校园网1.docx

1、校园网1北京科技大学校园网组建方案立足学校实际，建设高效、实用的校园网前 言 当今，网络一词已深得人心，从老人到小孩，特别是在校的学生，都成为网络的用户。的确，网络带给我们以前所不能享受的快捷，她如浩瀚的信息海洋，任我们在它的怀中畅游穿梭。她已经改变了或正在改变着我们的生活方式、学习方式校园网是各种类型网络中一大分支，有着非常广泛的应用。作为新技术的发祥地，学校、尤其是高等学校，和网络的关系十分密切，网络最初是在校园里进行实验并获得成功的，许多网络新技术也是首先在校园网中获得成功，进而才推向社会的。另一方面，作为“高新技术孵化器”的学校，知识、人才的资源十分丰富，比其他行业更渴求信息、希望能有

2、渠道获得各种各样的信息来促进自身在研究、学术上的进步。本文从用户的需求分析入手，阐述了校园网的应用特点、功能、校园网的组建，以及网络设备的选择与介绍。摘 要: 随着计算机信息技术的迅速发展和广泛应用，原有的大学局域网信息技术已远远满足不了发展现状。根据学校实际需求连接所有教学楼、图书馆、教师办公楼和学生宿舍中的计算机。提供丰富的网络服务，实现广泛的软件、硬件资源共享。校园网络的规划包括：可靠性设计；安全性设计；动态路由协议；虚拟子网的划分和IP地址的分配；及网管工作站的规划。对校园网进行IP地址分配及VLAN规划，在校园网中用Cisco Catalyst 6500和Cisco Catalyst

3、 2950交换机配置VLAN。在校园网中进行合理的IP地址分配和VLAN规划，可充分利用IP地址，并且可以简化校园网的管理及提高网络的安全性。并使用Cisco Secure PIX防火墙，它能够提供空前的安全保护能力。关键词：校园网 Internet 建设 管理 设置目 录第一章 用户需求分析1.1 校园网的功能1.2 校园网对主机系统的要求1.3 校园网络系统设计方案应满足的要求1.4 校园网对网络设备的要求1.5 系统集成所共同遵循的设计原则1.6 系统集成所共同追求的设计目标第二章 网络设计方案2.1 校园网拓扑结构的总体描述2.2 校园网采用的协议标准2.3 校园网采用的网络操作系统第

4、三章 网络设备3.1 核心交换机的选择与介绍3.2 接入交换机的选择与介绍3.3 路由器的选择与介绍3.4 防火墙的选择与介绍第四章 网络的规划4.1 可靠性设计4.2 安全性设计4.3 动态路由协议4.4 虚拟子网的划分4.5 IP地址的分配4.6 网管工作站的规划第五章 网络业务5.1 校园网管理信息系统5.2 校园网计算机教学系统5.3 校园网站第六章 方案设计的特点及优势6.1 高性能产品及优秀的网管软件6.2 网络安全性6.3 高性价比、高扩展性6.4 技术标准化、技术先进成熟6.5 未来的考虑致谢 参考文献 第一章 用户需求分析1.1 校园网功能（1）连接所有教学楼、图书馆、教师办

5、公楼和学生宿舍中的计算机。（2）提供丰富的网络服务，实现广泛的软件、硬件资源共享，如网上冲浪、电子邮件、文件传输、远程登录、存储数据及论坛讨论等。1.2 校园网对主机系统的要求（1）主机系统应采用国际上较新的主流技术，并具有良好的向后扩展能力。（2）主机系统应具有高的可靠性，能长时间连续工作，并有容错措施。（3）支持通用大型数据库，如：SQL、Oracle等。（4）具有广泛的软件支持，软件兼容性好，并支持多种传输协议。（5）能与Internet互联，可提供互联网的应用，如：WWW浏览服务、FTP文件传输服务、E-mail电子邮件服务等服务。（6）支持SNMP网络管理协议，具有良好的可管理性和可

6、维护性。1.3 校园网络系统设计方案应满足的要求（1）网络方案应采用成熟的技术，并尽可能采用先进的技术。（2）采用国际统一标准，以拥有广泛的支持厂商，最大限度的采用同一厂家的产品。（3）方案应合理分配带宽，使用户不受失望“塞车”的影响。（4）应充分考虑未来可能的应用，如：桌面将承受大型应用软件和多媒体传输需求的压力。（5）该网络方案要具有高扩展性。能为用户未来数目的扩展具有调整、扩充的手段和方法。（6）该网络应是面向连接的，能够实现虚拟网络（VLAN）连接。（7）考虑对用户现有网络的平滑过渡，使学校现有陈旧设备尽量保持较好的利用价值。1.4 校园网对网络设备的要求（1）高性能：所有网络设备都应

7、有足够的吞吐量。（2）高可靠性和高可用性：应考虑多种容错技术。（3）可管理性：所有网络设备均可用适当的网管软件进行监控、管理和设置。（4）采用国际统一的标准。1.5 系统集成所共同遵循的设计原则（1）本着实用的原则，尽量使用成熟先进的平台软件，以缩短教学课件的开发周期。（2）采用分布式的结构，以便于开发和维护。（3）采用集群解决方案，以保证连续工作。（4）为保证网络速度而采用高的带宽。（5）追求最高的性能价格比。1.6 系统集成所共同追求的设计目标（1）建成一个具有高可靠性和开放性的校园网络，它应支持流行的SNMP等网络管理协议。（2）采用Internet上的标准协议TCP/IP协议，提供校园

8、内部及面向全球的WWW服务、FTP服务、NEWS服务、E-mail电子邮件服务，实现与国际互联网的完全接轨。（3）同时它还应具有支持通用大型数据库的功能，支持多种协议，具有良好的软件支持。（4）采用模块化结构设计，容易升级。（5）最后，应针对学校的教学特点，具有一些基本教学功能，以完成学校的基本教学任务。第二章网络设计方案2.1 校园网拓扑结构的总体描述北京科技大学局域网建设始于1999年，2000年完成整个工程建设，至今系统已经运行近4年时间。大学网络应用主要是集中式管理，WEB服务器、文件服务器、打印服务器主要集中于中心机房，各子网分别通过各自网关访问中心机房的服务器群，通过中心路由器与外

9、界连接。近年来，随着计算机信息技术的迅速发展和广泛应用，原有的大学局域网信息技术已远远满足不了发展现状。 图2.1本校园网的旧拓扑结构图根据学校现有旧网的实际情况，网络结构为星形拓扑，采用一台Inter 550T交换机作为中心交换机，配置有2个多模光纤接口，4个10/100M全双工以太网端口，接入的子网有系办公室、学生宿舍、教工楼、档案室和科学大楼，接入层都由Hub上联致中心交换机，由Cisco 2600连致互联网。由于近年来，随着计算机信息技术的迅速发展和广泛应用，原有的校园局域网信息技术已远远满足不了发展现状，在现有网络架构中，网络核心层设备的端口及模块性质受到限制，导致接入层的接入性能下

10、降，同时服务器群无法直接上联骨干层，当应用频繁时，造成对中心交换机及中心子网的巨大网络压力。图2.2本校园网的新拓扑结构图根据学校实际需求，网络为星形拓扑结构，并分为核心层和接入层，中心机房计算机控制中心，并采用两台Cisco Catalyst 6500作为核心交换机，并进行线路捆绑，也就是它将多个快速以太口或者多个千兆以太口捆绑在一起，当作一条通道来使用，这条通道的带宽是所捆绑的以太口的带宽的总和。这种技术通常用在主干网中，既有效地提高了主干的带宽，最高可达到32Gbps，还提供了链路的冗余，同时又增强了主干网段的连接性，还增加了更多的1000M交换端口，为以后增加更多的服务设备提供了良好的

11、扩充性。通过1000M光纤线路上联致核心交换机Cisco Catalyst 6500，并通过10/100M自适应接口接入各教学楼内终端计算机，保证了网络的整体速度和安全性。在新建的教学大楼同样采用了可堆叠千兆接口交换机Cisco 2950-24与学校计算机控制中心的核心交换机Cisco Catalyst 6500相连接，保证了大流量的访问，而避免造成网络的拥塞，控制中心内的服务器群如： 文件服务器、文件服务器、数据库服务器等设备直接与1000M核心交换机上的100M以太网模块接口相连接。在互联网方面通过DDN线路与Internet连接。出口采用Cisco 3600路由器与外网相连，在路由内部采

12、用Cisco Secire pix 525防火墙，这样保证了网络的安全性，也能很好的阻止互联网的服务攻击。2.2 校园网采用的协议标准本校园网以TCP/IP为主要协议，因为TCP/IP协议是目前众多计算机网络最流行的协议，可保证与ChinaNET和Internet保持一致，还支持IPX协议，真正实现于国际互联网的无缝连接。2.3 校园网采用的网络操作系统本校园网的网络操作系统以Microsoft Windows NT Server 4.0为主，它是集成Web应用而发展速度最快的网络操作系统。具有界面友好、稳定可靠等优点，并支持大量的基于NT的服务器端软件，是Internet网络中最佳的网络操作

13、系统平台。第三章 网络设备3.1 核心交换机的选择与介绍 - Cisco Catalyst 6500 交换机由于中心服务器的访问及数据流量对主干带宽要求很高，所以我们采用Cisco Catalyst 6500千兆模块把百兆交换机组通过光纤相连到Cisco Catalyst 6500千兆交换机上，通过千兆交换机实现和WEB服务器千兆带宽的主干连接。并且我们将用2台千兆交换机通过4GB高速通道来实现千兆交换机冗余连接，使网络主干拥有很高的带宽。设备介绍如下：由Cisco Catalyst 6500家族为企业网络和服务供应商网络提供了一系列高性能多层交换解决方案。Catalyst 6500家族是专为

14、满足对千兆位密度、数据和语音集成、LAN/WAN/MAN集中、可扩展性、高可用性、以及主干/分布、服务器整合和服务供应商环境中智能多层交换的不断增长的需求而设计的，是Catalyst 4000和5000系列以及思科8500系列交换机的补充和完善，这些产品将继续提供相应的主要配线柜和ATM网络核心解决方案。这些Cisco家族产品共同提供了广泛的智能交换解决方案，使公司内部网和Internet能够支持多媒体、关键任务数据和语音应用。 Catalyst 6500家族提供了出色的可扩展性和性能/价格比，能够支持广泛的接口密度、性能以及高可用性选项。3.2 接入交换机的选择与介绍 - Cisco Cat

15、alyst 2950 交换机在接入层我们采用百兆交换机，因为10兆虽然在目前校园网使用中刚刚能达到要求，但是已经不适应功能越来越强的计算机与新的应用软件的发展，更不适应更快的计算机通讯产品的要求。因此我们将采用Cisco Catalyst 2950交换机作为校园网工作组级接入交换机。并且我们通过VLAN技术，使每个教室或每个年级之间的互访得到有效的管理和控制，提高网络的安全性。设备介绍如下： Cisco Catalyst 2950系列智能以太网交换机是一个固定配置、可堆叠的独立设备系列，提供了线速快速以太网和千兆位以太网连接。这是一款最廉价的Cisco交换产品系列，为中型网络和城域接入应用提供

16、了智能服务。作为思科最为廉价的交换产品系列，Cisco Catalyst 2950系列在网络或城域接入边缘实现了智能服务。主要的中型企业优势在多种介质上提供了升级到千兆位以太网的强大路径 凭借内置Cisco集群管理套件可出色地管理并轻松地配置第2-4层服务 与Cisco Catalyst 3550系列集中汇聚交换机相结合，用于IP路由至网络核心 主要的城域接入优势通过生成树协议改进和访问控制参数（ACP）来提供服务可用性和安全性 通过Cisco IE 2100系列智能引擎支持和简单网络管理协议（SNMP）来实现服务管理。3.3 路由器的选择与介绍 - Cisco 3600 路由器首先考虑到In

17、ternet和其他网络的连接，如ChinaNET等，我们建议出口路由器采用Cisco 3600型号路由器。它是学校的校园网对外的出口，也可以作为保护校园网的第一道防火墙，但根据客户商务和局域网配置的具体不同情况，也应该采取适当的步骤来确保来自Internet的局域安全。这至少要包括配置通过协议过滤器的访问控制目录。设备介绍如下：Cisco 3600系列是一个适合大中型企业Internet服务供应商的模块化、多功能访问平台家族。Cisco 3600系列拥有70多个模块化接口选项，提供语音/数据集成、虚拟专网（VPN）、拨号访问和多协议数据路由解决方案。通过利用Cisco的语音/传真网络模块，Ci

18、sco 3600系列允许客户在单个网络上合并语音、传真和数据流量。高性能的模块化体系结构保护了客户的网络技术投资，并将多个设备的功能集成到一个可管理的解决方案之中。关键特性在一个平台中结合了拨号访问、先进的局域网到局域网路由服务、ATM连接以及语音、视频和数据的多服务集成。 模块化、可伸缩的设计提供性能、可伸缩性、灵活性和投资保护。高密度ISDN PRI功能。 预配置的BRI和PRI调制解调器捆绑。支持Modem-over-BRI功能性。 完全支持VPN。3.4 防火墙的选择与介绍 - Cisco Secure PIX 525防火墙随着Internet的迅速发展，如何保证信息和网络的自身安全性

19、问题，尤其是在开发互联环境中进行商务等机密信息的交换中，如何保证信息存取不被窃取篡改，已成为企业非常关注的问题。作为开放安全企业互联盟的组织和倡导者之一，CISCO公司在企业级安全性产品开发方面占有世界市场的主导地位，其FIREWALL-1防火墙产品在市场占有率上已超过44%，世界上许多著名的大公局都已成为企业互联盟的成员或分销其产品。Cisco Secure PIX 525防火墙是世界领先的Cisco Secure PIX防火墙系列的组成部分，能够为当今的网络客户提供无与伦比的安全性、可靠性和性能。它所提供的完全防火墙保护以及IP安全（IPsec）虚拟专网（VPN）能力使特别适合于保护企业总

20、部的边界设备介绍如下：强壮的安全特性Internet的发展为企业、政府和专用网络带来了更大的安全风险。现有的解决方案如运行在应用层的基于代理的防火墙具有很多限制条件，包括性能低、需要昂贵的通用平台、使用开放系统如UNIX时本身具有安全风险等。 而Cisco Secure PIX防火墙能够提供空前的安全保护能力，它的保护机制的核心是能够提供面向静态连接防火墙功能的自适应安全算法（ASA）。静态安全性虽然比较简单，但与包过滤相比，功能却更加强劲；另外，与应用层代理防火墙相比，其性能更高，扩展性更强。ASA可以跟踪源和目的地址、传输控制协议（TCP）序列号、端口号和每个数据包的附加TCP标志。只有存

21、在已确定连接关系的正确的连接时，访问才被允许通过Cisco Secure PIX防火墙。这样做，内部和外部的授权用户就可以透明地访问企业资源，而同时保护了内部网络不会受到非授权访问的侵袭。另外，实时嵌入式系统还能进一步提高Cisco Secure PIX防火墙系列的安全性。虽然UNIX服务器是广泛采用公开源代码的理想开放开发平台，但通用的操作系统并不能提供最佳的性能和安全性。而专用的Cisco Secure PIX防火墙是为了实现安全、高性能的保护而专门设计。主要特性和优点Cisco端到端解决方案的组成部分 - 允许各公司将经济高效、无缝的网络基础设施扩展到分支机构。 最低的拥有成本 - 安装

22、、配置简单，网络中断时间更少。另外，允许透明地支持Internet多媒体应用，不再需要实际调整和重新配置每一台客户工作站或PC机。 非UNIX的安全、实时和嵌入式系统 - 消除了通用操作系统所带来的风险，提供了突出的性能。 基于标准的虚拟专网 - 使管理员可以降低通过Internet或其它公共IP网络将移动用户和远程站点与校园网络相连的成本。 静态故障切换/热备用 - 提供高可用性，使网络可靠性最大。 网络地址转换（NAT）- 节省宝贵的IP地址；扩展网络地址空间；隐藏IP地址，使之不被外部得到。 截断通过代理 - 提供业界最高的认证性能；通过重新使用现有认证数据库降低拥有成本。 多种网络接口

23、卡 - 为Web和所有其它的公共访问服务器、与不同合作伙伴的多种外部网链路、得到保护的记录和URL过滤服务器提供强大的安全性。 支持多达28万个同时连接 - 部署很少的防火墙就能极大地提高代理服务器的性能。 防止拒绝服务攻击 - 保护防火墙及其后面的服务器和客户机不受破坏性的黑客攻击。 支持各种应用 - 全面降低防火墙对网络用户的影响。 Java Applet过滤 - 使防火墙可以在每个客户机或每个IP地址上终止具有潜在危险的Java应用。 支持多媒体应用 - 降低了支持这些协议所需要的管理时间和成本。无需特殊的客户机配置。 URL过滤 - 当与Websense企业软件配合使用时，可以提供控制

24、哪些Web站点的用户可以出于计费的目的来访问和维护审计跟踪数据的能力。对PIX防火墙性能的影响最小。 邮件保护 - 不再需要外部邮件在外围网络中转发，也防止了外部邮件转发过程中的拒绝服务攻击。第四章 网络的规划4.1 可靠性设计 1 在网络可靠性设计中，核心层设备之间采用1000兆光纤连接，采用链路聚合技术，允许每条冗余连接链路实现负载分担，设置热备份路由协议（HSRP）来保证核心交换机冗余，在网络出现问题时，能迅速启用备用路径。 2 采用Cisco VLANPriority技术实现多链路之间的负载均衡，针对不同出口链路，将局域网内多个VLAN分别设置不同优先级实现出口流量的负载均衡。 3 使

25、用带有冗余电源Cisco交换机作为核心层和分布层的设备，在电源失灵的情况下，提供电源的冗余。 4 服务器冗余：采用全冗余的服务器方式和服务器的硬盘进行镜像相结合，数据在两个或多个服务器上进行复制和自己硬盘进行复制相结合。 4.2 安全性设计 在网络安全中，主要考虑内网与外网的连接，采用Cisco Secure PIX525防火墙和Cisco 3600路由器。作为全网安全核心的Cisco Secure PIX 525防火墙不但具有防火墙功能而且还具有IP安全IPsec虚拟专用网VPN能力，可以在两个PIX、一个PIX和任意Cisco VPN路由器、一个PIX和Cisco安全VPN客户机之间创建和

26、端接VPN隧道。服务器对外部访问者只提供有限的访问，它有外部访问的重要的数据（比如网页），不过这些数据在坚固的保护之下，外部访问者只能访问这些服务，提供的服务包括：匿名FTP服务，WEB服务，DNS，TELNET，终端访问控制器访问控制系统。4.3 动态路由协议本方案设计选用CISCO三层交换设备，建议采用OSPF的等值路由平衡技术来保障汇聚层与核心层设备之间数据的可靠传送,为两层之间数据流量提供合理、安全的负载均衡机制，以提高网络性能。4.4 虚拟子网的划分根据校园地理位置、管理要求我们采用划分虚拟子网（VLAN），保证校园网络的安全性，VLAN之间的访问必须通过三层功能来实现。CISCO交

27、换机支持VLAN的多种划分，目前VLAN划分主要方式有基于端口的VLAN划分、基于MAC地址的VLAN划分、基于网络层的VLAN划分等方式以及这三种方式的混合使用。方式一是根据用户接入的交换机端口来划分其所属的VLAN，这种方式的优点是配置简单方便，担用户移动时需更换其接入端口，管理员需对交换机进行重新配置；第二种方式是根据计算机的MAC地址来划分，其特点是不必重新对交换机进行配置，但需在交换机上创建并维护一个较大的用户MAC地址列表；第三种方式通常利用IP子网以及IP地址来划分VLAN，其优点是配置简单，但安全性较差。本方案设备从核心层交换机Cisco Catalyst 6500、接入层交换

28、机Cisco Catalyst 2950-24，到接入层交换机设备都支持IEEE 802.1Q标准，保证了该项技术的顺利实施。这样，通过在接入层交换机为用户配置不同的VLAN，进行端口隔离，所有的用户端口只能通过接入层交换机或核心交换机来实现互连。在核心层交换机通过访问控制列表进行相应的控制，使得用户的访问得到完全的控制。4.5 IP地址的分配IP地址的合理分配是保证网络顺利运行和网络资源有效利用的关键。对于校园网络IP地址的分配，我们将尽可能地利用地址空间，充分考虑到地址空间的合理使用，保证实现最佳的网络地址均匀分配。IP地址空间的分配与合理使用与网络拓扑结构有非常密切的关系，将对网络的可用

29、性、可靠性与有效性产生显著影响。IP地址规划遵循以下原则：（1）IP地址的分配需要有足够的灵活性，能够满足各种用户的需要；（2）IP地址的分配采用VLSM技术，保证IP地址的利用效率；（3）采用CIDR技术，这样可以减小路由表的大小，加快路由器路由的收敛速度，也可以减小网络中广播的路由信息的大小；随着校园网规模的不断扩大，用户不断增加，为了有效地提高网络管理的灵活性，提高网络效率和网络安全性，充分合理地IP地址分配和VLAN的规划，是行之有效的。如图2.2所示，网络根据地理区域分为6个部分：教学大楼档案室学生宿舍楼图书馆系办公室教工机房。每一个部分建设一个网络中心，六个中心之间采用GE骨干互联

30、。网络设计充分利用了堆叠技术，简化了网络结构。我校园网主要是以两台Cisco Catalyst 6500作为核心路由交换机。其它的网络部分采用堆叠组网的方式，主要是由几台Cisco Catalyst 2950-24交换机组成堆叠组。校园网的IP分配是：首先，根据北京科技大学网络拓扑图，测出每栋楼的节点数；再根据每栋楼的节点数，而且计算机的用户的多少对其进行IP分配。如校园网在学生宿舍区可以使用动态IP地址分配，首先是给每个学生宿舍楼分配一个C类的IP地址范围；然后可以基于 Cisco Catalyst 6500或通过一个单独的服务器设置为动态分配IP地址，这样只要将学生用户电脑的网络属性中设置

31、成自动获得IP地址，并让DNS服务器设为禁用，网关栏保持为空，如此用户就可以等到一个Cisco Catalyst 6500或服务器分配的IP地址。校园网的VLAN规划主要是根据西南林学院的网络拓扑图，首先基于核心路由交换机Cisco Catalyst 6500上根据每分配一个C类的IP地址划分为一个VLAN；然后再基于Cisco Catalyst 2950-24交换机根据网络管理的要求和网络的安全需要进行VLAN划分。如为了使有些部门之间在网络中不能进行访问，确保本部门的信息不会被本部门以外的人窃听，而把各个部门划分为各个单独的VLAN，从而提高各个部门的网络安全性。学校的校园网注册的互联网IP地址是C类IP地址，注册的IP地址为202.203.132.0202.203.135.255，218.194.112.0218.194.127.255共20类。由于每个路由器、交换机、服务器都要使用IP地址，所以把每个网段前15个IP地址留给它们使用。因此，在进行IP地址分配的时候，要注意每个分配的C类IP地址的前15个地址一般不分配给用户。如下几个表是关于我校校园网的IP地址分配与VLAN规划的详细情况。教学区IP地址分配与VLAN划分情况表（包括系办公室）部门/楼宇节点数IP地址范围VLAN号