【文章內(nèi)容簡(jiǎn)介】 集成 防 火墻、 VPN，內(nèi)容過(guò)濾，為中小 型校園 的網(wǎng)絡(luò)安全實(shí)現(xiàn)提供了經(jīng)濟(jì)的解決方案 。 QoS 分析 QoS（ Quality of Service， 服務(wù)質(zhì)量 ）指一個(gè)網(wǎng)絡(luò)能夠利用各種基礎(chǔ)技術(shù)，為指定的 網(wǎng)絡(luò)通信 提供更好的服務(wù)能力 , 是網(wǎng)絡(luò)的一種安全機(jī)制， 是用來(lái)解決網(wǎng)絡(luò)延遲和阻塞等問(wèn)題的一種技術(shù)。 在正常情況下，如果網(wǎng)絡(luò)只用于特定的無(wú)時(shí)間限制的應(yīng)用系統(tǒng)，并不需要 QoS，比如 Web 應(yīng)用，或 Email 設(shè)置等。但是對(duì)關(guān)鍵應(yīng)用和多媒體應(yīng)用就十分必要。當(dāng)網(wǎng)絡(luò)過(guò)載或擁塞時(shí)， QoS 能確保重要業(yè)務(wù)量不受 延遲 或 丟棄， 同時(shí)保證網(wǎng)絡(luò)的高效運(yùn)行。 如何在 IP 網(wǎng)絡(luò)上保證用戶信息傳輸?shù)馁|(zhì)量就成為一個(gè)不容忽視的重要問(wèn)題，為解決這一問(wèn)題，網(wǎng)絡(luò)服務(wù)質(zhì)量便應(yīng)運(yùn)而生。 目前， IP 網(wǎng)絡(luò)如何提供服務(wù)質(zhì)量（ QoS）支持這一問(wèn)題現(xiàn)已成為業(yè)界關(guān)注的焦點(diǎn)。對(duì)于由 QoS 控制來(lái)實(shí)現(xiàn) QoS 保證，國(guó)際上不同的組織和團(tuán)體提出了不同的控制機(jī)制和策略，例如， ISO/OSI 提出的基于 ODP 分布式環(huán)境的 QoS 控制；ATM 論壇提出的 QoS 控制策略和實(shí)現(xiàn)； IETF 組織提出的綜合業(yè)務(wù)模型（ Int Serv）、差分業(yè)務(wù)模型（ Diffe Serv），多協(xié)議標(biāo)簽交換（ MPLS， MultiProtocol Label Switching）技術(shù)，流量工程（ traffic engineering）等多種控制和管理方案。 網(wǎng)間隔離系統(tǒng)分析 在本校園網(wǎng)設(shè)計(jì)中，我們使用一種基于虛擬局域網(wǎng)的端口隔離方法來(lái)實(shí)現(xiàn)網(wǎng)絡(luò)間的隔離， 首先建立查找表，該表中保存該接入端口對(duì)應(yīng)的隔離虛擬局域網(wǎng)即隔離 vlan，及該接入端口對(duì)應(yīng)的上聯(lián)端口，當(dāng)所述接入端口接收到數(shù)據(jù)包時(shí)，進(jìn)行如下處理：根據(jù)查找表判斷該數(shù)據(jù)包是否要發(fā)送到該接入端口的隔離vlan 中，如果不是，按照正常的二層轉(zhuǎn)發(fā)處理該數(shù)據(jù)包。 7 第 3 章 拓?fù)鋱D及方案整體描述 主干網(wǎng)傳輸設(shè)計(jì) 校園主干傳輸網(wǎng)的設(shè)計(jì)是校園網(wǎng)絡(luò)中心設(shè)計(jì)的核心，主要有兩個(gè)方面組成，包括主干傳輸網(wǎng)的方案選擇和主干傳輸網(wǎng)網(wǎng)絡(luò)拓?fù)?圖，在本設(shè)計(jì)中，我們選擇千兆以太網(wǎng)作為主要的校園主干傳輸網(wǎng)。 1．主干傳輸網(wǎng)設(shè)計(jì)方案 千兆以太網(wǎng)是近幾年發(fā)展起來(lái)的技術(shù)，和快速以太網(wǎng)相比，提供更高更快的傳輸速度，還有更好的第三層交換能力，能管理更高的帶寬，更高的流量。其技術(shù)較 ATM 簡(jiǎn)單，而且價(jià)格合理。 考慮到學(xué)校校園網(wǎng)的實(shí)際情況，我們推薦使用聯(lián)想新近推出的 LS5608G 智能型 8 口機(jī)箱式千兆以太網(wǎng)交換機(jī)作為校園網(wǎng)的中心交換機(jī)。它可適用于中小型主干網(wǎng)絡(luò)和高速率、高端口密度、多端口類型的復(fù)雜網(wǎng)絡(luò)。 2．主干傳輸網(wǎng)網(wǎng)絡(luò)拓?fù)鋱D 在本設(shè)計(jì)中我們選擇 MS5103 1 口千兆位以太網(wǎng)模塊（ SX/MM/850nm，0350m）或 MS5104 1 口千兆位以太網(wǎng)模塊（ LX/SM/1310nm,06km）與下面的各個(gè)子網(wǎng)通過(guò)千兆位的鏈路相連。主干傳輸網(wǎng)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖如 圖 所示 8 圖 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖 CiscoCatalyst 3548XL 交換機(jī) CiscoCatalyst 3548XL 交換機(jī) CiscoCatalyst 3548XL 交換機(jī) CiscoCatalyst 3548XL 交換機(jī) CiscoCatalyst 3548XL 交換機(jī) CiscoCatalyst 3548XL 交換機(jī) CiscoCatalyst 3508 XL 交換機(jī) CiscoCatalyst 3524 XL 交換機(jī) CiscoCatalyst 3524 XL 交換機(jī) CiscoCatalyst 3524 XL 交換機(jī) CiscoCatalyst 3524 XL 交換機(jī) CiscoCatalyst 3524 XL 交換機(jī) CiscoCatalyst 3524 XL 交換機(jī) CiscoCatalyst 3524 XL 交換機(jī) CiscoCatalyst 3524 XL 交換機(jī) CiscoCatalyst 3524 XL 交換機(jī) CiscoCatalyst 3524 XL 交換機(jī) CiscoCatalyst 3524 XL 交換機(jī) CiscoCatalyst 3524 XL 交換機(jī) CiscoCatalyst 3524 XL 交換機(jī) CiscoCatalyst 3524 XL 交換機(jī) CiscoCatalyst 3524 XL 交換機(jī) CiscoCatalyst 3524 XL 交換機(jī) CiscoCatalyst 3524 XL 交換機(jī) CISCO 1720 路由 器 Inter 服務(wù)器群 教學(xué)樓 教師宿舍 計(jì)算機(jī)機(jī)房 辦公樓 學(xué)生宿舍 2 學(xué)生宿舍 1 圖書館 CiscoCatalyst 3548XL 交換機(jī) CiscoCatalyst 3548XL 交換機(jī) 9 校園網(wǎng)與 Inter 接入方案設(shè)計(jì) 對(duì)于 校園網(wǎng) ， 可以 采用路由器實(shí)現(xiàn)接入 Inter。在局域網(wǎng)上通過(guò)代理服務(wù)器軟件或者路由器，都可以解決多用戶共享訪問(wèn) Inter 問(wèn)題，實(shí)質(zhì)上是 一個(gè)介于用戶群體和 Inter 之間的橋梁，用以實(shí)現(xiàn)其網(wǎng)絡(luò)用戶對(duì) Inter 的訪問(wèn)。 在使用路由器接入 Inter 時(shí)， 對(duì)于缺少合法 IP 地址情況下，可以使用（ NAT）地址轉(zhuǎn)換技術(shù)實(shí)現(xiàn)內(nèi)部網(wǎng)絡(luò)對(duì)外部網(wǎng)絡(luò)的訪問(wèn)。路由器在收到內(nèi)部網(wǎng)絡(luò)中的計(jì)算機(jī)訪問(wèn)外部網(wǎng)絡(luò)的 IP 數(shù)據(jù)包時(shí)，將這些非法的 IP 地址轉(zhuǎn)換成合法的IP 地址， 作為 IP 數(shù)據(jù)包的源地址訪問(wèn)外部網(wǎng)絡(luò)，當(dāng)回來(lái)的數(shù)據(jù)包經(jīng)過(guò)路由器時(shí)，在把該數(shù)據(jù)包的目標(biāo)地址轉(zhuǎn)換為相應(yīng)的局域網(wǎng)內(nèi)的主機(jī) IP 地址，并把該數(shù)據(jù)包傳送到相應(yīng)主機(jī)， 從而達(dá)到訪問(wèn) Inter 的目的。這些功能其實(shí)是 NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換）的一部分。 除了 NAT 之外，路由器接入 Inter 還采用了防火墻技術(shù)，主要是基于源和目標(biāo) IP 地址以及端口過(guò)濾的防火墻技術(shù)。通過(guò)防火墻技術(shù)，可以在一定程度上使內(nèi)部局域網(wǎng)免受外面的攻擊，起到一定的安全作用 。 目前國(guó)內(nèi)常見(jiàn)的有以下的幾種接入方式可選擇 ： 公共電話網(wǎng) 這是最容易實(shí)施的方法，費(fèi)用低廉。只要一條可以連接 ISP 的電話線和一個(gè)賬號(hào)就可以。但缺點(diǎn)是傳輸速度低，線路可靠性差。如果用戶多，可以多條電話線共同工作，提高訪問(wèn) 速度。 目前在國(guó)內(nèi)迅速普及，價(jià)格大幅度下降，有的地方甚至是免初裝費(fèi)用。兩個(gè)信道 128kbit/s 的速率，快速的連接以及比較可靠的線路，可以滿足 校園網(wǎng)瀏覽以及收發(fā)電子郵件的需求。而且還可以通過(guò) ISDN 和 Inter 組建 VPN。這種方法的性能價(jià)格比很高，在國(guó)內(nèi)大多數(shù)的城市都有 ISDN 接入服務(wù)。 非對(duì)稱數(shù)字用戶環(huán)路，可以在普通的電話銅纜上提供 1． 5～ 8Mbit/s 的下行和 10～ 64kbit/s 的上行傳輸，可進(jìn)行視頻會(huì)議和影視節(jié)目傳輸。可是有一個(gè)致命的弱點(diǎn)：用戶距離電信的交換機(jī)房的 線路距離不能超過(guò) 4～ 6km，限制了它 10 的應(yīng)用范圍。 遠(yuǎn)程訪問(wèn)服務(wù) 在 Inter 上申請(qǐng)?zhí)摂M主機(jī)，建立學(xué)校的宣傳站點(diǎn)和學(xué)生課業(yè)輔導(dǎo)站點(diǎn)。 隨著日益增長(zhǎng)的遠(yuǎn)程用戶（如在家中上網(wǎng)，欲訪問(wèn)校園內(nèi)部網(wǎng)查找資料的教師及學(xué)生）需要，這些用戶需要撥號(hào)訪問(wèn)校園內(nèi)部網(wǎng)。他們需要校園網(wǎng)提供遠(yuǎn)程訪問(wèn)服務(wù)。 在 Inter 上申請(qǐng)?zhí)摂M主機(jī)，使用 FTP 上傳文件，建立學(xué)校的宣傳站點(diǎn)和學(xué)生課業(yè)輔導(dǎo)站點(diǎn)。同時(shí)，在各大網(wǎng)絡(luò)搜索門戶中注冊(cè)網(wǎng)站，便于 Inter 用戶訪問(wèn)查詢。學(xué)生在家中上網(wǎng)時(shí)，進(jìn)入學(xué)生課業(yè)輔導(dǎo)網(wǎng)站，即可接受同 步指導(dǎo)。 子網(wǎng)與 VLAN 規(guī)劃方案設(shè)計(jì) 子網(wǎng)劃分類別及其詳細(xì)信息如下表 所示： 表 子網(wǎng)的劃分 序號(hào) 子網(wǎng)名稱 包含的信息點(diǎn) 1 服務(wù)器子網(wǎng) 連接 Inter 的所有服務(wù)器，為真實(shí) IP 地址 2 網(wǎng)絡(luò)設(shè)備子網(wǎng) 除路由器外所有的網(wǎng)絡(luò)設(shè)備 3 辦公室子網(wǎng) 辦公樓 200 臺(tái)計(jì)算機(jī) 4 多媒體子網(wǎng) 多媒體教室 35 臺(tái)計(jì)算機(jī) 5 教室子網(wǎng) 所有教室 30 臺(tái)計(jì)算機(jī) 6 電子閱覽室子網(wǎng) 電子閱覽室 15 臺(tái)計(jì)算機(jī) 7 圖書館子網(wǎng) 學(xué)生閱覽室和借閱 室 10 臺(tái)計(jì)算機(jī) 8 計(jì)算機(jī)實(shí)驗(yàn)室 1 子網(wǎng) 計(jì)算機(jī)實(shí)驗(yàn)室 1 的計(jì)算機(jī) 100 臺(tái) 9 計(jì)算機(jī)實(shí)驗(yàn)室 2 子網(wǎng) 計(jì)算機(jī)實(shí)驗(yàn)室 2 的計(jì)算機(jī) 100 臺(tái) 10 學(xué)生宿舍 A 子網(wǎng) 學(xué)生宿舍 A 的 200 臺(tái)計(jì)算機(jī) 11 學(xué)生宿舍 B 子網(wǎng) 學(xué)生宿舍 B 的 200 臺(tái)計(jì)算機(jī) 12 教工宿舍子網(wǎng) 教工宿舍的 130 臺(tái)計(jì)算機(jī) 學(xué)校申請(qǐng)的 IP 地址為 2 個(gè) C 類地址，為 ，域名為 ,主 DNS 服務(wù)器 IP地址為 ，輔 DNS 服務(wù)器 IP 地 11 址為 。 表 學(xué)校設(shè)備 IP 地址分配 VLAN ID 網(wǎng)段 IP 網(wǎng)關(guān) IP 描述 1 2 3 4 5 ，所有教室計(jì)算機(jī) 6 7 ，借閱室和借書 室子網(wǎng) 8 9 10 11 12 網(wǎng)間隔 離方案設(shè)計(jì) 網(wǎng)絡(luò)隔離，英文名為 Network Isolation，主要是指把兩個(gè)或兩個(gè)以上可路由的網(wǎng)絡(luò) (如： TCP/IP)通過(guò)不可路由的協(xié)議 (如： IPX/SPX、 NetBEUI 等 )進(jìn)行數(shù)據(jù)交換而達(dá)到隔離目的。由于其原理主要是采用了不同的協(xié)議，所以通常也叫協(xié)議隔離 (Protocol Isolation)。協(xié)議隔離和 防火墻 不屬于同類產(chǎn)品。 網(wǎng)絡(luò)隔離