学院智慧校园技术方案

1、学院智慧校园技术方案XX学院智慧校园技术方案(V 1.0)福建卓智网络科技有限公司版权所有侵权必究1 / 60学院智慧校园技术方案文档目录1智慧校园建设背景42智慧校园需求分析63智慧校园总体目标83. 1项H建设目标83.2项目建设要求103. 3网络设计思路123.4项目建设价值134智慧校园方案设计144. 1方案设计原则144. 2网络总体拓扑设计174.3智慧校园出口设计204.4智慧校园核心设计234.5智慧校园无线设计264.5.1无线网信号覆盖指标264. 5. 2无线AP部署方案设计294.5.3无线控制器方案设计324.5.4无线网供电方案设计334.5.5无线网汇聚方案设

2、计334.6运营保障平台方案设计344.6.1分区域精细化管理353 / 60学院智慧校园技术方案4.6.2用户终端权限控制364.6.3用户访问时间控制364.7智慧校园服务器设计375智慧校园工程方案395. 1工程实施概述395.2引用文件标准395.3工程项目管理405.3. 1项目范围管理405.3.2人力资源管理415.3.3项目进度管理435.3.4项目工作规划445. 4工程材料选择445. 5综合布线设计465.6附件一、设备清单545 / 60XX学院是经教育部批准成立的一所全日制普通本科院校，其前身是建于 1938年的广西省立田西师范学校，至今己经有70多年不间断的办学历

3、史。截 止2015年10月，XX学院有东合、澄碧两个校区，占地面积1873. 59亩，另 有市政府在百东新区预留用地1840亩。有19个二级学院、一个继续教育学 院、一所附属中学和一所职业中专，39个本科专业、36个专科(高职)专业, 涵盖经济学、法学、教育学、文学、理学、工学、农学、管理学、艺术学等9 个学科门类。随着无线应用及移动终端的普及，为了更好的服务于师生，加快教育信息 化建设的步伐，促进校园信息化建设成为学校育人的有机组成部分，大力发 展校园无线网络，建设高速、稳定、可靠、可运营、可管理的无线网络对于 塑造学院新一代智慧校园来说，具有重要的战略意义。现在无线网络产品和 技术都己成熟

4、，无线802. llac802. lln技术相比传统802. llg的技术在性能 和覆盖上都有了质的飞跃，加上学校无线应用越来越多，如笔记木、pad、手 机等终端广泛应用，学校全校无线校园网建设成为学校信息化发展的必然趋 势。当前高校在信息化建设方而的背景和需求，可以总结概括为以下几点：-、加快高校信息化建设，落实“创新人才培养体系”、“改革人才培养模式”的人才培养战略。国家中长期教育改革和发展规划纲要 (2010-2020年)中明确指出“信息技术对教育发展具有革命性影学院智慧校园技术方案响，必须予以高度重视”加快高校信息化建设，是推进“学科建设梯度推进战略”、“学 科交叉及融合创新”的需要。

5、加快学校信息化建设，是支撑“跨学科研究平台”、“学科联合 攻关”的需要。高等学校中长期科学和技术发展规划纲要中指出 “要抓住信息化建设的发展机遇，构建信息化公共服务体系，以信息 化带动科研工作现代化，实现高校科研工作的跨越式发展”。四、加快学校信息化建设，是推动管理科学化、智能化、效能化发 展，构建智慧校园的需要。大学校园离不开科学的管理，科学的管理 必须借助于信息化的支撐。近年来，很多高校高度重视管理体制机制 的改革，强调机关工作的效能建设，强调提升管理服务水平。这些工 作的落实需要利用先进的信息化技术手段，部署自动化、智能化的管 理服务系统，科学全面地采集、整合、挖掘学校各类相关信息及数

6、据，为学校整体管理效能的提高和量化决策提供支撐。同时，通过现 有的信息化技术手段，结合基建改造工作，实现安全监控、节能减 排、有效控制等目标，为全力打造智慧校园提供保障。学院智慧校园技术方案根据网络存在的问题，本次智慧校园网建设需求总结为以下几点：丄无线网络升级/建设的需求随着无线终端的增加，急需建设一个高可用、高安全、高稳定、易使 用、易管理、易扩展的无线校园网络及基础设施平台，通过支持使用广 泛的802. lln/802. Uac标准，实现无线网络的无缝、高速覆盖，为网络 资源的充分利用和共享提供强有力的保障，为学校的全面信息化奠定坚 实的基础。4-终端准入安全的需求随着有线无线网络的上线

7、，接入无线网络的终端类型多种多样，原先有 线网络只有一个笔记本电脑或者台式机，但是新的无线校园网，用户接 入终端可能为手机、PAD、笔记木电脑或者台式机，用户的接入范围相对 之前也更加广泛，如果基于区域以及终端类型等多条件进行用户准入控 制是无线网络中必须解决的一个问题。丄出口设备性能的需求随着无线终端的大量接入，原有学校网络出口的压力明显增加，出口带 宽是原先的基木，针对新建无线网的大量用户应用情况，要求出口设备 有强大的AT转发性能，保证出口链路扩大的时候设备端口不会出现拥塞 或者丢包，从而为无线终端告诉接入提供保障。丄运营管理平台的需求运营管理平台分为两个部分，首先是对用户终端的管理，早

8、期有线网络 终端类型相对比较单一，无论是笔记本电脑还是台式机，终端都需要通 过有线链路接入，而随着无线网络的建设，无线终端类型多种多样，如 果对多种终端按照运营需求进行接入管理是网络管理员面临的一个棘手 的问题。运营管理的另一是设备的管理，无线网络需要部署大量无线接 入点，网络设备是原有设备的几倍，如果在被增加运维人员的前提是实 现设备的有线管理，是管理员而临的另一个问题。为了解决以上两个问 题，需要部署一套高效的运营管理平台；9 / 60智慧校园项目总体目标如下：丄利用先进的无线网络技术进一步扩展校园网的覆盖范围，使全校师生能 够随时随地、方便高效地使用校园网络；丄 满足校内日益增长的移动终

9、端如PDA、手机、平板电脑对互联网访问的需 求；丄提升校园网络环境，提高管理水平和效率，推动学校信息化建设，服务 无所不在且安全优质，建立校企合作的运营模式，实现校企双方的双赢 战略；3.1项目建设目标丄侧重实际应用，覆盖校园内大部分区域（包括宿舍楼、教学楼），为教学 和学习生活提供切实可用的无线网络环境；丄采取通行的网络协议标准：目前无线局域网普遍采用802. 11系列标准， 因此校园无线局域网将主要支持802. lln/802. llac标准，从而提供可供 实际应用的相对稳定的网络通讯服务；丄全面的无线网络支撐系统（包括无线网管、无线安全，无线计费等），以避免无线设备及软件之间的不兼容性或

10、网络管理的混乱而导致的问题；丄 保证网络访问的安全性，支持802. lx、web-portal MAC快速认证、pppoe认证等方式;丄集安全、管控、优化于一体的网络出口解决策略；丄采用扁平化的网络构架、方便管理和扩展，迎合未来网络的发展趋势。学院智慧校园技术方案3.2项目建设要求丄无线覆盖范围要求：有线网络无法接入的室外场所：校园内一些场所很难实现网络有线接 入，采用无线方式可以实现覆盖大范围室外空间的无线网络接入，本 次建设主要包括体育馆、体育场、活动广场等。有线网络使用不便或受限的室内空间：校园内一些室内场所空间较 大，会产生许多人同时接入网络的需求，采用有线的方式只能提供少 量接口，不

11、能满足要求。用无线网络覆盖来解决相当数量的移动设备 同时访问网络的问题，主要包括教学楼楼、会议厅、图书馆、礼堂 等；持有大量无线终端的学生的生活场所：学校宿舍己经部署了有线网 络，但是对于学生来说，使用手机、笔记本或者pad来上网的时间更 多，这就要求对于每个宿舍都进行无线网络的覆盖，并且对于每个房 间来说，无线网络至少应满足8台以上终端的接入能力。丄安全、认证、计费和管理要求：为了阻止没有被授权的用户访问无线网络，以及防止对无线局域网数 据流的非法侦听，无线网络要具有相应的安全手段，主要包括：物理 地址(MAC)过滤、服务区标识符(SSID)匹配、二层隔离、portal认证 等；无线局域网的

12、终端认证支持Portal认证方式和802. IX安全认证方式11 / 60学院智慧校园技术方案(支持受保护的PEAP(ProtectedEAP),访问控制系统及认证计费 系统相互配合实现终端接入认证，便于用户的使用及维护。同时在连 续覆盖区域的认证上要充分考虑移动用户的易用性，达到一次认证， 移动使用的目的；丄校园网络结构要求：无线接入所需布设的AP通过P0E交换机接入校园网的核心层设备，同 时办公有线网络的汇聚交换机及更换的核心设备相连，保证有线网络 及和无线网络的融合。简化原有网络结构：随着无线设备的大量加入，网络运维人员压力 大，没有足够精力维护每台接入交换机，需要简化现有三层网络架 构

13、，使接入设备配置尽可能简单，减少运维运维人员的工作压力。基 于以上考虑骨干网采用扁平化网络架构，将认证网关上收至核心设 备，使管理更加快捷高效。4工程布线和安装要求：室内部分：定好较为开阔位置，将网线走暗线敷设到位；挂在墙上， 可利用设备木身自带的安装附件进行安装；如果需要遮蔽，则需要定 制非金属安装盒；如果是挂在天花板上，则根据天花板的情况而定， 若天花板是非金属结构，可以固定在天花板内。安装过程中应充分考 虑防盗问题。室外部分：根据设备位置有两种布线方式。如果AP设备放置在楼顶或 高架杆，则需要走网线和电源线；如果AP设备放置在室内，天线放置学院智慧校园技术方案在室外，则需要走天线馈线。这

14、两种方式馈线都需走铁管，贴防水胶 布的方式处理，安装过程中应充分考虑防盗。供电部分：AP的供电可采用POE方式由接入的网络设备进行供电（无 需本地供电）。3.3网络设计思路通过此次校园网的建设，提供全校无线网络覆盖，为广大师生提供更加快 速、稳定、便利的校园网接入方式，让学生和老师随时随地都可以访问校园 网，更好的为学生的学习、生活，老师的教学、办公等提供优质的信息化服 务，同时实现学校自主分区域、分时段、分权限的可控可管。对整体网络有 如下的整体设计思路：丄出口区域改造：出口区域改造设计出口网关设备、流量控制设备网关设备：网关设备除了具有强大的NAT功能、数据转发能力外，还 需要具有多链路负

15、载功能、负载保护功能等，当其中一条链路发生拥 塞时能够及时发现，并且进行智能调整；流量控制设备：基于用户的服务、应用等条件进行灵活的流量控制；*无线网络改造：本次无线校园涉及学生宿舍、办公室、教室、艺术工 厂、体育馆等，针对不同的覆盖场景选择不同的信号覆盖方案，宿舍采 用面板AP进行信号覆盖，办公室及教学楼采用X-sense系列AP进行信号 覆盖，室外区域大功率室外AP进行信号覆盖，具体说明如下：办公区域：采用X-sense系列AP进行信号覆盖，该AP同时支持2. 4Ghz13 / 60学院智慧校园技术方案和5.8Ghz频段，支持802. lla/b/g/n/ac无线标准，单AP可达到 116

16、7Mbps的共享速率，AP采用P0E供电，千兆上联至P0E交换机，保 证接入带宽；宿舍区域：采用墙面式AP进行无线信号覆盖，为每个房间提供双频双 流，最大300Mbps的单频接入速率，同时为每个房间提供四个有线接 口，根据后续实际需要新增有线接入，用户可以根据自己的需求自由 选择有线接入或者无线接入，从而保障用户最佳的上网体验；丄运营管理平台：通过部署AAA系统及其它网络设备协同工作实现网络运 营、增强全局安全的目的，提高管理效率。通过及无线控制器的联动实 现基不同终端类型的身份验证，配合日志平台实现用户实名上网日志记 录，配置出口设备实现基于用户身份的路由选择和带宽控制；3.4项目建设价值通

17、过本次的网络升级改造项目，可以为校企双方提供如下价值点：丄为学校师生提供一个可用、好用的无线网络，满足日益增长的无线需 求。丄建立校企合作的运营模式，实现双方的共赢丄帮助学校管理维护网络，提供专业的售后4.1方案设计原则根据上述的需求分析和部署环境的实际特点，xx学院的网络整体规划，需要 本着以下原则进行规划及设计：*无缝信号覆盖木次无线校园网建设采取标准的802. 1 lac网络协议标准，提供不低于 600Mbps的单个AP的无线带宽接入能力，提供高性能的无线覆盖；无线信号覆盖学校的大部分区域，保证被覆盖需求的网络访问流畅，提供 数据接入业务，让在此居住的学生能够快捷的访问丰富的校内资源。同

18、时, 必须利用现在的学院有线资源，做到有线、无线混合组网，避免学生投资 的浪费。丄支持多种服务基于网络的未来可持续发展，无线网络规划应为未来发展多媒体、高带宽 的无线宽带应用（如，无线语音应用、无线视频会议应用、无线监控、无 线多媒体通信应用等）打下基础，并提供低成木的无缝升级和先后兼容。 无线系统需要具有IPv6协议和流量的分类转发和管理能力。丄安全防护特性网络必须具有良好的安全防范措施和密码保护技术，灵活方便的权限设定 和控制机制，使系统具有多种有效手段，防范各种形式对网络的非法入侵 和内部攻击，以保证网络的实体安全、网络安全、系统安全和信息安全， 有效地保障正常的业务活动和防止内部信息数

19、据不被非法窃取、篡改或泄 漏。因此系统应分别针对不同的应用和不同的网络通信环境，采取不同的 措施，包括系统安全机制、数据存取的权限控制等。丄网络融合兼容木次建设的无线网络能够很好的及现有的学院校园网兼容，学生无论在宿 舍区域还是在教学区域都采用统一身份准入系统，实现对学生访问资源的 统一管理和认证。丄网络的扩展性在网络规模不断发展的情况下，无线网络应满足在不改变主体架构及大部 分设备的前提下，平滑实现升级和扩充，降低原有网络的硬件投资，并保 证扩展后的系统可用性及稳定性。预留AC、AP可升级的能力，为未来无 线校园网建设提供基础，无线网络要支持AC冗余扩展X+1的兀余备份能 力；网络建设过程尽

20、量保护现有的软、硬件资源，保证各部门现有的计算机系 统的使用，逐步过渡，有效保护学校投资，最终形成一个统一的、一体化 的综合网络系统。丄高速的数据转发网络链路和设备具备足够高的数据转发能力，保证各种信息的高质量无阻 塞传输；交换系统具有很高的交换容量及多服务支持的能力，保证网络服 务的质量。丄便捷的管理平台为了让校园网能够良性、稳定、持续、健康的发展，对校园网学生进行严 格的管理和控制，学校需要对校园网进行学生接入管理管理，通过对上网 的学生进行认证，记录上网学生的行为，为学校的网络管理提供便利的工 具。于此同时，对于木次网络中所涉及的无线AP、AC、交换机等设备能够实现 无线、有线统一的管理

21、，确保各设备运行在最佳状态，为学生公寓内的学 生提供可靠的网络接入服务。丄规范化标准化17 / 60学院智慧校园技术方案网络体系结构、通信协议及软件的设计和开发必须按照国家或行业标准进 行，要模块化、结构化、数据要代码化，以便于信息共享和交流及将来的 维护。在系统设计和软件开发时，应用程序必须规范化、模块化和可复用。# / 60学院智慧校园技术方案百色学院无线校园网拓扑（东合校区+澄磬东校区）卓智xmot.MofSIM服务器区域（东合校区）东合校区越王JL盘忍wrem WKM澄碧东校区f*D2Ml:“ i澀二1L盘施Ltu 0MM MfiM * MKtt4.2网络总体拓扑设计21 / 60木次

22、校园网建设范围：1、教学区域、行政区域、食堂区域、图书馆、体育馆、多功能楼等公共区域 室内无线信号覆盖；2、宿舍区域无线网络建设，校内室外部分区域无线信号覆盖；3、楼宇汇聚交换机按需进行新增、核心交换机新增、网络出口设备新增；4、新建统一身份认证中心，实现有线无线网络可控、可管、高效，并及运营 商进行无缝对接，便于学生根据运营商网络质量及套餐自由选择不同运营 商服务；5、建设先进的网络基础架构，满足各应用系统快速部署上线，通过信息化手段更好的服务于学校师生;校园网建设解决方案：1、公共区域室内采用支持灵动天线的RG-AP520-I进行信号覆盖，该设备可 以根据终端的位置动态定向进行信号加强，保

23、证终端在公共区域的任何位 置信号都满格；宿舍区域采用墙而AP,每个宿舍部署一台RG-AP130-L, 墙面AP为用户提供无线信号接入；室外区域采用大功率一体化RG-AP630, 该设备支持最新的802.1 lac标准，同时一体化设计简化设备安装步骤， 同时便于设备的后期维护；2、无线控制器采用RG-M18000-WS-ED无线业务板卡，该板卡通过两个万兆端 口及核心交换机背板相连接，可以同时管理2560个放装AP或者4000个墙 面AP;3、核心交换机采用RG-N18000交换机，该设备具有大表项、高性能、低延时 的特点，设备具有170K的ARP表项，同时可以满足10万终端同时在线。在木次项目

24、改造过程中使用该设备替换原有核心交换机，同时进行网络扁 平化改造，将用户网关及接入认证上收至核心交换机，大大简化接入交换 的功能，这样网络管理员只需要维护核心交换机一台设备；4、楼宇汇聚交换机采用万兆交换机RG-S2910-24GT4XS-E,该设备不仅提供 24个千兆电口，同时提供4个万千兆复用的光口，便于网络升级改造。POE交换机采用RG-S2928G-24P/12P,为受电终端提供POE/POE+的供电方 式；5、出口改造本次采用RG-RSR77-X，该设备同时具有流控、路由转发、负载 均衡、智能DNS等功能；6、运营管理平台采用锐捷智慧校园相关组件：RG-SAM、RG-elog及Por

25、tal平学院智慧校园技术方案台实现用户接入认证及基于终端类型的差异化管理，同时通过SAM及ELOG联动实现基于用户名的NAT日志记录，满足公安部的82号令要求；# / 60学院智慧校园技术方案4.3智慧校园岀口设计校园网出口区作为校园网的边界，主要负责承担边界网络的数据转发、流 量控制、安全防护、安全审计等功能。远程接入层远程用户接入边界连接层:高性能NAT/路由选路:多链路员载与备份智能DNS解析安全防护层高并戎处理性能IPDoS攻击防御 病专休马/异常沆至殂断:刚络性能保障统一认证管理:应用控制层1日志审计层IIIIIIIII实名制访问记录IIII:因形化查询界面III高效率检索I识别校园

26、网应用基于用户应用的带宽限制 数摇统计丄边界连接路由器边界连接层处于边界网的最外端，是边界网中的数据交换基础平台，此平 台主要由边界网中的路由器来。边界连接层需要考虑以下三个方而。1、边界连接1）高性能NAT转发、基于策略的路由选路PBR设备AT性能要求如下：i. 每秒高达30万条的NAT新建连接会话，在启用NAT功能并端口线速转 发的情况下，可提供每秒15万的UDP新建连接、14万条的TCP新建全连 接。ii. 并发达到1000万条的NAT会话数。如果按照每个网络节点150条NAT会话，则可以同时支持将近60000台的网络节点同时在线。2）智能路由选路23 / 60学院智慧校园技术方案校园网

27、用户在访问属于不同ISP提供的信息资源时，边界连接层需要智能 的根据用户访问的信息资源，选择不同的ISP （不同的广域网链路）来进行访 问。从而避免访问路径跨越了不同ISP网络，确保资源访问效率最大化。3）多链路负载及备份功能、智能DNS解析出于对网络出口的性能和可靠性考虑，向多个运营商同时租用多条互联网 线路的情况在国内是非常普遍的。但是，对于拥有两条或两条以上的互联网 链路的用户，如何既保证多条链路带宽被充分利用不被浪费，又保证对内对 外访问所选择的路径是最快速的最优的，安全网关必须支持多链路负载均衡 技术，对多个ISP链路的可用性和性能进行监督，对双向数据流进行智能路 径选择，从而保证用

28、户拥有最佳的互联网接入体验。2、安全防护安全防护，是出口网络设计中必不可少的内容。针对出口网络中所部署的安全防护，主要有以下三个方面：1）报文过滤通过访问控制列表（ACL）实现了灵活的各种粒度的报文过滤，包括：标 准ACL、扩展ACL。2）状态检测基于六元组来识别网络流量，并针对每条网络流量建立从二层至七层的状 态信息。并基于这些状态信息进行各种丰富的安全控制和更深粒度的报文过 滤，包括：报头检查、IP分片支持、特殊应用协议支持等。3）攻击防御基于状态检测可以防御的各种网络攻击包括：IP畸形包攻击、IP假冒、学院智慧校园技术方案TCP 劫持入侵、SYN flood Smurf Ping of

29、Death、Teardrop Land、ping flood、UDP Flood等等。支撐校园网这种大型网络的出口应用，设备的NAT、PBR性 能是有严格要求的。3、高转发性能在启用NAT、ACL、PBR （策略路由）的情况下，在通常情况报文流情况下（平均报文长度为500byte左右的混合报文），双向可以达到20Gbps的线速 转发。27 / 60学院智慧校园技术方案4.4智慧校园核心设计核心网络采用核心交换机N18000双引擎配置。N18000系列是而向云架构 网络设计的核心交换机，是业界首个同时支持云数据中心特性和云园区网特 性，实现云架构网络融合、虚拟化、灵活部署的新一代云架构网络核心交

30、换 机。NewtonlSOOO系列核心交换机采用超大表项容量，承载10万级用户在线， 能够达到1000个/s的终端并发速度，同时支持90000个IPv4/IPv6双栈用户 在线以及超过15万IPv4用户的同时在线。传统架构的网络认证方案中，接入或汇聚设备上是利用IP+MAC构造的安 全表项来实现终端的认证，因此接入或汇聚设备上的安全表项容量一般就决 定了最大可以支持的认证终端数量。而随着网络规模的持续扩大，应用场景 的不断增多，接入或汇聚设备已无法满足发展需要，无法承载更多的终端用 户灵活、安全的接入网络。而在“极简网络”解决方案中，作为认证?n.Mowmn入iiwHamifi Hl_I (Q |o IO e e m snwfflEZZhG W 诅 “-kwrt TIA/EIA 568和 GB50311-2007标准;线缆护套阻燃性能（PVC）满足IEC 60332-1标准要求,