【正文】 大學(xué)校園網(wǎng)網(wǎng)絡(luò)組建及 Inter 接入方案 24 整個(gè)安全結(jié)構(gòu)由主機(jī)系統(tǒng)認(rèn)證、 VLAN的設(shè)置、代理服務(wù)器的設(shè)置、路由系統(tǒng)的過濾功能、撥號認(rèn)證系統(tǒng)等幾大部分組成。 P580的 Crossbar交換結(jié)構(gòu)擴(kuò)展性極強(qiáng)，遠(yuǎn)遠(yuǎn)超過了市場上其他低帶寬交換機(jī)的 ShareBus(總線共享 )和 ShareMemory(存儲(chǔ)器共享 )的設(shè)計(jì)結(jié)構(gòu)。 Inter架構(gòu)服務(wù)器 IBM x2268648 I02服務(wù)器主要配置如下 ： 采用 2路英特爾 174。 內(nèi) 嵌基于 Web的配置功能，使安裝調(diào)試更加方便快捷。不但涉及許多技術(shù)問題，而且包括網(wǎng)絡(luò)設(shè)施、應(yīng)用平臺(tái)、信息資源、專業(yè)應(yīng)用、人員素質(zhì)等眾多成份的綜合化以及信息化教學(xué)環(huán)境系統(tǒng)的建設(shè)。 同時(shí)，我要感謝教育技術(shù)學(xué)授課的各位老師，正是由于他們的傳道、授業(yè)、解惑，讓我學(xué)到了專業(yè)知識(shí)，并從他們身 上學(xué)到了如何求知治學(xué)、如何為人處事。 我要感謝，非常感謝我的導(dǎo)師張偉老師。具體體現(xiàn)在兩個(gè)方面： 采用了經(jīng)典的 “ 三層層次模型 ” 和二層設(shè)計(jì)相結(jié)合的設(shè)計(jì)方法設(shè)計(jì)了高校校園網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu) ,具體設(shè)計(jì)了其核心層、分布層和接入層采用的方式和設(shè)備。 高可靠性 CajunP130系列交換機(jī)具有同朗訊骨干交換機(jī)相同的多級容錯(cuò)能力，包括多個(gè)專用交換芯片，分布式處理設(shè)計(jì)，端口容錯(cuò)，備份電源容錯(cuò)等等。 Cajun130為系列交換機(jī)可最多同時(shí)堆疊 4臺(tái)，能達(dá)到 192個(gè) 10/100M自適應(yīng)快速以太網(wǎng)端口，特別適合于較高密度的配線間。 核心主交換機(jī) CajunP580通過全分布式的 Crossbar交叉矩陣設(shè)計(jì)體系結(jié)構(gòu)實(shí)現(xiàn)骨干網(wǎng)絡(luò)的線速交換功能。 從上述內(nèi)容來看，整個(gè)校園網(wǎng)的安全結(jié)構(gòu)不應(yīng)是僅僅添置某一安全設(shè)備，而需要建立在整個(gè)網(wǎng)絡(luò)系統(tǒng)的平臺(tái)上，服務(wù)器、交換機(jī)、路由器到撥號服務(wù)器及相關(guān)的軟硬件都應(yīng)該被視為網(wǎng)絡(luò)安全的一部分。 西安培華學(xué)院本科畢業(yè)論文（設(shè)計(jì)） 大學(xué)校園網(wǎng)網(wǎng)絡(luò)組建及 Inter 接入方案 23 相對于防火墻，代理服務(wù)器則更注重對整個(gè)系統(tǒng)的管理功能，而不僅僅是發(fā)揮 “ 看門 ” 的功能。 由于虛擬網(wǎng)間的通信要經(jīng)過路由器，所以可在路由器上配置訪問控制表，以阻止來自非法地址的訪問。 網(wǎng)絡(luò)應(yīng)用系統(tǒng)的安全如表 。 西安培華學(xué)院本科畢業(yè)論文（設(shè)計(jì)） 大學(xué)校園網(wǎng)網(wǎng)絡(luò)組建及 Inter 接入方案 21 第 5 章 網(wǎng)絡(luò)安全研究 隨著計(jì)算機(jī)網(wǎng)絡(luò)的發(fā)展，網(wǎng)絡(luò)的安全問題也日趨嚴(yán)重。 AVAYA的 Cajun系列交換機(jī)產(chǎn)品可以根據(jù) IP地址、 MAC地址、端口等多種策略來劃分 VLAN，支持多鐘路由協(xié)議來實(shí)現(xiàn) VALN間的路由。核心層通過園區(qū)樓宇間的光纖連接（可采用多條千兆鏈路捆綁技術(shù)，提供高速的主干通道，未來可采用 10G的萬兆以太網(wǎng) )。骨干網(wǎng)由兩個(gè)帶有千兆位以太網(wǎng)或千兆位 Ether Channel 中繼線的第三層交換機(jī)所組成。因此，網(wǎng)絡(luò)各個(gè)部位都需要升級和變更。不過，它限制了網(wǎng)絡(luò)的擴(kuò)展能力，而且骨干網(wǎng)中的第三層交換機(jī)必須為網(wǎng) 中每個(gè)在線設(shè)備維持 ARP(地址解析協(xié)議 )條目。這些后來的分組視具體情況被第二層或第三層轉(zhuǎn)發(fā)。 局域網(wǎng)的接入部分直接與用戶相連，每一條接入鏈路只負(fù)責(zé)一個(gè)用戶的網(wǎng)絡(luò)數(shù)據(jù)。交換網(wǎng)絡(luò)可以平滑的過 渡到千兆網(wǎng)絡(luò)，且有強(qiáng)有力的工業(yè)支持，作為信息辦公網(wǎng)是一種合適的選擇。由于千兆以太網(wǎng)明顯借助于以太網(wǎng)，因此用戶能夠利用現(xiàn)有的知識(shí)基礎(chǔ)來管理和維護(hù)千兆網(wǎng)絡(luò)。 不要使網(wǎng)絡(luò)的各層總是完全的網(wǎng)狀的，訪問層通常不必考慮為網(wǎng)狀；分布層可以考慮部分的冗余；核心層連接最好是網(wǎng)狀 ，其目的是考慮電路冗余和網(wǎng)絡(luò)收斂速度的原因。分布交換機(jī)上行鏈路可以采用千兆捆綁技術(shù)實(shí)現(xiàn)高速骨干連接、下行為各接入層交換機(jī)提供百兆接口。 接入層為用戶提供了接入網(wǎng)絡(luò)的能力，接入層通過堆疊方式連接到分布層中，然后再通過分布層連接到網(wǎng)絡(luò)的主干。另外，分層結(jié)構(gòu)也能夠?qū)W(wǎng)絡(luò)的故障進(jìn)行很好的隔離。在傳統(tǒng)的網(wǎng)絡(luò)設(shè)計(jì)中，是將基本網(wǎng)絡(luò)職能和服務(wù)放在網(wǎng)絡(luò)的中心，并將共享帶寬放在用戶級。 “自頂向下”的設(shè)計(jì)思想 在本方案中采用了 “自頂向下 ”的設(shè)計(jì)思想。因此需要采取一定的預(yù)防措施，如對關(guān)鍵應(yīng)用和主干設(shè)備考慮有適當(dāng)?shù)娜哂唷? 先進(jìn)性和安全性 系統(tǒng)所有的組成要素均應(yīng)充分地考慮其先進(jìn)性。一般來說，一個(gè)校園網(wǎng)系統(tǒng)總體目標(biāo)往往是分布實(shí)施的，包括功能和規(guī)模的分布實(shí)施。千兆以太網(wǎng)提供 10 倍與快速以太網(wǎng)的性能，而價(jià)格遠(yuǎn)遠(yuǎn)低于其 10 倍。當(dāng)其他站點(diǎn)如 C 要與 A 和 B 通信時(shí)， C發(fā)出 ARP 尋址包，詢問 A 或 B 的 IP 地址對應(yīng)的 MAC 地址是什么，針對 C 發(fā)出的尋址包，第三層交換機(jī)會(huì)不假思索的送一個(gè)回復(fù)包給 C，告訴它 A 或 B 的 MAC 地址，以后 C當(dāng)然就會(huì)用 A 或 B 的 MAC 地址 “直接 ”與其通信。這是因?yàn)?，在這種情況下，流量控制、路由尋址等功能雖然也可以實(shí)現(xiàn)，但傳統(tǒng)路由的高延遲依然存在。這種集成化的結(jié)構(gòu)還引進(jìn)了策略 (Policy)管理屬性，它不僅使第二層與第三層相互關(guān)聯(lián)起來，而且還提供流量優(yōu)先權(quán)處理、安全性處理以及多種其他的靈活功能，如中繼、虛擬網(wǎng)和內(nèi)部企業(yè)網(wǎng)的動(dòng)態(tài)部署。但 VLAN 之間的通信仍需借助路由器。當(dāng)發(fā)送節(jié)點(diǎn)發(fā)送了一個(gè)廣播包后，該包就會(huì)擴(kuò)散到所有與交換機(jī)端口相連的子網(wǎng)中，而不管該子網(wǎng)是一個(gè) TCP/IP 子網(wǎng)還是一個(gè) IPX 子網(wǎng)。到目前為止，已基本形成了 “以交換機(jī)為中心 ”的 LAN 連接方案。體現(xiàn)在 VLAN 的概念上也是各有不同見解。 網(wǎng)關(guān) 網(wǎng)關(guān)又稱又稱為協(xié)議轉(zhuǎn)換器或網(wǎng)間連接器，它工作在 OSI 協(xié)議的傳輸層或更高層，是互聯(lián)網(wǎng)設(shè)備中最為復(fù)雜的設(shè)備，用于互聯(lián)不用體系結(jié)構(gòu)的網(wǎng)絡(luò)。 交換機(jī)有很多類型，每種交換機(jī)支持不同的速率和 LAN 類型，比如以太網(wǎng)、令牌環(huán)、 FDDI 和 ATM。 網(wǎng)管簡單，可選的 Web、 CLI 管理。 VLAN 的設(shè)計(jì)是系統(tǒng)集成的重點(diǎn)之一。 具備性能優(yōu)越的資源共享功能 ,以及校園網(wǎng)中各信息點(diǎn)之間的快速交換功能。多媒體的應(yīng)用對校園網(wǎng)的網(wǎng)絡(luò)帶寬和網(wǎng)絡(luò)速度提出了更高的要求。本文研究采用 業(yè)界一流的骨干級交換機(jī)交叉背板交換，分布式二 /三 /四層處理，無阻塞交換架構(gòu) ,保證全網(wǎng)全線速 10/100M 接入用戶桌面，在本系統(tǒng)中，服務(wù)器可選擇接入 100BaseTX、 1000BaseSX、 1000Base－ T，骨干交換機(jī)提供線速三層交換 ,接入層交換機(jī)線速二層交換保證全網(wǎng)無阻塞性能，支持 1000M上聯(lián)模塊，能夠根據(jù)業(yè)務(wù)流量的需要采用 TRUNK 功能，網(wǎng)管簡單，可選 Web、 CLI 管理 。在大學(xué)校園網(wǎng)建設(shè)中，應(yīng)充分兼顧信息資源共享與服務(wù)、多媒體教學(xué)和教務(wù)管理等因素對網(wǎng)絡(luò)的需求。業(yè)務(wù)網(wǎng)和管理網(wǎng)需要分開，所以建成后校 園網(wǎng)能提供多個(gè)網(wǎng)段的劃分以及隔離，并能做到靈活改變配置，適應(yīng)教學(xué)環(huán)境的變化和調(diào)整。 支持高速端口聚合，具有鏈路冗余和負(fù)載均衡的能力。 交換機(jī) 交換機(jī) [3]是用來提高 LAN 性能的數(shù)據(jù)鏈路層設(shè)備。網(wǎng)橋?qū)僮髑彝耆槐乜紤]幀的內(nèi)容，但網(wǎng)橋的操作既需要硬件也需要軟件 。 VLAN雖然解決了在二層交換機(jī)上劃分廣播域的問題，但虛擬局域網(wǎng)之間的通信仍需要借助速度較慢的傳統(tǒng)路由器。 （ 3）、 在多個(gè) VLAN 之間通信的問題，即 VLAN 之間的路由問題。二層交換機(jī)也可用于劃分子網(wǎng)。在通過路由器 連接的兩個(gè)子網(wǎng)中，子網(wǎng)間的廣播包不會(huì)互相擴(kuò)散。在這種情況下，人們自然會(huì)考慮 ： 能不能將交換機(jī)的高速性能和路由器的控制功能結(jié)合起來。路由層提供主要的 LAN 路由協(xié)議 ： IP、 IPX和 AppleTalk，并通過策略管理提供逐包式或直通式的第三層轉(zhuǎn)發(fā)技術(shù)。傳統(tǒng)路由器雖然可以轉(zhuǎn)發(fā)各種路由分組，但其延遲較高，轉(zhuǎn)發(fā)速度達(dá)不到線速。校園網(wǎng)已成為各學(xué)校必備的重要信息基礎(chǔ)設(shè)施，其規(guī)模和應(yīng)用水平己成為衡量學(xué)校教學(xué)與科研綜合實(shí)力的一個(gè)重要標(biāo)志。 綜上所述，本方案主要選擇千兆以太網(wǎng)技術(shù)來構(gòu)建用戶的需求，對二層節(jié)點(diǎn)和桌面微機(jī)的接入也采用快速以太網(wǎng)，建立一個(gè)基于多層、全交換的虛擬園區(qū)網(wǎng)絡(luò)。該系統(tǒng)所包含的內(nèi)容很多，將各種先進(jìn)的軟硬件設(shè)備有效地集成在一起，使系統(tǒng)的各個(gè)組成部分能充分發(fā)揮作用，協(xié)調(diào)一致地進(jìn)行高效工作。同時(shí)，應(yīng)從長遠(yuǎn)的技術(shù)發(fā)展來選擇具有很好前景的、較為先進(jìn)的技術(shù)和產(chǎn)品，以適應(yīng)系統(tǒng)未來的發(fā)展需要。因此，網(wǎng)絡(luò)所選網(wǎng)絡(luò)設(shè)備應(yīng)支持 SNMP、 RMON、 SMON 等協(xié)議，管理員通過網(wǎng)管工作站就能方便的進(jìn)行網(wǎng)絡(luò)管理、維護(hù)甚至修復(fù)。層次性網(wǎng)絡(luò)設(shè)計(jì)模型，由于其良好的伸縮能力、易于實(shí)現(xiàn)、易于排除故障、可預(yù)測性、協(xié)議支持、易于管理等特點(diǎn)，可充分滿足園區(qū)網(wǎng)絡(luò)的長期需求。多層網(wǎng)絡(luò)結(jié)構(gòu)最西安培華學(xué)院本科畢業(yè)論文（設(shè)計(jì)） 大學(xué)校園網(wǎng)網(wǎng)絡(luò)組建及 Inter 接入方案 12 有效地利用多種第三層業(yè)務(wù)，包括分段、負(fù)載分擔(dān)和故障恢復(fù)等。 在局域網(wǎng)環(huán) 境中，接入層主要功能如下 ： 提供交換的帶寬和第二層服務(wù)，如基于接口或 MAC 地址的 VLAN 成員資格和數(shù)據(jù)流過濾。該層提供了邊界定義，并在該處對潛在費(fèi)力的數(shù)據(jù)包操作進(jìn)行處理。應(yīng)該避免在 核心層使用像訪問控制列表和數(shù)據(jù)包過濾這類的功能。 這三種技術(shù)在很大程度上決定了傳輸數(shù)據(jù)的類型、網(wǎng)絡(luò)的響應(yīng)時(shí)間、吞吐率和利用率，以及網(wǎng)絡(luò)應(yīng)用等各種特性，其中最重要的是介質(zhì)訪問控制方法。交換網(wǎng)絡(luò)技術(shù)是目前解決網(wǎng)絡(luò)通信瓶頸問題的切實(shí)可行的最佳方案之一，它避免了 ETHERNET、 FDDI 的通信爭用問題。由于每臺(tái)交換機(jī)上都與眾多的客戶直接相連，這樣每一條主干網(wǎng)絡(luò)鏈路都直接負(fù)擔(dān)著數(shù)十個(gè)或更多的客戶的網(wǎng)絡(luò)流量。用于在子網(wǎng)之間交換分組的產(chǎn)品很多。然而，這也意味著每個(gè)設(shè)備是硬件固化的，用來交換特定第三層協(xié)議 (如 IP)。然而隨著模塊的增加，維持全網(wǎng)狀所需的鏈路數(shù)量以平方增長，并且，隨著鏈路數(shù)量的增加，子網(wǎng)和路由選擇等的數(shù)量也會(huì)增加， 網(wǎng)絡(luò)的復(fù)雜性也相應(yīng)提高。部分網(wǎng)狀設(shè)計(jì)中的一個(gè)問題是客戶機(jī)模 塊間的業(yè)務(wù)要通過邏輯中繼線才能互相訪問。第三層交換骨干網(wǎng)有以下幾方面的優(yōu)點(diǎn) ： 更少的路由對等 ； 無生成樹環(huán)路的靈活拓?fù)浣Y(jié)構(gòu) ； 骨干網(wǎng)中對多點(diǎn)發(fā)送與廣播業(yè)務(wù)可進(jìn)行控制 ； 可擴(kuò)展到任意規(guī)模 ： 每個(gè)分布層交換機(jī)有兩條等成本路徑與每個(gè)目的地網(wǎng)絡(luò)相連，任何鏈路故障的恢復(fù)非常迅速，可為骨干網(wǎng)提供雙倍的中繼容量。 VLAN 的設(shè)計(jì) 虛擬局域網(wǎng) (VLAN)就是一個(gè)計(jì)算機(jī)網(wǎng)絡(luò)，其中的計(jì)算機(jī)好像是被同一網(wǎng)線連接在一起，而實(shí)際上它們分別處于局域網(wǎng)不同區(qū)域，是一組邏輯上的設(shè)備或用戶。 西安培華學(xué)院本科畢業(yè)論文（設(shè)計(jì)） 大學(xué)校園網(wǎng)網(wǎng)絡(luò)組建及 Inter 接入方案 20 組播支持 AVAYA的 Cajun交換設(shè)備支持的多播路由協(xié)議有：支持多播組用戶的注冊或取消的IGMP(Inter Group Management Protocol)，通過 IGMP實(shí)現(xiàn)交換機(jī)本地多播用戶的監(jiān)控與多播的發(fā)送。 一個(gè)系統(tǒng)存在的安全問題可能來源于兩個(gè)方面 ： 安全控制機(jī)構(gòu)有故障或系統(tǒng)安全定義有缺陷。但相對而言，內(nèi)部的安全問題可以預(yù)測，并可依此制定相應(yīng)的防范措施，防止來自單位內(nèi)部的非法訪問和惡意破壞。 設(shè)置高性能的代理服務(wù)器 高性能的代理服務(wù)器可以提高網(wǎng)絡(luò)線路的利用率，而且它在安全性方 面更有其優(yōu)越的功能 [17]。只設(shè)立防火墻系統(tǒng)，而沒有全面的安全策略，那么防火墻也形同虛設(shè)。在高校校園網(wǎng)絡(luò)的設(shè)計(jì)方案中，提供了多種安全性機(jī)制供用戶選擇組合，如認(rèn)證、授權(quán)、記賬 (審計(jì) )、數(shù)據(jù)加密、物理安全性等 [19]。 核心主交換機(jī)技術(shù)指標(biāo)如下： 機(jī)箱 ： 七個(gè)槽口， 6個(gè)用戶模塊槽口 (在全冗余配置下，只占用 2個(gè)插口 )； 背板帶寬 ： 55+Gbps (具有更高的擴(kuò)展能力 )； 10G萬兆以太網(wǎng)就緒 ； 第二層交換可高達(dá) 40Mpps； 第三層路由可高達(dá) 40Mpps； 第二層及多層 (第二層 /第三層 )模塊 (軟件密鑰升級 )； 支持 48個(gè)千兆位以太網(wǎng)絡(luò)端口， 288個(gè) 10/100以太網(wǎng)端口或 44個(gè)光纖快速以太網(wǎng)端口，具有 OC3/STM1和 OC12/STM4 ATM模塊； 容錯(cuò)式風(fēng)扇、電源、管理模塊、交換引擎背板 ； 獨(dú)特的 Open Trunk虛擬網(wǎng)協(xié)同工作能力 ； 支持服務(wù)等級 /服務(wù)質(zhì)量 /RSVP； 1 隊(duì)列管理 ： 8個(gè)硬件優(yōu)先級隊(duì)列和優(yōu)化多點(diǎn)廣播的隊(duì)列管理引擎。至強(qiáng) ? 處理 器， Intel EM64T； 512K全速二級緩存 ； 512MB標(biāo)配 /16GB 最大 PC23200 400MHz ECC DDR2內(nèi)存； SCSI Ultra 160 1萬轉(zhuǎn)硬盤 ； DVD光驅(qū) ； 6組 SCSI熱插拔硬盤槽位 560W電源 ； 集成的千兆以太網(wǎng) 卡 ； Intel174。 擁塞控制 Ca