【正文】 P/IP協(xié)議 TCP/IP協(xié)議是目前在網(wǎng)絡(luò)中應(yīng)用得最廣泛的協(xié)議，ICP/IP實(shí)際上是一個(gè)關(guān)于Internet的標(biāo)準(zhǔn)，并隨著的Internet廣泛應(yīng)用而風(fēng)靡全球，它也成為局域網(wǎng)的首選協(xié)議。TCP/IP是一種分層協(xié)議，它共被分為個(gè)4層次，大約包含近期100個(gè)非專有協(xié)議，通過這些協(xié)議，可以高效和可靠地實(shí)現(xiàn)計(jì)算機(jī)系統(tǒng)之間的互連。TCP/IP協(xié)議中的核心協(xié)議有TCP（傳輸控制協(xié)議）、UDP（用戶數(shù)據(jù)報(bào)協(xié)議）和IP（因特網(wǎng)協(xié)議）TCP協(xié)議可以在網(wǎng)絡(luò)用戶啟動(dòng)的軟件應(yīng)用進(jìn)程之間建立通信會話，并實(shí)現(xiàn)數(shù)據(jù)流量控制和錯(cuò)誤檢測，這樣就可以在不可靠的網(wǎng)絡(luò)上提供可靠的端到端數(shù)據(jù)傳輸。UDP協(xié)議是一種無連接的協(xié)議，它在傳輸數(shù)據(jù)之前不建立連接，也不提供良好的可靠性和差錯(cuò)檢查，只僅僅依賴于校驗(yàn)來保證可靠性。UDP不進(jìn)行流量控制，沒有序列或者確認(rèn)，因此它處理和傳輸數(shù)據(jù)的速度快，還被用來傳輸關(guān)鍵的網(wǎng)絡(luò)狀態(tài)消息。IP協(xié)議的基本功能是提供數(shù)據(jù)傳輸、數(shù)據(jù)包編址、數(shù)據(jù)包路由，分段等。通過IP編址約定，可以成功地將數(shù)據(jù)通過路由傳輸?shù)秸_的網(wǎng)絡(luò)或者子網(wǎng)。每個(gè)網(wǎng)絡(luò)站點(diǎn)具有一個(gè)32位的IP地址，它和48位MAC地址一起協(xié)作，完成網(wǎng)絡(luò)通信，IP協(xié)議也是一種無連接的協(xié)議。第六章 物理網(wǎng)絡(luò)設(shè)計(jì)一、校園網(wǎng)設(shè)備選型由于本方案為大型規(guī)模，采用三層設(shè)計(jì)各層交換機(jī)數(shù)量如下：核心交換機(jī)，需要1臺。匯聚層交換機(jī)，因?yàn)槲倚＝虒W(xué)樓有6層，所以共需要6臺。接入層交換機(jī)，選擇24口和48口100BaseT交換機(jī)，安裝在每層的相應(yīng)位置的水平設(shè)備機(jī)柜中（請參照拓?fù)鋱D），共需要24口交換機(jī)36臺，48口交換機(jī)28臺。全校所需交換機(jī)數(shù)量如表所示。表1 交換機(jī)數(shù)量樓成核心層匯聚層接入層(24口/48口)一層155二層165三層168四層1168五層124六層122二、核心層設(shè)備選型根據(jù)我校的規(guī)模和應(yīng)用需求，主干為萬兆、百兆到桌面，所以核心交換機(jī)使用華為Quidway174。 S8505交換機(jī)。Quidway174。 S8505系列萬兆核心路由交換機(jī)是由華為3Com公司自主開發(fā)的新一代高性能路由交換機(jī)產(chǎn)品，可廣泛應(yīng)用于運(yùn)營商IP城域網(wǎng)核心層、匯聚層以及行業(yè)網(wǎng)骨干層。Quidway174。 S8505系列基于新一代核心交換機(jī)的設(shè)計(jì)理念，具備大容量、高性能、多業(yè)務(wù)和可擴(kuò)展性的特點(diǎn)。Quidway174。 S8505系列采用分布式處理、業(yè)務(wù)模塊化以及Crossbar交換網(wǎng)等設(shè)計(jì)理念，具備業(yè)界領(lǐng)先的交換容量，并且交換容量可持續(xù)平滑升級。Quidway174。 S8505系列支持新一代高性能萬兆接口，能夠?yàn)槌怯蚓W(wǎng)、行業(yè)網(wǎng)提供超高速鏈路，可打造低成本、高性能、具有豐富業(yè)務(wù)支持能力的以太網(wǎng)絡(luò)。Quidway174。 S8500系列內(nèi)置高性能的業(yè)務(wù)處理引擎，能夠支持二三層報(bào)文、MPLS VPN業(yè)務(wù)、組播業(yè)務(wù)的全線速轉(zhuǎn)發(fā)。同時(shí)，Quidway174。 S8505系列支持完善的QoS服務(wù)、全面的安全管理機(jī)制和電信級的高可靠性，是一款業(yè)界領(lǐng)先的萬兆核心路由交換機(jī)產(chǎn)品。產(chǎn)品如圖61： 圖61路由交換機(jī)表2 S8505主要規(guī)格參數(shù)表體系結(jié)構(gòu)一體化機(jī)箱，可安裝于19英寸機(jī)架內(nèi)外形尺寸436mm x 486mm x 450mm（寬高深）交換容量XRCoreEngine? I 300G　XRCoreEngine? II 600G背板容量750Gbps（）包轉(zhuǎn)發(fā)率XRCoreEngine? I 178Mpps　XRCoreEngine?II 357Mpps槽位數(shù)量７業(yè)務(wù)單板槽位數(shù)量５二層功能支持IEEE （COS優(yōu)先級）支持IEEE （VLAN）支持IEEE （STP）支持IEEE （RSTP）支持IEEE （MSTP）支持IEEE （靈活QinQ）支持IEEE （全雙工流控）和背壓式流控（半雙工）支持IEEE （鏈路聚合和跨板鏈路聚合）支持IEEE （10BaseT）支持IEEE （100BaseT）支持IEEE （1000BASEX）支持IEEE （1000BaseT）支持IEEE （10GBase）支持IEEE （POE）支持IEEE （RPR）支持端口鏡像（包括跨板）支持端口廣播風(fēng)暴抑制支持多播流量限制支持Jumbo frame支持基于端口、協(xié)議VLAN劃分支持SuperVLAN支持PVLAN支持GVRP網(wǎng)絡(luò)特性支持ARP Proxy支持DHCP Relay支持DHCP Server支持VRRP支持URPF（單播反向路徑檢查）路由特性支持靜態(tài)路由支持RIPv1/v2支持OSPFv2支持ISIS支持BGPv4支持等價(jià)路由三、匯聚層設(shè)備選型匯聚層交換機(jī)需要支持三層交換，并且需要提供1000Mbps光上行和電下行。本方案中采用了華為Quidway S5624P/S5624PPWR系列全千兆智能交換機(jī)，具體參數(shù)如下：表3 參數(shù)表管理端口1個(gè)Console口業(yè)務(wù)端口描述固定端口24個(gè)10/100/1000M電口＋4個(gè)SFP Combo千兆口可選模塊8端口SFP模塊1端口10GE模塊2端口10GE模塊端口類型10/100/1000BASET1000BaseSXSFP1000BaseLXSFP1000BaseLHSFP1000BaseTSFP10GBaseLRXENPAK10GBaseLRXFP10GBaseERXFP外形尺寸(mm)440420(寬深高)線速二/三層交換所有端口支持線速轉(zhuǎn)發(fā),交換容量為192Gbit/s,包轉(zhuǎn)發(fā)率66MppsVLAN4K交換模式存儲轉(zhuǎn)發(fā)模式IP路由靜態(tài)路由、RIPv1/2OSPFECMP生成樹協(xié)議支持STP/RSTP，支持VLAN的STPignore屬性端口匯聚支持通過LACP進(jìn)行動(dòng)態(tài)端口匯聚支持進(jìn)行通過命令行手動(dòng)進(jìn)行端口匯聚支持堆疊范圍內(nèi)的跨設(shè)備鏈路匯聚支持GE（Gigabit Ethernet）端口匯聚支持10G（Gigabit Ethernet）端口匯聚最多32組端口匯聚組，GE匯聚組最多支持8個(gè)端口，10GE匯聚組最多4個(gè)端口，匯聚的端口必須具有相同的端口類型四、接入層設(shè)備選型接入層作為直接與終端連接的端口也不能馬虎，在這里我們使用了Quidway174。 S 3050C和S3026T系列智能二層交換機(jī)。Quidway174。 S3050C/S3026T以太網(wǎng)交換機(jī)采用1U高的盒式設(shè)備，支持19英寸機(jī)架安裝，可不依賴于其他設(shè)備獨(dú)立運(yùn)行；提供固定的48/24個(gè)10BaseT/100BaseTX的自適應(yīng)端口、1個(gè)Console口及2個(gè)后擴(kuò)展槽。設(shè)備如圖62和62： 圖62交換機(jī) 圖63交換機(jī)五、路由器選型接入Internet的路由器選擇了華為公司的Quidway174。 NetEngine 204產(chǎn)品，如圖所示。產(chǎn)品特點(diǎn)：第五代路由器：NE20不同于以往采用CPU軟件轉(zhuǎn)發(fā)的同類型路由器產(chǎn)品，采用了業(yè)界高性能網(wǎng)絡(luò)處理器技術(shù)實(shí)現(xiàn)高速接口報(bào)文的集中轉(zhuǎn)發(fā)，有機(jī)地結(jié)合了軟件的靈活性和硬件的高性能，提供線速轉(zhuǎn)發(fā)性能， 。 圖64路由器NE20采用高速接口轉(zhuǎn)發(fā)與控制平面分離的技術(shù)，高速接口的轉(zhuǎn)發(fā)引擎使用了高性能網(wǎng)絡(luò)處理器，提高了設(shè)備的轉(zhuǎn)發(fā)性能、控制能力、可靠性和安全性。高品質(zhì)QOS能力：完善的QoS機(jī)制、出色的QOS性能，確保重載下的不同業(yè)務(wù)的服務(wù)質(zhì)量，可以提供基于DiffServ的完善QoS機(jī)制。支持復(fù)雜流分類，支持精確的流量監(jiān)管和流量整形；提供隊(duì)列調(diào)度和擁塞避免功能，支持CBWFQ、LLS/NLS、PBS等先進(jìn)調(diào)度技術(shù)，采用WRED和先進(jìn)的SARED算法，RED支持8個(gè)等級的丟棄優(yōu)先級。精確保證不同業(yè)務(wù)的帶寬、時(shí)延和抖動(dòng)指標(biāo)，滿足用戶多種業(yè)務(wù)等級的“區(qū)分服務(wù)”要求。高可靠性：采用高可靠的模塊化設(shè)計(jì)方式，所有板卡、風(fēng)扇、電源模塊支持熱插拔；提供互為冗余備份的雙電源（1＋1備份）模塊，無源背板的設(shè)計(jì)方式；提供軟件熱補(bǔ)丁技術(shù)，實(shí)現(xiàn)設(shè)備完全平滑升級；支持動(dòng)態(tài)路由協(xié)議、MPLS流量工程，提供IP/MPLS快速重路由、虛擬路由冗余協(xié)議（VRRP）等保護(hù)機(jī)制，有效保證了全網(wǎng)運(yùn)行的高速可靠。整機(jī)實(shí)現(xiàn)7x24小時(shí)的不間斷運(yùn)行。強(qiáng)大的MPLS處理能力：支持MPLS VPN，支持MPLS TE，提供高品質(zhì)、安全和多層次的MPLS VPN解決方案，可以作為高性價(jià)比MPLS PE設(shè)備使用。業(yè)務(wù)能力: 軟件系統(tǒng)基于華為公司擁有自主知識產(chǎn)權(quán)的VRP軟件平臺，支持多種方式VPN（L2TP、GRE、MPLS VPN等），具備豐富的NAT功能，提供以太網(wǎng)/VLAN、PPP/MP、PPPoE、Frame Relay、HDLC、ATM、HDLC和LAPB等豐富的互聯(lián)功能。路由處理能力：支持RIP、OSPF、BGP、ISIS等單播路由協(xié)議和IGMP、PIM、MBGP、MSDP等多播路由協(xié)議，支持路由策略以及策略路由?？删S護(hù)性：支持自動(dòng)的故障診斷功能。通過運(yùn)行在PC機(jī)上的故障診斷軟件，能夠方便地協(xié)助工程師快速準(zhǔn)確定位系統(tǒng)故障。六、防火墻設(shè)備的選型為了保證校園網(wǎng)安全，方便對于訪問Internet的管理在本方案中使用了防火墻。 圖65防火墻Quidway174。 SecPath 500F防火墻是華為3Com公司面向大型企業(yè)用戶開發(fā)的新一代專業(yè)千兆防火墻設(shè)備。支持外部攻擊防范、內(nèi)網(wǎng)安全、流量監(jiān)控、網(wǎng)頁過濾、郵件過濾、應(yīng)用層過濾等功能，能夠有效地保證網(wǎng)絡(luò)的安全；采用ASPF狀態(tài)檢測技術(shù)，可對連接狀態(tài)過程和異常命令進(jìn)行檢測；提供多種智能分析和管理手段，支持郵件告警，支持多種日志，提供網(wǎng)絡(luò)管理監(jiān)控，協(xié)助網(wǎng)絡(luò)管理員完成網(wǎng)絡(luò)的安全管理；支持AAA、NAT等技術(shù)，可以確保在開放的Internet上實(shí)現(xiàn)安全的、滿足可靠質(zhì)量要求的網(wǎng)絡(luò)；支持多種VPN業(yè)務(wù)，如L2TP VPN、GRE VPN、IPSec VPN、SSL VPN和華為動(dòng)態(tài)VPN等，可以構(gòu)建Internet、Intranet、Remote Access等多種形式的VPN；提供基本的路由能力，支持RIP/OSPF/BGP/路由策略及策略路由；支持豐富的QoS特性，提供流量監(jiān)管、流量整形及多種隊(duì)列調(diào)度策略；提供雙機(jī)狀態(tài)熱備功能，支持Active/Active和Active/Backup兩種工作模式，實(shí)現(xiàn)負(fù)載分擔(dān)和業(yè)務(wù)備份。表4 數(shù)據(jù)表固定接口1個(gè)配置口（CON）1個(gè)備份口（AUX）2個(gè)10/100/1000M以太網(wǎng)口（支持光口或者電口）2個(gè)10/100/1000M以太網(wǎng)口（支持電口）插槽2個(gè)MIM插槽,可選的接口模塊包括1FE/2FE/4FE/1GE/2GE FLASH16MBSDRAM缺?。?12MB 最大：1GB外型尺寸（H WD）44 x 436mm x420mm重量6kg電源模塊輸入交流主機(jī)：100240V ；50/60Hz 直流主機(jī)：48V－60V輸出電壓：12VAAA服務(wù)RADIUS認(rèn)證HWTACACS認(rèn)證域認(rèn)證CHAP驗(yàn)證PAP驗(yàn)證防火墻包過濾基礎(chǔ)和擴(kuò)展的訪問控制列表基于接口的訪問控制列表基于時(shí)間段的訪問控制列表動(dòng)態(tài)包過濾ASPF應(yīng)用層報(bào)文過濾 應(yīng)用層協(xié)議：FTP、HTTP、SMTP、RTSP、（， RTP/RTCP） 傳輸層協(xié)議：TCP、UDP防攻擊特性Land、Smurf、Fraggle、WinNuke、Ping of Death、Tear Drop、IP Spoofing、SYN Flood、ICMP Flood、UDP Flood、ARP欺騙攻擊防范ARP主動(dòng)反向查詢TCP報(bào)文標(biāo)志位不合法攻擊防范超大ICMP報(bào)文攻擊防范地址/端口掃描的防范DoS/DDoS攻擊防范ICMP重定向或不可達(dá)報(bào)文控制功能Tracert報(bào)文控制功能帶路由記錄選項(xiàng)IP報(bào)文控制功能靜態(tài)和動(dòng)態(tài)黑名單功能MAC和IP綁定功能透明防火墻 基于MAC的訪問控制列表郵件/網(wǎng)頁/應(yīng)用層過濾郵件過濾SMTP郵件地址過濾SMTP郵件標(biāo)題過濾SMTP郵件內(nèi)容過濾網(wǎng)頁過濾HTTP URL過濾HTTP內(nèi)容過濾應(yīng)用層過濾Java BlockingActiveX BlockingSQL注入攻擊防范安全管理攻擊實(shí)時(shí)日志黑名單日志地址綁定日志流量告警日志會話日志進(jìn)制格式日志功能流量統(tǒng)計(jì)和分析功能全局/基于安全域連接數(shù)率監(jiān)控全局/基于安全域協(xié)議報(bào)文比例監(jiān)控安全事件統(tǒng)計(jì)功能EMAIL郵件實(shí)時(shí)告警功能EMAIL郵件定期信息發(fā)布功能七、服務(wù)器設(shè)備選型服務(wù)器是網(wǎng)絡(luò)中關(guān)鍵設(shè)備之一，通常，服務(wù)器向工作站提供處理器、內(nèi)存、硬盤、打印機(jī)、軟件、數(shù)據(jù)庫等資源和服務(wù)，并負(fù)責(zé)協(xié)調(diào)管理這些資源。由于網(wǎng)絡(luò)服務(wù)器要同時(shí)為網(wǎng)絡(luò)上的所有的用戶服務(wù)，因此要求其具有較高的性能。根據(jù)網(wǎng)絡(luò)的應(yīng)用和規(guī)模，可選用高檔PC服務(wù)器、UNIX工作站、小型機(jī)等。選擇網(wǎng)絡(luò)服務(wù)器時(shí)主要考慮以下因素：