【文章內(nèi)容簡介】 端 )。每一個支持 RSVP 的 路由器 沿著下行路由建立一個路徑狀態(tài)表，其中包括路徑信息里先前的源地址 (例如，朝著發(fā)送端的上行的下一跳 )。為了獲得資源預(yù)留，接收端發(fā)送一個上行的 RESV(預(yù)留請求 )消息。除了 TSpec， RESV 消息里有請求類別 (RSpec)，表明所要求的綜合服務(wù)類型，還有一個過濾器類別，表征正在為分組預(yù)留資源 (如傳輸協(xié)議和端口號 )。 RSpec 和過濾器類別合起來代表一個流的描述符，路由器就是靠它來識別每一個預(yù)留資源的。當(dāng)每個支持 RSVP 的路由器沿著上行路徑接收 RESV 的消息時，它采用輸入控制過程證實(shí)請求，并且配置所需的資源。如果這個請求得不到滿足 (可能由于資源短缺或未通過認(rèn)證 )，路由器向接收端返回一個 錯誤 消息。如果這個消息被接受，路由器就發(fā)送上行 RESV 到下一個路由器。當(dāng)最后一 8 個路由器接收 RESV，同時接受請求的時候，它再發(fā)送一個證實(shí)消息給接收端。當(dāng)發(fā)送端或接收端結(jié)束了一個 RSVP 會話時，有一個明顯的斷開連接過程。 校園網(wǎng)在設(shè)計(jì)上應(yīng)具備以下特性才能夠滿足需求，并保證建成后的網(wǎng)絡(luò)在一個較長的時間內(nèi)具有較強(qiáng)的可用性和一定的先進(jìn)性。 Inter 接入方案 校園網(wǎng)絡(luò)拓?fù)鋱D如圖所示： 襄城高中網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)示意圖 根據(jù) 襄城高中 目前的情況和用戶的要求，決定學(xué)院校園網(wǎng)的主要任務(wù)是將圖書館、辦公樓、教學(xué)樓、宿舍以及家屬樓連入校園網(wǎng)，構(gòu)建校園網(wǎng)絡(luò)的初步框架，為以后網(wǎng)絡(luò)規(guī)模的進(jìn)一步擴(kuò)展打下堅(jiān)實(shí)的基礎(chǔ)。 由于目前校園網(wǎng)的主節(jié)點(diǎn)放置在計(jì)算機(jī)教室，而且教師宿舍的使用量不會很大，所以目前網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)呈星形，即以中心機(jī)房為核心，向教學(xué)大樓、教師宿舍和學(xué)生宿舍以及家屬樓輻射，建筑物間使用多模千兆光纖連接。 9 遠(yuǎn)程訪問支持 為了滿足教師在自己家里進(jìn)行科研與辦公的需要，采用遠(yuǎn)程撥號把教師家中的計(jì)算機(jī)和 校園網(wǎng)通過公共電話網(wǎng)連起來，充分利用現(xiàn)代通信手段和校園網(wǎng)資源。學(xué)生也可以通過電話撥號訪問校園網(wǎng)上的資源 。 遠(yuǎn)程登錄協(xié)議的目的是提供一個全面的、雙向的、面向 8 個比特字節(jié)的通信工具，其主要目標(biāo)是提供終端設(shè)備與面向進(jìn)程接口的標(biāo)準(zhǔn)方法， Tel 是應(yīng)用層的協(xié)議，采用客戶 /服務(wù)器模式工作的， Tel 不僅允許用戶登錄到遠(yuǎn)端主機(jī)上，還允許用執(zhí)行遠(yuǎn)端主機(jī)的命令，這樣用戶就能以極小的網(wǎng)絡(luò)資源代價完成大型的網(wǎng)絡(luò)應(yīng)用 。 遠(yuǎn)程訪問提供電話撥號訪問功能，使用戶在家中、在外地都可以訪問校園網(wǎng)。遠(yuǎn)程工作站通過撥號接入校園網(wǎng)，采用點(diǎn) 對點(diǎn)的協(xié)議為 PPP。遠(yuǎn)程訪問服務(wù)器 RAS 與調(diào)制解調(diào)器 Modem 組合實(shí)現(xiàn)遠(yuǎn)程訪問功能。在訪問服務(wù)器的遠(yuǎn)程訪問端口提供訪問控制 (Access List)。通過與撥號安全服務(wù)器配合，還能實(shí)現(xiàn)進(jìn)一步的用戶認(rèn)證和授權(quán)控制。遠(yuǎn)程訪問解決了遠(yuǎn)程工作站通過撥號線路對網(wǎng)絡(luò)資源的訪問。由于撥號網(wǎng)絡(luò)是攻擊網(wǎng)絡(luò)的可能的主要入口，因而必須在技術(shù)和管理兩個方面加強(qiáng)管理。 局域網(wǎng) 建立遠(yuǎn)程訪問網(wǎng)絡(luò)有兩種方案 :第一種是使用軟件型的遠(yuǎn)程訪問服務(wù)器 (例如 WindowsNTServer 的 RAS)來構(gòu)造遠(yuǎn)程訪問網(wǎng)絡(luò)，此方案的優(yōu)點(diǎn)是價格便宜 ,缺點(diǎn)是性 能較低 ,可靠性也較差 。第二種是使用硬件型的遠(yuǎn)程訪問服務(wù)器(例如 3Com 公司的 SuperStackIIRAS1500、 Cisco250 BayRAS4000 等 )來建立遠(yuǎn)程訪問網(wǎng)絡(luò)，此方案可靠性較高 ,運(yùn)行穩(wěn)定 ,雖比第一種方案造價較高，但對于需要高質(zhì)量連接的網(wǎng)絡(luò)用戶，仍不失為一種好方法。 經(jīng)過以上兩種方案的分與比較，再根據(jù)我們校園網(wǎng)絡(luò)的要求，最后還是選擇了第一種方案－－軟件型的遠(yuǎn)程訪問服務(wù)器 Windows NT Server 的 RAS。這樣可以節(jié)省資金來更好建設(shè)校園網(wǎng)的其他更重要部分。 遠(yuǎn)程訪問服務(wù)應(yīng)提供以下功能：撥號訪問（ Tel/Rlogin/PPP）支持、靜態(tài) /動態(tài)地址分配、多協(xié)議（ IP 和 IPX）透明訪問支持、用戶訪問和安全控制、撥出（ DialonDemand, DialOut）功能、自動協(xié)議檢測和轉(zhuǎn)換、遠(yuǎn)程控制和維護(hù)、網(wǎng)管支持。 10 撥號網(wǎng)絡(luò)是可能的主要攻擊入口，并且采用動態(tài) IP 分配策略，所以必須與其它網(wǎng)段隔離，直接連到網(wǎng)絡(luò)中心路由器上，占用一個獨(dú)立的網(wǎng)段，這樣也有利于計(jì)費(fèi)管理。訪問服務(wù)器通過路由器與 MODEM 池接入撥號線。訪問服務(wù)器與撥號安全服務(wù)器配合，根據(jù)身份認(rèn)證協(xié)議（ TACACS/RADIUS/KEBEROS）實(shí)現(xiàn)撥號用戶的認(rèn)證和授權(quán)。 子網(wǎng)劃分與 VLAN 設(shè)定 子網(wǎng)劃分類別及其詳細(xì)信息如表所示： 表 子網(wǎng)劃分類別及其詳細(xì)信息表 序號 子網(wǎng)名稱 包含的信息點(diǎn) 1 服務(wù)器子網(wǎng) 連接 Inter 的所有服務(wù)器，為真實(shí) IP 地址 2 網(wǎng)絡(luò)設(shè)備子網(wǎng) 除路由器外所有的網(wǎng)絡(luò)設(shè)備 3 辦公大樓子網(wǎng) 辦公大樓計(jì)算機(jī) 4 教學(xué)樓，實(shí)驗(yàn)室子網(wǎng) 教學(xué)樓普通教師和多媒體教室和實(shí)驗(yàn)室的所有計(jì)算機(jī) 5 圖書館 ,微機(jī)室子網(wǎng) 學(xué)生閱覽室、借書室計(jì)算機(jī)及圖書館辦公 ,微機(jī)室的所有計(jì)算機(jī) 6 學(xué)生公寓子網(wǎng) 所有寢室的網(wǎng)口 7 教師公寓子網(wǎng) 教師公寓計(jì)算機(jī) 學(xué)校子網(wǎng)劃分示意圖如圖所示： 圖 學(xué)校子網(wǎng)劃分示意圖 第三層網(wǎng)絡(luò) 網(wǎng)絡(luò)設(shè)備網(wǎng)段 服務(wù)器網(wǎng)段 辦公大樓網(wǎng)段 教學(xué)樓和實(shí)驗(yàn)室網(wǎng)段 圖書館微機(jī)室網(wǎng)段 教師公寓網(wǎng)段 學(xué)生公寓網(wǎng)段 11 學(xué)校校園網(wǎng)接入 CERNET,可以向 CERNET 申請 IP 地址和域名。在校園網(wǎng)系統(tǒng)集成之前需要對全校的 IP 地址分配作充分的規(guī)劃，對每臺服務(wù)器、 PC 機(jī)網(wǎng)絡(luò)設(shè)備的端口 IP 地址都要分配。 學(xué)校申請的 IP 地址為 4個 C 類地址，為 ，域名為 ,主 DNS 服務(wù)器 IP 地址為 ，輔 DNS 服務(wù)器IP 地址為 。 學(xué)校設(shè)備 IP 地址分配如表所示： 表 IP地址分配表 主機(jī)名 /類型 設(shè)備名稱 IP 設(shè)置 注釋 Cisco 1 教學(xué)樓 CISCO UCS C24 M3(2U) IP: 網(wǎng)關(guān)： 網(wǎng)管 IP Cisco 2 實(shí)驗(yàn)室 CISCO UCS C24 M3(2U) IP:網(wǎng)關(guān)： 網(wǎng)管 IP Cisco 3 圖書館 CISCO UCS C24 M3(2U) IP:網(wǎng)關(guān)： 網(wǎng)管 IP 主 DNS 服務(wù)器 IP:./24 輔 DNS 服務(wù)器 IP: Web 服務(wù)器 IP: 郵件服務(wù)器 IP: FTP 服務(wù)器 IP: 網(wǎng)間隔離方案設(shè)計(jì) 網(wǎng)絡(luò)隔離主要是指把兩個或兩個以上可路由的網(wǎng)絡(luò) (如： TCP/IP)通過不可路由的協(xié)議 (如： IPX/SPX、 NetBEUI 等 )進(jìn)行數(shù)據(jù)交換而達(dá)到隔離目的。由于其原理主要是采用了不同的協(xié)議，所以通常也叫協(xié)議隔離。協(xié)議隔離和 防火墻 不屬于同類產(chǎn)品。 網(wǎng)絡(luò)隔離的關(guān)鍵是在于系統(tǒng)對通信數(shù)據(jù)的控制，即通過不可路由的協(xié)議來完成網(wǎng)間的數(shù)據(jù)交換。由于通信硬件設(shè)備工作在網(wǎng)絡(luò)七層的最下層，并不能感知到交換數(shù)據(jù)的機(jī)密性、完整性、可用性、可控性、抗抵賴等安全要素，所以這要通過訪問控制、身份認(rèn)證、加密簽名等安全機(jī)制來實(shí)現(xiàn)，而這些機(jī)制的實(shí)現(xiàn)都是通過軟件來實(shí)現(xiàn)的。 因此，隔離的關(guān)鍵點(diǎn)就成了要盡量提高網(wǎng)間數(shù)據(jù)交換的速度，并且對應(yīng)用 12 能夠透明支持，以適應(yīng)復(fù)雜和高帶寬需求的網(wǎng)間數(shù)據(jù)交換。而由于設(shè)計(jì)原理問題使得第三代和第四代隔離產(chǎn)品在這方面很難突破，既便有所改進(jìn)也必須付出巨大的成本，和 “適 度安全 ”理念相悖。 根據(jù)大學(xué)校園網(wǎng)的結(jié)構(gòu)特點(diǎn)及面臨的安全隱患，我們將通過瑞星防火墻、入侵檢測、網(wǎng)絡(luò)殺毒軟件，實(shí)現(xiàn)網(wǎng)絡(luò)安全隔離、網(wǎng)絡(luò)監(jiān)控措施、網(wǎng)絡(luò)病毒的防范等安全需求，為大學(xué)校園構(gòu)建統(tǒng)一、安全的網(wǎng)絡(luò)。 在網(wǎng)間隔離技術(shù)方面，推薦采用聯(lián)想網(wǎng)御 2021 防火墻是集“防火”（訪問控制技術(shù)）、“防毒”（防病毒網(wǎng)關(guān)技術(shù)）、“防黑”（入侵檢測技術(shù)）、“防白”（智能內(nèi)容過濾技術(shù)）、“防黃”（ URL 地址過濾）、“防盜”（支持 VPN 功能）一系列功能于一體的綜合型防火墻，采用前瞻性的安全措施，利用基于硬件的安全性不斷分析環(huán)境、防護(hù)網(wǎng) 絡(luò)攻擊，有效避免網(wǎng)絡(luò)數(shù)據(jù)丟失。由于這些功能內(nèi)建于芯片之上，因此可在操作系統(tǒng)發(fā)生故障時繼續(xù)工作。這一特性將軟件與臺式機(jī)的兼容速度一舉提升了 95%，大幅降低了電腦遭受新威脅攻擊的幾率。 存儲方案 針對數(shù)據(jù)中心的集中存儲需求，在高可靠性方面，對于磁盤存儲進(jìn)行較高級別的 RAID 冗余；在高性能方面，集中存儲不能以犧牲性能為代價，因此，在集中存儲中采用了光纖通道搭成 SAN，使各系統(tǒng)的性能實(shí)現(xiàn)全面提升。在擴(kuò)展性方面， HP 校園網(wǎng)數(shù)據(jù)中心的方案在容量、接口、新技術(shù)方面都實(shí)現(xiàn)了比較高的可擴(kuò)展性，實(shí)現(xiàn)了磁盤共享，以及集 中存儲和災(zāi)難備份的結(jié)合，并實(shí)現(xiàn)集中存儲管理 。 在集中存儲設(shè)備方面，一般的校園網(wǎng)數(shù)據(jù)中心可以采用 RAID 獨(dú)立磁盤冗余陣列 ，利用 HP 光纖交換機(jī)建立 SAN。無論從容量、性能還是可擴(kuò)展性、可靠性來看，均能為數(shù)據(jù)存儲提供強(qiáng)大的支持。 在存儲管理軟件，可以采用 HP OpenView SAM 管理軟件，是一款綜合各項(xiàng)管理功能的軟件組合，同時結(jié)合了惠普在硬件設(shè)備方面的技術(shù)優(yōu)勢，軟、硬配合以實(shí)現(xiàn)對存儲資源和基礎(chǔ)設(shè)施管理的簡易化和自動化。它能夠跨越管理多種廠商設(shè)備，并在復(fù)雜、分布式網(wǎng)絡(luò)環(huán)境中管理磁帶 /磁盤、直連存儲設(shè)備和網(wǎng)絡(luò)存儲設(shè)備。它的統(tǒng)一圖形化中央管理平臺可以使企業(yè)的系統(tǒng)管理員能夠在實(shí) 13 現(xiàn)資源和成本最優(yōu)化的同時，有效監(jiān)控存儲和存儲服務(wù)的可用性、性能、應(yīng)用 。 設(shè)備選型 常用網(wǎng)絡(luò)設(shè)備：網(wǎng)絡(luò)設(shè)備主要是指硬件系統(tǒng)，各種網(wǎng)絡(luò)設(shè)備之間是有著相互關(guān)聯(lián)而不是相互獨(dú)立的，每一部分在網(wǎng)絡(luò)中有著不同的作用，缺一不可，只有把這些設(shè)備通過一定的形式連起來才能組成一個完整的網(wǎng)絡(luò)系統(tǒng)，網(wǎng)絡(luò)設(shè)備主要包括網(wǎng)卡、集線器、交換機(jī)、路由器、傳輸介質(zhì)等。 確定交換機(jī)數(shù)量 在選擇交換機(jī)設(shè)備時，用戶一定要考慮管理的問題。 尤其是針對規(guī)模較大的校園網(wǎng)絡(luò)結(jié)構(gòu)中，管理型的交換機(jī)被普遍使用。如果建立的只是小型網(wǎng)絡(luò)，不需要使用中心網(wǎng)絡(luò)管理機(jī)制，應(yīng)該購買普通無管理能力的集線器，節(jié)省這筆資金。 二級交換機(jī)起著“承上啟下”的作用，一端連接到中心交換機(jī)，另一端連接到各網(wǎng)絡(luò)節(jié)點(diǎn)， PC、終端用戶設(shè)備連接到這些網(wǎng)絡(luò)節(jié)點(diǎn)，組成子系統(tǒng)。網(wǎng)絡(luò)節(jié)點(diǎn)根據(jù)子系統(tǒng)的應(yīng)用需求，在數(shù)據(jù)量大、實(shí)時傳輸、多媒體設(shè)計(jì)等場合，選擇交換