某大学网络解决方案.docx
《某大学网络解决方案.docx》由会员分享，可在线阅读，更多相关《某大学网络解决方案.docx（90页珍藏版）》请在冰豆网上搜索。
某大学网络解决方案
前言
随着信息化时代的到来，人们不仅追求现代建筑的大方、舒适，而且追求信息通讯交换的快速、方便、及时和准确。
因此，在校园内利用计算机网络和现代通讯技术，提供一整套完善的信息服务网络，建立楼宇通讯、数据、图像、安全保障、集中控制等信息的综合智能服务体系，是企业具有竞争实力及信息全球化需要的产物，也是智能化大厦之所以迅速风靡全球的根本所在。
目前，全世界瞩目的新经济──即网络经济蓬勃崛起。
显然，谁能够尽快地适应并掌控它，谁将是21世纪的赢家。
随着我国经济建设的不断深入发展，各行各业对信息网络的需求和依赖程度急剧增加，各类中小学、高等院校等都希望把整个校园设计或改造成信息高度共享、自动化管理程度很高的综合智能型校园网，以适应当今网络信息时代业务与发展的需求。
校园网是一个覆盖面很广的网络，建设的规模要与学校的规模和应用层次相吻合。
可以采用光纤布线配合各类型的高速网络设备，可以提供语音、图象等宽带数据传输服务。
通过多媒体流协议及组播技术对校园信息进行管理和发布。
我公司基于对信息产业发展趋势的敏锐目光与技术实力，较早地涉足于校园网的系统工程设计与系统集成行列。
我们利用强有力的技术支持和丰富的系统集成、设计与施工经验，本着诚挚、科学的态度，为各界用户提供了诸多具有优质计算机、通讯、综合布线、安防及楼宇自动化控制等高度集成化的智能楼宇管理系统。
多年来，我公司提供的有关校园网综合布线系统的咨询服务、方案设计和论证、产品选择、系统集成、工程安装、调试开通以及日后整个系统的维修、功能升级等一系列服务，受到用户的一致好评。
承蒙贵校给予敝公司参与学校校园网综合布线系统及计算机网络系统工程设计的机会，我们深感荣幸并衷心地表示感谢！
我们将凭借公司强大的经济技术实力，充分发挥智能建筑系统集成规划、设计、组织管理、工程实施等方面的优势，本着诚挚、高效、科学的态度，为您提供最完美的设计和最优质的服务。
第一部分公司介绍
1.1公司简介（可参阅本公司国际网站）
海汇创科技公司成立于1995年，致力于为客户提供先进的多媒体会议演示系统、视像会议系统、影音设备及多媒体网络系统工程。
海汇创是美国快思聪多媒体会议控制系统亚洲服务站，是日本横河（Yokogawa）、Polycom、Extron、Kodak、Dp、CISCO、3COM、AVAYA等世界著名影音设备、多媒体产品、视像会议和网络系统的合作伙伴。
公司为了更好地将先进的会议控制系统及影音产品应用于各地，分别在北京、上海、武汉、深圳设立有公司，专为当地的用户提供客户服务和技术支持。
近几年来，美国快思聪领导着遥控科技的潮流，更获多项国际奖项。
在世界每一个角落，如会议室、会议厅、演播室、培训中心、会展中心、电视会议、遥距学习、多媒体电教室、家庭影院及现代家居自动化中均可找到快思聪控制系统。
快思聪将不同厂家、型号、性质的视听器材或硬件，甚至环境装置连接起来，令所有的控制尽在掌握之中。
海汇创作为多媒体会议控制系统和演示科技的先驱，早在1996年深圳大学的多媒体阶梯会议室中率先引进先进的快思聪会议控制系统；几年来海汇创先后在深圳、北京、武汉、上海等地各大商业机构、学校及政府部门安装了数百套快思聪多媒体会议控制系统、视像会议系统和网络系统工程。
海汇创公司的服务范围包括系统设计、软件编程、器材供应和安装、施工调试、维护保养和咨询等各项专业服务。
海汇创公司在多媒体会议控制系统、视像会议、远程教学、大屏幕投影和拼接、影音设备和多媒体网络系统工程中积累了丰富的经验。
我们乐意为客户解决任何技术难题，并提供更完善、优良的专业服务。
务求令每个客户称心满意。
1.2海汇创科技组织结构
1.3公司部分客户
孝感一中校园网络及程控系统工程
孝感广播电视大学校园网络工程
北京市电子自动化工程学院多媒体会议室、校园网络工程
武汉科技大学校园网络工程
北京市纺织工学院多媒体会议室、校园网络工程
深圳大学多媒体综合电教会议室、校园网
16间多媒体会议室
西安交大多媒体综合电教会议室
北京摩托罗拉公司多功能会议厅、培训中心
上海中国银行多功能会议厅
上海AT&T多功能会议厅、培训中心
北京邮电大学六个多功能综合会议室
北京东方广场多媒体演示厅
清华大学多媒体综合会议室
北京外国语学院多媒体会议室
北京理工大学多媒体阶梯教室
北京市机械工程学院多媒体会议室
北京市化学工程学院多媒体综合会议室
中国银行（北京总行）多媒体培训中心
武汉科技大学多媒体全自动控制会议室7间
湖北省财经高等专科学校学术报告厅、多功能厅
湖北省人民银行银行卡交换中心培训中心
华中理工大附中多媒体全自动控制会议室
华中科技大学管理学院MBA多媒体教室
华中科技大学网络学院多媒体演播中心、视像会议系统2间、多媒体电教室4间
解放军通讯指挥学院红军蓝军对抗模拟演习系统
全军指挥通讯系统
中国武汉海关多媒体培训中心
武汉国际会展中心多功能厅
大、中型国际报告厅
18间小型多媒体会议室
七零九研究所多媒体全自动会议控制系统
湖北省公安厅指挥控制中心
宜昌军分区多媒体会议中心
武汉水利电力大学学术报告厅
武汉大学多媒体全自动会议控制系统
华中科技大学管理学院学术报告厅
梨园大洒店大型多功能会议厅
钟祥一中多功能电教室
宜昌卫校多功能会议室、远程教学系统
三峡梯调中心多媒体会商室
西昌卫星发射中心24块大屏幕背投系统
中兴通讯公司12间多媒体培训室
深圳华为17间多媒体培训室
广州市政府电视监控系统，大屏幕背投系统
香港盈信集团多媒体会议室，背景音乐系统
中国人民保险公司深圳分公司学术报告厅、培训中心
深圳大学成人教育学院语言实验室
香港会展中心
上海国际会展中心
Motorola北京培训和展示中心
夏门会展中心
大连博物馆
招商银行培训中心
中国人民保险公司
港理工大学
深圳电视台
香港城市大学
国泰航空公司
北京人民大会堂
北京地稅局
北京清华大学
北京石油大学
郑州河南医科大学
深圳市蛇口市政府楼
第二部分系统概述
一、总述
（1）校园网络建设目标
校区网络系统的建设目标是光纤主干网覆盖校区各主要建筑，从而将校区网络建成一个具有一定规模容量、技术先进、功能齐全、优良运用、安全可靠，并具备可扩充性的现代化网络系统，通过千兆光纤链路和本部相连，进而与国内国际网络互连，为校区提供一个多媒体通信和现代办公自动化管理的支持环境，为校区及本部教学、教研、生活和管理服务。
（2）网络工程建设规划
为了适应全国和省市教育科研计算机网的发展以及科学技术的迅猛发展，加强校内外信息的交流，满足校区广大师生的需求，充分利用网络资源为全校教学、科研和管理服务，校区网络拟提出如下建设规划：
1、整个校区网络结构以网络中心为中心，构成星型的结构。
2、主干采用千兆路由技术，所有节点交换100Mbps到桌面。
3、考虑数千教师和学生并发上网的需求，配置功能强大的代理服务系统。
4、配置功能齐全、方便实用的网络管理平台。
（3）校园网建设的思路与规划
校园网建设是一项非常复杂的系统工程，涉及了多种技术和设备，而各大中专院校对计算机的功能和网络性能要求也越来越高，系统结构、技术设计、设备供货、安装调试和售后服务的复杂程度和技术难度随之加大。
这就要求业主选择具有丰富校园网建设经验的厂家，运用系统工程的思想，针对实际需求，借助全面的技术和丰富的工程经验，进行设备选择、系统配置，才能取得最佳的性能、最合理的价格和长期的效益。
常用的网络拓扑结构有总线型、环型和星型结构，为了便于网络管理和网络扩展，节省用户投资，在本方案中针对的逻辑拓扑图和光缆布线图，我们决定采用主干星型拓扑结构。
目前常用的主干网组网技术有100Mbps的快速以太网、100Mbps的FDDI和155/622Mbps的ATM网络、千兆以太网等。
在充分考虑建设原则、满足应用需要和适应网络技术发展趋势三个方面的问题后，我们选择了GigabitEthernet，理由是：
1、低廉的价格提供高带宽。
千兆以太网提供10倍于快速以太网的性能，而价格远远低于其10倍；与ATM相比，其价格则远远低于622MbpsATM。
2、好的兼容性和管理的简单性。
ATM必须使用局域网仿真才能与现有的网络设施兼容。
在网络系统管理的技术要求上，千兆以太网比ATM简单。
3、保证服务质量。
目前普遍认为，合理组织的千兆以太网永远不需要考虑QoS管理，这也是千兆以太网的宗旨。
此外，千兆以太网也可通过802.1P服务分级及预带宽等技术来保证关键应用的服务质量。
所有这些技术正促使园区网逐渐转向千兆以太网。
4、持千兆以太网的第3/4层交换机的出现。
这大大地增强了千兆以太网在园区的地位。
原来以太网的一些不足，如对多媒体应用的支持、灵活的网络拓扑结构和多链路负载分享、基于标准的虚拟网等，已被新的技术和标准所解决。
综上所述，本方案主要选择千兆以太网技术来构建用户的需求，对二层节点和桌面微机的接入也采用快速以太网，建立一个基于多层、全交换的虚拟园区网。
采用1000M主干，光纤到各主要信息点，100M交换到桌面，逐步形成以网络中心大楼为中心、辐射其他楼宇的校园网。
（4）园网建设目标
校园网必须具备教学、管理和通信三大功能：
1、师可以方便地浏览和查询网上资源，进行教学设计和科研工作；可以调用网上资源，进行课堂教学；可以通过网络对学生的学习进行指导和考查。
2、生可以方便地浏览和查询网上资源，实现远程学习；可以开展网上“个性化学习”等；通过网上学习学会信息处理能力；初步实现办公自动化。
3、学校的管理人员可以方便的对教务、行政事务、学生学籍、财务、资产等进行综合管理，同时可以实现各级管理层之间的信息数据交换。
概括起来，主要包括以下内容：
◇实现与Chinanet的接入，为全校师生提供WWW、E-mail、FTP等Internet服务。
◇完成主干网、网络管理中心建设，实现教学楼、科技楼、行政楼、学生宿舍等楼宇的综合布线。
◇完成Intranet开发，运行环境的建设，办公自动化软件以及教务、科研、学生管理等综合业务管理的开发与应用，为学校信息化建设打下基础。
◇建设校园网BBS，促进校园网文化健康。
◇能够实现多媒体主课件信息的制作。
◇对外部媒体资料实现管理，实现VOD服务。
◇能够进行教师多媒体电子备课。
二、校园网设计要求
通过对校园网需求的研究，结合对用户网络的考虑，我们认为中心学院校园网应具有以下特性才能满足要求，并保证建成后的网络在一个较长的时间内具有较强的可用性和一定的先进性。
1、性能与技术先进性
校园网网络系统要求具有较高的数据通信能力和较大的带宽，并在主干网上提供较强的可扩展性。
为了能够及时、迅速地处理网络上传送的数据，网络应有较高的网络主干速度。
网络设备必须具备高速处理能力。
提供高速数据链路，保证网络的高吞吐能力，满足各种应用（如视频会议系统）对网络带宽的需求；在各部门的工作组中采用交换技术，以保证在工作中网络的快速响应速度，用来提供较高的工作效率。
2、高可靠性
网络要求具有高可靠性、高稳定性和足够的冗余、提供拓扑结构及设备的冗余和备份。
为了防止局部故障引起整个网络系统的瘫痪，要避免网络出现单点失效的情形。
在网络骨干上要提供备份链路和冗余路由。
在网络设备上要提供冗余配置，设备在发生故障时能以热拔插的方式在最短时间内进行恢复，把故障对网络系统的影响减少到最小。
避免由于网络故障而造成用户损失。
网络主干交换机等网络节点关键设备必须具备一定的容错能力。
关键节点设备在运行中出现故障后，能够有效、及时地进行故障恢复；要求节点设备的设置、恢复过程必须在短时间内迅速完成。
基本配置的终端方式操作要简单，节点内部的配置内容可以通过笔记本电脑采用TCP/IP协议下载保存或上载恢复。
3、安全性
校园网网络作为一个支持众多用户，同时和Internet/CERNET存在连接的网络，网络安全性在整个网络中是个很重要的问题。
我们应该采用一定手段来控制网络的安全性，以保证网络的正常运行。
网络中采取多种技术从内、外部同时控制用户对网络资源的访问，可以用身份验证、VLAN划分等技术有效地控制内部用户的行为，如杜绝对IP地址的盗用和侦听用户口令等；同时也能够利用防火墙控制外部人员对网络的访问。
网络系统还应具备高度的数据安全性和保密性，防止非法侵入和信息的泄漏。
4、可管理性
强有力的网管软件是有效地利用网络管理的助手，网管软件应能够支持对网络进行备份和系统级的管理，并能支持通用浏览器进行网络设备的管理及配置。
灵活地设置每个用户对Internet的访问功能，能够对每个用户实行管理。
5、可扩充性
随着用户应用规模的不断扩大，要求网络可以方便地扩充容量，支持更多的用户及应用；随着网络技术的不断发展，网络必须能够平滑地过渡到新的技术和设备，保证用户现有的投资。
6、VLAN划分
根据校园网的实际要求，属于同一部门的工作人员可能处于不同的建筑物中，但需要处于一个逻辑子网内。
网络站点的增减、人员的变动，无论从网络管理还是用户的角度来讲，都需要虚拟网技术的支持。
虚拟网可以建立不受物理区域限制的、覆盖整个校园的、相互具有一定独立性的逻辑子网。
各逻辑子网间广播报文相互隔离，并通过第三层的访问控制设置实现可管理的子网间的互相访问。
因此，在网络主干中要支持三层交换及VLAN划分。
根据管理以及各部门智能的分配或用户定义的其他策略，进行相应的VLAN的灵活划分，在整个网络中使用虚拟网技术，以提高网络的安全性和灵活性。
网络中心设备和骨干设备能够提供线速的VLAN之间的路由和高性能的第三层数据包的处理。
虚拟网技术是网络发展的必然，它的出现主要解决了网络管理、网络安全方面的许多问题，并且在增加用户网络带宽、减少网络广播流量的影响等方面也有一定的优势，虚拟网的实现必须结合交换技术，目前基于端口的虚拟网技术是主要的形式，而划分虚拟网的端口首先是交换端口。
此外，还有基于IP地址的虚拟网和基于MAC地址的虚拟网等。
基于IP的通用虚拟网协议主要是8021.Q。
7、层交换技术
通过三层交换技术，特别是基于硬件的第三层交换，可以避免在不同的网段或VLAN之间访问时，由于路由效率的影响而产生的传输效率影响。
对于一个应用，当一个数据包发送的交换机时，通过路由设备进行转发；同时在专用芯片在存入有关的信息，使得后来所有的数据包均无需通过路由设备再次处理，而直接由交换机进行转发。
这样就可以充分利用交换机的包处理能力，实现真正的线速交换。
同时，由于三层交换技术的引进，大大减轻了中心路由设备的工作压力，使之不再需要将大量的CPU处理能力花在重复性的数据转发工作上，从而可以承担更为复杂且重要的工作。
8、对多媒体应用的支持
校园网要求具有数据、图像、语音等多媒体实时通信能力，在主干网上提供足够的带宽和可保证的服务质量，满足大量用户对带宽的基本需要，并保留一定的余量供突发的数据传输使用，最大可能地降低网络传输的延迟。
整个网络在服务质量（QoS）、预留宽带设置、合理进行带宽管理方面应提供优良的品质。
三、网络结构设计
1、网络物理设计
由于采用交换千兆以太网和快速以太网技术，在物理的连接上实现如下配置：
网络中心（设在教学楼）和宿舍楼群、实验楼、行政楼等各幢主要建筑物之间采用千兆网链路进行连接（如采用双工方式，可以为它们提供1000MBPS*2的带宽）。
代理服务器与中心交换机之间通过1000MBPS相连，网管机和网络中心其他管理用机采用1000MBPS连接。
实验楼、教学楼等内部采用1000MBPS交换到桌面，以适应VOD和多媒体教学的需求。
总体设计中学生宿舍楼群的分中心交换机由千兆纤和网络系统中心相接，各宿舍楼的分支交换机和分中心交换机千兆路由网络链路进行连接（如采用双工方式，可以为它们提供1000MBPS*2的带宽），对各学生宿舍提供1000MBPS交换到桌面连接。
服务中心、食堂、后勤楼和相近的学生宿舍楼群分中心采用千兆路由网络链路进行连接（如采用双工，可以为它们提供1000MBPS*2的带宽）。
网络中心交换机通过长距离千兆光纤链路连接到本部校区网络中心，从而连接到CERNET。
在具体的连接上，网络技术可有星型、环型、完全网状、半网状等拓扑结构，但由于采用了交换以太网技术，同时考虑到布线的方便性，这里采用了星型的拓扑结构。
各分节点同样以其快速以太网交换机为核心建立起星型快速以太网的拓扑结构。
2、网络逻辑设计
网络的逻辑设计主要是按长江大学本部校区的子网及虚网划分原则来考虑中心学院网络IP子网网段的划分，透过实际的网络物理连接并依据用户的实际需求来实现虚拟网络（VLAN）R的设置
（1）子网划分和IP地址分配
无论从整个网络的安全性和IP地址的可管理性的角度考虑，还是从有效IP地址资源有限的角度考虑，将整个校园网络划分成若干个子网网段并对IP地址资源进行有效的管理都是必需的。
◇遵循学校本部开放划分的原则，使整全长江大学网络形成一个统一的可管理的整体。
◇将需要对校外开放的服务器（PROXYSERVER）划分到同一网段，并分配合法的IP地址。
◇将各网络设备划分到专有的网段，除连入INTERNET的路由器外，其余的地址应是对外隐蔽的。
◇将不对校外开放的服务器（各部门的MISSERVER等）划分到专有的网段，其地址对外隐蔽。
◇尽量将分属于不同部门的机器划分到不同的网段之中。
◇子网的划分应使IP地址管理较为简单，同时也要避免IP地址资源大量浪费。
可使用子网屏蔽码将几个C类地址分给同一个大的子网，或一个C类地址分给几个小的子网。
（2）VLAN虚拟网的设置
由于TCP/IP协议中有大量的服务是通过发送网络广播包来提供的，这些局域网中广播包的存在会大大降低交换机的效率，这时可以利用划分虚拟网（VLAN）将广播包严格限制在一定的范围内。
另外，由于各虚拟网之间不能进行直接通信，而必须通过路由引擎转发，这就为高级的安全控制提供了可能。
同时，为了实际使用中的方便，可能会考虑到把处于不同地理位置的机器划分到同一个广播域内，特别是新校区的办事机构和本部对应的机构划分到同一个VLAN之中；同一个用户也有可能在不同的时间内处于不同的地理位置，这也需要使用虚拟网技术。
通常虚拟网的实现形式有三种：
静态端口分配、动态虚拟网和多虚拟网端口配置。
1、静态端口分配：
直接设置交换机端口，使其从属于某个虚拟网。
这种方法虽然比较麻烦，但较为安全，并易于配置维护。
2、态虚拟网：
交换机的端口动态地由经由该端口地网络包MAC地址、逻辑地址或协议类型确定虚拟网地从属。
这样一旦网管人员配置好后，用户的计算机就可以灵活地接入交换机的端口，而不会改变用户虚拟网的从属性。
3、虚拟网端口配置：
该配置支持一个用户或一个端口可以同时访问多个虚拟网。
这样可以将一台网络服务器配置成多个业务部门（每种业务设置成一个虚拟网）都可以同时访问，也可让它同时能够访问多个虚拟网的资源，而且这种配置也将方便虚拟网间的路由——交换机上只需要一个端口连接路由器即可完成多个虚拟网间的路由。
在本方案中，我们考虑采用基于策略的虚拟网划分，把校园网本部和中心学院校区的中心服务器、交换机设备及各主要节点所在的网络设计为分属于不同的虚拟网，再用路由模块实现整个校园网的连接，提高系统的安全性。
根据需要，也可以进一步把各计算机按照不同部门用虚拟网隔开，既提高网络效率，由保证系统的安全。
四、千兆网技术
1、传统网络的局限性
目前，世界上最受欢迎的网络是以太网,安装了以太网的局域网已达到1亿个。
根据IDC的统计数字,以太网的上网速率是每年3000万个结点,这两个数字都要比令牌环网高出一个数量级。
以太网具有简单、花费少、易于使用的特点,快速以太网仍然保持了以太网简单易用的特性,而千兆位以太网也同样遵循了这一传统。
在我们描述传统网络的局限性时将以以太网（Ethernet）为主。
系统网络结构的限制。
先从网络的广播谈起网络技术发展至今,无论在网络节点（即Node,通常指PC机或工作站）之间还是在网络之间,若要进行通信,首先要通过源站点发广播来寻找目的站点。
这说明了广播在网络上存在的必要性。
但是对于网络和网络节点而言,它们又不需要太多的广播。
这是因为：
其一，从网络节点的角度来看,太多的广播会使PC机或工作站的性能下降,因为当其网络端口接收到每个广播包时,它们的CPU必须要停下正在进行的工作,去处理接收到的每个广播包,看一看是否是自己应接收的数据包;其二，从网络的角度来看,广播太多必然使网络的有效带宽利用率下降;最后，广播多到一定程度,就有可能造成广播风暴,导致网络瘫痪无法工作；另外,如果是采用多种网络协议（如IP、IPX、AppleTalk等）构成的网络,对于使用IP协议的网络或节点来讲,它们根本就不需要接收IPX或是AppleTalk的广播,实际上却又不得不接受,反之亦然。
可以说,多种网络协议的广播包在网络上的广播又是一种非常无奈的现象。
谈到传统的网络结构,必然就要涉及到两种网络互连设备:
桥接器和路由器。
桥接器是一种局域网互连设备,其特点是构造比较简单、处理速度快。
但是,由于它与网络协议无关,因此也就无法对来自不同网段的广播,尤其是不同协议的广播进行分类。
正是由于这一点,当桥接结构随着网络规模不断扩大时,就非常容易造成大量的网络上的广播,甚至使网络无法正常工作。
路由器是智能化程度高、功能强且十分复杂的网络设备,除了实现网络互连的功能外,对网络的安全和稳定起着非常重要的作用。
可是在其优点的背后,又有其处理速度太慢,容易造成网络瓶颈的缺点。
因此,路由器在很大程度上又限制了用户的应用需求。
这是因为路由器是OSI七层网络模型中第三层的设备。
它在网络中,收到任何一个数据包（包括广播包在内）,就要将该数据包第二层（数据链路层）的信息去掉（称为"拆包"）,查看第三层信息。
然后,根据路由表确定数据包的路由,再检查安全访问表;若被通过,则再进行第二层信息的封装（称为"打包"）,最后将该数据包转发。
如果在路由表中查不到对应MAC地址的网络,则路由器将向源地址的站点返回一个信息,并把这个数据包丢掉。
这便是路由器工作过程的简要描述。
还应当指出:
MAC地址就是网络设备的物理地址（如网卡地址）。
因此，传统路由器对网络造成的不必要的限制，路由器本身是一个无连接的设备,其工作机制使它成为一个转发并遗忘的网络设备。
仅就路由器对任何数据包都要有一个"拆打"过程来看,即使是同一源地址向同一目的地址发出的所有数据包,也要重复相同的过程。
这导致路由器不可能具有很高的吞吐量,这也是路由器成为网络瓶颈的原因之一。
可能有人会说,提高路由器的硬件性能（系指采用更高速的、更昂贵的处理器,更大容量的内存）不就可以改善它的性能了吗?
令人遗憾的是,路由器除了硬件支撑外,其"复杂的处理与强大的功能"主要是通过软件来实现的,这必然使得它成为网络瓶颈。
另外,当流经路由器的流量超过其吞吐能力时,将引起路由器内部的拥塞。
持续拥塞不仅会使转发的数据包被延误,更严重的是使流经路由器的数据包丢失。
这些都给网络应用带来极大的麻烦。
路由器的复杂性还对网络的维护工作造成了沉重的负担。
例如,要对网络上的用户进行增加、移动或改变时,配置路由器的工作将显得十分复杂。
综上所述,传统的网络结
升级会员 