【正文】 Inter，為全校師生提供全球信息資源共享服務(wù)，為學(xué)校與外界聯(lián)系提供網(wǎng)絡(luò)支持。當(dāng)用戶訪問網(wǎng)絡(luò)時(shí)，他的任何網(wǎng)絡(luò)參數(shù)都是不可以更改的，如果更改任何網(wǎng)絡(luò)參數(shù)，系統(tǒng)會(huì)發(fā)現(xiàn)并迅速將該用戶提下線，保證接入用戶網(wǎng)絡(luò)參數(shù)的準(zhǔn)確性，這樣學(xué)生用戶在網(wǎng)絡(luò)上的一切行為都是以他真實(shí)的 IP 和 MAC 所反應(yīng)的，即使出現(xiàn)安全事故，管理員也可以通過訪問日志找到該用戶，確保能準(zhǔn)確的找出肇事者。 對(duì)于接入層交換機(jī)，在沒有冗余鏈路的情況下，盡量不用開啟 STP協(xié)議。該操作不占用交換機(jī) CPU 資源，直接由端口芯片理。 南一棟及教師宿舍： ip route Vlan 1 南五棟及教學(xué)樓： ip route Vlan 1 南六棟及教師宿舍： ip route Vlan 1 北八棟及教師宿舍： ip route Vlan 1 提升設(shè)備使用率，優(yōu)化流量 P2P 應(yīng)用消耗了大量的網(wǎng)絡(luò)帶寬，對(duì)某些 P2P 要進(jìn)行完全的限制（如電驢、電騾、迅雷） 由于沒有流控設(shè)備。使用單獨(dú)出口可以保持上網(wǎng)帶寬的穩(wěn)定性不會(huì)因?yàn)閷W(xué)生上網(wǎng)高峰而影響到辦公。千兆光纖到棟樓設(shè)備間，網(wǎng)管中心到南院各樓棟設(shè)備 間采用單模。 2020年學(xué)院核心交換設(shè)備因在 99%負(fù)荷下工作了幾年，主控電路板壞學(xué)院更換了RS6806E 核心交換機(jī)。湖南信息職業(yè)技術(shù)學(xué)院計(jì)算機(jī)工程系（網(wǎng)絡(luò)技術(shù)專業(yè)）畢業(yè)論文 I 湖南信息職業(yè)技術(shù)學(xué) 院 學(xué)生畢業(yè)設(shè)計(jì) (論文 ) 題 目 ： 校園網(wǎng)絡(luò)優(yōu)化設(shè)計(jì)方案 姓 名 ： 學(xué) 號(hào) ： 系 (部 ) ： 計(jì)算機(jī)工程系 專 業(yè) ： 計(jì)算機(jī)網(wǎng)絡(luò) 指導(dǎo)教師 ： 開 題時(shí)間： 2020 年 5 月 22 日 完成時(shí)間： 20200 年 10 月 22 日 2020 年 10 月 22 日 湖南信息職業(yè)技術(shù)學(xué)院計(jì)算機(jī)工程系（網(wǎng)絡(luò)技術(shù)專業(yè)）畢業(yè)論文 II 摘 要： 本文根據(jù)學(xué)院網(wǎng)絡(luò)目前存在的某些問題。 作為 1000M 級(jí)校園網(wǎng)建設(shè)我院走在了前面，但因網(wǎng)絡(luò)因用服務(wù)的擴(kuò)展（電驢、BT、 P2P 軟件、網(wǎng)絡(luò)病毒的多樣化）、學(xué)院用戶量的增加，同時(shí)我院對(duì)學(xué)生段接入方式采用的為不限流量不限類型， 2020 年當(dāng)學(xué)院加強(qiáng)機(jī)房建設(shè)同時(shí)可上網(wǎng) PC的大幅度 降價(jià)（普通 PC 價(jià)格只需 2500 元），用戶量增加學(xué)院網(wǎng)絡(luò)出現(xiàn)了在高峰期網(wǎng)絡(luò)延時(shí)大及斷線情況。網(wǎng)管中心到北院各樓棟設(shè)備間采用多模光釬。同時(shí)也簡(jiǎn)化了流量不用再經(jīng)過核心，減少了核心的負(fù)荷。只能用交換機(jī)實(shí)現(xiàn)， ① 限制帶寬 例如 : 使用交換機(jī)的 QOS 實(shí)現(xiàn)限速，學(xué)校的 S2126 及以上都可以實(shí)現(xiàn)， 湖南信息職業(yè)技術(shù)學(xué)院計(jì)算機(jī)工程系（網(wǎng)絡(luò)技術(shù)專業(yè)）畢業(yè)論文 8 那我寢室來說 6 個(gè)人上網(wǎng)，網(wǎng)段： 。 弱點(diǎn)： DHCP 協(xié)議本身存在私設(shè)服務(wù)器，泛洪攻擊等問題，如果是原來沒有使用dhcp 技術(shù)，專門為了解決 ARP 欺騙而引入該技術(shù)；由于高教網(wǎng)絡(luò)復(fù)雜，通常接入存在多個(gè)網(wǎng)段，且在面向數(shù)萬人部署時(shí)， DHCP 壓力也非常大。 IP 掃描攻擊 許多黑客攻擊、網(wǎng)絡(luò)病毒入侵都是從掃描網(wǎng)絡(luò)內(nèi)活動(dòng)的主機(jī)開始的，大量的掃描報(bào)文也 急劇占用網(wǎng)絡(luò)帶寬，導(dǎo)致正常的網(wǎng)絡(luò)通訊無法進(jìn)行。 為了確保接入用戶的合法性，銳捷網(wǎng)絡(luò) RGSAM 系統(tǒng)可以對(duì)用戶帳號(hào) 、 IP 地址、 MAC 地址、接入端口、接入服務(wù)器 IP 地址、禁止再撥號(hào)、禁止架設(shè)代理等多元素進(jìn)行靈活綁定，達(dá)到對(duì)用戶訪問的最大程度的嚴(yán)格控制，同時(shí)，可以限制接入用戶 IP 地址（如必須由 DHCP 獲得、只能靜態(tài)設(shè)置或不限制）、用戶的上下行速率等。 校園網(wǎng)完全建成后主要應(yīng)實(shí)現(xiàn)以下應(yīng)用目標(biāo)： 支持學(xué)校的整個(gè)教學(xué)過程與教學(xué)管理：通過多媒體技術(shù)在校園網(wǎng)絡(luò)的 應(yīng)用，構(gòu)造豐富多彩的教學(xué)環(huán)境，實(shí)現(xiàn)多樣化的教學(xué)手段。 日志服務(wù)器記錄有用戶完整的訪問記錄，包括源 IP、目的 IP、源端口、目的端口、源 MAC、目的 MAC、訪問開始時(shí)間、訪問結(jié)束時(shí)間、發(fā)送流量、接受流量等，通過日志管理查詢系統(tǒng)，可以對(duì)日志進(jìn)行管理和查詢。如下圖： 高效的內(nèi)網(wǎng)定位策略 為了保證接入用戶身份的準(zhǔn)確性，利用銳捷 RGSAM 與交換機(jī)配合可對(duì)用戶湖南信息職業(yè)技術(shù)學(xué)院計(jì)算機(jī)工程系（網(wǎng)絡(luò)技術(shù)專業(yè)）畢業(yè)論文 18 多元素進(jìn)行綁定，如用戶名、用戶 IP、用戶 MAC、 接入交換機(jī) IP、接入交換機(jī)端口等多元素的綁定，這樣可以做到事前（訪問網(wǎng)絡(luò)之前）用戶身份的合法性，學(xué)生用戶想要訪問網(wǎng)絡(luò)，上述信息就必須完全正確，否則用戶就無法訪問網(wǎng)絡(luò)。從而防范用戶發(fā)送非法 BPDU 報(bào)文。（ DHCPRelay+Option82） 銳捷 2126G 對(duì)報(bào)文的源地址進(jìn)行檢查，對(duì)非法的攻擊報(bào)文一律丟棄處理。用備用網(wǎng)段取代原網(wǎng)段 優(yōu)化方案： 家屬 17 棟、辦公樓、圖書館 :ip route Vlan 1 。 3. 利用雙防火墻與核心交換機(jī)和擴(kuò)展核心交換機(jī)實(shí)現(xiàn)冗余，銳捷 355012G 是款全千兆交換機(jī)擁有 48Gbps之前做過臨時(shí) 核心 .考慮到家屬區(qū)和教學(xué)區(qū)主要的網(wǎng)絡(luò)流量是訪問 Inter網(wǎng)以及學(xué)校郵件服務(wù)器 .并沒有特別頻繁的內(nèi)部文件互傳，所以不會(huì)需要很高的帶寬。 布線 系統(tǒng) 學(xué)校都是采用單鏈路結(jié)構(gòu)，無冗余鏈路。后學(xué)院實(shí)驗(yàn)樓開始建設(shè)在與基礎(chǔ)實(shí)訓(xùn)中心協(xié)商后購買了 11 臺(tái) S1926F+接入交換機(jī)更換了北院 8 棟的 4 臺(tái) Cisco295048，將 4 臺(tái) Cisco295048 使用在實(shí)驗(yàn)樓。比如：設(shè)備老化、品牌混雜、帶寬不足、私拉亂接等。用戶量增加及網(wǎng)絡(luò)應(yīng)用多樣化，學(xué)院兩條出口電信100M 及網(wǎng)通 80M 使用率分別到了 99M 及 77M 出口帶寬嚴(yán)重不足。工作間實(shí)現(xiàn)雙絞線 100M 到桌面。通過擴(kuò)展核心直接與各服務(wù)器相連提高了訪問速度。接口： interface fastEther 0/22 配置如下： ip accesslist extended xiandan 配置 ACL permit ip any deny ip any any classmap fanfan 設(shè)置分類映射圖 match accessgroup xiandan 匹配 ACL policymap 1m 設(shè)置策略映射圖 class fanfan 匹配分類映射圖 police 1000000 65536 設(shè)置限制帶寬 1Mbps，猝發(fā)流量 65536byte Interface Fastether 0/2 進(jìn)入 F 0/2，交換機(jī)的上行端口（出口） mls qos trust cos 啟用 QoS servicepolicy input 1m 對(duì)輸入帶寬生效 ② 限制 UDP 范圍 通過縮小端口取值來減少連接數(shù)，比如迅雷一般有幾百條鏈接，也就開啟了幾百個(gè) UDP 端口，而如果我們不用迅雷有幾百個(gè)端口就夠用了。所以該方案并不適合高校的大規(guī)模部署。 防范：防 IP 掃描：檢測(cè)用戶、隔離用戶（發(fā)日志信息）、恢復(fù)通訊（發(fā)日志信息） 湖南信息職業(yè)技術(shù)學(xué)院計(jì)算機(jī)工程系（網(wǎng)絡(luò)技術(shù)專業(yè)）畢業(yè)論文 14 被監(jiān)控的攻擊主機(jī)數(shù)量、隔離用戶的時(shí)間都可以根據(jù)網(wǎng)絡(luò)實(shí)際狀況設(shè)置。在考慮到給網(wǎng)管人員減少工作量的同時(shí)又能對(duì)接入用戶