【文章內(nèi)容簡介】 集成 防 火墻、 VPN，內(nèi)容過濾，為中小 型校園 的網(wǎng)絡(luò)安全實現(xiàn)提供了經(jīng)濟的解決方案 。 QoS 分析 QoS（ Quality of Service， 服務(wù)質(zhì)量 ）指一個網(wǎng)絡(luò)能夠利用各種基礎(chǔ)技術(shù)，為指定的 網(wǎng)絡(luò)通信 提供更好的服務(wù)能力 , 是網(wǎng)絡(luò)的一種安全機制， 是用來解決網(wǎng)絡(luò)延遲和阻塞等問題的一種技術(shù)。 在正常情況下，如果網(wǎng)絡(luò)只用于特定的無時間限制的應(yīng)用系統(tǒng)，并不需要 QoS，比如 Web 應(yīng)用，或 Email 設(shè)置等。但是對關(guān)鍵應(yīng)用和多媒體應(yīng)用就十分必要。當(dāng)網(wǎng)絡(luò)過載或擁塞時， QoS 能確保重要業(yè)務(wù)量不受 延遲 或 丟棄， 同時保證網(wǎng)絡(luò)的高效運行。 如何在 IP 網(wǎng)絡(luò)上保證用戶信息傳輸?shù)馁|(zhì)量就成為一個不容忽視的重要問題，為解決這一問題，網(wǎng)絡(luò)服務(wù)質(zhì)量便應(yīng)運而生。 目前， IP 網(wǎng)絡(luò)如何提供服務(wù)質(zhì)量（ QoS）支持這一問題現(xiàn)已成為業(yè)界關(guān)注的焦點。對于由 QoS 控制來實現(xiàn) QoS 保證，國際上不同的組織和團體提出了不同的控制機制和策略，例如， ISO/OSI 提出的基于 ODP 分布式環(huán)境的 QoS 控制；ATM 論壇提出的 QoS 控制策略和實現(xiàn)； IETF 組織提出的綜合業(yè)務(wù)模型（ Int Serv）、差分業(yè)務(wù)模型（ Diffe Serv），多協(xié)議標簽交換（ MPLS， MultiProtocol Label Switching）技術(shù)，流量工程（ traffic engineering）等多種控制和管理方案。 網(wǎng)間隔離系統(tǒng)分析 在本校園網(wǎng)設(shè)計中，我們使用一種基于虛擬局域網(wǎng)的端口隔離方法來實現(xiàn)網(wǎng)絡(luò)間的隔離， 首先建立查找表，該表中保存該接入端口對應(yīng)的隔離虛擬局域網(wǎng)即隔離 vlan，及該接入端口對應(yīng)的上聯(lián)端口，當(dāng)所述接入端口接收到數(shù)據(jù)包時，進行如下處理：根據(jù)查找表判斷該數(shù)據(jù)包是否要發(fā)送到該接入端口的隔離vlan 中，如果不是，按照正常的二層轉(zhuǎn)發(fā)處理該數(shù)據(jù)包。 7 第 3 章 拓撲圖及方案整體描述 主干網(wǎng)傳輸設(shè)計 校園主干傳輸網(wǎng)的設(shè)計是校園網(wǎng)絡(luò)中心設(shè)計的核心，主要有兩個方面組成，包括主干傳輸網(wǎng)的方案選擇和主干傳輸網(wǎng)網(wǎng)絡(luò)拓撲 圖，在本設(shè)計中，我們選擇千兆以太網(wǎng)作為主要的校園主干傳輸網(wǎng)。 1．主干傳輸網(wǎng)設(shè)計方案 千兆以太網(wǎng)是近幾年發(fā)展起來的技術(shù)，和快速以太網(wǎng)相比，提供更高更快的傳輸速度，還有更好的第三層交換能力，能管理更高的帶寬，更高的流量。其技術(shù)較 ATM 簡單，而且價格合理。 考慮到學(xué)校校園網(wǎng)的實際情況，我們推薦使用聯(lián)想新近推出的 LS5608G 智能型 8 口機箱式千兆以太網(wǎng)交換機作為校園網(wǎng)的中心交換機。它可適用于中小型主干網(wǎng)絡(luò)和高速率、高端口密度、多端口類型的復(fù)雜網(wǎng)絡(luò)。 2．主干傳輸網(wǎng)網(wǎng)絡(luò)拓撲圖 在本設(shè)計中我們選擇 MS5103 1 口千兆位以太網(wǎng)模塊（ SX/MM/850nm，0350m）或 MS5104 1 口千兆位以太網(wǎng)模塊（ LX/SM/1310nm,06km）與下面的各個子網(wǎng)通過千兆位的鏈路相連。主干傳輸網(wǎng)網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖如 圖 所示 8 圖 網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖 CiscoCatalyst 3548XL 交換機 CiscoCatalyst 3548XL 交換機 CiscoCatalyst 3548XL 交換機 CiscoCatalyst 3548XL 交換機 CiscoCatalyst 3548XL 交換機 CiscoCatalyst 3548XL 交換機 CiscoCatalyst 3508 XL 交換機 CiscoCatalyst 3524 XL 交換機 CiscoCatalyst 3524 XL 交換機 CiscoCatalyst 3524 XL 交換機 CiscoCatalyst 3524 XL 交換機 CiscoCatalyst 3524 XL 交換機 CiscoCatalyst 3524 XL 交換機 CiscoCatalyst 3524 XL 交換機 CiscoCatalyst 3524 XL 交換機 CiscoCatalyst 3524 XL 交換機 CiscoCatalyst 3524 XL 交換機 CiscoCatalyst 3524 XL 交換機 CiscoCatalyst 3524 XL 交換機 CiscoCatalyst 3524 XL 交換機 CiscoCatalyst 3524 XL 交換機 CiscoCatalyst 3524 XL 交換機 CiscoCatalyst 3524 XL 交換機 CiscoCatalyst 3524 XL 交換機 CISCO 1720 路由 器 Inter 服務(wù)器群 教學(xué)樓 教師宿舍 計算機機房 辦公樓 學(xué)生宿舍 2 學(xué)生宿舍 1 圖書館 CiscoCatalyst 3548XL 交換機 CiscoCatalyst 3548XL 交換機 9 校園網(wǎng)與 Inter 接入方案設(shè)計 對于 校園網(wǎng) ， 可以 采用路由器實現(xiàn)接入 Inter。在局域網(wǎng)上通過代理服務(wù)器軟件或者路由器，都可以解決多用戶共享訪問 Inter 問題，實質(zhì)上是 一個介于用戶群體和 Inter 之間的橋梁，用以實現(xiàn)其網(wǎng)絡(luò)用戶對 Inter 的訪問。 在使用路由器接入 Inter 時， 對于缺少合法 IP 地址情況下，可以使用（ NAT）地址轉(zhuǎn)換技術(shù)實現(xiàn)內(nèi)部網(wǎng)絡(luò)對外部網(wǎng)絡(luò)的訪問。路由器在收到內(nèi)部網(wǎng)絡(luò)中的計算機訪問外部網(wǎng)絡(luò)的 IP 數(shù)據(jù)包時，將這些非法的 IP 地址轉(zhuǎn)換成合法的IP 地址， 作為 IP 數(shù)據(jù)包的源地址訪問外部網(wǎng)絡(luò)，當(dāng)回來的數(shù)據(jù)包經(jīng)過路由器時，在把該數(shù)據(jù)包的目標地址轉(zhuǎn)換為相應(yīng)的局域網(wǎng)內(nèi)的主機 IP 地址，并把該數(shù)據(jù)包傳送到相應(yīng)主機， 從而達到訪問 Inter 的目的。這些功能其實是 NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換）的一部分。 除了 NAT 之外，路由器接入 Inter 還采用了防火墻技術(shù)，主要是基于源和目標 IP 地址以及端口過濾的防火墻技術(shù)。通過防火墻技術(shù)，可以在一定程度上使內(nèi)部局域網(wǎng)免受外面的攻擊，起到一定的安全作用 。 目前國內(nèi)常見的有以下的幾種接入方式可選擇 ： 公共電話網(wǎng) 這是最容易實施的方法，費用低廉。只要一條可以連接 ISP 的電話線和一個賬號就可以。但缺點是傳輸速度低，線路可靠性差。如果用戶多，可以多條電話線共同工作，提高訪問 速度。 目前在國內(nèi)迅速普及，價格大幅度下降，有的地方甚至是免初裝費用。兩個信道 128kbit/s 的速率，快速的連接以及比較可靠的線路，可以滿足 校園網(wǎng)瀏覽以及收發(fā)電子郵件的需求。而且還可以通過 ISDN 和 Inter 組建 VPN。這種方法的性能價格比很高，在國內(nèi)大多數(shù)的城市都有 ISDN 接入服務(wù)。 非對稱數(shù)字用戶環(huán)路，可以在普通的電話銅纜上提供 1． 5～ 8Mbit/s 的下行和 10～ 64kbit/s 的上行傳輸，可進行視頻會議和影視節(jié)目傳輸。可是有一個致命的弱點：用戶距離電信的交換機房的 線路距離不能超過 4～ 6km，限制了它 10 的應(yīng)用范圍。 遠程訪問服務(wù) 在 Inter 上申請?zhí)摂M主機，建立學(xué)校的宣傳站點和學(xué)生課業(yè)輔導(dǎo)站點。 隨著日益增長的遠程用戶（如在家中上網(wǎng)，欲訪問校園內(nèi)部網(wǎng)查找資料的教師及學(xué)生）需要，這些用戶需要撥號訪問校園內(nèi)部網(wǎng)。他們需要校園網(wǎng)提供遠程訪問服務(wù)。 在 Inter 上申請?zhí)摂M主機，使用 FTP 上傳文件，建立學(xué)校的宣傳站點和學(xué)生課業(yè)輔導(dǎo)站點。同時，在各大網(wǎng)絡(luò)搜索門戶中注冊網(wǎng)站，便于 Inter 用戶訪問查詢。學(xué)生在家中上網(wǎng)時，進入學(xué)生課業(yè)輔導(dǎo)網(wǎng)站，即可接受同 步指導(dǎo)。 子網(wǎng)與 VLAN 規(guī)劃方案設(shè)計 子網(wǎng)劃分類別及其詳細信息如下表 所示： 表 子網(wǎng)的劃分 序號 子網(wǎng)名稱 包含的信息點 1 服務(wù)器子網(wǎng) 連接 Inter 的所有服務(wù)器，為真實 IP 地址 2 網(wǎng)絡(luò)設(shè)備子網(wǎng) 除路由器外所有的網(wǎng)絡(luò)設(shè)備 3 辦公室子網(wǎng) 辦公樓 200 臺計算機 4 多媒體子網(wǎng) 多媒體教室 35 臺計算機 5 教室子網(wǎng) 所有教室 30 臺計算機 6 電子閱覽室子網(wǎng) 電子閱覽室 15 臺計算機 7 圖書館子網(wǎng) 學(xué)生閱覽室和借閱 室 10 臺計算機 8 計算機實驗室 1 子網(wǎng) 計算機實驗室 1 的計算機 100 臺 9 計算機實驗室 2 子網(wǎng) 計算機實驗室 2 的計算機 100 臺 10 學(xué)生宿舍 A 子網(wǎng) 學(xué)生宿舍 A 的 200 臺計算機 11 學(xué)生宿舍 B 子網(wǎng) 學(xué)生宿舍 B 的 200 臺計算機 12 教工宿舍子網(wǎng) 教工宿舍的 130 臺計算機 學(xué)校申請的 IP 地址為 2 個 C 類地址，為 ，域名為 ,主 DNS 服務(wù)器 IP地址為 ，輔 DNS 服務(wù)器 IP 地 11 址為 。 表 學(xué)校設(shè)備 IP 地址分配 VLAN ID 網(wǎng)段 IP 網(wǎng)關(guān) IP 描述 1 2 3 4 5 ，所有教室計算機 6 7 ，借閱室和借書 室子網(wǎng) 8 9 10 11 12 網(wǎng)間隔 離方案設(shè)計 網(wǎng)絡(luò)隔離，英文名為 Network Isolation，主要是指把兩個或兩個以上可路由的網(wǎng)絡(luò) (如： TCP/IP)通過不可路由的協(xié)議 (如： IPX/SPX、 NetBEUI 等 )進行數(shù)據(jù)交換而達到隔離目的。由于其原理主要是采用了不同的協(xié)議，所以通常也叫協(xié)議隔離 (Protocol Isolation)。協(xié)議隔離和 防火墻 不屬于同類產(chǎn)品。 網(wǎng)絡(luò)隔離