【正文】 文 2 系統(tǒng)規(guī)劃 校園網(wǎng)絡(luò)可分為校園網(wǎng)絡(luò)中心，教學(xué)子網(wǎng)，辦公子網(wǎng)，圖書館子網(wǎng)，宿舍區(qū)子網(wǎng)等。業(yè)務(wù)網(wǎng)和管理網(wǎng)需要分開，所以建成后校 園網(wǎng)能提供多個網(wǎng)段的劃分以及隔離，并能做到靈活改變配置，適應(yīng)教學(xué)環(huán)境的變化和調(diào)整。所以，合理劃分虛擬網(wǎng)絡(luò) (VLAN)十分關(guān)鍵。由于劃分 VLAN 必須參照網(wǎng)絡(luò)安全原則及網(wǎng)絡(luò)流量分析，因此， VLAN 的劃分不是事先就能完全確定的，必須按照“事先設(shè)計，運行調(diào)整”的思路進行。 VLAN 的設(shè)計是系統(tǒng)集成的重點之一。 方案特點 業(yè)界一流的骨干級交換機交叉背板交換，分布式二 /三 /四層處理，無阻塞交換架構(gòu)，保證全網(wǎng)全線速 10/100M 接入用戶桌面。 服務(wù)器可選擇接入 100BaseTX、 1000BaseSX、 1000Base－ T。 骨干交換機提供線速三層交換，接入層交換機線速二層交換保證全網(wǎng)無阻塞性能。 支持 1000M 上聯(lián)模塊，能夠根據(jù)業(yè)務(wù)流量的需要采用 TRUNK 功能。 支持高速端口聚合，具有鏈路冗余和負載均衡的能力。 高智能，支持二 /三 /四層線速交換，提供端到端的 QoS 的保證。 高安全， 基于用戶身份的認證。 網(wǎng)管簡單，可選的 Web、 CLI 管理。 網(wǎng)絡(luò)安全問題 以太網(wǎng)固有的一些特性導(dǎo)致了以太網(wǎng)接入的安全問題。 學(xué)校學(xué)生計算機水平高而且時間充裕，本身網(wǎng)絡(luò)就有很大 的安全隱患。 學(xué)校具備的 Inter、 Cer、校內(nèi)三種資源的選擇性對網(wǎng)絡(luò)安全管理提出了挑戰(zhàn)， 如何處理訪問的靈活性和安全性之間的平衡是每個學(xué)校網(wǎng)管需要考慮的問題。 西安交通大學(xué)繼續(xù)教育學(xué)院 畢業(yè)論文 3 第 2 章 組網(wǎng)技術(shù) 網(wǎng)絡(luò)組件 計算機網(wǎng)絡(luò)中存在許多不同類型的組件，這里簡單介紹最常見的網(wǎng)絡(luò)組件和每個組件的基本功能。 交換機 交換機 [3]是用來提高 LAN 性能的數(shù)據(jù)鏈路層設(shè)備。在許多網(wǎng)絡(luò)中，交換機己經(jīng)替代集線器來提高終端用戶的性能。 交換機是一種由許多高速端口組成的設(shè)備，連接 LAN 網(wǎng)段或連接基于端到端的獨立設(shè)備。 交換機有很多類型，每種交換機支持不同的速率和 LAN 類型，比如以太網(wǎng)、令牌環(huán)、 FDDI 和 ATM。交換機將整個介質(zhì)帶寬集中到一個端口上。 網(wǎng)橋 網(wǎng)橋用于分割數(shù)據(jù)流以提高網(wǎng)絡(luò)的整體性能。它也用來提供跨廣域的連接并且提供了一種最簡單的將局域網(wǎng)網(wǎng)段，連接成可維護、高可靠性的擴展網(wǎng)絡(luò)的方法。網(wǎng)橋工作在OSI 模型中數(shù)據(jù)鏈路層的 MAC 子層，網(wǎng)橋監(jiān)聽所有流經(jīng)它所連接的網(wǎng)段的數(shù)據(jù)，并檢查每個數(shù)據(jù)幀的目的網(wǎng)卡地址，以決定是否將該幀送往網(wǎng)絡(luò)的其他部分。網(wǎng)橋?qū)僮髑彝耆槐乜紤]幀的內(nèi)容，但網(wǎng)橋的操作既需要硬件也需要軟件 。 路由器 路由器工作在網(wǎng)絡(luò)層，通常比中繼器、網(wǎng)橋和交換機復(fù)雜，路由器是對分組 (包 )而不是對幀進行操作的。路由器連接具有相同通信架構(gòu)的網(wǎng)絡(luò)，但這些網(wǎng)絡(luò)的低層架構(gòu)可能不同，它是從物理上和邏輯上對網(wǎng)絡(luò)進行分割的，而且常?？梢杂脕硖娲W(wǎng)橋或交換機。 網(wǎng)關(guān) 網(wǎng)關(guān)又稱又稱為協(xié)議轉(zhuǎn)換器或網(wǎng)間連接器，它工作在 OSI 協(xié)議的傳輸層或更高層，是互聯(lián)網(wǎng)設(shè)備中最為復(fù)雜的設(shè)備，用于互聯(lián)不用體系結(jié)構(gòu)的網(wǎng)絡(luò)。 校園網(wǎng)技術(shù)新發(fā)展 校園網(wǎng)技術(shù)隨著時代的進步而不斷發(fā)展。虛擬局域網(wǎng) (VLAN)己經(jīng)發(fā)展成為交換式西安交通大學(xué)繼續(xù)教育學(xué)院 畢業(yè)論文 4 LAN方案的必不可少部分之一。用 LAN交換機取代部門路由器和介質(zhì)訪問設(shè)備 (如集線器 )的速度在不斷增大。隨著每個端口的以太網(wǎng)和令牌環(huán)網(wǎng)的交換機價格下降，越來越多的學(xué)校和組織傾向于給每個用戶分配一個單獨的交換端口，以便獲得更高的帶寬。 VLAN雖然解決了在二層交換機上劃分廣播域的問題，但虛擬局域網(wǎng)之間的通信仍需要借助速度較慢的傳統(tǒng)路由器。此時，三層交換技術(shù)融交換技術(shù)和路由技術(shù)為一體應(yīng)運而生，給人們帶來了高速交換解決方案，并使路由器退出局域網(wǎng)技術(shù)領(lǐng)域。 虛擬局域網(wǎng)技術(shù) 什么是 VLAN VLAN 技術(shù)目前 仍是未標準化的不開放的技術(shù)，各個廠商提供的 VLAN 解決方案有一定的差異。體現(xiàn)在 VLAN 的概念上也是各有不同見解。但是一個比較通用的能被大家接受的定義是認為 VLAN 等同于一個廣播域。具體而言， VLAN 可以看作是包含一組端站點的邏輯局域網(wǎng)，這些端站點可位于不同的物理網(wǎng)段中，但它們不受物理位置的限制而互相通信，就好像它們在同一個物理 LAN 中一樣 [4]。 實現(xiàn) VLAN 要解決的關(guān)鍵問題 （ 1）、 定義 VLAN 成員的問題，即劃分 VLAN 的方法。 （ 2）、 在多個交換機上劃分 VLAN 時各個交換機之間的交換 VLAN 成員身份 信息的問題。 （ 3）、 在多個 VLAN 之間通信的問題，即 VLAN 之間的路由問題。 劃分 VLAN 的方法 定義 VLAN 成員的方法多種多樣，主要有四種 ： 按交換機的端口劃分 VLAN，按 MAC層地址劃分 VLAN，按網(wǎng)絡(luò)層地址劃分 VLAN，按 IP 組播劃分 VLAN 等。 第三層交換技術(shù) 在過去的 20 多年中，交換技術(shù)和路由技術(shù)都得到了充分發(fā)展，交換技術(shù)的發(fā)展和對網(wǎng)絡(luò)技術(shù)的貢獻更是引人注目。到目前為止，已基本形成了 “以交換機為中心 ”的 LAN 連接方案。尤其這些年所建成的 Intra 更是離不了交換機和路由器。 交 換技術(shù)和路由技術(shù)的主要區(qū)別在于 ： 交換機所處理的是以太網(wǎng)幀中 MAC 地址部分，而路由器不僅可以識別 MAC 地址，還可以進一步分析包含網(wǎng)絡(luò)類型信息的協(xié)議首部。正因為這一關(guān)鍵性的區(qū)別，使得交換機和路由器在網(wǎng)絡(luò)設(shè)計中所擔任的角色也大不相同。 傳統(tǒng)的二層交換機主要區(qū)別使網(wǎng)絡(luò)通信雙方節(jié)點在通信時能夠獲得專有的連接，從而西安交通大學(xué)繼續(xù)教育學(xué)院 畢業(yè)論文 5 享有真正的全部帶寬，這對于共享式以太網(wǎng)而言無疑是一個大飛躍。二層交換機也可用于劃分子網(wǎng)。但是，基于二層交換機的所有子網(wǎng)在遇到數(shù)據(jù)包廣播時便顯得毫無意義。因為對于二層交換機來講，與其所有端口相連的節(jié)點，無論是單 一的工作站還是子網(wǎng)，都共享一個廣播域。當發(fā)送節(jié)點發(fā)送了一個廣播包后，該包就會擴散到所有與交換機端口相連的子網(wǎng)中，而不管該子網(wǎng)是一個 TCP/IP 子網(wǎng)還是一個 IPX 子網(wǎng)。顯然，將一個 TCP/IP 廣播包發(fā)送到 IPX 子網(wǎng)中是不合理的。這也會影響整個網(wǎng)絡(luò)的性能。二層交換機的這種廣播控制缺陷是由其對以太網(wǎng)幀的處理能力所決定的，因為二層交換機只能識別 MAC 地址，不能識別數(shù)據(jù)包中的網(wǎng)絡(luò)地址信息，因而它對于區(qū)分不同類型的子網(wǎng)是無能為力的。 在網(wǎng)絡(luò)設(shè)計中，路由器主要用來完成交換機所缺乏的有效子網(wǎng)劃分和廣播控制功能。在通過路由器 連接的兩個子網(wǎng)中，子網(wǎng)間的廣播包不會互相擴散。網(wǎng)間的正常通信可通過路由器的路由來實現(xiàn)。 虛擬局域網(wǎng) (VLAN)解決了在二層交換機上劃分廣播域的問題，可以替代路由器的限制廣播的功能。但 VLAN 之間的通信仍需借助路由器。由于傳統(tǒng)路由器的路由尋址功能是通過軟件實現(xiàn)，該軟件運行于有固定內(nèi)存的 CPU 之上，雖然 CPU 和存儲器的速度越來越快，但仍趕不上網(wǎng)絡(luò)流量增加的速度。隨著用戶對網(wǎng)絡(luò)性能、網(wǎng)絡(luò)延遲和網(wǎng)絡(luò)帶寬需求的不斷增加，尤其隨著 G 以太網(wǎng)和 Intra 及 Extra 的興起，傳統(tǒng)路由器的處理速度越來越成為提高網(wǎng)絡(luò) 性能的瓶頸。與路由器相比，由于二層交換機采用 ASIC[5]（ Application Specific Integrated Circuit）芯片來處理包轉(zhuǎn)發(fā)，因而其處理速度是非?？斓?。 交換技術(shù)和路由技術(shù)在當今的網(wǎng)絡(luò)設(shè)計中都是核心技術(shù)，但兩者各有優(yōu)缺點，而網(wǎng)絡(luò)需求又在不斷增長。在這種情況下，人們自然會考慮 ： 能不能將交換機的高速性能和路由器的控制功能結(jié)合起來。第三層交換技術(shù)便在這種想法的基礎(chǔ)上產(chǎn)生出來。 第三層交換技術(shù)實現(xiàn)要點 第三層交換是一個模型，它將第二層交換機和第三層路由器兩者的優(yōu)勢結(jié)合成一個靈活的 解決方案，可在各個層次提供線速 (Wire speed)性能的數(shù)據(jù)轉(zhuǎn)發(fā)。這種集成化的結(jié)構(gòu)還引進了策略 (Policy)管理屬性，它不僅使第二層與第三層相互關(guān)聯(lián)起來，而且還提供流量優(yōu)先權(quán)處理、安全性處理以及多種其他的靈活功能，如中繼、虛擬網(wǎng)和內(nèi)部企業(yè)網(wǎng)的動態(tài)部署。 第三層交換機的組成如圖 所示。 西安交通大學(xué)繼續(xù)教育學(xué)院 畢業(yè)論文 6 圖 第三層交換機的組成 圖 列出了第三層交換機的組成部分。接口層包含了所有重要的局域網(wǎng)接口 ：10/100M 以太網(wǎng)、 G 以太網(wǎng)、 FDDI 和 ATM。交換層集成了多種局域網(wǎng)接口并輔之以策略管理，同時還提供中繼、 VLAN 和標簽機制。路由層提供主要的 LAN 路由協(xié)議 ： IP、 IPX和 AppleTalk，并通過策略管理提供逐包式或直通式的第三層轉(zhuǎn)發(fā)技術(shù)。策略管理和行政管理使網(wǎng)絡(luò)管理員能根據(jù)企業(yè)上的特定需求調(diào)整網(wǎng)絡(luò)，從而給他們帶來配置和管理上的方便與靈活。 將一個傳統(tǒng)的路由模塊加入到交換機中并不是真正的第三層交換。這是因為，在這種情況下，流量控制、路由尋址等功能雖然也可以實現(xiàn)，但傳統(tǒng)路由的高延遲依然存在。所以，實現(xiàn)真正的第三層交換，關(guān)鍵在于要改變傳統(tǒng)路由器處理包轉(zhuǎn)發(fā)技術(shù)，也就是要實現(xiàn)線速路由。 線速路由就是要使路由速度 (轉(zhuǎn)發(fā) 路由分組的速度 )達到傳輸線上的數(shù)據(jù)傳輸速度，消除路由瓶頸。考慮 IP 網(wǎng)和 IPX 網(wǎng)，在網(wǎng)絡(luò)中主要有四種流量類型在進行傳輸 ： 第二層交換 (純交換幀 )； 第三層 IP 路由 (純 IP 路由分組 )： 第三層 IPX 路由 (純 IPX 路由分組 )以及同時進行的第二層交換與第三層 IP 路由 (交換幀和路由分組的混合流量類型 )。第二層 LAN交換機只可以實現(xiàn)純交換幀的線速轉(zhuǎn)發(fā)，第三層交換機的優(yōu)勢在于可以實現(xiàn)剩下三種流量類型的線速轉(zhuǎn)發(fā) (當然它也可以實現(xiàn)純交換幀的線速轉(zhuǎn)發(fā) )。傳統(tǒng)路由器雖然可以轉(zhuǎn)發(fā)各種路由分組，但其延遲較高，轉(zhuǎn)發(fā)速度達不到線速。 三層 交換機的通信過程 三層交換機的通信過程如圖 所示。 圖 三層交換機通信過程 西安交通大學(xué)繼續(xù)教育學(xué)院 畢業(yè)論文 7 如圖 ，假設(shè) A 和 B 以前通信過，中間的交換機如支持第三層交換的話，它便會把A 和 B 的 IP 地址及它們的 MAC 地址記錄下來。當其他站點如 C 要與 A 和 B 通信時， C發(fā)出 ARP 尋址包，詢問 A 或 B 的 IP 地址對應(yīng)的 MAC 地址是什么，針對 C 發(fā)出的尋址包，第三層交換機會不假思索的送一個回復(fù)包給 C，告訴它 A 或 B 的 MAC 地址，以后 C當然就會用 A 或 B 的 MAC 地址 “直接 ”與其通信。 因為通信的雙方完全沒有通過路由器這樣的第三者，所以哪怕 A、 B 或 C 屬于不同的子網(wǎng)，它們之間均可直接知道對方的 MAC 地址。更重要的是，第三層交換機并沒有像普通二層交換機那樣把廣播包擴散到與之相連的所有端口，由于第三層交換機能看懂第三層信息 (如 IP 地址、 ARP 尋址包等 )，因此第三層交換機便能洞悉 ARP 廣播包的目的地址，而在尚未把它擴散出去的情形下，滿足了發(fā)出廣播包的機器的需要，而不必在乎它們在任何子網(wǎng)里。 西安培華學(xué)院本科畢業(yè)論文（設(shè)計） 大學(xué)校園網(wǎng)網(wǎng)絡(luò)組建及 Inter 接入方案 8 第 3 章 需求分析 組網(wǎng)背景 二十一世紀是信息化時代，辦公自動化、網(wǎng)絡(luò)化、信息化已成為一種必備條件。作為基礎(chǔ)教學(xué)與科研基地的學(xué)校自然會走在所有行業(yè)的最前列，全國 各大、中、小學(xué)校都在積極建設(shè)和完善校園計算機網(wǎng)絡(luò)。校園網(wǎng)已成為各學(xué)校必備的重要信息基礎(chǔ)設(shè)施，其規(guī)模和應(yīng)用水平己成為衡量學(xué)校教學(xué)與科研綜合實力的一個重要標志。 網(wǎng)絡(luò)工程建設(shè)規(guī)劃 為了適應(yīng)全國和省市州教育科研計算機網(wǎng)絡(luò)的發(fā)展，加強校內(nèi)外信息的交流，滿足校區(qū)廣大師生的需求，充分利用網(wǎng)絡(luò)資源為全校教學(xué)、科研和管理服務(wù)，校區(qū)網(wǎng)絡(luò)中心擬提出如下建設(shè)計劃 ： （ 1）整個校區(qū)網(wǎng)絡(luò)結(jié)構(gòu)以網(wǎng)絡(luò)中心為核心，構(gòu)成星型結(jié)構(gòu) ； （ 2）主干采用千兆路由技術(shù)，所有節(jié)點交換 100Mbps 到桌面 ； （ 3）考慮師生并發(fā)上網(wǎng)的問題，配置功能強大的代理服務(wù)系統(tǒng) ； （ 4）配置功能齊全、方便實用的網(wǎng)絡(luò)管理平臺。 校園網(wǎng)技術(shù)新發(fā)展 為了便于網(wǎng)絡(luò)管理和網(wǎng)絡(luò)擴展，節(jié)省用戶投資，在充分考慮建設(shè)原則、滿足應(yīng)用需要和適應(yīng)網(wǎng)絡(luò)技術(shù)發(fā)展趨勢等方面后，所以選擇了 Gigabit Ether，原因如下 ： 以低廉的價格提供高帶寬。千兆以太網(wǎng)提供 10 倍與快速以太網(wǎng)的性能，而價格遠遠低于其 10 倍。 良好的兼容性和管理的簡單性。 能保證服務(wù)質(zhì)量。目前公認，合理組織的千兆以太網(wǎng)不需要考慮 QoS 管理。 支持千兆以太網(wǎng)多 層交換的交換機。 綜上所述，本方案主要選擇千兆以太網(wǎng)技術(shù)來構(gòu)建用戶的需求，對二層節(jié)點和桌面微機的接入也采用快速以太網(wǎng)，建立一個基于多層、全交換的虛擬園區(qū)網(wǎng)絡(luò)。采用 1000M主干，光纖到各主要信息點， 100M 交換到桌面，逐步形成以網(wǎng)絡(luò)中心大樓為中心、輻射其它樓宇