侵袭。主机安安全检检查个人防防火墙墙/IPSECVPN引擎MSWindows单点登登陆Mac和Linux无客户户端的的执行行用户认认证(使用已已有的的AAA系统)决定用用户的的访问问权限限在InfranetEnforcer为端点点提供供访问问集中的的策略略管理理，将将安全全策略略加载载到端端口和和执行行点集成的的修复复方案案灵活的的流量量控制制Copyright©2007JuniperNetworks,Inc. ProprietaryandConfidential 28校园网网可控控性良好网网络控控制体体现在在两个个方面面网络控控制点点的选选择用户流流量的的控制制控制点点当前三三层网网络结结构接入层层接入层层设备备，品品牌相相对较较多，，该层层面设设备功功能单单一，，控制制功能能有限限，而而且设设备数数量非非常庞庞大，，实施施困难难汇聚层层核心层层汇聚和和核心心层的的设备备，业业务控控制能能力相相对较较强，，但是是就目目前校校园网网的实实际情情况来来看，，各种种控制制功能能不尽尽如人人意控制点点扁平化化的二二层网网络结结构接入层层该层同同样存存在如如前所所述的的问题题，品品牌相相对较较多，，该层层面设设备功功能单单一，，控制制功能能有限限，而而且设设备数数量非非常庞庞大，，实施施困难难核心层层作为整整个网网络的的控制制层，，设备备数量量少，，实施施简易易核心设设备的的控制制能力力非常常强，，完全全可以以严格格控制制网络络的能能力由于从从接入入层直直接到到核心心层之之间经经过的的设备备，都都是起起用二二层功功能，，通过过802.1qVLAN直接终终结到到核心心路由由器，，因此此子接接口做做为这这些VLAN的默默认认网网关关核心心层层接入入层层接入入层层接入入层层接入入层层控制制点点的的选选择择网络络控控制制点点流量量控控制制校园园网网流流量量现现状状绝大大部部分分流流量量是是学学生生使使用用产产生生极小小部部分分流流量量是是其其他他用用户户产产生生学生生大大量量使使用用各各种种P2P应用用，，消消耗耗了了大大量量的的校校园园网网核核心心带带宽宽和和校校园园网网有有限限的的出出口口带带宽宽因此此校校园园网网流流量量管管理理的的关关键键，，是是对对学学生生流流量量的的管管理理流量量细细分分化化管管理理在核核心心路路由由器器上上对对每每用用户户进进行行相相对对精精细细的的流流量量监监管管和和控控制制基于于应应用用类类型型http/email/voip等进进行行分分类类对于于每每个个