校园网络设计方案72282.docx

1、校园网络设计方案72282学员编号:活比衣林哥牧*学中等职业学校专业骨干教师国家级培训校园网络设计方案培训专业 计算机网络技术培训学员 崔强荣完成时间 2012年12月20日中国陕西杨凌1引言 错误 !未定义书签2校园网需求分析 错误 !未定义书签网络基本情况 错误 !未定义书签网络需求分析 错误 !未定义书签3网络总体设计 错误 !未定义书签网络架构分析 错误 !未定义书签设计思路 错误 !未定义书签校园网的设计原则 错误 !未定义书签网络三层结构设计 错误 !未定义书签主干网核心层设计 错误 !未定义书签园区内汇聚层设计 错误 !未定义书签IP 规划与 VLAN 错误 !未定义书签IP 地

2、址的分配原则 错误 !未定义书签公网地址分配 错误 !未定义书签专用网的 IP 地址规划 错误 !未定义书签专用网中 vlan 划分 错误 !未定义书签设备选型 错误 !未定义书签核心交换机设备选型 错误 !未定义书签汇聚层设备选型 错误 !未定义书签接入层设备选型 错误 !未定义书签物理/ 链路层配置原则 错误!未定义书签4网络安全与管理 错误 !未定义书签网络安全 错误 !未定义书签威胁网络安全因素分析 错误 !未定义书签网络安全防范措施 错误 !未定义书签网络管理 错误 !未定义书签网络安全策略配置 错误 !未定义书签安全接入和配置 错误 !未定义书签拒绝服务的防止 错误 !未定义书签电

3、源系统 错误 !未定义书签5综合布线设计 错误 !未定义书签综合布线的设计原则 错误 !未定义书签结构化综合布线系统的组成及设计 错误 !未定义书签工作区子系统(Work Area)及其网络设计 错误!未定义书签配线子系统( Horizontal )及其网络设计 错误!未定义书签干线子系统(Backbone)及其网络设计 错误!未定义书签设备间子系统(Equipment Room)及其网络设计 错误!未定义书签管理子系统( Administration )及其网络设计 错误!未定义书签建筑群子系统(Campus Subsystem)及其网络设计.错误!未定义书签进线间子系统及其网络设计 错误!

4、未定义书签防雷系统 错误!未定义书签在施工中注意事项 错误!未定义书签工程施工前准备 错误!未定义书签现场施工 错误!未定义书签现场测试 错误!未定义书签6硬件设备预算 错误!未定义书签7结束语 错误!未定义书签1引言高校校园网的网络建设与网络技术发展几乎是同步进行的。 高校不仅承担着教书 育人的工作，更承担着部分国家级的科研任务，同时考虑未来几年网络平台的发展趋 势, 为了充分满足高校骨干网对高速，智能，安全，认证计费等的需求 , 可以利用万 兆以太网的校园网组网技术。构建校园网骨干网，实现各个分校区和本部之间的连接，以及实现端到端的以太 网访问，提高了传输的效率，有效地保证了远程多媒体教学

5、、数字图书馆等业务的开 展。随着信息技术的高速发展， 教育信息化水平正成为衡量学校总体发展水平的重要 因素，网络技术的应用对高校的教学手段和教育管理体系的促进作用是巨大的。 1995 年CERNET（中国教育和科研计算机网）建设全面启动，全国各地的高校开始建设自 己的计算机校园网。校园网建设是高校建设的重要组成部分，建设高质量的局域网， 才能充分发挥网络资源管理和应用的优势，进行信息交流、资源共享、科学计算和科 学研究与合作。与其它网络一样， 校园网面临的威胁大体可分为对网络中数据信息的危害和对网 络设备的危害。具体来说，危害网络安全的主要威胁有：非授权访问，即对网络设备 及信息资源进行非正常

6、使用或越权使用等；冒充合法用户，即利用各种假冒或欺骗的 手段非法获得合法用户的使用权限，以达到占用合法用户资源的目的；破坏数据的完 整性，即使用非法手段，删除、修改、重发某些重要信息，以干扰用户的正常使用； 干扰系统正常运行。2校园网需求分析网络基本情况某大学具有 6个二级学院，分别位于同一个城市的 4个园区中，其中大学与两个 二级学院在一个园区（园区 1），另外两个二级学院位于一个园区（园区 2），而其 他两个学院分别位于园区 3 和园区 4。大学已从中国教育科研网（CERNET有关机构申请了 IPV4地址块。因特网具有 统一接口，即通过百兆以太网接入中国教育科研网（ CERNET。大学向因

7、特网发布信 息并为全校提供有关的信息服务，每个二级学院都包含网管中心、院办公楼、教学楼、实验楼、干部培训楼、 学生公寓楼等。每个学院也自行向因特网发布学院信息并负责学院自己的信息服务， 每个学院都拥有约 1500台 PC。网络需求分析为提高网络可靠性及安全性，需要在主干网采用光纤布线。校园网应实现虚拟局域网（VLAN的功能，以保证全网的良好性能及网络安全性。主干网交换机应具有很 高的包交换速度，整个网络应具有高速的三层交换功能。主干网络应该采用成熟的、 可靠的快速以太网和千兆位以太网技术作为校园网主干。 校园网应选用先进的网管软 件，建立完善的网络管理体系。在设备方面，应选择有校园网成功案例的

8、网络厂商的 设备，同时为 Internet 、拨号用户和移动用户提供接口， 网络还应具有良好的扩展性。 整个业务网必须具备良好的可管理性 , 网管系统应具有监测、故障诊断、故障隔 离、过滤设置等功能 , 以便于系统的管理和维护。同时应尽可能选取集成度高、模块3网络总体设计网络架构分析现代网络结构化布线工程中多采用星型结构，主要用于同一楼层，由各个房间的 计算机间用集线器或者交换机连接产生的，它具有施工简单，扩展性高，成本低和可 管理性好等优点；而校园网在分层布线主要采用树型结构；每层的集线器或交换机在 连接到本楼出口的交换机，各个楼的交换机再连接到园区通信网中。为了增加网络的 可靠性，四个园区

9、通信网连成一个环构成校园网的核心区域，从而构成了大学校园网 的拓补结构。采用三层结构为该大学设计校园网。 选用万兆以太网作为连接大学 4 个校区的高 速主干；选用千兆以太网作为各个校区内楼层之间的主干， 形成大学校园网的汇聚层； 选用百兆以太LAN作为基本的接入形式，在网络中心的设备选型和结构设计上必须考 虑整体网络的高性能和高可靠性。设计思路进行校园网总体设计，首先要进行对象研究和需求调查，明确学校的性质、任务和改革发展的特点及系统建设的需求和条件，对学校的信息化环境进行准确的描述； 在应用需求分析的基础上，确定学校 Intranet 服务类型，进而确定系统建设的具体 目标，根据应用需求建设

10、目标和学校主要建筑分布特点，进行系统分析和设计。1 、万兆交换机互联各个园区网 选用万兆交换机互联各个园区网，而不选用高速路由器是因为：1各园区网均采用的以太网技术体系，兼容性好。2大学将在校园网上开展教学视频观摩、远程听课等多媒体应用，提供高速率信 息通道是必要的。万兆交换机为三层交换机，是具有选路功能的交换机，在校园网环 境下能够具有更好的性能。3价格因素。若在覆盖几十千米范围采用高速路由器的话，底层通常要采用 SDH技术，这使有关设备的价格要增加 23倍。尽管高速路由器带来的对各个园区有更 好的隔离性，在该校园网中用处不大。2、主干网采用公用 IP 地址相连该校园网从CERNE获得了 I

11、P地址的数量是无法满足需求的， 只能供向因特网发布信息和联系或进行网络科学研究之用，因此构成校园网 IP 地址的主体是经过 NAT 转换的专用网地址。使用专用网地址不利于与其他大学的学术交流，但也是不得已而 为之的方法；另一方面，可能使得校园网受到网络黑客侵扰会少些。校园网的设计原则（1）先进性原则 以先进、成熟的网络通信技术进行组网，支持数据、语音和视频图像等多媒体应 用，采用基于交换的技术代替传统的基于路由的技术，并且能确保网络技术和网络产 品在几年内基本满足需求。（2）开放性原则 校园网的建设应遵循国际标准，采用大多数厂家支持的标准协议及标准接口，从 而为异种机、异种操作系统的互连提供便

12、利和可能。（3）可管理性原则 网络建设的一项重要内容是网络管理，网络的建设必须保证网络运行的可管理 性。在优秀的网络管理之下，将大大提高网络的运行速率，并可迅速简便地进行网络 故障的诊断。（4）安全性原则信息系统安全问题的中心任务是保证信息网络的畅通， 确保授权实体经过该网络 安全地获取信息，并保证该信息的完整和可靠。网络系统的每一个环节都可能造成安 全与可靠性问题。（5）灵活性和可扩充性选择网络拓扑结构的同时还需要考虑将来的发展， 由于网络中的设备不是一成不 变的，如需要添加或删除一个工作站， 对一些设备进行更新换代， 或变动设备的位置， 因此所选取的网络拓扑结构应该能够容易的进行配置以满足

13、新的需要。（6）稳定性和可靠性可靠性对于一个网络拓扑结构是至关重要的， 在局域网中经常发生节点故障或传 输介质故障， 一个可靠性高的网络拓扑结构除了可以使这些故障对整个网络的影响尽 可能小以外，同时还应具有良好的故障诊断和故障隔离功能。网络三层结构设计主干网核心层设计校园网分为公网和专网。 通过防火墙，连接放置各种应用服务器的非军事区部分， 并经路由器与CERNE相连。该三层校园网结构中的核心层位于公网部分， 可选用了 Cisco 公司的万兆交换机 Cat6509。租用电信公司的光纤裸芯， 用万兆速率将 4个园区的 4 台万兆交换机连成一个环。 为提高网络可靠性，还在园区 2 和园区 4 之间

14、用千兆光缆连接起来。校园网的核心层结构如下图所示：某大学园区校园拓扑S9620InternetRSR7716园区内汇聚层设计汇聚层设备不但分担了核心设备的部分压力，同时提高了网络的安全性。本实施 方案从网络运行的稳定性、安全性及易于维护性出发进行设计，以满足客户需求。园 区网可基本保持原有的二层网络架构，并在自己的园区网中使用专用 IP地址块，楼层之间采用千兆光纤相连，汇聚到千兆主交换机上与大学万兆交换机通过防火墙相 连。由于各二级学院的园区中具有的 PC数量为1500台左右，考虑到教学区域、管理 区域和学院内数据服务区域，建议划分为若干个子网，也可以划分为多个VLAN以隔 离广播流量，提高网

15、络工作效率，并提高安全性。二级学院网络的主干网可采用 3COM公司的Switch 4007交换机与3C16980连接 的千兆光缆构成了学院园区网的主干，向下以百兆以太网作为接入网与用户 PC相连。二级学院园区网的二层网络拓扑架构如下图所示：IP规划与VLANIP地址的分配原则IP地址规划的好坏，不仅影响到网络路由协议算法的效率， 更影响到网络的性能和稳定以及网络的扩展和管理，也必将直接影响到相关新业务的开拓和网络应用的进 一步可持续性发展。该大学有六个二级学院,每个学院大约1500台PC,而申请到的IP地址为8*256-2 个=2022个，远小于6*1500台，所以必须用到NAT技术。学校对外

16、各种INTERNE务, 核心层设备都使用公网IP,普通终端PC使用私网IP，经NAT技术上网。这样既满足 普通用户上网需求又可以使服务器正常作用于互联网。公网地址分配对IP地址块进行子网划分，划分为8个子网，6个二级学院各分配254个IP地 址，余下的254个IP地址用于大学校园网主干和科研。大学和同在一园区的一个二 级学院的IP地址分配时应连续。表1：学校公网IP地址分配表名称公网IP段园区一大学本部学院一学院二园区二学院三学院四园区三学院五园区四学院六学校服务器专用网的IP地址规划由于分配给该大学校园网的IP地址远远不能满足需求，因此这些IP地址主要用 于向因特网发布信息和进行科学研究之用

17、。 而大学内部教学、科研、办公用的校园网，就需要我们采用NAT技术。每个学院都有1500台计算机，这里从专用的IP地址段中 取出一个B类地址进行规划即可。本例我们可以取，将其分配给大学和6个二级学院。 每个单位都能够分配一块IP地址，其中具有30个子网，每个子网容纳的主机数量达 8*256-2=2046台，选用7个子网，分别给大学和二级学院各一个子网。事实上，由于各学院使用的专用IP地址互不相关，可以由各个学院独立进行规 划也可。表2：学校专网公网IP地址分配表名称专网IP段园区一大学本部学院一学院二园区二学院三学院四园区三学院五园区四 学院六学校服务器专用网中vlan划分VLAN技术允许将一

18、个网络的物理的 LAN逻辑划分成不同的广播域。一个 VLAN内 部的广播和单播流量被限制在本 VLAN之内，不会转发到其他 VLAN中，这有助于控制 流量、简化网络管理、提高网络的安全性。VLAN是为解决以太网的广播问题和安全性而提出的一种协议， 它在以太网帧的基础上增加了 VLAN头，用VLAN ID把用户划分为更小的工作组，限制不同工作组间的 用户二层互访。虚拟局域网的好处是可以限制广播范围，是一种比较成熟企业组网规 范，在本案例中我们可以利用它划小网络特点，我们可以进一步监控网络，就算 IP冲突产生，也轻易知道它发生在哪个部门（若 VLAN划分以部门为依据）设备选型核心交换机设备选型通常

19、将网络主干部分称为核心层，核心层的主要目的在于通过高速转发通信，提 供油画，可靠的骨干传输结构，因此核心层交换机应拥有更高的可靠性，性能和吞吐量。锐捷网络RG-S9620如图所示，交换机成为企业网络核心交换机的理想选择，适用于为政府、学校、企业构建高 速、安全、可靠的万兆网络，它的背板带宽为，包转发率:L2:3571Mpps,L3:3571Mpps,扩展插槽：20 个（4 个用于管 理与交换距阵）汇聚层设备选型通常将位于接入层和核心层之间的部分称为分布层或汇聚层，汇聚层交换层是多台接入层交换机的汇聚点， 它必须能够处理来自接入层设备的所有通信量， 并提供到核 心层的上行链路，因此汇聚层交换机与

20、接入层交换机比 较，需要更高的性能，更少的接口和更高的交换速率。各二级学院网管中心汇聚层交换机选择 ，锐捷网络 RG-S8606为企业网络核心交换机的理想选择，如图所示。 适用于为政府、学校、企业构建高速、安全、可靠的千兆 背板带宽为,包转发率：L2:595Mpps,595Mpps，扩展插 槽：6个（2个用于管理引擎模块）。在二级学院各楼层的汇聚层交换机，我们采用锐捷 网络RG-S3760E-24,如图所示，属于千兆交换机，背板带宽：， 包转发率：。图接入层设备选型通常将网络中直接面向用户连接或访问网络的部分称为接入层， 接入层目的是允许终端用户连接到网络，因此接入层交换机具有低成本和高端口密

21、度特性。接入层交 换机我们选择可网管的交换机。物理/链路层配置原则物理/链路层配置遵循下面的原则：1.网络设备互连的物理端口都应该绑定端口的速率和全双工模式；2.建议所有的Vian都不要穿透核心层，所有的Vian都将在汇聚层交换机上终结；3.本实施方案建议不要启用 STP生成树协议，由于所有的Vian都已在汇聚层交换机终结，在二层上并没有环路存在，故无必要启用；如果开启基于每个 Vian的生成树协议，广播报文将会很多，影响核心交换机性能和网络收敛时间；4.所有核心层和汇聚层交换机之间的互连端口均设置为 Trunk模式，但目前只容许互连Vian通过，以应付将来有 Vian穿越核心层这种情况；5.

22、汇聚层交换机和接入交换机之间的互连端口设置为 Trunk模式。4网络安全与管理网络安全校园网的安全威胁主要来源于两大块，一块是来自于网内，一块来自于网外。来 源于网内的威胁主要是病毒攻击和黑客行为攻击。根据统计，威胁校园网安全的攻击 行为大概有 40左右是来自于网络内部， 如何防范来自于内部的攻击是校园网网络安 全防护体系需要重点关注的地方。威胁网络安全因素分析计算机网络安全受到的威胁包括：1.“黑客”的攻击；2.计算机病毒；3.拒绝服务攻击( Denial of Service Attack )。网络安全防范措施在不改变原有网络结构的基础上实现多种信息安全，保障校园内部网络安全，我 们选购了

23、一套网络安全防范设备。1 瑞星杀毒软件网络版1.超强病毒查杀2.智能主动防御3.增强型全网漏洞管理4.强大的网络管理能力是网络安全的基础部署、控制、执行、升级、报告和日 志、二次开发。5.兼容多种平台6.一体化智能服务体系网络管理在校园网络管理方面，为了便于校园网络管理人员的管理及维护，我们选购 Quidview 网络管理软件。 Quidview 网络管理软件基于灵活的组件化结构，用户可以 根据自己的管理需要和网络情况灵活选择自己需要的组件，真正实现“按需建构”。Quidview 网络管理软件采用组件化结构设计， 通过安装不同的业务组件实现了设 备管理、VPN监视与部署、软件升级管理、配置文件

24、管理、告警和性能管理等功能。 支持多种操作系统平台，并能够与多种通用网管平台集成，实现从设备级到网络级全 方位的网络管理。网络安全策略配置安全接入和配置安全接入和配置是指在物理(控制台)或逻辑(telnet)端口接入网络基础设施设备前必须通过认证和授权限制，从而为网络基础设施提供安全性。限制远程访问的安 全设置方法如下表19安全接入和配置方法访问方式保证网络设备安全的方法备注Console控制接口的访问设置密码和超时限制建议超时限制设成5分钟进入特权exec和 设备配置级别的命 令行配置Radius来记录logon/logout 时间和操作活动；配置至少一个本地账户作应急之用telnet 访问

25、采用ACL限制，指定从特定的IP地址来进行telnet访问；配置Radius 安全纪录方案；设置超时限制SSH访问激活SSH访问，从而允许操作员从网络的外部环境进行设备安全登陆WEB管理访问取消Web管理功能SNMI访问常规的SNMF访问是用ACL限制从特定IP地址来进行SNM肪问；记 录非授权的SNM肪问并禁止非授权的 SNMP图和攻击为增加安全，建 议更改缺省的SNMP Commutiy子串设置不同账号通过设置不同的账号的访问权限，提高安全性拒绝服务的防止网络设备拒绝服务攻击的防止主要是防止出现 TCPSYN乏滥攻击、Smurf攻击等;网络设备的防TCP SYN勺方法主要是配置网络设备 T

26、CP SYNfi界值，若多于这个临界 值，则丢弃多余的TCPSYN数据包；防Smurf攻击主要是配置网络设备不转发ICMPecho 请求（directed broadcast） 和设置ICMP包临界值，避免成为一个 Smurf攻击的转发 者、受害者。3.3.3访问控制1允许从内网访问in ternet ，端口全开放。2允许从公网到DM（非军事）区的访问请求：WEB艮务器只开放80端口，mail 服务器只开放25和110端口。禁止从公网到内部区的访问请求，端口全关闭。4允许从内网访问DMZ（非军事）区，端口全开放5 允许从DMZ（非军事）区访问in ternet ，端口全开放6禁止从DMZ（非军

27、事）区访问内网，端口全关闭。电源系统为保证网络系统的安全运转及电源发生故障时重要数据的储存 ，须配置具有高可靠性的UPS电源。为此,在网络中心配置了一套山特 C3KVA/2100M UPS电源。5综合布线设计综合布线的设计原则综合布线同传统的布线相比较，有着许多优越性，是传统布线所无法比及的。其 特点主要表现为它的实用性、功能性、先进性、灵活性、方便性、可靠性、扩展性、 开放性、标准化、经济性和生命周期。而且在设计、施工和维护方面也给人们带来了 许多方便。结构化综合布线系统的组成及设计综合布线系统( PDS，Premises Distribution System )是一套开放式的布线系统，可

28、以支持几乎所有的数据、语音设备及各种通信协议，同时，由于 PDS充分考虑了通信技术的发展，设计时有足够的技术储备，能充分满足用户长期的需求，应用范 围十分广泛。而且结构化综合布线系统具有高度的灵活性，各种设备位置的改变，局 域网的变化，不需重新布线，只要在配线间作适当布线调整即可满足需求。结构化综 合布线一般划分为六个子系统。工作区子系统( Work Area )及其网络设计工作区子系统，是由 RJ-45 跳线与信息插座所连接的设备组成。信息点由标准 RJ45插座构成。信息点数量应根据工作区的实际功能及需求确定，并预留适当数量的 冗余。例如：对于一个办公区内的每个办公点可配置 23个信息点，此

29、外应为此办公区配置35个专用信息点用于工作组服务器、网络打印机、传真机、视频会议等。 若此办公区为商务应用则信息点的带宽为 100M可满足要求；若此办公区为技术开发应用则每个信息点应为交换式100M甚至是光纤信息点。工作区的终端设备(如：电话机、传真机)选用安普公司的超五类双绞线直接与 工作区内的每一个信息插座相连接，或用适配器(如 ISDN终端设备)、平衡/非平衡转换器进行转换连接到信息插座上。配线子系统( Horizontal )及其网络设计配线子系统，是从工作区的信息插座开始到管理间子系统的配线架。选择配线子 系统的线缆，要根据建筑物内具体信息点的类型、容量、带宽和传输速率来确定。在 配

30、线子系统中推荐采用的双绞电缆及光纤型号为 : 安普公司的超五类或六类非屏蔽 双绞线, TCL 室内单模或多模光纤。双绞线水平布线链路中，水平电缆的最大长度为90m若使用100Q UTP双绞 线作为配线子系统的线缆，可根据信息点类型的不同采用不同类型的电缆。该方案选 择安普公司的超五类非屏蔽双绞线缆。干线子系统(Backbone)及其网络设计 干线子系统，负责连接管理子系统到设备间子系统的子系统。干线子系统可以使 用的线缆主要有：HAY三类大对数电缆；安普公司的超五类或六类双绞线； TCL室内单模或多模光纤。该方案选择安普公司的超六类双绞线缆。垂直干线子系统由连接主设备间至各楼层配线间之间的线缆

31、构成。 其功能主要是 把各分层配线架与主配线架相连。用主干电缆提供楼层之间通信的通道，使整个布线 系统组成一个有机的整体。垂直干线子系统 Topology 结构采用分层星型拓扑结构， 每个楼层配线间均需采用垂直主干线缆连接到大楼主设备间。垂直主干采用 25 对大 对数线缆时，每条 25 对大对数线缆对于某个楼层而言是不可再分的单位。垂直主干 线缆和水平系统线缆之间的连接需要通过楼层管理间的跳线来实现。设备间子系统(Equipment Room)及其网络设计设备间子系统，由电缆、连接器和相关支撑硬件组成。采用 BIX 跳接式配线架， 连接交换机；采用光纤终结架连接主机及网络设备。设备间的主要设备有数字程控交 换机、计算机网络设备、服务器、楼宇自控设