【正文】 控制使整個(gè)校園網(wǎng)絡(luò)能高速、安全的運(yùn)行。匯聚層交換機(jī)可以采用一款可堆疊的網(wǎng)管型以太網(wǎng)交換機(jī)，半/全雙工模式自適應(yīng)，具有擴(kuò)展槽，能使用多種可選模塊。IP網(wǎng)絡(luò)中引入QoS技術(shù)，就是為了確保實(shí)時(shí)業(yè)務(wù)的通信質(zhì)量，滿足各種業(yè)務(wù)對(duì)網(wǎng)絡(luò)資源的需求，使網(wǎng)上資源獲得最佳利用，降低成本，改善對(duì)用戶的服務(wù)5. 可靠的網(wǎng)絡(luò)安全設(shè)計(jì)安全性是網(wǎng)絡(luò)設(shè)計(jì)要考慮的最重要的因素之一，設(shè)計(jì)中充分考慮了網(wǎng)絡(luò)的安全性，具體體現(xiàn)在以下幾個(gè)方面：(1)通過(guò)VLAN的劃分，限制了不同VLAN之間的互訪，從而保證了不同網(wǎng)絡(luò)之間不會(huì)發(fā)生未經(jīng)授權(quán)的非法訪問。（2）支持通用的網(wǎng)絡(luò)管理協(xié)議如（SNMP），方便網(wǎng)絡(luò)的管理和維護(hù)。 思科公司的cisco850路由器是這一網(wǎng)絡(luò)的核心設(shè)備，可降低擁有成本，簡(jiǎn)化遠(yuǎn)程管理，提供結(jié)合CSU/DSU、復(fù)用器、調(diào)制解調(diào)器、語(yǔ)音/數(shù)據(jù)網(wǎng)關(guān)、ISDN NT防火墻、VPN、加密和壓縮設(shè)備的集成化網(wǎng)絡(luò)。 這套方案的好處是簡(jiǎn)便易行，成本很低，并且兼顧了教學(xué)、管理和通訊三方面應(yīng)用。由于各部門之間在地域位置上并不一定集中，但需要統(tǒng)一管理，因此我們建議采用行政隸屬的方式劃分IP地址段。一個(gè)網(wǎng)段內(nèi)的信息節(jié)點(diǎn)數(shù)在40 200個(gè)時(shí)，性能和地址資源的最佳利用性較理想，并且將來(lái)可擴(kuò)充到254個(gè)。 快速以太網(wǎng)是一種非常成熟的組網(wǎng)技術(shù)，造價(jià)很低，性能價(jià)格比很高，可作為資金不很充裕的中小型單位組建Intranet網(wǎng)的首選技術(shù)。從目前的趨勢(shì)來(lái)看，采用快速以太網(wǎng)技術(shù)是最適宜的。其中，網(wǎng)絡(luò)速率要求主要的信息點(diǎn)100M交換到桌面，園區(qū)網(wǎng)中各終端間具有快速交換功能。 5. 安全性網(wǎng)絡(luò)系統(tǒng)應(yīng)具有良好的安全性，由于網(wǎng)絡(luò)連接園區(qū)內(nèi)部所有用戶，安全管理十分重要。所以網(wǎng)絡(luò)系統(tǒng)應(yīng)能支持IP Multicast，可以減少網(wǎng)絡(luò)中不必要的廣播，節(jié)省主干的帶寬。（四）軟件應(yīng)用在客戶終端上還必須要安裝些應(yīng)用軟件來(lái)保證和維護(hù)校園辦公和教務(wù)的正常進(jìn)行：1. 殺毒軟件　　360安全衛(wèi)士是國(guó)內(nèi)最受歡迎免費(fèi)安全軟件，它擁有查殺流行木馬、清理惡評(píng)及系統(tǒng)插件，管理應(yīng)用軟件，卡巴斯基殺毒，系統(tǒng)實(shí)時(shí)保護(hù)，修復(fù)系統(tǒng)漏洞等數(shù)個(gè)強(qiáng)勁功能，同時(shí)還提供系統(tǒng)全面診斷，彈出插件免疫，清理使用痕跡以及系統(tǒng)還原等特定輔助功能，并且提供對(duì)系統(tǒng)的全面診斷報(bào)告，方便用戶及時(shí)定位問題所在，真正為每一位用戶提供全方位系統(tǒng)安全保護(hù)。它的功能可大致分為兩大類：繪圖與排版。（3）攻擊或病毒源機(jī)器的快速定位、隔離問題。另一個(gè)顯著的問題就是帶有攻擊特性的ARP欺騙。這些病毒，可以在極短的時(shí)間內(nèi)迅速感染大量系統(tǒng)，甚至造成網(wǎng)絡(luò)癱瘓和信息失竊，給客戶造成嚴(yán)重?fù)p失。如果不能及時(shí)對(duì)故障源準(zhǔn)確地定位、迅速地隔離，將會(huì)導(dǎo)致嚴(yán)重的后果，即使在網(wǎng)絡(luò)恢復(fù)正常后隱患依然存在。目前這類攻擊和欺騙工具已經(jīng)非常成熟和易用。通過(guò)配置Port Security可以控制：(1) 端口上最大可以通過(guò)的MAC地址數(shù)量(2) 端口上學(xué)習(xí)或通過(guò)哪些MAC地址(3) 對(duì)于超過(guò)規(guī)定數(shù)量的MAC處理進(jìn)行違背處理端口上學(xué)習(xí)或通過(guò)哪些MAC地址，可以通過(guò)靜態(tài)手工定義，也可以在交換機(jī)自動(dòng)學(xué)習(xí)。在沒有DHCP的環(huán)境中，如數(shù)據(jù)中心，綁定條目可能被靜態(tài)定義，每個(gè)DHCP綁定條目包含客戶端地址（一個(gè)靜態(tài)地址或者一個(gè)從DHCP服務(wù)器上獲取的地址）、客戶端MAC地址、端口、VLAN ID、租借時(shí)間、綁定類型。（5）經(jīng)濟(jì)性在滿足應(yīng)用要求的基礎(chǔ)上，盡可能低造價(jià)。（二）系統(tǒng)設(shè)計(jì)原則1. 設(shè)計(jì)原則(1)設(shè)計(jì)標(biāo)準(zhǔn)：ISO 11801國(guó)際綜合布線標(biāo)準(zhǔn)IEEE 802標(biāo)準(zhǔn)EIA/TIA 568工業(yè)標(biāo)準(zhǔn)及國(guó)際商務(wù)建筑布線標(biāo)準(zhǔn)(2)安裝與設(shè)計(jì)規(guī)范建筑與建筑群綜合布線系統(tǒng)工程設(shè)計(jì)規(guī)范CECS 72:97建筑與建筑群綜合布線工程施工及驗(yàn)收規(guī)范CECS 89:97中國(guó)建筑電氣設(shè)計(jì)規(guī)范工業(yè)企業(yè)通信設(shè)計(jì)規(guī)范2. 設(shè)計(jì)目標(biāo)（1）實(shí)用性實(shí)施后的布線系統(tǒng)，將能夠在現(xiàn)在和將來(lái)適應(yīng)技術(shù)的發(fā)展，并且實(shí)現(xiàn)數(shù)據(jù)通信、語(yǔ)音通信、圖像通信。(2) Protect：丟棄非法流量，不報(bào)警。Cisco Catalyst交換機(jī)的端口安全（Port Security）和動(dòng)態(tài)端口安全功能可被用來(lái)阻止MAC泛濫攻擊。因?yàn)槿魏我粋€(gè)合法用戶都能獲取一個(gè)以太網(wǎng)端口的訪問權(quán)限，這些用戶都有可能成為黑客，同時(shí)由于設(shè)計(jì)OSI模型的時(shí)候，允許不同通信層在相互不了解情況下也能進(jìn)行工作，所以第二層的安全就變得至關(guān)重要。當(dāng)出現(xiàn)IP地址被非法使用、IP地址沖突，或網(wǎng)絡(luò)出現(xiàn)異常流量包括由于網(wǎng)絡(luò)掃描、病毒感染和網(wǎng)絡(luò)攻擊產(chǎn)生的流量，為了查找這些IP地址的機(jī)器，一般采用如下步驟： (1) 確定出現(xiàn)問題的IP地址。如果黑客想探聽同一網(wǎng)絡(luò)中兩臺(tái)主機(jī)之間的通信（即使是通過(guò)交換機(jī)相連），他會(huì)分別給這兩臺(tái)主機(jī)發(fā)送一個(gè)ARP 應(yīng)答包，讓兩臺(tái)主機(jī)都“誤”認(rèn)為對(duì)方的MAC地址是第三方黑客所在的主機(jī)，這樣，雙方看似“直接”的通信連接，實(shí)際上都是通過(guò)黑客所在的主機(jī)間接進(jìn)行的。改動(dòng)后的IP地址在局域網(wǎng)中運(yùn)行時(shí)可能出現(xiàn)以下情況。 五、校園網(wǎng)絡(luò)安全接入　?。ㄒ唬┬@網(wǎng)絡(luò)安全校園網(wǎng)絡(luò)承擔(dān)著整個(gè)校園的通訊樞紐功能，連接著所有的應(yīng)用服務(wù)器和數(shù)據(jù)系統(tǒng)，任何網(wǎng)絡(luò)安全問題都會(huì)擾亂學(xué)校辦公、教務(wù)的正常運(yùn)轉(zhuǎn)，給學(xué)校帶來(lái)不可彌補(bǔ)的損失?？梢哉f(shuō)，Norton Ghost是安裝、升級(jí)、維護(hù)計(jì)算機(jī)系統(tǒng)的最佳軟件。具有強(qiáng)大的網(wǎng)絡(luò)功能和可二次開發(fā)性?？蓪?duì)接入因特網(wǎng)的各網(wǎng)絡(luò)用戶進(jìn)行權(quán)限控制。3. 易擴(kuò)展的網(wǎng)絡(luò)系統(tǒng)要有可擴(kuò)展性和可升級(jí)性。（二）網(wǎng)絡(luò)產(chǎn)品選型 校區(qū)網(wǎng)絡(luò)建設(shè)應(yīng)該以應(yīng)用為核心，在設(shè)計(jì)中充分考慮到教育管理和多媒體教學(xué)的要求，并且網(wǎng)絡(luò)技術(shù)上應(yīng)該具有一定的先進(jìn)性，同時(shí)還要為以后的擴(kuò)展留有一定的空間。但是，網(wǎng)絡(luò)帶寬的實(shí)際利用率很低。專業(yè)機(jī)房臺(tái)式PC機(jī)16臺(tái)萬(wàn)博機(jī)房一臺(tái)式PC機(jī)16臺(tái)萬(wàn)博機(jī)房二臺(tái)式PC機(jī)18臺(tái)教室一2臺(tái)（臺(tái)式機(jī)1臺(tái)、筆記本1臺(tái)）教室二2臺(tái)（臺(tái)式機(jī)1臺(tái)、筆記本1臺(tái)）教室三臺(tái)式PC機(jī)19臺(tái)多媒體教室2臺(tái)（臺(tái)式機(jī)1臺(tái)、筆記本1臺(tái)）辦公室10臺(tái)（臺(tái)式機(jī)5臺(tái)、筆記本5臺(tái)）校長(zhǎng)室筆記本1臺(tái)學(xué)生會(huì)辦公室臺(tái)式PC機(jī)2臺(tái)咨詢室1臺(tái)式PC機(jī)1臺(tái)咨詢室2筆記本2臺(tái)前臺(tái)臺(tái)式PC機(jī)1臺(tái)子網(wǎng)號(hào)IP網(wǎng)段默認(rèn)網(wǎng)關(guān)說(shuō)明CHJW（包括教室三清華萬(wàn)博六班、萬(wàn)博1機(jī)房等所有的教務(wù)場(chǎng)所）CHGW（包括校長(zhǎng)室、辦公室等所有辦公場(chǎng)所）四、組網(wǎng)技術(shù)及產(chǎn)品選擇（一）組網(wǎng)技術(shù)選擇在校園網(wǎng)絡(luò)的建設(shè)中，主干網(wǎng)選擇何種網(wǎng)絡(luò)技術(shù)對(duì)網(wǎng)絡(luò)建設(shè)的成功與否起著決定性的作用。該技術(shù)避開了物理位置的缺陷，可以在邏輯上靈活組網(wǎng)。針對(duì)這種情況，可以采用不同的技術(shù)使私有地址能夠訪問公網(wǎng)資源。傳輸穩(wěn)定，連接迅速。網(wǎng)絡(luò)鏈路的冗余備份考慮（三）系統(tǒng)組成與拓?fù)浣Y(jié)構(gòu)校園網(wǎng)的建設(shè)主要是為了教學(xué)應(yīng)用，而多媒體輔助教學(xué)和多媒體教室是教學(xué)應(yīng)用的核心，在網(wǎng)絡(luò)建設(shè)時(shí)應(yīng)考慮多媒體信息的特點(diǎn)，如信息量大，對(duì)時(shí)間延遲敏感等；在校園網(wǎng)中常會(huì)出現(xiàn)幾十個(gè)學(xué)生執(zhí)行相同操作的現(xiàn)象，所以要考慮并發(fā)信息的控制；學(xué)生利用網(wǎng)絡(luò)做作業(yè)，教師要在家撥號(hào)訪問學(xué)校網(wǎng)絡(luò)，學(xué)籍管理信息在網(wǎng)上傳輸，所以也要考慮網(wǎng)絡(luò)的安全性，防止黑客破壞網(wǎng)絡(luò)，學(xué)生抄襲作業(yè)；校園網(wǎng)又是面向不同知識(shí)層次的教師、學(xué)生和辦公人員的工具，它幫助我們更好地提高教學(xué)水平、辦公效率和學(xué)習(xí)興趣，所以應(yīng)用和管理應(yīng)簡(jiǎn)便易行，界面友好，不宜太專業(yè)化。(4)制定嚴(yán)格的安全制度，包括人員審查制度、崗位定職定責(zé)制度、使用計(jì)算機(jī)的權(quán)限制度以及防病毒制度，從制度上保證網(wǎng)絡(luò)安全性得以實(shí)現(xiàn)。4. 完善的QOS功能帶寬控制特性以太網(wǎng)是一種基于廣播機(jī)制的共享型技術(shù)，任何一個(gè)位于以太網(wǎng)上的用戶均可以向網(wǎng)上發(fā)送信息，在以太網(wǎng)的技術(shù)中沒有具體帶寬控制的機(jī)理。實(shí)現(xiàn)基于VLANID/MAC地址、接入模塊號(hào)和接入設(shè)備號(hào)的全程用戶唯一標(biāo)識(shí)，便于用戶管理（開戶、銷戶、欠費(fèi)停機(jī)等）和網(wǎng)絡(luò)故障維護(hù)。核心交換機(jī)應(yīng)采用模塊化設(shè)計(jì)，有良好的擴(kuò)展性能、多種接入模塊；具備增強(qiáng)的網(wǎng)絡(luò)傳輸