1、普教智慧校园解决方案1 智慧校园概述1.1建设背景国家教育发展的目标是构建全民学习、终身教育、随时随地可学习的学习型社会。2012年教育部发布教育信息化十年发展规划 明确指出：以教育信息化带动教育现代化，破解制约我国教育发展的难题，是加快从教育大国向教育强国迈进的重大战略抉择。随着物联网、云计算和新一代移动网络技术等兴起和快速发展，教育信息化建设从数字技术进入智能化时代，智慧教育成为教育信息化发展的新趋势。互联网+教育政策，进一步推动教育信息化进程，通过智慧教育的理念和信息技术去改变传统的教育方式。如何落地智慧教育，一方面，进一步深化和落实三通两平台建设目标，从教育局层面搭建资源和管理平台。另
2、外一方面，则是建设智慧校园，满足不同学校不同需求。2018年教育信息化和网络安全工作要点明确提出，推动数字校园和智慧校园建设。智慧教育区别于已有教育的最根本之处，是要新増将培养创新创造之人作为重要任务，而不是原来可有可无的任务。相应地，智慧校园的本质在于为造就创新创造之人提供支持、支撑、服务。如何建设智慧校园，核心理念是：通过以用户为中心，以需求做驱动的方式，智能化的满足校园网络用户的个性化需求和功能服务，真正做到信息化技术与教育教学的深度融合。1.2建设需求目前各学校在智慧校园的探索过程中，仍然采用数字校园的建设思路，只强调业务系统的建设，缺乏顶层设计，不关注同一标准设计，业务与技术脱节，同
3、时不注重硬件建设，导致整体信息化建设无法满足未来学校的业务发展要求，具体表现为：不仅是要解决上述问题，智慧校园的建设必须站在顶层设计的角度，以服务于人的角度，切实的实现信息技术与教育教学的深度融合，建设出符合未来发展的智慧校园服务体系。2 中小学智慧校园的建设目标（1）、学生层面：不仅仅局限与课堂，关注学生在校内，甚至是校外的学习和生活。强调学生的综合素质全面发展，而不仅仅是学习成绩一方面。通过智慧的手段参与到学生校内校外，课中课间学习、管理全流程。（2）、教师层面：班主任能够对班级做到智能管理，根据每个学生的学习情况和进度，报告学生的学习进展情况。任课老师，能够轻松、高效的完成备课任务，将主
4、要精力到在课堂。实时的掌握学生课堂上的学习情况，充分调动学生的学习积极性，将学习过程变被动为主动。（3）、家长层面：为家长定制他所需要的教育信息，智能推送学生的在校情况，了解到孩子在校的表现。（5）、信息中心层面信息中心作为学校信息化的领导者，将学校遇到的问题，通过信息化手段去解决。不仅是要维护好学校的业务系统，更需要站学校运营的层面，提出顶层设计和细化方案。3 锐捷智慧校园理念设计锐捷深耕教育18年，一直致力于教育信息化的研究，秉承对智慧教育的深刻理解，提出智慧校园建设的核心理念：全场景方案服务教育教学，让校园生活变得更简单，让师生“教学”变得更专注。3.1智慧环境服务 基础设施是智慧校园的
5、基础，包括校园网、终端、数据中心和各种数字化环境（如多媒体教室、计算机教室、教师备 课室），尤其是稳定、高速的校园网络环境是智慧校园的必要条件，是基础设施建设的重中之重，硬件设施在物理空间上应该确保覆盖全校园的范围，既包括校门口、教室、办公室、操场等全场景。此外，IT硬件还应该具备可拓展性，不仅需要满足当下应用，更需要能够适应未来业务扩展。3.2智慧教学服务构建先进实用的网络教学平台，课前为老师备课提供丰富的教学备课资源，课中对课堂做深度把控，创造主动式、协同式、研究式的智慧学习环境，建立师生互动的新型教学模式，课后高效的学勤统计，提供整体分析，为调优教学提供依据。4 锐捷智慧校园整体系统设计
6、4.1 总体系统架构设计锐捷结合自身优势，将云计算、物联网、数据挖掘和数据分析等信息化技术融入教育教学全流程，从终端用户接入层、硬件平台支撑层和应用平台服务层，构建整体智慧校园服务体系。用户接入层覆盖进出校、智慧教室、计算机教室、老师办公室、体育课等学校全场景，智能的提供用户终端接入和使用；硬件平台支撑层提供用户接入层和硬件平台应用层的网络服务、硬件基础设施服务和虚拟化云平台服务,提供智慧校园基础环境支撑；应用平台服务层，提供学校必须的核心业务服务和运维管理服务。4.2 总体产品架构设计平台产品架构设计极简的校园网、智能的设备网、高速的无线网、智慧的物联网为学校整网提供了教学管理、日常办公、内
7、外交流等全方位的信息化服务云课堂、云办公和智慧云课堂以融合创新和云架构理念，先后打造了针对计算机教室、多媒体教室、办公室和智慧教室等各个教学和办公场景整体解决方案，引领教学和办公新体验，助力智慧校园创新模式的腾飞4.3 总体网络架构设计主打弹性架构，从有线基础网络、无线网络、安全区域到数据中心，从不同层面对资源做到池化，保障IT硬件架构的先进性和冗余性。5 智慧环境设计5.1校园网基础平台设计5.1.1校园网核心骨干现状分析传统的校园网中，用户接入控制、安全防护、运营及服务管理的各种功能、策略一般都部署在校园网的接入、汇聚交换机上。这种部署方式导致整个接入网的整体拥有成本非常高，学校的信息部门
8、曾今投入了大量的资金来搭建这张接入网，而未来一旦因为设备老旧、功能升级等原因，这张接入网还会继续需要持续的资金投入，而随着无线校园网的建设，这笔资金的数额更加巨大。传统三层网络在扩展性不足的同时，还给用户带来了持续的部署、运维压力，大量的接入设备因为复杂的安全、认证配置；汇聚设备的路由、网关配置相当耗费精力，而中小学信息部门在人力资源的配置和储备又存在问题。综上所述，传统三层网络已经逐步不能满足大型校园网的发展了。5.1.2锐捷网络大核心扁平化方案设计锐捷的极简网络设计，采用了扁平化组网方案。接入层设备推荐采用锐捷S2910系列全千兆交换机，汇聚层设备推荐选用锐捷S5750，核心层设备推荐采用
9、锐捷Newton18000系列交换机。无线网络区域、智能化网络区域、有线网络区域、数据中心区域、云办公和云课堂区域统一汇总到Newton 18000核心交换机上。5.1.3扁平化设计的关键技术和价值点1网关上收核心层，扁平化组网。采用高性能核心设备，单台设备承载全网无线网、有线网、智能化网、数据中心、云课堂和云办公业务。2核心设备虚拟化。逻辑上只需要管理一台核心交换机，且核心设备间高可靠高冗余，实现毫秒级切换。且增加更多核心设备，如数据中心核心交换，也可以平滑冗余虚拟化组，实现平滑扩容。3简化网络结构，简单网络管理。由于网关上收至核心层，减少了网络中的三层设备数量（即网络中最庞大的汇聚、接入设
10、备），无需设计复杂的路由等协议。且网络故障排查中只需要在核心层排查三层协议，汇聚、接入层只需排查VLAN配置，极大降低管理难度。4设备利旧，节省用户投资。由于汇聚和接入设备只需要支持标准的VLAN协议即可，无复杂功能要求，现有校园网汇聚、接入即可满足需求，平滑升级到高规格校园网络。且在未来的校园网升级或设备更换时，无品牌、功能绑定和限制，校方更具有议价权，可选择高性价比产品，节省学校投资。5.2出口设计5.2.1出口现状分析经过大量中小学客户的实际调研发现，目前中小学校园网络出口主要面临以下问题： 1、关键业务无法良好运行，链路带宽无法高效利用问题越来越多的用户抱怨上网速度慢，打开一个网页要好
11、久，高峰时间更慢，QQ/MSN、甚至视频会议时断时续，严重时彻底影响到学校正常业务的开展。BT、迅雷等P2P应用流量过大，挤占关键用户或关键应用带宽，造成服务质量差，用户上网体验下降。比如：视频会议断断续续，OA办公时，打开一个页面延迟很大。与此形成鲜明对比的是，多条出口链路中部分链路的流量却很小，流量分布不均匀造成部分链路带宽资源闲置浪费。如何保证带宽被充分利用，使得关键业务运行能获取必须带宽。2、学生上网行为如何管理的问题随着无线校园网的建设，电子书包等教学业务开始兴起，学生利用平板电脑上网，如果不对学生的上网行为加以管控，互联网上的涉黄暴力内容会严重影响学生的身心健康。3、安全合规问题日
12、志审计：重大政治事件、安全事件频发的大背景下，全国都在开展安全大检查，公安部82号令所要求的日志审计如何满足？如何符合网络监察检查标准？1)实名制问题不光接入网络要认证，访问Internet也要做准出认证（可以简单理解为网关认证），并在准出认证基础上，针对不同用户身份进行相应策略部署。同时配合日志审计功能，可以将用户与审计日志对应起来，出现非法言论可以直接定位到人。对于高新区中学校园网信息平台而言，主要的网络边界有互联网边界，上级主管部门互联边界，以及内部不同业务系统间的区域边界，都存在一定的安全风险。2)网络边界问题非法访问：外部用户试图访问高新区中学校园网信息平台所开放服务之外的信息和服务
13、；非法入侵：黑客通过身份假冒、应用层攻击等方式，穿透访问控制机制，进入高新区中学校园网信息平台内部进行非法操作；服务器被黑客控制，并对其他目标发动攻击。学校的门户网站被黑客攻击、学生的考试成绩被篡改、学籍等资料被非法泄露并被犯罪分子利用。恶意攻击：包括各种常规攻击和DoS/DDoS攻击，影响网络运行、造成资源浪费或者引发一系列安全问题。 病毒和蠕虫：计算机病毒和网络蠕虫的传播和爆发，将可能使整个系统处于瘫痪状态。WEB安全：目前Web安全越来越受关注，比如防范网页被篡改、防范网站被挂马。5.2.2出口部署方式校园网出口部署方案普教中小学校园网规模相对较小，为了减轻后续维护工作量，出口的设计要秉
14、持简单的原则。因此适合采用ALL in ONE类型设备，EG是多业务一体化网关，集成了多链路负载均衡、ISP选路、流控、上网行为管理、审计、VPN等功能，替代传统的串糖葫芦式出口，简化出口部署。配合EG简易的WEB管理界面，减轻了学校网络中心老师的维护工作量。随着教育资源平台的建设，校园网络的安全问题应该越来越引起重视，在网络边界部署高性能的硬件防火墙设备RG-WALL1600系列防火墙。在防火墙上设置路由策略与防御策略。使用防火墙部署独立的DMZ服务器区。并且通过核心交换机将内部网络划分为若干个VLAN。并且在核心交换机上部署ACL策略。将网络中每个不同的应用隔离开。提高网络整体的可靠性，截
15、断来自互联网的安全威胁，保障了校本和教育局资源平台的安全，防止重要教育数据信息泄露。 EG多业务合一网关5.2.3出口的关键技术和价值点明确网络边界，保障整网安全防火墙虚拟化 ：解决了用户网络维护繁琐，管理困难的问题。 数据泄露保护 ：防止间谍软件、漏洞攻击渗入网络，阻止文件、敏感数据、文字内容等，导致的资料泄密。双引擎安全防护：解决了由于路由器出口制约用户带宽，路由器NAT性能严重不足，导致的上网速度慢。优化上网体验，减少用户投诉ISP运营商选路：出口多链路的情况下，让访问电信的用户走电信链路、同理访问联通、移动、教育网走对应的链路，就不会出现跨运营商访问的情况，提升了上网速度智能DNS：对
16、外提供web服务时一般会把web服务器映射到出口多条链路公网IP上，外部用户在发起DNS请求解释服务器IP时EG会根据用户所在运营商返回相同运营商的IP。避免了外部用户跨运营商访问web服务，提升对外服务的访问速度。关键业务保障：EG流控技术可以识别1600多种应用，并且可以自定义应用，能够识别关键业务，并且在链路带宽不足的情况下保障关键业务的访问体验。有效利用带宽资源，节省链路带宽投资多线路负载均衡: EG可以根据出口线路的负载率、带宽比，将DNS请求报文均衡分布到各个线路，这样解释出来的服务器地址便会在各个运营商之间形成负载均衡分布，再配合ISP选路达到多链路负载均衡效果，提高线路利用率。
17、应用路由：出口多条线路中一般有一条低价大带宽链路，比如移动或者电信通等，将P2P、视频等大流量应用通过应用路由甩到低价链路上，可以节省高价值链路带宽，为关键业务应用腾出带宽空间，节省高价值链路宽带投入。流量控制：EG流控技术可以识别1600多种应用，对P2P下载限速，节省带宽资源。 规范上网行为，满足公安部82号令应用控制：支持对41大类1600多种应用的限速、阻断等控制，包括在线视频、股票、游戏、社交、网购等，规范用网行为；URL过滤：支持46大类2600多万条URL，包括非法不良（赌博、暴力、涉黄、违法等）、娱乐休闲（音乐、视频、游戏等）、信息资讯（新闻、论坛等）、生活服务（美食、汽车、房
18、产、亲子）等网站，规范上网行为账号/关键字过滤：支持客户端/WEB邮件、即时通信、BBS论坛、搜索引擎的账号及关键字过滤，过滤上网行为；内容审计：支持NAT、URL、邮件/IM/论坛/搜索引擎等内容审计，日志在本地硬盘可以存储60天以上，满足法律法规要求。ALL in ONE，易维护、省投资NAT选路、负载均衡、防火墙、vpn、流控、行为管理、审计、AC、加速多功能合一，人性化WEB界面管理，减少投资成本、也更易管理维护。图形监控，运筹帷幄EG提供一系列出口运行状况的图形化监控，直观掌握出口网络的“天气图”，有助于网络出口带宽策略、带宽利用率的优化调整。流量分析分析整个出口链路的流量使用趋势，
19、生成趋势报表为带宽扩容升级提供数据依据。对于应用流量分析统计可以看出哪些应用占用的流量比较大，如果是非教学相关的可以对其限速。出口整体带宽使用趋势分析网络应用流量使用分析审计日志可对用户的上网行为进行审计，记录用户访问了哪些网站、使用了哪些应用、在论坛上发表了什么内容等。5.3安全体系设计5.3.1校园网安全体系现状分析校园网管理的需要随着数字化校园建设的深入，电子书包进入课堂，移动终端开始进入校园，中小学无线网络的建设也便成为当前的热点，目的在于为教学创新、老师移动办公、校园数字化管理提供便利。无线本身的开放性又带来了安全管理的问题，传统采取无线加密的方式容易泄露，管理复杂。迫切需要新的管理
20、方式。实名认证对用户入网进行身份识别，能够允许只有师生、指定的用户使用校园网络。并且能进一步优化校园网络的管理，相比传统审计只能定位到IP，实名认证后后可以定位到人。政策要求国家相关部门针对网络安全，无不要求建设单位必须充分重视网络安全：1、教育部在国家教育管理信息系统建设总体方案明确要求：建设覆盖物理实体、网络、主机、应用、数据和管理等多层次、整体化的教育管理信息化网络与信息安全保障体系。2、教育信息化发展十年规划（2011-2020）中提出: 制定和实施网络与信息安全建设管理规范，建立全方位安全保障体系，确保教育管理、教学和服务等信息系统安全。3、公安部82号令中要求：使用内部网络地址与互
21、联网网络地址转换方式为用户提供接入服务的，能够记录并留存用户使用的互联网网络地址和内部网络地址对应关系。并且要记录并留存用户注册信息。防止学生蹭网学生一旦窃取教职工的上网账号，危害之大，人人皆知。沉迷于网络，耽误学习。不良网站的信息影响学生的健康成长。校园网的实名认证不仅仅只是入网需要认证，还需要提供一系列的技术手段防止学生盗用他人账号。5.3.2智慧校园的安全设计全网开启准入认证，用户只有通过认证才能进入网络，认证系统同时和出口网关设备进行联通，根据用户的权限控制是否可以访问互联网以及网络带宽。该方案通常会涉及以下主要设备。分类简述参考产品名称备注身份认证系统软件形态RG-SMP专业版适合有
22、专用服务器的学校硬件形态RG-ESS1000适合无专用服务器的学校短信网关用户信息通知，访客账号注册、用户自助开户等。准出网关记录用户的访问互联网记录，根据用户组信息执行带宽控制策略RG-EG接受认证系统下发的信息，同时将用户访问信息发送给日志系统。NAS有线用户接入网络的控制设备，根据认证平台反馈结果确定是否放行锐捷安全智能交换机；锐捷AP+无线控制器锐捷易安全网关，EG系列选择型号时，必须确认支持web认证二代协议。日志系统负责收集安全网关的网络行为日志，同时接受认证系统反馈实名信息，形成用户上网实名日志RG-eLog作为城域网用户互联网访问行为审计的管理平台，旁路部署，不影响网络性能网站
23、安全防护负责学校网站的安全防护、反篡改、24小时云监测，一键下线RG-WG，RG-WMS，RG-Wlock 安全大数据平台负责学校整体网络的安全态势感知RG-BDS5.3.3安全体系的关键技术和价值点便捷的接入体验支持802.1x、web认证；支持多种访客认证方式：手机注册、二维码名片、访客二维码、微信认证；支持无感知认证，web认证用户认证成功后，系统可以保存终端的MAC地址，下一次用户用相同的终端入网，无需认证即可访问网络；实名审计通过和网关、日志系统的联动，可以根据互联网访问URL快速定位到人，可以真正做到“网络安全、责任到人”，可以很好地满足教育管理部门在网络建设的要求，也能够充分满足
24、公安部82号令的要求。实名流控用户通过认证后，SMP或ESS1000会下发用户组信息给ACE，ACE可以通过用户组实现流控的配置。例如“教员工组”学习过来之后进行配置，ACE就是拿这个用户组去配置策略。全方位防学生蹭网通过接入控制设置、用户密码保护以及用户认证记录审计的功能，可以全方位防止学生蹭网，大大提升了网络接入控制的安全性。网站立体防御系统锐捷网站监控预警平台(RG-WMS)、锐捷Web应用防护系统(RG-WG)、锐捷网站防篡改系统(RG-WLock)形成联动，打造从漏洞 扫描到攻击防御，从事前、事中到事后的完整解决方案。在国内率先支持旁路阻断部署模式，并且通过系统联动能够在第一时间将被
25、攻击的网站阻断，既保证了业务的稳定性，减少由于串联导致的安全风险，又能在网站发生安全事件后第一时间将网站的访问阻断屏蔽掉，避免影响扩大。通过与锐捷网站监控预警平台的沙盒系统联动，可以对未知威胁进行提前防御(锐捷监控预警平台会不间断地对全球范围内发生 的热点攻击事件进行特征收集，并同步给与之联动的WAF设备上)。 对网站结构进行自学习和自发现，能够准确掌握网站架构，并针对不同的页面乃至页面元素做细粒度的安全防护策略。同时通过系统联动自动将发现的网站进行安全监控，避免僵尸网站被攻击风险。安全大数据平台锐捷BDS大数据安全平台，利用大数据技术解决用户信息 安全事件难预警、难定位等问题。BDS兼容市场
26、大多数品牌的安全设备、网络设备、服务器、主机系统、中间件等。可视化呈 现网络安全态势，为客户提供极简的网络安全分析与运营。日志、漏洞和资产大数据关联分析，综合分析风险的整个路径，精准定位安全问题，实现10000:1(日志条目:高危 风险)超高收敛比。 丰富的关联分析模型，支持自定义，满足各种场景需求。系统提供图形化的关联规则工具，支持基于因果的状态关联分 析，用户可根据需求自助完成分析模型。 内置漏扫引擎，按需进行漏扫计划。分权分级、定时实时漏扫，自定义漏扫策略，支撑定期安全检查。 完善的管理特性1）可扩展的认证方式，全面支持助力统一认证。支持LDAP、windows AD域、第三方Radiu
27、s、第三方数据库等多种认证方式；2）提供丰富的定制化开发接口，大大提升其他信息系统调用认证系统相关信息的便利性，具体可以调用的信息以产品发布的第三方接口文档为准。3）SMP系统采用锐捷自助开发的RG-AC双机备份方案，不依赖于第三方系统，支持应用级的故障检测，相比传统的网络级故障检测，大大提升了故障检测的精确度； 5.4无线网络设计5.4.1无线网络现状分析十三五规划征求意见稿中，明确提及推动无线校园建设，东部及具备条件的城镇各类学校要实现无线网络全覆盖。同时无线网络作为支撑互联网+教育、智慧校园的建设的基础，规划的好坏直接影响将来业务的使用和教育信息化的效果，规划无线网络建设有其必要性和重要
28、性。据调查，已经已经建设完成的学校或多或少都存在诸如：规划不合理、带宽不够用、信号强度差和信号干扰等问题，也是WLAN网络的共性问题，一直困扰着客户，如何针对客户实际场景，给出场景化的解决方案，避免上述问题，一直是业界的难题。5.4.2无线网络场景化解决方案在实际WLAN项目建设中因各家厂商AP产品特性单一、同质化严重的情况，均采用在覆盖区域进行直接放装部署或室内分布式部署等一刀切的老旧建设方式，未能充分考虑无线覆盖区域的建筑环境特点和用户的实际应用需求，导致项目实施交付后，原定的无线业务系统无法使用，用户无线体验差，最终无线网络成为摆设的尴尬局面。正是敏锐的捕捉到了这些信息，锐捷网络创新的推
29、出了无线网络建设的新思路提供基于场景的无线产品和解决方案，根据用户场景的特点采用专门的无线产品进行定制化的无线覆盖，为用户提供真正高速可用的无线网络！5.4.2.1 电子书包、翻转课堂场景下的无线覆盖1)场景：电子书包教室、翻转课堂、创新实验室等2)场景分析教室内各个位置都有电子书包终端，老师可能会拿着终端频繁移动；教室中每个学生都有一台电子书包终端，总数可能接近60台，上课时所有终端会同时进行数据传输，播放课件、点播视频等；无线网络承担教学关键业务，这就要求网络具有极高的稳定性和可靠性；无线网络不能允许其他终端随意接入，但同时要考虑电子书包终端能够轻松、便利的使用。3)解决方案无论是针对统一
30、类型平板移动终端，还是学生BYOD平板移动终端：在一间教室里部署一台高密度三射频AP，最高支持3个5G频道同时工作，支持802.11ac wave2技术，可满足老师和60个学生的统一终端网络接入和移动等需求。 图 电子书包专用AP RG-AP730（TR）5.4.2.2大型会议室、图书馆等大开间、高密集用户场景的无线覆盖用户场景特点：1、环境开阔，面积较大；2、无线用户数极为密集，总数较大；3、用户终端类型复杂，对AP的兼容性要求较高。普通AP部署存在的问题：因用户数较多，普通AP的接入用户数在30人左右，部署所需的普通AP数量也会较多，但普通AP基本上均为全向天线型产品，超过3个AP密集覆盖
31、时就会产生严重的同频干扰（2.4GHz频段下互不干扰的信道仅3个），WLAN的性能会大幅下降，无线用户体验得不到保证。锐捷网络建议在这类环境下使用支持X-sense灵动天线的新一代高性能AP产品进行覆盖，原因如下：单AP的接入用户数大大提升，单AP可接入60多个用户，所需的AP总数减少，AP间干扰得到降低；智能天线型AP信号覆盖效果如右图，会根据终端的位置发射定向信号，不仅终端的信号质量有保证，而且多AP密集部署的干扰也会有效下降30%以上。5.4.2.3教师办公室等高密度房间场景的无线覆盖教室办公室，用户场景特点：1、房间密集，房间数多；2、单个房间23个用户；3、环境美观度要求高，WLAN建设不得破坏装修；4、部署要快速，不能影响正常运营办公。普通AP部署存在的问题：目前这种场景会有两种可能部署方式，1是采用在楼道间直接放装AP进行覆盖，但这样信号一般很难穿透多堵墙实现两侧房间的有效覆盖，而且医院移动医护中常使用的PDA对信号要求较高，这种部署基本满足不了应用终端的信号强度需求。另外在楼道上放装超过3个AP，同频干扰带来的WLAN性能大幅下降也会影响到用户使用，所以这种方式基本不会被正式使用
