【正文】 我也要感謝 學(xué)校 ，是 它 提供了良好的學(xué)習(xí)環(huán)境和生活環(huán)境，讓我的大學(xué)生活豐富多姿，為我的人生留下精彩的一筆。正是張老師的無(wú)私幫助與熱忱鼓勵(lì)，我的畢業(yè)論文才能夠得以順利完成，謝謝 張 老師。他為人隨和熱情，治學(xué)嚴(yán)謹(jǐn)細(xì)心。如今，伴隨著這篇畢業(yè)論文的最終成稿，復(fù)雜的心情 煙消云散，自己甚至還有一點(diǎn)成就感。在實(shí)施校園網(wǎng)建設(shè)中，需要做好調(diào)查研究、統(tǒng)籌規(guī)劃、合理設(shè)計(jì)和精心組織，只有這樣才能組建一個(gè)安全可靠、技術(shù)先進(jìn)、功能豐富的校園網(wǎng)系統(tǒng)。實(shí)際中校園網(wǎng)的建設(shè)需要考慮的因素很多。 對(duì)高校校園網(wǎng)絡(luò)進(jìn)行了安全風(fēng)險(xiǎn)分析 ,分別針對(duì)網(wǎng)絡(luò)內(nèi)部和外部的安全措施進(jìn)行了研究，通過(guò)指定不同的安全策略來(lái)達(dá)到特定的安全要求。 論文對(duì)高校校園網(wǎng)的組網(wǎng)需求進(jìn)行了分析，比較了各種組 網(wǎng)技術(shù)的優(yōu)缺點(diǎn) , 參照了當(dāng)前諸多校園網(wǎng)和金融網(wǎng)絡(luò)方面的相關(guān)組網(wǎng)形式和成熟的網(wǎng)絡(luò)技術(shù)，從實(shí)用的角度重點(diǎn)論述了校園網(wǎng)的結(jié)構(gòu)選型、網(wǎng)絡(luò)層次結(jié)構(gòu)、系統(tǒng)總體設(shè)計(jì)、設(shè)備選型、三層交換技術(shù)和網(wǎng)絡(luò)安全研究等。 擁塞控制 CajunP130系列交換機(jī)中采用 AVAYA公司獲專(zhuān)利的極其先進(jìn)的主動(dòng)式擁塞控制技術(shù)，保證交換機(jī)在極端負(fù)載的情況下不會(huì)有任何包丟失，從而保證網(wǎng)絡(luò)的整體性能不會(huì)因包丟失而降低。 業(yè)界領(lǐng)先的網(wǎng)絡(luò)管理功能 AVAYA公司是世界上第一個(gè)實(shí)現(xiàn)對(duì)交換機(jī)進(jìn)行 SMON管理的公司，今天，朗訊公司在工西安培華學(xué)院本科畢業(yè)論文（設(shè)計(jì)） 大學(xué)校園網(wǎng)網(wǎng)絡(luò)組建及 Inter 接入方案 28 作組交換機(jī)上實(shí)現(xiàn) SMON功能的廠家，利用 SMON功能，用戶(hù)可以很容易地監(jiān)視交換機(jī)每個(gè)端口的流量和狀態(tài)，實(shí)現(xiàn)整個(gè)網(wǎng)絡(luò)的優(yōu)化和加快網(wǎng)絡(luò)故障的排除。 強(qiáng)大的虛擬網(wǎng)功能 CajunP130系列交換機(jī)能支持 3000個(gè) VLAN，并且具有 AVAYA公司獨(dú)有的 Global功能，即公共端口功能，該功能可使分布在不同虛擬網(wǎng)內(nèi)的用戶(hù)訪問(wèn)公共的服務(wù)器、打印機(jī)或 其它公共資源，而不用購(gòu)買(mǎi)昂貴的多口路由器來(lái)實(shí)現(xiàn)不同虛擬網(wǎng)之間訪問(wèn)公共服務(wù)器的應(yīng)用。 樓層交換機(jī)技術(shù)特點(diǎn) 高性能 CajunP130系列交換機(jī)具有極高的性能，背板總線為 4/，采用 ASIC芯片的分布式并行處理技術(shù)，使得 CajunP130交換機(jī)具有高達(dá)每秒 ，完全保證每個(gè)交換端口真正達(dá)到線速。至強(qiáng) ? 處理 器， Intel EM64T； 512K全速二級(jí)緩存 ； 512MB標(biāo)配 /16GB 最大 PC23200 400MHz ECC DDR2內(nèi)存； SCSI Ultra 160 1萬(wàn)轉(zhuǎn)硬盤(pán) ； DVD光驅(qū) ； 6組 SCSI熱插拔硬盤(pán)槽位 560W電源 ； 集成的千兆以太網(wǎng) 卡 ； Intel174。 產(chǎn)品特性 Cisco2621路由器具有如下一些產(chǎn)品特性 ： （ 1） 、 1個(gè)網(wǎng)絡(luò)模塊插槽， 2個(gè) WIC廣域接口卡插槽 ； （ 2） 、 支持的局域網(wǎng)接口類(lèi)型包括以太網(wǎng)、快速 以太網(wǎng)、令牌環(huán) ； （ 3） 、 支持的廣域網(wǎng)接口類(lèi)型包括同步串口、異步串口、同 /異步自適應(yīng)串口、 ISDN、ERI、 ISDN PRI、 ATM、 Channelized E1等； （ 4） 、 可支持多種網(wǎng)絡(luò)協(xié)議，包括 IP、 Novell IPX、 Appletalk和 DEC等等 ； （ 5） 、 可支持多達(dá) 60路 Voice over IP，實(shí)現(xiàn)數(shù)據(jù)網(wǎng)絡(luò)與語(yǔ)音網(wǎng)絡(luò)的融合 ； （ 6） 、 通用性 /投資保護(hù)－可以現(xiàn)場(chǎng)更新模塊化接口，能夠啟動(dòng)數(shù)以千計(jì)的定制化解決方案，并能夠輕松地適應(yīng)未來(lái)網(wǎng)絡(luò)發(fā)展的要求過(guò)渡 ； （ 7） 、 集成 /可管理性 降低擁有成 本，簡(jiǎn)化遠(yuǎn)程管理，提供結(jié)合 CSU/NSU、復(fù)用器、調(diào)制解調(diào)器、語(yǔ)音 /數(shù)據(jù)網(wǎng)關(guān) /ISDN NTI、防火墻、 VPN、加密和壓縮設(shè)備的集成化網(wǎng)絡(luò)； （ 8） 、 多業(yè)務(wù)語(yǔ)音 /數(shù)據(jù)網(wǎng)絡(luò) 降低網(wǎng)絡(luò)管理費(fèi)用、話(huà)費(fèi) ； （ 9） 、 通過(guò)利用 Cisco IOS服務(wù) (QoS)特性 (例如 RSVP、 WFQ、承諾接入速率 [CAR]和隨機(jī)早期檢測(cè) [RED]，語(yǔ)音流量可以實(shí)現(xiàn)數(shù)字化并封裝在 IP數(shù)據(jù)包中，而且能夠與數(shù)據(jù)流量西安培華學(xué)院本科畢業(yè)論文（設(shè)計(jì)） 大學(xué)校園網(wǎng)網(wǎng)絡(luò)組建及 Inter 接入方案 27 相結(jié)合。 Cajun P133G2具有 24個(gè) 10/100M固定端口和 2個(gè)GBIC千兆端口。 Cajun130系列是 AVAYA公司推出的高性能可堆疊交換機(jī)系列產(chǎn)品，該產(chǎn)品是 10/100M自適應(yīng)工作組交換機(jī)，該交換機(jī)的背板帶寬為 ，提供每秒 吐量。 核心主交換機(jī)技術(shù)指標(biāo)如下： 機(jī)箱 ： 七個(gè)槽口， 6個(gè)用戶(hù)模塊槽口 (在全冗余配置下，只占用 2個(gè)插口 )； 背板帶寬 ： 55+Gbps (具有更高的擴(kuò)展能力 )； 10G萬(wàn)兆以太網(wǎng)就緒 ； 第二層交換可高達(dá) 40Mpps； 第三層路由可高達(dá) 40Mpps； 第二層及多層 (第二層 /第三層 )模塊 (軟件密鑰升級(jí) )； 支持 48個(gè)千兆位以太網(wǎng)絡(luò)端口， 288個(gè) 10/100以太網(wǎng)端口或 44個(gè)光纖快速以太網(wǎng)端口，具有 OC3/STM1和 OC12/STM4 ATM模塊； 容錯(cuò)式風(fēng)扇、電源、管理模塊、交換引擎背板 ； 獨(dú)特的 Open Trunk虛擬網(wǎng)協(xié)同工作能力 ； 支持服務(wù)等級(jí) /服務(wù)質(zhì)量 /RSVP； 1 隊(duì)列管理 ： 8個(gè)硬件優(yōu)先級(jí)隊(duì)列和優(yōu)化多點(diǎn)廣播的隊(duì)列管理引擎。這種均衡結(jié)構(gòu)能夠確保隨著模塊 /端口的增加，其交換或路由能力仍可滿(mǎn)足帶寬要求，從而保證了網(wǎng)絡(luò)的完整性和吞吐量，而沒(méi)有例可單一故障點(diǎn)。在這種結(jié)構(gòu)中，每個(gè)模塊 /端口均配有自己的交換陣列和 多層處理芯片。 在主樓中心機(jī)房放置一臺(tái) CajunP580千兆路由交換機(jī)作為高校校園網(wǎng)絡(luò)的核心交換機(jī) ； 在兩個(gè)遠(yuǎn)程區(qū)域分別根據(jù)其信息點(diǎn)的分布，分別采用 AVAYA P131G2和 AVAYAP134G2可堆疊式交換機(jī)；利用 AVAYA的 CajunView網(wǎng)管軟件實(shí)現(xiàn)對(duì)整個(gè)網(wǎng)絡(luò)的管理。在高校校園網(wǎng)絡(luò)的設(shè)計(jì)方案中，提供了多種安全性機(jī)制供用戶(hù)選擇組合，如認(rèn)證、授權(quán)、記賬 (審計(jì) )、數(shù)據(jù)加密、物理安全性等 [19]。 表 安全結(jié)構(gòu)體系的組成 安全體系結(jié)構(gòu) 主機(jī)系統(tǒng)認(rèn)證 VLAN設(shè)置 代理服務(wù)器設(shè)置 路由安全 防火墻系統(tǒng) 安全性機(jī)制 整個(gè)校園網(wǎng)的安全結(jié)構(gòu)不應(yīng)是僅僅添置某一安全設(shè)備，而需要建立在整個(gè)網(wǎng)絡(luò)系統(tǒng)的平臺(tái)上，服務(wù)器、交換機(jī)、路由器到撥號(hào)服務(wù)器及相關(guān)的軟硬件都應(yīng)該被視為網(wǎng)絡(luò)安全的一部分。由于校園網(wǎng)是一個(gè)相對(duì)比較開(kāi)放的系統(tǒng)，它和企業(yè)網(wǎng)有一定的區(qū)別，因此建議采用以下的安全結(jié)構(gòu)體系 [18]。 防火墻的防衛(wèi)重點(diǎn)是網(wǎng)絡(luò)傳輸，因此它不能保證高層協(xié)議及傳輸內(nèi)容的安全，另外 ，它也不能防止來(lái)自?xún)?nèi)部破壞者帶來(lái)的威脅。只設(shè)立防火墻系統(tǒng)，而沒(méi)有全面的安全策略，那么防火墻也形同虛設(shè)。 應(yīng)注意的是，防火墻不是路由器、堡壘主機(jī)或任何提供網(wǎng)絡(luò)安全的設(shè)備的組合，它是安全策略的一個(gè)有機(jī)的組成部分。代理服務(wù)器需要配置高性能的服務(wù)器。 其次，代理服務(wù)器是處于應(yīng)用傳輸層進(jìn)行控制的，所以可以對(duì)不同類(lèi)型的連接和數(shù)據(jù)包進(jìn)行控制，甚至功能強(qiáng)大的代理服務(wù)器還可對(duì)數(shù)據(jù)的內(nèi)容進(jìn)行監(jiān)視。 設(shè)置高性能的代理服務(wù)器 高性能的代理服務(wù)器可以提高網(wǎng)絡(luò)線路的利用率，而且它在安全性方 面更有其優(yōu)越的功能 [17]。 廣域網(wǎng)絡(luò)安全 前面提過(guò)，來(lái)自網(wǎng)絡(luò)內(nèi)部的攻擊是可以預(yù)測(cè)的，但來(lái)自網(wǎng)絡(luò)外部的攻擊則難以預(yù)測(cè)，因?yàn)榧夹g(shù)的發(fā)展使網(wǎng)絡(luò)攻擊變得更加容易。 對(duì)大量上網(wǎng)的學(xué) 生機(jī)器采用 “ 保留地址 ” ，這樣既節(jié)省了有效的地址資源，同時(shí)也將學(xué)生機(jī)器配置為一個(gè)相對(duì)獨(dú)立的網(wǎng)絡(luò)，通過(guò)代理服務(wù)器與外部網(wǎng)絡(luò)通信，增強(qiáng)了系統(tǒng)安全性和可管理性。 在交換機(jī)上設(shè)置虛擬網(wǎng)，把服務(wù)器單獨(dú)歸于一個(gè)虛擬網(wǎng)內(nèi)，其他可以根據(jù)不同的部門(mén)設(shè)置在不同虛擬網(wǎng)內(nèi)，從而防止客戶(hù)計(jì)算機(jī)與服務(wù)器的 IP地址沖突、不同部門(mén)之間護(hù)地址盜用的問(wèn)題。但相對(duì)而言，內(nèi)部的安全問(wèn)題可以預(yù)測(cè)，并可依此制定相應(yīng)的防范措施，防止來(lái)自單位內(nèi)部的非法訪問(wèn)和惡意破壞。對(duì)于網(wǎng)絡(luò)資產(chǎn)包括網(wǎng)絡(luò)主機(jī) (主機(jī)的操作系統(tǒng)、應(yīng)用程序和數(shù)據(jù) )、網(wǎng)絡(luò)互連設(shè)備 (如交換機(jī)和路由器 )以及整個(gè)網(wǎng)絡(luò)上的數(shù)據(jù)都應(yīng)該采取有效的措施進(jìn)行保護(hù)。 表 內(nèi) 容 功 能 訪 問(wèn) 控 制 通過(guò)特定網(wǎng)段、服務(wù)建立的訪問(wèn)控制體系，將絕大多數(shù)攻擊阻止在到達(dá)目標(biāo)之前 檢查安全漏洞 通過(guò)對(duì)安全漏洞的周期檢查，即使攻擊可到達(dá)攻擊目標(biāo)，也可使絕大多數(shù)攻擊無(wú)效 攻 擊 監(jiān) 控 通過(guò)對(duì)特定網(wǎng)段、服務(wù)建立的攻擊監(jiān)控體系，可實(shí)時(shí)檢測(cè)出絕大多數(shù)攻擊，并采取響應(yīng)的行動(dòng) (如斷開(kāi)網(wǎng)絡(luò)連接、記錄攻擊過(guò)程、跟蹤攻擊源等 ) 加 密 通 信 主動(dòng)的加密通信，使攻擊者不能了解、修改敏感信息 認(rèn) 證 良好的認(rèn)證體系可以防止攻擊者假冒合法用戶(hù) 備份和恢復(fù) 良好的備份和恢復(fù)機(jī)制，可在攻擊造成損失時(shí)盡快的恢復(fù)數(shù)據(jù)和系統(tǒng)服務(wù) 多 層 防 御 當(dāng)攻擊者在突破第一道防線后，延緩或阻斷其到達(dá)攻擊目標(biāo) 設(shè)立安全監(jiān)控中心 為信息系統(tǒng)提供安全體系管理、監(jiān)控、保護(hù)及緊急情況服務(wù) 安全風(fēng)險(xiǎn)分析 由于高校校園網(wǎng)絡(luò)用戶(hù)眾多，支撐著相當(dāng)多的重要應(yīng)用，因此高校校園 網(wǎng)絡(luò)的安全顯西安培華學(xué)院本科畢業(yè)論文（設(shè)計(jì)） 大學(xué)校園網(wǎng)網(wǎng)絡(luò)組建及 Inter 接入方案 22 得特別重要。網(wǎng)絡(luò)應(yīng)用系統(tǒng)的安全體系應(yīng)包含如表 示的內(nèi)容。 一個(gè)系統(tǒng)存在的安全問(wèn)題可能來(lái)源于兩個(gè)方面 ： 安全控制機(jī)構(gòu)有故障或系統(tǒng)安全定義有缺陷。 網(wǎng)絡(luò)的安全策略主要針對(duì)兩種情況，一是網(wǎng)絡(luò)系統(tǒng)自身的安全問(wèn)題，如路由器的安全隱患、匿名 FTP的安全隱患、 Tel的安全隱患等，可以通過(guò)對(duì)各種關(guān)鍵系統(tǒng)設(shè)備加以控制來(lái)消除；另一種是給用戶(hù)提供的各種服務(wù)是否安全，主要體現(xiàn)在網(wǎng)絡(luò) 應(yīng)用上，如用戶(hù)的數(shù)據(jù)或信息在網(wǎng)絡(luò)傳遞過(guò)程中的安全控制。網(wǎng)絡(luò)系統(tǒng)中的安全問(wèn)題包括網(wǎng)絡(luò)中信息系統(tǒng)的安全性和網(wǎng)絡(luò)本身固有的安全性。通過(guò) IGMP和 DVMRP還可以實(shí)現(xiàn)多點(diǎn)廣播 的本地或廣域傳輸。 西安培華學(xué)院本科畢業(yè)論文（設(shè)計(jì)） 大學(xué)校園網(wǎng)網(wǎng)絡(luò)組建及 Inter 接入方案 20 組播支持 AVAYA的 Cajun交換設(shè)備支持的多播路由協(xié)議有：支持多播組用戶(hù)的注冊(cè)或取消的IGMP(Inter Group Management Protocol)，通過(guò) IGMP實(shí)現(xiàn)交換機(jī)本地多播用戶(hù)的監(jiān)控與多播的發(fā)送。 第三層交換技術(shù)的實(shí)現(xiàn)可分兩類(lèi)：一類(lèi)可歸為“路由一次，交換多次”；另一類(lèi)是基于高性能硬件的線速路由器。 第三層交換技術(shù) 第三層交換的實(shí)質(zhì)是路由，類(lèi)似于 IP子網(wǎng)間的數(shù)據(jù)交換機(jī)制。 圖 VLAN圖例 VLAN的概念 [14]主要是根據(jù)網(wǎng)絡(luò)管理的要求而提出來(lái) 的，同時(shí)還可以提供一些安全的功能，也可以部分的優(yōu)化網(wǎng)絡(luò)的性能。 VLAN 的設(shè)計(jì) 虛擬局域網(wǎng) (VLAN)就是一個(gè)計(jì)算機(jī)網(wǎng)絡(luò)，其中的計(jì)算機(jī)好像是被同一網(wǎng)線連接在一起，而實(shí)際上它們分別處于局域網(wǎng)不同區(qū)域，是一組邏輯上的設(shè)備或用戶(hù)。 西安培華學(xué)院本科畢業(yè)論文（設(shè)計(jì)） 大學(xué)校園網(wǎng)網(wǎng)絡(luò)組建及 Inter 接入方案 19 圖 高校網(wǎng)絡(luò)拓?fù)鋱D 多協(xié)議處理及路由能力設(shè)計(jì) 由于高校校園網(wǎng)絡(luò)的用戶(hù)和應(yīng)用眾多，需要網(wǎng)絡(luò)能夠提供各種應(yīng)用和多協(xié)議的支持。接入層可采用堆疊技術(shù)，大大提高整堆疊交換機(jī)背板性能、交換能力等，同時(shí)具有更大的靈活性和可擴(kuò)展性。核心層提供整個(gè) 網(wǎng)絡(luò)的中心多層路由、交換能力；分布層是網(wǎng)絡(luò)匯聚層，提供接入層與核心層相連的光纖匯聚點(diǎn)，減輕了核心層路由交換機(jī)的負(fù)載，同時(shí)保證了設(shè)備的統(tǒng)一性，為將來(lái)網(wǎng)絡(luò)維護(hù)和管理提供了極大的便利；接入層向用戶(hù)提供桌面 10/100M連接和本地的交換能力。第三層交換骨干網(wǎng)有以下幾方面的優(yōu)點(diǎn) ： 更少的路由對(duì)等 ； 無(wú)生成樹(shù)環(huán)路的靈活拓?fù)浣Y(jié)構(gòu) ； 骨干網(wǎng)中對(duì)多點(diǎn)發(fā)送與廣播業(yè)務(wù)可進(jìn)行控制 ； 可擴(kuò)展到任意規(guī)模 ： 每個(gè)分布層交換機(jī)有兩條等成本路徑與每個(gè)目的地網(wǎng)絡(luò)相連，任何鏈路故障的恢復(fù)非常迅速，可為骨干網(wǎng)提供雙倍的中繼容量。 圖 第三層交換式模型 西安培華學(xué)院本科畢業(yè)論文（設(shè)計(jì)） 大學(xué)校園網(wǎng)網(wǎng)絡(luò)組建及 Inter 接入方案 18 在這種模型中，最靈活、最具可擴(kuò)展性 的網(wǎng)絡(luò)是由第三層交換機(jī)組成。骨干網(wǎng)中的所有鏈路均為路由鏈路，因此網(wǎng)絡(luò)中不會(huì)出現(xiàn)生成樹(shù)環(huán)路。 圖 部分網(wǎng)狀骨干網(wǎng)模型 第三層交換模式 第三層交換式骨干網(wǎng) [13]可以支持任何拓?fù)浣Y(jié)構(gòu)，因?yàn)橐恍?fù)雜的路由協(xié)議 (如 (O