【正文】 參 考 文 獻(xiàn)[1]吳功宜.《計(jì)算機(jī)網(wǎng)絡(luò)》.北京：清華大學(xué)出版社，2007:7884 [2] Tere’ Parnell 鄭巖 鄭義 彭程等 譯.《構(gòu)建高速網(wǎng)絡(luò)》北京：人民郵電出版社，2006[3]狄曉理.《計(jì)算機(jī)世界技術(shù)與應(yīng)用》北京：北京大學(xué)出版社，2007:113119[4]陳強(qiáng)，程昌品，鄧九英.《校園網(wǎng)建設(shè)與管理的現(xiàn)狀及思考》北京：清華大學(xué)出版社，2007:7884[5]．計(jì)算機(jī)應(yīng)用文摘，1999．第四期。靈活性布線(xiàn)系統(tǒng)能夠滿(mǎn)足靈活應(yīng)用的要求，即任一信息點(diǎn)能夠連接不同類(lèi)型的設(shè)計(jì)，如計(jì)算機(jī)、打印機(jī)、終端或電話(huà)、傳真機(jī)?；痉婪稙榱朔乐惯@種類(lèi)型的攻擊，Catalyst DHCP偵聽(tīng)（DHCP Snooping）功能可有效阻止此類(lèi)攻擊，當(dāng)打開(kāi)此功能，所有用戶(hù)端口除非特別設(shè)置，被認(rèn)為不可信任端口，不應(yīng)該作出任何DHCP響應(yīng)，因此欺詐DHCP響應(yīng)包被交換機(jī)阻斷，合法的DHCP服務(wù)器端口或上連端口應(yīng)被設(shè)置為信任端口。 Restrict：丟棄非法流量，報(bào)警（四） DHCP Snooping技術(shù)概述DHCP Snooping技術(shù)是DHCP安全特性，通過(guò)建立和維護(hù)DHCP Snooping綁定表過(guò)濾不可信任的DHCP信息，這些信息是指來(lái)自不信任區(qū)域的DHCP信息。 Shutdown：端口關(guān)閉。 對(duì)于超過(guò)規(guī)定數(shù)量的MAC處理進(jìn)行違背處理端口上學(xué)習(xí)或通過(guò)哪些MAC地址，可以通過(guò)靜態(tài)手工定義，也可以在交換機(jī)自動(dòng)學(xué)習(xí)。動(dòng)態(tài)端口安全則設(shè)置端口允許合法MAC地址的數(shù)目，并以一定時(shí)間內(nèi)所學(xué)習(xí)到的地址作為合法MAC地址。（三）MAC泛濫攻擊防范方法限制單個(gè)端口所連接MAC地址的數(shù)目可以有效防止類(lèi)似macof工具和SQL蠕蟲(chóng)病毒發(fā)起的攻擊，macof可被網(wǎng)絡(luò)用戶(hù)用來(lái)產(chǎn)生隨機(jī)源MAC地址和隨機(jī)目的MAC地址的數(shù)據(jù)包，可以在不到10秒的時(shí)間內(nèi)填滿(mǎn)交換機(jī)的CAM表。 Port Security216。 MAC地址泛濫攻擊216。所以，僅僅基于認(rèn)證（如IEEE ）和訪(fǎng)問(wèn)控制列表（ACL，Access Control Lists）的安全措施是無(wú)法防止本文中提到的來(lái)自網(wǎng)絡(luò)第二層的安全攻擊。木馬、蠕蟲(chóng)病毒的攻擊不僅僅是攻擊和欺騙，同時(shí)還會(huì)帶來(lái)網(wǎng)絡(luò)流量加大、設(shè)備CPU利用率過(guò)高、二層生成樹(shù)環(huán)路、網(wǎng)絡(luò)癱瘓等現(xiàn)象。如果不能及時(shí)對(duì)故障源準(zhǔn)確地定位、迅速地隔離，將會(huì)導(dǎo)致嚴(yán)重的后果，即使在網(wǎng)絡(luò)恢復(fù)正常后隱患依然存在。當(dāng)出現(xiàn)IP地址被非法使用、IP地址沖突，或網(wǎng)絡(luò)出現(xiàn)異常流量包括由于網(wǎng)絡(luò)掃描、病毒感染和網(wǎng)絡(luò)攻擊產(chǎn)生的流量，為了查找這些IP地址的機(jī)器，一般采用如下步驟： 1. 確定出現(xiàn)問(wèn)題的IP地址。這些病毒，可以在極短的時(shí)間內(nèi)迅速感染大量系統(tǒng)，甚至造成網(wǎng)絡(luò)癱瘓和信息失竊，給客戶(hù)造成嚴(yán)重?fù)p失。如果黑客想探聽(tīng)同一網(wǎng)絡(luò)中兩臺(tái)主機(jī)之間的通信（即使是通過(guò)交換機(jī)相連），他會(huì)分別給這兩臺(tái)主機(jī)發(fā)送一個(gè)ARP 應(yīng)答包，讓兩臺(tái)主機(jī)都“誤”認(rèn)為對(duì)方的MAC地址是第三方黑客所在的主機(jī)，這樣，雙方看似“直接”的通信連接，實(shí)際上都是通過(guò)黑客所在的主機(jī)間接進(jìn)行的。另一個(gè)顯著的問(wèn)題就是帶有攻擊特性的ARP欺騙。 重復(fù)的IP地址與已經(jīng)分配且正在局域網(wǎng)運(yùn)行的合法的IP地址發(fā)生資源沖突，使合法用戶(hù)無(wú)法上網(wǎng)252。由于終端用戶(hù)可以自由修改IP地址，從而產(chǎn)生了IP地址非法使用問(wèn)題。l 木馬、蠕蟲(chóng)病毒攻擊導(dǎo)致的信息失竊、網(wǎng)絡(luò)癱瘓問(wèn)題。同時(shí)也提供了特殊筆刷如壓力筆、書(shū)寫(xiě)筆、噴灑器等，以便充分地利用電腦處理信息量大，隨機(jī)控制能力高的特點(diǎn)。作為一個(gè)強(qiáng)大的繪圖軟件，它被喜愛(ài)的程度可用下面的事實(shí)說(shuō)明：用作商業(yè)設(shè)計(jì)和美術(shù)設(shè)計(jì)的PC機(jī)幾乎都安裝了CorelDraw！ CorelDraw是基于矢量圖的軟件色。它可以在克隆過(guò)程中自動(dòng)分區(qū)并格式化目的磁盤(pán)，而無(wú)需任何準(zhǔn)備工作。在校園內(nèi)部信息交流是非常頻繁，所以有必要在網(wǎng)絡(luò)中使用WINdows2003 SERVER架設(shè)起一個(gè)FTP服務(wù)器。一般校園網(wǎng)絡(luò)，服務(wù)器系統(tǒng)平臺(tái)可以選擇微軟WINDOWS2003 SERVER操作系統(tǒng)的解決方案，提供域名服務(wù)、WWW服務(wù)、FTP服務(wù)、E－mail服務(wù)等。7. IP Multicast由于校園校區(qū)網(wǎng)絡(luò)中包含許多多媒體應(yīng)用通信，會(huì)存在許多的廣播信息，占用大量的帶寬資源。校區(qū)網(wǎng)絡(luò)與校園網(wǎng)相連后具有“防火墻”過(guò)濾功能，以防止網(wǎng)絡(luò)黑客入侵網(wǎng)絡(luò)系統(tǒng)。隨著網(wǎng)絡(luò)中多媒體的應(yīng)用越來(lái)越多，這類(lèi)應(yīng)用對(duì)服務(wù)質(zhì)量的要求較高，本網(wǎng)絡(luò)系統(tǒng)應(yīng)能保證QoS，以支持這類(lèi)應(yīng)用。為此應(yīng)選用高帶寬的先進(jìn)技術(shù)。由于校園校區(qū)網(wǎng)絡(luò)網(wǎng)絡(luò)應(yīng)用的特殊性,它對(duì)整個(gè)網(wǎng)絡(luò)系統(tǒng)的性能要求相對(duì)來(lái)說(shuō)比較高。選擇校園網(wǎng)網(wǎng)絡(luò)需求特點(diǎn)的主流網(wǎng)絡(luò)技術(shù)，不但能保證網(wǎng)絡(luò)的高性能，還能保證網(wǎng)絡(luò)的先進(jìn)性和擴(kuò)展性，能夠在未來(lái)向更新技術(shù)平滑過(guò)渡，保護(hù)用戶(hù)的投資。保護(hù)現(xiàn)有投資的有效途徑就是在將來(lái)網(wǎng)絡(luò)技術(shù)升級(jí)時(shí)還能使用現(xiàn)有的網(wǎng)絡(luò)技術(shù)和產(chǎn)品。 FDDI也是一種成熟的組網(wǎng)技術(shù)，但技術(shù)復(fù)雜、造價(jià)高，F(xiàn)DDI網(wǎng)絡(luò)難以向更先進(jìn)的網(wǎng)絡(luò)技術(shù)升級(jí)，現(xiàn)在用FDDI組建主干網(wǎng)的情況已非常少見(jiàn)。目前在局域網(wǎng)絡(luò)上應(yīng)用最廣泛的技術(shù)有以太網(wǎng)、快速以太網(wǎng)、FDDI、Token Ring以及最新崛起的ATM（異步傳輸模式）、千兆以太網(wǎng)等。另外交換機(jī)可以實(shí)現(xiàn)專(zhuān)用VLAN技術(shù)，可以通過(guò)配置選擇實(shí)現(xiàn)在同一VLAN內(nèi)用戶(hù)是否可以互通，進(jìn)行數(shù)據(jù)交換。 規(guī)劃每個(gè)網(wǎng)段中的信息點(diǎn)數(shù)時(shí)，既要考慮到當(dāng)前IP地址資源的充分利用性，又要預(yù)留出適當(dāng)?shù)臄U(kuò)展余地，因此如果采用私網(wǎng)地址分配IP， ，根據(jù)具體的部門(mén)情況再分為具體的子網(wǎng)。主要是因?yàn)閭鹘y(tǒng)的網(wǎng)絡(luò)平臺(tái)局限于設(shè)備的地理位置，無(wú)法跨地域進(jìn)行靈活規(guī)劃。 園區(qū)網(wǎng)分配IP地址方案 ，一個(gè)有效的IP地址規(guī)劃或IP地址方案就是在地址資源的效率性和管理的方便性之間找到最佳的平衡點(diǎn)。（四）IP地址規(guī)劃通過(guò)Proxy或NAT方式使私有地址能夠訪(fǎng)問(wèn)公網(wǎng)資源 在申請(qǐng)的公網(wǎng)IP地址不能完全滿(mǎn)足每個(gè)信息點(diǎn)一個(gè)的情況下，可以采用公網(wǎng)地址與私網(wǎng)地址結(jié)合的方式。如：路由器和交換機(jī)的組內(nèi)廣播功能可為多媒體信息的傳輸提供更高的服務(wù)質(zhì)量；而catalyst2900之間建立快速以太網(wǎng)通道，在全雙工模式下達(dá)到400M的高速級(jí)聯(lián)；此外， 850路由器兼任了防火墻－－思科公司系列中、低端路由器都可以通過(guò)操作系統(tǒng)升級(jí)具備防火墻性能，在承擔(dān)遠(yuǎn)程連接的同時(shí)實(shí)施數(shù)據(jù)包檢驗(yàn)和過(guò)濾，防止非法用戶(hù)侵入到內(nèi)部局域網(wǎng)中－－對(duì)連接到Internet這一開(kāi)放網(wǎng)絡(luò)的。Catalyst2900交換機(jī)它提供了24個(gè)10/100M自適應(yīng)的快速以太網(wǎng)端口，這是一個(gè)全交換的網(wǎng)絡(luò)，相對(duì)共享式集線(xiàn)器而言，交換機(jī)各端口擁有獨(dú)占的帶寬，能實(shí)現(xiàn)多路并行傳輸，不易發(fā)生沖突，能為多媒體信息提供更好的保障?？紤]到該學(xué)校的具體情況如性質(zhì)、規(guī)模、財(cái)務(wù)等，這是一個(gè)相對(duì)小型的校園網(wǎng)絡(luò)，單一建筑內(nèi)的網(wǎng)絡(luò)應(yīng)用，我們提出以下校園網(wǎng)解決方案： 方案特點(diǎn)如下： （1） 支持多媒體應(yīng)用，包括多媒體教室、電子閱覽室、多媒體教學(xué)； （2） 高性能，全交換，滿(mǎn)足用戶(hù)需求； （3）管理簡(jiǎn)單，瀏覽器方式無(wú)需專(zhuān)門(mén)培訓(xùn)； （4）系統(tǒng)安全，保密性高； （5）ADSL連接方式，按需建立連接降低鏈路費(fèi)用。（3） 支持通用的的網(wǎng)絡(luò)管理軟件，如Cisco Ciscoworks、HP Open View、3Com Trensand。(5) 可以對(duì)所有的重要事件進(jìn)行Log，這樣方便網(wǎng)絡(luò)管理員進(jìn)行故障查找；(6) 可以對(duì)所有的Telnet以及SNMP的訪(fǎng)問(wèn)進(jìn)行限制，從而最大程度地保證匯聚層系統(tǒng)地安全。(2) 在核心節(jié)點(diǎn)可提供基于地址的Accesslist，以控制用戶(hù)對(duì)于關(guān)鍵資源的訪(fǎng)問(wèn)。網(wǎng)絡(luò)產(chǎn)品應(yīng)提供對(duì)用戶(hù)帶寬控制的功能。（2）所選擇的設(shè)備都具有良好的軟件再升級(jí)能力。網(wǎng)絡(luò)的擴(kuò)展性對(duì)網(wǎng)絡(luò)業(yè)務(wù)的發(fā)展至關(guān)重要，它直接決定了校園網(wǎng)是否能夠在節(jié)約成本的基礎(chǔ)上跟上網(wǎng)絡(luò)技術(shù)的發(fā)展和滿(mǎn)足學(xué)校信息不斷增長(zhǎng)的需要，一個(gè)擴(kuò)展性差的網(wǎng)絡(luò)不僅為學(xué)校的投資造成了巨大的浪費(fèi)，同時(shí)又無(wú)法滿(mǎn)足學(xué)校網(wǎng)絡(luò)業(yè)務(wù)不斷發(fā)展和信息的增長(zhǎng)的需要，為了保證網(wǎng)絡(luò)能夠不斷的適應(yīng)學(xué)校網(wǎng)絡(luò)業(yè)務(wù)今后發(fā)展的不斷需求，可以采用以下的措施來(lái)保證網(wǎng)絡(luò)的擴(kuò)展性。提供完善的用戶(hù)管理機(jī)制，實(shí)現(xiàn)全面的用戶(hù)認(rèn)證、鑒權(quán)和計(jì)費(fèi)(AAA)功能。會(huì)聚層交換連接核心和接入層，應(yīng)當(dāng)采用帶V