【正文】 成式安全特性；l 為提供更加靈活的策略，能夠為每個端口和VLAN 實(shí)施不同的QoS；l 思科快速轉(zhuǎn)發(fā)能夠防止可變IP 信息攻擊。l 能夠適應(yīng)未來發(fā)展并保護(hù)投資的體系結(jié)構(gòu)在同一種機(jī)箱中支持三代可互換、可熱插拔的模塊，以提高IT 基礎(chǔ)設(shè)施利用率，增大投資回報，并降低總體擁有成本。PoE） 數(shù)量：2 臺。校內(nèi)各系的匯聚交換機(jī)構(gòu)成，各分布層交換機(jī)放置在各系的網(wǎng)絡(luò)中心，要求至少兩路上行鏈路連至兩臺核心層交換機(jī)上。核心層網(wǎng)絡(luò)選擇千兆以太網(wǎng)。根據(jù)地理位置及信息點(diǎn)的數(shù)量和未來覆蓋面擴(kuò)充等多方面原因，將校園網(wǎng)為每個系劃分若干個區(qū)域。虛擬專用網(wǎng)（VPN）被定義為通過一個公用網(wǎng)絡(luò)（通常是因特網(wǎng)）建立一個臨時的、安全的連接，是一條穿過混亂的公用網(wǎng)絡(luò)的安全、穩(wěn)定的隧道。全部的網(wǎng)絡(luò)設(shè)備均支持高效的Intranet 多媒體和多點(diǎn)廣播技術(shù)，為多媒體和多點(diǎn)廣播應(yīng)用等提供端到端的帶寬保證。因此，我們需要做的工作是宿舍區(qū)和教學(xué)區(qū)的網(wǎng)絡(luò)互聯(lián),以及教學(xué)區(qū)的網(wǎng)絡(luò)擴(kuò)展。采用的技術(shù)標(biāo)準(zhǔn)必須按照國際標(biāo)準(zhǔn)和國家標(biāo)準(zhǔn)與規(guī)范，保證系統(tǒng)的延續(xù)性和可靠性。XX學(xué)院校園網(wǎng)設(shè)計方案設(shè)計原則和需求分析，可以方便地進(jìn)行設(shè)備擴(kuò)充和適應(yīng)工程的變化，以及靈活地進(jìn)行軟件版本的更新和升級，保護(hù)用戶的投資。系統(tǒng)的設(shè)計既要在相當(dāng)長的時間內(nèi)保證其先進(jìn)性，還應(yīng)本著實(shí)用的原則，在實(shí)用的基礎(chǔ)上追求先進(jìn)性，使系統(tǒng)便于聯(lián)網(wǎng)，實(shí)現(xiàn)信息資源共享。 校園網(wǎng)設(shè)計原則采用先進(jìn)成熟的技術(shù)和設(shè)計思想，運(yùn)用先進(jìn)的集成技術(shù)路線，以先進(jìn)、實(shí)用、開放、安全、使用方便和易于操作為原則，突出系統(tǒng)功能的實(shí)用性，盡快投入使用，發(fā)揮較好的效能。對于XX學(xué)院來說，以上所說在不同的場合中都有可能用到；另外，降低網(wǎng)絡(luò)的復(fù)雜性、提供備用互聯(lián)網(wǎng)出口、強(qiáng)大的網(wǎng)絡(luò)監(jiān)控功能及良好的用戶培訓(xùn)也可增加園區(qū)網(wǎng)的可用性。但根據(jù)XX學(xué)院目前的實(shí)際情況，可先采用千兆位以太網(wǎng)作為園區(qū)骨干，以后再根據(jù)需要升級；另外交換機(jī)及路由器本身的性能對整個網(wǎng)絡(luò)的性能也有影響，諸如線速轉(zhuǎn)發(fā)、QoS、STP、可支持的路由協(xié)議的收斂特性等等都將影響網(wǎng)絡(luò)的性能。由于校園網(wǎng)絡(luò)的開放性和流量的多樣性，學(xué)校要求能及時發(fā)現(xiàn)網(wǎng)絡(luò)異常流量并做出響應(yīng)。學(xué)校規(guī)模在不斷擴(kuò)大中，用戶數(shù)在持續(xù)增加，要求網(wǎng)絡(luò)具有很好的擴(kuò)展性，能夠根據(jù)需要逐步平滑升級到千兆的骨干連接。XX校園網(wǎng)絡(luò)設(shè)計方案書目 錄第一章 建設(shè)目標(biāo)與原則 3 XX學(xué)院網(wǎng)絡(luò)建設(shè)目標(biāo) 3 校園網(wǎng)設(shè)計原則 4第二章 校園網(wǎng)建設(shè)方案 6 搭建校園網(wǎng)絡(luò)系統(tǒng) 6 7 IP地址規(guī)劃 8 設(shè)備選型 9 網(wǎng)絡(luò)安全設(shè)計 11 網(wǎng)絡(luò)管理系統(tǒng)設(shè)計 14第三章 網(wǎng)絡(luò)應(yīng)用解決方案 17 綜合辦公自動化系統(tǒng) 17 網(wǎng)絡(luò)計費(fèi)系統(tǒng) 17第四章 網(wǎng)絡(luò)的綜合布線系統(tǒng) 19 綜合布線標(biāo)準(zhǔn) 19 19 19 22參考文獻(xiàn) 24第一章 建設(shè)目標(biāo)與原則 XX學(xué)院網(wǎng)絡(luò)建設(shè)目標(biāo)學(xué)校共有員工和學(xué)生9000 人,院區(qū)內(nèi)共有12 棟建筑,包括教學(xué)樓、實(shí)驗樓、現(xiàn)教樓、圖書館、宿舍樓等。學(xué)生擁有筆記本電腦的人數(shù)越來越多，他們想在校園的各個地方都可以上網(wǎng)，甚至包括操場。同時要求基于每用戶的速率限制。高可用性：網(wǎng)絡(luò)的高可用性必須依靠冗余來實(shí)現(xiàn)，網(wǎng)絡(luò)級冗余性可以利用雙宿主設(shè)計自動繞過故障鏈路或設(shè)備，能夠使用智能協(xié)議保持網(wǎng)絡(luò)可靠性。高安全性：現(xiàn)階段網(wǎng)絡(luò)建設(shè)主要面臨以下幾方面的問題：網(wǎng)絡(luò)流量增長得很快，與此同時網(wǎng)絡(luò)運(yùn)營商的接入費(fèi)用不降反升；管理人員對校園網(wǎng)的運(yùn)行情況缺乏基本的分析和管理工具；網(wǎng)絡(luò)安全事件時有發(fā)生，重要服務(wù)器和核心網(wǎng)絡(luò)設(shè)備被攻擊；網(wǎng)絡(luò)病毒泛濫，得不到控制；有線用戶和無線用戶的接入控制、定位缺乏手段等；針對以上問題，將安全連接、威脅防御、信用和身份管理系統(tǒng)集成到單個解決方案中，并提供病毒感染限制、染毒設(shè)備隔離功能可有效的解決校園網(wǎng)建設(shè)中的安全問題。計算機(jī)技術(shù)的發(fā)展十分迅速，更新?lián)Q代周期越來越短。易于維護(hù)管理，具有廣泛兼容性，同時為適應(yīng)我國實(shí)際情況，設(shè)備應(yīng)具有使用靈活、操作方便的漢字、圖形處理功能。目前，網(wǎng)絡(luò)向多平臺、多協(xié)議、異種機(jī)、異構(gòu)型網(wǎng)絡(luò)共存方向發(fā)展，其目標(biāo)是將不同機(jī)器、不同操作系統(tǒng)、不同的網(wǎng)絡(luò)類型連成一個可協(xié)同工作的一個整體。滿足系統(tǒng)目標(biāo)與功能目標(biāo)，總體方案設(shè)計合理，滿足用戶的應(yīng)用要求，便于系統(tǒng)維護(hù)，以及系統(tǒng)二次開發(fā)與移植。本方案采用成熟的千兆以太網(wǎng)技術(shù)，采用分層結(jié)構(gòu)的解決方案。網(wǎng)絡(luò)采用層次結(jié)構(gòu)，不僅邏輯結(jié)構(gòu)清晰，管理方便；更重要的是大多數(shù)的數(shù)據(jù)流量（主要是同一部門或工作組內(nèi)）的交換在分布層交換機(jī)上直接處理，不經(jīng)中心設(shè)備，節(jié)省主干帶寬，提高利用率。虛擬專用網(wǎng)是對企業(yè)內(nèi)部網(wǎng)的擴(kuò)展。劃分區(qū)域主要考慮以下幾個方面：可以減輕中央核心交換機(jī)的負(fù)擔(dān)、管理上方便、便于未來的連接擴(kuò)充。校網(wǎng)絡(luò)中心將放置兩臺高端三層千兆交換機(jī)和一臺邊界路由器。分布層交換的下連交換機(jī)都為接入層網(wǎng)絡(luò)。Cisco Catalyst 6509 的優(yōu)點(diǎn)：l 最長的網(wǎng)絡(luò)正常運(yùn)行時間利用平臺、電源、控制引擎、交換矩陣和集成網(wǎng)絡(luò)服務(wù)冗余性提供1～3 秒的狀態(tài)故障切換，提供應(yīng)用和服務(wù)連續(xù)性統(tǒng)一在一起的融合網(wǎng)絡(luò)環(huán)境，減少關(guān)鍵業(yè)務(wù)數(shù)據(jù)和服務(wù)的中斷。l 卓越的服務(wù)集成和靈活性將安全和內(nèi)容等高級服務(wù)與融合網(wǎng)絡(luò)集成在一起，提供從10/100 和10/100/1000 以太網(wǎng)到萬兆以太網(wǎng)，從DS0 到OC48 的各種接口和密度，并能夠在任何部署項目中端到端執(zhí)行。l 端口安全、DHCP 偵聽、ARP 檢測和IP 源防護(hù)能夠防止黑客從第二層及以上發(fā)動拒絕服務(wù)（DoS）攻擊或破壞網(wǎng)絡(luò)。l 硬件Netflow 可用于主動發(fā)現(xiàn)網(wǎng)絡(luò)流量異常，并采取相應(yīng)措施?？蛻艨稍谡麄€網(wǎng)絡(luò)范圍中部署智能服務(wù)，如高級QoS 、速率限制、訪問控制列表、組播管理和高性能IP 路由等，且同時保持傳統(tǒng)LAN 交換的簡潔性。采取的安全措施不能影響整個網(wǎng)絡(luò)運(yùn)行效率。防火墻是設(shè)置在內(nèi)部網(wǎng)絡(luò)與Internet 之間的一個或一組系統(tǒng)，用以實(shí)施兩個網(wǎng)絡(luò)間的訪問控制和安全策略。連接功能作為內(nèi)部網(wǎng)絡(luò)與Internet 之間的單一連接點(diǎn)。比如CISCO ASA5510BUNK9系列：l 并發(fā)連接數(shù) 130000 l 網(wǎng)絡(luò)吞吐量(Mbps) 300 l 安全過濾帶寬 170Mbps l 網(wǎng)絡(luò)端口 3+1個管理快速以太網(wǎng)端口、可升級到5個快速以太網(wǎng)端口、1個SSM 擴(kuò)展插槽 l 用戶數(shù)限制無用戶數(shù)限制 l 入侵檢測 DoS l 安全標(biāo)準(zhǔn)UL 1950, CSA No. 950, EN 60950 IEC 60950, AS/NZS3260, TS001 l 控制端口console l 管理思科安全管理器 (CSManager)l VPN支持 選擇該型號是因為價格適中,且功能齊全,較適合本校園網(wǎng)建設(shè)。防火墻在內(nèi)外網(wǎng)絡(luò)連接中起兩個作用：l 利用訪問控制列表（Access Control List ，ACL）實(shí)安全防護(hù)防火墻操作系統(tǒng)IOS 通過訪問控制列表（ACL）技術(shù)支持包過濾防火墻技術(shù)，根據(jù)事先確定的安全策略建立相應(yīng)的訪問列表，可以對數(shù)據(jù)包、路由信息包進(jìn)行攔截與控制，可以根據(jù)源/目的地址、協(xié)議類型、TCP 端口號進(jìn)行控制。進(jìn)行IP 地址轉(zhuǎn)換由兩個好處：其一是隱藏內(nèi)部網(wǎng)絡(luò)真正的IP 地址，這可以使黑客（hacker）無法直接攻擊內(nèi)部網(wǎng)絡(luò)，因為它不知道內(nèi)部網(wǎng)絡(luò)的IP 地址及網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)；另一個好處是可以讓內(nèi)部網(wǎng)絡(luò)使用自己定義的網(wǎng)絡(luò)地址方案，而不必考慮與外界地址沖突的情況。CISCO 局域網(wǎng)交換機(jī)的一大優(yōu)勢是具備跨交換機(jī)的VLAN（虛網(wǎng)）劃分和VLAN