【正文】 我也要感謝 學校 ，是 它 提供了良好的學習環(huán)境和生活環(huán)境，讓我的大學生活豐富多姿，為我的人生留下精彩的一筆。正是張老師的無私幫助與熱忱鼓勵，我的畢業(yè)論文才能夠得以順利完成，謝謝 張 老師。他為人隨和熱情，治學嚴謹細心。如今，伴隨著這篇畢業(yè)論文的最終成稿，復雜的心情 煙消云散，自己甚至還有一點成就感。在實施校園網(wǎng)建設中，需要做好調查研究、統(tǒng)籌規(guī)劃、合理設計和精心組織，只有這樣才能組建一個安全可靠、技術先進、功能豐富的校園網(wǎng)系統(tǒng)。實際中校園網(wǎng)的建設需要考慮的因素很多。 對高校校園網(wǎng)絡進行了安全風險分析 ,分別針對網(wǎng)絡內部和外部的安全措施進行了研究，通過指定不同的安全策略來達到特定的安全要求。 論文對高校校園網(wǎng)的組網(wǎng)需求進行了分析，比較了各種組 網(wǎng)技術的優(yōu)缺點 , 參照了當前諸多校園網(wǎng)和金融網(wǎng)絡方面的相關組網(wǎng)形式和成熟的網(wǎng)絡技術，從實用的角度重點論述了校園網(wǎng)的結構選型、網(wǎng)絡層次結構、系統(tǒng)總體設計、設備選型、三層交換技術和網(wǎng)絡安全研究等。 擁塞控制 CajunP130系列交換機中采用 AVAYA公司獲專利的極其先進的主動式擁塞控制技術，保證交換機在極端負載的情況下不會有任何包丟失，從而保證網(wǎng)絡的整體性能不會因包丟失而降低。 業(yè)界領先的網(wǎng)絡管理功能 AVAYA公司是世界上第一個實現(xiàn)對交換機進行 SMON管理的公司，今天，朗訊公司在工西安培華學院本科畢業(yè)論文（設計） 大學校園網(wǎng)網(wǎng)絡組建及 Inter 接入方案 28 作組交換機上實現(xiàn) SMON功能的廠家，利用 SMON功能，用戶可以很容易地監(jiān)視交換機每個端口的流量和狀態(tài)，實現(xiàn)整個網(wǎng)絡的優(yōu)化和加快網(wǎng)絡故障的排除。 強大的虛擬網(wǎng)功能 CajunP130系列交換機能支持 3000個 VLAN，并且具有 AVAYA公司獨有的 Global功能，即公共端口功能，該功能可使分布在不同虛擬網(wǎng)內的用戶訪問公共的服務器、打印機或 其它公共資源，而不用購買昂貴的多口路由器來實現(xiàn)不同虛擬網(wǎng)之間訪問公共服務器的應用。 樓層交換機技術特點 高性能 CajunP130系列交換機具有極高的性能，背板總線為 4/，采用 ASIC芯片的分布式并行處理技術，使得 CajunP130交換機具有高達每秒 ，完全保證每個交換端口真正達到線速。至強 ? 處理 器， Intel EM64T； 512K全速二級緩存 ； 512MB標配 /16GB 最大 PC23200 400MHz ECC DDR2內存； SCSI Ultra 160 1萬轉硬盤 ； DVD光驅 ； 6組 SCSI熱插拔硬盤槽位 560W電源 ； 集成的千兆以太網(wǎng) 卡 ； Intel174。 產品特性 Cisco2621路由器具有如下一些產品特性 ： （ 1） 、 1個網(wǎng)絡模塊插槽， 2個 WIC廣域接口卡插槽 ； （ 2） 、 支持的局域網(wǎng)接口類型包括以太網(wǎng)、快速 以太網(wǎng)、令牌環(huán) ； （ 3） 、 支持的廣域網(wǎng)接口類型包括同步串口、異步串口、同 /異步自適應串口、 ISDN、ERI、 ISDN PRI、 ATM、 Channelized E1等； （ 4） 、 可支持多種網(wǎng)絡協(xié)議，包括 IP、 Novell IPX、 Appletalk和 DEC等等 ； （ 5） 、 可支持多達 60路 Voice over IP，實現(xiàn)數(shù)據(jù)網(wǎng)絡與語音網(wǎng)絡的融合 ； （ 6） 、 通用性 /投資保護－可以現(xiàn)場更新模塊化接口，能夠啟動數(shù)以千計的定制化解決方案，并能夠輕松地適應未來網(wǎng)絡發(fā)展的要求過渡 ； （ 7） 、 集成 /可管理性 降低擁有成 本，簡化遠程管理，提供結合 CSU/NSU、復用器、調制解調器、語音 /數(shù)據(jù)網(wǎng)關 /ISDN NTI、防火墻、 VPN、加密和壓縮設備的集成化網(wǎng)絡； （ 8） 、 多業(yè)務語音 /數(shù)據(jù)網(wǎng)絡 降低網(wǎng)絡管理費用、話費 ； （ 9） 、 通過利用 Cisco IOS服務 (QoS)特性 (例如 RSVP、 WFQ、承諾接入速率 [CAR]和隨機早期檢測 [RED]，語音流量可以實現(xiàn)數(shù)字化并封裝在 IP數(shù)據(jù)包中，而且能夠與數(shù)據(jù)流量西安培華學院本科畢業(yè)論文（設計） 大學校園網(wǎng)網(wǎng)絡組建及 Inter 接入方案 27 相結合。 Cajun P133G2具有 24個 10/100M固定端口和 2個GBIC千兆端口。 Cajun130系列是 AVAYA公司推出的高性能可堆疊交換機系列產品，該產品是 10/100M自適應工作組交換機，該交換機的背板帶寬為 ，提供每秒 吐量。 核心主交換機技術指標如下： 機箱 ： 七個槽口， 6個用戶模塊槽口 (在全冗余配置下，只占用 2個插口 )； 背板帶寬 ： 55+Gbps (具有更高的擴展能力 )； 10G萬兆以太網(wǎng)就緒 ； 第二層交換可高達 40Mpps； 第三層路由可高達 40Mpps； 第二層及多層 (第二層 /第三層 )模塊 (軟件密鑰升級 )； 支持 48個千兆位以太網(wǎng)絡端口， 288個 10/100以太網(wǎng)端口或 44個光纖快速以太網(wǎng)端口，具有 OC3/STM1和 OC12/STM4 ATM模塊； 容錯式風扇、電源、管理模塊、交換引擎背板 ； 獨特的 Open Trunk虛擬網(wǎng)協(xié)同工作能力 ； 支持服務等級 /服務質量 /RSVP； 1 隊列管理 ： 8個硬件優(yōu)先級隊列和優(yōu)化多點廣播的隊列管理引擎。這種均衡結構能夠確保隨著模塊 /端口的增加，其交換或路由能力仍可滿足帶寬要求，從而保證了網(wǎng)絡的完整性和吞吐量，而沒有例可單一故障點。在這種結構中，每個模塊 /端口均配有自己的交換陣列和 多層處理芯片。 在主樓中心機房放置一臺 CajunP580千兆路由交換機作為高校校園網(wǎng)絡的核心交換機 ； 在兩個遠程區(qū)域分別根據(jù)其信息點的分布，分別采用 AVAYA P131G2和 AVAYAP134G2可堆疊式交換機；利用 AVAYA的 CajunView網(wǎng)管軟件實現(xiàn)對整個網(wǎng)絡的管理。在高校校園網(wǎng)絡的設計方案中，提供了多種安全性機制供用戶選擇組合，如認證、授權、記賬 (審計 )、數(shù)據(jù)加密、物理安全性等 [19]。 表 安全結構體系的組成 安全體系結構 主機系統(tǒng)認證 VLAN設置 代理服務器設置 路由安全 防火墻系統(tǒng) 安全性機制 整個校園網(wǎng)的安全結構不應是僅僅添置某一安全設備，而需要建立在整個網(wǎng)絡系統(tǒng)的平臺上，服務器、交換機、路由器到撥號服務器及相關的軟硬件都應該被視為網(wǎng)絡安全的一部分。由于校園網(wǎng)是一個相對比較開放的系統(tǒng)，它和企業(yè)網(wǎng)有一定的區(qū)別，因此建議采用以下的安全結構體系 [18]。 防火墻的防衛(wèi)重點是網(wǎng)絡傳輸，因此它不能保證高層協(xié)議及傳輸內容的安全，另外 ，它也不能防止來自內部破壞者帶來的威脅。只設立防火墻系統(tǒng)，而沒有全面的安全策略，那么防火墻也形同虛設。 應注意的是，防火墻不是路由器、堡壘主機或任何提供網(wǎng)絡安全的設備的組合，它是安全策略的一個有機的組成部分。代理服務器需要配置高性能的服務器。 其次，代理服務器是處于應用傳輸層進行控制的，所以可以對不同類型的連接和數(shù)據(jù)包進行控制，甚至功能強大的代理服務器還可對數(shù)據(jù)的內容進行監(jiān)視。 設置高性能的代理服務器 高性能的代理服務器可以提高網(wǎng)絡線路的利用率，而且它在安全性方 面更有其優(yōu)越的功能 [17]。 廣域網(wǎng)絡安全 前面提過，來自網(wǎng)絡內部的攻擊是可以預測的，但來自網(wǎng)絡外部的攻擊則難以預測，因為技術的發(fā)展使網(wǎng)絡攻擊變得更加容易。 對大量上網(wǎng)的學 生機器采用 “ 保留地址 ” ，這樣既節(jié)省了有效的地址資源，同時也將學生機器配置為一個相對獨立的網(wǎng)絡，通過代理服務器與外部網(wǎng)絡通信，增強了系統(tǒng)安全性和可管理性。 在交換機上設置虛擬網(wǎng)，把服務器單獨歸于一個虛擬網(wǎng)內，其他可以根據(jù)不同的部門設置在不同虛擬網(wǎng)內，從而防止客戶計算機與服務器的 IP地址沖突、不同部門之間護地址盜用的問題。但相對而言，內部的安全問題可以預測，并可依此制定相應的防范措施，防止來自單位內部的非法訪問和惡意破壞。對于網(wǎng)絡資產包括網(wǎng)絡主機 (主機的操作系統(tǒng)、應用程序和數(shù)據(jù) )、網(wǎng)絡互連設備 (如交換機和路由器 )以及整個網(wǎng)絡上的數(shù)據(jù)都應該采取有效的措施進行保護。 表 內 容 功 能 訪 問 控 制 通過特定網(wǎng)段、服務建立的訪問控制體系，將絕大多數(shù)攻擊阻止在到達目標之前 檢查安全漏洞 通過對安全漏洞的周期檢查，即使攻擊可到達攻擊目標，也可使絕大多數(shù)攻擊無效 攻 擊 監(jiān) 控 通過對特定網(wǎng)段、服務建立的攻擊監(jiān)控體系，可實時檢測出絕大多數(shù)攻擊，并采取響應的行動 (如斷開網(wǎng)絡連接、記錄攻擊過程、跟蹤攻擊源等 ) 加 密 通 信 主動的加密通信，使攻擊者不能了解、修改敏感信息 認 證 良好的認證體系可以防止攻擊者假冒合法用戶 備份和恢復 良好的備份和恢復機制，可在攻擊造成損失時盡快的恢復數(shù)據(jù)和系統(tǒng)服務 多 層 防 御 當攻擊者在突破第一道防線后，延緩或阻斷其到達攻擊目標 設立安全監(jiān)控中心 為信息系統(tǒng)提供安全體系管理、監(jiān)控、保護及緊急情況服務 安全風險分析 由于高校校園網(wǎng)絡用戶眾多，支撐著相當多的重要應用，因此高校校園 網(wǎng)絡的安全顯西安培華學院本科畢業(yè)論文（設計） 大學校園網(wǎng)網(wǎng)絡組建及 Inter 接入方案 22 得特別重要。網(wǎng)絡應用系統(tǒng)的安全體系應包含如表 示的內容。 一個系統(tǒng)存在的安全問題可能來源于兩個方面 ： 安全控制機構有故障或系統(tǒng)安全定義有缺陷。 網(wǎng)絡的安全策略主要針對兩種情況，一是網(wǎng)絡系統(tǒng)自身的安全問題，如路由器的安全隱患、匿名 FTP的安全隱患、 Tel的安全隱患等，可以通過對各種關鍵系統(tǒng)設備加以控制來消除；另一種是給用戶提供的各種服務是否安全，主要體現(xiàn)在網(wǎng)絡 應用上，如用戶的數(shù)據(jù)或信息在網(wǎng)絡傳遞過程中的安全控制。網(wǎng)絡系統(tǒng)中的安全問題包括網(wǎng)絡中信息系統(tǒng)的安全性和網(wǎng)絡本身固有的安全性。通過 IGMP和 DVMRP還可以實現(xiàn)多點廣播 的本地或廣域傳輸。 西安培華學院本科畢業(yè)論文（設計） 大學校園網(wǎng)網(wǎng)絡組建及 Inter 接入方案 20 組播支持 AVAYA的 Cajun交換設備支持的多播路由協(xié)議有：支持多播組用戶的注冊或取消的IGMP(Inter Group Management Protocol)，通過 IGMP實現(xiàn)交換機本地多播用戶的監(jiān)控與多播的發(fā)送。 第三層交換技術的實現(xiàn)可分兩類：一類可歸為“路由一次，交換多次”；另一類是基于高性能硬件的線速路由器。 第三層交換技術 第三層交換的實質是路由，類似于 IP子網(wǎng)間的數(shù)據(jù)交換機制。 圖 VLAN圖例 VLAN的概念 [14]主要是根據(jù)網(wǎng)絡管理的要求而提出來 的，同時還可以提供一些安全的功能，也可以部分的優(yōu)化網(wǎng)絡的性能。 VLAN 的設計 虛擬局域網(wǎng) (VLAN)就是一個計算機網(wǎng)絡，其中的計算機好像是被同一網(wǎng)線連接在一起，而實際上它們分別處于局域網(wǎng)不同區(qū)域，是一組邏輯上的設備或用戶。 西安培華學院本科畢業(yè)論文（設計） 大學校園網(wǎng)網(wǎng)絡組建及 Inter 接入方案 19 圖 高校網(wǎng)絡拓撲圖 多協(xié)議處理及路由能力設計 由于高校校園網(wǎng)絡的用戶和應用眾多，需要網(wǎng)絡能夠提供各種應用和多協(xié)議的支持。接入層可采用堆疊技術，大大提高整堆疊交換機背板性能、交換能力等，同時具有更大的靈活性和可擴展性。核心層提供整個 網(wǎng)絡的中心多層路由、交換能力；分布層是網(wǎng)絡匯聚層，提供接入層與核心層相連的光纖匯聚點，減輕了核心層路由交換機的負載，同時保證了設備的統(tǒng)一性，為將來網(wǎng)絡維護和管理提供了極大的便利；接入層向用戶提供桌面 10/100M連接和本地的交換能力。第三層交換骨干網(wǎng)有以下幾方面的優(yōu)點 ： 更少的路由對等 ； 無生成樹環(huán)路的靈活拓撲結構 ； 骨干網(wǎng)中對多點發(fā)送與廣播業(yè)務可進行控制 ； 可擴展到任意規(guī)模 ： 每個分布層交換機有兩條等成本路徑與每個目的地網(wǎng)絡相連，任何鏈路故障的恢復非常迅速，可為骨干網(wǎng)提供雙倍的中繼容量。 圖 第三層交換式模型 西安培華學院本科畢業(yè)論文（設計） 大學校園網(wǎng)網(wǎng)絡組建及 Inter 接入方案 18 在這種模型中，最靈活、最具可擴展性 的網(wǎng)絡是由第三層交換機組成。骨干網(wǎng)中的所有鏈路均為路由鏈路，因此網(wǎng)絡中不會出現(xiàn)生成樹環(huán)路。 圖 部分網(wǎng)狀骨干網(wǎng)模型 第三層交換模式 第三層交換式骨干網(wǎng) [13]可以支持任何拓撲結構，因為一些復雜的路由協(xié)議 (如 (O