【文章內(nèi)容簡介】 設(shè)計(jì)相輔相承，共同形成整體的網(wǎng)絡(luò)設(shè)計(jì)解決方案。合理的網(wǎng)段劃分結(jié)合靈活的 VLAN 規(guī)劃，可以有效地降低網(wǎng)絡(luò)風(fēng)暴的產(chǎn)生，保證整個(gè)網(wǎng)絡(luò)的穩(wěn)定，同時(shí)也起到一定的網(wǎng)絡(luò)安全功能?！馡P 地址規(guī)劃目標(biāo)建立高效的網(wǎng)絡(luò)路由；有效利用有限的 IP 地址資源； 支持網(wǎng)絡(luò)的擴(kuò)展； 支持網(wǎng)絡(luò)技術(shù)的演變和發(fā)展?！馡P 地址規(guī)劃原則簡單性：地址的分配應(yīng)該簡單，避免在主干上采用復(fù)雜的掩碼方式；連續(xù)性：為同一個(gè)網(wǎng)絡(luò)區(qū)域分配連續(xù)的網(wǎng)絡(luò)地址，便于采用路由收斂(Summarization)及 CIDR(Classless InterDomain Routing)技術(shù)縮減路由表的表項(xiàng)，提高路由器的處理效率； 可擴(kuò)充性：為一個(gè)網(wǎng)絡(luò)區(qū)域分配的網(wǎng)絡(luò)地址應(yīng)該具有一定的容量，便于主機(jī)數(shù)量增加時(shí)仍然能夠保持地址的連續(xù)性； 靈活性：地址分配不應(yīng)該基于某個(gè)網(wǎng)絡(luò)路由策略的優(yōu)化方案，應(yīng)該便于多數(shù)路由策略在該地址分配方案上實(shí)現(xiàn)優(yōu)化； 可管理性：地址的分配應(yīng)該有層次，某個(gè)局部的變動(dòng)不要影響上層、全局。 安全性：網(wǎng)絡(luò)內(nèi)應(yīng)按工作內(nèi)容劃分成不同網(wǎng)段即子網(wǎng)以便進(jìn)行管理?！裥@網(wǎng)地址規(guī)劃方案校園網(wǎng)IP地址分配總則 校園網(wǎng)IP地址分為三大塊： 校園網(wǎng)內(nèi)部的私有IP地址，采用RFC中規(guī)定的地址段，不能訪問Internet和Cernet；Cernet分配的多個(gè)C類公網(wǎng)IP地址，作為和國際互聯(lián)網(wǎng)互連的地址，主要供網(wǎng)絡(luò)中心和圖書館、部分實(shí)驗(yàn)室專用； 運(yùn)營商分配的公網(wǎng)IP地址，用于訪問Internet。 關(guān)鍵服務(wù)器擁有兩個(gè)公網(wǎng)IP，分別跨接在Cernet和Internet上。校園網(wǎng)內(nèi)部私網(wǎng)IP地址的分配內(nèi)部地址的分配原則是按建筑物進(jìn)行的，視用戶的數(shù)量，1/1/整個(gè)C的劃分。為了安全考慮對(duì)所有的都采用靜態(tài)分配IP地址，為防止地址盜用，采用IP地址、MAC地址與端 口綁定。●IP地址的分配用戶的計(jì)算機(jī)在連接到校園網(wǎng)上時(shí)，首先獲得一個(gè)校園網(wǎng)內(nèi)部的IP地址，此時(shí)該計(jì)算 機(jī)只能訪問校園網(wǎng)內(nèi)部。用戶需要訪問Cernet和Internet，要使用帳號(hào)登陸，認(rèn)證通過后才能訪問。(2) 路由設(shè)計(jì)●校園網(wǎng)路由設(shè)計(jì)不使用默認(rèn)路由，使用策略路由，防止從 Internet 訪問校園網(wǎng)。●Internet 路由設(shè)計(jì)采用靜態(tài)默認(rèn)路由協(xié)議訪問 Internet，為了實(shí)現(xiàn)路由的備份，配置到 Internet 的兩條默認(rèn)路由，兩條路由的優(yōu)先級(jí)可以相同，可以不同。如果相同，則兩條線路采取負(fù)載分擔(dān)方式。 如果不同，則是主備方式，其中優(yōu)先級(jí)高的稱為主路由，優(yōu)先級(jí)低的為備份路由。這樣，正常情況下，路由器采用主路由發(fā)送數(shù)據(jù)。當(dāng)線路發(fā)生故障時(shí)，該路由自動(dòng)隱藏，路由 器會(huì)選擇余下的優(yōu)先級(jí)最高的備份路由作為數(shù)據(jù)發(fā)送的途徑。這樣，也就實(shí)現(xiàn)了主路由到備 份路由的切換。當(dāng)主路由恢復(fù)正常時(shí)，路由器恢復(fù)相應(yīng)的路由，并重新選擇路由。由于該路 由的優(yōu)先級(jí)最高，路由器選擇主路由來發(fā)送數(shù)據(jù)。采用源地址路由，讓 Internet 地址訪問 Internet； 采用 ACL，防止訪問 Cernet 的流量通過 Internet； 采用 ACL，防止來自校園網(wǎng)的 Internet 地址。 安全與流量控制(1) 網(wǎng)絡(luò)安全控制●對(duì)端口 ARP 檢查防止 ARP 攻擊；●對(duì)端口安全：MAC 動(dòng)態(tài)地址鎖，MAC 地址靜態(tài)綁定；●交換設(shè)備 BPDU Guard 功能，過濾非法 BPDU 報(bào)文，防止 STP 攻擊交換機(jī)；●端口安全：端口靜態(tài)綁定，自動(dòng)綁定 IP 和 MAC 地址防止 DOS 攻擊；●智能安全到邊緣：多種 ACL，滿足不同網(wǎng)絡(luò)應(yīng)用，過濾病毒●SSH 密文傳輸，限制管理 IP 等措施保證設(shè)備管理可靠；●對(duì)網(wǎng)絡(luò)病毒的防范：采用設(shè)置 ACL，對(duì)病毒進(jìn)行過濾；我們使用的匯聚、核心交換機(jī)都支持 SPOH，通過端口獨(dú)立的 FFP 進(jìn)行 ACL 處理，網(wǎng)絡(luò)設(shè)備性 能不受設(shè)置 ACL 數(shù)目影響；(2) VLAN 需求默認(rèn)時(shí)，交換機(jī)分隔沖突域；路由器分隔廣播域。第 2 層交換式網(wǎng)絡(luò)的最大好處是，它 為插入到交換機(jī)每個(gè)端口的每臺(tái)設(shè)備創(chuàng)建了各自的沖突域。但每一個(gè)新的改進(jìn)通常都會(huì)引起 新的問題——用戶和設(shè)備的數(shù)量越大，每臺(tái)交換機(jī)必須處理的廣播和數(shù)據(jù)包就越多。安全性也是一個(gè)問題，因?yàn)樵诘湫偷牡?2 層交換式互聯(lián)網(wǎng)絡(luò)的內(nèi)部，默認(rèn)時(shí)所有用戶都 可以看見所有的設(shè)備。你不能讓設(shè)備停止廣播，也不能讓用戶不響應(yīng)廣播。連接到物理網(wǎng)絡(luò) 的任何人都可以訪問位于物理 LAN 上的網(wǎng)絡(luò)資源，用戶只需將其工作站插入到現(xiàn)有的集線器 中，就可以加入某個(gè)工作組。安全性選項(xiàng)只能限于在服務(wù)器和其他設(shè)備上設(shè)置口令。通過創(chuàng)建虛擬局域網(wǎng)（VLAN），就可以在一個(gè)純交換式的互聯(lián)網(wǎng)絡(luò)中，分隔廣播域。VLAN 是兩個(gè)部分的邏輯組合：一是網(wǎng)絡(luò)用戶；二是在管理上連接到交換機(jī)所定義端口的資源。如果創(chuàng)建了 VLAN，情況就可以大大改善。在虛擬創(chuàng)建局域網(wǎng)時(shí)，可以將交換機(jī)上的不 同端口分派到不同的子網(wǎng)中，這樣就可以在第二層交換式互聯(lián)網(wǎng)絡(luò)中創(chuàng)建一些小的廣播域。 可以象對(duì)待單獨(dú)的子網(wǎng)和廣播域一樣來對(duì)待 VLAN，這意味著網(wǎng)絡(luò)上的廣播域只在同一個(gè) VLAN 內(nèi)部的邏輯組的端口之間進(jìn)行轉(zhuǎn)發(fā)。用 VLAN 來簡化網(wǎng)絡(luò)管理的方式有多種：●通過將某個(gè)端口配置到合適的 VLAN 中，就可以實(shí)現(xiàn)網(wǎng)絡(luò)的添加、移動(dòng)和改變?！駥?duì)安全性要求高的一組用戶放入 VLAN 中，這樣，VALN 外部的用戶就無法與他們 通信?！褡鳛楣δ苌系倪壿嬘脩艚M，可以認(rèn)為 VLAN 獨(dú)立于它們的物理位置或地理位置。●VLAN 可以增強(qiáng)網(wǎng)絡(luò)安全性。●VLAN 增加了廣播域的數(shù)量，同時(shí)減少了廣播域的范圍。使用 VLAN 具有以下優(yōu)點(diǎn)：●控制廣播風(fēng)暴一個(gè) VLAN 就是一個(gè)邏輯廣播域，通過對(duì) VLAN 的創(chuàng)建，隔離了廣播，縮小了廣播范圍， 可以控制廣播風(fēng)暴的產(chǎn)生?！裉岣呔W(wǎng)絡(luò)整體安全性通過路由訪問列表和 MAC 地址分配等 VLAN 劃分原則，可以控制用戶訪問權(quán)限和邏輯網(wǎng) 段大小，將不同用戶群劃分在不同 VLAN，從而提高交換式網(wǎng)絡(luò)的整體性能和安全性?！窬W(wǎng)絡(luò)管理簡單、直觀對(duì)于交換式以太網(wǎng)，如果對(duì)某些用戶重新進(jìn)行網(wǎng)段分配，需要網(wǎng)絡(luò)管理員對(duì)網(wǎng)絡(luò)系統(tǒng)的物理 結(jié)構(gòu)重新進(jìn)行調(diào)整，甚至需要追加網(wǎng)絡(luò)設(shè)備，增大網(wǎng)絡(luò)管理的工作量。而對(duì)于采用 VLAN 技 術(shù)的網(wǎng)絡(luò)來說，一個(gè) VLAN 可以根據(jù)部門職能、對(duì)象組或者應(yīng)用將不同地理位置的網(wǎng)絡(luò)用戶 劃分為一個(gè)邏輯網(wǎng)段。在不改動(dòng)網(wǎng)絡(luò)物理連接的情況下可以任意地將工作站在工作組或子網(wǎng) 之間移動(dòng)。利用虛擬網(wǎng)絡(luò)技術(shù)，大大減輕了網(wǎng)絡(luò)管理和維護(hù)工作的負(fù)擔(dān)，降低了網(wǎng)絡(luò)維護(hù)費(fèi) 用。在一個(gè)交換網(wǎng)絡(luò)中，VLAN 提供了網(wǎng)段和機(jī)構(gòu)的彈性組合機(jī)制。圖2 VLAN拓?fù)鋱D(3) VLAN 劃分設(shè)計(jì)VLAN 概述：VLAN（Virtual Local Area Network）又稱虛擬局域網(wǎng)，是指在交換局域網(wǎng)的基礎(chǔ)上， 采用網(wǎng)絡(luò)管理軟件構(gòu)建的可跨越不同網(wǎng)段、不同網(wǎng)絡(luò)的端到端的邏輯網(wǎng)絡(luò)。一個(gè) VLAN 組成 一個(gè)邏輯子網(wǎng)，即一個(gè)邏輯廣播域，它可以覆蓋多個(gè)網(wǎng)絡(luò)設(shè)備，允許處于不同地理位置的網(wǎng) 絡(luò)用戶加入到一個(gè)邏輯子網(wǎng)中。組建 VLAN 的條件 VLAN 是建立在物理網(wǎng)絡(luò)基礎(chǔ)上的一種邏輯子網(wǎng)，因此建立 VLAN 需要 相應(yīng)的支持 VLAN 技術(shù)的網(wǎng)絡(luò)設(shè)備。當(dāng)網(wǎng)絡(luò)中的不同 VLAN 間進(jìn)行相互通信時(shí)，需要路由的支 持，這時(shí)就需要增加路由設(shè)備——要實(shí)現(xiàn)路由功能，既可采用路由器，也可采用三層交換機(jī) 來完成。劃分 VLAN 的基本策略 從技術(shù)角度講，VLAN 的劃分可依據(jù)不同原則，一般有以下三種 劃分方法：●基于端口的 VLAN 劃分 這種劃分是把一個(gè)或多個(gè)交換機(jī)上的幾個(gè)端口劃分一個(gè)邏輯組，這是最簡單、最有效的劃分方法。該方法只需網(wǎng)絡(luò)管理員對(duì)網(wǎng)絡(luò)設(shè)備的交換端口進(jìn)行重新分配即可，不用考慮該端 口所連接的設(shè)備?！窕?MAC 地址的 VLAN 劃分MAC 地址其實(shí)就是指網(wǎng)卡的標(biāo)識(shí)符，每一塊網(wǎng)卡的 MAC 地址都是惟一且固化在網(wǎng)卡上的。 MAC 地址由 12 位 16 進(jìn)制數(shù)表示，前 8 位為廠商標(biāo)識(shí)，后 4 位為網(wǎng)卡標(biāo)識(shí)。網(wǎng)絡(luò)管理員可按 MAC 地址把一些站點(diǎn)劃分為一個(gè)邏輯子網(wǎng)?！窕诼酚傻?VLAN 劃分 路由協(xié)議工作在網(wǎng)絡(luò)層，相應(yīng)的工作設(shè)備有路由器和路由交換機(jī)（即三層交換機(jī)）。該方式允許一個(gè) VLAN 跨越多個(gè)交換機(jī)，或一個(gè)端口位于多個(gè) VLAN 中。就目前來說，對(duì)于 VLAN 的劃分主要采取上述第 3 種方式，第 2 種方式為輔助性的方案。 方案特點(diǎn)(1) 高帶寬、高性能該解決方案是基于標(biāo)準(zhǔn)的二、三層以太網(wǎng)交換技術(shù)，技術(shù)成熟度非常高。學(xué)校網(wǎng)絡(luò)中心放置路由交換機(jī)上行通過GE接至教育網(wǎng)，GE可以是單模或者多模，由校園網(wǎng)的具體情況而定。GE作為整個(gè)學(xué)校出口帶寬可充分滿足用戶對(duì)帶寬的要求，使學(xué)校出口不再 成為整個(gè)校園網(wǎng)用戶上網(wǎng)的瓶頸。在學(xué)院網(wǎng)絡(luò)中心通過下行使千兆鏈路連接匯聚層交換機(jī)。匯聚層交換機(jī)下行1000M光纖口連接接入樓宇交換機(jī)，百兆交換到桌面，100M的帶寬可充分滿足用戶高速上網(wǎng)，視頻點(diǎn)播等多種寬帶業(yè)務(wù)。核心交換機(jī)擁有1000M出口聯(lián)接校園網(wǎng)，各層設(shè)備全部支持線速交換，給用戶提供了真正的高帶寬網(wǎng)絡(luò)，對(duì)未來高帶寬的寬帶業(yè)務(wù)提供了強(qiáng)大的支撐能力，校園寬帶網(wǎng)的發(fā)展?jié)摿薮蟆?2) 網(wǎng)絡(luò)管理校園網(wǎng)在為廣大師生提供便捷、高效的學(xué)習(xí)、工作環(huán)境的同時(shí)，也在寬帶管理、計(jì)費(fèi)等 方面存在許多問題：●網(wǎng)絡(luò)計(jì)費(fèi)管理功能的單一，隨著校園網(wǎng)規(guī)模的不斷擴(kuò)大和用戶群體的日益增多，原有的單一計(jì)費(fèi)管理功能已不能滿足要求。●對(duì)帶寬資源的大量占用導(dǎo)致重要應(yīng)用無法進(jìn)行，對(duì)于每個(gè)學(xué)校來說，它的帶寬資源都是有限的。而上網(wǎng)人數(shù)的急增和各種各樣在線游戲的流行使有限的帶寬資源不堪重負(fù)，由于沒有帶寬限制和優(yōu)先級(jí)設(shè)置，一些重要用戶和重要應(yīng)用得不到必要的帶寬保證而影響了正常的教學(xué)和科研工作?！裨L問權(quán)限難以控制，互聯(lián)網(wǎng)上充斥了許多色情、暴力、反動(dòng)信息 ,如何讓學(xué)校、家長放心，使孩子盡量 遠(yuǎn)離這些不良信息也是必須解決的一個(gè)問題?！癞惓＞W(wǎng)絡(luò)事件的審計(jì)和追查，當(dāng)異常網(wǎng)絡(luò)事件發(fā)生后，如何盡快的追根溯源，找出幕后“黑手”，防止事件的再次發(fā)生，成了網(wǎng)絡(luò)維護(hù)人員不得不面對(duì)的棘手問題?！穸鄠€(gè)校區(qū)的管理和維護(hù)，由于現(xiàn)在校園網(wǎng)的規(guī)模越來越大，呈現(xiàn)出多校園、跨地區(qū)的特點(diǎn)，這就要求網(wǎng)絡(luò)管理員能對(duì)分布在各個(gè)校區(qū)的管理、計(jì)費(fèi)設(shè)備進(jìn)行管理和維護(hù)，管理員的工作量相當(dāng)大。為了幫助網(wǎng)管人員輕松實(shí)現(xiàn)對(duì)眾多網(wǎng)絡(luò)設(shè)備的管理、及時(shí)排查網(wǎng)絡(luò)故障和提高用戶管理的效率，SAMⅡ還提供了全網(wǎng)拓?fù)浒l(fā)現(xiàn)功能、AGTS 用戶管理模式、接入時(shí)段管理以及免安裝客戶端自動(dòng)升級(jí)等功能，幫助高校用戶輕松管理整個(gè)校園網(wǎng)絡(luò)?！窨蛻糍~號(hào)與 IP 地址、MAC 地址、NAS 設(shè)備地址和 NAS 端口綁定SAMⅡ通過六元素自動(dòng)綁定、靜態(tài)綁定和動(dòng)態(tài)綁定相結(jié)合，實(shí)現(xiàn)安全認(rèn)證到桌面，不但可以確保用戶入網(wǎng)時(shí)身份唯一，而且有效避免了 IP 沖突，同時(shí)，為網(wǎng)絡(luò)安全上了雙重保險(xiǎn)。例如，SAMⅡ安全認(rèn)證能夠?qū)崿F(xiàn)動(dòng)態(tài)綁定，SAMⅡ動(dòng)態(tài)綁定是指在用戶登陸網(wǎng)絡(luò)時(shí)，用戶的相關(guān)信息將自動(dòng)與服務(wù)器和接入層交換機(jī)同時(shí)綁定。屆時(shí)如果用戶登錄網(wǎng)絡(luò)后一旦更改自己的相關(guān)信息（如 IP 地址、MAC 的只等），則無法通過交換機(jī)認(rèn)證，通過動(dòng)態(tài)綁定確 保了用戶的身份唯一，在最大程度上消除了內(nèi)部安全隱患，極大的提高了客戶行為的唯一性， 有效的防止了 IP 地址和客戶賬號(hào)盜用現(xiàn)象的發(fā)生。●對(duì)賬號(hào)登錄次數(shù)的限定，系統(tǒng)對(duì)同一賬號(hào)同時(shí)登錄次數(shù)作出明確的限定，避免了多人次使用同一賬號(hào)上網(wǎng)的現(xiàn)象?！裢晟频挠?jì)費(fèi)管理功能，針對(duì)高校校園網(wǎng)絡(luò)靈活運(yùn)營的需求，銳捷網(wǎng)絡(luò) SAMⅡ校園網(wǎng)解決方案開發(fā)出貼近校園用戶需求的計(jì)費(fèi)模式，不僅有計(jì)時(shí)長、包月等傳統(tǒng)計(jì)費(fèi)方式，還增加了計(jì)天計(jì)費(fèi)方式，并以之為基礎(chǔ)，設(shè)計(jì)了一次交費(fèi)，分段開通的計(jì)費(fèi)模式。例如，一個(gè)學(xué)生需要在 6 月 1 日的時(shí)候開通，但是他 6 月 10 日的時(shí)候需要出去實(shí)習(xí) 2 周，這時(shí)，用戶完全可以在 6 月 1 日的時(shí)候選擇開通 10 天，系統(tǒng)就只在這 10 天內(nèi)扣除相應(yīng)費(fèi)用，到 10 日的時(shí)候系統(tǒng)會(huì)自動(dòng)停用該 帳號(hào)，直到用戶再次選擇開通。其次，SAMⅡ提供了完善的自助服務(wù)系統(tǒng)，簡單明了的中文界面為用戶提供了包括快 捷注冊，個(gè)人信息、密碼進(jìn)行修改，上網(wǎng)明細(xì)、交費(fèi)記錄及余額自助查詢，在線充值、注銷 用戶等功能服務(wù)。不但方便了終端用戶繳費(fèi)，同時(shí)也極大地減輕了管理者的管理和收費(fèi)工作 負(fù)擔(dān)，有效緩解了學(xué)生繳費(fèi)和學(xué)校收費(fèi)的矛盾。另外，為了給高校用戶帶來最優(yōu)的應(yīng)用體驗(yàn)，SAMⅡ“想用戶之所想”，為學(xué)校提供了 完善的流程化服務(wù)。SAMⅡ解決方案預(yù)置了包括收費(fèi)通知、管理員招聘啟示等在內(nèi)的多種 應(yīng)用問題模版。這些看似簡單的模版，是銳捷網(wǎng)絡(luò)服務(wù)數(shù)百所高校用戶的經(jīng)驗(yàn)積累，銳捷網(wǎng)絡(luò)通過將用戶的需求以及用戶反饋的先進(jìn)經(jīng)驗(yàn)進(jìn)行積累，逐漸形成的一套立體化服務(wù)體系。 需要注意的是，網(wǎng)絡(luò)建成后，該服務(wù)體系還將對(duì)用戶進(jìn)行實(shí)時(shí)跟蹤，及時(shí)了解用戶需求并為 用戶提供網(wǎng)絡(luò)系統(tǒng)定期排查服務(wù)，保障用戶的網(wǎng)絡(luò)輕松運(yùn)行和持續(xù)運(yùn)營?！駧挼南薅ê蜆I(yè)務(wù)優(yōu)先級(jí)的設(shè)定，系統(tǒng)能對(duì)每個(gè)客戶上下行的帶寬上限加以限定，防止個(gè)別客戶占用過多網(wǎng)絡(luò)資源。還能 對(duì)不同的用戶數(shù)據(jù)設(shè)定業(yè)務(wù)優(yōu)先級(jí)（例如實(shí)驗(yàn)室、教師機(jī)房與學(xué)生宿舍、普通機(jī)房相區(qū)別）， 以保證重要數(shù)據(jù)能得到更好的服務(wù)●訪問時(shí)間的有效控制，為了幫助學(xué)校實(shí)現(xiàn)靈活的上網(wǎng)接入時(shí)段管理，SAMⅡ提供了用戶接入時(shí)段管理。通過對(duì)日常、周末以及節(jié)日的一次性設(shè)置，可以輕松靈活的管理用戶能夠使用網(wǎng)絡(luò)的時(shí)段，幫助 學(xué)校實(shí)現(xiàn)靈活的上網(wǎng)接入時(shí)段管理。例如，學(xué)?？梢愿鶕?jù)自己的實(shí)際情況，在平時(shí)設(shè)定允許上網(wǎng)的時(shí)段（如 6 點(diǎn)－7 點(diǎn)、17 點(diǎn)－23 點(diǎn)等）；不允許上網(wǎng)的時(shí)段（如 0 點(diǎn)－5 點(diǎn)、8 點(diǎn)－16 點(diǎn)等）；或是在周末設(shè)置較長的允許接入網(wǎng)絡(luò)的時(shí)間等。同時(shí)，SAMⅡ解決方案還針對(duì)此提供了優(yōu)先級(jí)劃分功能，如節(jié)日的時(shí)段管理優(yōu)先級(jí)最高，周末次之、日常最低。一年只需對(duì)日常