【文章內容簡介】 標 校園網的設計目標簡而言之是將各種不同應用的信息資源通過高性能的網絡設備相互連接起來，形成校園區(qū)內部的 Intra系統(tǒng)，對外通過路由設備接入廣域網 。具體而言這樣的設計目標應該是： 信息資源共享 通過校園網，實現(xiàn)學校內部，學校與國內、國際信息的快速交流，達到資源共享，使廣大師生及時了解國內外科學技術和高等教育發(fā)展的最新動態(tài)，促進教學、科研、管理事業(yè)的發(fā)展。 圖書資料檢索、借閱自動化 通過改造原有圖書檢索系統(tǒng)，建設電子圖書館，提高校內圖書資料的利用率；充分利用校外圖書資料，實現(xiàn)遠程計算機圖書檢索和借閱。 學校管理系統(tǒng)的信息化、自動化 依托校園網，構建相應的交互式應用軟件平臺，實現(xiàn)教學、科研、人事、學生、財務、后勤、檔案等管理工作的自動化，實 現(xiàn)統(tǒng)計監(jiān)測網絡化，提高管理效率和水平。實現(xiàn)網上招生、網上人才招聘、學生網上求職等。 建立計算機網絡輔助教學系統(tǒng) 建立基于網絡的電子教學 CAI課件開發(fā)網上題庫、答疑與作業(yè)批改等計算機輔助教學系統(tǒng)，實現(xiàn)教學手段的現(xiàn)代化。 校園網和廣域網結合 依托校園網、廣域網開展遠程教學，使廣大的學生和老師能更好的交流學習和獲取學校網絡的資源。 創(chuàng)建網站 創(chuàng)建學院網站，使之成為對外宣傳的重要窗口，讓世界了解我們，提高學院的知名度。 人性化 為廣大師生提供寬松，開放、易用的網絡環(huán)境，使網絡觸入日常工作和生活中 ，發(fā)揮網絡的最大效用。 方便教學 網絡可以進行圖、文、聲并茂的多媒體教學，可以取代語言實驗室進行更生動的語言教學，也可以利用大量現(xiàn)成的教學軟件，提供一個良好的教學環(huán)境，這些都是以往任何教學手段所不能達到的。校園網絡不但可以在校內進行網絡教學，還很容易同外界大型網絡連結，形成更大范圍的網絡交互學習環(huán)境。 系統(tǒng)總體設計本著總體規(guī)劃、分布實施的原則，充分體現(xiàn)系統(tǒng)的技術先進性、高度的安全可靠性、良好的開放性、可擴展性，以及經濟性。 業(yè)務需求分析 作為本院校園網工程最終用戶的學院領導、管理人員和專業(yè) 技術人員，是學校的專門管理人員，具有豐富的管理經驗和專業(yè)知識，對數(shù)據信息的需求有所不同：院領導希望能提供決策方面的主要數(shù)據；中層干部既具有決策又有管理工作，希望能盡快收集信息，用以協(xié)調各部門工作；專業(yè)人員從事基礎管理工作，希望通過計算機提高工作效率；教師希望能以更生動、形象的多媒體手段給學生授課，同時通過計算機網絡查詢資料、進行備課和與學生交流；學生也希望能夠通過計算機網絡快速、便捷地與老師溝通、下載課件和利用網絡資源解決學習上的困難和自學 。 安全性需求分析 在校園網絡中，校園網絡的安全保障十分的 重要：校園網用戶的流動性大，信息點存在隨意接入使用的問題。學生及外來不明身份的用戶，在校園網中找到任何一個信息點，就可以進入到校園網，可以肆意干擾和破壞校園網網絡平臺及應用系統(tǒng)的正常運行。另外校園網的網絡安全，還需要考慮與外網及內網不同應用系統(tǒng)之間的安全訪問控制。為了發(fā)生安全事件后，能夠有效、快捷地處理事故，采用上網審計手段是十分有必要的。由于當前類似“沖擊波、震蕩波病毒”的肆虐，一個健壯的網絡應該提供必要的手段，禁止特定病毒的傳播以及由于病毒造成的流量擁塞。因此，系統(tǒng)安全控制技術應遵守的要求為： Inter 的安全控制應提供地址轉換、被動監(jiān)廳、端口掃描和否認服務等機制、同時劃分不同級別的安全區(qū)域；遠程訪問的安全控制應提供訪問服務器的用戶身份認證、用戶授權及用 戶記賬 /審計等功能；應提供對整個網絡和工作站進行偵獨、解毒和清毒等工作，防范計算機病毒。內部網絡實用 VLAN分段，隔離廣播域，防止網絡竊聽和非法訪問 ,使用防火墻分割內部網和外部網，限制級別訪問內部 WEB服務器，財務數(shù)據，以及 OA系統(tǒng)各分區(qū)校園用戶使用 VPN方式訪問主教學總部網絡，并限制同時的訪問量。 校園網功能 連接校內所有教學樓、實驗室 、辦公樓中、學生生活區(qū)、圖書館 PC。同時支持大約 1200用戶瀏覽 Inter。 提供豐富的網絡服務，實現(xiàn)廣泛的軟件，硬件資源共享，包括：提供基本的 Inter網絡服務功能：如電子郵件、文件傳輸、遠程登錄、新聞組討論、電子公告牌、域名服務等。提供校內各個管理機構的辦公自動化。提供圖書，文獻查詢與檢索服務，增強校圖書館信息自動化能力。全校共享軟件庫服務，避免重復投資，發(fā)揮最大效益。提供 CAI 教學和科研的便利條件。經廣域網接口，提供國內外計算機系統(tǒng)的互連，為國際間的信息交流和科研合作，為學?？焖佾@得最新教 學成果及技術合作等創(chuàng)造良好的信息通路。 二、方案設計原則 本方案的設計將在追求性能優(yōu)越、經濟實用的前提下，本著嚴謹、慎重的態(tài)度，從系統(tǒng)結構、技術措施、設備選擇、系統(tǒng)應用、技術服務和實施過程等方面綜合進行系統(tǒng)的總體設計，力圖使該系統(tǒng)真正成為符合該校園網的網絡系統(tǒng)。 從技術措施角度來講，在網絡的設計和實現(xiàn)中，本方案嚴格遵守了以下原則： 實用性和集成性 系統(tǒng)的軟硬件設計、還是集成，均以適用為第一宗旨，在系統(tǒng)充分適應校園信息化的需求的基礎上進而再來考慮其他的性能。該系統(tǒng)所包含的內容很多，必須能將各種先進的軟硬件設備 有效地集成在一起，使系統(tǒng)的各個組成部分能充分發(fā)揮作用，協(xié)調一致的進行高效工作。 標準性和開放性 只有支持標準性和開放性的系統(tǒng)，才能支持與其它開放型系統(tǒng)一起協(xié)同工作，在網絡中采用的硬件設備及軟件產品應該支持國際工作標準或事實上的標準，以便能和不同廠家的開放性產品在同一網絡中同時共存。通信中應采用標準的通信協(xié)議以使不同的操作系統(tǒng)與不同的網絡系統(tǒng)及不同的網絡之間順利進行通訊。 先進性和安全性 系統(tǒng)所有的組成要素均應充分地考慮其先進性。不能一味地追求實用而忽略先進，只有將當今最先進的技術和我們的實際應用要求緊密結合 ，才能獲得最大的系統(tǒng)性能和效益。網絡的安全是事關重要的，在某些情況下，寧可犧牲系統(tǒng)的部分功能也必須保證系統(tǒng)的安全。 成熟性和高可靠性 作為信息系統(tǒng)基礎的網絡結構和網絡設備的配置及帶寬應能充分地滿足網絡通信的需要。網絡硬件體系結構在實際應用中能經過較長時間的考驗，在運行速度和性能上都應是穩(wěn)定可靠的、擁有完善的、實用的解決方案，并通到較多的第三方開發(fā)商和用戶在全球的廣泛支持和使用。同時，應從長遠的技術發(fā)展來選擇具有很好前景的、較為先進的技術和產品，以適應系統(tǒng)未來的發(fā)展需要。 可靠性也是衡量一個計算機應用系統(tǒng)的重 要標準之一。在確保系統(tǒng)網絡環(huán)境中單獨設備穩(wěn)定、可靠運行的前提下，還需要考慮網絡整體的容錯能力、安全性及穩(wěn)定性，使系統(tǒng)出現(xiàn)問題和故障時能迅速地修復。因此需要采取一定的預防措施，如對關鍵應用的主干設備考慮有適當?shù)娜哂?。應急處理信息系統(tǒng)能夠全天候工作，達到每周 7*24小時工作的要求。一個高可用性的系統(tǒng)才能使用戶的投資真正得到回報。 可維護性和可管理性 整個信息網絡系統(tǒng)中的互連設備，應是使用方便、操作簡單易學，并便于維護。對復雜和龐大的網絡，要求有強有力的網絡管理手段，以便合理的管理網絡資源，監(jiān)視網絡狀態(tài)及控制網絡 的運行，因此，網絡所選的網絡設備應支持多種協(xié)議，管理員能方便進行網絡管理、維護甚至修復。 在設計和實現(xiàn)時，必須充分考慮整個系統(tǒng)的便于維護性，以使系統(tǒng)萬一發(fā)生故障時能提供有效手段及時進行恢復，盡量減少損失。 可擴充性和兼容性 網絡的拓撲結構應具有可擴展性即網絡聯(lián)結必須在系統(tǒng)結構、系統(tǒng)容量與處理能力、物理接連、產品支持等方面具有擴充與升級換代的可能，采用的產品要遵循通用的工業(yè)標準，以便不同的設備能方便靈活地接連入網并滿足系統(tǒng)規(guī)模擴充的要求。 為了使所實現(xiàn)系統(tǒng)能夠在應用發(fā)生變化的情況下保護原有的開發(fā)投資，在設計系 統(tǒng)時，應將系統(tǒng)按功能做成模塊化的，可根據需要增加和刪除功能模塊。 三、方案設計 在此校園網絡設計中，我們采用層次結構化模型來設計網絡拓撲結構。所謂“層次結構化”模型，就是將復雜的網絡設計分成幾個層次，每個層次強化某些特定的功能，這樣就能夠使一個復雜的大問題變成多個簡單的小問題。層次模型既能夠應用于局域網的設計，也能夠應用于廣域網的設計。 層次結構化模型的好處： 在校園網網設計中，使用層次結構化模型有許多好處，列舉如下： 節(jié)省成本 采用層次結構化模型之后，各層次各司其職，也不用再同一個平臺上考慮所有的事情 。層次結構化模型模塊化的特性使網絡中的各個層都能夠很好地利用帶寬，減少了對系統(tǒng)資源的浪費。 易于理解 層次結構化設計使得網絡結構清晰明了，可以在不同的層次實施不同的管理，降低了對網絡設備的管理成本。 易于擴展 在網絡設計中，模塊化具有的特性使得網絡增長時 ,網絡的復雜性能夠限制在各個子網中，而不會蔓延到網絡的其它地方。而如果采用扁平化和網狀設計，任何一個節(jié)點的變動都將對整個網絡產生很大影響。 易于排錯 層次結構化設計能夠使網絡拓撲結構分解為易于理解的子網，網絡管理者能夠輕易地確定網絡故障的范 圍，從而簡化了排錯過程復雜度。 3. 網絡拓撲圖 教育網 廣域網設計 在校園網中訪問對向一般兩種，一是對 Inter 網的訪問需求，另一個是對教育網的訪問。如果，只通過 Inter訪問教育網，這樣，一是會造成出口訪問流量大，二是，訪問教育網時，會產生一定的延遲時間。不利于提高網絡的可靠性和訪問速率。采用高端路由器做路由表的更新及轉發(fā)路由信息，提高內部對外部訪問的速率。防火墻放在路由器之外，采用兩個出口，通過 IP策略路由技術來實現(xiàn)各自訪問目的地，可以根據不同目的地址來判斷選擇走哪個出口去訪問外網。開啟防火墻功能，對內外的數(shù)據進行相應的訪問控制，對不必要的數(shù)據進行過濾，利用 Qos 服務質量來對內部網、外部網的訪問信息量進行相應控制，使之保證出口通道不被非正常數(shù)據所占有。在防火墻上做 NAT 地址轉換技術、 NAT 地址映射技術后，將內部 IP 地址轉換成外部可用 IP 及將內部某服務器 IP 映射成外部可用 IP 地址，這樣實現(xiàn)對內外部網的訪問。相對外網來說，內部網是不可見的。這樣保證了內部網的安全性及節(jié)約對外網 IP的需求。光發(fā)射機，將 CATV 信號轉換為光信號，這樣可以提高在內部的傳輸速度。 核心層設計 負載均衡： 冗余設計是網絡設計的重要部分，是保證網絡整體可靠性能的重要手段。但是投資也將增加。部分校園區(qū)網在早期的建設中由于成本的原因并未在設計中考慮冗余問題，而在優(yōu)化工作中則需從網絡鏈路和網絡設備兩方面著手。冗余設計可以貫穿整個層次化結構，每個冗余設計都有針對性，可以選擇其中一部分或幾部分應用到網絡中以針對重要的應用。萬一網絡中某條路徑失效時，冗余鏈路可以提供另一條物理路徑?？刹捎?GEC鏈路聚合（ ）實現(xiàn)端口級冗余，以克服某個端口或線路引起的故障。也可采用生成樹協(xié)議（ ）或MSTP 提供設備級的冗余連接。此外，我們在設計中提供不同物理方向的雙歸屬、雙路由保護。 線路冗余： 在校園網骨干核心層校園網絡邊界拓撲結構由于采用了多機熱備份的核心交換機系統(tǒng)解決方案，所以在線路冗余方面的要求較高，對于線路的冗余要求，我們采用 10GE線路對二臺校園網核心層設備進行環(huán)行雙向備份，并使用業(yè)界領先的 VRRP（虛擬路由器冗余協(xié)議）來對其作為冗余線路的協(xié)議保障。以 GEC 作為 N*1000M 主干鏈路，通過這個鏈路連接骨干網交換機，具備萬兆擴展能力；接入交換機采用 10/100M 自適應端口連接桌面系統(tǒng)，多千兆鏈路連接到匯聚層。 鏈路聚合： 鏈路聚合中，成員互相動態(tài)備份。當某一鏈路中斷時，其它成員能夠迅速接替其工作。與生成樹協(xié)議不同，鏈路聚合啟用備份的過程對聚合之外是不可見的，而且啟用備份過程只在聚合鏈路內，與其它鏈路無關，切換可在數(shù)毫秒內完成。 綜合分析以上各主流方案的優(yōu)缺點，從性能與成本及拓展性等方面的綜合考慮出發(fā)，我們決定采用 GEC 骨干核心網絡 10GE 拓展的方式作為其鏈路選擇及備份選擇。 校園網匯聚層及接入層出于成本及性價比的考慮，我們決定采用千兆交換，千兆匯聚，千兆路由 ,萬 兆拓展 ,百兆到桌面的鏈路。 匯聚層設計 wlan 接入： 匯聚層針對于學院內的接入層與核心層的數(shù)據交換，實現(xiàn)學院各區(qū)域間網絡之間的的匯聚。有多個不同 VLAN，利用 STP或 RSTP生成樹協(xié)議，會造成鏈路的浪費，不能達到鏈路的有效利用率，為實現(xiàn)匯聚層鏈路的負載分擔及備份。則我們采用 MSTP多生成樹實例來實現(xiàn)，它可以將多個不同 VLAN 捆綁在一起，不同實例互相為備份，達到鏈路的備份及流量的分擔。 交換機在提供高密度千兆端口接入的同時還能夠滿足匯聚層智能高速處 理的需要 ,并能夠加靈活的部署在網絡邊緣的各個位置。能夠同時提供多個高速專用堆疊端口和百兆、千兆光口/電口。這些交換機都具備較強的多業(yè)務提供能力，可支持包括智能的 CCL、 MPLS（多協(xié)議標簽交換）、組播在內的各種業(yè)務。為用戶提供豐富、高性價比的組網選擇。 接入層設計 以往傳統(tǒng)校園網接入層的建設中并不關注于安全控制和 QOS 提供能力，而將網絡的安全防御措施和 QOS 保障依賴于網絡的匯聚層或骨干層設備，這給匯聚層和骨干層設備帶來了巨大的壓力，往往內網病毒泛濫成災后導致骨干層設備癱機，使網絡沒有 QOS 服務質量 保障。我們采用 H3C 360028P 的交換機是能滿足高安全、多業(yè)務承載、高性能的網絡環(huán)境智能交換機，具備傳統(tǒng)二層交換機大容量、高性能等優(yōu)點，同時還具有領先的安全特性，進一步加強了企業(yè)網絡對邊緣接入層面的安全控制能力。具備的端口帶寬限制、端口鏡像、 QoS、 、端口安全、廣播風暴抑制等功能可以很好的協(xié)助用戶實現(xiàn)網絡的管理和維護。 方案特點 本方案采用層次結構化模型很好地解決了校園網內要求的幾個問題，即帶寬問題、安全問題、管理問題、維護問題、靈活擴展問題。 帶寬問題：使用萬兆互連雙核心結