大学网络方案教学内容.docx
- 文档编号:26710978
- 上传时间:2023-06-22
- 格式:DOCX
- 页数:7
- 大小:141.59KB
大学网络方案教学内容.docx
《大学网络方案教学内容.docx》由会员分享,可在线阅读,更多相关《大学网络方案教学内容.docx(7页珍藏版)》请在冰豆网上搜索。
大学网络方案教学内容
*****大学
网络改造项目规划
一、
方案背景
针对国家中长期教育改革和发展规划纲要中的“加快教育信息基础设施建设,把教育信息化纳入国家信息化发展整体战略,加快终端设施普及,推进数字化校园建设,实现多种方式接入互联网”要求,对*****大学将“以需求为导向,以提高学校核心竞争力为目标”作为信息智能化校园建设的战略目标。
校园网发展的几个阶段
第一个阶段,可用的网络:
随着大规模的PC部署,带来高校用户内部互联互通的需求,此阶段学校的重点集中在基础网络建设上,用户可以通过校园网访问内部互联互通,并可实现对INTERNET访问;
第二个阶段,可控、可管的基础网络:
随着校园网用户规模的不断扩大,以及互联网浪潮的兴起,校园上承载了越来越多的应用,校园网的安全问题也日益凸显,这一阶段,除了重视对基础网络的建设、基础网络带宽的扩容外,校园网的安全、可控是校园网的关注点;在这个阶段,校园网的基础架构已经建设完成;
第三阶段:
简单、可扩展的网络:
随着移动互联网的兴起,移动无线终端的接入成为校园网建设的关注点,校园网向服务转型:
更加注重终端用户的使用体验,并为各部门的业务建设提供支撑。
此阶段,学校更加注重网络运营的效率,以确保网络架构能够快速支持的变化(终端数量的变化、应用的变化);
目前,多数学校都处于第二阶段向第三阶段转型的过渡期;
二、
网络现状
*****大学是一所以矿业工程为特色的高校,是国家教育部教学工作水平评估优秀高校,是服务国家特殊需求“煤矿事故应急救援与影响控制”博士层次人才培养项目的唯一一所高校,是“十二五”期间重点建设的特色应用型本科高校。
在60多年的办学历程中,学校始终践行“厚德博学、强吾兴邦”的校训,铸就了“自强不息、创业创新”的办学精神,培养出了10万余名优秀人才,为区域经济和我国煤炭工业的发展做出了突出的贡献,被誉为“煤炭工业的脊梁”。
经过多年的发展建设已经发展为数万学生的超大规模的学校。
*****大学现有网络
现有网络问题:
1.网络设备设备运行时间比较长;
2.人数增长快,认证系统已经跟不上人员终端的增长模式
三、
方案设计
针对现有问题。
在保证网络整体架构基础下,重新部署两台核心层设备。
采用核心区域集中管控和认证管理的方式组网,提出对现网最快的改造升级方式。
方案具体拓扑图如下:
方案拓扑图
3.1核心交换机升级
可在已有的架构上平滑升级,保护已有投资;
用户可有多种改造方式可供选择
更换核心,维持现有网络架构不变
更换核心,汇聚层网关上收到核心,接入分布式认证;
更换核心,网关/认证上收到核心
新业务快速上线,不需要大规模更换的设备;
DCRS-9816交换机提供采用32核CPU的管理板通过多核的并发处理,。
同时在转发面采用了分布式过滤技术。
提升网络认证性能
目前,DCRS-9816交换机可支持最大90000双栈终端同时在线,用户认证上线的速率能达到1000人/秒以上。
同时,集中认证网关设备DCRS-9816交换机有三大类线卡,这些线卡的交换芯片,通过该技术,可以灵活配比MAC、ARP、ND表项的容量,解决了传统交换芯片表项容量固定,无法按照用户需求提供灵活的容量定制。
提升整网网络管理效率
说明
接入汇聚设备用户隔离
当前推荐采用VLAN隔离方案;
哑终端、特权用户的接入
采用MAC认证方式,SAM建议特殊用户组,适用于哑终端、特殊设备入网
免认证区域
将免认证区域划分到一个VLAN内,并将该VLAN配置为免认证VLAN
管理员认证后,区域内所有的用户可直接上线
将免认证区域划分到一个VLAN内,该区域通过一台三层交换机接入到这个VLAN下
SAM上,限制N18K对应这个区域的物理端口+VLAN,只允许管理员上线(SAM下一个版本支持)
管理员认证通过后,该区域所有用户无需认证,直接上线
特殊业务部门加入
需要同其他用户网段隔离的特殊业务部门,可单独分配一个SVI给此类部门,为其配置单独的网段
3.2webPortal软件
DCSM-RS是一套网络身份准入门户系统,配合锐捷网络的认证计费系统,进行基于WEB方式的身份认证或者域认证。
为了满足针对无线用户实时安全监管的需要,方案可通过与核心交换机认证网关、计费认证系统的配合,进行多个场景的用户定位。
可基于特定时间段或区域,例如学生在上课时段,校方希望禁止学生在教室内上网,需要对该区域的用户进行网络屏蔽。
传统Web认证场景中,是由交换机将所有http报文全部重定向到服务器,这样迅雷等下载软件,QQ等社交程序也会被重定向,并进行WEB认证跳转。
这样就导致服务器大量的WEB认证处理资源被浪费,最终无法为正常的认证用户提供服务。
这里我们利用了非页面访问无法解析http脚本文件的特性,避免服务器收到非页面访问的http报文,实现对服务器的降噪功能。
确保Web认证的可行性、可用性。
3.3计费系统
当前校园网的认证、计费场景,归纳起来,有几种方式:
1.按时长计费(上线时长)
2.周期计费(包月、包天)
3.按流量计费(根据用户实际使用流量进行计费)
另外,针对用户不同的访问区域,也存在不同的计费方式,比如
1.校内流量免费、校外流量收费
2.教育网流量免费、运营商流量收费
3.国内流量免费、国际流量计费
不仅如此,通过自定义计费策略配置为用户提供灵活、强大的计费策略配置,满足用户不同的计费要求;例如:
周期、流量、计时计费三种方式可以组合成一种或几种计费策略,还提供周期不使用不扣费及复合分段计费等配置,为网络管理运营提供多种计费方式加上包月限无线流量,包月计无线流量部分。
而差异化的运营管理是的有一大价值,分区域精细化管理,按照区域划分服务,不同的用户在不同的区域可以实现不同的服务,实现了精细化管理的理念。
例如:
在教学区、宿舍区和公共机房,分别是无线和有线接入,一个学生使用同一账户可以使用不同接入控制和相应的计费策略。
认证原理:
802.1X认证
1、认证流程
2、认证流程说明
客户端:
对应锐捷的RG-SU认证客户端。
NAS:
根据客户端当前的认证状态控制其与网络的连接状态。
在客户端与服务器之间,该设备扮演着中介者的角色:
从客户端要求用户名,核实从服务器端的认证信息,并且转发给客户端。
RadiusServer:
对应锐捷的SAM认证计费系统,该系统为用户提供认证服务。
认证服务器保存了用户名及密码,以及相应的授权信息,一台服务器可以对多台认证者提供认证服务,这样就可以实现对用户的集中管理。
认证服务器还负责管理从认证者发来的记帐数据。
Web认证
1、认证流程
2、认证流程说明
用户打开IE,访问某个网站,发起HTTP请求。
NAS截获用户的HTTP请求,由于用户没有认证过,就强制到Portal服务器。
并在强制PortalURL中加入相关参数,具体参数参考CHAP认证。
Portal服务器向用户终端推送WEB认证页面。
用户在认证页面上填入帐号、密码等信息,提交到Portal服务器。
Portal将帐号与密码提交到NAS,发起认证。
NAS将帐号和密码一起送到中央RADIUS用户认证服务器,由中央RADIUS用户认证服务器进行认证,中央RADIUS服务器根据用户信息判断用户是否合法,返回Radiusaccess-accept/reject给NAS设备。
NAS返回认证结果给Portal服务器。
Portal服务器根据认证结果,推送认证结果页面。
Portal服务器回应NAS收到认证结果报文。
NAS设备发送记账开始报文。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 大学 网络 方案 教学内容