xx校園網(wǎng)絡(luò)設(shè)計(jì)方案書(shū)-文庫(kù)吧
2024-10-28 22:35 本頁(yè)面
【正文】 輸。虛擬專用網(wǎng)可用于不斷增長(zhǎng)的移動(dòng)用戶的全球因特網(wǎng)接入，以實(shí)現(xiàn)安全連接；可用于實(shí)現(xiàn)企業(yè)網(wǎng)站之間安全通信的虛擬專用線路，用于經(jīng)濟(jì)有效地連接到商業(yè)伙伴和用戶的安全外聯(lián)網(wǎng)虛擬專用網(wǎng)。根據(jù)地理位置及信息點(diǎn)的數(shù)量和未來(lái)覆蓋面擴(kuò)充等多方面原因，將校園網(wǎng)為每個(gè)系劃分若干個(gè)區(qū)域。劃分區(qū)域主要考慮以下幾個(gè)方面：可以減輕中央核心交換機(jī)的負(fù)擔(dān)、管理上方便、便于未來(lái)的連接擴(kuò)充。： XX學(xué)院校園網(wǎng)的拓樸圖整個(gè)校園網(wǎng)劃分為三個(gè)層次：核心層、分布層和接入層。相應(yīng)的交換機(jī)就是核心交換機(jī)、分布層交換機(jī)和接入層交換機(jī)。核心層網(wǎng)絡(luò)選擇千兆以太網(wǎng)。校網(wǎng)絡(luò)中心將放置兩臺(tái)高端三層千兆交換機(jī)和一臺(tái)邊界路由器。交換機(jī)間的連接要求是高帶寬連接。分布層交換機(jī)要求至少兩路上行鏈路連至兩臺(tái)核心層交換機(jī)上，采用快速收斂的路由協(xié)議實(shí)現(xiàn)故障切換和負(fù)載均衡，當(dāng)某一鏈路出現(xiàn)意外，也可以從另外一路上連。校內(nèi)各系的匯聚交換機(jī)構(gòu)成，各分布層交換機(jī)放置在各系的網(wǎng)絡(luò)中心，要求至少兩路上行鏈路連至兩臺(tái)核心層交換機(jī)上。分布層交換的下連交換機(jī)都為接入層網(wǎng)絡(luò)。 IP地址規(guī)劃本方案采用的地址分配方法利用VLSM技術(shù),不僅有大量預(yù)留空間,而且本校園網(wǎng)使用OSPF路由協(xié)議,有層次的IP地址,易于管理,在邊界路由器上可做匯聚(),減少路由更新大小,提高網(wǎng)絡(luò)性能。: XX學(xué)院校園網(wǎng)IP地址分配表建筑物設(shè)備IP地址子網(wǎng)掩碼現(xiàn)教樓中心機(jī)房VPN防火墻邊界路由器核心交換機(jī)1核心交換機(jī)2WEB/FTP服務(wù)器認(rèn)證服務(wù)器DNS/DHCP服務(wù)器用戶教學(xué)樓分布層交換機(jī)接入層交換機(jī)AP用戶實(shí)驗(yàn)樓分布層交換機(jī)接入層交換機(jī)AP用戶圖書(shū)館分布層交換機(jī)接入層交換機(jī)AP用戶行政樓分布層交換機(jī)接入層交換機(jī)AP用戶宿舍樓分布層交換機(jī)接入層交換機(jī)AP用戶 設(shè)備選型本方案中校園網(wǎng)絡(luò)核心層設(shè)備采用CISCO Catalyst 6509（Supervisor Engine 720*2/電源*2/FWSM*1/IPSec VPN 模塊*1/IDSM*1/NAM*1/16 口千兆以太網(wǎng)光口板*1/若干5486/48 口千兆電口*1，amp。PoE） 數(shù)量：2 臺(tái)。Cisco Catalyst 6509 的優(yōu)點(diǎn)：l 最長(zhǎng)的網(wǎng)絡(luò)正常運(yùn)行時(shí)間利用平臺(tái)、電源、控制引擎、交換矩陣和集成網(wǎng)絡(luò)服務(wù)冗余性提供1～3 秒的狀態(tài)故障切換，提供應(yīng)用和服務(wù)連續(xù)性統(tǒng)一在一起的融合網(wǎng)絡(luò)環(huán)境，減少關(guān)鍵業(yè)務(wù)數(shù)據(jù)和服務(wù)的中斷。l 全面的網(wǎng)絡(luò)安全性將切實(shí)可行的數(shù)千兆位級(jí)思科安全解決方案集成到現(xiàn)有網(wǎng)絡(luò)中，包括入侵檢測(cè)、防火墻、VPN 和SSL。l 可擴(kuò)展性能利用分布式轉(zhuǎn)發(fā)體系結(jié)構(gòu)提供高達(dá)400Mpps 的轉(zhuǎn)發(fā)性能。l 能夠適應(yīng)未來(lái)發(fā)展并保護(hù)投資的體系結(jié)構(gòu)在同一種機(jī)箱中支持三代可互換、可熱插拔的模塊，以提高IT 基礎(chǔ)設(shè)施利用率，增大投資回報(bào)，并降低總體擁有成本。l 卓越的服務(wù)集成和靈活性將安全和內(nèi)容等高級(jí)服務(wù)與融合網(wǎng)絡(luò)集成在一起，提供從10/100 和10/100/1000 以太網(wǎng)到萬(wàn)兆以太網(wǎng)，從DS0 到OC48 的各種接口和密度，并能夠在任何部署項(xiàng)目中端到端執(zhí)行。校園網(wǎng)絡(luò)分布層設(shè)備采用CISCO Catalyst 4507R（Supervisor Engine V10GE*2/電源*2/若干千兆以太網(wǎng)光口板及GBIC/48 口千兆電口板*1，amp。PoE）數(shù)量：7 臺(tái)。Cisco Catalyst 4506（With Supervisor V10GE）的優(yōu)點(diǎn)是：l 136Gbps 交換矩陣；l 102mpps 第二層到第四層吞吐率；l 雙線速萬(wàn)兆以太網(wǎng)上行鏈路；l 利用千兆以太網(wǎng)SFP 上行鏈路順利移植到萬(wàn)兆以太網(wǎng)；l 在交換管理引擎上提供集成式NetFlow，通過(guò)基于用戶的速率限制實(shí)施精確流量控制；l 超快速800MHz CPU 可實(shí)現(xiàn)更快的控制平面；l 最多能夠在Catalyst 4510R 交換機(jī)中支持384 個(gè)10/100/1000 端口；l 提供所有Cisco Catalyst 集成式安全特性；l 為提供更加靈活的策略，能夠?yàn)槊總€(gè)端口和VLAN 實(shí)施不同的QoS；l 思科快速轉(zhuǎn)發(fā)能夠防止可變IP 信息攻擊。l 端口安全、DHCP 偵聽(tīng)、ARP 檢測(cè)和IP 源防護(hù)能夠防止黑客從第二層及以上發(fā)動(dòng)拒絕服務(wù)（DoS）攻擊或破壞網(wǎng)絡(luò)。l 速率限制以出口和入口限速器的方式出現(xiàn)，可以控制每個(gè)VLAN 的流量，防止DoS攻擊。Supervisor Engine V10GE 支持基于用戶的速率限制。l 及其擴(kuò)展性能防止非法用戶和設(shè)備接入網(wǎng)絡(luò)，例如惡意接入點(diǎn)。l 硬件Netflow 可用于主動(dòng)發(fā)現(xiàn)網(wǎng)絡(luò)流量異常，并采取相應(yīng)措施。它使用的訪問(wèn)控制列表可在交換端口和路由端口上提供，以便進(jìn)行二到七層流量控制。校園網(wǎng)絡(luò)接入層設(shè)備采用CISCO Catalyst 3560(EMI)交換機(jī)，該系列交換機(jī)是一個(gè)固定配置、企業(yè)級(jí)、IEEE 和思科預(yù)標(biāo)準(zhǔn)以太網(wǎng)供電(PoE) 交換機(jī)系列，工作在快速以太網(wǎng)和千兆位以太網(wǎng)配置下。CISCO Catalyst 3560 是一款理想的接入層交換機(jī)，適用于小型企業(yè)布線室或分支機(jī)構(gòu)環(huán)境，結(jié)合了10/100/1000 和PoE 配置，實(shí)現(xiàn)最高生產(chǎn)率和投資保護(hù)，并可部署新應(yīng)用，如IP 電話、無(wú)線接入、視頻監(jiān)視、建筑物管理系統(tǒng)和遠(yuǎn)程視頻訪問(wèn)等。客戶可在整個(gè)網(wǎng)絡(luò)范圍中部署智能服務(wù)，如高級(jí)QoS 、速率限制、訪問(wèn)控制列表、組播管理和高性能IP 路由等，且同時(shí)保持傳統(tǒng)LAN 交換的簡(jiǎn)潔性。思科網(wǎng)絡(luò)助理(network assistant)在Catalyst 3560 系列中免費(fèi)提供，是一個(gè)集中管理應(yīng)用，可簡(jiǎn)化思科交換機(jī)、路由器和無(wú)線接入點(diǎn)的管理任務(wù)。思科網(wǎng)絡(luò)助理提供了配置向?qū)?，大大?jiǎn)化了融合網(wǎng)絡(luò)和智能網(wǎng)絡(luò)服務(wù)的實(shí)施；(IBNS)。 網(wǎng)絡(luò)安全設(shè)計(jì)XX學(xué)院網(wǎng)絡(luò)安全性方案設(shè)計(jì)原則是：整個(gè)XX學(xué)院網(wǎng)絡(luò)必須是一個(gè)嚴(yán)密的安全保密體系。采取的安全措施不能影響整個(gè)網(wǎng)絡(luò)運(yùn)行效率。保密設(shè)備要做到管理方便，完善可靠。加密系統(tǒng)具有良好的網(wǎng)絡(luò)兼容性和可擴(kuò)展性，實(shí)現(xiàn)防竊取、防篡改、防破壞三大功能。按照國(guó)家主管部門對(duì)政府辦公網(wǎng)絡(luò)安全保密性的相應(yīng)法規(guī)和規(guī)定，要保障系統(tǒng)內(nèi)部信息的安全，我們主要應(yīng)該做到處理秘密級(jí)、機(jī)密級(jí)信息的系統(tǒng)與不涉及保密信息的系統(tǒng)實(shí)行物理隔離，秘密級(jí)、機(jī)密級(jí)信息在網(wǎng)絡(luò)上采取加密傳輸。防火墻是設(shè)置在內(nèi)部網(wǎng)絡(luò)與Internet 之間的一個(gè)或一組系統(tǒng)，用以實(shí)施兩個(gè)網(wǎng)絡(luò)間的訪問(wèn)控制和安全策略。狹義上防火墻指安裝了防火墻軟件的主機(jī)或和路由系統(tǒng)；廣義上還包括整個(gè)網(wǎng)絡(luò)的安全策略和安全行為。防火墻技術(shù)屬于被動(dòng)防衛(wèi)型，它通過(guò)在網(wǎng)絡(luò)邊界上建立一個(gè)網(wǎng)絡(luò)通信監(jiān)控系統(tǒng)來(lái)保護(hù)內(nèi)部網(wǎng)絡(luò)安全的目的，其功能是按照設(shè)定的條件對(duì)通過(guò)的信息進(jìn)行檢查和過(guò)濾。防火墻是實(shí)施組織的網(wǎng)絡(luò)安全策略、保護(hù)內(nèi)部信息的第一道屏障，其作用主要有：保護(hù)功能拒絕非授權(quán)訪問(wèn)、保護(hù)網(wǎng)絡(luò)系統(tǒng)和私人及敏感信息不受侵害。連接功能作為內(nèi)部網(wǎng)絡(luò)與Internet 之間的單一連接點(diǎn)。管理功能實(shí)施統(tǒng)一的安全策略，檢查網(wǎng)絡(luò)使用情況，進(jìn)行流量控制等。防火墻有三個(gè)屬性：所有進(jìn)出內(nèi)部網(wǎng)的數(shù)據(jù)包必須經(jīng)過(guò)它；僅被本地安全策略所授權(quán)的數(shù)據(jù)包才能通過(guò)它；防火墻本身對(duì)攻擊必須具有免疫能力。在XX學(xué)院和外網(wǎng)的連接中，我們推薦使用硬件防火墻。比如CISCO ASA5510BUNK9系列：l 并發(fā)連接數(shù) 130000 l 網(wǎng)絡(luò)吞吐量(Mbps) 300 l 安全過(guò)濾
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1