校园网络规划建设方案.docx
《校园网络规划建设方案.docx》由会员分享，可在线阅读，更多相关《校园网络规划建设方案.docx（31页珍藏版）》请在冰豆网上搜索。
校园网络规划建设方案
校园网络规划建设方案
第一章需求分析
1.1建设目标
（1）Internet接入，学校各职能部门接入（教务处、政教处、后勤处、各教研室、计算机实验室等的接入）,教师宿舍接入，学生宿舍的接入。
教师宿舍和学生宿舍实施收费。
（2）Internet服务，学校建立web服务器，提供对外信息发布和学校基本情况的介绍等。
（3）办公系统：
学校的财务、教务、教学、图书阅览等办公系统，提供远程办公接入。
（4）网络服务：
提供校内外、地址解析服务，地址分配服务，安全保护服务，网络管理与运维服务等。
（5）采用3层架构的设计方案确保网络的层次性,使用VLAN技术，使物理设备在逻辑上隔离，便于用户使用和管理。
使校园内的各个应用服务器可被内网及外网访问,通过冗余设计保证网络的高可用性,采用防火墙保证网络的安全性
1.2建设原则
（1）实用性原则：
建设的首要原则。
选用的设备和软件应是国内外著名厂商的主流的、先进的产品，但又不盲目追求高、洋、全。
适应学校投资能力，既先进有实用。
能满足性能要求，易于操作、管理和维护。
易于学习、掌握和应用。
人机界面友好。
应用环境良好
（2）先进性原则：
网络建设要具有超前意识，具有先进的设计思想、网络结构、软硬件设备以及使用先进开发工具。
（3）开放性原则:
校园网的建设应遵循国际标准，采用大多数厂家支持的标准协议及标准接口从而为异种机、异种操作系统的互连提供便利和可能。
（4）可扩展性原则：
需求会不断变化，网络系统的建设是逐步进行的，网络将在规和性能两方面进行一定程度上的扩展。
校园网应有良好的可扩充性，随着网络技术的不断发展和增加新的任务、扩充新的能力，系统应能方便升级且能最大的限度保护现有的投资。
（5）安全性原则：
确保系统内部的数据、数据访问传输信息的安全的，避免非法用户访问和攻击。
信息系统安全问题的中心任务是保证信息网络的畅通，确保授权实体经过该网络安全地获取信息，并保证该信息的完整和可靠，为了网络系统安全，在方案设计时，应考虑用户方在网络安全方面可投入的资金，建议用户方选用网络防火墙、网络防杀毒系统等网络安全设施；网络通讯线路在楼外的安全。
电力线路应有防雷电措施。
（6）可靠性原则：
保证系统不间断为用户提供服务。
可靠性对于一个网络拓扑结构是至关重要的，在局域网中经常发生节点故障或传输介质故障，一个可靠性高的网络拓扑结构除了可以使这些故障对整个网络的影响尽可能小以外，同时还应具有良好的故障诊断和故障隔离功能。
（7）可管理性原则：
提供灵活的管理平台能够对各设备进行统一管理。
（8）标准化
选用的设备、软件和通讯协议符合国际标准或工业标准。
由于学校的与信息化建设有关的部分楼栋早已经建成，不能完全采用结构化综合布线标准，但应尽量靠近标准。
要使网络硬件环境、软件环境、通讯环境、操作平台与高层应用系统之间的相互依赖性减至最小，便于发挥各自的优势。
1.3功能需求
（1）Internet接入，学校各职能部门接入（教务处、政教处、后勤处、各教研室、计算机实验室等的接入）,教师宿舍接入，学生宿舍的接入。
教师宿舍和学生宿舍实施收费。
（2）Internet服务，学校建立web服务器，提供对外信息发布和学校基本情况的介绍等。
（3）办公系统：
学校的财务、教务、教学、图书阅览等办公系统，提供远程办公接入。
（4）网络服务：
提供校内外、地址解析服务，地址分配服务，安全保护服务，网络管理与运维服务等
1.4性能需求
（1）时延在150ms以内
（2）丢包无拥塞时为0%，轻度拥塞为1%-4%严重拥塞时为5%-15%
（3）差错率每10^6字节的数据中差错帧数量不超过1个
（4）时延抖动不超过2-4ms
（5）网络设备可用性能99.99%
1.5服务管理需求
（1）性能管理
（2）故障管理
（3）安全管理
（4）配置管理
（5）计费管理
1.6安全需求
选用性能价格比高的网络设备和服务器；采用的网络架构和设备充分考虑到易升级换代，并且在升级时可以最大限度地保护原有的硬件设备和软件投资；确保系统内部的数据、数据访问传输信息的安全的，避免非法用户访问和攻击。
信息系统安全问题的中心任务是保证信息网络的畅通，确保授权实体经过该网络安全地获取信息，并保证该信息的完整和可靠，为了网络系统安全，在方案设计时，应考虑用户方在网络安全方面可投入的资金，建议用户方选用网络防火墙、网络防杀毒系统等网络安全设施；网络通讯线路在楼外的安全。
电力线路应有防雷电措施。
1.7组网技术分析
（1）令牌环网是一种以环形网络拓扑结构为基础发展起来的局域网，虽然它在物理组成上也可以是星型结构连接，但在逻辑上仍然以环的方式进行工作。
其通信传输介质可以是无屏蔽双绞线、屏蔽双绞线和光纤等。
令牌环网的媒体接入控制机制采用的是分布式控制模式的循环方法。
在令牌环网中有一个令牌（Token）沿着环形总线在入网节点计算机间依次传递，令牌实际上是一个特殊格式的帧，本身并不包含信息，仅控制信道的使用，确保在同一时刻只有一个节点能够独占信道。
当环上节点都空闲时，令牌绕环行进。
节点计算机只有取得令牌后才能发送数据帧，因此不会发生碰撞。
由于令牌在网环上是按顺序依次传递的，因此对所有入网计算机而言，访问权是公平的。
令牌在工作中有“闲”和“忙”两种状态。
“闲”表示令牌没有被占用，即网中没有计算机在传送信息；“忙”表示令牌已被占用，即网中有信息正在传送。
希望传送数据的计算机必须首先检测到“闲”令牌，将它置为“忙”的状态，然后在该令牌后面传送数据。
当所传数据被目的节点计算机接收后，数据被从网中除去，令牌被重新置为“闲”。
令牌环网的缺点是需要维护令牌，一旦失去令牌就无法工作，需要选择专门的节点监视和管理令牌。
（2）以太网，指由施乐公司创建并由施乐、Intel和DEC公司联合开发的基带局域网规范。
以太网络使用CSMA/CD（载波监听多路访问及冲突检测技术）技术，并以10Mbps的速率运行在多种类型的电缆上。
90年代，交换型以太网得到了发展，并先后推出了100兆的快速以太网、1000兆的千兆位以太网和10000兆的万兆位以太网等更高速的以太网技术。
以太网的帧格式特别适合于传输IP数据包。
随着Internet的快速发展，以太网被广泛使用。
值得一提的是，如果接入网也采用以太网，将形成从局域网、接入网、城域网到广域网全部是以太网的结构，这样采用与IP数据包结构近似的以太网帧结构，各网之间无缝连接，中间不需要任何格式转换，可以提高运行效率，方便管理，降低成本，这种结构可以提供端到端的连接。
基于以上原因，以太网接入得到了快速发展，并且越来越受到人们的重视
（3）ATM的英文全称为“asynchronoustransfermode”，中文名为“异步传输模式”，它的开发始于70年代后期。
ATM是一种较新型的单元交换技术，同以太网、令牌环网、FDDI网络等使用可变长度包技术不同，ATM使用53字节固定长度的单元进行交换。
它是一种交换技术，它没有共享介质或包传递带来的延时，非常适合音频和视频数据的传输。
ATM是在LAN或WAN上传送声音、视频图像和数据的宽带技术。
它是一项信元中继技术，数据分组大小固定。
你可将信元想像成一种运输设备，能够把数据块从一个设备经过ATM交换设备传送到另一个设备。
所有信元具有同样的大小，不像帧中继及局域网系统数据分组大小不定。
使用相同大小的信元可以提供一种方法，预计和保证应用所需要的带宽。
如同轿车在繁忙交叉路口必须等待长卡车转弯一样，可变长度的数据分组容易在交换设备处引起通信延迟。
（4）FFDDI光纤分布式数据接口它是于80年代中期发展起来一项局域网技术，它提供的高速数据通信能力要高于当时的以太网（10Mbps）和令牌网（4或16Mbps）的能力。
FDDI标准由ANSIX3T9.5标准委员会制订，为繁忙网络上的高容量输入输出提供了一种访问方法。
FDDI技术同IBM的Tokenring技术相似，并具有LAN和Tokenring所缺乏的管理、控制和可靠性措施，FDDI支持长达2KM的多模光纤。
FDDI网络的主要缺点是价格同前面所介绍的“快速以太网”相比贵许多，且因为它只支持光缆和5类电缆，所以使用环境受到限制、从以太网升级更是面临大量移植问题。
综上所诉由于令牌环网的缺点是需要维护令牌，一旦失去令牌就无法工作，需要选择专门的节点监视和管理令牌，ATM网络信元首部开销太大；技术复杂且价格昂贵。
同时FDDI技术复杂且价格昂贵综上所述选择以太网组网技术
第二章逻辑设计
2.1网络拓扑规划
2.1.1物理分布图
平面布局图
2.1.2网络拓扑
总体裸机拓扑图
办公楼详细逻辑拓扑图
初中教学楼详细裸机拓扑图
2.2IP规划和命名模型设计
2.2.1网络地址分配
学校申请了一个c类ip地址为192.668.143.0
地点
信息点
网络号
IP地址
子网掩码
办公楼
21
192.668.143.
001xxxxx/8
192.168.0.32~63
255.255.255.224
初中部
20
192.168.143.
002xxxxx/8
192.168.1.64~95
255.255.255.224
小学部
17
192.168.143.003xxxxx/8
192.168.1.96~127
255.255.255.224
学生宿舍
25
192.168.143.004xxxxx/8
192.168.3.128~159
255.255.255.224
教职工宿舍
25
192.168.143.005xxxxx/8
192.168.4.160~191
255.255.255.224
服务器
17
192.168.143.006xxxxx/8
192.168.4.191~222
255.255.255.224
2.3交换和路由协议设计规划
2.3.1交换协议的选择
（1）VTP（VLANTrunkingProtocol）：
是VLAN中继协议，也被称为虚拟局域网干道协议。
它是思科私有协议。
作用是十几台交换机在企业网中，配置VLAN工作量大，可以使用VTP协议，把一台交换机配置成VTPServer,其余交换机配置成VTPClient,这样他们可以自动学习到server上的VLAN信息。
（2）STP－SpanningTreeProtocol（生成树协议）逻辑上断开环路，防止二层网络的广播风暴的产生当线路出现故障，断开的接口被激活，恢复通信，起备份线路的作用
2.3.2路由协议选择
路由信息协议（RIP）是一种在网关与主机之间交换路由选择信息的标准。
RIP是一种内部网关协议。
在国家性网络中如当前的因特网，拥有很多用于整个网络的路由选择协议。
作为形成网络的每一个自治系统，都有属于自己的路由选择技术，不同的AS系统，路由选择技术也不同。
2.4安全策略设计
2.4.1通信网络安全
物理层的安全主要包括环境、设备及线路的安全。
在设备集中的管理间安装干扰器防止由于设备辐射造成的信息泄漏。
同时，要注意保护线路的安全，防止用户的搭线窃听行为。
2.4.2服务器安全
系统层主要解决的是由于各种操作系统、数据库、及相关产品的安全漏洞和病毒造成的威胁。
解决的技术手段主要有以下几种：
（1）采用主机加固手段对主机加固，如升级、打补丁、关闭不需要的端口等；
（2）采用主机访问控制手段加强对主机的访问控制；
（3）建立数据库备份；
2.4.3应用安全
应用层的安全措施主要有以下几点：
（1）各应用系统自身的加固；
（2）建立身份认证系统；
（3）建立安全审计系统；
（4）建立备份系统；
2.4.4接入安全
（1）身份验证；
（2）防火墙；
2.5管理策略设计
2.5.1配置管理
配置是系统对运行环境的一种适配。
2.5.2计费管理
（1）基于时间；
网络流量计费是根据用户网络或者用户主机在一段时间内所使用的网络流量统计数据来收取用户费用的一种计费方式。
主要适用于专线（X.25、DDN、E1线路等）接入用户
（2）基于流量；
使用时间计费是根据用户使用网络的时间长短来收取用户费用的一种计费方法。
与传统的电话服务收费方式相似。
该方式适用于以电话线或ISDN接入网络的用户。
（3）基于服务；
网络服务计费是根据用户使用所提供的网络服务的次数或时间来收取用户费用的一种计费方法。
收取费用的服务包括：
电子邮件、网页空间、数据库信息查询、光盘检索、网络游戏等。
2.6应用服务设计
2.6.1Web服务
服务器操作系统MicrosoftWindowsNT4.0以上版本
Web服务系统WindowsNT下的IIS信息服务系统
工作站操作系统WindowsXP或WindowsNTWorkstation4.0
数据库软件SQLServer2008
网络平台WindowsNTServer4.0中文版
开发技术javajspservlet等
2.6.2教务管理系统
服务器操作系统MicrosoftWindowsNT4.0以上版本
Web服务系统WindowsNT下的IIS信息服务系统
工作站操作系统WindowsXP或WindowsNTWorkstation4.0
数据库软件SQLServer2008
网络平台WindowsNTServer4.0中文版
开发技术javajspservlet等
2.6.3网络教学系统
服务器操作系统MicrosoftWindowsNT4.0以上版本
Web服务系统WindowsNT下的IIS信息服务系统
工作站操作系统WindowsXP或WindowsNTWorkstation4.0
数据库软件SQLServer2008
网络平台WindowsNTServer4.0中文版
开发技术javajspservlet等
第三章物理设计
3.1网络设备选型
（1）接入层交换机
SLM224G2具有24个接入端口，用于连接终端设备；2个千兆COMBO端口，用来连接网络核心设备。
COMBO端口的引入，丰富了设备的上联选择：
可以是千兆铜缆链路，也可以是千兆的光纤链路。
此外，8.8Gbps的背板带宽确保了所有端口都可以满负荷运转，而不会出现阻塞。
SLM224G2充分考虑到用户对内网安全的要求。
支持802.1x认证功能，可将XX的用户挡在接入层之外，确保网络的安全。
当然，如果网络还没有成型的AAA认证体系，SLM224G2的MAC地址过滤的功能，也能确保网络免遭非法入侵。
（2）汇聚层交换机
思科WS-C2960-24TT-L交换机可实现为多达24个端口提供完全15.4瓦功率的PoE配置，在网络边缘提供高级访问控制列表（ACL）和增强安全性等智能化特性，支持千兆以太网上行链路灵活性的两用上行链路，允许使用铜缆或光纤上行链路;其中每个两用上行端口分别拥有一个10/100/1000以太网端口和一个基于小形可插拔（SFP）的千兆以太网端口，每次有一个端口处于激活状态，采用高级QoS、速率限制、ACL和组播服务，提供网络控制和带宽优化，根据用户、端口和MAC地址，并通过多种不同的身份验证方法、数据加密技术和NAC，提供网络安全性。
（3）三层交换机：
CISCOWS-C3560G-24TS-S提供了24个以太网10/100/1000端口，4个SFP千兆位以太网端口，采用思科IP电话和CiscoAironet无线LAN接入点，以及任何IEEE802.3af兼容终端设备的部署，提供了较低的总体拥有成本（TCO）。
以太网电源使客户无需再为每台支持PoE的设备提供墙壁电源，免除了在IP电话和无线LAN部署中所必不可少的额外布线。
支持24个15.4W的同步全供电PoE端口，从而获得了最佳上电设备支持。
3.2网络设备配置
（1）Vlan配置
CISCO>enable
CISCO#vlandatabase（进入VLAN配置模式）
CISCO（vlan）#vlan2nameNetA（创建VLAN2并改名为NetA）
VLAN2added:
Name:
NetA（显示VLAN名称）
CISCO（vlan）#vlan3nameNetB（创建VLAN3并改名为NetB）
VLAN3added:
Name:
NetB（显示VLAN名称）
CISCO（vlan）#exit（退出VLAN配置模式）
CISCO#write（保存VLAN创建信息）
CISCO（config）#interfacef0/1（进入端口f0/1配置模式）
CISCO（config-if）#switchportmodeaccess（将端口f0/1设置为静态VLAN模式）
CISCO（config-if）#switchportaccessvlan2（将将端口f0/1分配给VLAN2）
CISCO（config-if）#exit（退出端口配置模式）
CISCO（config）#interfacef0/2（进入端口f0/2配置模式）
CISCO（config-if）#switchportmodeaccess（将端口f0/2设置为静态VLAN模式）
CISCO（config-if）#switchportaccessvlan2（将将端口f0/2分配给VLAN2）
CISCO（config-if）#exit（退出端口配置模式）
CISCO（config）#interfacef0/3（进入端口f0/3配置模式）
CISCO（config-if）#switchportmodeaccess（将端口f0/3设置为静态VLAN模式）
CISCO（config-if）#switchportaccessvlan3（将将端口f0/3分配给VLAN3）
CISCO（config-if）#exit（退出端口配置模式）
CISCO（config）#interfacef0/4（进入端口f0/4配置模式）
CISCO（config-if）#switchportmodeaccess（将端口f0/4设置为静态VLAN模式）
CISCO（config-if）#switchportaccessvlan3（将将端口f0/4分配给VLAN3）
CISCO（config）#end（返回到特权模式）
CISCO#showvlan（查看交换机VLAN信息）
Tunck
SwitchA>enable
SwitchA#vlandatabase
SwitchA（vlan）#vlan2nameNetA
VLAN2added:
Name:
NetA
SwitchA（vlan）#vlan3nameNetB
VLAN3added:
Name:
NetB
SwitchA（vlan）#exit
SwitchA#configureterminal
SwitchA（config）#interfacefastethernet0/1
SwitchA（config-if）#switchportmodeaccess
SwitchA（config-if）#switchportaccessvlan2
SwitchA（config-if）#exit
SwitchA（config）#interfacefastethernet0/3
SwitchA（config-if）#switchportmodeaccess
SwitchA（config-if）#switchportaccessvlan3
SwitchA（config-if）#end
以上是对SwitchA进行配置，以下是对SwitchB进行配置。
SwitchB>enable
SwitchB#vlandatabase
SwitchB（vlan）#vlan2nameNetA
VLAN2added:
Name:
NetA
SwitchB（vlan）#vlan3nameNetB
VLAN3added:
Name:
NetB
SwitchB（vlan）#exit
SwitchB#configureterminal
SwitchB（config）#interfacef0/4
SwitchB（config-if）#switchportmodeaccess
SwitchB（config-if）#switchportaccessvlan3
SwitchB（config-if）#exit
SwitchB（config）#interfacef0/2
SwitchB（config-if）#switchportmodeaccess
SwitchB（config-if）#switchportaccessvlan2
SwitchB（config-if）#end
2.分别把两个两交换机的g1/1端口配置成Trunk端口，并允许所有VLAN通过
SwitchA（config）#interfaceg1/1（进入端口g1/1配置模式）
SwitchA（config-if）#switchporttrunkencapsulationdot1q（使用IEEE802.1q协议封装Trunk）
SwitchA（config-if）#switchportmodetrunk（将端口设置成Trunk）
SwitchA（config-if）#switchporttrunkallowedvlanall（允许所有VLAN通过此Trunk）
注意，在CISCO的2950、2960交换机上的Trunk封装协议只支持dot1q，而不支持is1，所以switchporttrunkencapsulationdot1q命令在2950、2960等交换机上不能配置witchporttrunkencapsulationdot1q，而4506等交换机则需要配置。
以下是把SwitchB交换机的g1/1端口配置成Trunk命令。
SwitchB>enable
SwitchB#configureterminal
SwitchB（config）#interfaceg1/1
SwitchB（config-if）#switchmodetrunk
SwitchB（config-if）#switchporttrunkallowedvlanall
SwitchB（config-if）#exit
（2）VTP配置
SwitchA#vlandatabase（进入VLAN配置模式）
SwitchA（vlan）#vtpdomain（设置VTP的域名）
SwitchA（vlan）#vtppassworddsx（设置VTP的密码）
SwitchA（vlan）#vtpserver（设置VTP的服务器模式）
SwitchA（vlan）#exit（退出VLAN配置模式）
SwitchA#showvtpstatus（显示VTP模式）
VTPVersion:
2
ConfigurationRevision:
0
M
升级会员 