【文章內(nèi)容簡介】 情況，來選擇合適的網(wǎng)絡產(chǎn)品，保證高校網(wǎng)絡安全、高速運行。 結構合理： 在進行分部設計時，一定要保持一定的層次感，做到思路清晰，以及有一定的層次結構，便于管理整個網(wǎng)絡系統(tǒng)。 高效實用 ： 科學分析，實現(xiàn)資金的效益最大化，能 基本滿足對高校網(wǎng)絡 提出的各項要求 。 良好的環(huán)境： 較高的網(wǎng)絡 ， 快速訪問網(wǎng)絡 ， 保證學校間的交流。 高校校園網(wǎng) 設計 圖 31 高校校園網(wǎng)絡拓撲圖 IP 地址 規(guī)劃 本高校校園網(wǎng)絡根據(jù)需求一共劃分了 18 個 VLAN。 具體的劃分如下表所示： 表 31 IP 地址 規(guī)劃 6 選項 網(wǎng)段 IP 網(wǎng)關 IP 注意事項 服務器集群 教學 A 區(qū) 學生 寢室 財務部 教務部 辦公室 教學 B 區(qū) 實訓區(qū) 高校校園網(wǎng)設備選型 在本次課題設計中，筆者引入了 Cisco 公司 開發(fā)的相關設備 。 從當前情況來看，網(wǎng)絡是實現(xiàn) 企業(yè)、社會、家庭 等各方互相連接的設施 ，而 Cisco 網(wǎng)絡 可以為多方之間進行通信提供有效的解決方案 。 在選取了 Cisco 的硬件 、軟件 和相關的服務方案以后 ， 可以使個人，學校的能力都得以提升，同時也使更多的顧客滿意 。 交換機 交換機 牽涉到兩個重要參數(shù) ：背板帶寬和吞吐率， 它們是網(wǎng)絡交換能力強弱的指標 ， 是實現(xiàn)網(wǎng)絡交換的基礎性工作 。 三層交換機選擇 : 本次設計方案選擇 Cisco Catalyst 4948 系列交換機。 Catalyst 4948 交換機 使多項高級功能整合為一體 ，用戶 可以借助于這臺交換機，配上相應的 QoS、 ACL 和路由協(xié)議等， 這一功能也是以往的二層交換機所不具備的 。這樣使得整個交換網(wǎng)絡更加簡潔明了。 表 32 三層交換機主要參數(shù) 7 品牌 思科 CISCO 型號 WSC34948S 傳輸速率 10/100/1000Mpps 傳輸模式 全雙工 背板帶寬 96Gbps 端口數(shù) 48 個 模塊化插槽數(shù) 4 個 產(chǎn)品數(shù)量 3 臺 二層交換機選擇 : 在 本 課題設計中，筆者選取了 思科 2950 系列交換機。 該系列交換機擁有基于 Web 的 Cisco 集群管理套件和集成的 Cisco 操作系統(tǒng)軟件，它提供了增強的服務質(zhì)量（ QoS）和組播管理特性 [5]。 表 33 二層交換機主要參數(shù) 品牌 思科 CISCO 型號 295024 產(chǎn)品類型 快速以太網(wǎng)交換機 傳輸速率 10/100Mbps 交換方式 存儲轉發(fā) 背板帶寬 端口數(shù)量 24 個 接口介質(zhì) 10BASET/10BASE TX 3 類或 3 類以上UTP ,100BASETX 五 類 [6]。 傳輸模式 支持全雙工 堆疊功能 可級聯(lián) 產(chǎn)品數(shù)量 10 臺 路由器 本次設計方案選擇 Cisco 3925/K9 路由器。 8 它可以安全、快速、高質(zhì)量的為校園網(wǎng)絡 可以提供多類并發(fā)性的服務 。提供VPN 模塊； 入侵防御和防火墻功能； 在各種需求的連接接口 都適用 ；性能充足。 表 34 路由器主要參數(shù) 品牌 思科 CISCO 型號 3925/K9 路由器類型 多業(yè)務路由器 傳輸速率 10/100/1000Mbps 局域網(wǎng)接口 3 個 其它端口 2 個基于 SFP 端口 +2 個內(nèi)部 端口 +1 個串行控制臺端口 +1 個串行輔助端口 [7] 擴展模塊 2 個服務模塊化插槽 +1 個雙寬度服務模塊插槽 +4 個EHWIC 的模塊化插槽 +2 個雙寬度 EHWIC 插槽 +1 個 ISM插槽數(shù) +4 個板載 DSP(PVDM)插槽 [8] 防火墻 內(nèi)置防火墻 Qos 支持 支持 VPN 支持 支 持 產(chǎn)品數(shù)量 3 臺 小結 本章講述了關于高校校園網(wǎng)的總體設計思想和規(guī)劃的科學性，從設計拓撲圖上給出 IP 規(guī)劃以及校區(qū)的 VLAN 劃分。其中 VLAN1021 屬于 CampusA，CampusA 包括數(shù)據(jù)中心、教學 A 區(qū)、學生宿舍區(qū)、圖書館區(qū)； VLAN2227 屬于 CampusB， CampusB 包括教學 B 區(qū)、實驗區(qū)。最后還介紹了高校校園網(wǎng)設備選型。下一章節(jié)主要介紹高校校園網(wǎng)實施技術。 9 4 高校校園網(wǎng)實施技術 VLAN 技術 VLAN 的全寫就是 Vi rtual Local Area Network， 翻譯成中文是 虛擬局域網(wǎng)。VLAN 是以 邏輯 為對象進行劃分的 ， 可以實現(xiàn)多網(wǎng)段的通信 。在交換 網(wǎng)中 ，通過引入 VLAN 技術，可以把其中各段進行靈活的劃分和科學的組織。 利用對 VLAN 結構 進行設計 ， 可以集 功能、項目組和應用程序 等各種分段方法為一體 ， 而不需要關注用戶的物理位置 [9]。 也可以將每個二層交換機的端口只分配給一個 VLAN，從而來加強安全防護 。 因為同一個 VLAN 分別歸屬于一個廣 播域，不同的 VLAN 中的端口難以實現(xiàn)廣播的共享，所以可以把廣播限制在一個 VLAN 中 ， 以此 來改進網(wǎng)絡的整體功能 。 鏈路聚合技術 鏈路聚合（ Link Aggregation）， 把很多數(shù)據(jù)通道集在一起，形成更小的通道，該信道以某一單一的高寬路的邏輯鏈路的形式出現(xiàn)。 當交換機 發(fā)現(xiàn) 到其中一個接口的鏈路發(fā)生故障時，就 會在此接口上停止 發(fā)送報文，并根據(jù)負載分擔策略在剩下鏈路中重新計算報文發(fā)送的接口，故障接口恢復后再次重新計算報文發(fā)送接口[10]。 生成樹協(xié)議 通常而言， 復雜的網(wǎng)絡 是借助于冗余設備與實現(xiàn)相應的設計功能的。雖然這確實可以使一些問題得以解決，但是還是會出現(xiàn)問題，如產(chǎn)生 環(huán)路，廣播風暴等。生成樹協(xié)議是一種工作在 OSI 模型第二層的鏈路管理協(xié)議， 其主要功能就是保證在復雜的交換網(wǎng)絡中不會再現(xiàn)環(huán)路現(xiàn)象，同時還 提供了路徑的冗余 [11]。 不管是什么 轉發(fā)幀， 也不管是否清楚其目標地址，都可以借助于一些合適的端口向外轉發(fā)，從而確保 終端設備 可以獲取 轉發(fā)幀。 但是，當交 換機或者鏈 路存在故障時， 這種網(wǎng)絡設計 難以使用額外的鏈路來實現(xiàn)冗余 ，于是這樣交換機兩端的網(wǎng)絡將會被隔離。 STP 讓交換 可以實現(xiàn)交換機之間的通信 ， 借助于 發(fā)送橋協(xié)議數(shù)據(jù)單元來協(xié)商根橋、根端口等信息。 10 本高校校園網(wǎng)設計中是采用 PVST。 HSRP 技 術 HSRP 的設計目標 是支持在某些情況下的 IP 流量失敗轉移 ，而不會引發(fā)內(nèi)部混亂，允許 主機 使用單路由器， 以及就算路由器使用失敗以后還可以實現(xiàn)對 路由器間的連通性 的維護 [12]。 HSRP 利用優(yōu)先級 最高的設備成為 Active 路由器。 其缺省優(yōu)先級默認為 100。若優(yōu)先級相同，具有最高接口 IP 地址的路由器成為 Ative路由器。搶占（ Preempt）使得具有最高優(yōu)先級的設備成為 Active。 路由協(xié)議 OSPF OSPF 是 鏈路狀態(tài)路由協(xié)議 ，同時也是內(nèi)部網(wǎng)關協(xié)議 。 OSPF 通過路由器之間通告網(wǎng)絡接口的狀態(tài) 建立相應的數(shù)據(jù)庫 ，每個 OSPF 路由器使用這些最短路徑來實現(xiàn)路由表的構造 [13]。 鏈路狀態(tài)路由協(xié)議 采用把 OSPF 將 LSA 數(shù)據(jù)包 向某一區(qū)域內(nèi)的所有路由器傳送 ，這 種 與距離 矢量 路由 選擇 協(xié)議 有所區(qū)別 。運行距離矢量路由協(xié)議的路由器是把路由表中的部分或者是全部傳遞給周邊的路由器 [14]。 網(wǎng)絡地址轉換 NAT 技術 NAT， Network Address Translation，網(wǎng)絡地址轉換。局域網(wǎng)內(nèi)所有的 IP 使用 NAT 地址 。它也可以隱藏個別 IP 地址，這樣外界就無法訪問內(nèi)部網(wǎng)絡 [15]。 同時，它 可以將網(wǎng)絡的私有地址轉換成公有地址 。 NAT 有三種類型：靜態(tài) NAT、動態(tài) NAT、網(wǎng)絡地址端口轉換 NAPT[16]。該校園網(wǎng)中心路由器與連接外網(wǎng)處做動態(tài) NAT(網(wǎng)絡地址轉換 )。 其中 動態(tài)地址NAT 主要是在網(wǎng)絡外部設置了大量的 合法地址 [17]。 訪問控制列表 ACL技術 訪問控制表就是 路由器接口的指令列表 。其功能 是 告知 路由器是接受還是拒絕數(shù)據(jù)包 。 至于數(shù)據(jù)包 到底是接收 還是拒絕， 可以由類似于源地址、端口號 等各指標確定 [18]。 ACL 共有兩種 ：標準 ACL 和擴展 ACL。 標準的 ACL 只可以 過濾源地址， 且其具有的功能十分有限 。擴展 ACL 則 可 11 以 過濾源地址和上層應用數(shù)據(jù) [19]。 本高校校園網(wǎng)在 CampusA 中的兩臺核心交換機處做擴展 ACL，限制學生宿舍區(qū)訪問校園網(wǎng)的辦公區(qū)，辦公區(qū)中的財務部需要進入 VLAN 端口限制外網(wǎng)和內(nèi)網(wǎng)對財務部的訪問。 虛擬專用網(wǎng)絡 VPN技術 VPN 的 功能是在 公用網(wǎng)絡