用户背景：
　　南京市北京东路小学是一所江苏省首批省级实验小学,省级模范学校，全国首批科技教育示范基地，国家教育部首批命名的“全国现代教育技术实验学校”,江苏省文明单位，素以锐意改革、勇于创新、教学实、校风好、质量高享誉于世。
    校园内树木葱茏，绿草如茵。庭院式的校舍别具一格。五幢教学楼错落有致，由回廊联成一个整体。大楼里建有30个普通教室、多功能阶梯教室、风雨操场、多媒体计算机房、电视演播室、劳技、美术、自然、音乐、舞蹈等专用教室，娃娃科学院分组活动室、图书馆以及饶有特色的娃娃书报苑、娃娃心语屋，校园中建有健康乐园、羽毛球场等活动场所。
    北京东路小学现有32个教学班，1439名学生。学校设有附属幼儿园，现有6个幼儿班，180多名幼儿，全校共有教职员工132人（其中有特级教师3人），被先后命名为江苏省优秀教师集体、南京市师德先进集体。

网络现状及需求分析:
1、南京市北京东路小学的网络现状
　　南京市北京东路小学网络结构为双线路，长城宽带动态10M，电信ADSL 2M,连接Internet，因此多出口网关设备是必须的。

2、南京市北京东路小学网络服务
南京市北京东路小学内网提供的服务主要有：
A、内网web网站，方便全校老师收看各种通知和文件。
B、内网文件共享，通过自建的FTP传输、共享存储数据。
主要存放各科教育教学资料、成绩信息存档等重要文件。

3、 南京市北京东路小学上网需求
目前南京市北京东路小学总校内网约有200多台机器，未来七宝山分校多台机器都需要通过内网和互联网传输、查询数据，随着将来南京市北京东路小学老师全部上网的实现，会有大量的访问Internet数据、资源的需求。其中教学资料、学生成绩上传等很多重要数据不可中断。稳定、安全的网络环境是必须的。

4、 南京市北京东路小学防病毒需求
现在的互联网病毒、攻击猖獗。一个合理分层、良好规划的网络可以很大程度抵御攻击和病毒泛滥。而南京市北京东路小学目前的网络不具备分层性和弹性的前提下，一台机器中毒，病毒就会迅速蔓延，导致整个网络稳定性急剧下降。速率降低，严重影响了老师们的办公和教学环境。用户网络急需建立合理的网络环境来隔离和阻止病毒大面积暴发和泛滥。

网络拓扑：
　　一般像规模比较大的学校在各地都有分校。随着学校信息化程度的不断提高，在总校都会部署如WEB服务器系统、各科教育教学资料、成绩信息存档等重要文件共享存储数据服务器系统等。将总校分布在各地的分校机构与总校互联，达到安全的共享数据和软件资源的目的。利用艾泰科技VPN的解决方案见下图：

1．产品部署方案
　　总校：一般来讲是学校信息存放、处理的中心，网络内部主机数量多，数据流量大，安全性和实时性要求高，同时也考虑到以后规模的发展；因此南京市北京东路小学选择硬件可靠性高的艾泰科技最新推出的安全防火墙UTT3640。
　　UTT 3640 四WAN口安全网关/VPN防火墙，采用高性能的INTEL IXP网络处理器，防黑客、防入侵，为用户提供防火墙级别的网络安全；全面的上网行为管理，轻松管控上网行为；多种形式的VPN功能，支持PPTP/L2TP/IPSec等协议，轻松构建自己的安全网络。
　　核心交换机下接6台接入层交换机连接各个学生机房和教师办公室。

2．解决方案能够为用户提供的功能
防火墙功能
    全新的防火墙架构，有效防范内外网攻击、侦测及报文窃听、IP 地址欺骗、源路由攻击、IP/端口扫描、DoS等网络攻击，有效防止震荡波、冲击波、木马等病毒攻击；实现了基于源/目的IP地址、协议、端口、源/目的MAC地址的包过滤，基于URL和关键字的应用层过滤，还可按时间段进行过滤。采用上述过滤技术的业务管理功能，不仅可以控制用户的上网权限和上网时段，还能够保护内部网络免遭外来攻击。支持IP/MAC绑定，黑名单，白名单，对不同等级用户进行分组，实行用户认证，防范权限盗用同时方便制定安全策略。

灵活的VPN功能
　　支持IPSec、L2TP以及PPTP三种VPN协议，它们可以单独使用，也可以结合使用；允许一方或双方动态VPN接入，可实现网关到网关、远程拨号等多种形式的VPN；可实现VPN星型连接，使得VPN流量从一个隧道经HiPER连接到另一个隧道；最多可配置50条VPN隧道，并发30条。IPSec VPN支持自动IKE和手动密钥，支持ESP/AH协议、3DES/DES/AES加密算法、SHA1/MD5认证算法，支持主模式和野蛮模式，支持抗重播、NAT穿透。

四WAN口和智能NAT
     提供四个WAN口，支持ADSL、光纤、Cable Modem等方式的混合接入。在PPPoE拨号上网方式下，提供“按需拨号”、“自动拨号”和“手动拨号”三种PPPoE连接方式；支持LQM链路质量监控功能；而且，还允许管理员控制拨号连接的开始时间和结束时间，从而防止忘记断线而浪费上网时间。在Cable Modem动态接入方式下，支持MAC地址修改与克隆功能。可同时配置4条上网线路，支持负载均衡和实时备份，成倍扩展出口带宽；支持按线路带宽比分配流量，使线路利用率达到最高；支持电信、网通智能策略路由，实现电信流量走电信线路、网通流量走网通线路，彻底解决互联互通问题。支持NAPT、NAT以及路由的混合使用，满足各种复杂的网络地址规划。支持NAT静态映射和DMZ主机，向外提供WWW、Telnet、FTP等服务；支持NAT Re-routing和反向NAT；提供NAT ALG功能，支持FTP、PPTP、IPSec ESP等特殊应用协议。

策略库
　　通过引入策略库，将复杂的多条策略当作一个策略库处理，再加上类似于WINDOWS风格的策略库自动更新功能，不仅大大简化了配置的复杂度，还可以为用户免除很多烦琐的手工维护工作。针对QQ、MSN、P2P这些应用软件的频繁升级，以及电信/网通服务器IP地址的频繁变更，艾泰科技公司技术人员会在第一时间收集相关信息，并及时提供最新版本的策略库，避免用户的后顾之忧。通过引用防火墙策略库，不仅实现了单键设置ARP欺骗防御、DoS/DDoS攻击防御、冲击波病毒防御等功能，还实现了单键管制QQ/MSN等即时聊天软件的使用、单键管制BT/电驴等常用P2P软件的使用，大大简化了配置。通过引用路由策略库，实现了电信、网通智能策略路由：用户无需一条条地添加静态路由，只需操作一次，就能批量配置大量电信路由或者网通路由，从而保证电信流量走电信线路、网通流量走网通线路。由或者网通路由，从而保证电信流量走电信线路、网通流量走网通线路。

带宽管理
　　提供基于CBT（Credit-Based Queuing）算法的带宽管理功能，可大大提高带宽利用率，并能有效抑制BT、讯雷、QQ直播等P2P软件对带宽的滥用：对于正常上网的主机，HiPER将允许它偶尔突破最大限速；相反，对于长期使用P2P软件的主机，HiPER将会减小它的带宽，使其对其他主机的影响降到最低。支持按时间段进行带宽管理，实现了在网络繁忙的时候启用带宽管理，从而保证局域网所有用户都能合理使用带宽；而在用户少、网络空闲的时候，则不进行带宽控制，从而方便网络管理员进行更新内部服务器等网络维护工作，使得现有用户能够高速上网，保证了线路带宽的充分利用。支持单机最大NAT并发会话数限制，还可以分别限制由TCP、UDP或者ICMP协议构成的最大并发会话数，可以有效防止用户使用P2P等海量下载软件过度占用带宽，还可以避免中毒主机过度浪费带宽，保证其他主机运行正常。

用户管理
　　提供用户个性化管理功能，实现了百分之百的按需定制。针对用户的实际需求，每台内部主机都可以采取不同的策略（可以任意限定某台PC可使用的带宽、NAT会话数，是否禁止QQ、MSN、P2P，等等），解决了传统的分区管理不够灵活的问题。该功能不仅可以大大加强管理的灵活性，并在一定程度上降低了管理员的工作量。支持IP/MAC地址绑定，过滤非法IP或MAC地址，方便设置上网黑名单和白名单。值得注意的是，HiPER还支持IP/MAC地址全部绑定功能，只需一键操作，就可以一次性将所有动态IP/MAC地址对全部绑定；再配合ARP广播和更新限制功能，就可以有效防止HiPER和局域网主机遭受ARP欺骗攻击了。

端口镜像
　　提供端口镜像功能，可将LAN的其他端口的流量自动复制到镜像端口，实时提供各端口的传输状况的详细资料，以便网络人员进行流量监控、性能分析和故障诊断。由于HiPER的端口镜像功能完全由硬件提供，因此不会影响HiPER的性能、速度以及各个应用功能。

网络监控
　　支持上网监控功能，提供多种监控和诊断方式，可动态监控网络运行情况和用户上网行为，帮助网管人员快速定位和排除网络故障，特别是能够实时发现网络异常及异常主机，如感染病毒或发起攻击的主机。网管人员通过实时监测CPU利用率、内存利用率、NAT表等关键系统资源，可以及时发现潜在的各种攻击；通过实时查看各个接口的带宽，查看各个用户的上传/下载带宽以及NAT会话数，查看上传/下载带宽排行榜和NAT会话数排行榜，能够快速定位网速慢、卡等网络异常。

配置和管理
　　提供友好的全中文WEB界面，直观易用、功能丰富，快速向导可帮助用户在短时间内完成初始配置；同时还提供传统的CLI界面，功能更丰富；并且，两种方式下均支持通过Internet进行简便、安全的远程管理。支持配置文件备份与导入，可将HiPER当前配置文件保存到管理计算机，也可将备份的配置文件导入到HiPER中，节省重复配置的时间；支持WEB、TFTP多种升级方式，方便功能扩展。提供标准的SNMP接口，可供远程SNMP服务器管理；并且，提供系统日志功能，可通过远程SYSLOG服务器记录。

效益实现和感受
　　艾泰安全网关UTT 3640功能远远优于普通路由器，在安全管理、防范内外网攻击、侦测和基于IP/MAC地址的包过滤功能上有出色表现，尤其是价格低于专业防火墙，配置难度上远低于专业防火墙。以此为架构的网络解决方案，是学校网络平台“纯洁、安全、稳定、井然有序”的坚实保障。

欢迎访问最专业的网吧论坛,无盘论坛,网吧经营,网咖管理,网吧专业论坛https://bbs.txwb.com

关注天下网吧微信,了解网吧网咖经营管理，安装维护: