《运营商校园网解决方案汇报.ppt》由会员分享，可在线阅读，更多相关《运营商校园网解决方案汇报.ppt（38页珍藏版）》请在金锄头文库上搜索。
1、 运营商校园网解决方案运营商校园网解决方案日期：2010-10密级：内部公开杭州华三通信技术有限公司1目目 录录n校园网市场分析与战略校园网市场分析与战略nH3CH3C校园网解决方案校园网解决方案nH3CH3C校园网案例和产品介绍校园网案例和产品介绍2普通高校普通高校- -校园网市场容量分析校园网市场容量分析2830万在校生计划招新生629万毕业生611万大二、大三在校生约1200多万普通本专科高校学生约2450万在校生移动电话渗透率95%，ARPU 60元，占生活消费比10%新增市场固有市场校园市场是各大运营商竞争的焦点，同时也是3G竞争的制高点。15001500所高校，校园市场年收入超过1
2、00100亿亿元并且不断递增3校园网模式运营商投入产出分析校园网模式运营商投入产出分析综合考虑综合考虑:运营商每年收入为以上几点之和，为96+283.2+28.32=407.52万元。而且毕业的学生如果保留手机号码，其话费将远超过59元/月的校园用户平均消费水平，同时在校学生还可通过亲情号拉动非校园用户对189号码的使用。电信利用宽带进入学校，绑定用户，即保住了宽带的战略高地，又抢占了移动的手机消费，一举两得。 2G宽带收入（万元）移动话费收入（万元）附加值收入（万元）运营商总收入（万元）备注未采用校园网模式16000160附加值收入为校园网用户离开校园后保留移动号码所带来的收入采用校园网模式
3、4校园网给学校带来的好处校园网给学校带来的好处电信校园网模式之前：信校园网模式之前：电信定义的目标学校多是二三类学校，这类学校有很多都无教育网，有的学校自己建设了校园网，但出口带宽控制在运营商手里，基本在100M级别，学生上网慢，投诉多，学校在宽带运营这块基本没什么收入。电信校园网模式之后：信校园网模式之后：电信免费升级学校出口带宽（一般直接上升到1G-2G），学校在此并无开支，但是，电信对学生按升级后的速率收取宽带费，并给学校分成（以1万人的学校，开通60%，每人每年宽带费300元，电信给20%分成，学校每年净分红36万元），学校在无任何投入的情况下大大提升了在宽带方面的收入。另外学生投诉少
4、，学校硬件设施得到改善。5目目 录录n校园网市场分析与战略校园网市场分析与战略nH3CH3C校园网解决方案校园网解决方案nH3CH3C校园网案例和产品介绍校园网案例和产品介绍6校园一体化网关解决方案校园一体化网关解决方案业业 务：务：一卡通融合一卡通融合认证计费认证计费合作分成合作分成建建 设趋势：设趋势：网络与流量优化网络与流量优化一体化出口网关一体化出口网关IPv6IPv6管管 理理 和和 维护：维护：防一拖防一拖NURL过滤过滤基于应用的带宽控制基于应用的带宽控制定时开关网络服务定时开关网络服务行为审计行为审计7校园网建设：网络结构和流量优化校园网建设：网络结构和流量优化城域网城域网教学
5、管理系统教学管理系统图书馆系统图书馆系统教学区教学区图书馆图书馆学生宿舍学生宿舍校园网系统校园网系统运营商承建校园网运营商承建校园网核心网核心网核心网核心网教育网教育网80%20%80%城域网城域网教学管理系统教学管理系统图书馆系统图书馆系统教学区教学区图书馆图书馆学生宿舍学生宿舍校园网系统校园网系统运营商承建校园网运营商承建校园网核心网核心网核心网核心网教育网教育网80%20%n按照流量2/8原则，80%流量迂回n城域网流量负载大n校内资源安全访问，无流量迂回n校园出口流量精细化管控n满足校园个性化需求，深度运营8n当前校园网出口方案的问题：当前校园网出口方案的问题：多厂家难以统一管理，设备
6、数量多难以统一管理不同业务由不同厂家设备处理，难以整合，难以形成统一策略；糖葫芦式叠加，增加故障点；需要更多功能时，还要继续“摞补丁”InternetCERNET防火墙：Cisco、H3C、飞塔IPS/IDS：H3C、Cisco、天融信无线控制器：H3C、Cisco流控：Cisco、深信服、H3C计费网关：城市热点、深澜软件校园网建设：校园一体化出口网关校园网建设：校园一体化出口网关n一体化出口网关方案优势：一体化出口网关方案优势：大大简化组网复杂度增强可靠性，减少故障点管理更简单平滑扩容InternetCERNET内网子网1内网子网2内网子网N内网子网1内网子网2内网子网N9校园网建设：校园
7、网建设：IPv6IPv6成为基本要求成为基本要求AP和无线控制器之间可以建立基于和无线控制器之间可以建立基于IPv6地址的隧道地址的隧道多个无线控制器之间可以建立基于多个无线控制器之间可以建立基于IPv6地址的隧道地址的隧道AP：DNS6DHCP client6 无线控制器：无线控制器：ACL6DNS6TraceRT6Telnet6TFTP IPv6FTP IPv6DHCP client6 Ping6无线交换机支持无线交换机支持MLD Snooping配合现有配合现有IPv6有线网络，实现有线网络，实现IPv6组播业务组播业务无线组网支持无线组网支持IPv6IPv6环境环境IPv6IPv6管理
8、管理IPv6IPv6组播组播不仅仅是不仅仅是IPv6 IPv6 透传透传城域网城域网/Internet运营计费平台无线接入区无线接入区教学区教学区图书馆图书馆学生宿舍学生宿舍有线接入区有线接入区校园侧校园侧运营商侧运营商侧一体化网关一体化网关国家发改委发文要求各校园网必须支持国家发改委发文要求各校园网必须支持IPv6IPv4的地址即将用光，的地址即将用光，“狼狼”真的来了真的来了交换机交换机办公系统办公系统图书馆系统图书馆系统学生系统学生系统10教育网教育网运营商运营商IMC UAMiNodeiNodeiNode1、代理主机（安装了代理软件，双网卡，或IE设置代理）发起网络访问请求一体化网关一
9、体化网关3、iNode完成安全策略检查，并定期上报客户端行为信息到UAM2、iMC UAM对用户进行认证，对合法用户控制网络访问权限，并下发安全检查策略。4、UAM定期分析客户端行为，一旦检测到违规，立即下发策略到iNode客户端，强制代理主机下线。校园网管理：防一拖校园网管理：防一拖N N，防，防IEIE代理代理通过iNode客户端和UAM认证服务器配合，支持防双网卡、私设代理、IE代理等通过此方案可以彻底校园网代理问题。11校园网管理：地址转换和安全策略校园网管理：地址转换和安全策略城域网城域网/Internet运营计费平台无线接入区无线接入区教学区教学区图书馆图书馆学生宿舍学生宿舍校园内
10、网校园内网校园侧校园侧运营商侧运营商侧一体化网关一体化网关FWFW交换机交换机办公系统办公系统图书馆系统图书馆系统NATNAT和安全策略：和安全策略：nFWFW实现实现NATNAT地址转换，并提供地址转换，并提供NATNAT日日志功能。志功能。nFWFW部署防攻击策略，防止校园网部署防攻击策略，防止校园网ARPARP攻击，攻击，DHCPDHCP攻击，以及攻击，以及DDoSDDoS等攻击。等攻击。nFWFW部署内网安全防护策略，限制外部署内网安全防护策略，限制外网访问的协议和端口号等。网访问的协议和端口号等。教育网教育网12n 应用协议感知应用协议感知n 应用流量感知应用流量感知n 用户行为感知
11、用户行为感知n 上网内容感知上网内容感知n 即时升级的特征库即时升级的特征库n 细粒度应用流量控制细粒度应用流量控制n 根据五元组精确控制根据五元组精确控制n 根据时间段精确控制根据时间段精确控制n URLURL过滤、内容过滤过滤、内容过滤n 黑名单黑名单n 记录访问信息记录访问信息n 用户应用使用分析用户应用使用分析n 用户行为的纵深分析用户行为的纵深分析n 应用流量的纵深分析应用流量的纵深分析应用识别应用识别应用控制应用控制 行为审计行为审计校园网管理：应用层控制网关校园网管理：应用层控制网关13H3CACGLANInternetVPN-200Mbps视频会议-100MbpsInterne
12、t-100MbpsOthers-100Mbps1、基于应用的带宽分配、带宽借用：上行、下行最大/保证带宽、最大会话数、通道优先级2、基于应用的Qos标记：IP优先级、DSCP标识n在应用流量分析、流量控制基础上，进一步丰富流量管理方案，保障校园网关键业务转发。校园网管理：基于应用的带宽控制实现精细化运营校园网管理：基于应用的带宽控制实现精细化运营14用户不能访问带有“sex”的URL地址FTP/邮件过滤，避免信息泄露Internet校园网校园网n 针对非法网站访问，通过URL过滤、关键字过虑，避免因访问反动、色情网站造成政治和安全的隐患n 可通过主机、正则表达式、关键字等设置URL库过滤掉无关
13、的Java Applet/Active组件校园网管理：校园网管理： URLURL过滤过滤ACGACG一体化网关一体化网关运营商网运营商网教育网教育网15校园网管理：定时开关网络实现绿色节能校园网管理：定时开关网络实现绿色节能学校网管学校网管校园网校园网城域网城域网运营商网管人员运营商网管人员学校网管：校长要求我们的网络必争在晚上十一点以后关闭运营商网管：关闭电源？关闭交换机？学校网管：老师的网络在晚上十一点不能关闭运营商网管：？支持基于支持基于射频接口的关闭射频接口的关闭AC上上一条命令解决一条命令解决支持基于支持基于SSID的关闭的关闭每AP每年至少可节约11KW16n 单用户流量快照：针对
14、高流量用户、服务单用户流量快照：针对高流量用户、服务器，详细了解有业务趋势、分布、流量明细，器，详细了解有业务趋势、分布、流量明细，是否有必要制定流量控制策略、是否有必要是否有必要制定流量控制策略、是否有必要实行带宽保障策略实行带宽保障策略n 用户组流量分析：流量复杂的宿舍楼道，用户组流量分析：流量复杂的宿舍楼道，使用情况如何，是否有违规应用、带宽滥用使用情况如何，是否有违规应用、带宽滥用u Top用户流量分析：哪些用户流量最大，用户流量分析：哪些用户流量最大，快速发现异常流量快速发现异常流量是否存在恶意是否存在恶意流量，服务器性能流量，服务器性能使用如何使用如何哪些用户的流量最大；哪些用户的
15、流量最大；哪类哪类P2P下载、网络游戏流量最大；下载、网络游戏流量最大；应该控制哪类业务流量应该控制哪类业务流量X楼道网络经常楼道网络经常“抽风抽风”，哪些用户、业务导致，如何哪些用户、业务导致，如何制定有效的流量控制策略制定有效的流量控制策略校园网维护：可视化流量分析校园网维护：可视化流量分析17校园网管理：校园网管理：ACGACG实现用户行为审计实现用户行为审计城域网城域网/Internet/Internet运营计费平台校园侧校园侧运营商侧运营商侧一体化网关一体化网关IAGIAGACGACGFWFW用户认证NATACGACG支持简单的支持简单的 “用户行用户行为审计为审计”功能功能: :1
16、)1)基于基于IPIP地址反查用户名地址反查用户名2)2)审计日志的导入导出、审计日志的导入导出、自动备份自动备份3)3)对对URLURL访问、访问、FTPFTP应用、应用、SMTP/POP3SMTP/POP3、MSN/QQMSN/QQ等的等的行为分析和审计管理行为分析和审计管理ACG Manager通过交换机镜像radius报文或radius服务器发送radius报文到ACG Manager，以便ACG Manager掌握用户名信息校园网校园网教学区教学区办公办公OAOA运营商校园驻地网运营商校园驻地网交换机交换机办公系统办公系统学生宿舍学生宿舍流控18校园网业务：校园一卡通系统融合校园网业
17、务：校园一卡通系统融合上网用户POS机缴费缴费用户校园一卡通服务器 iMC认证服务器niMC或第三方认证计费系统：学校出口网关使或第三方认证计费系统：学校出口网关使用用Radius协议同协议同iMC通信，直接使用通信，直接使用iMC的用户的用户数据系统。数据系统。iMC和运营商和运营商OCS系统互通，同步账系统互通，同步账户信息。户信息。n一卡通系统：一卡通系统：iMC使用使用LDAP协议同一卡通系协议同一卡通系统对接，目前可以和统对接，目前可以和Sun、IBM以及微软以及微软LDAP服务器及在此基础上二次开发的一卡通系统对接服务器及在此基础上二次开发的一卡通系统对接n用户通过一卡通缴纳上网费
18、用，实现宽带上网用户通过一卡通缴纳上网费用，实现宽带上网和校园信息系统的无缝融合。和校园信息系统的无缝融合。n案例：西南交通大学、南京大学案例：西南交通大学、南京大学Portal ServerPortal ServerRadiusRadius运营商网络运营商网络运营商认证计费系统一体化网关一体化网关19校园网业务：校园网合作分成校园网业务：校园网合作分成nUAMUAM通过通过Radius ProxyRadius Proxy，转发，转发用户的认证请求到运营商计费用户的认证请求到运营商计费平台认证，无需生成本地数据平台认证，无需生成本地数据库。库。多业务网关多业务网关(AC+IAG+FW)(AC+
19、IAG+FW) 校园综合管理平台校园内网校园内网无线接入区无线接入区教学区教学区图书馆图书馆学生宿舍学生宿舍有线接入区有线接入区交换机交换机办公系统办公系统图书馆系统图书馆系统IMC服务器服务器教育网教育网运营商运营商方案一：校园运营计费平台和IMC UAM定期同步数据方案二：IMC UAM通过Radius Proxy，转发用户认证请求到运营商计费平台认证。20校园业务：二次认证实现防代理校园业务：二次认证实现防代理部署方案部署方案n用户侧安装iNode Portal/802.1x统一认证客户端；n校内部署IMC UAM。n一体化网关部署AC,IAG 和FW插卡，IAG做出口计费网关。校园内网
20、访问校园内网访问n有线用户在接入交换机采用802.1x认证，对访问校园网的进行安全准入检查与控制，不做计费；n无线用户在AC上进行Portal或802.1x认证，不做计费。n有线、无线采用统一iNode客户端。校园网外访问校园网外访问n用户访问外网，需再次进行Portal准出认证。n认证方式可以采用浏览器页面方式，由IAG配合运营商Portal实现。也可由iNode配合IMC portal实现，但需再部署IMC portal服务器组件。计费策略计费策略n支持多种计费策略（如限流量包月、优惠时段等）n支持自助缴费、充值卡、费用余额查询、包月暂停等用户自助服务一体化网关一体化网关 校园网综合管理平
21、台校园内网校园内网无线接入区无线接入区教学区教学区图书馆图书馆学生宿舍学生宿舍有线接入区有线接入区交换机交换机办公系统办公系统图书馆系统图书馆系统IMC服务器服务器教育网教育网运营商网运营商网1.有线用户访问内网，在交换机上采用802.1x认证2.无线用户访问内网，在AC上采用Portal认证3.访问外网，需要再次进行Portal认证。21附：校园网建设方案附：校园网建设方案22典型组网一：普通学校标准型典型组网一：普通学校标准型(5000(5000人以下规模学校）人以下规模学校）城域网城域网/Internet/Internet163运营计费平台校园网校园网教学区教学区办公办公OAOA运营商校
22、园驻地网运营商校园驻地网校园侧校园侧运营商侧运营商侧一体化网关一体化网关交换机交换机办公系统办公系统学生宿舍学生宿舍教育网教育网IAGIAGFWFW用户认证NAT方案组成：方案组成：S76+ S76+ IAG+FW+ACGIAG+FW+ACG主要功能：主要功能：1 1）IAGIAG为师生提供认证、为师生提供认证、计费功能；计费功能；2 2）FWFW提供出口提供出口NATNAT及基本及基本的安全过滤，的安全过滤，FWFW部署基于部署基于源地址的策略路由，强制源地址的策略路由，强制PPPoEPPPoE用户只能访问校园用户只能访问校园网。网。3 3）ACGACG提供出口带宽控制，提供出口带宽控制，限
23、制限制P2PP2P、视频等非关键、视频等非关键业务流量。业务流量。ACG23业务部署：接入认证业务部署：接入认证学生访问外网，采用PPPoE或Portal认证，并进行计费。学生访问校园内网，不认证，S76直接二层透传。用户IP地址由校方分配，采用私网IP地址。PPPoE/Portal认证FWInternetCERNET城域网校园综合服务平台校园综合服务平台IAG1访问外网，认证并且计费访问外网，认证并且计费访问内网，不认证访问内网，不认证校园网S76交换版24典型组网二：大型学校增强型（典型组网二：大型学校增强型（50005000人以上人以上+ +对账对账+ +防代理）防代理）城域网城域网/I
24、nternet/Internet运营计费平台运营商校园驻地网运营商校园驻地网校园侧校园侧运营商侧运营商侧SR66/SR66/多块多块IAGIAG交换机交换机学生宿舍学生宿舍图书馆系统图书馆系统n利用SR66做互联网认证、计费网关，同时实现NAT地址转换。n重点关注PPPoE/Portal的认证性能，以及NAT性能。校园网校园网教学区教学区办公办公OAOA25业务部署：接入认证流程业务部署：接入认证流程n部署方案部署方案l用户侧安装iNode Portal/802.1x统一认证客户端，校内部署IMC UAM，配合完成防代理功能。l一体化网关部署SR66，完成防火墙、认证网关功能。lSR66双出口
25、，认证流和数据流分离，优先保证认证流报文转发。n校园内网访问校园内网访问l有线用户在接入交换机采用802.1x认证，对访问校园网的进行安全准入检查与控制，不做计费；n校园网外访问校园网外访问l用户访问外网，需再次进行Portal准出认证。l外网访问Portal可以采用浏览器页面方式，由SR66配合运营商Portal实现。n计费策略计费策略lIAG对Portal用户启用强制域，以区分内网和外网访问用户。l学生访问内外网采用不同的域名，以区分是否需要计费。学生访问内网只认证不计费，访问外网需计费。l学生访问内网账户，由校方负责开户，但不能访问运营商网络。SR66SR66 校园网综合管理平台IMC服
26、务器服务器运营商网2.访问外网，需要再次进行Portal认证。业务数据流业务数据流认证流认证流运营商校园驻地网运营商校园驻地网学生宿舍学生宿舍图书馆系统图书馆系统校园网校园网教学区教学区办公办公OAOA1.有线用户访问内网，在交换机上采用802.1x认证26教育网教育网运营商运营商IMC UAMiNodeiNodeiNode1、代理主机（安装了代理软件，双网卡，或IE设置代理）发起网络访问请求SR663、iNode完成安全策略检查，并定期上报客户端行为信息到UAM2、iMC UAM对用户进行认证，对合法用户控制网络访问权限，并下发安全检查策略。4、UAM定期分析客户端行为，一旦检测到违规，立即
27、下发策略到iNode客户端，强制代理主机下线。业务部署：业务部署：iNodeiNode客户端防一拖客户端防一拖N N通过iNode客户端和UAM认证服务器配合，支持防双网卡、私设代理、IE代理等通过此方案可以彻底校园网代理问题。校园综合管理平台27业务部署：本地计费明细生成业务部署：本地计费明细生成SR66SR66 校园综合管理平台校园内网校园内网运营商驻地网无线接入区运营商驻地网无线接入区教学区教学区图书馆图书馆学生宿舍学生宿舍运营商驻地网有线接入区运营商驻地网有线接入区交换机交换机宿舍宿舍图书馆系统图书馆系统IMC UAM服务器服务器运营商运营商IMC对漫游域的用户认证统一送到校园综合计费
28、平台处理，本地生成计费明细n运营商在校园内部部署AAA服务器，提供校方查看用户明细。n校园内部AAA透传公众用户的认证和计费报文到运营商综合管理平台AAA，由运营商网络AAA完成，业务控制点在IAG上。n校内IMC可以导出用户上网明细，据此和运营商内部结算费用，可以按照流量或包月结算。n校方IMC可以基于用户域名信息，确定转发到运营商计费平台认证，还是在本地认证。同时，校园也可以自行开户，但此类账户仅可访问校园网，不能访问Internet。28目目 录录n校园网市场分析与战略校园网市场分析与战略nH3CH3C校园网解决方案校园网解决方案nH3CH3C校园网案例和产品介绍校园网案例和产品介绍29
29、校园网的方案和组件校园网的方案和组件基本形态：基本形态：S76+ACG+FWS76+ACG+FW增强形态：增强形态：S76+ACG+IAG+FW+ACS76+ACG+IAG+FW+AC组件功能：组件功能：-S76-S76： 出口网关，双线接入教育网和运营商出口网关，双线接入教育网和运营商-ACG: -ACG: 应用控制网关应用控制网关-IAG-IAG：PortalPortal认证及计费认证及计费-FW: -FW: NatNat私网地址转换，防火墙策略控制私网地址转换，防火墙策略控制-AC-AC：有线无线一体化有线无线一体化30校园网：简单的网络架构校园网：简单的网络架构防火墙BRAS无线控制器
30、汇聚交换机一体化网关n一体化网关具备AC、FW、ACG、BRAS和汇聚交换机的多个功能，简化了网络架构，减少多设备互连产生的故障点n设备占用空间小，便于在园区场所安装应用控制网关31S76+FW+IAG+ACS76+FW+IAG+ACS76+FW+IAG+AC应用案例应用案例广东电信广东电信“校园网校园网”组网图组网图校园网校园网32应用案例应用案例福建联通泉州纺织学院福建联通泉州纺织学院n学生PPPOE拨号，获取公网IP地址n办公区教师DHCP获取私网地址，不认证n一卡通，教务管理服务器等通过IPS进行病毒防护等功能，实现对关键服务器的防护。33 SecPath F1000-SS7606SR
31、6602SecBlade ACG H3C WX6103无无线控制器线控制器*2分光器分光器EPON OLTEPON ONUCNCNET原校园网原校园网CERNETSecPath ACG2000-M H3C SR6604CMNET城城域域网网应用案例应用案例内蒙古大学无线校园网内蒙古大学无线校园网n 园区出口精细化管控网关园区出口精细化管控网关: :其中其中SecBladeSecBlade ACG ACG位于校园网内，针对内蒙古大学无线用户做流量管理，位于校园网内，针对内蒙古大学无线用户做流量管理，减轻无线减轻无线APAP过多处理视频流、过多处理视频流、P2PP2P下载等小包文；另一台下载等小包
32、文；另一台SecPathSecPath ACG2000-M ACG2000-M位于移动用户处，为其他位于移动用户处，为其他高校（后续扩展）的无线统一接入互联网做流量管理高校（后续扩展）的无线统一接入互联网做流量管理H3C AP34城域CR城域CR城域核心层城域核心层省网核心省网核心城域SR多业务无线多业务无线交换机交换机AC+BAS+FW心跳热区AC公共热点公共热点汇聚交换机校园1校园2校园n校园1校园2校园n 校园1校园2校园nFE10GEGE省网骨干路由器省网骨干路由器城域SR城域SR热区AC热区AC多业务无线多业务无线交换机交换机AC+BAS+FWn方案部署：方案部署：在城域网核心路由器
33、CR旁挂S76多业务交换机，配置AC板卡、BAS板卡、FW板卡等多种业务板，实现无线接入、认证讲费、安全等多种功能。S7606+AC+BAS7606+AC+BAS+FWS+FW应用案例应用案例浙江移动无线校园网浙江移动无线校园网35电信电信“校园网校园网”案例分析案例分析出口带宽免费升级到2G/1G改变长期困扰学校和学生的上网问题-敲开学校大门提供一体化网关安全+无线学生上网流量可查、可控，还有wifi无线覆盖-学校心动上网业务收入与学校分成不用投资，也没有多少管理压力就可以获得收益分成-成交！学校被绑定189号码作为上网账号大力促进189放号，缓解了放号压力同时持续获得增值收益-目的36投资
34、与回报投资与回报投资情况投资情况学校规模：在校生10000人左右；电信给学校免费升级到2G带宽，成本约为160万元；宽带部分收入给学校20%分成；话费收入不与学校分成；业务开展业务开展上网30元包月，必须开通话音业务，话音业务有如下三种套餐：包月19元/月包月39元/月包月59元/月新生入学，业务开通率预计可达60%宽带总收入=10000X40%X300=180万；l除去给学校分成，电信宽带总收入=180X80%=144万；移动话费收入（按照最低档考虑）：l电信话费收入=19X6000X12=136.8万；按每年毕业学生1000人，60%不换号，带来的话音收益=1000X60%X19X12=13.6万；电信每年总收入=144+136.8+13.68=294.48万。不仅大量实现了189放号，还获得了更多收入，一举多得！杭州华三通信技术有限公司
