普教教育城域网解决方案建议书Word文件下载.doc
- 文档编号:1498344
- 上传时间:2023-04-30
- 格式:DOC
- 页数:87
- 大小:18.39MB
普教教育城域网解决方案建议书Word文件下载.doc
《普教教育城域网解决方案建议书Word文件下载.doc》由会员分享,可在线阅读,更多相关《普教教育城域网解决方案建议书Word文件下载.doc(87页珍藏版)》请在冰点文库上搜索。
3.5 教育城域网实名制管理 20
3.6 应用的整合优化 20
4 XX教育城域网详细设计方案 21
4.1 核心骨干网高性能冗余设计 21
4.1.1 虚拟化核心骨干网 21
4.1.2 虚拟核心VSU 22
4.1.3 设备高可用设计 23
4.1.4 设备99.999%的可靠性保障 23
4.1.5 设备部件无单点故障 24
4.1.6 引擎切换无中断 24
4.1.7 教育城域网核心骨干交换机硬件自保护 25
4.1.8 智动安全防御 26
4.2 核心骨干网IPFIX流量管理 27
4.2.1 IPFIX技术简介 27
4.2.2 IPFIX技术组网 28
4.2.3 IPFIX技术实现 29
4.3 教育城域网安全 29
4.3.1 出口安全 29
4.3.2 端点安全功能 37
4.4 教育城域网数据中心设计方案 39
4.4.1 教育城域网数据中心架构 40
4.4.2 方案特点:
42
4.5 无线教育城域网 42
4.5.1 无线教育城域网架构图 43
4.5.2 高性能的组网架构 43
4.5.3 业界领先的技术标准 44
4.5.4 高稳定性 45
4.5.5 集中式统一管理 46
4.5.6 高安全性 48
4.5.7 面向未来的无线增值应用 51
4.6 教育城域网运维管理 53
4.6.1 锐捷网络ITIL运维管理服务 54
4.6.2 IT监控管理系统 55
4.6.3 锐捷IT运维服务 63
4.6.4 教育城域网运维管理解决方案的特点:
66
4.7 教育城域网实名认证与流控 68
4.7.1 系统框架设计 68
4.7.2 教育城域网实名制认证设计 69
4.7.3 教育城域网实名制访问权限控制 70
4.7.4 教育城域网实名制流控 72
4.7.5 教育城域网实名制日志审计 72
4.8 教育城域网网络层及应用层单点登陆设计 74
4.8.1 教育信息化业务系统使用的挑战 74
4.8.2 单点登陆解决方案 75
4.8.3 网络层及应用层单点登陆实现的效果:
77
4.8.4 锐捷单点登陆设计的特点 77
4.9 学校接入网络设计 78
4.9.1 数字化校园的安全设计思想 79
4.9.2 智能安全防御 80
4.9.3 出口关键技术分析 81
5 产品介绍 84
5.1 项目产品 84
5.2 产品简介 84
6 锐捷IT运维服务 85
7 锐捷网络在教育行业的关注 89
7.1 锐捷网络简介 89
7.2 连续三年教育行业占有率排名第一 90
7.3 锐捷网络优势概述 91
1教育城域网概述
1.1教育信息化概述
1.1.1全球基础教育信息化发展历程
自20世纪90年代以来,世界各国都在加快教育现代化的步伐,教育信息化程度的高低已成为当今世界衡量一个国家综合国力的重要标志之一。
1.1.2我国基础教育信息化建设路线图
伴随着信息技术的不断发展,信息化教学应用及业务的不断丰富,以及教师信息技术能力的不断提高,我国基础教育信息化建设也迎来了一个又一个高峰。
1.1.3我国基础教育网络的建设现状
纵观我国各区域的教育信息化建设现状,基础教育的网络建设,主要包括以下三个大的方面:
教育城域网:
主要是构建一个市教育局、区县教委、学校的三级教育信息网络平台,形成具有教育信息资源共享及教育电子政务等功能的高带宽传输的区域教育网络核心骨干平台。
校校通工程:
主要内容是全市各区县所有教育事业单位的校园内网络建设。
这部分网络接入教育城域网,并接受教育城域网的统一规划和管理。
重点中小学校园网:
这部分学校的教育信息化建设较为成熟,相关的教务考务的业务应用也较为丰富,其学校自身的信息化水平较高,有能力规划、管理和完善学校的校园网络。
1.2教育城域网的建设历程
随着教育信息化建设的不断发展,按照教育城域网的建设的特点可分为四代:
(1)第一代:
松散模式(拓扑图如下)
网络情况:
各学校通过ADSL等拨号方式接入电信等ISP,线路带宽在512K-2M之间,学校通过电教馆主页访问内部简单资源。
业务应用:
满足学校基本的上网功能,主要是网页、文本、即时通讯等基础应用。
管理情况:
区县电教馆对各学校网络建设基本不干预。
网络建设:
各个学校独立建设校园网,教育局没有统一的城域网规划和建设。
(2)第二代:
混合模式(拓扑图如下)
各学校通过ADSL、MSTP等方式接入电信等ISP,线路带宽在2M-10M之间,所有接入学校与区县电教馆之间通过VPN方式进行互联,大多数学校都要通过区县电教馆统一出口。
除了满足学校基本的上网需求外,还开展了电子政务系统、学籍管理系统等业务应用系统
由电教馆统一规划和部署,对于学校校园网的管理,仅管理到出口设备。
由教育局主导进行基础网络的建设,包括教育城域网的网络骨干、网络出口、数据中心等。
(3)第三代:
统一模式(拓扑图如下)
整个城域网的建设通过自建、租用裸光纤或运营商提供专网等形式来完成,各学校接入城域网的带宽在100M-1000M之间,所有接入学校通过区县电教馆统一出口。
除了满足学校基本的上网需求及常规教学业务应用外,还开展了如视频会议、视频教学、电子巡考等高带宽需求的业务。
由区县电教馆对整网进行统一规划和部署,包括校园网的安全与故障,有线、无线、VPN等多种接入方式的统一管理。
教育局除了进行教育城域网的网络骨干、网络出口、数据中心等基础网络建设外,还会涉及无线校园网建设、无线城域网建设等,会更关注业务支撑平台的优化,包括教育城域网的运维管理、网络实名认证体系等。
(4)第四代:
融合模式(拓扑图如下)
整个城域网的建设通过自建或租用裸光纤等形式来完成,所有接入学校通过区县电教馆统一出口,支持有线、无线、VPN等多种方式的统一接入。
业务情况:
基础教育信息化业务系统建设不断完善,业务系统的应用不断扩大,更关注多个业务的有效整合,实现业务层的统一单点登录。
区县电教馆除了对整网进行统一规划和部署外,更关注教育城域网的接入是否可控、日志审计是否能定位到人、是否能区分师生的访问服务,及是否能保障用户良好体验等与实名身份认证管理相关的问题。
教育局除了基础网络建设、业务支撑平台优化外,更关注网络后台建设及应用的整合,包括统一实名身份认证平台的建设,实现网络及应用层的单点登录等
综上所述,教育城域网建设的发展具有明显的阶段性。
从松散走向混合、从混合走向统一、从统一走向融合,是教育城域网的发展历程与趋势,而教育城域网的建设模式决定了教育业务应用的情况、城域网管理的需求及基础网络建设的重点等,随着教育城域网的不断升级和完善,教育城域网上的业务应用也将越来越丰富。
1.3教育城域网的业务应用
根据业务应用类型的不同,可以将教育城域网现有系统分为以下三大类:
随着业务应用系统的不断丰富和资源建设的不断升级,原有的教育城域网建设将迎来新一轮的挑战。
面对这些新的挑战,教育城域网的建设与升级已经不是简单的网络设备的搭建,如何构建一个能够更好服务于教育业务应用系统的教育城域网已经成为了各教育信息化主管部门的关注热点。
1.4教育城域网整体规划思路
教育城域网建设有三个主要步骤,包括基础网络完善、业务支撑优化、应用整合优化。
松散模式下,各学校独立建设基础网络,各自为政;
混合模式下,客户更关注基础网络的完善,包括四个方面,有线网络改造或完善、网络出口优化、数据中心建设及智能无线网络建设;
统一模式下,客户更关注业务支撑平台的优化,他们将更多考虑业务运维管理、基于实名身份的认证管理体系建设;
融合模式下,客户关注各种应用的整合优化,实现网络层和应用层的单点登陆。
通过分析教育城域网的四种模式、三个步骤及七个方面的关系,融合模式是教育城域网的发展趋势,具有技术领先性及保障用户良好体验的特点。
那么,如何建设融合模式的教育城域网呢?
如何整体规划教育城域网的建设呢?
2XX区教育城域网的需求分析
2.1XX区教育城域网网络现状
XX区教育城域网现状如下图所示,区教育城域网包括区电教馆核心网络和区市中重点中学网络,同时向下连接到12个旗县中小学网,每个县中学、小学用户约有7000使用人员,区教育重点市中学有5000使用人员。
区域教育城域网骨干网络
XX区教育城域网络建设集中在1999–2004年间。
广域骨干网采用星形结构,12个区县中重点中学网络通过光纤、专线连接到区域核心交换机上,区域县中其他中小学、偏远学校通过专线、租用的光纤连接到县中重点中学,区重点中学直接通过1000兆光纤连接到区核心网络。
核心设备采用较早的北电三层网络设备,部分区县学校核心设备采用北电三层网络设备与二层设备,部分区县学校核心设备采用锐捷三层交换机(2004年建设的中学网络)。
区各县中小学校园网络
区县学校网络分为两个时间段建设,一部分是与区电教馆于1999年8月同时建设的,设备也是通过区电教馆同意采购,一部分是于2004年随着农远工程同时建设,设备也是由区电教同意采购,所采购设备是锐捷三层交换机与二层交换机。
各个区县学校网络为二层设计,核心层直接与区电教馆中心核心设备连接,接入层提供学校师生PC的接入。
教育城域网出口情况
区电教管没有进行对网络出口进行设计规划,目前网络出口采用100M链路连接到运营商网络提供Internet上网服务,通过10M专线连接到教育网,网络出口分别通过防火墙作为安全防护设备,防火墙设备为比较早的天融信防火墙。
应用业务系统情况
随着信息技术不断发展,区域和各校的业务相应上线使用,包括学校OA系统、学籍管理、视频会议、电子政务、电子巡考等。
应用业务的不断完善目前的教育城域网已无法满足业务系统的需求。
2.2XX区教育城域网需求分析
区教育城域网骨干网需求
目前核心设备属于北电早期产品,产品早已停产,网络平时应用的过程中经常出现设备宕机,而导致全网中断,由于产品厂家原因目前的所有该厂家的服务已经中断,而由于电教管管理人员技术薄弱无法解决故障问题,因此每当设备出现宕机后就需要重启设备,大大影响了所有业务的使用。
由于网络设备性能、链路、流量管理等问题,经常导致区电教管与各县学校的视频会议、电话会议等无法开展,甚至有时连学校的OA、mail、学籍管理、电子政务等关键业务也受到了影响。
目前城域网络一部能满足扩容需求,部分学校在2004年以后想直接接入到区域核心网络,但由于核心网络设备已无接入端口,而只能接入到就近的中学或小学,区教育城域网核心设备老化、性能低、已无扩展等对整体教育信息改革带了很大的阻碍。
区教育城域网出口需求分析
随着信息技术的不断发展、信息数据的安全等,网络出口是一个教育城域网网络安全的关键关卡,分析当前该区网络出口情况,网络出口有多条链路,安全设备只能做最基本的安全攻击防御和网络三层的安全防护,不能完全做到对内部业务应用、终端用户PC使用的安全防护。
在网络中经常遇到黑客的攻击、门户网站被黑和挂马、网络出口带宽不足网络出口对数据的处理能力差,网络出现安全事件后不能及时定位,不能满足公安部的安全事件审核等。
众多安全问题使得我们教育城网的各级领导和管理人员感到很头疼。
区教育城域网数据中心需求
自建网以来去电教管数据中心没有通过统一的规划和部署各种业务系统,因此电教管数据中心的服务器、存储等都是随时采购,在每次部署数的过程中比较麻烦,由于设备复杂和老化,而导致数据中心的数据存在随时崩溃状态,多年中数据中心的隐患也曾消除。
数据中心业务应用已增至30种,数据中心服务器性能差,也经常造成业务在各校同一时间内访问量过大的时出现业务系统反应较慢,偶尔还会出现死机。
区教育无线城域网需求
随着笔记本终端的普及,无线视频设备、语音设备等在学校逐渐的应用,现有有线网络
已不能满足业务和师生的需求,分析当前教育城域网的现状和未来的发展,建立无线教育城域网主要体现如下几个方面:
Ø
无线网络的性能和稳定性逐渐提高,成本逐渐下降;
在很多老的教学楼有线部署困难,采用无线接入更方便;
笔记本逐渐普及,而且未来无线视频监控的应用、三网融合等因素,将为师生的无线网络应用带来更多便利和更好体验。
区教育城域网运维管理需求
越来越多关键业务应用系统的大规模使用,对教育城域网的运维和管理能力提出了更高的要求,网络应用越复杂,涉及到的层面越多,整个网络也就越脆弱。
如何保障关键应用的顺畅运行就成为突出的问题:
各学校网络维护能力有限;
教育信息中心缺乏有效的网络运维和管理的工具;
网络资源滥用现象难以管理;
恶意网络攻击难以及时定位解决;
出现紧急事件时,网络性能难以保证应急响应的顺利运行;
无法保障关键业务的可用性;
缺少整体规范的主动网络安全管理手段;
区教育城域网实名制身份认证需求
目前区教育城网中没有良好的认证管理体系,各校随意接入网络,针对各个学校的接入无法控制,无法区分师生身份,造成业务系统、网络应用等混乱使用,而造成一下几点问题:
公安部82号令、教育主管部门的网络安全要求,需要落实相关日志审计的安全措施,虽然目前已部署上网行为管理产品,然而,只能记录IP地址,难以真正满足审计要求,出现安全事件,难以定位到人,有没有办法解决?
城域网的终端接入不可控,一条网线便可接入各学校的终端,安全隐患大,甚至,很多学校把家属楼接入教育城域网,导致城域网出口带宽不足,有没有办法屏蔽这些用户?
用户在网上发表不良言论,出现安全事件后,日志审计难以真正定位到人,若发生公众事件会严重影响教育局的形象;
针对难以定位到人的问题,若采取IP/MAC绑定,工作量大,老师移动办公不方便,如何解决?
IP地址滥用或内网病毒、IP地址冲突,导致网络中断,影响业务的正常运行,该如何解决?
区教育城域网多业务统一门户单点登录需求
数据中心业务应用有30多种,其中有部分业务需要用户账号口令登陆使用,另一部分可直接使用,针对众多业务使用是神需要维护自己每一个应用的账号信息,对于管理员也一样要进行建立和删除账号也相对麻烦。
太多账号密码,不容易记忆,老师有时候连业务系统的登陆地址都记不住;
登录频繁,每个业务系统都要多次输入密码,操作繁琐;
IT管理人员账号管理工作繁杂
账号管理工作量大,账号管理不能及时
用户信息不一致,每个系统都有一套独立的用户数据库,管理员要对每套系统中的用户进行分别管理,工作量大
3XX区教育城域网整体解决方案
3.1XX教育城域网建设整体设计概述
根据对教育城域网业务应用系统的分析,本方案提出了第4代城域网建设方案,总拓扑结构图如上图。
解决方案构架涉及多个应用模块,实现不同模式、不同优化支撑功能。
结合到XX教育城域网现状,以及满足当前的认证、安全等应用需求,方案建设可分布实施,初次部署模式如下:
部署模式简介:
XX区教育信息中心部署1套radius身份认证系统,1套webportal认证门户系统。
各校出口部署1台EG融合易网关设备。
各EG设备和信息中心radius、webportal系统对接,实现信息交户,以及认证策略、实名信息同步下发。
学校用户可分类2类。
一类需要进行严格的安全控制,如补丁更新、软件黑白名单控制、杀毒软件联动等端点准入功能,如机房电脑、重视安全功能的学校。
另一类客户,要求网络简单使用,同时安全隐患小的客户群,可考虑只使用webportal实名认证,不进行强制的安全控制。
方案可灵活实现两类用户,若需严格安全准入用户,只需安装强客户端SA,进行主机安全检查控制即可,同时使用客户端软件进行实名认证。
对网络简单使用要求高的客户,可考虑不安装客户端,直接使用webportal认证即可。
3.2教育城域网建设有三个主要步骤,
l基础网络完善
l业务支撑优化
l应用整合优化
网络建设示意图
基础网络的完善包括四个方面:
有线网络改造或完善、网络出口优化、数据中心建设及智能无线网络建设;
业务支撑平台的优化包括:
业务运维管理、基于实名身份的认证管理体系建设;
应用的整合优化,实现网络层和应用层的单点登陆。
3.3基础网络的完善
3.3.1教育城域网核心升级优化
结合教育系统的相关业务及应用,采用以下两种技术来构建和完善教育城域网的骨干核心网。
u高性能冗余的万兆核心
核心设备采用当今高端路由交换产品,关键硬件达到冗余如:
引擎、风扇、电源;
核心业务办卡采用模块配置,能够很好的提供今后的扩展,核心骨干网络设计为高容错功能,核心骨干网络故障时间<
1S。
核心设备采用支持IPv4、IPv6的万兆技术,核心引擎具有NFPP与CPP的防护功能,能够随时保护核心引擎。
u核心骨干网IPFIX流量管理
核心骨干交换机能够实现IPFIX流量管理,可以进行流量采样、流量采集、数据分析处理,使网络核心流量得管理和控制,保证业务的使用。
3.3.2教育城域网的出口安全
根据教育城域网出口的流量进行分析,从用户实际应用与网络的安全威胁的特点出发,在网络出口安全设计中分为三个关键步骤的设计:
第一步要实现提速,即建立高性能、高稳定的基础平台
第二步要实现业务的高效运行,提升服务质量
第三步就是安全风险控制,保障出口的高速、高效
3.3.3教育城域网数据中心
l全网采用IPSAN+FCSAN的统一存储架构,灵活扩展存储容量和前端应用服务器数量,远距离、跨校区存储服务。
l提供跨盘阵的卷镜像、快照、复制等功能确保数据安全,轻松实现跨盘阵的数据迁移、应用服务迁移,整合原有存储,License-free。
l通过城域网的可用链路提供远程灾难备份恢复功能,确保数据安全,可以在低带宽环境下实现远程数据灾备。
3.3.4无线教育城域网
依托现有的有线教育城域网,以现有的教育城域网为基础,无线网络设计如下:
n采用技术的标准先进性和实用性,支持801.11n并兼容WIFI802.11a/b/g,无线支持双工模式,801.11n与WIFI802.11a/b/g同时工作。
n学校端零配置部署,分布于各个学校的AP“零配置”,完全由部署于城域网中心机房的“无线控制器”进行统一管理、配置、监控业务支撑平台的优化。
n根据区县下属学校的数量,每个学校部署的AP数量的差异,来考虑无线控制器的规模,使得系统的容量、性能、可靠性以及可管理性得到有效保障。
n远端智能感知:
如无线控制器出现故障,学校的AP要能自动感知无线控制器的状态,自动切换,保证业务运行不受影响。
n需要考虑与有线城网的融合,如AP的部署、VLAN支持、用户认证、安全体系等等。
3.4教育城域网的运维管理
锐捷网络提出了教育城域网运维管理系统,对关键应用、用户网络设备、安全设备、网络终端管理统一考虑,整体规划。
通过该系统,区域将建设一个跨教育信息中心和各个校园网的整体安全防护体系和管理体系,以自动化、分布式、智能化的监控和管理手段实现全面的安全防护与管理,达到标本兼治的效果。
3.5教育城域网实名制管理
在教育城网中通过实名制管理系统,实现网络、业务的实名认证,实名认证包括:
n实名认证,有线、无线、VPN接入认证。
n实名访问权限控制。
n实名流控。
n实名日志审计。
3.6应用的整合优化
通过RG-SMP与RG-SSO进行互动,使教育城域网的多个业务统、有线、无线、VPN等统一单点登录,它无需用户记忆多个用户名、密码,也无需用户进行多次登录系统才能访问应用系统。
管理员只要维护一个系统即可,对于用户来说只要记住一个网络认证的密码就可以实现网络的接入。
4XX教育城域网详细设计方案
4.1核心骨干网高性能冗余设计
在教育城域网中,网络流量包括:
学校与学校之间的流量、学校与区域中心之间的流量、学校访问Internet流量。
(如下图所示-图1)
教育城域网的建设是整个区域教育信息化建设的核心,是保证所有业务应用系统正常运行的关键。
结合现有教育系统的相关业务及应用,推荐以下两种方案来构建和完善教育城域网的骨干核心网。
4.1.1虚拟化核心骨干网
区电教两台核心采用锐捷核心虚拟技术,将两台核心设备虚拟为一台逻辑核心交换机,VSU很容易地扩展端口数量、带宽的同时取代了MSTP+VRRP双核心拓扑,既简化网络拓扑。
区电教馆核心交换区部署两(四)台基于十万兆平台设计的核心交换机,两台核心交换机通过L3层20G链路互联,使用VSU虚拟化技术,将两台核心交换机虚拟为一台,以简化拓扑,实现MS级的故障恢复。
两台核心交换机直接光纤互联高中部接入交换机,其它校区汇聚交换机通过layer3层千兆光纤链路互联,形成高性能、高可靠核心交换机区。
业务区域采用VSU设计实现高可靠,网络核心之间双链路跨板链路聚合实现链路可靠。
网络中心作为全网的心脏,向单位内部的终端系统源源不断的提供安全的信息血液,保证整个教育业务系统的可靠运行。
因此,作为整个网络平台的神经中枢,网络核心层是全网数据传输的中心,不仅要保证7*24小时的稳定运行,各种应用服务器的数据能够被稳定可靠的传输到终端系统,同时,还要协调全网的数据流量和访问策略,在提供信息服务的同时,保证网络中心自身的安全。
4.1.2虚拟核心VSU
传统双核心网络,使用MSTP+VRRP技术,虽能实现故障自动恢复,但故障恢复时间一般在15秒以上,完成不能达到NSF不间断转发的要求,也限制了高实时类业务系统在学校的良好建设使用。
同时,冗余链路和设备,使网络拓扑变得复杂,增加了日常管理维护难度,而且核心设备一旦不稳定或链路中断,则会导致VRRP或路由协议的震荡,形成安全隐患,也容易受到相关利用协议漏洞的攻击,这些都增加了网络不可靠的风险。
实现NSF的前题是简化网络结构,减低业务、管理维护的复杂度,最根本的方法,就是要减少逻辑设备的数量。
因此本方案中,采用VSU虚拟云交换技术,将两台物理核心交换机虚拟为一台逻辑上统一的设备,使其能够实现统一的运行,从而达到减小网络规模,同时极大提高网络稳定健壮性,控制故障恢复时间。
VSU虚拟云交换特
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 普教 教育 城域网 解决方案 建议书