【正文】 ..............................................6 方案說(shuō)明 ................................................6 用戶(hù)上網(wǎng)方案 ...........................................8 IP 地址規(guī)劃和路由設(shè)計(jì) ....................................8 安全與流量控制 ..........................................9 方案特點(diǎn) ................................................12 4 結(jié)論 ....................................................17 致謝 ..........................................................18 V 參考文獻(xiàn) ..................................................19 附件一 網(wǎng)絡(luò)設(shè)備技術(shù)參數(shù) ...................................20 1000 千兆防火墻 /VPN 網(wǎng)關(guān) ........................20 系列包含二款路由器： RGR3642 和 RGR3662........21 附 件二 有關(guān)專(zhuān)業(yè)名詞解釋 ...................................24 1. VLAN........................................24 2. 網(wǎng)絡(luò)地址轉(zhuǎn)換 (NAT)...................................25 3. DDN.................................................26 4. QoS.................................................26 5. BASEFX、 BASETX、 BASELX、 BASESX....................27 1 前 言 人們的生活中已經(jīng)起到了越來(lái)越重要的作用。有收集、綜合和正確利用各種信息的能力。計(jì)算機(jī)和網(wǎng)絡(luò)已經(jīng)成為各行各業(yè)在工作中的工具，是否掌握計(jì)算機(jī)的技術(shù)和應(yīng)用，已 經(jīng)成為衡量一個(gè)從業(yè)者是否合格的重要標(biāo)識(shí) 。 隨著計(jì)算機(jī)技術(shù)、網(wǎng)絡(luò)技術(shù)的發(fā)展，網(wǎng)絡(luò)設(shè)備的價(jià)格不斷下降；同時(shí)國(guó)家各級(jí)政府對(duì) 于教育的投入不斷增加，大量計(jì)算機(jī)進(jìn)入了校園，組建校園網(wǎng)不僅是十分迫切的工作，可行性也非常高。校園網(wǎng)存在多個(gè)出口需求，校園網(wǎng)至少要提供中國(guó)教育科研網(wǎng)（ CERNET ）和 INTERNET 兩個(gè)出口。校園網(wǎng)要求能實(shí)現(xiàn)對(duì)用戶(hù)帶寬的動(dòng)態(tài)控制。形成在校園內(nèi)部、校園與 外部進(jìn) 行信息溝通的體系，建立滿(mǎn)足教學(xué)、科研和管理需求的計(jì)算機(jī)環(huán)境，為學(xué)校各種人員 提供充分的網(wǎng)絡(luò)信息服務(wù)，在網(wǎng)絡(luò)環(huán)境中進(jìn)行教學(xué)、研究、收集信息等工作。另一方面，學(xué)校的應(yīng)用水平較參差不齊，某 些系統(tǒng)即使安裝了也利用不起來(lái)，因此，在校園網(wǎng)的建設(shè)過(guò)程中，系統(tǒng)建設(shè)應(yīng)始終貫徹面向 應(yīng)用，注重實(shí)效的方針，堅(jiān)持實(shí)用、經(jīng)濟(jì)的原則。 安全性、保密性 網(wǎng)絡(luò)系統(tǒng)應(yīng)具有良好的安全性。模塊化設(shè)計(jì)的好處在于： ● 解決各網(wǎng)絡(luò)之間的沖突問(wèn)題； ● 簡(jiǎn)化安裝和后臺(tái)設(shè)備管理； ● 易于故障檢測(cè)和分離問(wèn)題； ● 易于執(zhí)行不同類(lèi)型的服務(wù)和安全方針； ● 易于擴(kuò)展和 /或代替原來(lái)的技術(shù)。 (2)匯聚層 匯聚層顧名思義就是作為訪問(wèn)層到骨干層的匯聚，通常為訪問(wèn)層與骨干層實(shí)現(xiàn)基于策 略的網(wǎng)絡(luò)間連接。模塊化設(shè)計(jì)也有效限制故障影響范圍。 先進(jìn)性：在系統(tǒng)的開(kāi)發(fā)過(guò)程中，既能滿(mǎn)足當(dāng)前院校對(duì)網(wǎng)絡(luò)的應(yīng)用需求，又可以在將來(lái)需要擴(kuò)展的時(shí)候，能方便地?cái)U(kuò)展，保護(hù)目前的所有投資；設(shè)計(jì)的配置可以靈活變通，以便適應(yīng)客戶(hù)的其他要求。 規(guī)范性：采用的技術(shù)標(biāo)準(zhǔn)要遵循國(guó)際標(biāo)準(zhǔn)和國(guó)家標(biāo)準(zhǔn)與規(guī)范，保證系統(tǒng)發(fā)展的延續(xù)和可靠性。根據(jù)學(xué)校建設(shè)要求與總體目標(biāo)，骨干網(wǎng)采用三層結(jié)構(gòu)，由核心層，匯聚層和接入層構(gòu)成。同時(shí)，應(yīng)完備的 QOS 保證機(jī)制，完 備的業(yè)務(wù)控制、用戶(hù)管理機(jī)制。 匯聚層起著承上啟下的作用，負(fù)責(zé)對(duì)各種接入的匯聚，并可在該層實(shí)現(xiàn)對(duì)于用戶(hù)的訪問(wèn) 控制，以及對(duì)用戶(hù)的網(wǎng)絡(luò)管理。為了統(tǒng)一網(wǎng)絡(luò)管理和監(jiān)控，在網(wǎng)絡(luò)中心配 置 StarView 管理平臺(tái)可以對(duì)設(shè)備進(jìn)行集中的管理，包括網(wǎng)絡(luò)拓?fù)浒l(fā)現(xiàn)、配置管理、性能管 理、事件管理，實(shí)現(xiàn)全網(wǎng)設(shè)備的管理。 (3) INTERNET 用戶(hù)需要訪問(wèn) INTERNET 時(shí)，使用 INTERNET 的域名，獲得 INTERNET 的地址后就可以訪問(wèn)。 關(guān)鍵服務(wù)器擁有兩個(gè)公網(wǎng) IP，分別跨接在 Cer 和Inter 上。 如果不同，則是主備方式，其中優(yōu)先級(jí)高的稱(chēng)為主路由，優(yōu)先級(jí)低的為備份路由。第 2 層交換式網(wǎng)絡(luò)的最大好處是，它 為插入到交換機(jī)每個(gè)端口的每臺(tái)設(shè)備創(chuàng)建了各自的沖突域。 如果創(chuàng)建了 VLAN，情況就可以大大改善。 使用 VLAN 具有以下優(yōu)點(diǎn)： ● 控制廣播風(fēng)暴 一個(gè) VLAN 就是一個(gè)邏輯廣播域，通過(guò)對(duì) VLAN 的創(chuàng)建，隔離了廣播，縮小了廣播范圍， 可以控制廣播風(fēng)暴的產(chǎn)生。一個(gè) VLAN 組成 一個(gè)邏輯子網(wǎng)，即一個(gè)邏輯廣播域，它可以覆蓋多個(gè)網(wǎng)絡(luò)設(shè)備，允許處于不同地理位置的網(wǎng) 絡(luò)用戶(hù)加入到一個(gè)邏輯子網(wǎng)中。 ● 基于路由的 VLAN 劃分 路由協(xié)議工作在網(wǎng)絡(luò)層，相應(yīng)的工作設(shè)備有路由器和路由交換機(jī)（即三層交換機(jī)）。核心交換機(jī)擁有 1000M 出口聯(lián)接校園網(wǎng)，各層設(shè)備全部支持線速交換，給用戶(hù)提供了真正的高帶寬網(wǎng)絡(luò)，對(duì)未來(lái)高帶寬的寬帶業(yè)務(wù)提供了強(qiáng)大的支撐能力，校園寬帶網(wǎng)的發(fā)展?jié)摿薮蟆? ● 客戶(hù)賬號(hào)與 IP 地址、 MAC 地址、 NAS 設(shè)備地址和 NAS 端口綁定 SAMⅡ通過(guò)六元素自動(dòng)綁定、靜態(tài)綁定和動(dòng)態(tài)綁定相結(jié)合，實(shí)現(xiàn)安全認(rèn)證到桌面，不但可以確保用戶(hù)入網(wǎng)時(shí)身份唯一，而且有效避免了 IP 沖突，同時(shí)，為網(wǎng) 絡(luò)安全上了雙重保險(xiǎn)。 另外，為了給高校用戶(hù)帶來(lái)最優(yōu)的應(yīng)用體驗(yàn)， SAMⅡ“想用戶(hù)之所想”，為學(xué)校提供了 完善的流程化服務(wù)。同時(shí)， SAMⅡ解決方案還針對(duì)此提供了優(yōu)先級(jí)劃分功能，如節(jié)日的時(shí)段管理優(yōu)先級(jí)最高，周末次之、日常最低。而 SAMⅡ的 AGTS 用戶(hù)管理模式，則可以根據(jù)學(xué) 校的具體情況首先針對(duì)不同學(xué)院進(jìn)行分組，如信息工程管理學(xué)院、商學(xué)院等；接著再對(duì)這些 學(xué)院的學(xué)生進(jìn)行細(xì)分，如本科生 1 號(hào)宿舍樓用戶(hù)、研究生宿舍用戶(hù)、專(zhuān)科生宿舍用戶(hù)等等。校園網(wǎng)在為廣大師生提供便捷、高效的學(xué)習(xí)、工作環(huán)境的同 時(shí)，也在安全方面存在許多問(wèn)題 ● 病毒、蠕蟲(chóng)等多元化發(fā)展 隨著病毒、蠕蟲(chóng)等“恐怖分子”的攻擊手段呈多元化發(fā)展，單一的防護(hù)措施已經(jīng)無(wú)能為力保衛(wèi)校園網(wǎng)絡(luò)安全。該方案全面采用 IEEE 認(rèn)證功能，提供了一個(gè)融合防火墻、接入服務(wù)器、訪問(wèn)控 制、認(rèn)證、計(jì)費(fèi)功能的強(qiáng)大系統(tǒng)，對(duì)學(xué)校存在的每個(gè)問(wèn)題都能提供完全的應(yīng)對(duì)策略。 ● 管理分級(jí)授權(quán)。通過(guò)全國(guó) 180 余所大學(xué)的實(shí)際應(yīng)用證明實(shí)達(dá)網(wǎng)絡(luò)產(chǎn)品完全可勝任苛刻的宿舍網(wǎng)應(yīng)用場(chǎng)合。對(duì)關(guān)鍵業(yè)務(wù)和非關(guān)鍵業(yè)務(wù)進(jìn)行區(qū)分處理，保證關(guān)鍵業(yè)務(wù)暢通運(yùn)行。另外，在系統(tǒng)的設(shè)計(jì)開(kāi)發(fā)過(guò)程中還得到學(xué)校老師的大力支持和幫助，還要感謝學(xué)校領(lǐng)導(dǎo)、班主任、各位同學(xué)對(duì)我們的關(guān)懷、幫助， 為我們提供了良好的設(shè)計(jì)環(huán)境以及各方面的支持。 (2) 主機(jī)固化 2 個(gè) 10/100M 快速以太網(wǎng)口 ● 主機(jī)固化兩個(gè) 10/100M 快速以太網(wǎng)口，在不購(gòu)買(mǎi)任何模塊的情況下，便可以實(shí)現(xiàn)寬帶互 聯(lián)。 (10) 高安全性 ● 完善的防火墻技術(shù)，支持基于源目的 IP、協(xié)議、端口以及時(shí)間段的訪問(wèn)列表控制策略； ● 支持 IP 與 MAC 地址的綁定，有效防止 IP 地址的欺騙； ● 支持認(rèn)證、授權(quán)、記錄用戶(hù)信息的 AAA 認(rèn)證技術(shù)，支持 Radius 認(rèn)證協(xié)議； ● 支持動(dòng)態(tài)路由協(xié)議中的路由信息認(rèn)證技術(shù)，保證動(dòng)態(tài)路由網(wǎng)絡(luò)中路由信息的安全和可靠； ● 支持 PPP 協(xié)議中的 PAP、 CHAP 認(rèn)證及回?fù)芗夹g(shù)。 劃分 VLAN 的基本策略 從技術(shù)角度講， VLAN 的劃分可依據(jù)不同原則，一般有以下三種 劃 分方法： VLAN 劃分這種劃分是把一個(gè)或多個(gè)交換機(jī)上的幾個(gè)端口劃分
。 技術(shù)參數(shù)： 產(chǎn)品型號(hào) RGR3642 RGR3662 固定端口 1 個(gè) Console 端口 1 個(gè) AUX 端口 2 個(gè) 10/100M 快速以太網(wǎng)口 1 個(gè) Console 端口 1 個(gè) AUX 端口 2 個(gè) 10/100M 快速以太網(wǎng)口 模塊插槽 4 個(gè)網(wǎng)絡(luò) /語(yǔ) 音模塊插槽 6 個(gè)網(wǎng)絡(luò) /語(yǔ) 音模塊插槽 存儲(chǔ)模塊 EPROM： 512K Flash：缺省 32M，可以 擴(kuò) 展到 96M SDRAM：缺省 128M，最大 512M CPU 主 頻 400MHz Motorola MPC 8245 CPU 報(bào)文轉(zhuǎn)發(fā)能力 150Kpps 可用模塊 尺寸 (寬 x高 x 深 ) NM2FETX ： 2 端口 10BaseT/100BaseTX 快速 以 太網(wǎng)接口模塊 NM2HAS： 2 端口高速同異步串口模塊 NM4HAS： 4 端口高速同異步串口模塊 NM8A： 8 端 口異步串口模塊 NM16A： 16 端口異步串口模塊 NM2cE1： 2 端口可拆分通道化 cE1 模塊 NM4cE1： 4 端口可拆分通道化 cE1 模塊 NM1BU： 1 端口 ISDN 模 塊（ U 接口） NM4BU：4 端口 ISDN 模 塊（ U 接口） NM 4FXS： 4 端口語(yǔ)音模塊（ FXS 接 口 ） NM 8FXS： 8 端口語(yǔ)音模塊（ FXS 接 口 ） NM 4FXO： 4 端口語(yǔ)音模塊（ FXO 接 口 ） 445mm x110mm x 420mm，可以上 19”標(biāo)準(zhǔn)機(jī)柜 24 尺寸 (寬 x 高 x 深 ) 電源 NM1E1V1： E1 語(yǔ)音模塊 AIMIPSEC： 硬件加密模塊 445mm x110mm x 420mm， 可以上 19” 標(biāo)準(zhǔn)機(jī)柜 85VAC~265VAC， 47Hz~63Hz 整機(jī)功率 小于 90W 溫度 工作溫度： 0℃ 到 40℃ 存儲(chǔ)溫度： 40186。 (4) 強(qiáng)大的數(shù)據(jù)處理能力 ● 采用先進(jìn)的 Motorola MPC 8245 CPU，主頻達(dá)到 400MHz， 2G 帶寬的 PCI 總線技術(shù)，包轉(zhuǎn) 發(fā)延遲小，高效的數(shù)據(jù)處理能力支持高密度端口，保證在高速環(huán) 境下的網(wǎng)絡(luò)應(yīng)用； ● 包轉(zhuǎn)發(fā)率達(dá)到 150Kpps。 采用銳捷獨(dú)創(chuàng)的分類(lèi)算法使得 RGWALL 產(chǎn)品的高速性能不受策略數(shù)和會(huì)話數(shù)多少的影響，產(chǎn)品安裝前后絲毫不會(huì)影響網(wǎng)絡(luò)速度；同時(shí)， RGWALL 在內(nèi)核層處理所有數(shù)據(jù)包的接收、分類(lèi)、轉(zhuǎn)發(fā)工作，因此不會(huì)成為網(wǎng)絡(luò)流量的瓶頸。雖然我們盡了最大 的努力，但是由于經(jīng)驗(yàn)不足，及學(xué)習(xí)過(guò)程中的疏忽，錯(cuò)漏之處在所難免 。銳捷網(wǎng)絡(luò)公司的以太網(wǎng)交換機(jī)全部基于標(biāo)準(zhǔn)的以太網(wǎng)交換技術(shù)，使用專(zhuān)用芯片技 術(shù)，具有極高的性?xún)r(jià)比，保證了整個(gè)網(wǎng)絡(luò)核心部分的穩(wěn)定、可靠和高性能。 (4) 易維護(hù) 銳捷網(wǎng)絡(luò)交換機(jī)都經(jīng)過(guò)獨(dú)特設(shè)計(jì)具備防塵、防潮、防靜電等多種適于在樓道安裝和使用的特點(diǎn)。 統(tǒng)一對(duì)接入層交換機(jī)做動(dòng)態(tài)下發(fā)安全 策略，輕松有效的控制網(wǎng)絡(luò)病毒，使網(wǎng)絡(luò)保持暢通。然而，此時(shí)受感染的用戶(hù)可能已經(jīng)通過(guò)網(wǎng)絡(luò)散播到了校園網(wǎng)絡(luò)的各 個(gè)角落。 ● 強(qiáng)大的事件追查功能 ， 系統(tǒng)中豐富的日志信息和便捷的追查工具能使網(wǎng)絡(luò)管理員在面對(duì)異常事件時(shí)，能及時(shí)作出反應(yīng)，迅速找出幕后“黑手”。 ● 快捷實(shí)現(xiàn)全網(wǎng)管理 ， 全網(wǎng)拓?fù)浒l(fā)現(xiàn)功能可以對(duì)全網(wǎng)設(shè)備、網(wǎng)絡(luò)節(jié)點(diǎn)以及事件、性能、日志進(jìn)行實(shí)時(shí)監(jiān)控，統(tǒng)一管理。這些看似簡(jiǎn)單的模版，是銳捷網(wǎng)絡(luò)服務(wù)數(shù)百所高校用戶(hù)的經(jīng)驗(yàn)積累，銳捷網(wǎng)絡(luò)通過(guò)將 用戶(hù)的需求以及用戶(hù)反饋的先進(jìn)經(jīng)驗(yàn)進(jìn)行積累，逐漸形成的一套立體化服務(wù)體系。屆時(shí)如果用戶(hù)登錄網(wǎng)絡(luò)后一旦更改自己的相關(guān)信息（如 IP 地址、 MAC 的只等），則無(wú)法通過(guò)交換機(jī)認(rèn)證，通過(guò)動(dòng)態(tài)綁定確 保了用戶(hù)的身份唯一，在最大程度上消除了內(nèi)部安全隱患，極大的提高了客戶(hù)行為的唯一性， 有效的防止了 IP 地址和客戶(hù)賬號(hào)盜用現(xiàn)象的發(fā)生。 ● 對(duì)帶寬資源的大量占用導(dǎo)致重要應(yīng)用無(wú)法進(jìn)行 ， 對(duì)于每個(gè)學(xué)校來(lái)說(shuō)，它的帶寬資源都是有限的。 就目前來(lái)說(shuō)，對(duì)于 VLAN 的劃分主要采取上述第 3 種方式，第 2 種方式為輔助性的方 案。當(dāng)網(wǎng)絡(luò)中的不同 VLAN 間進(jìn)行相互通 信時(shí)，需要路由的支 持，這時(shí)就需要增加路由設(shè)備 —— 要實(shí)現(xiàn)路由功能，既可采用路由器，也可采用三層交換機(jī) 來(lái)完成。 ● 網(wǎng)絡(luò)管理簡(jiǎn)單、直觀 對(duì)于交換式以太網(wǎng)，如果對(duì) 某些用戶(hù)重新進(jìn)行網(wǎng)段分配，需要網(wǎng)絡(luò)管理員對(duì)網(wǎng)絡(luò)系統(tǒng)的物理 結(jié)構(gòu)重新進(jìn)行調(diào)整，甚至需要追加網(wǎng)絡(luò)設(shè)備，增大網(wǎng)絡(luò)管理的工作量。 可以象對(duì)待單獨(dú)的子網(wǎng)和廣播域一樣來(lái)對(duì)待 VLAN，這意味著網(wǎng)絡(luò)上的廣播域只在同一個(gè)