【導(dǎo)讀】決實際問題的能力，全面進(jìn)行工程技術(shù)與科學(xué)研究基本訓(xùn)練的重要實踐環(huán)節(jié)。還從思想的深處體會到，要把自己的所學(xué)變成現(xiàn)。實時所將面對的種種難題。知識水平和解決實際問題的能力上有了很大的提高。目前在各高等院校甚至在很多中學(xué)都已建立了自己的校園網(wǎng)，一些學(xué)校已開。社會，校園網(wǎng)是Intra/Interner技術(shù)在教育機(jī)構(gòu)的一個應(yīng)用。它是指在學(xué)校范圍。因此每個校園網(wǎng)的設(shè)計、建設(shè)都要經(jīng)過周密的論證、謹(jǐn)慎。置以及綜合布線等四個方面展開分析。

　　

【正文】 戶機(jī) 以下是選用以上 Trend 公司產(chǎn)品的說明： 在 NT 主域控制器和備份域上均采用 Server Protec for WindowsNT（簡體中文 版）保護(hù) NT 服務(wù)器免受病毒的侵害。 另鑒于客戶有 100200 臺客戶機(jī)，客戶端的病毒軟件的安裝和病毒碼更新等工作，造成 MIS人員管理上的超負(fù)荷，因此推薦采用 OfficeScanCorporatcEdition企業(yè)授權(quán)版 OfficeScanCorporateIdition 能讓 MIS 人員通過管理程序進(jìn)行中央控管，軟件的分派（自動安裝，自動更新病毒碼、軟件的自動升級）。 另外在外接 Inter 和郵件服務(wù)器上，采用 InterScanWebProtect 和ScanMailForExchange 此兩種軟件是目前唯一能從國際互聯(lián)網(wǎng)絡(luò)攔截病毒的軟件。設(shè)計的理念是，在電腦病毒入侵企業(yè)內(nèi)部網(wǎng)絡(luò)的入口處 Inter 服務(wù)器或網(wǎng)關(guān)（ Gateway）上安裝此軟件，它可以隨時監(jiān)控網(wǎng)關(guān)中的 ETP、電子郵件傳輸和Web 網(wǎng)頁所下載的病毒和惡性程序 ，并有文件到達(dá)網(wǎng)絡(luò)系統(tǒng)之前進(jìn)行掃描偵測出來 。 鄭州信息科技職業(yè)學(xué)院校園網(wǎng)建設(shè)方案 19 VLAN 的實現(xiàn) VLAN 實現(xiàn)過程 當(dāng)一個網(wǎng)橋或交換機(jī)接收到來自于某個計算機(jī)工作站的數(shù)據(jù)幀，它將給這個數(shù)據(jù)幀加上一個標(biāo)簽以標(biāo)識這個數(shù)據(jù)幀來自于哪個 VLAN。加標(biāo)簽的原則有多種：可以基于數(shù)據(jù)幀來自于網(wǎng)橋的哪個端口、可以基于數(shù)據(jù)幀的數(shù)據(jù)鏈路層協(xié)議源地址、可以基于數(shù)據(jù)幀的網(wǎng)絡(luò)層協(xié)議源地址、也可以基于數(shù)據(jù)幀的其它字段或多個字段的綜合。為了能夠使用任意一種方法給數(shù)據(jù)幀加標(biāo)簽，網(wǎng)橋必須有一個不斷升級更新的數(shù)據(jù)庫。這個數(shù)據(jù)庫叫做過濾數(shù)據(jù)庫，包含 了本網(wǎng)絡(luò)中全部VLAN 之間的映射以及它們使用哪個字段作為標(biāo)簽。例如，如果通過基于端口的方式來加標(biāo)簽，該數(shù)據(jù)庫應(yīng)該指示哪個端口屬于哪個 VLAN。網(wǎng)橋必須能夠維護(hù)這樣的一個數(shù)據(jù)庫并且應(yīng)保證所有在這個 LAN 中的網(wǎng)橋在它們的過濾數(shù)據(jù)庫中有同樣的信息。 基于 IEEE 協(xié)議時， 4 個字節(jié)的 VLAN 標(biāo)簽加到傳統(tǒng)的以太網(wǎng)幀的目的 MAC 地址字段和協(xié)議類型字段（在符合 IEEE 協(xié)議的幀中是長度字段）之間。其中包含有一個 12 比特大小的 VLAN ID 號以區(qū)別各個 VLAN，如圖 12所示： 圖 1 基于 VLAN幀格式封裝類型 由于 協(xié)議的標(biāo)簽頭的 4 個字節(jié)是新增加的，故目前使用的計算機(jī)并不支持 ，即計算機(jī)發(fā)送出去的數(shù)據(jù)包的以太網(wǎng)幀頭還不包含這 4 個字節(jié)，同時也無法識別這 4 個字節(jié)。對于交換機(jī)來說，如果它所連接的以太網(wǎng)段的所有主機(jī) 都能識別和發(fā)送這種帶 標(biāo)簽頭的數(shù)據(jù)包，該端口稱為 Tag Aware 端口，需要給數(shù)據(jù)幀加標(biāo)簽。反之，如果該交換機(jī)端口所連接的以太網(wǎng)段里只要有一臺主機(jī)不支持這種帶 標(biāo)簽頭的數(shù)據(jù)包，該端口稱為 Access 端口，則不能給數(shù)據(jù)幀加標(biāo)簽。對于每一個到來的 VLAN 幀，網(wǎng)橋或交換機(jī)將根據(jù)查找過濾數(shù)據(jù)庫的結(jié)果決定該幀歸屬于哪一個 VLAN、將從哪個接口被轉(zhuǎn)發(fā)出去。一旦網(wǎng)橋或交換機(jī)決定了某個數(shù)據(jù)幀的下一步去向，它就得決定是否需要給這個數(shù)據(jù)幀加標(biāo)簽。具體實現(xiàn)包括以下三個過程： (1)接收過程：負(fù)責(zé)接收數(shù)據(jù)包，數(shù) 據(jù)包可以是帶標(biāo)簽頭的，也可以不帶標(biāo)簽頭。如果不帶，交換機(jī)會根據(jù)該端口所屬的 VLAN 添加上相應(yīng)的標(biāo)簽頭。 鄭州信息科技職業(yè)學(xué)院校園網(wǎng)建設(shè)方案 20 (2)查找 /路由過程：根據(jù)數(shù)據(jù)包的目的 MAC 地址、 VLAN 標(biāo)識，查找過濾數(shù)據(jù)庫中注冊的信息，以決定把數(shù)據(jù)包發(fā)送到哪個端口。 (3)發(fā)送過程：將數(shù)據(jù)包發(fā)送到以太網(wǎng)段上，如果該網(wǎng)段的主機(jī)不能識別 標(biāo)簽頭，則在出端口前將該標(biāo)簽頭去掉；如果是發(fā)送到互連的其它交換機(jī)的端口，則標(biāo)簽頭一般不去掉。 校園網(wǎng) VLAN 的規(guī)劃 隨著校園網(wǎng)規(guī)模的不斷擴(kuò)大，用戶不斷增加，網(wǎng)絡(luò)應(yīng)用也不斷增長，網(wǎng)絡(luò)變得越來越擁擠， 沖突不斷產(chǎn)生，管理難度日益加大。為了有效地提高網(wǎng)絡(luò)管理的靈活性，提高網(wǎng)絡(luò)效率和網(wǎng)絡(luò)安全性，一個合理的 VLAN 規(guī)劃給網(wǎng)絡(luò)的管理更加有效。校園網(wǎng)目前的電腦數(shù)目已經(jīng)上千臺了。如果把這個龐大的網(wǎng)絡(luò)作為一個VLAN，那么校園網(wǎng)的網(wǎng)絡(luò)性能和安全性就會大大的降低，而且能產(chǎn)生網(wǎng)絡(luò)風(fēng)暴使網(wǎng)絡(luò)癱瘓。因此，應(yīng)對這個龐大的校園網(wǎng)進(jìn)行 VLAN 的規(guī)劃，把它劃分為若干個虛擬子網(wǎng)，這樣可以提高校園網(wǎng)的網(wǎng)絡(luò)性能和安全性，防止網(wǎng)絡(luò)風(fēng)暴。 圖 2學(xué)院校園網(wǎng)的網(wǎng)絡(luò)結(jié)構(gòu)拓?fù)鋱D 如上圖所示，網(wǎng)絡(luò)根據(jù)地理區(qū)域分為 3 個部分：辦公樓 ﹑學(xué)生 樓 ﹑教學(xué)樓及圖書 館和 生活區(qū)。每一個部分建設(shè)一個網(wǎng)絡(luò)中心，三個中心之間采用 GE 骨干互鄭州信息科技職業(yè)學(xué)院校園網(wǎng)建設(shè)方案 21 聯(lián)。網(wǎng)絡(luò)設(shè)計充分利用了堆疊技術(shù)，簡化了網(wǎng)絡(luò)結(jié)構(gòu)。目前，我校園網(wǎng)主要是以Cisco Catalyst 6500E 作為核心路由交換機(jī)。其它的網(wǎng)絡(luò)部分采用堆疊組網(wǎng)的方式，主要是由幾臺 Cisco Catalyst 4500E 交換機(jī)組成堆疊組。 校園網(wǎng)的 VLAN 規(guī)劃主要是根據(jù) 學(xué)院校園 的網(wǎng)絡(luò)拓?fù)鋱D，首先基于核心路由交換機(jī) Cisco Catalyst 6500E 上根據(jù)每分配一個 C 類的 IP 地址劃分為一個VLAN；然后再基于 Cisco Catalyst 4500E 交換機(jī)根據(jù)網(wǎng)絡(luò)管理的要求和網(wǎng)絡(luò)的安全需要進(jìn)行 VLAN 劃分。如為了使有些部門之間在網(wǎng)絡(luò)中不能進(jìn)行訪問，確保本部門的信息不會被本部門以外的人竊聽，而把各個部門劃分為各個單獨的VLAN，從而提高各個部門的網(wǎng)絡(luò)安全性。 VLAN 的配置 隨著校園網(wǎng)的建成，對于校園網(wǎng)的管理的要求也越來越高了。目前，由于數(shù)據(jù)廣播在網(wǎng)絡(luò)中起著非常重要的作用，隨著校園網(wǎng)內(nèi)的計算機(jī)數(shù)量的增加， VOD視頻的大量應(yīng)用，廣播的數(shù)量在積聚增加，當(dāng)廣播的數(shù)量占到總量的 30%時，網(wǎng)絡(luò)的傳輸效率將會明顯下降。特別是當(dāng)某網(wǎng)絡(luò)設(shè)備出 現(xiàn)故障后，會不停地向網(wǎng)絡(luò)發(fā)送廣播，從而導(dǎo)致通信陷于癱瘓。當(dāng)校園網(wǎng)絡(luò)內(nèi)的計算機(jī)數(shù)超過 200 臺后，就需要采取措施將網(wǎng)絡(luò)分隔開來，將一個大的廣播域劃分成若干個小的廣播域。目前，校園網(wǎng)的計算機(jī)已經(jīng)有上千臺，因此更應(yīng)將這個大的廣播域劃分成若干個小的廣播域，劃分廣播域的方式主要是將校園網(wǎng)劃分為若干個虛擬子網(wǎng)，也就是VLAN。對校園網(wǎng)進(jìn)行 VLAN 劃分，可以強(qiáng)化網(wǎng)絡(luò)管理和網(wǎng)絡(luò)的安全，控制不必要的廣播的數(shù)量。 為了使校園網(wǎng)的管理更加完善，校園網(wǎng)的安全性更強(qiáng)，則必須要對校園網(wǎng)進(jìn)行 VLAN 的劃分。對校園網(wǎng)的 VLAN 的劃分，主要是 根據(jù)學(xué)院的網(wǎng)絡(luò)拓?fù)鋱D，首先是基于核心路由交換機(jī) Cisco Catalyst 6500E 上根據(jù)為每個分配一個 C 類的IP 地址劃分為一個 VLAN；然后再基于 Cisco Catalyst 4500E 交換機(jī)根據(jù)網(wǎng)絡(luò)管理的要求和網(wǎng)絡(luò)的安全需要進(jìn)行 VLAN 劃分。如下分別是以學(xué)生宿舍 1 棟為例關(guān)于基于 Cisco Catalyst 6500E、 Cisco Catalyst 4500E 的 VLAN 配置。 1） 網(wǎng)絡(luò)設(shè)備的安全配置命 令 S enable 進(jìn)入特權(quán)模式 S configure terminal 進(jìn)入全 局配置模式 S(config) hostname name 改變交換機(jī)名稱 S(config) enable password level level_ password 設(shè) 置 用 戶 口 令（ level_=1)或特權(quán)口令（ level_=15) S(config) line console 0 進(jìn)入控制臺接口 鄭州信息科技職業(yè)學(xué)院校園網(wǎng)建設(shè)方案 22 S(configline) password console_password 接上一條命令，設(shè)置控制臺口令 S(config) line vty 0 15 進(jìn)入虛擬終端 S(configline) password tel_password 接上一條命令，設(shè)置 Tel 口令 S(configline) login 允許 Tel 登錄 S(config) enable password|secret privilege_password 配置特權(quán)口令（加密或不加密） 2） 網(wǎng)絡(luò)設(shè)備 基本 配置命令 S(config) interface ether|fastether|gigabitether slot_/port_ 進(jìn)入交換機(jī)的接口模式 S(configif) [no] shutdown 關(guān)閉或啟用該接口（默認(rèn)啟用） S(config) ip address IP_address sunbet_mask 指定 IP 地址 S(config) ip defaultgateway router39。s_IP_address 指定哪臺路由器地址為默認(rèn)網(wǎng)關(guān) S(configif) speed 10|100|auto 設(shè)置接口速率 S(configif) duplex auto|full|half 設(shè)置接口雙工模式 S (configif) description descriptionstring 設(shè)置 的交換機(jī)的端口描述 : S(configif) duplex {auto|full|half} 在 交換機(jī)上設(shè)置以太網(wǎng)的鏈路模式 3） 在交換機(jī)上配置靜態(tài) VLAN: S vlan database 進(jìn)入交換機(jī) vlan 的配置模式 S(vlan) vlan vlannum name vla 創(chuàng)建 vlan 并給 vlan 命名 S(vlan) exit 退出交換機(jī) vlan 的配置模式 S configure teriminal 進(jìn)入交換機(jī)的特權(quán)配置模式 S(config) interface interface module/number 進(jìn)入接口子配置模式 S(configif) switchport mode access /trunk 設(shè)置交換機(jī)的接入模式 S(configif) switchport access vlan vlannum 把端口添加到 vlan 里面 S(configif) end 提出 vlan S(configif) switchport trunk encapsulation {isl|dotlq} 設(shè)置 vlan 的加密方式 S(configif) switchport trunk allowed vlan remove vlanlist 設(shè)置禁止通過的 vlan S(configif) switchport trunk allowed vlan add vlanlist 設(shè)置允許通過的 vlan VLAN 之間的通信 隨著交換機(jī)應(yīng)用的普及， VLAN 技術(shù)的應(yīng)用也越來越廣泛。眾所周知， VLAN技術(shù)的主要作用是可將分布于不同地理位置的計算機(jī)按工作需要組合成一個邏輯網(wǎng)絡(luò)，同時 VLAN 的劃分可縮小廣播域，以提高網(wǎng)絡(luò)傳輸速度，由于處于不同VLAN 的計算機(jī)之間不能直接通信，從而使網(wǎng)絡(luò)的安全性能得到了很大提高。但事實上在很多網(wǎng)絡(luò)中要求處于不同 VLAN 中的計算機(jī)間能夠相互通信，如何解決鄭州信息科技職業(yè)學(xué)院校園網(wǎng)建設(shè)方案 23 VLAN 間的通信問題是我們在規(guī)劃 VLAN 時必須認(rèn)真考慮的問題。在校園網(wǎng)絡(luò)發(fā)展的初期，網(wǎng)絡(luò)中只有 10%~20%的信息在 VLAN 之間傳播，但隨著多媒體技術(shù)在校園網(wǎng)絡(luò)中應(yīng)用的迅速普及， VLAN 之間信息的傳輸量增加了許多倍，如果 VLAN 之間的通信問題解決得不好，將嚴(yán)重影響網(wǎng)絡(luò)的使用和安全。 在 LAN 內(nèi)的通信，是通過數(shù)據(jù)幀頭中指定通信目標(biāo)的 MAC 地址來完成的。而為了獲取 MAC 地址， TCP/IP 協(xié)議下使用 ARP 地址協(xié)議解析 MAC 地址的方法是通過廣播報文來實現(xiàn)的，如果廣播報文無法到達(dá)目的地，那么就無從解析 MAC 地址，亦即無 法直接通信。當(dāng)計算機(jī)分屬不同的 VLAN 時，就意味著分屬不同的廣播域，自然收不到彼此的廣播報文。因此，屬于不同 VLAN 的計算機(jī)之間無法直接互相通信。為了能夠在 VLAN 間通信，需要利用 OSI 參照模型中更高一層 —— 網(wǎng)絡(luò)層的信息（ IP 地址）來進(jìn)行路由。在目前的網(wǎng)絡(luò)互連設(shè)備中能完成路由功能的設(shè)備主要有路由器和三層以上的交換機(jī)。 1)通過路由器實現(xiàn) VLAN 間的通信 使用路由器實現(xiàn) VLAN 間通信時，路由器與交換機(jī)的連接方式有兩種。第一種通過路由器的不同物理接口與交換機(jī)上的每個 VLAN 分別連接。第二種通過路由器的邏輯子接口 與交換機(jī)的各個 VLAN 連接。 2)通過路由器的不同物理接口與交換機(jī)上的每個 VLAN 分別連接 這種方式的優(yōu)點是管理簡單，缺點是網(wǎng)絡(luò)擴(kuò)展難度大。每增加一個新的 VLAN，都需要消耗路由器的端口和交換機(jī)上的訪問鏈接，而且還需要重新布設(shè)一條網(wǎng)線。而路由器，通常不會帶有太多 LAN 接口的。新建 VLAN 時，為了對應(yīng)增加的VLAN 所需的端口，就必須將路由器升級成帶有多個 LAN 接口的高端產(chǎn)品，這部分成本、還有重新布線所帶來的開銷，都使得這種接線法成為一種不受歡迎的辦法。 3)通過路由器的邏輯子接口與交換機(jī)的各個 VLAN 連接