【方案】智慧校园建设方案

智慧校园建设方案目录第一章项目概述 41.1项目背景 4第二章需求分析 52.1整体需求 52.2基础平台需求 62.2.1有线基础平台需求 62.2.2无线基础平台需求 72.3管理平台需求 82.3.1运维管理需求 82.3.2无线网优管理需求 102.3.3安全防护需求 102.4云桌面系统需求 112.5智慧教室系统需求 112.6智慧校园一站式服务平台需求 132.6.1智慧校园移动平台 132.6.2智慧校园网上办事大厅 13第三章建设规划方案 153.1整体建设拓扑 153.2建设区域规划 163.3有线网络极简设计 173.3.1功能和策略上收 173.3.2高性能的极简网络 183.4无线网络设计 203.4.1部署模式介绍 213.4.2无线网络安全建设 263.4.3无线网络QOS设计 283.4.4无线管理设计 343.5管理平台设计 393.5.1运维管理设计 393.5.2无线网优管理设计 483.5.3安全防护设计 493.6云桌面系统设计 523.6.1锐捷云办公闪电版原理与架构 523.7智慧教室系统设计 643.7.1设计原则 643.7.2方案核心 653.7.3系统架构 663.7.4核心价值 683.8智慧校园一站式服务平台设计 713.8.1智慧校园移动平台建设内容 713.8.2网上办事大厅建设内容 743.8.3项目建设技术设计 75第四章售后服务方案 85

第一章项目概述1.1项目背景当前，以智慧校园为特征的教育信息化发展更为迅速，各种信息化应用正改变着老师和学生们的工作、学习、生活以及思维方式，引发了教育行业一场新的革命。学校基本的教学教务管理、科研管理、后勤管理、数字图书馆、视频服务系统、办公自动化系统和校园社区服务等应用系统的建设有了初步的规模，“一卡通”业务在很多学校也开始应用。在校师生的认识水平和技术水平上了一个台阶，对于信息化工具的使用已变成为一种自觉和自愿的行为。教育信息化规划的基本内容如下：完善校园网络基础设施建设，实现随时随地的上网，整体校园网络高速畅通、安全可信、稳定可靠；完善校园数据共享基础平台的建设，包括全校统一的信息资源库、统一的电子身份认证系统的建设；完善和创新网络教学服务平台，创建和创新网络学术研究创新环境，完善电子校务系统与校园网络文化建设。

第二章需求分析2.1整体需求本次XXXX学院智慧校园的建设思路是先铺路（网络基础建设）、再建云（公共数据资源建设），重应用（规范引领，标准推行），易运营（运营思想，激励思想）。网络基础建设是智慧校园信息服务的奠基石，XXXX学院的网络基础建设规划利用IPv4/v6、无线、扁平化及SDN技术，搭建一整套有线无线一体化、教学生活管理业务物理隔离的网络承载平台。通过当前业界先进技术的部署，体现基础设施的先进性，同时也对智慧校园的应用业务提供强有力的支撑，另外还兼顾到关键业务的安全。在公共数据资源建设方面，主要通过建设安全可靠、开放兼容、扩展性强的云数据中心来提供各项教育教学资源。而云计算、大数据等多项先进技术的落地，让XXXX学院的数据中心拥有强大的数据整合、挖掘、分析能力，从而为信息技术支撑教育教学提供优良的生态环境。智慧校园的建设重点在业务应用，强有力的网络基础设施、智能的云数据中心都是作为各种应用服务系统的载体，构建的教学、科研、管理和校园生活为一体的新型智慧化的工作、学习和生活环境,实现基于数字环境的应用体系,使得全院师生能快速、准确的获取校园中人、财、物和学、研、管业务过程中的信息,同时通过综合数据分析为管理改进和业务流程再造提供数据支撑,推动学校进行制度创新、管理创新,最终实现教育信息化、决策科学化和管理规范化。智慧校园信息系统从本质上看属于园区化的信息服务系统，除了建设更加值得关注的是可持续发展的长效机制，因此运营职能将是学院信息部门在未来必然持续坚持的工作重点。本次拟建的新校区信息系统，从用户管理、运维管理、安全防护及管理三个方面来进行规划，着重体现信息部门在履行运营职能时的简便性和灵活性，既满足后续的运营职能需要，同时更重要的是降低运营成本，使优质的运营效果能够长期、有效的落地。2.2基础平台需求2.2.1有线基础平台需求网络设计遵循层次化设计模型，依据现有网络规模，选择合适的组网架构。1、方案实用网络设计不仅要求能够满足目前学校使用的要求，而且还应适应未来若干年以后的网络发展需要。随着业务的增加和计算机技术的发展，接入局域网的用户将越来越多，终端和工作站的处理能力越来越强，以及图形图像和多媒体的应用越来越广泛，要求每个用户实际可用带宽很高才能使网络通信流畅，网络将成为提供多种业务的统一网络平台，并应该为不同的业务提供服务质量保证（QoS）。网络的扩展可以在现有网络的基础上通过简单的增加设备和提高电路带宽的方法来解决，以适应不断增长的业务需求，保护本次网络建设的投资因此，设计时应充分考虑到将来业务量的增大，保证当前及今后一定时期内网络的高效与通畅，避免出现设备更换，组网架构变化等大大范围的变化。2、稳定可靠网络的可靠性是网络设计中需要考虑的一个主要原则。作为信息系统应用的依赖和基础，要求系统必须具备连续安全可靠地运行的能力，所以在系统结构设计中选用高可靠性网络产品，合理设计网络架构，尽可能利用成熟技术，网络关键部分要制定可靠的网络备份策略，对于重要的网络节点应采用先进可靠的容错技术，以保证网络系统具有故障自愈的能力，最大限度地支持专网内各业务系统的正常运行。3、易于管理随着网络规模的扩大和系统复杂程度的增加，网络管理和故障排除变得越来越困难。采用先进的网络管理工具，通过图形界面对网络设备进行集中化统一管理，对网络实行集中监测、分权管理，统一分配带宽资源，进行流量统计分析和故障自动报警，大大简化网络管理难度。4、整体安全从一个完整的安全体系结构出发，综合考虑安全保密的各种用户身份认证和各个环节，采用多种安全手段，包括防止非法接入、访问控制、入侵检测、网关安全、边界防护、身份认证、内容安全等等。即保证网络的安全可靠，又尽量符合界面友好人性化的特点。5、行业特点行业业务特征决定了网络设备的需求，也决定了网络设备的技术选型要求，因此需要以实际需求出发，合理的选择使用网络技术和产品。2.2.2无线基础平台需求无线网的建设需考虑到全校师生的网络并发承载量，用户通过无线网可实现各种移动终端对教学资源、校内监控网络资源、互联网资源的访问。作为今后移动互联网络应用的基础，该网络要求具备WIFI行业的最高技术水准。通过无线，学生也可以在了解校园内部课程安排的同时，了解学校更多的相关信息，为师生提供更好的网络服务，同时也变向的利用学生碎片化时间提升教学质量。介于目前无线技术的主流发展趋势，决定保障本次投入设备在近5年之内不会因技术发展先进性问题而出现需要更换设备等问题。先进性：采用802.11ac系列标准，提供802.11a、802.11b、802.11g、802.11n、802.11ac多标准的联网支持；实现高质量接入。在密集部署的宿舍区，采用天线（微AP）入户的智分部署方式，同时部署双路双频，部署美观，维护方便，覆盖效果好，吞吐性能高。稳定性：注重应用效果，覆盖校园内区域，提供具有良好用户满意度的无线网络环境。可管理性：基于业务的IT运维管理系统和充分满足学校认证运营需求的认证计费系统；实现有线无线一体化认证，有线无线一体化管理。师生只需要一个账号就可以走遍校园。可运营性：实现有线无线统一运营，认证计费系统可以基于时间地点以及角色等多种维度的认证计费运营，也提供了多种多样的收费策略。安全性：支持用户身份鉴别、访问控制、审计、防病毒、防攻击；必须支持较好的线路冗余、电源冗余能力，以提高网络的可靠性。可扩充性：在不改变主体架构的前提下，实现平滑升级和扩容。兼容性及多服务的支持：满足各类新型移动终端的网络接入需求；满足校园级无线宽带应用(如无、线语音应用、无线视频会议应用、无线多媒体通信应用等)的未来发展需要。2.3管理平台需求2.3.1运维管理需求智慧校园的信息化是一个非常复杂的系统，涵盖了IT服务的多项功能，如计算、存储、网络、安全、能源、空间、线路等，这些模块又由各种业务系统、设备、协议来组成，他们支撑着众多的业务系统，数量巨大的终端用户，而运维管理的人员和成本是有限的，在这种有限的情况下需要完成对师生及业务的IT服务，这给校园信息化运维带来了巨大的挑战。XXXX学院的综合运维管理体系的需求分为五个方面：全资源统一管理统一化运维管理平台更强调效率和实时性，突出跨厂商、跨平台、模块化、统一化、移动化，需要全面覆盖所有IT相关资源的监控管理，包括机房基础设施、云平台、服务器、存储、有线无线一体化、中间件、应用、综合布线等方面，并能实现各IT资源的相互影响分析管理及联动。高效管理：要实现高效管理，必须要将复杂的、有规律的、繁琐的事物，通过引入自动化、移动化、智能化的管理手段，实现运维管理的复杂事物高效化，沟通协同高效化、故障处理高效化。服务标准化：提供教育行业的最佳运维实践，提供面向教育行业的IT运维服务流程管理，并能基于高校信息化服务的场景，提供完善故障报修、自助服务、移动化运维服务等功能，并能够通过数据仓库手段对运维管理数据进行有效分析、支撑管理决策，保障服务标准。业务支撑：智慧校园的核心就是业务，IT运维管理应着眼于在业务系统的关联关系、整合和呈现，通过业务IT资源评估模型，从保障关键业务的运行角度出发，来透视和管理业务所涉及的网络、主机、存储、云平台、机房等资源，有效提升业务服务质量。面向用户：通过大数据来创新智慧校园的IT运维管理，建立以“人”为核心建立用户数据收集和应用机制，利用大数据手段来收集用户使用业务及网络的真实情况，以便及时主动调整校园网络的管理策略，从而提升用户服务口碑。2.3.2无线网优管理需求本次项目建设中，涉及无线网络建设，用户并发数量大，尤其是学生用户对于无线网络体验的质量要求非常高，管理员则需要对全网的无线网络运行情况进行统一管理。因此方案必须考虑高效的手段，能够对全网运行数据进行收集、分析，并能得出结论和决策依据，不仅保障无线用户的优质体验，还能给校方管理员和领导提供数字化的决策依据。2.3.3安全防护需求XXXXX学院系统建设总体目标是：从XXXX学院应用网的信息安全形势和实际需求出发，结合现有网络环境和应用系统现状，构建具备信息安全纵深、立体的防护能力，实现主动防御、综合防范的信息安全保障体系，项目建设包括技术建设和安全管理建设两部分。通过信息安全技术建设后，使XXXXXX学院应用网整体网络和业务系统将达到现阶段已经公布的国家等级保护二级要求；通过在网络出口、骨干链路、网络边界、区域边界部署安全设备、划分安全区域和配置安全策略，实现纵深防御，骨干链路均实现双链路，核心业务区域实现冗余保护。转变原来被动的安全问题管理思路，通过主动安全监测和威胁拦截产品(网站安全监控、持续监控系统、漏洞扫描、主机加固)，结合信息安全漏洞监控管理平台，实现安全漏洞、事件等问题的主动发现、防御、跟踪和修复。2.4云桌面系统需求在信息化和数字化的时代，电脑已深入人们的生活和工作当中，已经成为办公不可或缺的工具之一。在办公环境中，一个单位的电脑数量往往达到数百台，甚至几千台。目前普遍的管理方式是由IT运维部门负责管理和维护，采用故障人工现场处理的方式进行。然而，绝大部分的使用者并不具备电脑维护方面的专业知识，而是只关注各自的业务操作。因此当电脑出现问题时，IT运维人员将面临巨大的工作压力，电脑的维护工作俨然已成为IT部门工作的繁琐而艰巨的工作。据IDC统计，购买桌面的硬件和软件费用开销通常占设备总拥有成本的20%-30%，而其余70%-80%则主要是IT运维成本。本次涉及多媒体教室云桌面设计，旨在提升教学体验，简化运维管理。2.5智慧教室系统需求随着以物联网、云计算、大数据为代表的新一代信息技术的日趋成熟，在教育领域，具有智慧技术、智慧应用、智慧管理等特征的智慧教室成为新的建设热点。同时，从国家层面也颁布了相应的政策文件，如《国家中长期教育改革和规划纲要（2010-2020年）》、《教育信息化十三五规划》等。北京师范大学的黄怀荣教授在《智慧教室的概念及特征》中提出了智慧教室的“SMART”概念模型。智慧教室的“智慧性”设计教学内容的优化呈现、学习资源的便利性获取、课堂教学的深度互动、情感感知与检测、教室布局与电气管理等多方面内容，概括为内容呈现（showing）、环境管理（manageable）、资源获取（acdessible）、及时互动（real-timeinteractive）、情景感知（testing）。智慧教室是一个能够方便对教室所装备的视听、计算机、投影、交互白板等声、光、电设备进行控制和操作，有利于师生无缝地接入资源及从事教与学活动，并能适应包括远程教学在内的多种学习方式，以自然的人机交互为特征的，依靠智能空间技术实现的增强型教室。也有人认为未来的教室一定是云端教室，包括电子课本、电子课桌、电子书包、电子白板⋯⋯在资源方面，由模拟媒体到数字媒体，再到网络媒体，资源最终都在教育云上，内容达到极大丰富，从而满足个性化的学习。2.6智慧校园一站式服务平台需求2.6.1智慧校园移动平台在新的信息时代，如何将先进的移动交互技术和学校业务深度融合，如何助力校园管理信息化向服务信息化转型，使得在校师生员工的信息感知、信息交互效率、信息服务体验有大幅度的提升，是学校迫切需要解决的问题。移动平台需要在校园实名制和真实组织结构的基础上实现了统一的门户、便捷的业务部署方式、集开发/发布/管理为一体的轻应用开放平台，为学校、广大在校师生提供高效便捷的一站式服务，为师生办事提供流程清晰、过程可追踪的办事平台。移动平台客户端要支持移动设备（Android和iOS系统设备），以及PC设备（Windows和MAC系统设备）。学校可以基于移动平台及其开放平台来开发、承载、推广自己的特色业务，也可以引入第三方服务提供商开发的业务，在保障统一的基础上，为全校师生提供丰富多元的“智慧”校园服务。2.6.2智慧校园网上办事大厅为了落实信息管理向信息服务转型，提升师生办事服务满意度，需提供师生网上办事大厅，解决师生办事难的问题，以先进的流程服务理念，将纯手工办事，或分散在各业务系统的流程有效的整合起来，在帮助各系统、各业务领域有效的实现流程贯通和数据整合的同时，形成一个真正意义的校园网上办事服务平台。因此校级的网上办事服务平台必须具备完全的开放性，围绕流程服务平台进行的流程开发、系统整合不能绑定所使用的软件开发语言和开发工具。通过基于云计算WFaaS的开放架构，形成一个开放、可扩展、可持续发展的智慧校园软件基础设施。要求流程开发可自由灵活配置，能可视化配置审批人员、岗位信息、审批节点等；表单配置基于主流infopass配置工具，流程再造过程不影响现有在线流程。

第三章建设规划方案3.1整体建设拓扑整体网络的设计物理上按照三层架构（接入-汇聚-核心）进行设计，通过无线接入AP实现整网的无线覆盖，本次部署两台核心交换机，配置认证网关设备作为全校有线无线的认证点，实现无感知认证，部署运维管理系统和认证计费系统，有线网可以与无线网络共用一套认证计费系统，实现有线无线统一管理，统一认证。无线AP采用802.11ac型AP，其中在部分区域采用智分+无线AP，能够支持天线（微AP）入室覆盖，并在无线覆盖的基础上提供有线网口；在办公区采用墙面式无线AP和智分+AP（微AP为墙面式形态）进行覆盖，面板形态AP采用标准的86面板盒设计，可以最低限度减少对原有装修的破坏；在教学区（如实验室、普通教室）部署放装型AP，保证覆盖效果以及带机能力。认证系统采用SAM认证计费系统，实现有线无线统一认证，并在此基础上进行精细化管理和计费，实现无感知认证。综合业务运维管理平台基于对IT基础设施的全面管理，将IT对业务的价值可视化，构建多种业务分析模型，从业务视角透视IT投资分布和价值收益。将IT基础架构及相关应用有效量化，并映射到它们支持的业务上，直观反映IT基础设施的动态变化对业务造成的影响和威胁，帮助管理者实现IT的精细化管理，掌控全局，准确衡量IT对业务的价值贡献，有力保障业务的健康、稳定运行。在XXXX学院的无线实施部署中以及后期的无线使用中，无线网络的规划（信道规划、漫游规划）等以及部署之后用户的体验情况等都必须有数据支撑，并且能够根据用户的体验极其数据实现智能的无线网优，降低无线运维管理的压力，提升用户的无线体验。本次的无线网优系统设计为锐捷的WIS系统，能够轻松解决无线网优问题，为无线管理提供一整套的智能无线优化服务，提供手机APP，在手机端直接使用。让无线网建设、运维不再是一件难事。3.2建设区域规划XXXX学院一期规划建设涉及XXXXXXXX。信息点规划：教工宿舍区房间按照4个信息点规划；学生宿舍区每个房间按照6个有线信息点规划；行政办公楼办公室每个房间按照4个信息点规划；实验实训楼每个教室按照4个信息点规划；3.3有线网络极简设计网络设计遵循层次化设计模型，分为核心层、汇聚/接入层。核心层主要承担高速数据交换的任务，同时要为各汇聚节点提供最佳传输通道。汇聚/接入层的主要任务是完成用户的接入，它直接和用户连接，可能遭受ARP风暴、MAC扫描、ICMP风暴、带宽攻击等等攻击方式，对安全性的要求很高，另一方面必须提供灵活的用户管理手段。通过层次化的网络设计，网络的不同层次设备承担不同的任务，使整个网络结构清晰，便于维护和管理，便于以后的网络扩展。3.3.1功能和策略上收传统的网络中，用户接入控制、安全防护、运营及服务管理的各种功能、策略一般都部署在网络的接入、汇聚交换机上。这种部署方式导致整个接入网的整体拥有成本非常高，信息部门曾经投入了大量的资金来搭建这张接入网，而未来一旦因为设备老旧、功能升级等原因，这张接入网还会继续需要持续的资金投入，而随着无线网络的建设，这笔资金的数额更加巨大。锐捷“极简网络”解决方案首先实现的是将原来分布在接入网的各项功能和策略上收至核心交换机，上收之后各项功能、策略的执行点全部在核心交换机上，接入网的接入、汇聚交换机只负责进行各种数据的转发。锐捷“极简网络”解决方案通过这种方式极大的增强了网络核心交换机的资源利用率，弱化了整个网络服务对接入、汇聚设备的依赖。其价值主要体现在如下几个方面：节省资金：“极简网络”解决方案所进行的集中管理的改造，减轻了接入网设备的关键性，也弱化了对接入网设备的技术要求，这都使得改造后的网络，在接入设备上可以选择更加便宜、更加轻量级的产品，而资金的投入则主要集中在核心交换机上。由于网络内接入网设备众多，因此从全局上看大大降低了网络的整体拥有成本。节省人力：“极简网络”解决方案所进行的集中管理的改造，同时也减轻了接入网对日常维护人员的数量要求，接入网设备仅需要配置和维护Vlan、STP、静态路由等最基本的通用技术。单个网管能够管理的设备数量将会大大增加。即使面对未来无线网络的建设，信息部门只需要适量增加网管的数量，就完全可以承担起接入网的日常维护工作。降低技术门槛：“极简网络”解决方案所进行的集中管理的改造，还使得负责维护接入网的网管再也不用去花费大量的时间、精力学习各种复杂的技术。信息部门耗费在网管身上的培训、实习资源也会大大降低。3.3.2高性能的极简网络通过“极简网络”解决方案来进行网络服务的集中上收，所有的功能、策略都部署在网络的核心层上，这对整个网络的核心交换机提出了巨大的挑战。锐捷在“极简网络”解决方案中配备的锐捷网络面向云架构网络设计的核心交换机RG-S8600E交换机，具有最优秀的稳定性来适应网络高密度的用户并发，同时也具备先进的技术来保障自身的可靠性和安全性。RG-S8600E采用业务板卡与交换网板完全正交设计，跨板卡流量通过正交连接器传输到交换网板上做交换，实现背板“零”走线，传输损耗最小，极大降低信号衰减，提高业务流量交换机内部传输效率。根据云计算“强云端轻终端”的特点，锐捷网络创新性的提出“网络云模式”：设计强核心（统一网关、认证、多业务）、轻接入的理念，将包含云数据中心和云园区网在内的业务管道云化，真正在业务和最终用户之间打通云管道，让网络资源池化、按需分配、灵活扩展。正是依托这些技术，S8600E系列核心交换机能够承载更多的终端用户，不但满足现在网络的用户规模，更能应对未来无线网络建设完成后所带来的一用户N终端的局面，让更多的终端能够更加灵活、安全、便捷的接入网络。可靠性设计支持业界领先的VSU3.0（VirtualSwitchUnit，虚拟交换单元）虚拟化技术，最大将4台物理设备虚拟化为一台逻辑设备，统一运行管理，大幅减少网络节点，降低网络运维管理人员工作量。增加网络可靠性，实现50~200ms链路故障快速切换，保障关键业务不中断传输。支持跨设备链路聚合，方便接入服务器/交换机实现双活链路上联，网络有效连接带宽成本增长。所以核心设备需要支持冗余方案，当网络出现问题时，可毫秒级切换，不影响业务。RG-S8600E系列各关键部件均为冗余设计：主控引擎1+1冗余，风扇N+M冗余，电源模块N+M冗余，同时各冗余组件均支持热插拔，最大程度上提高整机的可靠性和可用性。绿色节能设计RG-S8600E系列采用40nm芯片工艺，相比传统90nm和65nm工艺更节能，内部系统低压供电设计，高效率模块化电源，供电系统效率更高，多核CPU支持动态功耗管理，全部光口采用无PHY设计，降低光口功耗，全部以太网电口支持EEE高效节能标准，低负载时可节约功耗。智能风扇支持256级调速，精密温控，节能降噪；高温下可长期工作，适应恶劣环境，为您大幅度节省空调能耗。3.4无线网络设计学校无线分两期建设，，根据不同区域的环境结构特点采用不同的覆盖方式，其中宿舍网以及较复杂的应用场景以智分AP为主，通过天线（微AP）直接进入到房间内，保障房间内的无线信号质量。在礼堂、会议室、体育馆等大开间的场景以带智能天线的放装AP为主，智能天线智能感知终端类型和距离，灵动调整AP到终端的定向信号强度，确保终端信号更好，速度更快。在教学办公区根据实际应用场景灵活选择使用墙面AP、智分AP和放装AP三种覆盖方式，保证在保证信号覆盖效果的同时，兼顾施工的便捷性及美观。有线网络和无线网络可以互访，无线网络可以支持无感知认证和二维码进行扫描认证。采用无线控制器管理无线AP原则。无线网建设应站在一定高度，本着至少满足未来5年无线迅速增长和安全的需求出发。目前业界无线网络部署方式主要分放装、室分、智分、面板式4种。3.4.1部署模式介绍放装部署AP放装方式（含面板式）指的是AP和天线都部署在走廊或房间内部的方式，这种方式为传统部署方式，其特点为部署简单，造价较低，但是如密集部署，会导致干扰过大，性能下降，只适合于较为空旷的部署场景。不适合于密集部署的宿舍网场景。在宿舍网中不利于无线信号的衍射，一般来说，这样会造成信号在房间中衰减过大，将导致房间外信号非常强，而房间内信号弱，无法满足正常上网。同时由于5.8G信号无法穿墙，所以如采用放装方式部署，除非每个房间一个AP，否则房间内5.8G信号无法有效覆盖。具体部署方式如图所示：放装方式室分部署AP室分方式是把AP部署在走廊或弱电间，而天线部署在房间内，AP和天线之间通过馈线连接，中间还需要加装功分器和耦合器等设备。这样虽然解决了信号不稳定，无法上网的问题。但此种部署十分复杂，不仅需要AP、天线、馈线，还需要功分器、耦合器等设备，增加了部署实施难度，加大了投资成本，而且增加了故障节点和故障盲点，不利于网络的管理和维护。同时由于目前室分AP只能做到单射频卡，性能较为低下。具体部署方式如图所示：室分方式智分部署AP智分方式综合了放装解决方案和室分解决方案的优点，并加以改良。整体方案由无线控制器，智分AP主机，微AP（入室天线）3部分组成，无需外置功分器、耦合器以及专业的馈线等。部署简单，易于管理和维护，也节省了成本。同时由于入室天线集成了两块射频卡，使得无线性能不再成为瓶颈。非常适合宿舍网这样的密集部署环境。智分系统方式为锐捷网络独有的部署方式，目前锐捷的智分解决方案分为智分+系统，具体如下：智分+系统采用了1分24“双频双流”部署方式，实现了24房间2*2MIMO（802.11ac两条流867M+802.11n两条流300M）高吞吐性能的无线覆盖，同时可提供2.4GHz和5.8GHz的终端用户接入网络，满足视频点播、极速下载等高吞吐无线应用。于此同时，“1分24双频双流”摒弃了现有双流必须双线缆入室的理念，一根线缆入户就能解决MIMO双流和双频问题。智分AP主机部署在弱电间，微AP部署在房间内，采用标准网线连接，最长可达100米，微AP上电后识别为主AP的射频卡，精简管理，大大减轻了管理工作量，而且微AP可随意更换替换无需配置，轻松维护。本次无线智分的部署方式建议采用智分+系统设备1分24的无线部署方式。面板式部署AP面板式部署方式采用标准的86开关面板盒规格，而且还集成了以太网口和IP电话接口，整个安装过程只需要三步就能快速实现无线网络覆盖。第一步、拆去房间内原有的有线网络的接口面板；第二步、更换原接入交换机为POE交换机；第三步、将原有网线插在迷你型AP130上并直接安装就能即插即用。它打破了以往无线网络建设的老旧方式，无需再拉新的网线，而是有效利用了既有的网络，将网络新建对房间环境的影响降到最低。多种部署方式对比四种方式部署适合不同的应用场景，简单对比如下：解决方案实现原理实现效果方案弊端办公教学楼内放装方案AP放装部署在教学办公楼内，无线信号辐射到隔壁相邻的房间在办公教学楼有窗户，大开间等的情况下，终端用户使用体验较好，网速较快房间结构有一定要求：一般来说房间应有大飘窗结构，如采用防盗门结构对信号有较大影响（可通过防盗门内放置解决）。宿舍内放装方案AP放装部署在宿舍内，对于宿舍单边分布的建筑结构，无线信号辐射到隔壁相邻的宿舍，覆盖3个房间；对于双边分布的建筑结构，若宿舍门为木门，则无线信号还可辐射到对面的宿舍，覆盖4个房间在宿舍间墙体较薄的情况下，终端用户使用体验差，网速慢，5.8G信号无法覆盖。存在隐藏节点问题。终端用户使用体验不佳：为了使信号能够穿透墙体，保证覆盖，AP的发射功率需要调高。若楼层间的地板比较薄，相邻楼层间AP信号产生干扰。无法同时满足覆盖和性能需求，并解决干扰问题成本高：单台AP覆盖的宿舍房间数偏少室分系统方案AP部署在任意位置，通过馈线延伸可以把天线部署在宿舍内，覆盖房间数比较有弹性，视每宿舍内上网的学生人数而定在上网高峰期，会出现网速慢的情况可维护性低：施工配件多，需要额外增加功分器或耦合器以及接头等配件。增加故障点，增加排查问题的工作量可实施性不足：需要计算线路损耗，线缆走线有较为严格的要求。对施工人员的专业性要求高终端用户使用体验不佳/成本高：由于室分系统部署方案所用的AP都是单射频芯片产品，单射频芯片带40个终端在高峰期会导致过度冲突，严重降低网速。如果为了保障终端用户使用体验，减少AP覆盖的房间数，则会导致成本过高智分系统方案AP部署在任意位置，通过标准的电缆延伸可以把天线部署在宿舍内每个房间均具备双频双流，可同时支持2.4G和5.8G的双流有效覆盖，若AP覆盖24个宿舍，累计288台无线终端，在上网高峰期，网速可保持高速稳定,无需外置功分耦合，美化馈线。信号覆盖效果相比放装提升30%，信号干扰降低30%。面板式部署方案AP部署在房间内，替换原有有线和电话面板标准86面板，无需布线、可选胖瘦模式，集成RJ11接口，美观方便，可同时满足8～10台终端的720p高清视频播放覆盖范围小3.4.2无线网络安全建设射频层安全对于射频层安全，由于AP使用空中的无线电射频信道工作，每路射频都会占用一个信道。非法设备可能侵占合法AP的正常信道工作，一方面会对合法的无线接入点产生干扰，另一方面是非法无线用户对合法AP的入侵。互联网上可以轻易地下载到很多无线入侵和攻击工具，而原先传统的无线接入点设备均都没有侦测无线入侵的功能，所以当受到像无线DOS攻击时，就会误以为是无线电波的信号受干扰或AP出现不稳定情况，这些攻击会导致用户的无线连接发生中断。通过无线控制器内置的WIDS/WIPS组件，可以实时检测异常的无线数据包，当无线系统侦测出有入侵时，它会记录和显示入侵的格式，并对入侵做出自动保护响应和报警，通过发射RF射频干扰方式实现对非法AP的压制，并提醒网管人员注意并提示相应的解决措施。链路层安全链路层的安全主要依靠标准体系中的安全特性来保证，通过802.1x、PSK、AES、MAC、Portal等方式来控制各种类型用户的准入，保证用户、认证体以及后台认证服务器的三元结构的安全可信，通过用户二三层隔离等技术来限制用户间的互访。网络层安全对于网络层安全，系统内置入侵防御模块，可有效防范无线网络中DHCP攻击、假冒DHCPServer。系统能对flood攻击以及DDOS攻击进行识别和有效防护。在全校无线网络建成之后，其主体设备－无线接入点，将被大量的用于最后一百米的接入为师生提供无线接入的服务。因此，建成后的无线网络应当具备接入层网络的用户管理策略，即用户组策略。通过对不同的用户实施不同的安全、认证、计费策略，保障用户不会利用无线接入点非法互通。另外，为了确保类似视频会议、重要的文件下载等重要关键业务在无线网络上的稳定应用，需要在以共享为特征的无线信道带宽中，为其分配足够保障的带宽资源和优先传输。因此，必须采用无线网络专用的QoS机制，即802.11e协议。通过对该协议的支持，将使得无线接入点设备可以预知某种应用或客户的优先顺序，并进行相应的处理。无线网络的认证安全是每一个网络管理者需要重点考虑的问题，由于无线网络接入地点的随意性，在无线网络中需要部署认证系统，实现网络的准入认证，而不单纯是出口的准出认证方式。802.1x认证和WEB认证在近几年的高校网络运行中经受了长期的考验，被证明是非常适合高校无线网络环境的准入认证方法。因此，全校无线网络用户身份认证方面，应当全面采用基于802.1x和WEB认证的AAA平台，并配合支持标准802.1x和WEB的无线接入点设备或无线控制器，可为每个无线用户提供入网身份认证机制。网络安全不仅包括用户的安全，还包括设备的安全，通过AC控制器、核心交换机关键部件等的冗余配置，使得用户、网络、设备三个方面的安全都得到了保证，极大提升了网络的健壮性。非法AP检测与压制设计无线局域网的建设会引发一些信息安全问题,特别是非法AP问题,给无线网络安全带来巨大的危险。为了清除非法AP,关键是检测定位AP的位置，并对其进行压制和抗干扰。锐捷无线控制器插卡支持非法AP检测和压制功能，当AC上开启AP的非法AP干扰检测功能后可以看到非法AP告警，可以检测到非法AP信息：当发现非法AP后，如在AC上开启AP的非法AP抑制功能，那么非法AP会被最接近的合法AP发出的802.11De-Auth包所切断，802.11De-Auth包会不停的发出知道在线的无线终端的无线连接被打断为止。同时，AP会使用智能天线对自身信号进行定向抑制，避免被干扰。连接非法AP的终端的实测效果如下：当开启反制时，出现明显丢包，最终连接中断。3.4.3无线网络QOS设计校园网络平台的基础建设已经完成，越来越多的学校把校园网建设的重点向便利性和易用性转移，最典型的就是校园无线网建设。无线网的价值不仅是摆脱有线网的束缚，而是提供更丰富的、多样化的业务来丰富教学、办公等核心业务。从技术角度来看，VoWLAN、无线监控、不同等级用户无线上网实际上对无线网落的QoS能力要求有较好的支撑。无线网络是一个竞争发送数据的机制，在同一时刻只能有一个终端发送数据，对于日益增加的多种校园网内的业务，如何保证关键业务在无线网络上能够顺畅地使用，对无线的QOS提出了更高的挑战。无线网络系统对于视频、音频等实时业务应用并没有做充分的QOS考虑。2005年，IEEE802.11e标准针对实时业务的QOS保证作出补充方案。QOS的功能在校园网主要的价值点为：网络有序。无线QOS功能在校园网主要的价值点：无线网络有序的网时，提高系统的搞干扰能力及网络的带宽。锐捷无线产品在IEEE802.11e标准的基础上，结合有线网络QoS，有线、无线全网端到端的QoS解决方案。目前高校校园网基本上是有线无线统一的网络，QOS要从一个端到端服务质量保证进行考虑，因此需要对无线网络和有线网络的QoS进行整体规划，从而实现全网端到端的服务质量保障。IEEE802.11e标准定义了无线局域网MAC层服务质量，支持语音、视频等多媒体业务在无线局域网中的应用。标准扩展了原802.11MAC层DCF和PCF信道接入机制，形成了EDCA和HCCA信道接入规范。前者增强了DCF机制，区分不同业务应用的优先级，保障高优先级业务的信道接入能力，并在一定程度上保障了高优先业务的带宽。后者增强了PCF机制，通过QAP的集中控制，以轮询方式为QSTA分配空口资源，提供改善的访问带宽并且减少了高优先级业务的延迟，EDCA机制是IEEE802.11e的核心，它区分了不同优先级的接入信道的能力，从而保障了空口资源依据数据流优先级分配。802.11标准基于CSMA/CA机制，为了避免冲突引入了多个帧间隙：SIFS、DIFS、EIFS、PIFS。IEEE802.11E标准为了支持QoS，引入了新的帧间隙：AIFS，用来区分不同优先级。如上图所示，下标[i]、[j]表示不同的AC，AC[i]的竞争参数优于AC[j]。QSTA在信道空闲开始时必须等待AIFS时间后才能进行退避，最先退避结束的AC开始使用信道进行通讯，其他AC由于信道忙处于静默状态，在通讯结束后，所有QSTA的所有AC再次进行信道竞争。不同的QSTA间存在信道竞争，同一个QSTA不同的AC间同样存在信道竞争。每个AC均有独立的信道竞争参数，不恰当的信道竞争参数会导致优先级的反转。AC从开始竞争到竞争结束获得信道的时间长度为AIFS+Backoff时间（Backoff时间可以延续前面竞争所剩余的时间），Backoff时间通过CWmin和CWmax可以确定范围，并在这个范围内取值。Backoff的选择机制同IEEE802.11标准。高优先级的ACAIFS时间短，可以更早的进行退避过程。因此在竞争中，高优先级的AC可以优先接入信道。在QBSS中，信道竞争参数由QAP统一管理和下发。QAP和QSTA的信道竞争参数完全独立。一般可以稍稍提高QAP的信道竞争参数，保障QAP有足够高的信道控制能力。QAP通过beacon或ProbeResponse帧中的EDCAParameterSetIE通告QAP的EDCA参数设置，通过(Re)AssociationResponse帧中的EDCAParameterSetIE将经过协商的EDCA参数设置下发给QSTA。802.11的WLAN网络为用户提供了公平竞争无线资源的无线接入服务，但不同的应用需求对于网络的要求是不同的，而原始802.11网络并没有提供区分业务优先级的机制，不能为不同应用提供不同质量的接入服务。当网络发生流量拥塞时，需要优先处理的业务报文（例如语音报文）和普通报文（例如浏览网页的报文）会按相同的概率被丢弃。这和有线网络相对完善的QOS机制无法很好的衔接，已经不能满足实际应用的需要。WLANQOS能针对各种不同需求，提供不同的网络服务质量。对实时性及可靠性要求高的数据报文提供更好的服务质量，并进行优先处理；而对于实时性不强的普通数据报文，则提供较低的处理优先级。802.11e只实现了无线空口的业务优先级区分、高优先级业务优先保障带宽，没能解决如何在全网实现端到端的QoS问题。锐捷无线控制器（AC）+FITAP的端到端QoS解决方案不仅解决了无线接入点和无线用户直接在无线介质上的QoS，而且还通过将无线用户的优先级映射与无线控制器－FITAP间的CAPWAP隧道优先级，结合有线网络QoS机制进而实现了全网的端到端QoS。IEEE802.11协议规定采用的DCF（DistributedCoordinationFunction，分布式协调功能）调度模式是基于CSMA/CA（CarrierSenseMultipleAccesswithCollisionAvoidance，载波监听/冲突避免）原理，使得所有终端用户获取到信道的机会是均等的。IEEE802.11e为基于802.11协议的WLAN体系添加了QoS特性，这个协议的标准化时间很长，在这个过程中，Wi-Fi组织为了保证不同WLAN厂商提供QoS的设备之间可以互通，定义了WMM（Wi-FiMultimedia，Wi-Fi多媒体）标准。WMM标准使WLAN网络具备了提供QoS服务的能力。WMM通过将数据报文划分为4个接入分类（AC）队列，高优先级AC占用信道的机会高于低优先级AC，从而能针对每类报文提供不同级别的服务。为了使有限的网络资源能够更好地发挥效用，更好地为更多的用户服务，设备需要支持流量限速功能。当数据流量符合承诺速率时，允许数据包通过；数据流量不符合承诺速率时，丢弃数据包。评估流量的参数如下：平均速率（average-data-rate）即允许的流的平均速度，也叫承诺信息速率。突发速率（burst-data-rate）即每次突发所允许的最大的流量，也叫承诺突发尺寸。设置的突发尺寸必须大于最大报文长度。为了保证端到端的QOS，锐捷无线网络提供了无线QOS到有线QOS以及有线QOS到无线QOS的映射关系，进而实现了全网的端到端QoS。锐捷网络无线产品支持多种服务质量QOS，支持802.11e中的EDCF优先级，支持以太网口支持802.1p识别和标记。支持优先级队列及映射、流量限制、流分类。并且能够对QOS策略映射不同SSID/VLAN。无线终端互访的QoS映射过程无线用户STA1向无线用户STA2发送数据：1）无线用户STA1发送带802.11e信息的802.11Mac报文到AP1；2）AP1根据QOS的信任模式设置报文的内部优先级；3）AP1针对报文进行CAPWAP隧道封装，同时将报文优先级映射到隧道优先级中；4）根据QoS策略进行发送报文；5）AC1收到AP1发送过来的报文，去CAPWAP封装；6）根据入端口信任模式设置报文的内部优先级COS；7）根据出端口的信任模式再封装802.11Mac报文，并根据报文的内部优先级COS值封装报文的802.11e域；8）对封装后的802.11Mac报文进行CAPWAP隧道封装，将内部优先级COS映射到隧道的QOS域；9）发送报文到AP2，AP2去CAPWAP封装；10）根据QoS策略将报文映射到不同的队列进行调度，调度QoS队列，发送报文到STA2。3.4.4无线管理设计综合业务运维管理平台基于对IT基础设施的全面管理，将IT对业务的价值可视化，构建多种业务分析模型，从业务视角透视IT投资分布和价值收益。将IT基础架构及相关应用有效量化，并映射到它们支持的业务上，直观反映IT基础设施的动态变化对业务造成的影响和威胁，帮助管理者实现IT的精细化管理，掌控全局，准确衡量IT对业务的价值贡献，有力保障业务的健康、稳定运行。无线管理模块，为用户提供无线管理视图一览、无线网络拓扑管理、无线资源管理、安全管理、统计分析等功能，并通过锐捷网络特有的信号衰减算法，可以在无线网络拓扑中为用户呈现真实的无线网络热点覆盖范围，帮助用户做无线网络热点规划。同时，由于RIIL是一个综合管理平台，很好地解决了无线网络与有线网络分离管理的问题，并且可以通过业务建模，实现从业务视角对无线网络进行管理。安全方面，RIIL的无线管理模块也可以帮助用户发现非法AP接入和非法客户端接入。针对锐捷网络的无线设备，RIIL的无线模块进一步提供配置向导功能，用户可以通过RIIL提供的图形化web界面即可完成对锐捷网络无线设备的配置，大大降低无线网络安装部署和维护的难度。无线拓扑为用户提供有线、无线一体化的网络拓扑管理功能。解决无线网络环境复杂的情况下故障定位困难；不同地理位置的无线资源、有线资源在连接切换过程中的故障多发等特点。通过拓扑的图形化界面，直接让管理人员看到网络故障点、性能负载等信息。无线星图无线星图是在管理人员在同时维护几千台AP的情况下，通过星光图一目了然的发现故障点，直观了解无线设备运行情况。用户分布星图能够了解每个区域中用户分布密度。无线网络体验度计算出无线网络区域的用户体验，得到无线网络的服务质量。无线设备星光图：设备分布按标识区域随机显示设备分布情况，设备数量按实际数量显示。用户分布星光图：按照AP分布按标识区域计算区域用户数，并显示用户的分布情况。体验度分布图：无线网络区域的用户体验，评估无线网络质量。无线热图支持无线热图管理，通过锐捷网络特有的信号衰减算法，可以在无线网络拓扑中为用户呈现真实的无线网络热点覆盖范围，帮助用户做无线网络热点规划。针对每张热图，可以查看地理位置下的无线用户的详细信息，POE的列表信息。无线资源管理对于无线资源的管理，RIIL可以实现AC、FatAP、FitAP、Radio、在线用户、WLAN服务、AP接入端口、AP退服明细等管理。通过对无线资源的管理，支持对无线资源的数据分析功能。安全管理无线网络的安全是困扰运维管理人员的几大难题之一，在RIIL的无线管理模块中，RIIL可以发现RogueAP和Rogue客户端，并且告诉用户这些非法设备连接于哪个AC上，同时会为管理员提供非法接入设备的MAC地址、SSID、厂商、最大RSSI等信息，方便运维管理人员进行问题设备定位。无线配置无线配置可以完成AC发现、配置备份和无线热点配置功能，通过进行这些配置，即可实现无线网络拓扑发现，无线设备信息的采集和读取，无线热图的后台配置。其中无线告警配置功能，当某个区域AP离线数量占区域AP总数量的百分比达到特定数值，产生告警信息。同时针对锐捷网络的无线设备，在这个模块中，用户还可以通过RIIL实现对无线设备的配置，不需要再去使用命令行的方式，仅通过web界面的图形化勾选即可完成。3.5管理平台设计3.5.1运维管理设计基于对学校信息化建设的整体规划，本次运维管理系统建设要打造统一的运维管理平台，能够对全网IT资源进行统一管理，避免各类资源单独建设带来的大量维护工组，基于全网统一建设的运维管理平台要具备智能化、自动化的高效特点，全网数据的基础可应用大数据技术为学校的服务、管理提供帮助和支撑。从业务视角进行监控和呈现，并且能够帮助学校梳理打造标准化的运维管理体系。系统应采用分层、模块化的设计技术，模块与模块、层与层之间松散耦合，在不同的管理层次均有相应的处理模块，各管理模块既相互独立工作，也具备良好的耦合性，能够形成一体化运维平台，并且为保障系统的统一性，要求软件/模块必须使用同一品牌，且具有完全自主知识产权。1.全资源统一管理：支持全类型、多品牌IT设备与应用的管理，IT资源全覆盖，主要包含机房管理、拓扑管理、综合配线管理、无线管理、基础资源管理几个部分。机房管理：具有专业的机房管理功能，与IT综合管理系统无缝集成，提供3D仿真机房可视化管理，且在不进行开发定制的情况下，可以自行定制所需的3D场景户型图，定制户型图可在3D可视化机房中使用。3D可视化机房支持支持360度机房全景旋转、缩放展示功能，支持正面、俯视、左侧、右侧、后面等多个视角来观察机房；3D模型可以和动环、机柜数据进行灵活关联。3D可视化机房需支持物理线路的可视化，可以基于配线架、主机、网络设备呈现其物理联接线路的路径可视，并支持搜索定位。拓扑管理：基于HTML5组件的统一可视化平台，可在一张视图上综合展示所有类型的设备。要综合网络拓扑、业务拓扑、存储拓扑、虚拟化拓扑等功能为一身。提供灵活的自定义方式，可快速批量创建多个网段拓扑视图，可快速创建包含网络链路关系的拓扑视图。运维管理平台能够提供多种类型的动态效果，可扩展的图片库，可自定义出各种直观的视图。综合配线管理：综合配线管理，通过视图方式清晰展示综合布线的设备、管道、线路、配线间、配线柜、配线架之间的复杂连接关系；支持从主干线路、垂直布线、水平布线、机房等多维度的线路查看功能，可以灵活的从主干布线下钻至入楼垂直布线、水平布线、配线机柜、配线架中；支持配线架信息管理，并支持多种条件查询定位配线，支持变更记录管理，实现从整体到局部，再到终端接入面板的可视化管理。无线管理：支持对主流的思科、华为、华三、锐捷、摩托罗拉、中兴、juniper、Aruba的AC、AP、Radio等无线设备进行监控；支持通过无线视图实现对网络中的AC、AP、Radio等无线设备和有线设备进行一体化集中管理，可以通过多种视图进行展现。可绘制无线热图，并在绘制时可自动计算AP、Radio信号覆盖范围，可自定义添加障碍物，并根据障碍物自动计算信号衰减；能够获取到用户连接数、用户信号强弱、客户端类型、操作系统等信息。在视图上可以展现AP、Radio的告警状态。系统可通过星光图按区域展示出AP分布情况，当AP不在线或故障时，在视图上可直接显示，提醒人员去处理。支持区域的多边形绘制功能。支持热点区域AP不在线达到一定阈值时，整体区域颜色变红。可根据地理位置查看AP和POE的详细信息，方便运维人员进行故障处理。支持基于整网的无线的体验管理，识别不同区域、热点的用户体验情况。基础资源管理：虚拟化：支持通过API接口实现对VMware、Hyper-V、Citrix、H3CCAS、华为FusionCompute、华为FusionManager、KVM等主流虚拟化设备进行监控和管理；支持虚拟机漂移告警，告警包括漂移前所属主机、漂移后所属主机。存储：支持从物理、逻辑、SAN三个角度的资源关系呈现，物理关系可展示HBA卡、FC交换机、数据存储设备的关系；逻辑关系可展示数据存储设备磁盘、池、卷与主机之间的分配使用关系；SAN关系可展示由光纤通道的接口信息(WWNN等)及HBA主机设备的关系。支持多维度的性能指标统计，包括IOPS、缓存命中率、磁盘IO、数据卷IO、IO延迟等。操作系统：支持通过SNMP、WMI、Telnet、SSH、IPMI等协议对Windows、Solaris、AIX、Linux、HP-UX、SCOUnixWare、FreeBSD等主流操作系统的监控。系统能够管理和监测这些主流操作系统的可用状态、性能指标和配置指标。支持CPU、内存的监控，显示系统、用户、空闲模式的百分比。系统支持通过IPMI监视服务器的物理健康特征，如系统温度、电力电压稳定性、风扇工作状态、电源状态等。数据库：支持通过ODBC、JDBC方式对各种平台上的Oracle、Sysbase、SQLServer、Mysql、DB2等主流数据库的监控，能够按照属性相关性分为数据库工作状态、数据库表空间的利用情况、数据文件和数据设备的读写命中率、数据碎片的情况、数据库的进程状态、数据库内存利用状态等属性监控组，每个属性组包含一个或多个预先定义的监控项目，可以直接使用，也可以自定义或者修改。对于数据库中的不同表空间设定不同的监控阈值。2.高效管理：可将学校信息化建设中复杂的、有规律的、繁琐的事物，通过自动化、智能化手段来高效处理，本次建设要求运维系统具有用户故障追踪和自动化运维、移动化管理功能模块。用户上网故障追踪，支持图形方式定位用户接入端到应用端或网络出口的网络访问路径，并通过实时端口探测、历史接入、配线信息、设备状态等功能，将有线、无线网络的问题处理从繁琐的反复询问+人工梳理的方式，转变为智能化的路径追踪+远程处理，缩短故障问题处理的时间及效率。自动化运维，降低运维成本、提高人员效率。运维系统系统需支持：基于健康检查周期系统可自动生成健康检查报告，并报告需支持对检查项的评分，最终体现出减分的检查项，供管理员进行问题解决和处理。支持对常见网络设备厂商（华为，H3C，锐捷，思科、迈普、juniper等）的网络设备（路由器、交换机、防火墙等）的批量配置功能；支持对常见主机（windows、linux、AIX等）的批量配置功能，基于脚本来实现对主机的批量配置、快速部署等功能。脚本至少支持shell、python等多种类别；系统支持对常见数据库（mysql、oracle、sqlserver）基于SQL命令的配置，可基于SQL命令来实现对数据库的批量配置、参数修改、备份等功能。系统支持针对监控系统产生的告警，直接关联CMD命令、脚本、SQL语句等智能的实现故障的自动化处理。如：重启系统服务、重启进程、关闭网络接口、关闭服务端口等。系统支持广义的脚本管理，通过脚本库的方式来实现对各类脚本的统一管理。系统需要至少支持一下几个种类的脚本：针对网络设备，支持基于CMD命令行的脚本针对网络设备，支持基于SNMPget/setOID的脚本针对主机设备，支持基于shell、bat、python等的脚本针对数据库，支持基于sql语句的脚本。移动化管理，需为统一的移动门户，支持私有化部署，能够基于邮件、文件、业务进行沟通、协助互联，支持定制化，具备移动安全架构。移动化平台需集成客户所有web、app的移动业务，提供业务移动门户功能，集成过程中可以通过邮箱、手机号、token等多种方式认证；移动端支持即时通讯的功能，可以选择任意用户发起沟通、创建工作组等，管理员可以随时查看工作组所负责的所有工单任务；移动端支持工作协同管理，管理员可以创建任意协同事项、协同子任务，可以指定任务负责人、任务截止时间及任务提醒时间。用户还可以针对自己负责的任务设置本地提醒。3.面向用户：通过大数据来创新学校的IT运维管理，建立用户数据收集和应用机制，提高网络服务水平，提供决策支撑，体现智慧校园下大数据在师生信息化服务方面的创新。包含用户体验和用户位置2个功能模块。用户体验：基于校园网运行的有线、无线数据流量，通过大数据手段对用户网络访问数据的多维度钻取，可实现用户体验数据的量化评估，并通过多维度分析，找到网络体验较差所属的设备及用户，帮助网络中心扩大管理覆盖范围，聚焦问题原因所在，提高整体网络服务水平。需要从用户端、业务端、出口业务端三个维度，用端到端的方式展现。用户位置：在现有的“IT基础设施层”基础上，对校园无线网络数据、传感器的数据进行整理，以及通过对“业务应用”的数据整合，能够为校园提供强大的基于位置的应用服务。位置服务平台可帮助校园管理者分析校园的学生分布情况、每个学生行为画像，为教育教学提供决策支撑。4.业务支撑：系统应提供所见即所得的业务和资源建模能力，内置业务依赖模型，在对基础网络和资源监控的基础上，从业务角度出发，将这些组成业务系统的IT资源按照其关联关系、权重等组成业务逻辑模型进行监控，建立从业务视角出发的监控视图，主要包括：应提供关键业务系统的类似健康曲线功能，可使用曲线图等显示业务健康状态，可以显示每一个时间范围内关键业务系统的综合健康水平和变化趋势，从而使管理者能够以直观的图形方式获取IT部门对业务系统的支撑质量等相关信息。可对每一个关键业务进行实时监控，以卡片的形式显示业务应用的运行状态，包括健康度、繁忙度、可用性、告警信息等，每一个业务健康度曲线能够反应任意时间点业务应用的指标信息及告警信息。应能够梳理业务系统与应用部门、支撑的IT资源的支撑、关联关系，当业务应用出现故障时，能清晰展现所影响的服务及部门；每个业务服务对应一张业务拓扑图，能从客户层、业务应用层、资源层展现关联关系，包括各资源之间的关联关系，支持自定义业务拓扑图；当资源产生异常时，能够高亮显示资源告警及故障的传递关系。业务应用支持自定义设置可用性状态计算规则，可自定义参与计算的IT资源或其组件，可通过与、或、优先级等运算符自定义可用性计算公式。提供对每个业务应用下钻功能，通过对应的业务拓扑图，能够详细分析每个业务与其IT资源设备的支撑关系、各个资源运行是否正常以及资源之间的关联关系等，业务视图可自定义关联IT资源的监控指标提供业务自定义指标扩展接口，通过标准的数据接口可以接入第三方系统的业务数据推送，也可以采用自定义脚本的方式主动采集第三方系统的业务数据，满足业务运行数据的集中管理、报警、呈现等。系统需内置高校校园网业务视图，视图包括校园网网络核心，园区网络、认证系统、校园网门户、校园网出口、校园网无线等关键部分的运行状态。出口应能显示到各个运营商的的流量信息；5.服务标准化：构建校园IT服务平台，与IT基础架构监控系统无缝对接，让故障报修请求与响应更快，并构建事件管理、问题管理、移动平台、KPI考核、项目及任务管理的标准运维管理体系。管理决策：需将IT运维管理过程中产生的大规模数据进行收集、存储、挖掘、计算，从繁多、变化的数据中挖掘有价值信息，及时掌握变化，功能需支持：支持数据仓库技术专用的数据库进行数据存储和展示；数据分析模型可自定义，包括分析内容、分析样式、分析路径，同时路径支持可逆查询；数据分析模型需要包括监控数据分析和流程数据分析，并可以在同一页面进行展示3.5.2无线网优管理设计在本方案中设计增加了无线网络优化系统，无线网络优化系统有别于传统的网管系统，要求针对无线有专业的可视化系统界面，针对无线网络管理，不在是传统的热力图呈现，而是结合当前信道利用率，用户接入数量和通信中RSSI等数据值来度量覆盖，识别区域中覆盖问题和个别点的覆盖问题。该系统能够体现当前无线网络的各个参数，整合AP采集的资源，以大数据的方式进行呈现。能够精准识别网络中体验差的原因，结合数据采集的方式做分析，得出网络整体状况。同时还可结合环境因素，终端当前状况，问题影响面等数据，进行预知调整，结合目前网络的问题，给出优化解决方案，减少网络运维的工作量，可手动/自动进行调整。为便于老师后期根据实际情况实时优化无线网络，该系统在查询上能够基于三个维度给用户提供无线网的整体查询：1、全局的角度能够在网管上看到无线网络目前运行的整体情况，这个整体情况可以基于AP、基于用户或者基于区域，能够让老师能够一目了然的看到无线网络的运行情况，比如还可以通过故障率方式进行排序，将出现故障的设备信息以置顶的方式展现，方便老师快速查询。2、基于主体AP的角度能够基于主体AP，对整个无线网络进行逻辑分层，比如按照楼宇进行分组管理，通过对于主体AP的统一展现，能够发现无线网络中哪个主体AP出现故障，从而定位到与这个主体AP相关的射频卡上，能够在主体AP上，看到已经成功关联的用户数量、通过认证的用户数量等信息。3、基于射频的角度在射频的角度上，主要是关注用户的一些体验，比如射频卡上关联用户的数量、已经认证成功的数量、每个用户的关联速率、物理位置等信息；无线网优系统在实现优化外，还需包括一些几个方面：1、主体AP的关联用户数排序、认证用户数的排序、速率的排序（包括上、下行流量）；2、射频角度的排序，能够区分2.4G、5.8G射频、每张射频卡上的用户的相关信息的排序；3、正常AP和非正常AP的比值，从学校无线整理的角度；4、无线网络故障的统计列表，这些故障信息最好能够置顶显示，便于老师快速查询；5、资源整体使用情况的统计；6、无线空口资源的统计和排序（能够区分2.4G和5.8G）；7、非法AP的情况，信道干扰的情况；系统逻辑结构图：3.5.3安全防护设计本项目的建设内容包括信息安全技术保障体系和信息安全管理保障体系两部分，具体建设内容如下：1、构建信息安全技术保障体系对学院应用网现状进行摸底，部署必要的安全设备和调整、优化安全策略并对存在的风险点进行安全加固，实现不同层次的身份鉴别、访问控制、数据完整性、数据保密性和抗抵赖等安全功能，从网络、主机和应用三个层面建立起强健的信息安全技术保障体系，并最终使XXXX学院应用网及两个系统符合等级保护二级的各项指标要求。同时通过一系列安全监控、安全防御和安全问题跟踪管理产品，积极、主动、及时地对罗湖教育应用网安全威胁进行响应和处置。技术建设具体内容如下：1、部署网络出口防火墙，在出口部署高性能设备。设备配备IPS入侵防护和网络防病模块，提升对端口扫描类、木马后门、缓冲区溢出、IP碎片等攻击行为在网络边界处进行监控和阻断能力。同时实现网络链路负载均衡功能，动态调整电信、联通、移动、教育网四个网络出口的流量，合理利用并充分使用现有网络带宽资源。2、部署入侵防御和网站安全防护产品，在DMZ子区、云平台服务子区和重要业务子区出口部署入侵防御并在每个web应用上安装针对应用防护的产品，加强Web应用系统的应用安全防护能力，能够对Web应用系统主流的应用层攻击（如SQL注入和XSS攻击）进行防护。3、部署网站监控系统，对对外网站和网络出口进行安全监控，防止发生页面篡改、挂马及暗链及网络攻击等安全事件。为学院信息系统提供有力的安全技术保障，便于用户随时了解自身系统的安全状况，掌控自身系统的安全风险。4、部署漏洞扫描系统和安全漏洞监控管理平台，面对各种互联网不断爆出新型漏洞，区教育应用网网内的业务系统存在风险漏洞如不能被及时发现，将为学院应用网埋下很大的安全隐患。在目前缺少集中监控措施的情况下，部署漏洞扫描系统和安全漏洞监控管理平台，让用户随时掌握自身业务系统的安全漏洞情况，及时发现并提出整改，为信息安全工作起积极作用。5、部署网络防病毒系统，防止各种病毒、蠕虫的传播，保证整个服务器的稳定运行，保证数据文件不会遭到病毒的破坏。可以是开启防病毒功能的下一代防火墙6、部署运维审计、数据库审计、上网行为审计等安全审计类设备，实现信息化行为的日常审计和告警管理，实现信息安全问题的快速响应及问题事后的溯源分析。7、部署网页防篡改，通过水印等校验技术对网站程序进行监控，实现网站的防篡改保护和被篡改时的告警。2、构建信息安全管理和运维保障体系信息安全管理建设主要包括安全管理建设和安全运维建设两部分，其最基础要求是使XXXX学院应用网满足等级保护二级和罗湖区信息安全检查的各项指标，具体包括：1、安全管理建设主要是建立信息安全总体方针框架、标准规范和信息安全管理规范、流程、制度体系，其作为信息安全保障的行为准则、依据和指导。构建合理、有效的安全组织架构，配备和设立安全决策、管理、执行以及监管的主要责任人员岗位和机构，明确各级机构的角色与责任。形成一整套对信息安全有效管理的规定，完善信息安全管理与控制的流程，将高层人员参与、安全绩效考核、人员信息安全意识与技能培训等纳入信息安全管理保障体系，保证XXXX学院应用网安全运行。2、落实日常信息安全运维工作，构建定期的信息安全风险测评、评估机制。除对现有信息安全基础建设进行加固外，还需后建立有效的风险识别、控制和处置机制，定期进行充分的现状调研和风险评估或实施信息系统安全等级保护测评等安全测评过程，对信息系统存在的风险状况进行评估，并采取相应的有效措施。3、利用漏洞监控预警产品，实现对全区教育业务系统、服务器、网络及安全设备等信息资产的安全漏洞跟踪管理，对发现的安全漏洞及时下发至各责任单位进行整改，并跟踪、核实整改的成效；对漏洞数据实施大数据分析挖掘，分析包括漏洞分布、各校漏洞排比、整改落实占比等多项指标，为区教育网的信息安全态势分析提供基础素材。3.6云桌面系统设计3.6.1锐捷云办公闪电版原理与架构IDV技术与VDI技术（1）VDI技术简介VDI，英文全称VirtualDesktopInfrastructure，即虚拟桌面基础架构。它不是给每个用户都配置一台运行Windows7或XP（后文统称为Windows7）的桌面PC，而是通过在数据中心的服务器运行Windows7，将你的桌面进行虚拟化。用户通过来自客户端设备（客户机或是家用PC）的客户计算协议与虚拟桌面进行连接，用户访问他们的桌面就像是访问传统的本地安装桌面一样。让终端用户使用他们想使用的任何设备。他们可以从任何地方连接到他们的桌面，IT人员可以更易于管理桌面，因为它位于数据中心之内。实施VDI的优点：通过网络，可以迅速部署一个通用的、支持性桌面环境。创建一个Windows7桌面镜像并使用该镜像来部署服务器虚拟机监控程序上的虚拟机。一台服务器可以支持许多虚拟桌面。这些桌面的每个反应作为一个独立Windows7桌面。不同的是使用网络协议传输服务，连接到某个虚拟桌面的用户不会影响其他虚拟桌面或主机，服务器有该VM所有功能的完全访问权限。用户也可以使用远程桌面客户端连接到他们的虚拟桌面。可以集中管理和部署更新。只需更新用户的Windows7桌面镜像即可实现管理部署。在下次登录的时，就会有更新后的图像与他们保持的所有设置。可以迅速恢复到以前设定的稳定版本桌面镜像。在执行更新之前保存上一个镜像的快照副本。这将有助于部署后的镜像回滚。可以实现桌面漫游。当用户使用客户机A登录账号后，打开word文档进行编辑。然后到另一个客户机B通过账号登录，可以立即获取之前桌面的状态，实现在不同的位置连接同一个个人桌面，同时保持业务操作连续性。虚拟桌面基础架构（VDI，VirtualDesktopInfrastructure）是许多机构目前正在评估的全新模式。VDI旨在为智能分布式计算带来出色的响应能力和定制化的用户体验，并通过基于服务器的模式提供管理和安全优势。它能够为整个桌面镜像提供集中化的管理。VDI需要持久的网络连接，因此不适于要求离线移动性的场合。所有客户端计算、图形和内存资源必须置于数据中心内，存储系统必须满足每位用户的操作系统、应用和数据要求。在可管理性方面，需要考虑可能节省的TCO和部署基础设施所用成本的对比情况。（2）IDV技术简介IDV智能桌面虚拟化(IntelligentDesktopVirtualization)是英特尔公司提出了一种革新性的框架，它将使得管理用户计算的整个系统变得更加智能。而且能够最大化用户体验的同时给IT人士提供所需的管理功能。智能桌面虚拟化是一种相当新颖的技术观念，在未来很有可能彻底颠覆整个桌面虚拟化游戏规则。英特尔定义的IDV这种全新智能桌面虚拟化概念，描述了可使IT人员和终端用户双赢的计算和桌面管理态。IDV解决方案在确保用户尽享高性能、移动性和灵活性的同时，提供IT人员控制和保护桌面镜像和设备的能力。IDV具备如下三大特点：1)集中管理和本地执行，将数据中心构建量降至最低，使用智能客户端的处理能力，优化用户体验。这样对于服务器端计算要求将大幅降低，同时服务端管理人员的运维操作工作也相对减轻。终端本地的硬件通过本地虚拟化技术提供更高级别的本地计算能力，提供更佳性能，并能降低成本。2)智能提供差异镜像，从而提高更新和补丁操作、简化存储。当IT人员对桌面镜像进行管理升级时时，系统会自动识别差异分层，并能最大程度地减少镜像数量。智能传输会将终端上运行的本地镜像与管理端镜像同步，同步时采用镜像预下载技术，这样可确保终端用户和IT人员更新时不影响其使用终端镜像。同时使用去重复技术增强这些镜像的同步和存储，以最大程度地减少存储和网络带宽需要。云办公产品架构锐捷云办公闪电版方案是基于IDV架构的桌面虚拟化解决方案。它采用集中管控、分布运行的架构，集传统PC桌面及VDI虚拟桌面的优势于一身，同时又有效克服了传统桌面难以集中管理以及VDI桌面体验效果差等瓶颈问题，是云桌面部署的首选方案。云办公闪电版解决方案主要由两部分组成：云管理平台（RCM）、智能终端接入（Rain300系列、Rain400系列）云管理中心（RCM）：RCM1000是锐捷云办公闪电版方案的一体化云管理服务器，是整个系统的管理中心，承担着统一下发标准镜像（黄金镜像）、用户认证、个人数据存储、管理镜像更新的重任。同时，通过完备的策略体系，对不同用户的使用权限进行个性化定制，从而保证客户端数据的安全性。智能访问终端（Rain300系列、Rain400系列）：使用指定的智能云终端（Rain300系列、Rain400系列）或安装有桌面虚拟化软件的PC机，能够为用户带来接近本地处理能力的完美体验。同时，支持离线登录使用，为网络中断但业务不中断的实现提供可能。再者，支持安装多个操作系统镜像，实现内外网环境的便捷切换。最后，支持个人数据漂移，以及外带模式，为多变的业务场景提供有力支持。智能终端实现原理锐捷云办公闪电版方案是基于业内领先的IDV架构的桌面虚拟化解决方案，云终端具有本地存储、显卡以及不弱于一般办公PC的计算处理能力，在终端硬件层上安装虚拟化