【正文】 線路保護(hù)，提供網(wǎng)絡(luò)安全防范措施?？稍鲋敌孕@網(wǎng)絡(luò)的建設(shè)、使用和維護(hù)需要投入大量的人力、物力，因此網(wǎng)絡(luò)的增值性是網(wǎng)絡(luò)持續(xù)發(fā)展基礎(chǔ)。 設(shè)計目標(biāo)針對本次學(xué)院網(wǎng)絡(luò)升級改造建設(shè)課題，按照以下目標(biāo)來實施網(wǎng)絡(luò)建設(shè)：以校區(qū)新網(wǎng)絡(luò)建設(shè)為契機，將學(xué)院網(wǎng)絡(luò)建設(shè)成為信息一體化、管理集中化、業(yè)務(wù)多樣化的優(yōu)秀校園網(wǎng)絡(luò)；新網(wǎng)絡(luò)結(jié)構(gòu)清晰，網(wǎng)絡(luò)層次合理數(shù)據(jù)網(wǎng)絡(luò)需要采用分布式布線，各個配線節(jié)點通過單模光纖與中心交換機相連，形成萬兆骨干、千兆骨干、桌面百兆接入、無線全院覆蓋的寬帶網(wǎng)絡(luò)，網(wǎng)絡(luò)建成后，應(yīng)該實現(xiàn)各信息點的高速上網(wǎng)、能為多媒體教學(xué)科研提供一個高速承載平臺，支持MPLS、IPV6等特性，方便的網(wǎng)絡(luò)管理、安全的認(rèn)證；運營商級的網(wǎng)絡(luò)系統(tǒng)安全性、運營安全性；網(wǎng)絡(luò)帶寬大幅提升：核心層與匯聚層之間全部采用萬兆并預(yù)留千兆升級接口連接，匯聚層之間采用千兆連接，消除帶寬瓶頸；多樣性訪問權(quán)限控制與管理；針對不同類別用戶采取不同認(rèn)證、計費策略。網(wǎng)絡(luò)全部采用認(rèn)證接入方式，防止不明計算機接入，保證接入的安全性。升級后網(wǎng)絡(luò)具備高性能、高可靠性、高穩(wěn)定性、高安全性。投資需求：高性價比、平滑升級、投資保護(hù)。安全需求：非法的DHCP Server、病毒、攻擊、上網(wǎng)日志等。當(dāng)前校園網(wǎng)的主要特點：網(wǎng)絡(luò)吞吐能力高、速度快、系統(tǒng)規(guī)模大（多校區(qū)）；用戶群龐大、多層次（教師、學(xué)生等）、接入方式多樣（PPPoE、DHCP＋Web、專線接入、WLAN等）；網(wǎng)絡(luò)環(huán)境復(fù)雜、多網(wǎng)共存（教學(xué)網(wǎng)、科研網(wǎng)、辦公網(wǎng)、無線網(wǎng)、學(xué)生宿舍網(wǎng)、教工家屬網(wǎng)等）；數(shù)據(jù)業(yè)務(wù)復(fù)雜（網(wǎng)上點播、電子教室、財務(wù)、政務(wù)等）、類型多樣（數(shù)據(jù)、語音、視頻等）；用網(wǎng)時間集中、同時在線人數(shù)眾多、流量巨大且分布時段不均；學(xué)生活躍、好奇、敢于嘗試、攻擊性強；計算機蠕蟲、病毒泛濫、盜版資源泛濫、網(wǎng)絡(luò)行為突發(fā)性高；教育網(wǎng)作為我國開展下一代網(wǎng)絡(luò)研究的試驗基地，其采用了先進(jìn)性的技術(shù)，Cernet2試驗網(wǎng)的開通，是我國第一個IPV6主干網(wǎng)，也是世界上規(guī)模最大的純IPV6網(wǎng)，標(biāo)志著中國下一代互聯(lián)網(wǎng)建設(shè)拉開了序幕。校園網(wǎng)需要對學(xué)校內(nèi)幾千個端點進(jìn)行管理，這其中存在的監(jiān)控、管理、認(rèn)證等各種問題十分復(fù)雜，學(xué)院的建網(wǎng)目標(biāo)是連接學(xué)院內(nèi)的所有應(yīng)用節(jié)點并實現(xiàn)與互聯(lián)網(wǎng)和CERNET網(wǎng)的安全互聯(lián)，建立信息資源服務(wù)體系，在滿足學(xué)院系統(tǒng)內(nèi)信息化需求的同時，向內(nèi)部師生員工和社會提供信息資源服務(wù)。在實際的建設(shè)過程當(dāng)中，應(yīng)當(dāng)充分考慮到學(xué)校內(nèi)部的校園網(wǎng)多業(yè)務(wù)以及特色業(yè)務(wù)等擴展性，如：校園網(wǎng)內(nèi)部的服務(wù)器的訪問，由于學(xué)生的訪問的內(nèi)容多樣化決定，涉及到基礎(chǔ)網(wǎng)絡(luò)設(shè)施的建設(shè)和業(yè)務(wù)應(yīng)用平臺建設(shè)兩個不同的層面。新校園網(wǎng)園區(qū)以單模光纜連接了各棟樓宇，覆蓋全部教學(xué)辦公區(qū)域和教學(xué)區(qū)域，實現(xiàn)校園內(nèi)全部無線覆蓋。2009年1月6日，中央電視臺5頻道《奧運檔案》節(jié)目專門播出了《標(biāo)榜化妝造型團(tuán)隊》的事跡。美國國際標(biāo)榜是世界上最權(quán)威的形象設(shè)計教育產(chǎn)業(yè)機構(gòu)，1962年成立于美國芝加哥，2000多所會員學(xué)校分布在全球70多個國家和地區(qū)。2002年經(jīng)四川省人民政府批準(zhǔn)，更名為“四川國際標(biāo)榜職業(yè)學(xué)院”，開設(shè)了人物形象設(shè)計、發(fā)型設(shè)計、現(xiàn)代美容、中國傳統(tǒng)養(yǎng)生美容、運動保健、服裝設(shè)計、時裝設(shè)計及產(chǎn)品開發(fā)、平面設(shè)計、游戲軟件、商貿(mào)英語、景觀設(shè)計、室內(nèi)設(shè)計、家具設(shè)計與制造、古舊家具修復(fù)與保護(hù)、陶藝設(shè)計、市場營銷與策劃、廣告與傳媒、工商企業(yè)管理等十九個專業(yè)或?qū)I(yè)方向。四川國際標(biāo)榜職業(yè)學(xué)院是國家具有獨立頒發(fā)學(xué)歷文憑資格的普通高等學(xué)校。，學(xué)校應(yīng)將校園網(wǎng)與互聯(lián)網(wǎng)聯(lián)接，這也是學(xué)校信息化的要求，做到了這一步，通過校園網(wǎng)去了解世界、在互聯(lián)網(wǎng)上樹立學(xué)校的形象都是很容易的。校園網(wǎng)是教育信息化的平臺，對于推進(jìn)教學(xué)和和科研至關(guān)重要，一個先進(jìn)的校園網(wǎng)能夠極大的促進(jìn)高等院校教學(xué)和科研水平的提高。校園網(wǎng)網(wǎng)絡(luò)安全：從網(wǎng)絡(luò)流量控制、網(wǎng)絡(luò)認(rèn)證、網(wǎng)絡(luò)設(shè)備安全、無線網(wǎng)絡(luò)安全詳細(xì)描述了安全實施。在內(nèi)容選擇上，一方面以對校園網(wǎng)的網(wǎng)絡(luò)拓?fù)浜退柙O(shè)備進(jìn)行了設(shè)計；另一方面用很直觀的網(wǎng)絡(luò)拓?fù)鋱D概述了本次畢業(yè)設(shè)計相關(guān)的網(wǎng)絡(luò)安全、網(wǎng)絡(luò)所需設(shè)備以及所實現(xiàn)的網(wǎng)絡(luò)功能和應(yīng)用等。這些高速發(fā)展的新技術(shù)帶動人類步入了計算機技術(shù)發(fā)展的新時代網(wǎng)絡(luò)時代，校園網(wǎng)絡(luò)如何能滿足未來網(wǎng)絡(luò)的需要，更好的為師生提供良好的網(wǎng)絡(luò)環(huán)境這個課題是我們值得研究的，在原有網(wǎng)絡(luò)的環(huán)境中建設(shè)一個具有前沿性、先進(jìn)性、結(jié)構(gòu)化、系統(tǒng)化的網(wǎng)絡(luò)實在必行。同所有網(wǎng)絡(luò)建設(shè)一樣,當(dāng)建設(shè)一個滿足特定業(yè)務(wù)需求的網(wǎng)絡(luò)時,必須采取“結(jié)構(gòu)化、系統(tǒng)化”思想做指導(dǎo)。畢業(yè)設(shè)計論文包括課題概況：標(biāo)榜職業(yè)學(xué)院是一所高職性綜合性院校對網(wǎng)絡(luò)性能要求嚴(yán)格。并參與了網(wǎng)絡(luò)的具體實施，加深了對計算機網(wǎng)絡(luò)技術(shù)的理解，實際動手能力大大提高，學(xué)習(xí)到了許多書本上學(xué)不到的知識。在高校信息化的建設(shè)過程中，它的作用體現(xiàn)在如下幾個方面： ；信息技術(shù)學(xué)科的內(nèi)容是發(fā)展的，它是一門應(yīng)用型學(xué)科，因此，為了讓學(xué)生學(xué)到實用的知識，必須給他們提供一個實踐的環(huán)境，這個環(huán)境離不開校園網(wǎng)。 教育即未來，作為國家最重要的戰(zhàn)略工程，如何應(yīng)用信息技術(shù)改造我們傳統(tǒng)的教學(xué)和管理手段；如何加深學(xué)生對于信息化和信息技術(shù)的理解與了解；如何造就同時具備傳統(tǒng)和信息雙重文化的一代新人，已成為教育界當(dāng)前最為緊迫的任務(wù)之一。舉辦納入國家招生計劃的高等職業(yè)教育和面向全國的短期職業(yè)培訓(xùn)。納入國家統(tǒng)一招生計劃，招收三年制、五年制高職學(xué)生。2007年10月，四川國際標(biāo)榜職業(yè)學(xué)院順利通過教育部高職高專人才培養(yǎng)水平評估并獲得優(yōu)秀。四川國際標(biāo)榜職業(yè)學(xué)院從短期職教走到今天的高職高專教育，經(jīng)歷了十幾年的實踐。校園網(wǎng)計劃分布有3000多個網(wǎng)絡(luò)端口，目前需要在原來網(wǎng)絡(luò)的基礎(chǔ)上升級改造，全部重新鋪設(shè)光纖線路。在本課題中本人主要參與了，光纖線路的鋪設(shè)和熔接，VLAN與子網(wǎng)的劃分，交接機的配置調(diào)試及上架，無線AP的安裝?；谶@種情況，考慮到四川國際標(biāo)榜職業(yè)學(xué)院聯(lián)網(wǎng)計算機較多，具有較多的網(wǎng)絡(luò)設(shè)施和應(yīng)用系統(tǒng)，為保障校園網(wǎng)的運行安全和應(yīng)對各種網(wǎng)絡(luò)風(fēng)險，有必要統(tǒng)一規(guī)劃，設(shè)計一個符合四川國際標(biāo)榜職業(yè)學(xué)院校園網(wǎng)實際的校園網(wǎng)系統(tǒng)，有計劃地分步驟實施。一般高校校園網(wǎng)的主要需求有：多出口需求：典型的組網(wǎng)有中國教育和科研網(wǎng)（CERNET）出口和運營商網(wǎng)絡(luò)出口。NAT需求：公網(wǎng)地址不夠，在運營商或教育網(wǎng)其中一個出口做NAT。Qos需求：具備完善的QOS能力。升級后無線使用認(rèn)證接入方式，并實現(xiàn)相應(yīng)區(qū)域漫游。核心到匯集全部采用單模光纖并做相應(yīng)的備份，提供高速可靠的傳輸。 設(shè)計原則現(xiàn)在高校校園網(wǎng)建設(shè)要實現(xiàn)內(nèi)部全方位的數(shù)據(jù)共享，應(yīng)用三層交換，提供全面的QoS保障服務(wù)，使網(wǎng)絡(luò)安全可靠，從而實現(xiàn)教育管理、多媒體教學(xué)、圖書館管理自動化，而且還要通過Internet實現(xiàn)遠(yuǎn)程教學(xué)，提供可增值可管理的業(yè)務(wù)，必須具備高性能、高安全性、高可靠性，可管理、可增值特性以及開放性、兼容性、可擴展性。所以在建設(shè)時要充分考慮業(yè)務(wù)的擴展能力，能針對不同的用戶需求提供豐富的寬帶增值業(yè)務(wù)，使網(wǎng)絡(luò)具有自我造血機制，實現(xiàn)以網(wǎng)養(yǎng)網(wǎng)。第三章 系統(tǒng)設(shè)計方案根據(jù)校園網(wǎng)升級建設(shè)的需求和設(shè)計原則，并結(jié)合學(xué)院校園網(wǎng)的當(dāng)前狀況和未來發(fā)展趨勢，本論文為學(xué)院校園網(wǎng)網(wǎng)絡(luò)建設(shè)量身定制了一套合體合用的校園網(wǎng)升級建設(shè)方案。圖31 標(biāo)榜學(xué)院原拓?fù)浣Y(jié)構(gòu)圖在此網(wǎng)絡(luò)中三層網(wǎng)絡(luò)結(jié)構(gòu)不明顯，線路連接混亂，沒有明顯的層次結(jié)構(gòu)。一般來說局域網(wǎng)總體結(jié)構(gòu)分為三層網(wǎng)絡(luò)結(jié)構(gòu)和兩層網(wǎng)絡(luò)結(jié)構(gòu)。因此，校園網(wǎng)一般采用三層結(jié)構(gòu)，包括核心層、匯聚層和接入層。接入層主要完成用戶的接入控制，還應(yīng)能對由用戶接入層所區(qū)分開的不同優(yōu)先級的應(yīng)用加以區(qū)別對待，從而支持端到端的服務(wù)質(zhì)量以及提供VLAN的功能。 采用5條萬兆鏈路連接重點區(qū)域。 采用高性能的單核心交換。光纖鏈路圖如圖33所示圖33光纖鏈路圖核心交換機是整個網(wǎng)絡(luò)的計算和內(nèi)部數(shù)據(jù)交換處理中心，在整個局域網(wǎng)內(nèi)是最為關(guān)鍵和重要的設(shè)備。 線速的 IPv6業(yè)務(wù)處理 H3C S9500系列支持分布式的 IPv6 業(yè)務(wù)，分布在接口板上的 ASIC 芯片支持對 IPv6 報文的線速處理，用戶通過升級操作系統(tǒng)可實現(xiàn)基于 ASIC的全線速 IPv6轉(zhuǎn)發(fā)，極大保護(hù)用戶投資，適應(yīng)網(wǎng)絡(luò)業(yè)務(wù)不斷發(fā)展的需求。 管理的安全性 H3C S9500系列支持 IEEE 、AAA/Radius、HWTACACS，對用戶身份進(jìn)行合法性認(rèn)證；支持用戶分級管理，不同級別的用戶擁有不同的配置權(quán)限；支持安全的SNMPv3網(wǎng)管協(xié)議；支持安全的遠(yuǎn)程登錄SSH V2；支持受限 IP地址方式的 Telnet登錄。RPR 技術(shù)為用戶提供了高可靠的多業(yè)務(wù)傳輸解決方案。 高品質(zhì)QoS特性 H3C S9500系列支持完善的 QoS功能，支持流量監(jiān)管，粒度可精細(xì)化到8Kbps；支持流量整形，可基于端口或隊列靈活設(shè)置；支持報文DSCP優(yōu)先級、IP優(yōu)先級、TOS優(yōu)先級、COS優(yōu)先級以及 Exp 優(yōu)先級的重置功能；支持報文重定向功能，可根據(jù)網(wǎng)絡(luò)流量狀況靈活配置報文的轉(zhuǎn)發(fā)路徑；支持多種模式的隊列調(diào)度機制；支持多種擁塞避免機制。我們建議樓內(nèi)匯聚采用LS550028CSI匯聚交換機5臺提供萬兆鏈路主要負(fù)責(zé)用戶密集區(qū)域。 S5500SI 系列硬件支持 IPv4/IPv6 雙棧，其中 IPv4 支持靜態(tài)路由和 RIP 協(xié)議，IPv6 支持靜態(tài)路由和RIPng 協(xié)議。同時大大降低系統(tǒng)擴展的成本，保護(hù)了用戶投資。 S5500SI系列交換機通過支持POE和 Voice Vlan技術(shù)結(jié)合可以提供完整的語音設(shè)備管理方案，很好地解決了大量的IP PHONE的智能檢測、供電和優(yōu)先級的調(diào)整問題。支持集中式 MAC 地址認(rèn)證，可以基于端口和 MAC 地址對用戶的網(wǎng)絡(luò)訪問權(quán)限進(jìn)行控制的認(rèn)證方法，它不需要用戶安裝任何客戶端軟件， MAC 地址認(rèn)證。提供靈活的對列調(diào)度算法，可以同時基于端口和隊列進(jìn)行設(shè)置，支持 SP（Strict Priority）、 WRR （Weighted Round Robin）、 SP+WRR 三種模式。支持 CLI 命令行，Web 網(wǎng)管，TELNET，HGMPv2 集群管理，使設(shè)備管理更方便，并且支持 等加密方式，使得管理更加安全。鑒于上述特點，配合PVLAN、單端口環(huán)回檢測、端口速率限制、集群管理等手段，達(dá)到對學(xué)生可控、可管理的目的。另外，利用 DHCP Snooping 的信任端口特性還可以有效杜絕學(xué)生私設(shè) DHCP 服務(wù)器，保證DHCP環(huán)境的真實性和一致性。 E126A/E152教育網(wǎng)交換機支持集中式MAC 地址認(rèn)證和 ，支持用戶帳號、IP、MAC、VLAN、端口等用戶標(biāo)識元素的動態(tài)或靜態(tài)綁定，同時實現(xiàn)用戶策略（VLAN、QoS、ACL）的動態(tài)下發(fā)；支持配合H3C 公司的CAMS系統(tǒng)對在線用戶進(jìn)行實時的管理，及時的診斷和瓦解網(wǎng)絡(luò)非法行為。 E126A/E152教育網(wǎng)交換機支持跨交換機的遠(yuǎn)程端口鏡像 RSPAN，可以將接入端口的流量鏡像到核心交換機上，可以對全網(wǎng)業(yè)務(wù)和流量進(jìn)行監(jiān)控、優(yōu)化部署和惡意攻擊監(jiān)控，滿足校園網(wǎng)精細(xì)化管理的需要。 E126A/E152 教育網(wǎng)交換機采用專利技術(shù)允許交換機利用專用互聯(lián)電纜實現(xiàn)多達(dá) 16 臺設(shè)備的堆疊，最大擴展至768個10/100M 端口，支持 E126A和 E152混合堆疊。 E126A/E152 教育網(wǎng)交換機支持端口限速功能，限速粒度可達(dá) 64Kbps，防止惡意侵占網(wǎng)絡(luò)帶寬，也為網(wǎng)絡(luò)帶寬的精細(xì)化管理提供了手段。HWTACAC支持MAC地址學(xué)習(xí)數(shù)目限制 支持Security MAC 支持Sticky MAC 支持MAC地址黑洞 支持SSH 支持IP源地址保護(hù) 支持ARP 入侵檢測功能 支持ARP報文限速功能 支持端口隔離 支持IP＋端口的綁定 支持IP+MAC的綁定 支持端口＋MAC的綁定 支持IP+MAC+端口的綁定管理與維護(hù)支持XModem/FTP/TFTP加載升級 支持命令行接口（CLI），Telnet，Console口進(jìn)行配置 支持SNMPv1/v2/v3，WEB網(wǎng)管 支持RMON（Remote Monitoring）1，2，3，9組MIB 支持H3C iMC智能管理中心 支持系統(tǒng)日志，分級告警，調(diào)試信息輸出 支持IPv6 host，包括IPv6單播地址配置，ICMPv6，IPv6鄰居發(fā)現(xiàn)協(xié)議（ND），IPv6靜態(tài)路由，IPv6PING，IPv6TCP，IPv6TFTP，IPv6TELNET，IPv6TRACERT 支持Ping、Traceroute，Multicast Traceroute 支持Telnet遠(yuǎn)程維護(hù) 支持上電POST 支持VCT（Virtual Cable Test）電纜檢測功能 支持DLDP（Device Link Detection Protocol）單向鏈路檢測協(xié)議 支持Loopbackdetection 端口環(huán)回檢測無線AP特點：支持集中管理 WA2200 系列作為 Fit AP 和無線控制器或有線無線一體化交換機配合組網(wǎng)，大部分管理報文和數(shù)據(jù)報文都需要經(jīng)過無線控制器的統(tǒng)一處理。所有的這些操作都是自動完成的，不需要人工干預(yù)，減少了網(wǎng)絡(luò)維護(hù)的工作量。WA2110AG 也支持無線用戶采用 IPv6接入網(wǎng)絡(luò)。H3C 公司創(chuàng)新性地支持智能負(fù)載均衡技術(shù)，保證只對處于 AP 覆蓋重疊區(qū)的無線用戶才啟動 AP 負(fù)載均衡功能，有效的避免誤均衡的出現(xiàn)，從而最大限度的提高了無線網(wǎng)絡(luò)容量。 提供靈活的數(shù)據(jù)轉(zhuǎn)發(fā)方式 支持集中式轉(zhuǎn)發(fā)和分布式轉(zhuǎn)發(fā)。WA2200 系列無線接入點，可與 H3C無線控制器配合，支持兩種轉(zhuǎn)發(fā)方式，用戶可以根據(jù)需要，給 SSID設(shè)置轉(zhuǎn)發(fā)的類型。 支持橋接應(yīng)用 WA2200 系列可以配置射頻單元作為橋接使用，為連接兩個或多個物理上隔離的局域網(wǎng)接入點。對于采用光纖直連室外遠(yuǎn)距離組網(wǎng)的情況，可以直接采用 220V 電壓進(jìn)行本地供電。 支持光口上行 WA2210XG、WA2210XGE、WA2220XAG、WA2220XAGP 和 WA2220XAGE 五款室外型 AP都支持 SFP上行 FE 光口，用戶在室外部署時不用在配置額外的光電轉(zhuǎn)換器，減少了網(wǎng)絡(luò)故