【正文】 文 2 系統(tǒng)規(guī)劃 校園網(wǎng)絡(luò)可分為校園網(wǎng)絡(luò)中心，教學(xué)子網(wǎng)，辦公子網(wǎng)，圖書(shū)館子網(wǎng)，宿舍區(qū)子網(wǎng)等。業(yè)務(wù)網(wǎng)和管理網(wǎng)需要分開(kāi)，所以建成后校 園網(wǎng)能提供多個(gè)網(wǎng)段的劃分以及隔離，并能做到靈活改變配置，適應(yīng)教學(xué)環(huán)境的變化和調(diào)整。所以，合理劃分虛擬網(wǎng)絡(luò) (VLAN)十分關(guān)鍵。由于劃分 VLAN 必須參照網(wǎng)絡(luò)安全原則及網(wǎng)絡(luò)流量分析，因此， VLAN 的劃分不是事先就能完全確定的，必須按照“事先設(shè)計(jì)，運(yùn)行調(diào)整”的思路進(jìn)行。 VLAN 的設(shè)計(jì)是系統(tǒng)集成的重點(diǎn)之一。 方案特點(diǎn) 業(yè)界一流的骨干級(jí)交換機(jī)交叉背板交換，分布式二 /三 /四層處理，無(wú)阻塞交換架構(gòu)，保證全網(wǎng)全線速 10/100M 接入用戶(hù)桌面。 服務(wù)器可選擇接入 100BaseTX、 1000BaseSX、 1000Base－ T。 骨干交換機(jī)提供線速三層交換，接入層交換機(jī)線速二層交換保證全網(wǎng)無(wú)阻塞性能。 支持 1000M 上聯(lián)模塊，能夠根據(jù)業(yè)務(wù)流量的需要采用 TRUNK 功能。 支持高速端口聚合，具有鏈路冗余和負(fù)載均衡的能力。 高智能，支持二 /三 /四層線速交換，提供端到端的 QoS 的保證。 高安全， 基于用戶(hù)身份的認(rèn)證。 網(wǎng)管簡(jiǎn)單，可選的 Web、 CLI 管理。 網(wǎng)絡(luò)安全問(wèn)題 以太網(wǎng)固有的一些特性導(dǎo)致了以太網(wǎng)接入的安全問(wèn)題。 學(xué)校學(xué)生計(jì)算機(jī)水平高而且時(shí)間充裕，本身網(wǎng)絡(luò)就有很大 的安全隱患。 學(xué)校具備的 Inter、 Cer、校內(nèi)三種資源的選擇性對(duì)網(wǎng)絡(luò)安全管理提出了挑戰(zhàn)， 如何處理訪問(wèn)的靈活性和安全性之間的平衡是每個(gè)學(xué)校網(wǎng)管需要考慮的問(wèn)題。 西安交通大學(xué)繼續(xù)教育學(xué)院 畢業(yè)論文 3 第 2 章 組網(wǎng)技術(shù) 網(wǎng)絡(luò)組件 計(jì)算機(jī)網(wǎng)絡(luò)中存在許多不同類(lèi)型的組件，這里簡(jiǎn)單介紹最常見(jiàn)的網(wǎng)絡(luò)組件和每個(gè)組件的基本功能。 交換機(jī) 交換機(jī) [3]是用來(lái)提高 LAN 性能的數(shù)據(jù)鏈路層設(shè)備。在許多網(wǎng)絡(luò)中，交換機(jī)己經(jīng)替代集線器來(lái)提高終端用戶(hù)的性能。 交換機(jī)是一種由許多高速端口組成的設(shè)備，連接 LAN 網(wǎng)段或連接基于端到端的獨(dú)立設(shè)備。 交換機(jī)有很多類(lèi)型，每種交換機(jī)支持不同的速率和 LAN 類(lèi)型，比如以太網(wǎng)、令牌環(huán)、 FDDI 和 ATM。交換機(jī)將整個(gè)介質(zhì)帶寬集中到一個(gè)端口上。 網(wǎng)橋 網(wǎng)橋用于分割數(shù)據(jù)流以提高網(wǎng)絡(luò)的整體性能。它也用來(lái)提供跨廣域的連接并且提供了一種最簡(jiǎn)單的將局域網(wǎng)網(wǎng)段，連接成可維護(hù)、高可靠性的擴(kuò)展網(wǎng)絡(luò)的方法。網(wǎng)橋工作在OSI 模型中數(shù)據(jù)鏈路層的 MAC 子層，網(wǎng)橋監(jiān)聽(tīng)所有流經(jīng)它所連接的網(wǎng)段的數(shù)據(jù)，并檢查每個(gè)數(shù)據(jù)幀的目的網(wǎng)卡地址，以決定是否將該幀送往網(wǎng)絡(luò)的其他部分。網(wǎng)橋?qū)僮髑彝耆槐乜紤]幀的內(nèi)容，但網(wǎng)橋的操作既需要硬件也需要軟件 。 路由器 路由器工作在網(wǎng)絡(luò)層，通常比中繼器、網(wǎng)橋和交換機(jī)復(fù)雜，路由器是對(duì)分組 (包 )而不是對(duì)幀進(jìn)行操作的。路由器連接具有相同通信架構(gòu)的網(wǎng)絡(luò)，但這些網(wǎng)絡(luò)的低層架構(gòu)可能不同，它是從物理上和邏輯上對(duì)網(wǎng)絡(luò)進(jìn)行分割的，而且常?？梢杂脕?lái)替代網(wǎng)橋或交換機(jī)。 網(wǎng)關(guān) 網(wǎng)關(guān)又稱(chēng)又稱(chēng)為協(xié)議轉(zhuǎn)換器或網(wǎng)間連接器，它工作在 OSI 協(xié)議的傳輸層或更高層，是互聯(lián)網(wǎng)設(shè)備中最為復(fù)雜的設(shè)備，用于互聯(lián)不用體系結(jié)構(gòu)的網(wǎng)絡(luò)。 校園網(wǎng)技術(shù)新發(fā)展 校園網(wǎng)技術(shù)隨著時(shí)代的進(jìn)步而不斷發(fā)展。虛擬局域網(wǎng) (VLAN)己經(jīng)發(fā)展成為交換式西安交通大學(xué)繼續(xù)教育學(xué)院 畢業(yè)論文 4 LAN方案的必不可少部分之一。用 LAN交換機(jī)取代部門(mén)路由器和介質(zhì)訪問(wèn)設(shè)備 (如集線器 )的速度在不斷增大。隨著每個(gè)端口的以太網(wǎng)和令牌環(huán)網(wǎng)的交換機(jī)價(jià)格下降，越來(lái)越多的學(xué)校和組織傾向于給每個(gè)用戶(hù)分配一個(gè)單獨(dú)的交換端口，以便獲得更高的帶寬。 VLAN雖然解決了在二層交換機(jī)上劃分廣播域的問(wèn)題，但虛擬局域網(wǎng)之間的通信仍需要借助速度較慢的傳統(tǒng)路由器。此時(shí)，三層交換技術(shù)融交換技術(shù)和路由技術(shù)為一體應(yīng)運(yùn)而生，給人們帶來(lái)了高速交換解決方案，并使路由器退出局域網(wǎng)技術(shù)領(lǐng)域。 虛擬局域網(wǎng)技術(shù) 什么是 VLAN VLAN 技術(shù)目前 仍是未標(biāo)準(zhǔn)化的不開(kāi)放的技術(shù)，各個(gè)廠商提供的 VLAN 解決方案有一定的差異。體現(xiàn)在 VLAN 的概念上也是各有不同見(jiàn)解。但是一個(gè)比較通用的能被大家接受的定義是認(rèn)為 VLAN 等同于一個(gè)廣播域。具體而言， VLAN 可以看作是包含一組端站點(diǎn)的邏輯局域網(wǎng)，這些端站點(diǎn)可位于不同的物理網(wǎng)段中，但它們不受物理位置的限制而互相通信，就好像它們?cè)谕粋€(gè)物理 LAN 中一樣 [4]。 實(shí)現(xiàn) VLAN 要解決的關(guān)鍵問(wèn)題 （ 1）、 定義 VLAN 成員的問(wèn)題，即劃分 VLAN 的方法。 （ 2）、 在多個(gè)交換機(jī)上劃分 VLAN 時(shí)各個(gè)交換機(jī)之間的交換 VLAN 成員身份 信息的問(wèn)題。 （ 3）、 在多個(gè) VLAN 之間通信的問(wèn)題，即 VLAN 之間的路由問(wèn)題。 劃分 VLAN 的方法 定義 VLAN 成員的方法多種多樣，主要有四種 ： 按交換機(jī)的端口劃分 VLAN，按 MAC層地址劃分 VLAN，按網(wǎng)絡(luò)層地址劃分 VLAN，按 IP 組播劃分 VLAN 等。 第三層交換技術(shù) 在過(guò)去的 20 多年中，交換技術(shù)和路由技術(shù)都得到了充分發(fā)展，交換技術(shù)的發(fā)展和對(duì)網(wǎng)絡(luò)技術(shù)的貢獻(xiàn)更是引人注目。到目前為止，已基本形成了 “以交換機(jī)為中心 ”的 LAN 連接方案。尤其這些年所建成的 Intra 更是離不了交換機(jī)和路由器。 交 換技術(shù)和路由技術(shù)的主要區(qū)別在于 ： 交換機(jī)所處理的是以太網(wǎng)幀中 MAC 地址部分，而路由器不僅可以識(shí)別 MAC 地址，還可以進(jìn)一步分析包含網(wǎng)絡(luò)類(lèi)型信息的協(xié)議首部。正因?yàn)檫@一關(guān)鍵性的區(qū)別，使得交換機(jī)和路由器在網(wǎng)絡(luò)設(shè)計(jì)中所擔(dān)任的角色也大不相同。 傳統(tǒng)的二層交換機(jī)主要區(qū)別使網(wǎng)絡(luò)通信雙方節(jié)點(diǎn)在通信時(shí)能夠獲得專(zhuān)有的連接，從而西安交通大學(xué)繼續(xù)教育學(xué)院 畢業(yè)論文 5 享有真正的全部帶寬，這對(duì)于共享式以太網(wǎng)而言無(wú)疑是一個(gè)大飛躍。二層交換機(jī)也可用于劃分子網(wǎng)。但是，基于二層交換機(jī)的所有子網(wǎng)在遇到數(shù)據(jù)包廣播時(shí)便顯得毫無(wú)意義。因?yàn)閷?duì)于二層交換機(jī)來(lái)講，與其所有端口相連的節(jié)點(diǎn)，無(wú)論是單 一的工作站還是子網(wǎng)，都共享一個(gè)廣播域。當(dāng)發(fā)送節(jié)點(diǎn)發(fā)送了一個(gè)廣播包后，該包就會(huì)擴(kuò)散到所有與交換機(jī)端口相連的子網(wǎng)中，而不管該子網(wǎng)是一個(gè) TCP/IP 子網(wǎng)還是一個(gè) IPX 子網(wǎng)。顯然，將一個(gè) TCP/IP 廣播包發(fā)送到 IPX 子網(wǎng)中是不合理的。這也會(huì)影響整個(gè)網(wǎng)絡(luò)的性能。二層交換機(jī)的這種廣播控制缺陷是由其對(duì)以太網(wǎng)幀的處理能力所決定的，因?yàn)槎咏粨Q機(jī)只能識(shí)別 MAC 地址，不能識(shí)別數(shù)據(jù)包中的網(wǎng)絡(luò)地址信息，因而它對(duì)于區(qū)分不同類(lèi)型的子網(wǎng)是無(wú)能為力的。 在網(wǎng)絡(luò)設(shè)計(jì)中，路由器主要用來(lái)完成交換機(jī)所缺乏的有效子網(wǎng)劃分和廣播控制功能。在通過(guò)路由器 連接的兩個(gè)子網(wǎng)中，子網(wǎng)間的廣播包不會(huì)互相擴(kuò)散。網(wǎng)間的正常通信可通過(guò)路由器的路由來(lái)實(shí)現(xiàn)。 虛擬局域網(wǎng) (VLAN)解決了在二層交換機(jī)上劃分廣播域的問(wèn)題，可以替代路由器的限制廣播的功能。但 VLAN 之間的通信仍需借助路由器。由于傳統(tǒng)路由器的路由尋址功能是通過(guò)軟件實(shí)現(xiàn)，該軟件運(yùn)行于有固定內(nèi)存的 CPU 之上，雖然 CPU 和存儲(chǔ)器的速度越來(lái)越快，但仍趕不上網(wǎng)絡(luò)流量增加的速度。隨著用戶(hù)對(duì)網(wǎng)絡(luò)性能、網(wǎng)絡(luò)延遲和網(wǎng)絡(luò)帶寬需求的不斷增加，尤其隨著 G 以太網(wǎng)和 Intra 及 Extra 的興起，傳統(tǒng)路由器的處理速度越來(lái)越成為提高網(wǎng)絡(luò) 性能的瓶頸。與路由器相比，由于二層交換機(jī)采用 ASIC[5]（ Application Specific Integrated Circuit）芯片來(lái)處理包轉(zhuǎn)發(fā)，因而其處理速度是非?？斓摹? 交換技術(shù)和路由技術(shù)在當(dāng)今的網(wǎng)絡(luò)設(shè)計(jì)中都是核心技術(shù)，但兩者各有優(yōu)缺點(diǎn)，而網(wǎng)絡(luò)需求又在不斷增長(zhǎng)。在這種情況下，人們自然會(huì)考慮 ： 能不能將交換機(jī)的高速性能和路由器的控制功能結(jié)合起來(lái)。第三層交換技術(shù)便在這種想法的基礎(chǔ)上產(chǎn)生出來(lái)。 第三層交換技術(shù)實(shí)現(xiàn)要點(diǎn) 第三層交換是一個(gè)模型，它將第二層交換機(jī)和第三層路由器兩者的優(yōu)勢(shì)結(jié)合成一個(gè)靈活的 解決方案，可在各個(gè)層次提供線速 (Wire speed)性能的數(shù)據(jù)轉(zhuǎn)發(fā)。這種集成化的結(jié)構(gòu)還引進(jìn)了策略 (Policy)管理屬性，它不僅使第二層與第三層相互關(guān)聯(lián)起來(lái)，而且還提供流量?jī)?yōu)先權(quán)處理、安全性處理以及多種其他的靈活功能，如中繼、虛擬網(wǎng)和內(nèi)部企業(yè)網(wǎng)的動(dòng)態(tài)部署。 第三層交換機(jī)的組成如圖 所示。 西安交通大學(xué)繼續(xù)教育學(xué)院 畢業(yè)論文 6 圖 第三層交換機(jī)的組成 圖 列出了第三層交換機(jī)的組成部分。接口層包含了所有重要的局域網(wǎng)接口 ：10/100M 以太網(wǎng)、 G 以太網(wǎng)、 FDDI 和 ATM。交換層集成了多種局域網(wǎng)接口并輔之以策略管理，同時(shí)還提供中繼、 VLAN 和標(biāo)簽機(jī)制。路由層提供主要的 LAN 路由協(xié)議 ： IP、 IPX和 AppleTalk，并通過(guò)策略管理提供逐包式或直通式的第三層轉(zhuǎn)發(fā)技術(shù)。策略管理和行政管理使網(wǎng)絡(luò)管理員能根據(jù)企業(yè)上的特定需求調(diào)整網(wǎng)絡(luò)，從而給他們帶來(lái)配置和管理上的方便與靈活。 將一個(gè)傳統(tǒng)的路由模塊加入到交換機(jī)中并不是真正的第三層交換。這是因?yàn)椋谶@種情況下，流量控制、路由尋址等功能雖然也可以實(shí)現(xiàn)，但傳統(tǒng)路由的高延遲依然存在。所以，實(shí)現(xiàn)真正的第三層交換，關(guān)鍵在于要改變傳統(tǒng)路由器處理包轉(zhuǎn)發(fā)技術(shù)，也就是要實(shí)現(xiàn)線速路由。 線速路由就是要使路由速度 (轉(zhuǎn)發(fā) 路由分組的速度 )達(dá)到傳輸線上的數(shù)據(jù)傳輸速度，消除路由瓶頸?？紤] IP 網(wǎng)和 IPX 網(wǎng)，在網(wǎng)絡(luò)中主要有四種流量類(lèi)型在進(jìn)行傳輸 ： 第二層交換 (純交換幀 )； 第三層 IP 路由 (純 IP 路由分組 )： 第三層 IPX 路由 (純 IPX 路由分組 )以及同時(shí)進(jìn)行的第二層交換與第三層 IP 路由 (交換幀和路由分組的混合流量類(lèi)型 )。第二層 LAN交換機(jī)只可以實(shí)現(xiàn)純交換幀的線速轉(zhuǎn)發(fā)，第三層交換機(jī)的優(yōu)勢(shì)在于可以實(shí)現(xiàn)剩下三種流量類(lèi)型的線速轉(zhuǎn)發(fā) (當(dāng)然它也可以實(shí)現(xiàn)純交換幀的線速轉(zhuǎn)發(fā) )。傳統(tǒng)路由器雖然可以轉(zhuǎn)發(fā)各種路由分組，但其延遲較高，轉(zhuǎn)發(fā)速度達(dá)不到線速。 三層 交換機(jī)的通信過(guò)程 三層交換機(jī)的通信過(guò)程如圖 所示。 圖 三層交換機(jī)通信過(guò)程 西安交通大學(xué)繼續(xù)教育學(xué)院 畢業(yè)論文 7 如圖 ，假設(shè) A 和 B 以前通信過(guò)，中間的交換機(jī)如支持第三層交換的話(huà)，它便會(huì)把A 和 B 的 IP 地址及它們的 MAC 地址記錄下來(lái)。當(dāng)其他站點(diǎn)如 C 要與 A 和 B 通信時(shí)， C發(fā)出 ARP 尋址包，詢(xún)問(wèn) A 或 B 的 IP 地址對(duì)應(yīng)的 MAC 地址是什么，針對(duì) C 發(fā)出的尋址包，第三層交換機(jī)會(huì)不假思索的送一個(gè)回復(fù)包給 C，告訴它 A 或 B 的 MAC 地址，以后 C當(dāng)然就會(huì)用 A 或 B 的 MAC 地址 “直接 ”與其通信。 因?yàn)橥ㄐ诺碾p方完全沒(méi)有通過(guò)路由器這樣的第三者，所以哪怕 A、 B 或 C 屬于不同的子網(wǎng)，它們之間均可直接知道對(duì)方的 MAC 地址。更重要的是，第三層交換機(jī)并沒(méi)有像普通二層交換機(jī)那樣把廣播包擴(kuò)散到與之相連的所有端口，由于第三層交換機(jī)能看懂第三層信息 (如 IP 地址、 ARP 尋址包等 )，因此第三層交換機(jī)便能洞悉 ARP 廣播包的目的地址，而在尚未把它擴(kuò)散出去的情形下，滿(mǎn)足了發(fā)出廣播包的機(jī)器的需要，而不必在乎它們?cè)谌魏巫泳W(wǎng)里。 西安培華學(xué)院本科畢業(yè)論文（設(shè)計(jì)） 大學(xué)校園網(wǎng)網(wǎng)絡(luò)組建及 Inter 接入方案 8 第 3 章 需求分析 組網(wǎng)背景 二十一世紀(jì)是信息化時(shí)代，辦公自動(dòng)化、網(wǎng)絡(luò)化、信息化已成為一種必備條件。作為基礎(chǔ)教學(xué)與科研基地的學(xué)校自然會(huì)走在所有行業(yè)的最前列，全國(guó) 各大、中、小學(xué)校都在積極建設(shè)和完善校園計(jì)算機(jī)網(wǎng)絡(luò)。校園網(wǎng)已成為各學(xué)校必備的重要信息基礎(chǔ)設(shè)施，其規(guī)模和應(yīng)用水平己成為衡量學(xué)校教學(xué)與科研綜合實(shí)力的一個(gè)重要標(biāo)志。 網(wǎng)絡(luò)工程建設(shè)規(guī)劃 為了適應(yīng)全國(guó)和省市州教育科研計(jì)算機(jī)網(wǎng)絡(luò)的發(fā)展，加強(qiáng)校內(nèi)外信息的交流，滿(mǎn)足校區(qū)廣大師生的需求，充分利用網(wǎng)絡(luò)資源為全校教學(xué)、科研和管理服務(wù)，校區(qū)網(wǎng)絡(luò)中心擬提出如下建設(shè)計(jì)劃 ： （ 1）整個(gè)校區(qū)網(wǎng)絡(luò)結(jié)構(gòu)以網(wǎng)絡(luò)中心為核心，構(gòu)成星型結(jié)構(gòu) ； （ 2）主干采用千兆路由技術(shù)，所有節(jié)點(diǎn)交換 100Mbps 到桌面 ； （ 3）考慮師生并發(fā)上網(wǎng)的問(wèn)題，配置功能強(qiáng)大的代理服務(wù)系統(tǒng) ； （ 4）配置功能齊全、方便實(shí)用的網(wǎng)絡(luò)管理平臺(tái)。 校園網(wǎng)技術(shù)新發(fā)展 為了便于網(wǎng)絡(luò)管理和網(wǎng)絡(luò)擴(kuò)展，節(jié)省用戶(hù)投資，在充分考慮建設(shè)原則、滿(mǎn)足應(yīng)用需要和適應(yīng)網(wǎng)絡(luò)技術(shù)發(fā)展趨勢(shì)等方面后，所以選擇了 Gigabit Ether，原因如下 ： 以低廉的價(jià)格提供高帶寬。千兆以太網(wǎng)提供 10 倍與快速以太網(wǎng)的性能，而價(jià)格遠(yuǎn)遠(yuǎn)低于其 10 倍。 良好的兼容性和管理的簡(jiǎn)單性。 能保證服務(wù)質(zhì)量。目前公認(rèn)，合理組織的千兆以太網(wǎng)不需要考慮 QoS 管理。 支持千兆以太網(wǎng)多 層交換的交換機(jī)。 綜上所述，本方案主要選擇千兆以太網(wǎng)技術(shù)來(lái)構(gòu)建用戶(hù)的需求，對(duì)二層節(jié)點(diǎn)和桌面微機(jī)的接入也采用快速以太網(wǎng)，建立一個(gè)基于多層、全交換的虛擬園區(qū)網(wǎng)絡(luò)。采用 1000M主干，光纖到各主要信息點(diǎn)， 100M 交換到桌面，逐步形成以網(wǎng)絡(luò)中心大樓為中心、輻射其它樓宇