【正文】 交換機線速二層交換保證全網(wǎng)無阻塞性能，支持 1000M上聯(lián)模塊，能夠根據(jù)業(yè)務(wù)流量的需要采用 TRUNK 功能，網(wǎng)管簡單，可選 Web、 CLI 管理 。西安交通大學(xué)繼續(xù)教育學(xué)院 畢業(yè)論文 I 摘 要 校園網(wǎng)絡(luò)可分為校園網(wǎng)絡(luò)中心，教學(xué)子網(wǎng)，辦公子網(wǎng)，圖書館子網(wǎng)，宿舍區(qū)子網(wǎng)等。業(yè)務(wù)網(wǎng)和管理網(wǎng)需要分開，所以建成后校園網(wǎng)能提供多個網(wǎng)段的劃分以及隔離，并能做到靈活改變配置，適應(yīng)教學(xué)環(huán)境的變化和調(diào)整。本文還將著重討論校園網(wǎng)絡(luò)的安全性問題，指出校園網(wǎng)安全問題的重要性，威脅校園網(wǎng)絡(luò)安全的因素，通過對校園網(wǎng)絡(luò)系統(tǒng)所存在的安全問題和網(wǎng)絡(luò)安全管理現(xiàn)狀的分析，并在老師的指導(dǎo)下，能夠提出利用防火墻、路由器、交換機、服務(wù)器等網(wǎng)絡(luò)設(shè)施系統(tǒng)軟件，構(gòu)建一個具有多層次安全功能的校園網(wǎng)安全模型，同時采用三層交換技術(shù)可有效防止 IP 盜用，提高網(wǎng)絡(luò)安全性。多媒體的應(yīng)用對校園網(wǎng)的網(wǎng)絡(luò)帶寬和網(wǎng)絡(luò)速度提出了更高的要求。傳統(tǒng)的基于共享介質(zhì)的以太網(wǎng)逐步被交換網(wǎng)絡(luò)所取代，第三層交換技術(shù)和第三層交換機這一新的網(wǎng)絡(luò)技術(shù)正在網(wǎng)絡(luò)建設(shè)中得到應(yīng)用和發(fā)展，如何有效地集成這些技術(shù)是校園網(wǎng)建設(shè)中必須考慮的問題。 大學(xué)是一個小社會，網(wǎng)絡(luò)應(yīng)用類型非常復(fù)雜，信息媒體類型較多，且具有信息流猝發(fā)特點。大學(xué)建設(shè)校園網(wǎng)，一般經(jīng)費比較充裕，在網(wǎng)絡(luò)技術(shù)上應(yīng)該留有一定的發(fā)展空間。 具備性能優(yōu)越的資源共享功能 ,以及校園網(wǎng)中各信息點之間的快速交換功能。 校園網(wǎng)與 Inter 網(wǎng)相連后，應(yīng)具有“防火墻”過濾功能，以防止網(wǎng)絡(luò)黑客入侵網(wǎng)絡(luò)系統(tǒng)。 西安交通大學(xué)繼續(xù)教育學(xué)院 畢業(yè)論文 2 系統(tǒng)規(guī)劃 校園網(wǎng)絡(luò)可分為校園網(wǎng)絡(luò)中心，教學(xué)子網(wǎng)，辦公子網(wǎng)，圖書館子網(wǎng)，宿舍區(qū)子網(wǎng)等。所以，合理劃分虛擬網(wǎng)絡(luò) (VLAN)十分關(guān)鍵。 VLAN 的設(shè)計是系統(tǒng)集成的重點之一。 服務(wù)器可選擇接入 100BaseTX、 1000BaseSX、 1000Base－ T。 支持 1000M 上聯(lián)模塊，能夠根據(jù)業(yè)務(wù)流量的需要采用 TRUNK 功能。 高智能，支持二 /三 /四層線速交換，提供端到端的 QoS 的保證。 網(wǎng)管簡單，可選的 Web、 CLI 管理。 學(xué)校學(xué)生計算機水平高而且時間充裕，本身網(wǎng)絡(luò)就有很大 的安全隱患。 西安交通大學(xué)繼續(xù)教育學(xué)院 畢業(yè)論文 3 第 2 章 組網(wǎng)技術(shù) 網(wǎng)絡(luò)組件 計算機網(wǎng)絡(luò)中存在許多不同類型的組件，這里簡單介紹最常見的網(wǎng)絡(luò)組件和每個組件的基本功能。在許多網(wǎng)絡(luò)中，交換機己經(jīng)替代集線器來提高終端用戶的性能。 交換機有很多類型，每種交換機支持不同的速率和 LAN 類型，比如以太網(wǎng)、令牌環(huán)、 FDDI 和 ATM。 網(wǎng)橋 網(wǎng)橋用于分割數(shù)據(jù)流以提高網(wǎng)絡(luò)的整體性能。網(wǎng)橋工作在OSI 模型中數(shù)據(jù)鏈路層的 MAC 子層，網(wǎng)橋監(jiān)聽所有流經(jīng)它所連接的網(wǎng)段的數(shù)據(jù)，并檢查每個數(shù)據(jù)幀的目的網(wǎng)卡地址，以決定是否將該幀送往網(wǎng)絡(luò)的其他部分。 路由器 路由器工作在網(wǎng)絡(luò)層，通常比中繼器、網(wǎng)橋和交換機復(fù)雜，路由器是對分組 (包 )而不是對幀進(jìn)行操作的。 網(wǎng)關(guān) 網(wǎng)關(guān)又稱又稱為協(xié)議轉(zhuǎn)換器或網(wǎng)間連接器，它工作在 OSI 協(xié)議的傳輸層或更高層，是互聯(lián)網(wǎng)設(shè)備中最為復(fù)雜的設(shè)備，用于互聯(lián)不用體系結(jié)構(gòu)的網(wǎng)絡(luò)。虛擬局域網(wǎng) (VLAN)己經(jīng)發(fā)展成為交換式西安交通大學(xué)繼續(xù)教育學(xué)院 畢業(yè)論文 4 LAN方案的必不可少部分之一。隨著每個端口的以太網(wǎng)和令牌環(huán)網(wǎng)的交換機價格下降，越來越多的學(xué)校和組織傾向于給每個用戶分配一個單獨的交換端口，以便獲得更高的帶寬。此時，三層交換技術(shù)融交換技術(shù)和路由技術(shù)為一體應(yīng)運而生，給人們帶來了高速交換解決方案，并使路由器退出局域網(wǎng)技術(shù)領(lǐng)域。體現(xiàn)在 VLAN 的概念上也是各有不同見解。具體而言， VLAN 可以看作是包含一組端站點的邏輯局域網(wǎng)，這些端站點可位于不同的物理網(wǎng)段中，但它們不受物理位置的限制而互相通信，就好像它們在同一個物理 LAN 中一樣 [4]。 （ 2）、 在多個交換機上劃分 VLAN 時各個交換機之間的交換 VLAN 成員身份 信息的問題。 劃分 VLAN 的方法 定義 VLAN 成員的方法多種多樣，主要有四種 ： 按交換機的端口劃分 VLAN，按 MAC層地址劃分 VLAN，按網(wǎng)絡(luò)層地址劃分 VLAN，按 IP 組播劃分 VLAN 等。到目前為止，已基本形成了 “以交換機為中心 ”的 LAN 連接方案。 交 換技術(shù)和路由技術(shù)的主要區(qū)別在于 ： 交換機所處理的是以太網(wǎng)幀中 MAC 地址部分，而路由器不僅可以識別 MAC 地址，還可以進(jìn)一步分析包含網(wǎng)絡(luò)類型信息的協(xié)議首部。 傳統(tǒng)的二層交換機主要區(qū)別使網(wǎng)絡(luò)通信雙方節(jié)點在通信時能夠獲得專有的連接，從而西安交通大學(xué)繼續(xù)教育學(xué)院 畢業(yè)論文 5 享有真正的全部帶寬，這對于共享式以太網(wǎng)而言無疑是一個大飛躍。但是，基于二層交換機的所有子網(wǎng)在遇到數(shù)據(jù)包廣播時便顯得毫無意義。當(dāng)發(fā)送節(jié)點發(fā)送了一個廣播包后，該包就會擴(kuò)散到所有與交換機端口相連的子網(wǎng)中，而不管該子網(wǎng)是一個 TCP/IP 子網(wǎng)還是一個 IPX 子網(wǎng)。這也會影響整個網(wǎng)絡(luò)的性能。 在網(wǎng)絡(luò)設(shè)計中，路由器主要用來完成交換機所缺乏的有效子網(wǎng)劃分和廣播控制功能。網(wǎng)間的正常通信可通過路由器的路由來實現(xiàn)。但 VLAN 之間的通信仍需借助路由器。隨著用戶對網(wǎng)絡(luò)性能、網(wǎng)絡(luò)延遲和網(wǎng)絡(luò)帶寬需求的不斷增加，尤其隨著 G 以太網(wǎng)和 Intra 及 Extra 的興起，傳統(tǒng)路由器的處理速度越來越成為提高網(wǎng)絡(luò) 性能的瓶頸。 交換技術(shù)和路由技術(shù)在當(dāng)今的網(wǎng)絡(luò)設(shè)計中都是核心技術(shù)，但兩者各有優(yōu)缺點，而網(wǎng)絡(luò)需求又在不斷增長。第三層交換技術(shù)便在這種想法的基礎(chǔ)上產(chǎn)生出來。這種集成化的結(jié)構(gòu)還引進(jìn)了策略 (Policy)管理屬性，它不僅使第二層與第三層相互關(guān)聯(lián)起來，而且還提供流量優(yōu)先權(quán)處理、安全性處理以及多種其他的靈活功能，如中繼、虛擬網(wǎng)和內(nèi)部企業(yè)網(wǎng)的動態(tài)部署。 西安交通大學(xué)繼續(xù)教育學(xué)院 畢業(yè)論文 6 圖 第三層交換機的組成 圖 列出了第三層交換機的組成部分。交換層集成了多種局域網(wǎng)接口并輔之以策略管理，同時還提供中繼、 VLAN 和標(biāo)簽機制。策略管理和行政管理使網(wǎng)絡(luò)管理員能根據(jù)企業(yè)上的特定需求調(diào)整網(wǎng)絡(luò)，從而給他們帶來配置和管理上的方便與靈活。這是因為，在這種情況下，流量控制、路由尋址等功能雖然也可以實現(xiàn)，但傳統(tǒng)路由的高延遲依然存在。 線速路由就是要使路由速度 (轉(zhuǎn)發(fā) 路由分組的速度 )達(dá)到傳輸線上的數(shù)據(jù)傳輸速度，消除路由瓶頸。第二層 LAN交換機只可以實現(xiàn)純交換幀的線速轉(zhuǎn)發(fā)，第三層交換機的優(yōu)勢在于可以實現(xiàn)剩下三種流量類型的線速轉(zhuǎn)發(fā) (當(dāng)然它也可以實現(xiàn)純交換幀的線速轉(zhuǎn)發(fā) )。 三層 交換機的通信過程 三層交換機的通信過程如圖 所示。當(dāng)其他站點如 C 要與 A 和 B 通信時， C發(fā)出 ARP 尋址包，詢問 A 或 B 的 IP 地址對應(yīng)的 MAC 地址是什么，針對 C 發(fā)出的尋址包，第三層交換機會不假思索的送一個回復(fù)包給 C，告訴它 A 或 B 的 MAC 地址，以后 C當(dāng)然就會用 A 或 B 的 MAC 地址 “直接 ”與其通信。更重要的是，第三層交換機并沒有像普通二層交換機那樣把廣播包擴(kuò)散到與之相連的所有端口，由于第三層交換機能看懂第三層信息 (如 IP 地址、 ARP 尋址包等 )，因此第三層交換機便能洞悉 ARP 廣播包的目的地址，而在尚未把它擴(kuò)散出去的情形下，滿足了發(fā)出廣播包的機器的需要，而不必在乎它們在任何子網(wǎng)里。作為基礎(chǔ)教學(xué)與科研基地的學(xué)校自然會走在所有行業(yè)的最前列，全國 各大、中、小學(xué)校都在積極建設(shè)和完善校園計算機網(wǎng)絡(luò)。 網(wǎng)絡(luò)工程建設(shè)規(guī)劃 為了適應(yīng)全國和省市州教育科研計算機網(wǎng)絡(luò)的發(fā)展，加強校內(nèi)外信息的交流，滿足校區(qū)廣大師生的需求，充分利用網(wǎng)絡(luò)資源為全校教學(xué)、科研和管理服務(wù)，校區(qū)網(wǎng)絡(luò)中心擬提出如下建設(shè)計劃 ： （ 1）整個校區(qū)網(wǎng)絡(luò)結(jié)構(gòu)以網(wǎng)絡(luò)中心為核心，構(gòu)成星型結(jié)構(gòu) ； （ 2）主干采用千兆路由技術(shù)，所有節(jié)點交換 100Mbps 到桌面 ； （ 3）考慮師生并發(fā)上網(wǎng)的問題，配置功能強大的代理服務(wù)系統(tǒng) ； （ 4）配置功能齊全、方便實用的網(wǎng)絡(luò)管理平臺。千兆以太網(wǎng)提供 10 倍與快速以太網(wǎng)的性能，而價格遠(yuǎn)遠(yuǎn)低于其 10 倍。 能保證服務(wù)質(zhì)量。 支持千兆以太網(wǎng)多 層交換的交換機。采用 1000M主干，光纖到各主要信息點， 100M 交換到桌面，逐步形成以網(wǎng)絡(luò)中心大樓為中心、輻射其它樓宇的校園網(wǎng)。一般來說，一個校園網(wǎng)系統(tǒng)總體目標(biāo)往往是分布實施的，包括功能和規(guī)模的分布實施。提供方便、高效的網(wǎng)絡(luò)管理手段及良好的可擴(kuò)展性和易維護(hù)性。從技術(shù)措施角度來講，在系統(tǒng)的設(shè)計和實現(xiàn)中，將嚴(yán)格遵守以下原則： 實用性和集成性 系統(tǒng)的軟硬件設(shè)計、還 是集成，均應(yīng)以適用為第一宗旨，在系統(tǒng)充分適應(yīng)教育信息化的需求的基礎(chǔ)上再來考慮其他的性能。 標(biāo)準(zhǔn)性和開放性 只有支持標(biāo)準(zhǔn)性和開放性的系統(tǒng)，才能支持與其他開放型系統(tǒng)一起協(xié)同工作。 先進(jìn)性和安全性 系統(tǒng)所有的組成要素均應(yīng)充分地考慮其先進(jìn)性。網(wǎng)絡(luò)的安全是至關(guān)重要的，在某些情況下，寧可犧牲系統(tǒng)的部分功能也必須保證系統(tǒng)的安全。網(wǎng)絡(luò)硬件體系結(jié)構(gòu)應(yīng)在實際應(yīng)用中能經(jīng)過較長時間的考驗，在運行速度和性能上都應(yīng)是穩(wěn)定可靠的、擁有完善的、實用的解決方案，并得到較多的第三方開發(fā)商和用戶在全西安培華學(xué)院本科畢業(yè)論文（設(shè)計） 大學(xué)校園網(wǎng)網(wǎng)絡(luò)組建及 Inter 接入方案 10 球范圍 的廣泛支持和使用。 可靠性也是衡量一個計算機應(yīng)用系統(tǒng)的重要標(biāo)準(zhǔn)之一。因此需要采取一定的預(yù)防措施，如對關(guān)鍵應(yīng)用和主干設(shè)備考慮有適當(dāng)?shù)娜哂?。一個高可用性的系統(tǒng)才能使用戶的投資真正得到回報。對復(fù)雜和龐大的網(wǎng)絡(luò)，要求有強有力的網(wǎng)絡(luò)管理手段，以便合理的管理網(wǎng)絡(luò)資源，監(jiān)視網(wǎng)絡(luò)狀態(tài)及控制網(wǎng)絡(luò)的運行。 在設(shè)計和實現(xiàn)計算機應(yīng)用系統(tǒng)時，必須充分考慮整個系統(tǒng)的便于維護(hù)性，以使系統(tǒng)在萬一發(fā)生故障時能提供有效手段及時進(jìn)行恢復(fù)，盡量減少損失。 “自頂向下”的設(shè)計思想 在本方案中采用了 “自頂向下 ”的設(shè)計思想。另外，我認(rèn)為 ： “好的網(wǎng)絡(luò)設(shè)計必需清楚客戶的需求蘊涵著許多商業(yè)和技術(shù)的目標(biāo)，包括可用性、可伸縮性、可購買性、安全性和可管理性等。 分層次的設(shè)計 由于高校校園網(wǎng)絡(luò)的規(guī)模較大而且應(yīng)用比較復(fù)雜，普通的平面網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計模型難以滿足園區(qū)網(wǎng)絡(luò)設(shè)計的需求。因此，在設(shè)計高校校園網(wǎng)絡(luò)的時候，采用了經(jīng)典的 “三層層次模型 ”和二層設(shè)計相結(jié)合的設(shè)計方法。在傳統(tǒng)的網(wǎng)絡(luò)設(shè)計中，是將基本網(wǎng)絡(luò)職能和服務(wù)放在網(wǎng)絡(luò)的中心，并將共享帶寬放在用戶級。這種分級方法被稱為 “多層設(shè)計 [7]” 。多層網(wǎng)絡(luò)結(jié)構(gòu)有很大的確定性，因此在運行和擴(kuò)展過程中進(jìn)行故障查找和排除非常簡單。在分層網(wǎng)絡(luò)中運用 智能第三層業(yè)務(wù)可以大大減少因配置不當(dāng)或故障設(shè)備引起的一般問題。另外，分層結(jié)構(gòu)也能夠?qū)W(wǎng)絡(luò)的故障進(jìn)行很好的隔離。 網(wǎng)絡(luò)的三層結(jié)構(gòu) 網(wǎng)絡(luò)的三層結(jié)構(gòu)如圖 。該層能通過過濾或訪問控制列表提供對用戶流量的進(jìn)一步控制，不過該層的主要功能是為最終用戶提供網(wǎng)絡(luò)接入。當(dāng)然，在這一層也可以提供安全特性。 接入層為用戶提供了接入網(wǎng)絡(luò)的能力，接入層通過堆疊方式連接到分布層中，然后再通過分布層連接到網(wǎng)絡(luò)的主干。在高校校園網(wǎng)絡(luò)中，接入層交換機包括將本地的信息點連接至骨干網(wǎng)絡(luò)，同時因為采用了堆疊的技術(shù)，可以 使分布層和接入層合二為一，不僅簡化了網(wǎng)絡(luò)結(jié)構(gòu)，同時也節(jié)省了網(wǎng)絡(luò)投資。分布層也幫助定義和區(qū)分網(wǎng)絡(luò)核心層。在局域網(wǎng)環(huán)境中，分布層執(zhí)行最多的功能 ： （ 1） 、 VLAN 的聚合； （ 2） 、 部門級或工作組接入； （ 3） 、 廣播域或多點廣播域定義； （ 4） 、 VLAN 間路由； （ 5） 、 介質(zhì)轉(zhuǎn)換及安全等。分布交換機上行鏈路可以采用千兆捆綁技術(shù)實現(xiàn)高速骨干連接、下行為各接入層交換機提供百兆接口。根據(jù)網(wǎng)絡(luò)的地理環(huán)境和網(wǎng)絡(luò)需求，可以在遠(yuǎn)程區(qū)域分中心分別放置百兆端口密度較高的交換機 AVAYAP130系列可堆疊式交換機，并通過千兆光纖上連至主樓核心交換機。網(wǎng)絡(luò)的這個分層不應(yīng)該被牽扯到費力的數(shù)據(jù)包操作或者任何減慢數(shù)據(jù)交換的處理。核心層主要負(fù)責(zé)以下的工作 ： （ 1） 、 提供交換區(qū)塊間的連接； （ 2） 、 提供到其他區(qū)塊 (如服務(wù)器區(qū)塊 )的訪問； （ 3） 、 盡可能快地交換數(shù)據(jù)幀或數(shù)據(jù)包； （ 4） 、 多層網(wǎng)絡(luò)設(shè)計最有效利用多種第三層業(yè)務(wù)，包括分段、負(fù)載分擔(dān)和故障恢復(fù) [8]。 不要使網(wǎng)絡(luò)的各層總是完全的網(wǎng)狀的，訪問層通常不必考慮為網(wǎng)狀；分布層可以考慮部分的冗余；核心層連接最好是網(wǎng)狀 ，其目的是考慮電路冗余和網(wǎng)絡(luò)收斂速度的原因。 西安培華學(xué)院本科畢業(yè)論文（設(shè)計） 大學(xué)校園網(wǎng)網(wǎng)絡(luò)組建及 Inter 接入方案 14 通過把 80%的通信流量控制本地工作組內(nèi)部，從而使工作組 LAN 運行良好，這主要通過將服務(wù)器定位在工作組中適當(dāng)?shù)墓ぷ鹘M行為來實現(xiàn)。 局域網(wǎng)技術(shù)選型 決定局域網(wǎng)特性的主要技術(shù)有：用以傳輸數(shù)據(jù)的傳輸介質(zhì)，用以連接各種設(shè)備的拓?fù)浣Y(jié)構(gòu)，用以共享資 源的介質(zhì)訪問控制方法?；诮粨Q技術(shù)的局域網(wǎng)不