【文章內(nèi)容簡介】 模塊組合和結(jié)構(gòu)化設(shè)計(jì)，使系統(tǒng)配置靈活，滿足學(xué)校逐步到位的建網(wǎng)原則，使網(wǎng)絡(luò)具有強(qiáng)大的可增長性；可靠性，具有容錯(cuò)功能，管理、維護(hù)方便。對網(wǎng)絡(luò)的設(shè)計(jì)、選型、安裝、調(diào)試等各環(huán)節(jié)進(jìn)行統(tǒng)一規(guī)劃和 分析，確保系統(tǒng)運(yùn)行可靠，經(jīng)濟(jì)性，投資合理，有良好的性能價(jià)格比。 方案實(shí)施 一個(gè)完整的校園網(wǎng)建設(shè)在實(shí)施過程中可以分成兩個(gè)環(huán)節(jié)：網(wǎng)絡(luò)集成方案設(shè)計(jì)和信息系統(tǒng)集成。其中信息系統(tǒng)集成是目的，網(wǎng)絡(luò)集成是手段。 網(wǎng)絡(luò)集成方案主要包括兩個(gè)方面：結(jié)構(gòu)化布線與設(shè)備選擇、網(wǎng)絡(luò)技術(shù)及設(shè)備選型。它的設(shè)計(jì)思想有兩個(gè)，一個(gè)是網(wǎng)絡(luò)方案采用模塊化的設(shè)計(jì)，各個(gè)模塊完成各自的功能。在實(shí)施的過程中，可以根據(jù)需要將相應(yīng)的模塊添加到網(wǎng)絡(luò)中，也可以不使用某些模塊，在需要時(shí)候再添加。同時(shí)，模塊化設(shè)計(jì)容易維護(hù)，某 13 個(gè)模塊出現(xiàn)故障，不會影響到整個(gè)網(wǎng)絡(luò)的安全。 另一個(gè)設(shè)計(jì)思想是采用層次體系，整個(gè)網(wǎng)絡(luò)通過主干網(wǎng)連接起來，各個(gè)子網(wǎng)通過接口與主干網(wǎng)連接，實(shí)現(xiàn)各自的功能，在子網(wǎng)內(nèi)部及與主干網(wǎng)進(jìn)行數(shù)據(jù)通信。 結(jié)構(gòu)化布線 綜合布線系統(tǒng)是建筑物或建筑群內(nèi)的傳輸網(wǎng)絡(luò)，它既能使話音和數(shù)據(jù)通信設(shè)備、交換設(shè)備和其他信息管理系統(tǒng)彼此連接，也能使這些設(shè)備與外部通信網(wǎng)絡(luò)相互連接，包括建筑物到外部網(wǎng)絡(luò)或電話局線路上的連線點(diǎn)，與工作區(qū)的話音或數(shù)據(jù)終端之間的所有電纜，以及相關(guān)聯(lián)的布線部件。一個(gè)良好的綜合布線系統(tǒng)對其服務(wù)的設(shè)備有一定的獨(dú)立性，并能互連許多不同的通信設(shè)備如數(shù)據(jù)終端、模擬式或數(shù)字式電話 、 PC 和主機(jī)以及公共系統(tǒng)裝置。一般布線系統(tǒng)有六個(gè)子系統(tǒng)組成：建筑群間子系統(tǒng)，設(shè)備間子系統(tǒng)，管理區(qū)子系統(tǒng)，垂直（主干）子系統(tǒng)，水平子系統(tǒng)，工作區(qū)子系統(tǒng)。 校園網(wǎng)為園區(qū)網(wǎng)，樓群間子系統(tǒng)采用光纜連接，可提供千兆位的帶寬，有充分的擴(kuò)展余地。垂直子系統(tǒng)則位于高層建筑物的豎井內(nèi)，可采用多模光纜或大對數(shù)雙絞線。把管理區(qū)子系統(tǒng)并入設(shè)備間子系統(tǒng)，集中管理。 對于多幢樓宇，可采用多設(shè)備間的方法。分為中心設(shè)備間和樓棟設(shè)備間部分，中心設(shè)備間是整個(gè)局域網(wǎng)的控制中心，內(nèi)設(shè)有對外（ Inter）對內(nèi)通信的各種網(wǎng)絡(luò)設(shè)備（交換機(jī)、路由器 ），中心交換機(jī)通過光纜（地下直埋）與樓棟設(shè)備間的交換設(shè)備相連，以保證數(shù)據(jù)的高速傳輸。在此設(shè)備間放置布線的線架和網(wǎng)絡(luò)設(shè)備，端接樓內(nèi)來自在各層的主干線纜，并端接連接網(wǎng)絡(luò)中心的光纖。 網(wǎng)絡(luò)設(shè)備選型 網(wǎng)絡(luò)主干設(shè)備的系統(tǒng)結(jié)構(gòu)直接決定了設(shè)備的性能和功能水平。因此，深入了解設(shè)備的系統(tǒng)結(jié)構(gòu)設(shè)計(jì)，客觀認(rèn)知設(shè)備的性能和功能，這對正確選擇設(shè)備極有幫助 。在此次設(shè)計(jì)中，為了更好的完成所有功能，全部采用了 Cisco 的交換機(jī)和路由器。下面就簡要介紹下此次設(shè)計(jì)中的重要設(shè)備 —— 交換機(jī)的選型。 1． Catalyst 交換機(jī)產(chǎn)品 （ 1） Catalyst 2960 系列交換機(jī) Cisco Catalyst2960 系列智能以太網(wǎng)交換機(jī)是一個(gè)全新的、固定配置的獨(dú)立設(shè)備系列，提供桌面快速以太網(wǎng)和千兆以太網(wǎng)連接，可為入門級企業(yè)、中型市場和分支機(jī)構(gòu)網(wǎng)絡(luò)提供增強(qiáng) LAN 服務(wù)。 Catalyst 2960 系列具有集成安全特性，包括網(wǎng)絡(luò)準(zhǔn)入控制 (NAC)、高級服務(wù)質(zhì)量 (QoS)和永續(xù)性，可為網(wǎng)絡(luò)邊緣提供智能服務(wù)。 Cisco Catalyst 2960 系列提供： 14 為網(wǎng)絡(luò)邊緣提供了智能特性，如先進(jìn)的訪問控制列表 (ACL)和增強(qiáng)安全特性； 雙介質(zhì)上行鏈路端口提供 了千兆以太網(wǎng)上行鏈路靈活性，可以使用銅纜或光纖上行鏈路端口 — 每個(gè)介質(zhì)上行鏈路端口都有一個(gè) 10/100/1000 以太網(wǎng)端口和一個(gè)小型可插拔 (SFP)千兆以太網(wǎng)端口，在使用時(shí)其中一個(gè)端口激活，但不能同時(shí)使用這兩個(gè)端口 ； 通過高級 QoS、精確速率限制、 ACL 和組播服務(wù)，實(shí)現(xiàn)了網(wǎng)絡(luò)控制和帶寬優(yōu)化； 通過多種驗(yàn)證方法、數(shù)據(jù)加密技術(shù)和基于用戶、端口和 MAC 地址的網(wǎng)絡(luò)準(zhǔn)入控制，實(shí)現(xiàn)了網(wǎng)絡(luò)安全性； 通過思科網(wǎng)絡(luò)助理，簡化了網(wǎng)絡(luò)配置、升級和故障診斷 ； 使用 Smartports 自動(dòng)配置特定應(yīng)用 ； （ 2） 系列產(chǎn)品配置 Cisco Catalyst 2960 系列包括以下交換機(jī)： Cisco Catalyst 296024TT： 24個(gè) 10/100以太網(wǎng)端口和 2個(gè) 10/100/1000固定以太網(wǎng)上行鏈路端口； 1 機(jī)架單元 (RU) Cisco Catalyst 296048TT： 48個(gè) 10/100以太網(wǎng)端口和 2個(gè) 10/100/1000固定以太網(wǎng)上行鏈路端口； 1 RU Cisco Catalyst 296024TC： 24 個(gè) 10/100 以太網(wǎng)端口和 2 個(gè)雙介質(zhì)上行鏈路端口； 1 RU Cisco Catalyst 296048TC： 48 個(gè) 10/100 以太網(wǎng)端口和 2 個(gè)雙介質(zhì)上行鏈路端口； 1 RU Cisco Catalyst 2960G24TC： 20 個(gè) 10/100/1000 以太網(wǎng)端口，其中 4個(gè)為雙介質(zhì)端口； 1 RU 2．產(chǎn)品特性 （ 1）千兆以太網(wǎng) 千兆以太網(wǎng)以 1000 Mbps 的速度，提供了可滿足新網(wǎng)絡(luò)和擴(kuò)展網(wǎng)絡(luò)的需求的帶寬，消除了瓶頸，提升了性能，同時(shí)提高了現(xiàn)有基礎(chǔ)設(shè)施投資的回報(bào)。目前，工作人員都對網(wǎng)絡(luò)有著更高需求，在網(wǎng)絡(luò)上同時(shí)運(yùn)行多個(gè)應(yīng)用。例如，一位員工通過 IP 視頻會議而參加小組會議， 向與會者發(fā)送一個(gè) 10MB 的電子表格，將最新營銷視頻廣播給整個(gè)小組以供評估，此外還查詢客戶關(guān)系管理 (CRM)數(shù)據(jù)庫，以獲得最新實(shí)時(shí)反饋。同時(shí)，后臺開始了一個(gè)多 GB 的系統(tǒng)備份，并向客戶端提供最新防病毒軟件的升級。 （ 2）網(wǎng)絡(luò)智能性 當(dāng)今的網(wǎng)絡(luò)正在不斷發(fā)展，在網(wǎng)絡(luò)邊緣出現(xiàn)了四種新趨勢： 桌面計(jì)算能力提高、帶寬密集型應(yīng)用出現(xiàn)、高敏感數(shù)據(jù)在網(wǎng)絡(luò)中擴(kuò)展、出現(xiàn)了多種設(shè)備類型，如 IP 電話、 WLAN 接入點(diǎn)和 IP 視頻攝像頭。 這些新需求正與許多已有關(guān)鍵任務(wù)應(yīng)用爭奪資源。因此， IT 專業(yè)人員必須 15 將網(wǎng)絡(luò)邊緣看作有效管理信息和應(yīng)用的提 供的關(guān)鍵。 隨著人們對網(wǎng)絡(luò)的依賴性日益增強(qiáng)，將其作為戰(zhàn)略性業(yè)務(wù)基礎(chǔ)設(shè)施，確保網(wǎng)絡(luò)的高可用性、安全性、可擴(kuò)展性和對它的全面控制就比以前更為重要。通過為 LAN 接入添加思科智能功能，客戶現(xiàn)可部署遍布整個(gè)網(wǎng)絡(luò)的智能服務(wù)，從而一致地滿足從桌面到核心再到 WAN 的要求。 通過 Cisco Catalyst 智能以太網(wǎng)交換機(jī)，思科可幫助公司獲得向其網(wǎng)絡(luò)添加智能服務(wù)的全面優(yōu)勢。為進(jìn)一步優(yōu)化網(wǎng)絡(luò)運(yùn)行，部署具備以下特性的功能是十分關(guān)鍵的：能使網(wǎng)絡(luò)基礎(chǔ)設(shè)施高度可用以達(dá)到關(guān)鍵時(shí)間要求、可擴(kuò)展以便于公司發(fā)展、高度安全以保護(hù)保密信息，且能區(qū) 分和控制流量。 （ 3）增強(qiáng)安全性 憑借 Cisco Catalyst 2960 系列提供的廣泛安全特性，企業(yè)可保護(hù)重要信息，防止未授權(quán)人員接入網(wǎng)絡(luò)，確保私密性及維持不間斷運(yùn)行。 思科基于身份的網(wǎng)絡(luò)服務(wù) (IBNS)解決方案提供了身份驗(yàn)證、訪問控制和安全策略管理，可保護(hù)網(wǎng)絡(luò)連接和資源。 Catalyst 2960 系列中的 IBNS 可防止未授權(quán)接入，并確保用戶只獲得其指定權(quán)利。它能動(dòng)態(tài)管理網(wǎng)絡(luò)接入的具體層次。使用 標(biāo)準(zhǔn)和思科安全訪問控制服務(wù)器（ ACS），無論用戶在何 處連接到網(wǎng)絡(luò)中，都可在驗(yàn)證基礎(chǔ)上分配到一個(gè) VLAN。此設(shè)置使 IT 部門能在不影響用戶移動(dòng)性的情況下，以最低管理開銷實(shí)施強(qiáng)大的安全策略。 為防止拒絕服務(wù)攻擊和其他攻擊，可用 ACL 根據(jù)源和目的地 MAC 地址、 IP地址或 TCP/UDP 端口來拒絕分組，從而限制對網(wǎng)絡(luò)敏感部分的訪問。 ACL 查詢在硬件中完成，故此在實(shí)施基于 ACL 的安全性時(shí)不會影響轉(zhuǎn)發(fā)性能。 端口安全性可根據(jù)與以太網(wǎng)端口相連的設(shè)備的 MAC 地址，來限制以太網(wǎng)端口上的訪問。它也可用于限制插入一個(gè)交換機(jī)端口的總設(shè)備數(shù)目，因此可使交換機(jī)免遭 MAC 泛洪攻擊，降低了惡意無線接入點(diǎn)或集線器接入的風(fēng)險(xiǎn)。 憑借動(dòng)態(tài)主 機(jī)配置協(xié)議 (DHCP)監(jiān)聽，可以只允許來自不可信用戶端口的DHCP 請求（但不允許響應(yīng)）進(jìn)入網(wǎng)絡(luò)，從而防止 DHCP 電子欺騙。此外 DHCP 接口跟蹤器 (選項(xiàng) 82) 特性可為主機(jī) IP 地址請求添加交換機(jī)端口 ID，有助于實(shí)現(xiàn)對于 IP 地址分配的精確控制。 MAC 地址通知特性可向管理站發(fā)送報(bào)警，從而監(jiān)控網(wǎng)絡(luò)和跟蹤用戶，以使網(wǎng)絡(luò)管理員知道用戶何時(shí)、從何處進(jìn)入網(wǎng)絡(luò)。 SSHv2 和 SNMPv3 對管理和網(wǎng)絡(luò)管理信息加密，保護(hù)網(wǎng)絡(luò)免遭干擾或竊聽。 TACACS+或 RADIUS 驗(yàn)證實(shí)現(xiàn)了交換機(jī)的集中訪問控制，并限制未授權(quán)用戶改變配置。此外 ，可在交換機(jī)上配置本地用戶名和密碼數(shù)據(jù)庫。交換機(jī)控制臺上的 15 個(gè)授權(quán)級別和 Web 管理界面上的 2個(gè)級別提供了向不同管理員分配不同配置功能級別的能力。 （ 4）可用性和可擴(kuò)展性 Cisco Catalyst 2960 系列配備了強(qiáng)大的特性集，通過組播過濾和旨在第二層網(wǎng)絡(luò)中提供最高可用性的全套生成樹協(xié)議改進(jìn)，實(shí)現(xiàn)了網(wǎng)絡(luò)可擴(kuò)展性及更高可用性。 16 對標(biāo)準(zhǔn)生成樹協(xié)議的改進(jìn)，如 PVST+、 UplinkFast 和 PortFast，可實(shí)現(xiàn)最長網(wǎng)絡(luò)正常運(yùn)行時(shí)間。 PVST+可在冗余鏈路上進(jìn)行第二層負(fù)載共享，以有效使用冗余設(shè)計(jì)中的額外容 量。 UplinkFast、 PortFast 和 BackboneFast 都大大縮減了標(biāo)準(zhǔn)的 30到 60秒生成樹協(xié)議收斂時(shí)間。 Flexlink提供了不到 100ms的雙向、快速收斂。對環(huán)路保護(hù)和網(wǎng)橋協(xié)議數(shù)據(jù)單元（ BPDU）保護(hù)的增強(qiáng)避免了生成樹協(xié)議環(huán)路的出現(xiàn)。 （ 5）高級 QoS Cisco Catalyst 2960 提供了出色的多層 QoS 特性，確保網(wǎng)絡(luò)流量進(jìn)行了分類和優(yōu)先級劃分，并以最好的方式避免了擁塞。 QoS 的配置通過自動(dòng) QoS（ Auto QoS）大大得到了簡化，這是一個(gè)可發(fā)現(xiàn)思科 IP 電話并自動(dòng)配置交換機(jī)以進(jìn)行正確 分類和輸出排序的特性。這優(yōu)化了流量優(yōu)先級劃分和網(wǎng)絡(luò)可用性，且不會帶來復(fù)雜配置的問題。 Catalyst 2960 可對進(jìn)入的分組分類、再分類、監(jiān)管、標(biāo)記、排序和排程，并能在出口處對分組排序和排程。分組分類使網(wǎng)絡(luò)元素可區(qū)分不同流量，并根據(jù)第二層和第三層 QoS 實(shí)施策略。 為實(shí)現(xiàn) QoS， Catalyst 2960 系列交換機(jī)首先確認(rèn)分組或流量組，再使用DSCP 字段或 服務(wù)級別（ CoS）字段對這些組分類和再分類。分類和再分類可根據(jù)源或目的地 IP 地址、源或目的地 MAC 地址或者第 4 層 TCP/UDP 端口等標(biāo)準(zhǔn)進(jìn)行。 在入口， Catalyst 2960 也將進(jìn)行監(jiān)管，以確定分組是在小組內(nèi)還是在小組外，標(biāo)記以改變分類標(biāo)簽，傳輸或丟棄小組分組，并根據(jù)類別對分組排序。所有端口上都支持控制平面和數(shù)據(jù)平面 ACL，確保每個(gè)分組得到正確的處理。 Cisco Catalyst 2960 支持每端口 4 個(gè)輸出隊(duì)列，使網(wǎng)絡(luò)管理員能更好地進(jìn)行控制，為 LAN 上的各種應(yīng)用分配優(yōu)先級。在出口，交換機(jī)執(zhí)行排程和擁塞控制。排程是一種確定隊(duì)列處理順序的算法或進(jìn)程。 Catalyst 2960 系列交換機(jī)支持整形循環(huán)（ SRR）和嚴(yán)格優(yōu)先級隊(duì)列。 SRR 算法有助于確保個(gè) 性化優(yōu)先級劃分。 這些 QoS 特性使網(wǎng)絡(luò)管理員能將關(guān)鍵任務(wù)和帶寬密集型流量劃為較高優(yōu)先級，其中包括企業(yè)資源規(guī)劃（ ERP）、語音（ IP 電話流量）和計(jì)算機(jī)輔助設(shè)計(jì)及制造（ CAD/CAM）等，而將 FTP 或電子郵件等對應(yīng)用劃為較低優(yōu)先級。例如，下載一個(gè)目的地為交換機(jī)上某一端口的大型文件，而這會增加目的地為此交換機(jī)上另一端口的語音流量的延遲，這種情況是用戶極為不愿看到的。通過確保語音流量在網(wǎng)絡(luò)中得到正確分類和優(yōu)先級劃分，可避免此情況。 Web 瀏覽等其他應(yīng)用則可作為較低優(yōu)先級對待。 Catalyst 2960 系列能通過對思 科承諾信息速率（ CIR）功能的支持而執(zhí)行速率限制。通過 CIR，能以低至 8kbps 的增量保證帶寬。帶寬的分配根據(jù)若干標(biāo)準(zhǔn)進(jìn)行，包括 MAC 源地址、 MAC 目的地地址、 IP 源地址、 IP 目的地地址和TCP/UDP 端口號。在需服務(wù)級別協(xié)議的網(wǎng)絡(luò)環(huán)境中或需控制授予某些用戶的帶 17 寬時(shí)，帶寬分配非常重要。 系統(tǒng)分析 關(guān)鍵 網(wǎng)絡(luò)系統(tǒng) Cisco 2620 路由器、 Cisco Catalyst 2950 24 口 交換機(jī) （ WSC295024）、Cisco Catalyst 3560 交換機(jī) 網(wǎng)絡(luò)解決辦法 對校園網(wǎng)系統(tǒng)整體方案設(shè)計(jì) ； 對訪問 層交換機(jī)進(jìn)行配置 ； 對分布層交換機(jī)進(jìn)行配置 ； 對核心層交換機(jī)進(jìn)行配置 ； 對廣域網(wǎng) 接入路由器 配置 ； 對 遠(yuǎn)程訪問服務(wù)器進(jìn)行配置 ； 對整個(gè)校園網(wǎng)系統(tǒng)進(jìn)行診斷 技術(shù) 分析 路由、交換與遠(yuǎn)程訪問技術(shù)是現(xiàn)代 計(jì)算機(jī)網(wǎng)絡(luò) 領(lǐng)域中三大支撐技術(shù)體系。 路由技術(shù) ： 路由協(xié)議 工作在 OSI 參考模型 的第 3 層，因此它的作用主要是在 通信 子網(wǎng)間路由數(shù)據(jù)包。路由器具有在網(wǎng)絡(luò)中傳遞數(shù)據(jù)時(shí)選擇最佳路徑的能力。除了可以完成主要的路由任務(wù)，利用 訪問控制列表（ Access Control List，ACL），路由器還可以用來完成以路由器為中心的流量控制和過濾功能。在本 次設(shè)計(jì)中，內(nèi)網(wǎng)用