【導(dǎo)讀】在完成論文時(shí)所利用的一切資料均已在參考文獻(xiàn)中列出。展態(tài)勢，由于他們對(duì)網(wǎng)絡(luò)資源的需求不斷增加，校內(nèi)外的合作和交流也日益頻繁，著千絲萬縷的聯(lián)系。然而，一個(gè)完善的校園網(wǎng)涉及計(jì)算機(jī)網(wǎng)絡(luò)、數(shù)據(jù)通信、系統(tǒng)。且保證校園網(wǎng)正常運(yùn)行也成為擺在網(wǎng)絡(luò)管理人員面前的難題。作為一項(xiàng)推進(jìn)教育。的提高，讀者還應(yīng)通過其它途徑不斷加強(qiáng)學(xué)習(xí)，以增強(qiáng)自己的網(wǎng)絡(luò)知識(shí)水平。Keywords：Campus，Switch，Router，Integratedwiring，worksecurity

　　

【正文】 局域網(wǎng)上，不同 VLAN 之間的通信數(shù)據(jù)量是很大的，這樣，如果路由器要對(duì)每一個(gè)數(shù)據(jù)包都路由一次，隨著網(wǎng)絡(luò)上數(shù)據(jù)量的不斷增大，路由器將不堪重負(fù)，路由器將成為整個(gè)網(wǎng)絡(luò)運(yùn)行的瓶頸。 在這種情況下，出現(xiàn)了第三層交換技術(shù)，它是將路由技術(shù)與交換技術(shù)合二為一的技術(shù)。三層交換機(jī)在對(duì)第一個(gè)數(shù)據(jù)流進(jìn)行路由后，會(huì)產(chǎn)生一個(gè) MAC 地址與 IP地址的映射表，當(dāng)同樣的 數(shù)據(jù)流再次通過時(shí)，將根據(jù)此表直接從二層通過而不是再次路由，從而消除了路由器進(jìn)行路由選擇而造成網(wǎng)絡(luò)的延遲，提高了數(shù)據(jù)包轉(zhuǎn)發(fā)的效率，消除了路由器可能產(chǎn)生的網(wǎng)絡(luò)瓶頸問題?？梢?，三層交換機(jī)集路由與交換于一身，在交換機(jī)內(nèi)部實(shí)現(xiàn)了路由，提高了網(wǎng)絡(luò)的整體性能。 在以三層交換機(jī)為核心的千兆網(wǎng)絡(luò)中，為保證不同職能部門管理的方便性和安全性以及整個(gè)網(wǎng)絡(luò)運(yùn)行的穩(wěn)定性，可采用 VLAN 技術(shù)進(jìn)行虛擬網(wǎng)絡(luò)劃分。 VLAN 子網(wǎng)隔離了廣播風(fēng)暴，對(duì)一些重要部門實(shí)施了安全保護(hù)；且當(dāng)某一部門物理位置發(fā)XX 大學(xué) 畢業(yè)設(shè)計(jì) 20 生變化時(shí)，只需對(duì)交換機(jī)進(jìn)行設(shè)置，就可以實(shí)現(xiàn) 網(wǎng)絡(luò)的重組，非常方便、快捷，同時(shí)節(jié)約了成本 使用 VLAN 的優(yōu)點(diǎn) （ 1） 控制廣播風(fēng)暴 一個(gè) VLAN 就是一個(gè)邏輯廣播域，通過對(duì) VLAN 的創(chuàng)建，隔離了廣播，縮小了廣播范圍，可以控制廣播風(fēng)暴的產(chǎn)生。 （ 2） 提高網(wǎng)絡(luò)整體安全性 通過路由訪問列表和 MAC 地址分配等 VLAN 劃分原則，可以控制用戶訪問權(quán)限LAN，從而提高交換式網(wǎng)絡(luò)的整體性能和安全性。 （ 3） 網(wǎng)絡(luò)管理簡單、直觀 對(duì)于交換式以太網(wǎng)， 如果對(duì)某些用戶重新進(jìn)行網(wǎng)段分配，需要網(wǎng)絡(luò)管理員對(duì)網(wǎng)絡(luò)系統(tǒng)的物理結(jié)構(gòu)重新進(jìn)行調(diào)整，甚至需要追加網(wǎng)絡(luò)設(shè)備，增大網(wǎng)絡(luò)管理的工作量。而對(duì)于采用 VLAN 技術(shù)的網(wǎng)絡(luò)來說，一個(gè) VLAN 可以根據(jù)部門職能、對(duì)象組或者應(yīng)用將不同地理位置的網(wǎng)絡(luò)用戶劃分為一個(gè)邏輯網(wǎng)段。在不改動(dòng)網(wǎng)絡(luò)物理連接的情況下可以任意地將工作站在工作組或子網(wǎng)之間移動(dòng)。利用虛擬網(wǎng)絡(luò)技術(shù)，大大減輕了網(wǎng)絡(luò)管理和維護(hù)工作的負(fù)擔(dān)，降低了網(wǎng)絡(luò)維護(hù)費(fèi)用。在一個(gè)交換網(wǎng)絡(luò)中， VLAN 提供了網(wǎng)段和機(jī)構(gòu)的彈性組合機(jī)制。 根據(jù)以上說明，基于端口方式劃分虛擬局域網(wǎng)是最簡單最有效的方式。 所以我們決定使用基于端口的 VLAN 劃分方法。 網(wǎng)絡(luò)規(guī)劃 校區(qū)內(nèi)東西樓區(qū)，辦公樓，東西教學(xué)區(qū)，宿舍樓 等 。一般來說出于網(wǎng)絡(luò)安全和性能考慮，需要將網(wǎng)絡(luò)劃分為多個(gè) VLAN，要求既可按不同的單位劃分 VLAN，也可按用戶 IP 子網(wǎng)劃分 VLAN。計(jì)算機(jī)教室與各辦公科室接入用戶之間不能互相通信，只能訪問校園網(wǎng)資源，以此屏蔽廣播風(fēng)暴。借助三層交換機(jī)可實(shí)現(xiàn)跨 VLANXX 大學(xué) 畢業(yè)設(shè)計(jì) 21 訪問。 樓宇接入交換機(jī)應(yīng)具有千兆上聯(lián)端口，能夠通過堆疊或增加模塊來提高接入端口密度，應(yīng)支持 SNMP 等網(wǎng)管協(xié)議，以便通過網(wǎng)絡(luò)對(duì)所有設(shè) 備的狀況進(jìn)行監(jiān)控和管理。 VLAN 及 IP 地址規(guī)劃 整個(gè)校園網(wǎng)中 VLAN 及 IP 編址方案如下表所示： 表 整個(gè)校園網(wǎng)中 VLAN 及 IP 編址方案 VLAN 號(hào) VLAN 名稱 IP 網(wǎng)段 默認(rèn)網(wǎng)關(guān) 說明 VLAN00 — VLAN10 XQBGL VLAN20 TSG VLAN30 HXL VLAN40 XQSS VLAN50 DQBGL VLAN60 JF VLAN70 DQSS VLAN80 FW XX 大學(xué) 畢業(yè)設(shè)計(jì) 22 網(wǎng)絡(luò)拓?fù)鋱D XX 大學(xué) 畢業(yè)設(shè)計(jì) 23 交換模塊的設(shè)計(jì) 核心交換思想 為了簡化交換網(wǎng)絡(luò)設(shè)計(jì)、提高交換網(wǎng)絡(luò)的可擴(kuò)展性，在園區(qū)網(wǎng)內(nèi)部數(shù)據(jù)交換的部署是分層進(jìn)行的。 園區(qū)網(wǎng)數(shù)據(jù)交換設(shè)備可以劃分為三個(gè)層次：核心層、匯聚層、接入層。 傳統(tǒng) 意義上的數(shù)據(jù)交換發(fā)生在 OSI 模型的第 2 層。現(xiàn)代交換技術(shù)還實(shí)現(xiàn)了第 3 層交換和多層交換。高層交換技術(shù)的引入不但提高了園區(qū)網(wǎng)數(shù)據(jù)交換的效率，更大大增強(qiáng)了園區(qū)網(wǎng)數(shù)據(jù)交換服務(wù)質(zhì)量，滿足了不同類型網(wǎng)絡(luò)應(yīng)用程序的需要。 現(xiàn)代交換網(wǎng)絡(luò)還引入了虛擬局域網(wǎng)（ Virtual LAN， VLAN）的概念。 VLAN 將廣播域限制在單個(gè) VLAN 內(nèi)部，減小了各 VLAN 間主機(jī)的廣播通信對(duì)其他 VLAN 的影響。在 VLAN 間需要通信的時(shí)候，可以利用 VLAN 間路由技術(shù)來實(shí)現(xiàn)。 當(dāng)網(wǎng)絡(luò)管理人員需要管理的交換機(jī)數(shù)量眾多時(shí)，可以使用 GVRP 協(xié)議簡化 管理。所有支持 GVRP 特性的交換機(jī)能夠接收來自其它交換機(jī)的 VLAN 注冊(cè)信息，并動(dòng)態(tài)更新本地的 VLAN 注冊(cè)信息，包括當(dāng)前的 VLAN 成員、這些 VLAN 成員可以通過哪個(gè)端口到達(dá)等。而且所有支持 GVRP 特性的交換機(jī)能夠?qū)⒈镜氐?VLAN 注冊(cè)信息向其它交換機(jī)傳播，以便使同一交換網(wǎng)內(nèi)所有支持 GVRP 特性的設(shè)備的 VLAN信息達(dá)成一致。 GVRP傳播的 VLAN注冊(cè)信息既包括本地手工配置的靜態(tài)注冊(cè)信息，也包括來自其它交換機(jī)的動(dòng)態(tài)注冊(cè)信息。 H3C系列交換機(jī)對(duì)符合 IEEE標(biāo)準(zhǔn)的 GVRP提供完備的支持。 當(dāng)園區(qū)網(wǎng)絡(luò)的交換機(jī)數(shù)量增多、交 換機(jī)間鏈路增加時(shí)，交換網(wǎng)絡(luò)的復(fù)雜性可能會(huì)造成交換環(huán)路問題，這需要通過在各交換機(jī)上運(yùn)行生成樹協(xié)議（ Spanning Tree Protocol， STP） 來解決。 一個(gè)好的校園網(wǎng)設(shè)計(jì)應(yīng)該是一個(gè)分層的設(shè)計(jì)。一般分為三層設(shè)計(jì)模型。 核心交換機(jī)的配置 （ 1） 設(shè)置交換機(jī)名稱 設(shè)置交換機(jī)名稱，也就是出現(xiàn)在交換機(jī) CLI 提示符中的名字。一般以處理位置或行政劃分來為交換機(jī)命名。當(dāng)需要 Tel 登錄到若干臺(tái)交換機(jī)以 維護(hù)一個(gè)XX 大學(xué) 畢業(yè)設(shè)計(jì) 24 大型網(wǎng)絡(luò)時(shí)，通過交換機(jī)名稱提示符提示自己當(dāng)前配置的位置是很有必要的。 配置命令： [Quidway] sysname HW （ 2） 設(shè)置交換機(jī)的系統(tǒng)加密口令 當(dāng)用戶在普通用戶模式而想要進(jìn)入特權(quán)用戶模式時(shí)，需要提供此口令。此口令會(huì)以 MD5 的形式加密，因此，當(dāng)用戶查看配置文件時(shí)，無法看到明文形式的口令。在這里設(shè)置加密口令為 Quidway。 配置命令： [HW] super password Quidway （ 3） 設(shè)置登錄虛擬終端線時(shí)的口令 對(duì)于一個(gè)已經(jīng)運(yùn)行著的交換網(wǎng)絡(luò)來說，交換機(jī)的帶內(nèi)遠(yuǎn)程管理為網(wǎng)絡(luò)管理人員提供了很多的方便。但是，處于安全考慮，在能夠遠(yuǎn)程管理交換機(jī)之前網(wǎng)絡(luò)管理人員必須設(shè)置遠(yuǎn)程登錄交換機(jī)的 口令。 如 下 設(shè)置登錄交換機(jī)時(shí)需要驗(yàn)證用戶身份，同時(shí)設(shè)置口令為 062055112 配置命令： [HW] userinterface vty 0 [HW uivty 0] user privilege level 2 [HW uivty 0] authenticationmode password [HW uivty 0] set authentication password 062055112 [HW uivty 0] historymand maxsize 20 （ 4） 在核 心交換機(jī)上定義 VLAN 除了默認(rèn)的本征 VLAN 外，額外定義了 8 個(gè) VLAN。 配置命令： [HW] vlan 10 [HW vlan 10] name XQBGL [HW] vlan 20 [HW vlan 20] name TSG [HW] vlan 30 [HW vlan 30] name HXL [HW] vlan 40 XX 大學(xué) 畢業(yè)設(shè)計(jì) 25 [HW vlan 40] name XQSS [HW] vlan 50 [HW vlan 50] name DQBGL [HW] vlan 60 [HW vlan 60] name JF [HW] vlan 70 [HW vlan 70] name DQSS [HW] vlan 80 [HW vlan 80] name FW （ 5） 配置核心交換機(jī)的路由功能和多層交換 核心交換機(jī)需要為網(wǎng)絡(luò)中的各個(gè) VLAN 提供路由功能。這需要首先啟用分布層交換機(jī)的路由功能。華為交換機(jī)默認(rèn)就開啟了路由功能，因此在這里只需要我們定義一條默認(rèn)路由。 默認(rèn)路由和路由協(xié)議： [HW] ip routerstatic [HW] rip [HWrip] version 2 [HWrip] work all [HWrip] undo summary [HWrip] importroute direct 配置多層交換 MPLS： [HW] mpls [HW] mpls ldp [HWmpls] lsptrigger all 接下來我們需要配置各 VLAN 的默認(rèn)網(wǎng)關(guān)地址，配置命令如下： [HW] interface vlaninterface 10 [HW vlaninterface 10] ip address [HW] interface vlaninterface 20 [HW vlaninterface 20] ip address [HW] interface vlaninterface 30 XX 大學(xué) 畢業(yè)設(shè)計(jì) 26 [HW vlaninterface 30] ip address [HW] interface vlaninterface 40 [HW vlaninterface 40] ip address [HW] interface vlaninterface 50 [HW vlaninterface 50] ip address [HW] interface vlaninterface 60 [HW vlaninterface 60] ip address [HW] interface vlaninterface 70 [HW vlaninterface 70] ip address [HW] interface vlaninterface 80 [HW vlaninterface 80] ip address （ 6） 核心交換機(jī)生成樹協(xié)議 MSTP（ Multiple Spanning Tree Protocol）是多生成樹協(xié)議的英文縮寫，該協(xié)議兼容 STP（ Spanning Tree Protocol）和 RSTP。 STP 不能快速遷移。即使是在點(diǎn)對(duì)點(diǎn)鏈路或邊緣端口，也必須等待 2 倍的 Forwarddelay 的時(shí)間延遲，端口才能遷移到轉(zhuǎn)發(fā)狀態(tài)。 RSTP 可以快速收斂，但是和 STP 一樣存在以下缺陷：局域網(wǎng)內(nèi)所有網(wǎng)橋共享一棵生成樹，不能按 VLAN 阻塞冗余鏈路，所有 VLAN 的報(bào)文都沿著一棵生成樹進(jìn)行轉(zhuǎn)發(fā)。 MSTP 可以彌補(bǔ) STP 和 RSTP 的缺陷，它既可以快速收斂，也能使不同 VLAN的流量沿各自的路徑分發(fā)，從而為冗余鏈路提供了更好的負(fù)載分擔(dān)機(jī)制。 MSTP 設(shè)置 VLAN 映射表（即 VLAN 和生成樹的對(duì)應(yīng)關(guān)系表）把 VLAN 和生成樹聯(lián)系起來。同時(shí)它把一個(gè)交換網(wǎng)絡(luò)劃分成多個(gè)域，每個(gè)域內(nèi)形成多棵生成樹，生成樹之間彼此獨(dú)立。 MSTP 將環(huán)路網(wǎng)絡(luò)修剪成為一個(gè)無環(huán)的樹型網(wǎng)絡(luò)，避免報(bào)文在環(huán)路網(wǎng)絡(luò)中的增生和無限循環(huán)，同時(shí)還提供了數(shù)據(jù)轉(zhuǎn)發(fā)的多個(gè)冗余路徑，在數(shù)據(jù)轉(zhuǎn)發(fā)過程中實(shí)現(xiàn) VLAN 數(shù)據(jù)的負(fù)載均衡。 配置命令： [HW] stp enable [HW] stp regionconfiguration [HWmstregion] regionname HW [HWmstregion] active regionconfiguration [HW stp mode mstp XX 大學(xué) 畢業(yè)設(shè)計(jì) 27 [HW] stp priority 0 [HW] stp tcprotection enable [HW] interface G1/0/1 [HWG1/0/1] stp rootprotection [HW–G1/0/1] quit [HW] interface G2/0/1 [HW G2/0/1] stp rootprotection [HW G2/0/1] quit [HW interface G2/0/2 [HWG2/0/2] stp rootprotection [HW G2/0/2] quit [Switch Buivty 0] user privilege level 2 [Switch Buivty 0] authenticationmode password [Switch Buivty 0] set authentication password 123456 [Switch Buivty 0] historymand maxsize 20 [Switch B] userinterface vty 0 [Switch Buivty 0] idletimeout 1 [Switch B] userinterface console 0 [Switch Bui console 0] idletimeout 5 （ 7） 匯聚層交換機(jī)的配置 聚層交換機(jī)負(fù)責(zé)將訪問層交換機(jī)進(jìn)行匯聚， 并提供到核心層的上行鏈