校园网网络出口解决方案.pdfVIP

校园网网络出口解决方案 近几年来，随着数字化校园建设的迅猛发展，国内高校骨干网纷纷升级为万兆网络，全面进入了万兆时 代。万兆校园网有效地解决了校园网内部带宽不足的问题，满足了数万校园用户的内部访问需求，但校园 网的出口区域仍然面临多方面挑战，校园网内外带宽的不平衡性导致高校校园网出口建设相对滞后，一度 成为数字化校园建设的“阿喀琉斯之踵”。 校园网出口的一些现象： √ 来自外部网络的DoS 攻击、病毒、恶意扫描防不胜防。 √P2P 应用大行其道，蚕食出口带宽，上网速度不堪忍受，师生怨声载道。 √ 出口链路众多，多链路负载均衡和策略路由充满挑战。 √ 带宽扩容，原有的路由器、防火墙超负荷运行 √ 并发连接回话激增，NAT 网关频繁死机 √ 出口日志记录不详，检索复杂，面对公安机关的反查要求力不从心。 √IPv6网络出口缺乏安全防护手段，跨栈攻击一触即发 校园网出口需求分析： 通过对校园网出口面临的一些问题的深入分析，我们将校园网出口建设的需求归纳如下： √ 出口设备需要具备高处理性能、高吞吐量，为满足 CERNET 出口的接入需求，设备应当具备万兆吞吐 能力。 √ 高安全性能，能够有效阻止来自外部网络的各种攻击、病毒、扫描。 √ 能够精确识别各种应用层流量，限制非法流量，保证关键业务的服务质量。 √ 针对不同的网络对象实施精细化带宽策略，带宽管理能够精确到用户。 √ 出口多链路能够支持高性能负载均衡和策略路由，集成各大ISP 路由表。 √ 提供详细的出口访问日志记录，并实现智能反查。 √设备尽量精简，杜绝“糖葫芦”式臃肿出口 √能够实现IPv4/IPv6双栈安全过滤，解决Cernet2出口安全软肋 校园网网络出口方案： 基于上述对校园网出口的现状与需求的深刻理解，神州数码网络推出了为高校出口区域量身定制的一站式 综合接入解决方案，整体建议拓扑如下： （1）堵疏结合，精细管理，实现流控认证一体化： 如图所示，出口采用DCFS-8800万兆应用层流量整形网关，基于多核处理器架构，支持最大12个千兆端 口或2个万兆接口，双向20Gbps 混合包吞吐量，控制各种应用的带宽，保证关键应用，抑制非关键应用， 可针不同的源IP （组）和时间段，在所分配的带宽管道内，对其应用实现不同的流量带宽限制、或者是禁 止使用。本产品部署后，方案特点如下： ❶带宽决策支持：统计、监控和分析校园网各种应用所占的带宽比例，为校园网的用途和下一步的规划提 供科学依据。通过对网络上的流量数据进行监控和分析，量化地了解当前网络中各种应用流量所占的比例、 以及各应用的流量各是多少，从而得知用户的网络最主要的用途是什么。 ❷带宽宏观管理：限制每个用户的上网带宽，自动采取平均分配带宽的优化算法，确保带宽资源分配的公 平性和合理性；不同用户组分配不同带宽，即可轻松实现区分服务。 ❸非法应用抑制：有效控制各种应用所占带宽，保证关键应用，抑制不希望的应用，如下图所示，为 DCFS-8800流量控制策略加载前后，迅雷流量所占用的带宽对比。 ❹内网节点预警：监控内网每个节点的实时出流量、实时入流量的大小，可用来判断内网节点是否存在攻 击行为、中病毒等问题。如下图所示，通过双击认为“有问题”的某台主机的地址，可看该主机详细会话情 况。 ❺带宽二级管理：这是DCFS 系列产品的独有的管道复用技术，不仅可以针对每个用户实现带宽的管理， 而且同时也可对不同种网络应用协议进行带宽管理。（例如：在限制每用户的带宽不超过256K 的同时，还 可以同时限制针对总体上限制BT 的总带宽不超过10M） ❻特色应用跟踪升级：网络应用的识别率高、针对中国本地特色应用能进行精确识别。国内本地化应用识 别强，可识别600余种应用，对于新出现的应用，我们提供对新的网络应用识别的按需定制升级服务。 ❼认证、流控联动：DCFS 系列产品是业界首个将身份认证与流量整形完美结合产品，支持用户身份认证、 带宽授权、灵活计费和用户审计功能，与神州数码TrustCenter/DCSM 认证中心配合，实现了应用识别与 用户身份的联动绑定，可将对网络应用的阻断、限制策略与用户名、用户组一一对应，实现个性化的上网 服务。实际运营时，我们可以制定如下规则的用户策略： ❽精兵简政，优化出口拓扑：由于 DCFS 产品结合了认证网关和流控网关的功能，网络出口就不需要再额 外串接网关型计费设备，避免了过多的网络设备在出口串接，形成故障点和带宽瓶颈的问题 （2 ）综合防御，净化出口，安全接入多面手： 根据总体拓扑所示，在流量管理