【文章內(nèi)容簡介】 il、FTP、文件共享服務(wù)器、網(wǎng)絡(luò)論壇、網(wǎng)上聊天、管理數(shù)據(jù)的傳輸、處理與查詢外，還應(yīng)考慮到以后包括校內(nèi)教學(xué)視頻點播、實時遠程教學(xué)、在線作業(yè)等功能。以及可靠性、穩(wěn)定性和安全性等條件外，在進行校園網(wǎng)建設(shè)規(guī)劃時，還應(yīng)該考慮所有信息點的可控性、高性能以及關(guān)鍵業(yè)務(wù)的QoS保證等。另外在網(wǎng)絡(luò)設(shè)計中，如何預(yù)留擴展空間和進行投資保護，在滿足現(xiàn)有應(yīng)用的需求的同時，適當(dāng)考慮信息量增長和變化需要是此次網(wǎng)絡(luò)改造規(guī)劃的核心主旨。 對網(wǎng)絡(luò)平臺的需求用戶數(shù)較少，發(fā)展速度穩(wěn)定：學(xué)校本期建設(shè)大約200多個信息點, 網(wǎng)絡(luò)應(yīng)用相對簡單，并發(fā)流量不大：教師和學(xué)生上電腦科主要使用網(wǎng)絡(luò)進行FTP文件傳輸、在線音樂、在線影視、網(wǎng)絡(luò)多媒體教學(xué)等流量不大單需要鏈路質(zhì)量穩(wěn)定的的網(wǎng)絡(luò)應(yīng)用。安全隱患大：學(xué)生是一個易接受新事物、喜歡嘗試探索、成就好攻擊的“危險群體”。不易管理：學(xué)生用戶中經(jīng)常發(fā)生IP地址盜用、IP地址沖突、帳號盜用、攻擊校園服務(wù)器等令網(wǎng)絡(luò)管理及維護人員非常頭疼的問題。外界因素：由于現(xiàn)在網(wǎng)絡(luò)駭客攻擊頻繁，入侵者和“肉雞”病毒的不斷增加，使得內(nèi)網(wǎng)安全的防護重之又重。 可靠穩(wěn)定性的需求可靠穩(wěn)定的網(wǎng)絡(luò)平臺，是應(yīng)用業(yè)務(wù)系統(tǒng)得以實施和推廣的基石。網(wǎng)絡(luò)平臺的設(shè)計必須從設(shè)備、網(wǎng)絡(luò)拓撲結(jié)構(gòu)、網(wǎng)絡(luò)技術(shù)等幾個方面保證網(wǎng)絡(luò)的可靠穩(wěn)定性。在核心層之間設(shè)備互為備份或自身備份，包括鏈路、路由、核心引擎等備份；如配置單核心設(shè)備應(yīng)考慮管理引擎模塊冗余和電源模塊冗余，來保障網(wǎng)絡(luò)的可靠性和穩(wěn)定性。 用戶接入控制需求校園網(wǎng)的信息點分布很廣，與一般企業(yè)網(wǎng)比較，校園網(wǎng)用戶的變動性大，比較難管理，為了保證網(wǎng)絡(luò)資料的有效利用，對信息點的可控性要求是必須的。做到有效的對用戶進行接入控制，保證只有申請開通的合法用戶才可以使用網(wǎng)絡(luò)，為了不影響網(wǎng)路性能，應(yīng)該在接入層設(shè)備分布式實現(xiàn)信息點的控制。 網(wǎng)絡(luò)安全應(yīng)用需求校園網(wǎng)網(wǎng)絡(luò)平臺的安全，除了要保障網(wǎng)絡(luò)平臺的安全性，還需要在一定程度上保障應(yīng)用業(yè)務(wù)系統(tǒng)和其它網(wǎng)絡(luò)資源的安全。網(wǎng)絡(luò)平臺應(yīng)該從幾個方面保證網(wǎng)絡(luò)安全：1）設(shè)備本身的訪問安全；2）內(nèi)部網(wǎng)之間資源訪問安全；3）路由系統(tǒng)的安全；4）互聯(lián)網(wǎng)訪問安全；5）非法站點訪問過濾；惡意攻擊的實時處理；非法言論的準(zhǔn)確追蹤； 關(guān)鍵業(yè)務(wù)服務(wù)質(zhì)量保證的需求面向應(yīng)用（QoS）——核心層負擔(dān)著校園網(wǎng)系統(tǒng)所有類型的通信。而由于教育系統(tǒng)的特殊性，其通信的類型幾乎涵蓋了Internet所有的應(yīng)用通信類型，包括Email、FTP、網(wǎng)頁瀏覽、數(shù)據(jù)庫查詢、協(xié)同計算機輔助教育（CAI）、基于計算機的教育（CBT）、協(xié)同研究、遠程教育、視頻廣播、視頻點播等等應(yīng)用類型。當(dāng)網(wǎng)絡(luò)流量處于高峰期時，必定會影響影響關(guān)鍵業(yè)務(wù)數(shù)據(jù)流的響應(yīng)時間，對于多媒體業(yè)務(wù)來說就會有說話結(jié)巴、圖像馬賽克的情況。因此高性能的網(wǎng)絡(luò)，也還是需要QOS服務(wù)質(zhì)量保證的。 校園網(wǎng)設(shè)計思路校園網(wǎng)網(wǎng)絡(luò)系統(tǒng)建設(shè)遵循統(tǒng)一規(guī)劃、分步實施的指導(dǎo)思想，工程的設(shè)計必須在考慮到滿足當(dāng)前需求的同時，充分考慮到將來整個網(wǎng)絡(luò)系統(tǒng)的投資保護和長期需要。設(shè)計及實施應(yīng)充分遵循以下原則： 網(wǎng)絡(luò)技術(shù)實用性為主，兼顧先進性的原則學(xué)校校園網(wǎng)建設(shè)采用的交換和傳輸技術(shù)，具有一定的前瞻性，符合一定時期內(nèi)網(wǎng)絡(luò)通信技術(shù)發(fā)展的趨勢，并在今后一定的時期內(nèi)處于領(lǐng)先地位。網(wǎng)絡(luò)系統(tǒng)設(shè)計必須遵循先進性和成熟性。由于IT行業(yè)的技術(shù)更新?lián)Q代很快，為了保證網(wǎng)絡(luò)能夠滿足今后一段時間內(nèi)應(yīng)用的發(fā)展，在選擇網(wǎng)絡(luò)技術(shù)和設(shè)備時不僅要考慮先進性，也要考慮技術(shù)的成熟性，同時更要考慮接入業(yè)務(wù)的特點等多方面的因素。一種新技術(shù)在剛出現(xiàn)時往往有很大不穩(wěn)定和不確定因素，需要有一個發(fā)展、逐步完善和實踐檢驗的過程，經(jīng)常有一些技術(shù)在剛出現(xiàn)時被宣傳和評價很高，但在一段時間后發(fā)現(xiàn)存在很多問題，甚至很快退出市場。用戶采用了這種技術(shù)，往往會因為設(shè)備廠商轉(zhuǎn)產(chǎn)停產(chǎn)等問題，無法對網(wǎng)絡(luò)擴展升級，最終造成前期投資的浪費。一種新的技術(shù)產(chǎn)品在剛出現(xiàn)時一般價格都非常高，所以選擇使用一種新的技術(shù)的最佳時機應(yīng)該是在這種技術(shù)在市場上已經(jīng)得到較為廣泛的應(yīng)用，并且在使用中得到肯定之后。雖然這時的技術(shù)可能已經(jīng)不是最新的技術(shù)，但技術(shù)已經(jīng)成熟，設(shè)備的性能價格比更高。所以選擇網(wǎng)絡(luò)技術(shù)和設(shè)備時不要去追求最新最好，應(yīng)該遵循先進性和實用性相結(jié)合，并找出其中的平衡點。 采用標(biāo)準(zhǔn)化、開放的網(wǎng)絡(luò)技術(shù)整個網(wǎng)絡(luò)系統(tǒng)在結(jié)構(gòu)上實現(xiàn)真正開放，全部采用或符合有關(guān)國際標(biāo)準(zhǔn)，使網(wǎng)絡(luò)具有良好的開放性和兼容性。開放的系統(tǒng)可以使用戶自由地選擇不同廠家的計算機、網(wǎng)絡(luò)設(shè)備及操作系統(tǒng)，構(gòu)成真正的跨軟硬件平臺的系統(tǒng)。網(wǎng)絡(luò)的設(shè)計基于國際標(biāo)準(zhǔn)，網(wǎng)絡(luò)設(shè)備采用標(biāo)準(zhǔn)的接口和規(guī)范的協(xié)議，滿足用戶的不同需求并充分利用軟硬件資源，保證系統(tǒng)運行的安全可靠，并具有較長的使用生命周期，以適應(yīng)其業(yè)務(wù)不斷發(fā)展的需要，有效地保護用戶投資的長期效益。 網(wǎng)絡(luò)高可靠性原則由于學(xué)校是作為一所先進性的學(xué)校，基于網(wǎng)絡(luò)的各種教學(xué)應(yīng)用必將越來越廣泛，對網(wǎng)絡(luò)的穩(wěn)定可靠運行要求也會越來越高，對數(shù)據(jù)傳輸?shù)膶崟r性的要求，對網(wǎng)絡(luò)的傳輸環(huán)節(jié)要求也很高。因此，一方面選用的網(wǎng)絡(luò)設(shè)備具有相當(dāng)高的可靠性，要達到電信級標(biāo)準(zhǔn)，具備4個9（%）可靠性；另一方面，在網(wǎng)絡(luò)設(shè)計中要采用切實有效的系統(tǒng)備份、系統(tǒng)安全、數(shù)據(jù)安全和網(wǎng)絡(luò)安全措施，以保障網(wǎng)絡(luò)的高可靠性和安全性。建設(shè)一個運行穩(wěn)定可靠的現(xiàn)代化網(wǎng)絡(luò)系統(tǒng)，網(wǎng)絡(luò)中任何一臺設(shè)備或任何一條線路發(fā)生故障都不會導(dǎo)致大面積網(wǎng)絡(luò)失效，并且能夠保證在不影響網(wǎng)絡(luò)正常運行的情況下完成對網(wǎng)絡(luò)故障的檢測和排除。端到端QoS保證, 合理規(guī)劃QoS配置，提供端到端的QoS保證，使網(wǎng)絡(luò)中的各種業(yè)務(wù)有可管理的帶寬和時延保證，在出現(xiàn)故障的情況下，能夠重點保證關(guān)鍵業(yè)務(wù)的正常運轉(zhuǎn)。因為目前的網(wǎng)絡(luò)方案是基于滿足當(dāng)前需求的，隨著用戶應(yīng)用規(guī)模的不斷擴大，網(wǎng)絡(luò)應(yīng)可以方便地進行擴充容量以支持更多的用戶和應(yīng)用；隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，網(wǎng)絡(luò)必須能夠平穩(wěn)地過渡到新的技術(shù)和設(shè)備。為了保護用戶的投資，本方案中的網(wǎng)絡(luò)設(shè)備在將來網(wǎng)絡(luò)升級或再投資的情況下，能夠隨時通過增加網(wǎng)絡(luò)設(shè)備或模塊來對現(xiàn)有設(shè)備進行升級和擴充，并能把替換下來的設(shè)備應(yīng)用到分支或邊緣網(wǎng)絡(luò)上。本方案充分考慮到未來網(wǎng)絡(luò)升級的平穩(wěn)銜接，保證網(wǎng)絡(luò)通訊介質(zhì)、網(wǎng)絡(luò)設(shè)計核心的向后兼容性。要求核心設(shè)備支持萬兆及IPv6技術(shù)，保護客戶未來平滑升級。 安全性和保密性在系統(tǒng)設(shè)計中，既考慮信息資源的充分共享，更要注意信息的保護和隔離，因此系統(tǒng)應(yīng)分別針對不同的應(yīng)用和不同的網(wǎng)絡(luò)通信環(huán)境，采取不同的措施，包括系統(tǒng)安全機制、數(shù)據(jù)存取的權(quán)限控制等，充分考慮安全性，針對貴校的各種應(yīng)用，有多種的保護機制，如劃分VLAN、MAC地址綁定、可通過安全認證實現(xiàn)多元素的安全綁定。另外，未來保護系統(tǒng)內(nèi)部的網(wǎng)絡(luò)安全性，整網(wǎng)設(shè)備支持ACL功能，將病毒包及非法包都盡量限制在二層設(shè)備上，避免向上層網(wǎng)絡(luò)擴散，保護網(wǎng)絡(luò)整體的安全性設(shè)計。 網(wǎng)絡(luò)實現(xiàn)的高性價格比原則建設(shè)一個高效的網(wǎng)絡(luò)，充分優(yōu)化網(wǎng)絡(luò)結(jié)構(gòu)，盡量減少網(wǎng)絡(luò)數(shù)據(jù)流通環(huán)節(jié)，減少網(wǎng)絡(luò)中非業(yè)務(wù)的網(wǎng)絡(luò)消耗，充分利用網(wǎng)絡(luò)中的每一臺設(shè)備和線路，包括備份設(shè)備和鏈路，在確保各級業(yè)務(wù)部門實時網(wǎng)上業(yè)務(wù)正常運行的條件下，盡量節(jié)省網(wǎng)絡(luò)的建設(shè)和運行成本。新建的數(shù)據(jù)通信網(wǎng)絡(luò)，要在滿足網(wǎng)絡(luò)各項性能指標(biāo)的前提下，盡可能節(jié)約網(wǎng)絡(luò)建設(shè)的投資，保護原有設(shè)備的投資，使整個網(wǎng)絡(luò)的具有較高的性能價格比。在滿足基本需求的條件下，如網(wǎng)絡(luò)的可靠性、安全性、性能和一定的可擴展性等，盡可能降低網(wǎng)絡(luò)改造的費用。網(wǎng)絡(luò)技術(shù)和設(shè)備的選擇以滿足需要為原則，不追求超過需求的“檔次”。 網(wǎng)絡(luò)的可管理性良好的組織和管理對網(wǎng)絡(luò)的正常運轉(zhuǎn)和高效使用有很大幫助，網(wǎng)絡(luò)應(yīng)該能夠提供方便、靈活、有力的工具對網(wǎng)絡(luò)進行集中式的有效管理和控制。方便的監(jiān)控、良好的管理界面、完備的系統(tǒng)記錄都能使管理員在不改變系統(tǒng)運行的情況下對網(wǎng)絡(luò)系統(tǒng)進行檢測、修改及故障恢復(fù)等管理維護工作。網(wǎng)絡(luò)系統(tǒng)中的所有設(shè)備均應(yīng)是可管理的，支持遠程監(jiān)控和故障的過程診斷和恢復(fù)，并可通過網(wǎng)管軟件方便地監(jiān)控網(wǎng)絡(luò)運行的實時情況，對出現(xiàn)的問題及時處理和解決。 校園網(wǎng)設(shè)計方案 校園網(wǎng)交換網(wǎng)絡(luò)方案說明本網(wǎng)絡(luò)規(guī)劃基于星型結(jié)構(gòu), 核心交換機采用DCRS5950,匯聚交換機采用系列。基本網(wǎng)絡(luò)用戶都與接入層交換機連接，在所有桌面用戶的端口上均預(yù)設(shè)專屬VLAN信息。在每個交換機上接入端口應(yīng)用ACL訪問安全控制列表，用于控制接入用戶和降低整個校園網(wǎng)絡(luò)內(nèi)在危險系數(shù)。，還需要設(shè)置全面的安全保護特性，其中包括：基于STP協(xié)議的安全保護，例如rootguard,portfast等，防止用戶非法成為網(wǎng)絡(luò)的STP ROOT；基于MAC CAM的安全保護，實現(xiàn)portfast功能；基于ARP攻擊的保護，實現(xiàn)PVLAN的功能；，利用交換機關(guān)于DHCP 82 option的保護特性，將DHCP地址池與特定交換機對應(yīng)，動態(tài)分配IP地址，網(wǎng)關(guān)以及DNS等信息；基于ACL的安全防護和過濾；關(guān)于服務(wù)器的接入問題，我們建議根據(jù)服務(wù)器工作性質(zhì)選擇接接入核心交換機組成若干服務(wù)器專用VLAN或者直接接入防火墻DMZ區(qū)域，每一個VLAN內(nèi)部根據(jù)業(yè)務(wù)特性實現(xiàn)PVLAN功能。例如外部服務(wù)區(qū)以及一級內(nèi)部服務(wù)區(qū)、二級內(nèi)部服務(wù)區(qū)等，分別放置不同功能的服務(wù)器，區(qū)域之間通過ACL進行策略控制，區(qū)域內(nèi)部通過PVLAN技術(shù)進行有效防護，確保一臺服務(wù)器的失陷不會影響其他的服務(wù)器的防護。 校園網(wǎng)設(shè)計方案說明網(wǎng)絡(luò)主干選擇千兆以太網(wǎng)。選擇合適的光纖接口模塊，還可以將個別遠距離的接入點聯(lián)入骨干網(wǎng)。表 ：千兆以太網(wǎng)傳輸距離協(xié)議標(biāo)準(zhǔn)傳輸介質(zhì)最大傳輸距離1000BaseLX9m單模光纖10000米50m、550米1000BaseSX50m多模光纖（模式帶寬500MHzkm）550米50m多模光纖（模式帶寬400MHzkm）500米（模式帶寬200MHzkm）275米（模式帶寬160MHzkm）220米1000BaseT4對5類非屏蔽雙絞線100米1000BaseCX同軸電纜25米核心交換機與匯聚層交換機之間的連接 核心交換機與分布在各個樓的匯聚交換機通過千兆以太網(wǎng)連接，條件許可的時候也可以采用主干聚集技術(shù)連接或者生成樹協(xié)議（Spanning Tree）的冗余鏈路連接。 也可以選擇開放最短路徑的動態(tài)路由協(xié)議（OSPF）根于不同的優(yōu)先級別來實現(xiàn)冗余鏈路的連接 校園網(wǎng)絡(luò)信息點統(tǒng)計表樓層二級報警A廣播端口G網(wǎng)絡(luò)端口TD電話端口TP有線端口TV無線網(wǎng)絡(luò)AP監(jiān)控LED屏幕多媒體喇叭投影幕機柜1F322287241　　　2F1111323102514113F13133221125282　小計2726861328614412