高校互联网解决方案

*****大学

网络改造项目规划

目录

方案背景

二、网络现实状况

三、组网设计

一、方案背景

针对国家中长期教育改革和发展规划纲要中的“加紧教育信息基础设施

建设，把教育信息化纳入国家信息化发展整体战略，加紧终端设施普及，推

进数字化校园建设，实现多种方式接入互联网”规定，对*****大学将“以

需求为导向，以提高学校关键竞争力为目日勺”作为信息智能化校园建设日勺战

略目叽

校园网发展的几种阶段

第一种阶段，可用心J网络：伴随大规模的PC布署，带来高校顾客内部

互联互通的需求，此阶段学校的重点集中在基础网络建设上，顾客可以通过

校园网访问内部互联互通，并可实现对INTERNET访问；

第二个阶段，可控、可管的基础网络：伴随校园网顾客规模的不停扩大,

以及互联网浪潮的兴起，校园上承载了越来越多的应用，校园网的安全问题

也日益凸显，这一阶段，除了重视对基础网络的建设、基础网络带宽的扩容

外，校园网的安全、可控是校园网的关注点；在这个阶段，校园网日勺基础架

构已经建设完毕；

第三阶段：简朴、可扩展的网络：伴随移动互联网日勺兴起，移动无线终

端的接入成为校园网建设的关注点，校园网向服务转型：愈加重视终端顾客

的使用体验，并为各部门的'业务建设提供支撑。此阶段，学校愈加重视网络

运行的效率，以保证网络架构可以迅速支持的变化（终端数量的变化、应用

网络现实状况

*****大学是一因此矿业工程为特色日勺高校，是国家教育部教学工作水

平评估优秀高校，是服务国家特殊需求“煤矿事故应急救援与影响控制”博

士层次人才培养项目的唯一一所高校，是“十二五”期间重点建设的特色应

用型本科高校。在60数年的办学历程中，学校一直践行“厚德博学、强吾

兴邦”的）校训，铸就了“自强不息、创业创新”的办学精神，培养出了10

万余名优秀人才，为区域经济和我国煤炭工业的发展做出了突出日勺奉献，被

誉为“煤炭T业的脊梁，通过数年的发展建设已经发展为数万学生的超大

规模的1学校。

।"internet\Internet1

V核心交换机圉

密密密

汇聚交换机汇聚交换机汇聚交换机

*****大学既有网络

既有网络问题：

1.网络设备设备运行时间比较长;

2.人数增长快，认证系统已经跟不上人员终端的增长模式

三、方案设计

针对既有问题。在保证网络整体架构基础下，重新布署两台

关键层设备。采用关键区域集中管控和认证管理口勺方式组网，提

出对现网最快的改造升级方式。方案详细拓扑图如下；

黑龙江科技大学网络拓扑示意图

汇聚交换机汇聚交换机汇聚交换机

网线-------万兆单模万兆多模

方案拓扑图

3.1关键互换机升级

可在已经有的架构上平滑升级，保护已经有投资；

顾客可有多种改造方式可供选择

更换关键，维持既有网络架构不变

更换关键，汇聚层网关上收到关键，接入分布式认证;

更换关键，网关/认证上收到关键

新业务迅速上线，不需要大规模更换日勺设备;

DCRS-9816互换机提供采用32核CPU的管理板通过多核的

并发处理，。同步在转发面采用了分布式过滤技术。

提高网络认证性能

目前，DCRS-9816互换机可支持最大90000双栈终端同步在

线，顾客认证上线H勺速率能到达1000人/秒以上。同步，集中认

证网关设备DCRS-9816互换机有三大类线卡，这些线卡的互换芯

片，通过该技术，可以灵活配比MAC、ARP、ND表项日勺容量，处

理了老式互换芯片表项容量固定，无法按照顾客需求提供灵活的

容量定制。

提高整网网络管理效率

阐明

接入汇聚设备顾客隔目前推荐采用VLAN隔离方

离案；

哑终端、特权顾客日勺采用MAC认证方式，SAM

接入提议特殊顾客组，合用于哑终

端、特殊设备入网

免认证区域将免认证区域划分到一种

VLAN内,并将该YLAN配置为免

认证VLAN

管理员认证后，区域将免认证区域划分到一种

内所有日勺顾客可直接上线VLAN内，该区域通过一台三层

互换机接入到这个VLAN下

SAM±,限制N18K对应这

个区域H勺物理端口+VLAN,只容

许管理员上线（SAM下一种版本

支持）

管理员认证通过后，该区

域所有顾客无需认证，直接上

线

特殊业务部门加入需要同其他顾客网段隔离

的特殊业务部门，可单独分派

一种SVI给此类部门，为其配

置单独H勺网段

3.2webPortal软件

DCSM-RS是一套网络身份准入门户系统，配合锐捷网络的认

证计费系统，进行基于WEB方式的身份认证或者域认证。

为了满足针对无线顾客实时安全监管时需要，方案可通过与

关键互换机认证网关、计费认证系统的I配合，进行多种场景的顾

客定位。可基于特定期间段或区域，例如学生在上课时段，校方

但愿严禁学生在教室内上网，需要对该区域的顾客进行网络屏

蔽。

老式Web认证场景中，是由互换机将所有报文所有重定

向到服务器，这样迅雷等下载软件，等社交程序也会被重定

向，并进行WEB认证跳转。这样就导致服务器大量的WEB认证

处理资源被挥霍，最终无法为正常日勺认证顾客提供服务。这里我

们运用了非页面访问无法解析脚本文献日勺特性，防止服务器

收到非页面访问的报文，实现对服务器的降噪功能。保证Web

认证的可行性、可用性。

3.3计费系统

目前校园网的认证、计费场景，归纳起来，有几种方式：

1.准时长计费（上线时长）

2.周期计费（包月、包天）

3.按流量计费（根据顾客实际使用流量进行计费）

此外，针对顾客不一样日勺访问区域，也存在不一样日勺计费方式，例如

1.校内流量免费、校外流量收费

2.教育网流量免费、运行商流量收费

3.国内流量免费、国际流量计费

不仅如此，通过自定义计费方略配置为顾客提供灵活、强

大的计费方略配置，满足顾客不一样日勺计费规定；例如：周

期、流量、计时计费三种方式可以组合成一种或几种计费方

略，还提供周期不使用不扣费及复合分段计费等配置，为网络

管理运行提供多种计费方式加上包月限无线流量，包月计无线

流量部分。

而差异化的运行管理是H勺有一大价值，分区域精细化管

理，按照区域划分服务，不一样的顾客在不一样的区域可以实

现不一样的服务，实现了精细化管理日勺理念。例如：在教学

区、宿舍区和公共机房，分别是无线和有线接入，一种学生使

用同一账户可以使用不一样接入控制和对应的计费方略。

认证原理:

802.IX认证

1、认证流程

工作站(Client)交换机

EAPOLStart

F.AP-RftqnftstXIHftntity

EAP-Response/IdentityRADIUSAccess-Request

EAP-RequestJMD5-CHAPRADIUSAccess-Challenge

EAP-Rjesporse/MD5-CHAPRADIUSAccess-Request

EAP-SuccessRADIUSAccess-Accept

用尸已认证

EAPOI^LogpfF

用尸未认证

2、认证流程阐明

客户端：对应锐捷的RG-SU认证客户端。

NAS：根据客户端目前的认证状态控制其与网络的连接状

态。在客户端与服务器之间，该设备饰演着中介者H勺角色：从

客户端规定顾客名，核算从服务器端的认证信息，并且转发给

客户端。

RadiusServer：对应锐捷日勺SAM认证计费系统，该系统为

顾客提供认证服务。认证服务器保留了顾客名及