【正文】 eb流量重新引導(dǎo)至一臺(tái)Web緩存服務(wù)器上。 ? 在第三層技術(shù)方面，加入了對(duì)差別化業(yè)務(wù)編碼點(diǎn)（Differential Services Code Point，DSCP）技術(shù)的支持。 為了進(jìn)一步提高數(shù)據(jù)包的傳遞效率，銳捷基于已有交換機(jī)的第二、第三和第四層技術(shù)，賦予了產(chǎn)品辨識(shí)、標(biāo)記數(shù)據(jù)并為不同的數(shù)據(jù)流量賦予不同的優(yōu)先級(jí)別的能力。 ?? 服務(wù)質(zhì)量（QoS）與銳捷68系列交換機(jī) 利用內(nèi)置于銳捷68系列交換機(jī)中的服務(wù)質(zhì)量特性，用戶能夠?qū)νㄟ^網(wǎng)絡(luò)進(jìn)行傳輸?shù)膽?yīng)用流量?jī)?yōu)先級(jí)進(jìn)行控制，消除網(wǎng)絡(luò)中的瓶頸現(xiàn)象。銳捷公司功能豐富、性能極高的銳捷68系列交換機(jī)能夠在數(shù)據(jù)流經(jīng)交換機(jī)各端口時(shí)保持其優(yōu)先級(jí)別屬性，從而實(shí)現(xiàn)了優(yōu)異的QoS特性。通過為校園用戶構(gòu)建起一個(gè)具備服務(wù)質(zhì)量（QoS，Quality of Services）特性的網(wǎng)絡(luò)，網(wǎng)絡(luò)管理員將有能力使其網(wǎng)絡(luò)變得更加智能。網(wǎng)絡(luò)管理員需要的是能夠提供更高帶寬以及對(duì)應(yīng)用數(shù)據(jù)進(jìn)行更好地控制的解決方案。 現(xiàn)在的應(yīng)用流量主要由三種類型的數(shù)據(jù)構(gòu)成： ? 各種對(duì)傳送時(shí)間非常敏感的數(shù)據(jù)，其中包括各類話音、視頻和音頻流量，例如跨越Internet進(jìn)行傳輸?shù)囊纛l流量以及通過局域網(wǎng)基礎(chǔ)網(wǎng)絡(luò)實(shí)現(xiàn)互聯(lián)的電話系統(tǒng)等 ? 各種關(guān)鍵性的業(yè)務(wù)數(shù)據(jù)，其中包括各種數(shù)據(jù)庫(kù)事物處理流量以及在線交易過程數(shù)據(jù)等 ? 各種突發(fā)性的數(shù)據(jù)流量，包括電子郵件、文件傳輸協(xié)議（FTP）以及Web瀏覽等 當(dāng)以上這些不同類型的流量以同樣的身份爭(zhēng)用網(wǎng)絡(luò)中有限的帶寬的時(shí)候，網(wǎng)絡(luò)將會(huì)很快地過載，進(jìn)而導(dǎo)致網(wǎng)絡(luò)對(duì)用戶請(qǐng)求的響應(yīng)時(shí)間變得非常漫長(zhǎng)以及應(yīng)用請(qǐng)求的超時(shí)，并且使用戶變得焦躁煩惱。學(xué)校要求網(wǎng)絡(luò)具有高性能、高可用性和高安全性。每個(gè)大VLAN的劃分由上一層交換機(jī)完成。工作在VTP服務(wù)器模式下的服務(wù)器將使用VTP共享VALN信息?；诙丝诘膭澐郑鄬?duì)來說容易設(shè)置和監(jiān)控，只需要將端口配置的VLAN重新分配。 6．劃分方法采用基于端口的劃分。 5．將辦公樓劃為一個(gè)大VLAN，再將每個(gè)部門劃為一個(gè)小VLAN。 4．將實(shí)驗(yàn)樓劃為一個(gè)大VLAN，再將每個(gè)實(shí)驗(yàn)室劃為一個(gè)小VLAN。 3．將教學(xué)樓的所有教室劃為一個(gè)VLAN。 理由：每個(gè)老師的計(jì)算機(jī)里可能有一些重要的科研資料，從安全性考慮，所以不能將所有老師的寢室劃為同一個(gè)網(wǎng)。一個(gè)寢室的同學(xué)在一個(gè)網(wǎng)內(nèi)可以共享一些資源，更方便的進(jìn)行信息交流，安全性也更高。 簡(jiǎn)易拓?fù)鋱D： 圖 6 VLAN拓?fù)鋱D 具體方案二：（見圖7） 1．將一個(gè)寢室劃為同一個(gè)VLAN，再將一棟宿舍樓劃為一個(gè)大VLAN。在VTP SERVER上進(jìn)行VLAN的創(chuàng)建、添加、刪除或修改操作。 備注：將每個(gè)小VLAN里的其中一臺(tái)交換機(jī)設(shè)為VTP SERVER，其余的為VTP CLIENT。 理由：高校學(xué)生的流動(dòng)性大，例如換寢室，畢業(yè)等，而導(dǎo)致的學(xué)生的人數(shù)和班級(jí)的變動(dòng)。 理由：方便每個(gè)部門管理，鑒于每個(gè)的不同性質(zhì)，更要提高安全性。 理由：方便同學(xué)和老師做一些教學(xué)實(shí)驗(yàn)，實(shí)驗(yàn)室會(huì)進(jìn)行一些專項(xiàng)課題研究，一個(gè)實(shí)驗(yàn)室同一個(gè)VLAN安全性更高。 理由：上課的教室不固定，每個(gè)教室需要共享一些信息。并且學(xué)生宿舍和教師宿舍不能互相訪問。 2．將每個(gè)老師的寢室劃為一個(gè)VLAN。 具體方案一：（見圖6） 1．將一個(gè)班同學(xué)的寢室劃為同一個(gè)VLAN，再將一棟宿舍樓劃為一個(gè)大VLAN。該方式允許一個(gè)VLAN跨越多個(gè)交換機(jī)，或一個(gè)端口位于多個(gè)VLAN中。網(wǎng)絡(luò)管理員可按MAC地址把一些站點(diǎn)劃分為一個(gè)邏輯子網(wǎng)。 MAC地址其實(shí)就是指網(wǎng)卡的標(biāo)識(shí)符，每一塊網(wǎng)卡的MAC地址都是惟一且固化在網(wǎng)卡上的。 劃分VLAN的基本策略 從技術(shù)角度講，VLAN的劃分可依據(jù)不同原則，一般有以下三種劃分方法： 這種劃分是把一個(gè)或多個(gè)交換機(jī)上的幾個(gè)端口劃分一個(gè)邏輯組，這是最簡(jiǎn)單、最有效的劃分方法。 組建VLAN的條件 VLAN是建立在物理網(wǎng)絡(luò)基礎(chǔ)上的一種邏輯子網(wǎng)，因此建立VLAN需要相應(yīng)的支持VLAN技術(shù)的網(wǎng)絡(luò)設(shè)備。 VLAN劃分設(shè)計(jì) VLAN概述： VLAN（Virtual Local Area Network）又稱虛擬局域網(wǎng)，是指在交換局域網(wǎng)的基礎(chǔ)上，采用網(wǎng)絡(luò)管理軟件構(gòu)建的可跨越不同網(wǎng)段、不同網(wǎng)絡(luò)的端到端的邏輯網(wǎng)絡(luò)。利用虛擬網(wǎng)絡(luò)技術(shù)，大大減輕了網(wǎng)絡(luò)管理和維護(hù)工作的負(fù)擔(dān)，降低了網(wǎng)絡(luò)維護(hù)費(fèi)用。而對(duì)于采用VLAN技術(shù)的網(wǎng)絡(luò)來說，一個(gè)VLAN可以根據(jù)部門職能、對(duì)象組或者應(yīng)用將不同地理位置的網(wǎng)絡(luò)用戶劃分為一個(gè)邏輯網(wǎng)段。 通過路由訪問列表和MAC地址分配等VLAN劃分原則，可以控制用戶訪問權(quán)限和邏輯網(wǎng)段大小，將不同用戶群劃分在不同VLAN，從而提高交換式網(wǎng)絡(luò)的整體性能和安全性。 ?? VLAN增加了廣播域的數(shù)量，同時(shí)減少了廣播域的范圍。 ?? 作為功能上的邏輯用戶組，可以認(rèn)為VLAN獨(dú)立于它們的物理位置或地理位置。 用VLAN來簡(jiǎn)化網(wǎng)絡(luò)管理的方式有多種： ?? 通過將某個(gè)端口配置到合適的VLAN中，就可以實(shí)現(xiàn)網(wǎng)絡(luò)的添加、移動(dòng)和改變。在虛擬創(chuàng)建局域網(wǎng)時(shí)，可以將交換機(jī)上的不同端口分派到不同的子網(wǎng)中，這樣就可以在第二層交換式互聯(lián)網(wǎng)絡(luò)中創(chuàng)建一些小的廣播域。VLAN是兩個(gè)部分的邏輯組合：一是網(wǎng)絡(luò)用戶；二是在管理上連接到交換機(jī)所定義端口的資源。安全性選項(xiàng)只能限于在服務(wù)器和其他設(shè)備上設(shè)置口令。你不能讓設(shè)備停止廣播，也不能讓用戶不響應(yīng)廣播。但每一個(gè)新的改進(jìn)通常都會(huì)引起新的問題——用戶和設(shè)備的數(shù)量越大，每臺(tái)交換機(jī)必須處理的廣播和數(shù)據(jù)包就越多。 安全與流量控制 ?? 對(duì)端口ARP檢查防止ARP攻擊； ?? 對(duì)端口安全：MAC動(dòng)態(tài)地址鎖，MAC地址靜態(tài)綁定； ?? 交換設(shè)備 BPDU Guard功能，過濾非法BPDU報(bào)文，防止STP攻擊交換機(jī)； ?? 端口安全：端口靜態(tài)綁定，自動(dòng)綁定 IP和MAC 地址防止DOS攻擊； ?? 智能安全到邊緣：多種ACL，滿足不同網(wǎng)絡(luò)應(yīng)用，過濾病毒 ?? SSH密文傳輸，限制管理IP等措施保證設(shè)備管理可靠； ?? 對(duì)網(wǎng)絡(luò)病毒的防范：采用設(shè)置ACL，對(duì)病毒進(jìn)行過濾； 我們使用的匯聚、核心交換機(jī)都支持SPOH，通過端口獨(dú)立的FFP進(jìn)行ACL處理，網(wǎng)絡(luò)設(shè)備性能不受設(shè)置 ACL 數(shù)目影響； VLAN需求 默認(rèn)時(shí)，交換機(jī)分隔沖突域；路由器分隔廣播域。由于該路由的優(yōu)先級(jí)最高，路由器選擇主路由來發(fā)送數(shù)據(jù)。這樣，也就實(shí)現(xiàn)了主路由到備份路由的切換。這樣，正常情況下，路由器采用主路由發(fā)送數(shù)據(jù)。 如果相同，則兩條線路采取負(fù)載分擔(dān)方式。 校園網(wǎng)路由設(shè)計(jì) 不使用默認(rèn)路由，使用策略路由，防止從Internet訪問校園網(wǎng)。 IP地址的分配 用戶的計(jì)算機(jī)在連接到校園網(wǎng)上時(shí)，首先獲得一個(gè)校園網(wǎng)內(nèi)部的IP地址，此時(shí)該計(jì)算機(jī)只能訪問校園網(wǎng)內(nèi)部。 校園網(wǎng)內(nèi)部私網(wǎng)IP地址的分配 內(nèi)部地址的分配原則是按建筑物進(jìn)行的，視用戶的數(shù)量，1/1/整個(gè)C的劃分。 校園網(wǎng)地址規(guī)劃方案 校園網(wǎng)IP地址分配總則 校園網(wǎng)IP地址分為三大塊： 校園網(wǎng)內(nèi)部的私有IP地址，采用RFC中規(guī)定的地址段，不能訪問Internet和Cernet； Cernet分配的多個(gè)C類公網(wǎng)IP地址，作為和國(guó)際互聯(lián)網(wǎng)互連的地址，主要供網(wǎng)絡(luò)中心和圖書館、部分實(shí)驗(yàn)室專用； 運(yùn)營(yíng)商分配的公網(wǎng)IP地址，用于訪問Internet。 IP地址規(guī)劃原則 簡(jiǎn)單性：地址的分配應(yīng)該簡(jiǎn)單，避免在主干上采用復(fù)雜的掩碼方式； 連續(xù)性：為同一個(gè)網(wǎng)絡(luò)區(qū)域分配連續(xù)的網(wǎng)絡(luò)地址，便于采用路由收斂(Summarization)及CIDR(Classless InterDomain Routing)技術(shù)縮減路由表的表項(xiàng)，提高路由器的處理效率； 可擴(kuò)充性：為一個(gè)網(wǎng)絡(luò)區(qū)域分配的網(wǎng)絡(luò)地址應(yīng)該具有一定的容量，便于主機(jī)數(shù)量增加時(shí)仍然能夠保持地址的連續(xù)性； 靈活性：地址分配不應(yīng)該基于某個(gè)網(wǎng)絡(luò)路由策略的優(yōu)化方案，應(yīng)該便于多數(shù)路由策略在該地址分配方案上實(shí)現(xiàn)優(yōu)化； 可管理性：地址的分配應(yīng)該有層次，某個(gè)局部的變動(dòng)不要影響上層、全局。 合理的網(wǎng)段劃分結(jié)合靈活的VLAN規(guī)劃，可以有效地降低網(wǎng)絡(luò)風(fēng)暴的產(chǎn)生，保證整個(gè)網(wǎng)絡(luò)的穩(wěn)定，同時(shí)也起到一定的網(wǎng)絡(luò)安全功能。 IP地址規(guī)劃和路由設(shè)計(jì) IP地址規(guī)劃 IP地址規(guī)劃是整個(gè)網(wǎng)絡(luò)設(shè)計(jì)中的重要組成部分，地址規(guī)劃的科學(xué)性和合理性將直接反應(yīng)網(wǎng)絡(luò)拓?fù)涞脑O(shè)計(jì)思想，對(duì)網(wǎng)絡(luò)的穩(wěn)定起到至關(guān)重要的影響。 在該方案中，S6810E和S6806E起到三層交換機(jī)的功能，校園網(wǎng)用戶之間的互訪都必須通過S6810E和S6806E進(jìn)行。實(shí)現(xiàn)百兆交換到桌面。 在網(wǎng)絡(luò)中心兩臺(tái)核心交換機(jī)各通過兩條千兆鏈路連接校園圖書館子網(wǎng)，兩臺(tái)核心交換機(jī)間業(yè)務(wù)量增大時(shí)，也可考慮通過上行雙鏈路Trunk來連接。 同時(shí)為了保證宿舍網(wǎng)內(nèi)部網(wǎng)的安全,在內(nèi)網(wǎng)和外網(wǎng)之間增加硬件防火墻，接在INTERNET/CERNET出口的位置,根據(jù)安全需求可將校園網(wǎng)分為內(nèi)部網(wǎng)、外部網(wǎng)與DMZ區(qū)等，以保護(hù)校園網(wǎng)的安全，防止惡意用戶的攻擊。同時(shí)，為滿足學(xué)生宿舍網(wǎng)的高端口密度接入的需求，接入層應(yīng)考慮二層智能型可堆疊交換機(jī)。在匯聚層使用三層交換機(jī)的目的是為了減輕核心層的負(fù)擔(dān)。因此，匯聚層應(yīng)考慮三層智能交換機(jī)。從核心層到匯聚層使用多條多模光纖連接到匯聚層交換機(jī)，并實(shí)現(xiàn)端口聚合。 銳捷網(wǎng)絡(luò)交換機(jī)可將多個(gè)端口聚合，每條干路支持全雙工模式。其硬件策略路由功能為學(xué)校的出口規(guī)則提供了靈活的設(shè)置，此外核心交換機(jī)硬件的IPv6功能為學(xué)校接入CERNET2提供了無縫連接。同時(shí)，還應(yīng)該考慮到與一期工程的網(wǎng)絡(luò)設(shè)備之間的良好的兼容性、互通性。 如拓?fù)鋱D所示，作為學(xué)生宿舍網(wǎng)的核心，要求設(shè)備能夠大容量、穩(wěn)定可靠的高速路由轉(zhuǎn)發(fā)，能夠接入大量的匯聚節(jié)點(diǎn)并滿足今后擴(kuò)充的需要。在網(wǎng)絡(luò)硬件上采用高性能、高可靠的設(shè)備，此產(chǎn)品是具有運(yùn)營(yíng)商級(jí)容錯(cuò)能力的高性能大型網(wǎng)絡(luò)核心交換機(jī)，可實(shí)現(xiàn)冗余備份，從而提高核心層的可靠性。以TCP/IP協(xié)議為主，并輔以IP/SPX. NETTEUI等其他流行通信協(xié)議堅(jiān)持開放性和標(biāo)準(zhǔn)化，采用標(biāo)準(zhǔn)的通訊規(guī)程，以有利于不同廠家之間的互連，使不同系統(tǒng)間易于集成，兼顧其他標(biāo) 準(zhǔn)的網(wǎng)絡(luò)體系結(jié)構(gòu)，網(wǎng)絡(luò)能實(shí)現(xiàn)協(xié)議之間無縫連接。在接入層面，通過定義相應(yīng)的訪問策略，實(shí)現(xiàn)訪問控制，內(nèi)外隔離和抭IP地址。接入層設(shè)備是最終用戶的最直接上聯(lián)的設(shè)備，它應(yīng)該具備即插即用特性以及易于維護(hù)的特點(diǎn)。因?qū)W校存在大量的語(yǔ)音和視頻傳輸。 四、 解決方案 圖 5 網(wǎng)絡(luò)拓?fù)鋱D 2. 方案說明 校園網(wǎng)網(wǎng)絡(luò)系統(tǒng)從結(jié)構(gòu)上分為核心層、匯聚層和接入層。 系統(tǒng)性：項(xiàng)目的開發(fā)必須按系統(tǒng)工程的管理方法，分階段、有計(jì)劃的統(tǒng)一組織實(shí)施。 經(jīng)濟(jì)性：在充分滿足以上要求的前提下，應(yīng)充分考慮到學(xué)校的經(jīng)濟(jì)承受能力，盡可能地節(jié)約投資，花好每一分錢。 可靠性：校園網(wǎng)的系統(tǒng)及網(wǎng)絡(luò)結(jié)構(gòu)較為復(fù)雜，同時(shí)在部分子系統(tǒng)中存在較高的技術(shù)性，因此必須保證系統(tǒng)的穩(wěn)定、可靠和安全運(yùn)行，具有很高的MTBF(平均無故障工作時(shí)間)和極低的MTTR(平均無故障率)，提高容錯(cuò)設(shè)計(jì)，支持故障檢測(cè)和恢復(fù)，可管理性強(qiáng)。 靈活性：通過采用結(jié)構(gòu)化、模塊化的設(shè)計(jì)形式，滿足系統(tǒng)及用戶各種不同的需求，適應(yīng)不斷變革中的要求。符合計(jì)算機(jī)技術(shù)發(fā)展趨勢(shì)，采用先進(jìn)成熟的技術(shù)，堅(jiān)持技術(shù)的開放性，易于技術(shù)更新。滿足管理職能的需求，為提高管理決策的及時(shí)性和準(zhǔn)確性提供高質(zhì)量的信息服務(wù)，增強(qiáng)對(duì)運(yùn)行的協(xié)調(diào)和監(jiān)控能力。采用成熟、先進(jìn)的技術(shù)和設(shè)計(jì)思想，運(yùn)用現(xiàn)有的系統(tǒng)集成的技術(shù)路線，強(qiáng)調(diào)系統(tǒng)先進(jìn)、實(shí)用、開放、安全、使用方便和易于擴(kuò)充等特點(diǎn)，突出系統(tǒng)功能的完善，實(shí)現(xiàn)辦公現(xiàn)代化、信息資源化、傳輸網(wǎng)絡(luò)化和決策科學(xué)化。 按照安全模型的指導(dǎo)，從健康檢查階段、評(píng)估分析階段、規(guī)劃設(shè)計(jì)階段、安全實(shí)施、運(yùn)維管理、安全培訓(xùn)整個(gè)安全周期角度進(jìn)行安全方案的設(shè)計(jì)和實(shí)施。 ?? 易于規(guī)劃和管理 － 層次化的功能劃分，整個(gè)網(wǎng)絡(luò)規(guī)劃和管理更為簡(jiǎn)單。 ?? 易于故障排除 － 每一層的功能經(jīng)過良好定義，網(wǎng)絡(luò)更為簡(jiǎn)單，有助于故障的隔離。 層次化網(wǎng)絡(luò)設(shè)計(jì)模型的優(yōu)點(diǎn) “核心層匯聚層訪問層”層次化網(wǎng)絡(luò)設(shè)計(jì)模型有如下優(yōu)點(diǎn)： ?? 高可擴(kuò)展性 － 遵循層次化模型網(wǎng)絡(luò)比扁平式網(wǎng)絡(luò)更具有伸縮性和可管理性，因?yàn)楦鞴δ芫W(wǎng)絡(luò)通過模塊化實(shí)現(xiàn)，潛在問題更易于識(shí)別。訪問層主要功能在于隔離模塊間的廣播流量，避免不同模塊之間相互影響。匯聚層主要由三層交換機(jī)組成，提供對(duì)網(wǎng)絡(luò)流量模式控制、服務(wù)訪問控制、QoS、定義路由路徑度量（path metric）和路由協(xié)議網(wǎng)絡(luò)通告控制。此外，為了避免網(wǎng)元故障對(duì)網(wǎng)絡(luò)造成沖擊，需要網(wǎng)絡(luò)采用支持快速聚合的特性，一旦主用通路斷開，可以很快的切換到備用通路。匯聚層到核心層要具備冗余傳輸鏈路，任何單條鏈路斷連不影響網(wǎng)絡(luò)的可用性。 層次化網(wǎng)絡(luò)設(shè)計(jì)模型 對(duì)于大型網(wǎng)絡(luò)，可以采用業(yè)界通用“核心層匯聚層接入層”層次化網(wǎng)絡(luò)設(shè)計(jì)模型。 一個(gè)完整的模塊化設(shè)計(jì)如下圖所示： 圖 1 模塊化網(wǎng)絡(luò)設(shè)計(jì)圖示 校園網(wǎng)的設(shè)計(jì)可以借鑒這種思想，對(duì)各種不同種類，不同安全等級(jí)的業(yè)務(wù)進(jìn)行模塊劃分， 相互之間的訪問將受到控制。 所謂模塊化就是將把整個(gè)網(wǎng)絡(luò)按功能和安全需求分為若干個(gè)組件，這些組件之間有一定的安全邊界，組件內(nèi)部有完整的網(wǎng)絡(luò)設(shè)計(jì)。 2. 模塊化、層次化的設(shè)計(jì)原則 銳捷網(wǎng)絡(luò)的設(shè)計(jì)都是基于一個(gè)模塊化，層次化的設(shè)計(jì)思想。成功來自自信 QoS（質(zhì)量服務(wù)）保證 教育在語(yǔ)音和視頻等多媒體應(yīng)用方面一直走在社會(huì)的前列，這類應(yīng)用對(duì)服務(wù)質(zhì)量的要求很高。以滿足系統(tǒng)目標(biāo)與功能為目標(biāo)，保證總體方案的設(shè)計(jì)合理，滿足用戶的需求，同時(shí)便于系統(tǒng)使用過程中的維護(hù)，以及今后系統(tǒng)的二次開發(fā)與移植。 在系統(tǒng)設(shè)計(jì)中，既考慮信息資源的充分共享，更要注意信息的保護(hù)和隔離，因此系統(tǒng)應(yīng)分別針對(duì)不同的應(yīng)用和不同的網(wǎng)絡(luò)通信環(huán)境，采取不同的措施，包括系統(tǒng)安全機(jī)制、數(shù)據(jù)存取的權(quán)限控制等。 安全性、保密性 網(wǎng)絡(luò)系統(tǒng)應(yīng)具有良好的安全性。這就要求校園網(wǎng)建設(shè)在系統(tǒng)設(shè)計(jì)時(shí)既要采用先進(jìn)的概念、技術(shù)和方法，又要注意結(jié)構(gòu)、設(shè)備、工具的相對(duì)成熟。同時(shí)應(yīng)盡可能選取集成度高、模塊可通用的產(chǎn)品，以便于管理和維護(hù)。設(shè)備應(yīng)選用符合國(guó)際標(biāo)準(zhǔn)的系統(tǒng)和產(chǎn)品，以保證系統(tǒng)