【文章內(nèi)容簡介】 能匯聚的需要。 子網(wǎng)與 VLAN 規(guī)劃 用快速以太網(wǎng)拓撲街頭，將校園網(wǎng)的網(wǎng)絡結構分為三層，校園信息中心：信息網(wǎng)絡的核心部分。由中心交換機、 UPS 等電源系統(tǒng)、服務器、廣域網(wǎng)連接設備、網(wǎng)絡管理系統(tǒng)組成。功能是實現(xiàn)高性能的交換和傳輸，也能夠有效地對網(wǎng)絡流量進行控制和進行VLAN 劃分。 校園主干網(wǎng)：連接校園內(nèi)各樓宇的主干網(wǎng)絡。校園內(nèi)樓房處設備通過網(wǎng)絡線路連接到交換機處，實現(xiàn)校園網(wǎng)絡信息交換。各中心節(jié)點的主干交換機要支持千兆以太網(wǎng)，具有 10/100Mbps 以太網(wǎng)端口。網(wǎng)絡結構采用環(huán)狀結構，核心主干交換機與主干交換機互聯(lián)成環(huán)形結構。 二級交換機再以星形結構接入對應的中心節(jié)點，并以 100M 直接到桌面，確保信息流暢，這樣就構成了能滿足教學和管理要求的主干網(wǎng)絡。 樓內(nèi)接入網(wǎng)：樓宇內(nèi)部的星型局域網(wǎng)絡，是校園網(wǎng)絡的接入層。計算機信息點到樓房間通過雙絞線連接，實現(xiàn)樓內(nèi)網(wǎng)絡通訊網(wǎng)絡的安全控制也主要由分布層設備來實現(xiàn)。網(wǎng)絡中心的路由器選擇合適的鏈路接入方式連接 Inter。 (1)VLAN 劃分方案 VLAN，再將一棟宿舍樓劃為一個大 VLAN。 VLAN。 VLAN。 VLAN，再將每個實驗室劃為一個小 VLAN。 VLAN，再將每個部門劃為一個小 VLAN。 。 (2)IP 地址規(guī)劃 根據(jù)學校網(wǎng)絡目前真實 IP 地址的現(xiàn)實情況， IP 地址規(guī)劃遵循如下原則來設計： IP 地址， NAT 后供人員遠程訪問； inter 互聯(lián)設備 IP 地址采用真實 IP 地址； IP 地址； IP 地址，由統(tǒng)一出口的邊緣設備（路由器、防火墻）進行地址翻譯，即出口路由器（ 防火墻）互聯(lián)采用合法 IP 地址；公共服務器如 WWW/FTP/DNS/資源服務器等均采用合法地址（或從安全角度考慮采用私有 IP）；部分接入用戶采用私有保留 IP 地址相連。 實現(xiàn)的信息服務 一般情況下，校園網(wǎng)絡應能為用戶提供如下服務： (1)電子郵件系統(tǒng)：主要進行與同行交往、開展技術合作和學術交流等活動。 (2)文件傳輸 FTP：以獲取重要的科技資料和技術文檔。 (3)通過 Inter 服務，學?？山⒆约旱闹黜?，利用外部網(wǎng)頁來進行學校宣傳、提供各類咨詢信息等，利用內(nèi)部網(wǎng)頁進行管理（如收發(fā)通知、收集學生意見等 ）。 (4)計算機教學：包括多媒體教學和遠程教學。 (5)圖書館訪問系統(tǒng)：用于計算機查詢、檢索、閱讀等；其他應用，如大型分布式數(shù)據(jù)庫系統(tǒng)、超性能計算機資源共享 /管理系統(tǒng)等。 (6)教務辦公：使校領導能及時、全面、準確地掌握全校的教學、科研、學籍考績、一般管理、財務和人事等方面的情況。 (7)Inter 接入：通過實現(xiàn)與 CERNTE、 Inter 的互聯(lián)，使教職員工和學生在宿舍上網(wǎng)，重事家庭辦公、課外學習和資料查詢等。 (8)應用成本：在保證系統(tǒng)功能實現(xiàn)的同時也需要考慮成本的問題。 (9)網(wǎng)絡安全：現(xiàn)在 網(wǎng)絡運用的擴展使越來越多的業(yè)務在網(wǎng)絡上完成，因此，網(wǎng)絡的安全性能在網(wǎng)絡設計中已經(jīng)占有非常重要的地位。 (10)遠程訪問：自己的電腦不能隨時帶在身邊，通過網(wǎng)絡對自己電腦資料的訪問也將是組網(wǎng)時考慮的范圍。 本校園網(wǎng)的信息服務 特點： (1)采用 雙核心技術，不但可以起到讓設備進行冗余備份，而且還可以進行中心數(shù)據(jù)通信負載均衡，有效減輕中心設備減清負荷，保證核心層的穩(wěn)定性和可靠性 ； (2)四個匯聚層到核心采用鏈路全冗余，匯聚層之間單獨再加一條鏈路，使得各個匯聚層之間的訪問在匯聚層終結； (3)網(wǎng)絡核心、樓宇 匯 聚和接入產(chǎn) 品都具 有病毒防范、拒絕 DDOS 攻擊和防掃描等安全功能，不但在不同的網(wǎng)絡環(huán)境下都能做到快速有效的控制，而且也可以應對突發(fā)性的安全的事件，確保了網(wǎng)絡的穩(wěn)定運行 ； (4)校園網(wǎng)的信息點覆蓋整個校園，教室、辦公室和宿舍等地方都是十分開放的，很多人都可以自由出入這些地方，任何一個人都可以利用這些地方的信息點，通過便攜連接到學校辦公內(nèi)部網(wǎng)，這將對校園網(wǎng)造成巨大安全隱患。全網(wǎng)接入采用統(tǒng)一認證技術，保證了只有合法授權的用戶才能使用內(nèi)部或外部網(wǎng)絡，而且還能對網(wǎng)絡的使用情況進行了審計 ； 應用程序 應用程序主要有客戶程序和 服務器程序： 客戶程序：它主要實現(xiàn)消息的發(fā)送，在客戶機上運行的客戶程序把請求發(fā)送給服務器進程。 服務器程序：它主要負責消息的接收和發(fā)送，接收客戶進程的請求，作出響應。 存儲系統(tǒng)分析 性能需求 (1)高性能。數(shù)據(jù)中心應用業(yè)務系統(tǒng)，如 ERP、辦公自動化、文件服務器、 Web 和數(shù)據(jù)庫應用等常常要大量地對存儲系統(tǒng)進行寫入、讀取操作，使得存儲系統(tǒng)的壓力隨著業(yè)務的擴大而變大，因此，對存儲系統(tǒng)的性能將提出更高、更苛刻的要求。 (2)高安全。數(shù)據(jù)中心的數(shù)據(jù)安全性要求非常高，一旦數(shù)據(jù)發(fā)生問題，會導致業(yè)務連續(xù)性受 到影響，甚至影響到數(shù)據(jù)中心正常運行，因此，對存儲系統(tǒng)數(shù)據(jù)的安全性提出了更高、更嚴的要求。 (3)高可靠性。數(shù)據(jù)中心提供的服務要求信息能夠在 24 7h 的條件下保持在線狀態(tài)，系統(tǒng)故障會引起應用服務中斷，將給用戶造成損失，尤其是在重要的部門和行業(yè)，如能源、交通、金融等。 (4)易管理。信息系統(tǒng)由多個業(yè)務系統(tǒng)組成，由于業(yè)務系統(tǒng)建設時期不同，導致會出現(xiàn)多個存儲系統(tǒng)共存的情況，如何在日常工作中對存儲系統(tǒng)進行管理，簡化工作，降低TCO，是保證存儲系統(tǒng)穩(wěn)定運行的重要因素。 (5)可擴展。存儲系統(tǒng)要建設成標準、集中、易擴展的 系統(tǒng)，能夠在容量、性能需求不斷增加的情況下，橫向或縱向進行存儲空間的平滑擴展。 (6)整合。對關鍵數(shù)據(jù)的存儲和備份也已成為數(shù)據(jù)中心運營發(fā)展的關鍵。其數(shù)據(jù)環(huán)境是呈多樣性：一是應用類型的多樣性，如 Web、 Email；二是數(shù)據(jù)類型的多樣性，在應用業(yè)務中包括數(shù)據(jù)庫數(shù)據(jù)、普通文本、各種格式的圖形、表格、多媒體以及其他各種文件格式；三是系統(tǒng)平臺的多樣性， UNIX、 Windows 等多種平臺的使用方法都不盡相同；四是存儲結構的多樣性，因為數(shù)據(jù)中心自身的發(fā)展歷程和時間的延續(xù)，在不同時期的不盡相同的應用導致了多種存儲方式并存 的現(xiàn)象，規(guī)模較大的數(shù)據(jù)中心可能同時具有從DAS、 NAS 到 SAN 的多種存儲結構。以成熟技術為核心建設存儲系統(tǒng)，有利于存儲系統(tǒng)進行整合，整合不同應用的存儲系統(tǒng)實現(xiàn)統(tǒng)一管理，也利于災難備份中心的建設。 功能需求 網(wǎng)絡存儲系統(tǒng)規(guī)劃應該滿足以下目標：集中式管理、整合型存儲、高性能、高安全、高效率，滿足系統(tǒng)不斷擴展的需求。 (1)數(shù)據(jù)中心要建設一個設備集中、集中管理、滿足應用、方便擴展、安全穩(wěn)定、共享統(tǒng)一的數(shù)據(jù)存儲系統(tǒng)。 (2)要優(yōu)化整合現(xiàn)有數(shù)據(jù)資源，對數(shù)據(jù)資源進行統(tǒng)一管理和維護，為數(shù)據(jù)庫和應用系統(tǒng)建設提供統(tǒng) 一的運行支撐環(huán)境。 (3)運用各種先進的技術，對數(shù)據(jù)中心運行中所產(chǎn)生的大量數(shù)據(jù)，能高效、安全地存儲，又易于訪問、檢索、處理和利用。 應用需求分析 SAN（ Storage Area Network，存儲域網(wǎng)絡）與 NAS 則是完全不同，它不是把所有的存儲設備集中安裝在一個專門的 NAS 服務器中，而是將這些存儲設備單獨通過光纖交換機 連接起來，形成一個光纖通道的網(wǎng)絡，然后這個網(wǎng)絡再與網(wǎng)絡系統(tǒng)現(xiàn)有局域網(wǎng)進行連接，在這種方案中，起著核心作用的當然就是光纖交換機了，它的支撐技術就是 Fibre Channel（ FC，光纖通道）協(xié)議，這是 ANSI 為網(wǎng)絡和通道 I/O 接口建立的一個標準集成，支持 HIPPI、 IPI、 SCSI、 IP、 ATM 等多種 高級協(xié)議。在 SAN 中，數(shù)據(jù)以集中的方式進行存儲，加強了數(shù)據(jù)的可管理性，同時適應于多操作系統(tǒng)下的數(shù)據(jù)共享同一存儲池，降低了總擁有成本。 由于 SAN 是通過一個單獨的通常是基于光纖通道的 SAN 網(wǎng)絡把存儲設備以及服務器相連，如此當有海量數(shù)據(jù)的存取需求時，數(shù)據(jù)完全可以通過 SAN 網(wǎng)絡在相關服務器和后臺的存儲設備之間高速傳輸，對于 LAN 的帶寬占用幾乎為零，而且服務器可以訪 問 SAN 上的任何一個存儲 設備，提高了數(shù)據(jù)的可用性。在對性能和可靠性要求較高的場合，采用先進的 SAN 數(shù)據(jù)存儲網(wǎng)絡，可以使數(shù)據(jù)的存儲、備份等活動獨立在原先的局域網(wǎng)之外，從而將減輕 LAN 的負載，保證原有網(wǎng)絡應用的順暢進 行 。同 時 SAN 網(wǎng)采用光纖傳輸通道，可以得到高速的數(shù)據(jù)傳輸率。 SAN 方案簡化了管理和集中控制，這對于全部存儲設備都集中在信息中心，是非常有現(xiàn)實意義的。 SAN 將網(wǎng)絡系統(tǒng)的存儲 和服務器平臺分開，可以實現(xiàn) 24x7 不間斷的系統(tǒng)可用性和集中管理，在這個平臺的基礎上，還可以應用一套統(tǒng)一的災難恢復解決方案，同時可經(jīng)濟高效地擴展存儲環(huán)境。 因此SAN 非常適用于非線性編輯、服務器集群、遠程災難恢復、因特網(wǎng)數(shù)據(jù)服務等多個領域。 系統(tǒng)及數(shù)據(jù)安全分析 保密性：采取有效措施保障數(shù)據(jù)保密性好 完整性：不經(jīng)授權數(shù)據(jù)不得修改。 可靠性：數(shù)據(jù)或有關數(shù)據(jù)的信息不能有錯。 保證網(wǎng)絡管理系統(tǒng)正確運行，保護被管理的目標免遭破壞，包括身份鑒別、密鑰管理、病毒預防和災難恢復等 管理：具有數(shù)據(jù)備份和恢復的能力，定時更新等，各種服務的管理，如 HTTP、 FTP、SMTP、 POP DNS 服務管理等。 表 安全管理表 需求類型 要求 備注 保密性 高 防病毒、防攻擊 完整性 高 不經(jīng)授權數(shù)據(jù)不得修改 可靠性 高 信息正確的傳輸 數(shù)據(jù)備份與恢復 較高 暫無 服務管理 一般 HTTP、 FTP、 SMTP 管理等 網(wǎng)間隔離 國家保密局頒布的《計算機信息系統(tǒng)國際聯(lián)網(wǎng)保密管理規(guī)定》 規(guī)定， “ 涉及國家秘密的計算機信息系統(tǒng)，不得直接或間接地與國際互聯(lián)網(wǎng)或其它公共信息網(wǎng)絡相聯(lián)接，必須實行物理隔離 ” 。按照物理隔離的要求，相關用戶連接互聯(lián)網(wǎng)時，必須與涉密網(wǎng)絡實行網(wǎng)絡隔離和計算機信息隔離。 經(jīng)調研，我們決定使用 京泰物理隔離系統(tǒng) ，本系統(tǒng)方案符合保密管理規(guī)定要求，憑借安全的網(wǎng)絡切換機制 ，用戶可以在內(nèi)外網(wǎng)物理隔離的條件 下，安全、方便地訪問內(nèi)網(wǎng)、外網(wǎng)網(wǎng)絡資源?？梢允褂靡慌_計算機連接內(nèi)部網(wǎng)或外部網(wǎng) ,同時保護數(shù)據(jù)的安全，實現(xiàn)內(nèi)部安全環(huán)境和外部不安全網(wǎng)絡環(huán)境的絕對隔離，從而滿足政府、國防、金融、保險、電信、郵政、稅務及企業(yè)用戶等對數(shù)據(jù)安全和獲取信息的雙重要求。 (1)本系統(tǒng)可實現(xiàn)的功能 網(wǎng)絡隔離 : 實現(xiàn)內(nèi)網(wǎng)和外網(wǎng)的網(wǎng)絡隔離。用戶訪問內(nèi)網(wǎng)時，斷開外網(wǎng)網(wǎng)絡連接；訪問外網(wǎng)時，斷開內(nèi)網(wǎng)網(wǎng)絡連接。用戶不能同時連入內(nèi)、外網(wǎng)，始終保持內(nèi)網(wǎng)、外網(wǎng)網(wǎng)絡隔離的狀態(tài)； 信息隔離 : 實現(xiàn)內(nèi)網(wǎng)信息和外網(wǎng)信息的隔離。用戶訪問 內(nèi)網(wǎng)時，使用內(nèi)網(wǎng)硬盤；訪問外網(wǎng)時，使用外網(wǎng)硬盤。內(nèi)網(wǎng)、外網(wǎng)存儲介質不能同時使用，從而保證內(nèi)、外網(wǎng)之間的信息隔離； 支持多種應用方案 : 本方案具有完整的物理隔離產(chǎn)品線，公司產(chǎn)品支持雙網(wǎng)、三網(wǎng)乃至多網(wǎng)之間的隔離要求；可以根據(jù)用戶的需要，實施單網(wǎng)線、雙網(wǎng)線、單硬盤或雙硬盤的方案組合，全方位滿足用戶的不同需求； PCI 接口，集成網(wǎng)卡 :物理隔離卡采用 PCI 接口，同時集成網(wǎng)卡的功能。系統(tǒng)啟動時通過接管啟動控制流程，實現(xiàn)內(nèi)外網(wǎng)之間的隔離和切換；集成的網(wǎng)卡最大限度地保障了系統(tǒng)的適配性和節(jié)省主板槽位資源。 (2)本系統(tǒng)的特點 ，不需要任何跳線和手動開關，外部接口與普通 PC 機相同； ，不需要任何對硬盤數(shù)據(jù)的整理和額外的硬件設置，同