某学校网优化改造方案.doc

XX学校 网络优化改造方案 方案设计：XXX网络公司 设计部门：XXXXXXXX中心 设计时间：2016年4月 一、优化改造目的 随着互联网的飞速发展和电视、电脑、手机、平板应用的发展普及，互联网已进入一个新时代，在这个网络办公时代，互联网已成为网络审批、网络办公、信息传递不可缺少的一个通道。教育信息化也成为未来教育的一个重要途径。与此同时，随着高速带宽网络的接入，学校网络的安全问题凸显。为保证学校网络的稳定可靠，创建学校的安全网络环境，根据学校具体情况提出优化改造方案 二、现网存在问题 1、学校网络接入存在瓶颈，网络出口带宽无法突破100M限制。现有网络使用光电转换器（佳讯数码）接入，因光电转换器存在100M带宽限制，对超过100M的带宽接入无法实现。综合考虑后期网络带宽扩容和网络IP带宽的充分使用，应通过新的接入方式解除网络带宽瓶颈。 2、学校设备陈旧，无法满足网络需求。根据电信技术人员对现场设备的检查和网络结构的分析，现有网络设备多数为无管理、无VLAN划分、无QoS保障、无速率限制、无ARP攻击防范等功能设备，所有计算机和监控设备之间无隔离，设备之间无分级设置，在整个局域网为一个共有的广播域，单台主机对网络影响很大。 3、学校楼层交换机管理权限功能受局部限制，学校所有路由和交换功能都由路由器承担，路由器负荷较重且路由设备陈旧，性能无法满足要求，尤其是学校无线设备的增加更无法管理和控制。 4、学校网络存在路由层环路现象。电信接入先到TP-link交换机，通过交换机连接方正防火墙，再传到核心交换机上，核心交器上虽有VLAN划分但没有管理用户设置，导致防火墙管理出现瓶颈，造成网速慢，连网页都是无法打开。100M光纤没有体现出来。 5、根据现场了解，学校网络接入层监控视频流较大，占用接入层网络约50M带宽，现网接入层为100M互联，存在瓶颈，无法满足学校局域网使用要求。 三、优化改造方案 1、改造学校互联网接入出口为100M模式，解决学校出口瓶颈。 2、学校增加用户管理路由器，采用用户拨号模式。 3、更换电信接入设备，电信接入层增加防火墙进行防护，确保服务器免受攻击。 4、改造接入连接方式，在学校总机房增加核心交换机，通过局域网网关下移至交换层，减轻局域网转发对路由器和防火墙的压力。 5、更换接入层交换机（现有交换机最高100M），将所有交换机之间的互联改为100M，解除100M带宽局限。 6、通过VLAN划分将学校网络划分为服务器区域、办公区域、教学区域、视频监控区域四大区域，减少冲突域、增加广播域，减少区域之间的相互影响。 通过以上改造，实现网络结构的层次化和区域化，规划网络结构如下： （网络结构图） 四、优化改造设备介绍 1、防火墙：NS-F1000-E-SI-SCB-AC 整机三层及应用层吞吐量≥4Gbps 最大TCP并发连接数≥100万、每秒新建连接数CPS≥6万 主机含交流主机/双电源 12个千兆口，所有端口可光可电 CPU：RMIXLS416*1 内存：DRAM 4G*1 包过滤基础和扩展的访问控制列表基于接口的访问控制列表基于时间段的访问控制列表基于面向对象的访问控制列表动态包过滤ASPF应用层报文过滤应用层协议：IM（QQ、MSN）FTP、HTTP、SMTP、RTSP、H.323（Q.931，H.245，RTP/RTCP）传输层协议：TCP、UDP抗攻击特性Land、Smurf、Fraggle、WinNuke、Ping of Death、Tear Drop、IP Spoofing、CC、SYN Flood、ICMP Flood、UDP Flood、DNS Query FloodARP欺骗攻击防范ARP主动反向查询TCP报文标志位不合法攻击防范超大ICMP报文攻击防范地址/端口扫描的防范DoS/DDoS攻击防范TCP Proxy 功能ICMP重定向或不可达报文控制功能Tracert报文控制功能带路由记录选项IP报文控制功能静态和动态黑名单功能MAC和IP绑定功能透明防火墙基于MAC的访问控制列表支持802.1q VLAN 透传 纠错SM4320-28FC-AC 24个SFP光口 12个10/100/1000Base-T电接口 两个扩展插槽，可以扩展千兆/万兆端口 双交流电源 整机交换机容量：360Gbps IPv4包转发率：215Mpps 支持MAC地址学习数目限制；静态MAC配置；黑洞MAC 支持基于端口、MAC、协议、IP子网的VLAN，支持VLAN Mapping、支持Voice VLAN、支持GVRP。 标准IP ACL、扩展IP ACL、标