西默智能流量控制产针对学校校园网络解决方案.docVIP

西默智能流量控制产品针对高校校园网络解决方案 一．当前校园网络面临的现状： 校园网尤其是高校校园网，一直是国内Internet发展的领头羊，早在1994年7月，中国教育和科研计算机网CERNET示范工程就已正式启动。随着校园网信息化建设的开展，教学、科研、办公、生活对于校园网平台的依赖性越来越强。国内的众多校园网经过多年持续不断的基础设施建设和应用提升，已经形成了较为稳定的基础架构和相对丰富的应用平台。 在师生们利用校园网获得更多更及时地教育资源的时候，一些网络安全方面和应用方面的问题被暴露了出来，严重影响了校园网络的健康发展。目前，很多学校校园网运维过程中，或多或少都会面临着以下的问题及挑战： 1. 越来越多的出口 由于一些特定因素，目前很多学校普遍采用多校园网出口方式，基本上70-80%以上学校都有2个校园网出口，并且根据当地情况，相当比例的学校拥有三个及以上的出口。学校通常会基于速度、资源利用情况和费用的考虑确定其多个出口的使用访问方式。 面对多个出口的实际使用状况，在技术实现上如何进行智能选路？如何进行多链路负载均衡？如何灵活部署以简化网络拓扑，降低投资？ ?2. 安全防护能力 伴随着数字化校园的建设、校园资源的整合，数据中心的建立已经是大势所趋。对数据中心服务器和传统的校园网出口边界处的安全防护，已经成为大家重点关注的对象。 事实上，校园网内部出现的网络威胁的种类也越来越多，不仅有非法入侵、网络渗透，还有网络欺骗、DOS/DDOS攻击、各种恶意软件、垃圾邮件等。其中 DOS/DDOS攻击尤其是一个应受到特殊关注的攻击。最严重的攻击是无法终止的攻击，DOS/DDOS攻击正是如此，尤其现有校园网日益增长的网络带宽（万兆骨干网，上G出口带宽）为DOS/DDOS攻击提供了更大的可能。而且攻击还呈现出以下特点：突发性强（很难预测和监控）、随机性强（任何网络用户都可能成为攻击的目标, 同时攻击的频率和持续时间也很随意，很多的攻击持续时间并不长，当意识到攻击发生时，攻击可能已经结束了）、方向不确定、复杂度在提高（攻击手段和涉及的协议也在不断的提高，对防御设备的性能及部属以后的升级潜力提出更高要求）。 3. 流量控制 校园网几乎可以说是P2P应用最多的场所之一，大量的P2P等非关键应用无情地吞噬着校园网络有限的带宽资源，使得网络管理人员头痛不已。在没有对校园 P2P流量进行策略管理的时间段内，P2P等非关键应用的流量几乎占用了60-70％的网络带宽，关键性应用却得不到保障。同时P2P软件也逐渐成为计算机病毒和木马传播的主要途径。可见，必须对特定用户或者某些特定应用进行流量的控制。 4. “无所不联”的要求 无论是广大师生需要从校外远程访问校内的数字图书馆，还是领导、老师需要从校外远程使用校内的办公应用系统，不仅要实现其远程安全接入，而且需要针对访问者、使用者的身份进行认证并授权，为特定用户群分配特定的访问资源。此外,同一高校多个校区之间的核心、敏感部门（财务、人事等部门）之间也必须实现安全互联。 5. 对内网的监控以及上网行为控制 一方面，由内网到外网的安全威胁比较严重。学生电脑管理松散，电脑中装有各种软件甚至感染病毒，有可能成为攻击的跳板，因此还需要监督、控制全网应用协议的情况（流量分布、会话数量）、校园网每用户的使用情况（上下行流量、会话数量）等来作为辅助管理手段。 另外一方面，学生自制力较差。有必要对其上网行为进行一定程度的控制，例如：禁止其浏览成人、娱乐等不安全或政策、法律禁止的网站，以及其它的一些上网使用行为。 6. ARP攻击防御 ARP欺骗攻击不仅导致校园网不稳定，极大影响数字校园业务的正常运行，更严重的是利用ARP欺骗攻击可进一步实施中间人攻击和网关仿冒攻击。中间人攻击是一种非常恶劣的网络恶意攻击行为。而ARP仿冒网关，则导致用户无法正常和网关通信，攻击者可以凭借此攻击而独占上行带宽。 由于ARP欺骗攻击利用了ARP协议的设计缺陷，光靠包过滤、IP＋MAC＋端口绑定等传统办法是比较难解决的。 7. 高性能、高可靠 一方面，现在校园网的网络流量模型逐渐在发生着变化（小包报文比例增加，单个用户的并发连接数也在迅速增加、UDP报文在迅速增加等），另外一方面，越来越大的流量需要处理，越来越多的功能需要开启，对于设备高处理性能的需求也是越来越迫切。 维护校园网络在高安全环境下的长期稳定性和可用性是校园网用户所期望的。单设备、单链路的现象在校园网中还占据主要位置。对于设备的冗余、链路的备份，以及在出现设备或者链路故障下的自动切换，也仅仅是少数学校达到这样的水平。那么，如何实现高可用性？如何实现自动调整对用户的透明性？即，用户无需理解复杂的技术，只需要体验最快的网速。 二．针对以上问题，西默流控的解决办法 1.解决网络对外接口带宽