合肥荣事达太阳能科技有限公司整体网络方案

1、合肥荣事达集团节能科技楼系统集成方案安徽迈大信息科技有限公司二零一五年十月目录一、网络需求分析概述31.1、前言31.2、需求分析3二、网络整体规划设计42.1、网络规划方案原则4i. 2.1.1、有线规划原则42.1.2、无线规划原则42.2、整体网络规划拓扑图62.3、核心网络设计62.4、无线网络设计72.4.1、无线部署优点72.4.2、无线部署方式82.4.3、防ARP病毒92.4.4、AP间漫游92.4.5、智能负载均衡方案10三、产品介绍113.1、路由设备介绍113.2、核心设备介绍143.3、接入设备介绍183.4、无线设备介绍193.5、无线接入设备介绍24四、系统集成、网

2、络综合布线、机房建设预算清单27 一、网络需求分析概述1.1、前言随着信息技术、通讯技术的飞速发展，特别是Internet的普及，为各个企业、公司的信息化发展提供了良好的条件和机遇。1.2、需求分析总厂区分多个厂房，每个厂房到核心机房通过光纤互联，总厂区大约700个信息点，但考虑到无线用户及后期扩展，核心设备配置需满足本厂区后期扩展的需求。考虑厂区无线客户端上网，此方案中还需添加无线相关设备。二、网络整体规划设计2.1、网络规划方案原则2.1.1、有线规划原则Ø 先进性采用国际领先的网络产品和相关技术，支持业界最丰富的网络应用协议，支持现有业务和将来增加的新业务，保证骨干网上各类业务

3、可靠传输和服务质量，满足合肥荣事达太阳能科技有限公司未来应用系统扩展的需求。Ø 可用性网络的可用性是网络建设最基本的原则，要保证网络的稳定运行首先要保证网络的可用性。Ø 安全性通讯业务性质决定了网络安全对于合肥荣事达太阳能科技有限公司建设有着极为重要的意义，在网络设计过程中采用一体化的网络安全设计思想，从而充分保证网络核心骨干、汇聚、边缘接入多个部分网络访问的高安全性，将来可以实现到自防御网络体系的平滑升级Ø 可扩展性业务的发展对网络的需求是不断变化的，网络应用系统为了满足这些需求也会随之变化。面对不断变化的情况和需求，网络应当能够作出快速和有效的反应。因此，网络

4、必须具备良好的可扩展性，应支持核心业务系统的不断扩展，适应未来业务的发展和变化。同时，网络结构应当能够变化，具有灵活的伸缩能力，网络设备可以扩充和升级。Ø 可管理性随着网络规模的不断扩大和网络的不断复杂，网络的维护量随之增加。整个网络的可管理性变得尤为重要。因此，网络系统应当具有统一的可管理性，建立统一的网络管理平台。不仅实现对网络设备的管理，同时实现对网络策略的管理和不同协议的多级维护。2.1.2、无线规划原则Ø 先进性和实用性并重需要统一采用802.11n规格标准来建设并能向下兼容802.11b/g的接入，同时要求无线接入点设备支持2.4GHz和5GHz频段的双路同时接

5、入。Ø 可管理性通过一个集中的无线局域网网管平台实现对所有的AP功能的配置和管理，必须具有集中管控、智能管控、自动恢复、负载均衡等实用功能，使所组建的无线网络可以适应多种环境的变化，可动态地保证良好应用效果。同时，还应具有远端AP远程监控、发射功率可调等多项功能，支持多SSID。Ø 安全性支持无线入网认证、入网行为控制、安全加密、无线电射频管理等。Ø 可靠性与扩展性提供智能化的无线电波自动调控与切换能力，以确保单个AP接入点在发生故障时具有自动切换到邻近AP，不影响用户无线接入服务。同时整个系统可以根据用户的需要进行规模上的扩展，扩展后所有功能和管理的模式保持不变

6、。Ø 稳定性无线网络的无线接入点数量具有一定规模，所以整个无线网络的稳定性并不只针对无线接入点，而且还要求有线网络、无线控制器、后台用户认证系统稳定可靠，保证整个无线系统平稳运行。2.2、整体网络规划拓扑图2.3、核心网络设计核心交换支持虚拟化技术，将多台设备通过虚拟化技术虚拟成一台设备；虚拟化技术和传统核心备份的比较：n 传统方案二层环路n VRRP+MSTP导致设计复杂n 链路交织，路由设计相对复杂n 节点、链路的故障均引发路由动荡n 网络中大量链路被阻断虚拟化技术介绍：n 端到端堆叠虚拟化灵活支持二层在汇聚、核心终结n 多个网络节点虚拟化为一个节点n 链路交织被捆绑成单条逻辑链

7、路n 消除复杂VLAN+MSTP/VRRP n 路由&VLAN规划极大简化n 单个物理节点、链路的故障不影响上层路由IRF2：（第二代智能弹性架构横向虚拟化）可靠性：通过专利的路由热备份技术，在整个虚拟架构内实现控制平面和数据平面所有信息的冗余备份和无间断的三层转发，极大的增强了虚拟架构的可靠性和高性能，同时消除了单点故障，避免了业务中断；分布性：通过分布式跨设备链路聚合技术，实现多条上行链路的负载分担和互为备份，从而提高整个网络架构的冗余性和链路资源的利用率；易管理性：整个弹性架构共用一个IP管理，简化网络设备管理，简化网络拓扑管理，提高运营效率，降低维护成本。IRF3：（

8、第三代智能弹性架构纵向虚拟化）H3C S7500E系列产品可以在纵向维度上支持异构虚拟化，将核心和接入设备通过IRF3技术形成一台纵向逻辑虚拟设备，支持AC、AP统一管理、配置，相当于把一台盒式设备作为一块远程接口板加入主设备系统，可支持多达60台盒式设备加入，以达到扩展I/O端口能力和进行集中控制管理的目的。IRF3技术可以简化管理，大幅度降低网络管理节点；简化布线，二层变为一层，节省横向连接线缆；最终实现数据转发平面虚拟化，便与简化业务部署和自动编排。2.4、无线网络设计2.4.1、无线部署优点AC3024E无线控制器缺省支持24个AP的管理，最大支持96个AP，满足无线网络后续扩容及升级

9、要求。无线控制器支持限速，白名单，黑名单等功能。H3C FIT AP组网最大的优点在于AP本身零配置，AP上电后会自动从无线控制器下载软件版本和配置文件，同时无线控制器会自动调节AP的工作信道以及发射功率。另外，通过无线控制器的RF扫描探测热点地区Rouge AP，可以及时排除其他AP存在的干扰，保障AP的稳定运行。在网络管理方面，网管可以只通过管理无线控制器设备就可以达到控制AP的效果，极大的减少了无线网络后期维护和管理的工作量。使用无线控制器+FIT AP时，AP在启动后会自动通过DHCP方式获取IP地址，并自动搜寻可关联的无线控制器，在和无线控制器建立CAPWAP隧道之后会自动从无线控制

10、器下载配置文件和更新软件版本。2.4.2、无线部署方式目前针对WLAN来讲，2.4G具有3个不重叠的信道，针对5.8G具有5个不重叠信道，但由于网络用户具有一定的不确定性，故网络覆盖时所需要的WLAN网络空间都要进行2.4G与5.8G的频率覆盖，从网络规划的角度出发，主要考虑2.4G与5.8G二个频率的覆盖设计，针对2.4G的频率的信号衰减模型主要采用如下：PathLoss(dB) = 46 +10* n*Log D（m），而对于5.8G的信号衰减模型：PathLoss(dB) = 32.4+20*lg fMHz+ 20*lgdKM +a * dKM，根据以上二信号衰减模型进行网络的设计，到具

11、体网络实施时要进行工勘与优化，而对于信道主要采用1、6、11三个信道交错使用，具体的面覆盖逻辑示意图如下：WLAN2.4G信道规划示意图本次选用WA2620-AGN无线终端产品，支持802.11n协议标准，单射频能提供高达300Mbps的无线接入速度，是传统802.11a/b/g网络6倍以上的无线接入速率，能够覆盖更大的范围。AP供电由于环境因素影响，实际组网应用AP带有一个供电模块，只需要通过AP供电模块为AP实现远程供电，供电距离达100米，能满足实际组网的需求。2.4.3、防ARP病毒ARP欺骗攻击不仅会造成联网不稳定，引发用户无法上网，或者企业断网导致重大生产事故，而且利用ARP欺骗攻

12、击可进一步实施中间人攻击，以此非法获取到游戏、网银、文件服务等系统的帐号和口令，对被攻击者造成利益上的重大损失。因此ARP欺骗攻击是一种非常恶劣的网络攻击行为。无线局域网由于带宽相对较窄，而且同一个AP下的所有用户都共享带宽，所以一点有用户中ARP病毒，频繁发送ARP报文，对网络的影响比有线更大。针对无线网络的特点，H3C创新的在WLAN上提供防ARP病毒方案，首先同一个AP的同一个SSID下的用户缺省启动用户隔离，这样用户发送的ARP报文不会被转发给其他用户，其次H3C ARP攻击防御解决方案通过对客户端、接入交换机和网关三个控制点实施自上而下的“全面防御”，并且能够根据不同的网络环境和客户

13、需求进行“模块定制”，为用户提供多样、灵活的ARP攻击防御解决方案。H3C提供两类ARP攻击防御解决方案：监控方式，认证方式。监控方式主要适用于动态接入用户居多的网络环境，认证方式主要适用于认证方式接入的网络环境；实际部署时，建议分析网络的实际场景，选择合适的攻击防御解决方案。另外，结合H3C独有的iMC智能管理中心，可以非常方便、直观的配置网关绑定信息，查看网络用户和设备的安全状况，不仅有效的保障了网络的整体安全，更能快速发现网络中不安全的主机和ARP攻击源，并迅速做出反映。2.4.4、AP间漫游无线终端在无线网络中移动时，必然要进行不同AP之间、所属不同有线交换机之间的漫游切换。首先无线终

14、端会通过无线局域网服务器进行第一次的安全接入认证，无线交换机会介入该认证过程，并获得PMK（Pairwise Master Key）。无线终端根据PMK生成多个通讯用密钥，开始进行加密会话。当无线终端发现需要进行切换时，会进行如下操作：Ø 与无线交换机进行连接的预建立；Ø 无线交换机与需要建立连接的AP交换通讯用PMK密钥，并将PMK密钥传给无线终端；Ø 无线终端发布更新消息，更新无线交换机转发表；Ø 原有的数据流转换到新的AP上来；Ø 切断原有的数据连接。整个L2、L3漫游过程在50ms内全部完成，并兼容IEEE 802.11i、IEEE80

15、2.11f和IEEE802.11e标准，可良好支持语音、视频等多媒体业务的需求。考虑到具有语音与视频的潜在需求，可以通过设置专门的SSID作为语音/视频业务使用，通过划分VLAN方式实现语音终端仅仅与语音网关进行通信，保证语音业务与数据业务隔离开来。2.4.5、智能负载均衡方案无线控制器可以设定AP间对接入用户进行负载分担，负载分担的策略可以是基于AP接入的用户数量，AP流量负载情况当无线控制器发现AP的负载超过设定的门限值以后，对于新接入的用户无线控制器会自动计算此用户周围是否还有负载较轻的AP可供用户接入，如果有则AP会拒绝用户的关联请求，用户会转而接入其他负载较轻的AP。H3C公司创新性

16、地支持智能负载均衡技术，保证只对处于AP覆盖重叠区的无线用户才启动AP负载均衡功能，有效的避免误均衡的出现。三、产品介绍3.1、路由设备介绍先进的技术支撑采用H3C成熟的Comware网络操作系统，提供更智能的业务调度管理机制，支持业务模块化的松耦合，并能实现进程和补丁的动态加载；卓越的高性能多核CPU处理器及无阻塞交换架构，极大提升多业务并发处理能力；支持OAA开放式应用架构，支持云业务平台CVK、VMWARE、广域网优化（WAN）、Lync协同办公、客户第三方的业务等开放式应用；双主控系统架构，实现主控板毫秒级切换和进程级的备份；集成路由交换矩阵技术，路由和交换平面分离，实现万兆级传输速率

17、；多种业务协处理引擎，包括数据加密引擎和语音DSP处理引擎等。强大的安全功能Ø 业务安全报文过滤功能，支持状态过滤、MAC地址过滤、IP和端口号过滤、时间段过滤等；支持业务流量实时分析等。Ø 网络安全多样化的VPN技术，包括IPsec、L2TP、GRE、ADVPN、MPLS VPN，以及多种VPN技术的叠加使用；支持路由器协议的安全防护，支持OSPF/RIP/IS-IS/BGP动态路由协议认证、支持OSPFv3/RIPng/IS-ISv6/BGP 的IPSec加密、 支持丰富的路由策略控制功能。Ø 终端接入安全一体化的终端接入绑定认证，包括EAD安全检查认证、80

18、2.1x认证、终端MAC地址认证、 基于WEB的Portal认证、终端接入静态绑定、MAC自动学习绑定；ARP攻击防范，支持源MAC地址固定、ARP报文攻击防范、地址冲突检测和保护、ARP端口限速、ARP Detection、ARP源MAC地址一致性检查、ARP源抑制、ARP主动确认机制等。Ø 设备管理安全支持基于角色权限管理，能够基于角色进行资源分配、用户与角色的对应、权限二维分配方式；支持控制平面流量限制，支持基于协议类型、不同队列、已知协议报文、指定协议报文等进行流量控制和过滤；远程安全管理，支持SNMPv3、支持SSH、HTTPS远程管理等；管理行为控制审计，支持AAA服务器

19、集中验证、执行命令行授权、操作记录实时上报等。精细化业务控制通过精细化识别和精细化控制，实现对应用层业务的限速、带宽保障、过滤等功能，并通过精细化统计指导网络优化；支持等价链路负载分担（ECMP）和非等价链路负载分担（UCMP），UCMP支持根据链路带宽比例进行负载分担；业务智能选路通过非对称链路负载分担、流量智能负载分担和多拓扑动态路由等技术，实现不同场景下充分利用网络链路，支持多链路的负载分担和基于业务和应用的负载分担；支持基于多种方式下网络带宽的弹性共享，包括基于业务的弹性共享、基于用户和用户组的弹性共享、基于链路的弹性带宽共享和基于用户的带宽限制。智能化网络管理完善的网络管理方式，支持

20、命令行、SNMP等方式；支持零配置部署，可实现零配置方式下的批量设备开局，通过无线短信实现设备的零开局，并且在误配置时可自动实现设备配置的回退；Comware内置的EAA功能，对系统软硬件部件的内部事件、状态进行监控，出现问题时收集现场信息并尝试自动修复,并能将现场信息发送到指定的Email邮箱；支持U盘系统自动启动、U盘配置自动导入和USB Console接口。高可靠性支持冗余主控，故障切换时间为毫秒级；支持冗余电源，支持接口模块热插拔，支持双CF卡备份；控制平面和转发平面的物理分离，最大限度的提高系统的故障隔离能力和可靠性；独立硬件处理模块监控系统，可编程器件支持在线升级和自动加载，增强产

21、品的可靠性；链路毫秒级快速故障侦测技术（BFD），可实现同静态路由、RIP/OSPF/BGP/ISIS动态路由、VRRP和接口备份的联动；网络业务质量智能检测技术（NQA），可实现同静态路由、VRRP和接口备份的联动；支持多设备的冗余备份和负载分担（VRRP/VRRPE）；支持快速重路由、GR/NSR等可靠性技术。网络虚拟化为降低用户组网的复杂性，提高管理效率，率先在广域网设备上支持IRF2（第二代智能弹性架构）技术，将物理上两台设备虚拟化成一台逻辑设备，极大的降低了用户网络的运维成本，提升链路带宽利用率以及设备的使用率。支持跨设备以太网链路聚合技术，实现多条上行链路的负载分担和互为备份，从而

22、提高整个网络架构的可靠性和链路资源的利用率。云间互联支持以太网虚拟化互联（EVI）技术来完成数据中心二层互联需求。EVI解决方案组网简单，成本低廉，只需要在站点边缘部署一个或多个支持EVI功能的设备，且企业网络和服务提供商网络无需做任何变动；同时，EVI解决方案还提供了对数据进行加密IPsec技术的组合解决方案，来提高数据中心数据在公用网络上传输的安全性。绿色环保完全满足RoHS标准；先进的风道隔离设计，电源与系统风道隔离设计，独特的双L形风道设计，电源风道与系统风道两个L型风道提高了空间利用率；风扇级冗余备份设计，多级风扇调速方案，系统会根据产品内部温度确定系统需要的风扇转速，最大可能的降低

23、了风扇噪音与能耗；智能节电管理，灵活定义HMIM/主控板/转发板节电策略，最大限度地降低设备能耗。3.2、核心设备介绍丰富的业务，适应融合业务网络发展趋势IRF2（第二代智能弹性架构横向虚拟化）H3C S7500E面向数据中心技术的演进，推出了IRF2为代表的软件虚拟化技术，提供2-4台主机的协同工作、统一管理和不间断维护功能；IRF2不仅成为数据中心交换设备高性能、虚拟化的关键技术，而且对于传统企业网应用，IRF2所提供的高可靠性和无缝升级、扩展能力，也成为H3C用户增值服务的重要组成部分；另外H3C 的IRF2虚拟化技术还可根据组网的要求支持长距离（80KM）的普通以太网万兆光纤堆叠。IR

24、F3：（第三代智能弹性架构纵向虚拟化）H3C S7500E系列产品可以在纵向维度上支持异构虚拟化，将核心和接入设备通过IRF3技术形成一台纵向逻辑虚拟设备，支持AC、AP统一管理、配置，相当于把一台盒式设备作为一块远程接口板加入主设备系统，以达到扩展I/O端口能力和进行集中控制管理的目的。IRF3技术可以简化管理，大幅度降低网络管理节点；简化布线，二层变为一层，节省横向连接线缆；最终实现数据转发平面虚拟化，便与简化业务部署和自动编排。全面的MPLS、VPLS业务能力H3C S7500E所有产品均支持Multi-VRF特性，可以作为MCE设备使用；支持三层的MPLS VPN和二层的MPLS VP

25、N（Martini、Kompella）；支持MPLS OAM特性，方便用户的管理和维护；与H3C MPLS VPN Manager配合，实现图形化的MPLS部署与维护。全面支持VPLS，VLL，还支持分层VPLS以及QINQ+VPLS接入方式，提供端到端2层VPN接入方案，支持MPLS/VPLS全线速转发，满足VPLS规模部署要求。高性能IPv4/IPv6业务能力H3C S7500E支持IPv4/IPv6双协议栈,支持多种隧道技术，支持IPv4/IPv6的组播技术，为用户提供完善的IPv4/IPv6解决方案；H3C S7500E采用分布式体系架构，实现IPv4/IPv6业务的线速无阻塞转发；H

26、3C S7500E已经通过了信息产业部的IPv6入网认证和IPv6 Ready第二阶段认证，是成熟商用的IPv6产品。有线无线一体化，有源无源一体化H3C S7500E集成的无线控制模块提供丰富的业务能力，包括精细的用户控制管理、完善的RF管理及安全机制、快速漫游、超强的QoS和对IPv6的支持等；无线控制模块通过与安全策略服务器的联动，实现对无线接入用户的端点准入防御，提高了整网的安全性。H3C 7500E采用了支持AC功能的芯片设计，可拓展随板AC功能，为客户组建有线无线一体化网络的提供更丰富的选择。H3C S7500E是业界最高密度的以太网无源光网络（EPON）设备， 其提供高可靠的EP

27、ON系统，采用分布式体系结构、模块化设计，主控板冗余热备份、无源背板、冗余电源支持双路供电，具有电信级可靠性。EAD端点准入防护技术H3C S7500E支持大容量的Portal认证功能，可以在数千用户的局域网中做为EAD网关设备，为全网用户提供EAD安全认证功能；可以在大中型的校园网中担任汇聚/核心设备的同时，为学生宿舍区的认证计费提供Portal认证功能。BYOD基础网络架构支持丰富的接入认证方式，可以在数千用户的局域网中做为认证网关设备，为接入用户提供安全认证功能；也可以配合SSL VPN插卡，在大中型的园区网中担任汇聚/核心设备的同时作为VPN认证网关。H3C S7500E为BYOD移动

28、办公特性提供了基础网络架构，便于拓展BYOD应用如移动ERP、OA、UC&C等。云数据中心化技术作为企业级网络核心设备，H3C S7500E系列产品可以助力用户从容面对云数据中心化所需的一系列技术及解决方案：TRILL：随着服务器和交换机规模的增加，数据中心网络越来越倾向于扁平化的网络架构以便于维护管理，这就要求构建一个大型的二层网络；H3C S7500E系列产品支持通过TRILL技术和纵向虚拟化技术来进行数据中心大二层网络的构建。数据中心大二层技术TRILL（TRansparent Interconnection of Lots of Links，多链路透明互联）协议将三层路由技术I

29、S-IS（Intermediate System-to-Intermediate System，中间系统到中间系统）的设计思路引入二层网络，并对其进行了必要的改造。从而将二层的简单、灵活性与三层的稳定、可扩展和高性能有机融合起来。MDC：H3C S7500E产品可以通过MDC技术实现正真的1：N的虚拟化，即把一台交换机虚拟成N台互相独立的虚拟交换机，不同于传统的交换机虚拟化技术，MDC虚拟出的每台交换机之间物理隔离、安全隔离，拥有独立的硬件资源和管理权限，满足多业务客户共享核心交换机的需求，这样，一方面可以充分利用核心交换机的能力达到隔离复用的作用，另一方面也降低了用户的投资成本，一举两得。E

30、VB：H3C S7500E产品支持EVB (Edge Virtual Bridging)，通过VEPA (Virtual Ethernet Port Aggregator)技术将虚拟机产生的网络流量上传至与服务器相连的物理交换机进行处理，不仅实现了虚拟机间流量转发，同时还解决了虚拟机流量监管、访问控制策略部署等问题。FCOE： H3C S7500E系列产品支持FCOE技术；FCOE技术主要用来解决云计算数据中心LAN网络和存储网络异构的问题，通过FCoE和CEE技术的部署，可以实现数据中心前端网络和后端网络架构的融合，解决数据、计算和存储三网割裂的技术难题，从而大大降低数据中心的采购

31、和扩容成本；EVI：H3C S7500E系列产品支持EVI（Ethernet Virtual Interconnection，以太网虚拟化互联）技术，EVI是一种先进的"MAC in IP"技术，EVI解决方案部署非常简单，基于现有的IP网络，给分散的物理站点提供灵活的二层互联功能。全方位的安全保障，抵御多种网络安全威胁三平面安全保障机制H3C S7500E提供完善的安全防护机制，可从控制、管理、转发三平面全面保障网络的安全：在控制平面，内置协议报文攻击识别模块，防止TCN、ARP等协议报文攻击，OSPF/BGP/IS-IS路由协议采用MD5验证，防止非法路由更新报文导致的

32、网络瘫痪；在管理平面，SNMPv3网管协议，SSH V2，基于802.1x、AAA/Radius的用户身份认证以及分级的用户权限管理保证了设备管理的安全性；在转发平面，支持IP、VLAN 、MAC和端口等多种组合精细绑定；支持uRPF单播反向路径转发，防止非法流量访问网络，采用最长匹配逐包转发机制，有效抵御病毒的攻击。H3C S7500E还支持内置的高性能防火墙、异常流量清洗等模块，将专业的安全融入到交换机之中。有线无线全面支持EADH3C S7500E是EAD端点准入防御解决方案的重要组成部分，S7500E可以动态的接收来自安全策略服务器的控制策略，根据终端的安全状态给予下发相应的访问权限。

33、H3C S7500E既支持有线终端用户的EAD，也支持无线终端用户的EAD，能够做到终端安全防范无漏洞。增强的ACL特性H3C S7500E系列产品支持强大的ACL能力：支持标准和扩展ACL；支持基于VLAN的ACL，方便用户配置，节省ACL资源；支持出方向和入方向的ACL，满足金融等行业访问权限严格控制的需求。电信级的高可靠性，保障用户业务长期稳定运行电信级高可靠性设计H3C S7500E采用无单点故障设计，所有关键部件，如主控板、电源和风扇等采用冗余设计；无源背板避免了机箱出现单点故障；所有单板和电源模块支持热插拔功能；H3C S7500E系列可以在恶劣的环境下长时间稳定运行，达到99.9

34、99的电信级可靠性。多业务高可靠性运行H3C S7500E支持不间断转发和优雅重启，提供毫秒级的切换时间；支持等价路由，可帮助用户建立多条等值路径，实现流量的负载均衡及冗余备份；支持RRPP快速环网保护协议；支持Smart-Link协议，保证双上行网络拓扑的业务毫秒级快速切换。通过上述技术，H3C S7500E可以在承载多业务的情况下不间断运行，实现业务的永续。基于IRF2架构的HAIRF2技术可以把多台S7500E虚拟成一个“联合设备”，使用和配置都如同一台机器，而且扩展端口数量和交换能力，同时也通过多台设备之间的互相备份增强了设备的可靠性，提供毫秒级的链路收敛能力。简化了管理过程，降低管理

35、成本，并可根据实际需求平滑扩容网络容量。支持基于硬件的丰富的OAM故障检测机制，实现毫秒级链路故障检测。硬件级加密技术S7500E支持硬件级加密技术Macsec技术（802.1ae），区别于传统端到端基础应用层保护的软加密技术，Macsec通过鉴别数据源的密码技术保护管理桥接网络和其他数据的控制协议，保护信息完整并提供再保护和保密服务。通过确认由该站发来的帧，可根源上保护2层协议受到的攻击。增强的以太网供电能力（PoE+）H3C S7500E系列交换机可以支持802.3af/802.3at增强的以太网供电功能，单端口最大30W的输出功率，可以为802.11n的无线接入点，可视IP电话，大功率的

36、监控摄像头以及更多的终端设备提供以太网供电能力。3.3、接入设备介绍高性能与灵活扩展能力H3C S5110系列交换机支持所有端口线速转发，满足了用户对高带宽的需求。S5110系列交换机至少支持2或4端口千兆上行，并且SFP端口既可以支持百兆光模块，也可以支持千兆光模块，在降低用户成本的同时，更好的考虑了用户后续升级的实际需求。H3C S5110系列交换机可支持32台设备的堆叠，最大扩展至1664个100/1000M端口，支持不同端口设备的混合堆叠。具有即插即用、单一IP管理。同时大大降低系统扩展的成本，保护了用户投资。丰富的安全策略H3C S5110系列交换机支持特有的ARP入侵检测功能，可有

37、效防止黑客或攻击者通过ARP报文实施日趋盛行的“ARP欺骗攻击”。支持IP Source Guard特性，防止包括MAC欺骗、IP欺骗、MAC/IP欺骗在内的非法地址仿冒，以及DoS攻击。另外，利用DHCP Snooping的信任端口特性还可以有效杜绝私设DHCP服务器，保证DHCP环境的真实性和一致性。H3C S5110系列交换机支持端口安全特性族，可以有效防范基于MAC地址的攻击，实现基于MAC地址允许/限制流量。H3C S5110系列交换机提供802.1X和MAC认证方式对接入的用户进行认证，支持客户端软件版本检测、Guest VLAN等功能，和iMC配合还可以实现代理检测、双网卡检测等

38、功能。通过这些功能的应用可以对用户的合法性进行充分的检查和控制，最大程度的减少非法用户对网络安全的危害。多重可靠性保护H3C S5110系列交换机支持以太网OAM和CFD，可以有效提高对以太网的管理和维护能力，保障网络的稳定运行。H3C S5110 系列交换机支持Smart Link和Monitor Link， 可以为双上行链路提供更高效，更可靠的链路备份。H3C S5110 系列交换机支持RRPP，可为环形组网提供更快的拓扑收敛， 使数据传输更为稳定。增强的多业务能力H3C S5110系列交换机支持端口限速以及流限速功能，防止恶意侵占网络带宽，也为网络带宽的精细化管理提供了手段。H3C S5

39、110系列交换机支持丰富的队列调度算法，可以以不同的优先级将报文放入端口的输出队列。H3C S5110系列交换机支持丰富的IPv6管理功能及支持丰富的IPv6业务特性等。增强的以太网供电能力（PoE+）H3C S5110系列交换机支持增强的以太网供电功能（PoE+），PoE供电款型可以提供每端口最大30W的输出功率，可以为802.11n的无线接入点，可视IP电话，大功率的监控摄像头以及更多的终端设备提供以太网供电能力。专业的防雷功能H3C S5110系列交换机采用专业的内置防雷技术，支持业界领先的7KV业务端口防雷能力，使其在比较恶劣的工作环境中也能极大的降低雷击对设备的损坏率。绿色节能H3C

40、 S5110系列是H3C新一代绿色节能以太网交换机，采用多种绿色节能设计，包括auto-power-down（端口自动节能），如果在一段时间内接口状态始终为down，则系统自动停止对该接口供电，自动进入节能模式；支持一键节能模式，通过控制设备上指示灯亮/灭以及端口节能状态降低能耗；支持EEE节能功能，端口如果在连续一段时间之内空闲，系统会将该端口设置为节能模式，当有报文收发时再通过定时发送的监听码流唤醒端口恢复业务，达到节能的效果，满足材料环保与安全性的欧盟RoHS标准。简单易用的网络管理H3C S5110系列交换机支持通过FTP、TFTP实现设备的远程升级，支持SNMP v1/v2/v3，可

41、支持Open View等通用网管平台，以及iMC智能管理中心。支持CLI命令行，Web网管，TELNET，使设备管理更方便。并且支持SSH2.0等加密方式，使得管理更加安全。3.4、无线设备介绍提供对802.11n AP的管理WX3000系列一体化交换机在支持对传统802.11a/b/g AP管理的同时，还可以与H3C基于802.11n协议的AP配合组网，从而提供相当于传统802.11a/b/g协议数倍的无线接入速率，能够覆盖更大的范围，使无线多媒体应用成为现实。提供灵活的数据转发方式传统的无线控制器部署一般采用集中式转发模式，AC可以对报文进行全面控制和安全监管，但所有的无线业务流量需要到A

42、C进行统一处理，核心链路带宽和AC转发能力容易成为瓶颈。特别是AP和AC通过广域网方式进行连接时，AP作为数据接入设备部署在分支机构，而AC部署在总部，所有用户数据由AP发送到AC，再由AC进行集中转发，导致转发效率低下。WX3000系列一体化交换机可以支持集中式转发和分布式转发，用户根据业务需要和网络实际情况可以灵活设置转发方式。支持精细的无线用户接入控制和管理基于MAC的认证接入控制方式，不但可以使得客户在AAA服务器上对用户组进行权限的配置和修改，同时支持对具体用户的权限的配置，这种精细的用户权限控制大大增强了无线网络的可用度，网管人员可以轻松通过该方式对不同级别的人或人群进行接入权限分

43、配。基于MAC的VLAN同样也是WX3000系列一体化交换机的一大特色，在控制策略上，管理员可以把相同性质的用户(MAC)划分到同一个VLAN，同时在AC上基于VLAN配置安全策略，这样做既可以简化系统配置，又可以做到用户级粒度的精细管理。出于安全性或计费等考虑，系统管理员可能希望控制无线用户接入到网络中的位置。WX3000系列一体化交换机支持基于AP位置的用户接入控制。当无线用户接入网络时，可以通过认证服务器向AC下发允许用户接入的AP列表，在AC上进行接入控制，从而达到限制无线用户只能接入到指定位置的AP的目的。支持802.1x认证，MAC地址认证，Portal认证等WX3000系列一体化

44、交换机支持多种认证方式：802.1x认证：WX3000系列一体化交换机支持TLS、PEAP、TTLS、MD5、SIM卡等多种802.1x的认证方式，同时还支持802.1x本地认证方式，提供对MD5、TLS、PEAP这几种主流认证方式的支持，用户不再需要额外配置AAA服务器。WX3000还支持通过802.1x认证后动态授权VLAN和ACL功能，对用户的策略可以事先设定好，用户认证时，系统自动配置客户权限。MAC地址认证：WX3000支持MAC地址认证，对一些手持终端(例如：Wi-Fi Phone、手持移动终端等)并不方便采取电脑上的认证方式，MAC地址认证却可以轻松解决该问题，实现在控制器或者A

45、AA服务器上配置好合法的MAC地址，这些MAC地址对应的终端就可以被允许被接入到网络，而事先没有被配置的非法终端则不能接入无线网络，该功能极大地方便了例如无线医疗系统等应用，MAC地址认证可以确保只有医院的PDA工作终端才能接入到无线网络，而拒绝病人的无线PDA使用专用无线网络。Portal认证：WX3000提供内置的Portal认证服务器。该认证方式无需客户端配合，直接通过浏览器WEB Portal页面作为认证通道，当用户认证通过后，可以灵活跳转到指定访问首页并启动相应授权和计费。同时也可以根据策略要求，灵活推送定制Portal页面，达到广告宣传、信息传递的作用，广泛使用在无线校园、无线城市

46、、访客接入等应用场景。提供User Profile在基于用户授权方式的网络管理中，用户通过认证，即获得访问网络的权限。授权包括控制用户可访问的网络范围，以及用户可获得的网络服务质量，如访问带宽、访问优先级。在用户移动的网络或大型网络中，为了方便网管人员开展日常的管理工作，User Profile特性提供了一种更模块化、更简单的管理方式。管理人员将一组基于用户群或特殊用户定制的策略配置在各个用户的profile中，并且为每个用户群或特殊用户预先分配各自的profile，用户认证上线时，在用户上线的端口动态下发profile配置，使该用户能动态获得其可以访问的网络范围，访问带宽以及访问优先级；在用

47、户下线时，取消该用户在这个端口上的配置，自动关闭该端口的特殊访问权限。User Profile中可以下发的配置包括ACL、QoS(优先级、带宽限速、802.1p和DSCP标记)、VLAN。支持信道智能切换无线局域网中，信道是非常稀缺的资源，每个AP只能够工作在非常有限的非重叠信道上，比如对于2.4G网络，只有个非重叠信道，所以如何智能地为AP分配信道是无线应用的关键。无线局域网工作的频段存在大量可能的干扰源，如雷达、微波炉，它们在网络中的出现将干扰AP的正常工作。通过信道智能切换功能，可以保证每个AP能够分配到最优的信道，尽可能地减少和避免相邻信道干扰，而且通过实时信道干扰检测，可以让AP实时

48、避开雷达，微波炉等干扰源。支持智能AP负载分担WLAN网络的IEEE标准802.11协议把无线漫游的决策交给了无线客户端，无线客户端一般会根据AP信号强度(RSSI)选择AP，这很容易导致大量的客户端仅仅因为某个AP信号较强而连接到同一个AP上。由于这些客户端共享无线媒介，导致每个客户端的网络吞吐将大量减少。智能负载分担方法可以实时地分析无线客户端的位置，动态地确定在当前时刻和当前位置下哪些AP可以彼此分担负载，通过控制无线客户端接入的AP，来实现这些AP间的负载分担。系统不仅支持按照用户在线会话数的负载分担，而且支持按照用户流量负载的分担。支持RealTime Spectrum Guard(

49、实时频谱保护)模式RealTime Spectrum Guard(RTSG)是H3C创新提出的针对无线环境频谱状态的专业监控方案。WX3000系列一体化交换机可以和内置射频采集模块的Sensor AP，实现深度融合的射频监控和实时频谱防护。RTSG的控制台融合部署于H3C iMC智能管理中心，通过CAPWAP管理隧道，与Sensor AP进行通信和数据采集，实现7X24小时的无线环境质量监控、无线网络能力趋势评估以及非许可干扰告警。通过图形化方式，主动探测和识别所有2.4GHz/5GHz波段的射频干扰源(Wi-Fi或非Wi-Fi)，可提供实时FFT图，频谱密度图、光谱图、占空比图、事件光谱图、

50、频道功率、干扰功率等；可自动识别干扰源，确定有问题的无线设备的位置，确保无线网络发挥最佳的性能。结合H3C iAR智能报表组件，可实现全覆盖区内的射频质量历史记录的存储、追溯、回放等，自动生成客户化的趋势、合规和审计报告。针对用户无线环境监管的不同层次需求，RTSG方案的部署可以灵活采用Local mode或Monitor Mode。当工作在Local Mode时，可以在获得有效的频谱防护前提下，保持正常的用户接入和数据包转发。支持智能无线业务感知(wIAA)WX3000系列一体化交换机支持智能感知无线业务流量，实现基于无线用户状态的弹性策略识别与管理，优化语音及视频业务承载。支持远程探针分析

51、WX3000系列一体化交换机支持针对AP的远程探针分析功能。可以对覆盖区内的Wi-Fi报文进行侦听捕获并实时镜像到本地分析设备供网络管理员进行故障排查、优化分析。远程探针分析功能既可以针对工作信道进行无收敛镜像，也可以对所有信道轮询采样，灵活满足无线网络监控运维要求。内置射频优化引擎(ROE)WX3000系列一体化交换机内置针对AP的射频优化引擎(RF Optimizing Engine)，通过基于特征和协议的射频优化，有效提升无线部署中高密度接入、流媒体传输等场景中的应用加速能力和质量保障效果。其中包含：多用户公平调度、混合接入公平、过滤干扰、速率最优、频谱导航、组播增强(IPv4/IPv6

52、)、逐包功率控制和智能带宽保障等。提供端到端的QoSWX3000系列一体化交换机基于Comware平台开发，对Diff-Serv标准可以完善支持。QoS Diff-Serv 模型中主要包括流分类、流量监管(Policing)、队列管理、队列调度(Scheduling)等，完整实现了标准中定义的EF、AF1AF4、BE等六组PHB及业务，使网络运营商可为用户提供具有不同服务质量等级的服务保证，使Internet真正成为同时承载数据、语音和视频业务的综合网络。支持快速的二、三层漫游H3C公司的集中式无线架构不但能方便地实施二层漫游，而且非常有利于跨三层的漫游实现，用Fat AP部署的WLAN网络，

53、由于AP之间传递的信息有限，导致垮三层的漫游实现及其麻烦，集中式架构非常容易解决跨三层漫游的问题，WX3000系列一体化交换机支持二、三层漫游，漫游域不受子网的限制。这种优秀的漫游特性，可以让客户在规划无线网络时，无需过多考虑现有网络的规划，更多关注在无线信号的覆盖即可，这种方式大大简化了前期的网络规划，减少了网络规划成本。传统模式下，当无线用户终端使用802.1x作为802.11接入认证和密钥交互的手段时，无线用户终端和AP间的交互报文会非常的多。当无线用户终端在两个AP间漫游时，如果无线用户终端在新AP接入的过程完全遵从完整的802.1x的交互过程，势必造成漫游切换的时间过长，对于某些对漫

54、游切换时间敏感的业务(例如语音业务)，这样的长切换时间是无法忍受的。WX3000采用Key caching技术完成漫游时用户的快速切换，Key caching技术在用户的安全接入和快速漫游间做了一个很好的平衡，可以使无线用户终端在两个AP间进行漫游时不必重新进行完整的802.1x认证交互过程，同时又能保证用户身份的识别和密钥使用的连续性；无线用户采用快速漫游方式，单AC内漫游时间不超过50ms，满足了语音业务的苛刻需求。支持多种分支机构远程接入场景当AC和AP通过广域网链路进行连接时，用户可以灵活选择集中转发或本地转发模式，提升分支机构局域网打印访问、终端互访等业务性能。当广域网链路发生故障或

55、AC发生故障时，在线用户不掉线，可以继续访问本地资源，并且可支持AC逃生功能。当分支机构也部署了认证服务器时，AP可进行本地认证。例如，当AC与AP之间链路正常时，分支机构的用户认证由总部集中完成；当AC与AP间链接意外断开后，AP可以使用分支机构本地认证服务器为新上线的用户认证。当分支机构AP部署于私网内时，AC可以穿越NAT与AP进行通信。3.5、无线接入设备介绍绿色低碳设计EWP-WA2620i-AGN-FIT 采用专业绿色低碳设计，支持动态MIMO省电模式(DMPS)与增强型自动省电传送(E-APSD)，智能辨识终端实际性能需求，合理化调配终端休眠队列，动态调整MIMO工作模式。EWP

56、-WA2620i-AGN-FIT 支持Green AP模式，实现单天线待机，节能更精准。 EWP-WA2620i-AGN-FIT通过创新性的逐包功率控制(PPC)技术，在确保报文能成功传输的前提下动态调节AP设备和客户端直接的双向功率，以达到减少设备能耗和延长移动终端待机时间的作用。提供千兆以太网接口有线连接上行链路采用千兆以太网接口，突破了传统百兆速率的限制，使有线口不再成为无线接入的速率瓶颈，为将来支持更高速率更多射频组合提供了平滑升级的平台。 提供本地转发功能当EWP-WA2620i-AGN-FIT (Fit模式)通过广域网方式转发时，无线接入设备部署在分支机构，而无

57、线控制器部署在总部，所有用户数据由无线接入设备发送到无线控制器，再由无线控制器进行集中转发。EWP-WA2620i-AGN-FIT可将数据报文在无线接入设备上直接转化为有线格式的报文，使得数据报文不经过无线控制器，而是在本地进行转发，大大节约了有线带宽。支持IPv4/IPv6双协议栈(Native IPv6)EWP-WA2620i-AGN-FIT全面支持IPv6特性，设备实现了IPv4/IPv6双协议栈。无论原有有线网络是IPv4还是IPv6，都可以自动地与WX系列控制器进行注册提供WLAN服务，不会成为网络中的信息孤岛。支持RealTime Spectrum Guard(实时频谱保护)模式RealTime Spectrum Guard(RTSG)是H3C创新提出的针对无线环境频谱状态的专业监控方案。EWP-WA2620i-AGN-FIT支持内置射频采集模块，实现深度融合的射频监控和实时频谱防护。RTSG的控制台融合部署于H3C iMC智能管理中心，通过CAPWAP管理隧道，与Sensor AP进行通信和数据采集，实现7X24小时的无线环境质量监控、无线网络能力趋势评估以及非许可干扰告警。通过图形化方式，主动探测和识别所有2.4GHz/5GHz波段的射频干扰源(Wi-Fi或非Wi-Fi)，可提供实时FFT图，频谱密度