【正文】 年中國(guó)教育教研網(wǎng)（CERNET）建成后，校園網(wǎng)的建設(shè)已經(jīng)進(jìn)入到一個(gè)蓬勃發(fā)展的階段。其主要包括各種局域網(wǎng)的技術(shù)思想、網(wǎng)絡(luò)設(shè)計(jì)方案、網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、布線系統(tǒng)、Intranet/Internet的應(yīng)用、網(wǎng)絡(luò)安全，網(wǎng)絡(luò)系統(tǒng)的維護(hù)等內(nèi)容。第一章 引言高校校園網(wǎng)的網(wǎng)絡(luò)建設(shè)與網(wǎng)絡(luò)技術(shù)發(fā)展幾乎是同步進(jìn)行的。構(gòu)建校園網(wǎng)骨干網(wǎng)，實(shí)現(xiàn)各個(gè)分校區(qū)和本部之間的連接，以及實(shí)現(xiàn)端到端的以太網(wǎng)訪問(wèn)，提高了傳輸?shù)男?，有效地保證了遠(yuǎn)程多媒體教學(xué)、數(shù)字圖書(shū)館等業(yè)務(wù)的開(kāi)展。1995 年CERNET （中國(guó)教育和科研計(jì)算機(jī)網(wǎng)）建設(shè)全面啟動(dòng)，全國(guó)各地的高校開(kāi)始建設(shè)自己的計(jì)算機(jī)校園網(wǎng)。 校園網(wǎng)的建設(shè)與應(yīng)用，極大地豐富和完善了教育資源，拓寬了學(xué)生獲取知識(shí)的渠道，改善了教學(xué)效果，提高了學(xué)校的現(xiàn)代化管理水平，促進(jìn)了教育的社會(huì)化，因此，如何進(jìn)一步搞好校園網(wǎng)的建設(shè)，充分發(fā)揮校園網(wǎng)的作用，組建高性能，低成本的校園網(wǎng)，是各個(gè)高校正在探索和思考的問(wèn)題。第一階段是基礎(chǔ)設(shè)施建設(shè)時(shí)期，時(shí)間大約從1994年到2000年。在這個(gè)階段，由于校園網(wǎng)應(yīng)用的技術(shù)比較繁雜，而且業(yè)務(wù)相對(duì)單一，因此，這一階段，主要關(guān)注網(wǎng)絡(luò)的連通性和兼容性，即如何保證校園網(wǎng)的連通，和各種不同網(wǎng)絡(luò)技術(shù)的兼容和融合。這期間，隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，各種應(yīng)用也開(kāi)始出現(xiàn)并發(fā)展迅速，包括BBS、WWW、FTP、Email，以及近兩年流行的BT下載、視音頻業(yè)務(wù)等等，這些應(yīng)用都對(duì)帶寬提出了挑戰(zhàn)。與此同時(shí)，網(wǎng)絡(luò)技術(shù)——特別是以太網(wǎng)技術(shù)迅猛發(fā)展，1000M以太網(wǎng)已經(jīng)步入校園，萬(wàn)兆標(biāo)準(zhǔn)也已經(jīng)公布。第三個(gè)階段是信息資源建設(shè)時(shí)期。近兩年，萬(wàn)兆以太網(wǎng)已經(jīng)開(kāi)始在高校校園網(wǎng)中規(guī)?；瘧?yīng)用，下一代以太網(wǎng)標(biāo)準(zhǔn)也已經(jīng)確立為10萬(wàn)兆標(biāo)準(zhǔn)。當(dāng)基礎(chǔ)設(shè)施、應(yīng)用平臺(tái)建設(shè)之后，信息資源的豐富與否決定了校園網(wǎng)絡(luò)的真正價(jià)值。縱觀這兩年整個(gè)網(wǎng)絡(luò)世界，安全事件頻發(fā)：沖擊波、震蕩波、ARP攻擊等等。簡(jiǎn)單來(lái)說(shuō)，對(duì)于校園網(wǎng)：豐富的應(yīng)用是關(guān)鍵，而穩(wěn)定可靠的網(wǎng)絡(luò)是基礎(chǔ)，完善的安全和管理手段是保障。網(wǎng)絡(luò)、計(jì)算機(jī)技術(shù)的進(jìn)步和應(yīng)用軟件的提高，使計(jì)算機(jī)變的越來(lái)越容易使用，它們正被廣泛地使用，并迅速改變著人們的生活、學(xué)習(xí)、工作方式。社會(huì)變的很快，我們必須跟上時(shí)代的步伐，因此在經(jīng)濟(jì)條件允許的情況下，盡快盡早的建設(shè)校園網(wǎng)好處將是顯著的和長(zhǎng)遠(yuǎn)的。具體來(lái)說(shuō)，危害網(wǎng)絡(luò)安全的主要威脅有：非授權(quán)訪問(wèn)，即對(duì)網(wǎng)絡(luò)設(shè)備及信息資源進(jìn)行非正常使用或越權(quán)使用等；冒充合法用戶，即利用各種假冒或欺騙的手段非法獲得合法用戶的使用權(quán)限，以達(dá)到占用合法用戶資源的目的；破壞數(shù)據(jù)的完整性，即使用非法手段，刪除、修改、重發(fā)某些重要信息，以干擾用戶的正常使用；干擾系統(tǒng)正常運(yùn)行。IDC的統(tǒng)計(jì)曾顯示，有30％－40％的Internet訪問(wèn)是與工作無(wú)關(guān)的，甚至有的是去訪問(wèn)色情、暴力、反動(dòng)等站點(diǎn)。而對(duì)校園網(wǎng)來(lái)說(shuō)，面對(duì)形形色色、良莠不分的網(wǎng)絡(luò)資源，如不具有識(shí)別和過(guò)濾作用，不但會(huì)造成大量非法內(nèi)容或郵件出入，占用大量流量資源，造成流量堵塞、上網(wǎng)速度慢等問(wèn)題，而且某些網(wǎng)站如娛樂(lè)、游戲、暴力、色情、反動(dòng)消息等不良網(wǎng)絡(luò)內(nèi)容，將極大地危害青少年的身心健康，導(dǎo)致無(wú)法想象的后果。二是依據(jù)需求，不能盲目投資。這里有一個(gè)非常形象的比喻：網(wǎng)絡(luò)就象路，而應(yīng)用系統(tǒng)就象車(chē)，只修路但沒(méi)車(chē)跑，路也不能發(fā)揮它的作用。當(dāng)前計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)發(fā)展很快，設(shè)備更新淘汰很快。第二章 校園網(wǎng)需求分析 學(xué)校建筑現(xiàn)狀分析：學(xué)生公寓區(qū)辦公區(qū)核心交換機(jī)動(dòng)性機(jī)教師公寓區(qū)行政區(qū)軟件學(xué)院外語(yǔ)系經(jīng)管系計(jì)科系信息工程學(xué)生閱覽室機(jī)電系教學(xué)區(qū)財(cái)務(wù)處人事處教務(wù)處招生就業(yè)處圖書(shū)館電子閱覽室網(wǎng)絡(luò)中心借書(shū)室 學(xué)校建筑圖如圖所示學(xué)校分為學(xué)生公寓區(qū)，教師公寓區(qū)，行政區(qū)，圖書(shū)館，教學(xué)區(qū)。 信息點(diǎn)分布需求分析對(duì)學(xué)校信息點(diǎn)的分析，： 學(xué)校信息點(diǎn)的分析表大樓功能分布信息點(diǎn)信息點(diǎn)合計(jì)距核心網(wǎng)絡(luò)的距離學(xué)生公寓區(qū)A區(qū)500015000250mB區(qū)5000C區(qū)5000教師公寓區(qū)A區(qū)500015000250mB區(qū)5000C區(qū)5000行政區(qū)財(cái)務(wù)處20100500m人事處40教務(wù)處30招生就業(yè)處10圖書(shū)館學(xué)生閱覽室301701000m電子閱覽室30網(wǎng)絡(luò)中心100借書(shū)室10教學(xué)區(qū)計(jì)科系10004500200m軟件學(xué)院2000經(jīng)管系500機(jī)電系500信息工程系500辦公區(qū)A區(qū)100350250mB區(qū)150C區(qū)100合計(jì)348202450m 學(xué)校子網(wǎng)需求劃分為了提高IP地址的使用效率，引入了子網(wǎng)的概念。這使得IP地址的結(jié)構(gòu)分為三級(jí)地址結(jié)構(gòu)：網(wǎng)絡(luò)位、子網(wǎng)位和主機(jī)位。它的使用關(guān)鍵在于選擇合適的層次結(jié)構(gòu)如何既能適應(yīng)各種現(xiàn)實(shí)的物理網(wǎng)絡(luò)規(guī)模，又能充分地利用IP地址空間。學(xué)校子網(wǎng)的劃分。簡(jiǎn)單地說(shuō)，就是將一個(gè)大的物理的局域網(wǎng)（LAN）在交換機(jī)上通過(guò)軟件劃分成若干個(gè)小的虛擬的局域網(wǎng)（VLAN）。VLAN技術(shù)的出現(xiàn)，使得管理員根據(jù)實(shí)際應(yīng)用需求，把同一物理局域網(wǎng)內(nèi)的不同用戶邏 輯地劃分成不同的廣播域，每一個(gè)VLAN都包含一組有著相同需求的計(jì)算機(jī)工作站，與物理 上形成的LAN有著相同的屬性。由VLAN的特點(diǎn)可知，一個(gè)VLAN內(nèi)部的廣播和單播流量都不會(huì)轉(zhuǎn)發(fā)到其他VLAN中，從而有助于控制流量、減少設(shè)備投資、簡(jiǎn)化網(wǎng)絡(luò)管理、提高網(wǎng)絡(luò)的安全性。通過(guò)劃分VLAN子網(wǎng)，能劃小了廣播域，避免了數(shù)據(jù)碰撞在大的物理LAN內(nèi)產(chǎn)生嚴(yán)重后果的可能，也避免了廣播風(fēng)暴的產(chǎn)生。提高網(wǎng)絡(luò)安全性，通過(guò)劃分VLAN，LAN被劃分不同子網(wǎng)段，因此不能直接通信。方便網(wǎng)絡(luò)管理：采用VLAN技術(shù)來(lái)劃分校園網(wǎng)絡(luò)，一個(gè)VLAN可以根據(jù)不同的院系、辦公室或者服務(wù)器組將不同地理位置的工作站劃分為一個(gè)邏輯網(wǎng)段。VLAN技術(shù)很好的解決了網(wǎng)絡(luò)管理的問(wèn)題，能實(shí)現(xiàn)網(wǎng)絡(luò)監(jiān)督與管理的自動(dòng)化，從而更有效的進(jìn)行網(wǎng)絡(luò)監(jiān)控。 學(xué)校vlan的劃分及IP的分配表序號(hào)子網(wǎng)名稱(chēng)網(wǎng)段IP網(wǎng)關(guān)IP備注1學(xué)生公寓子網(wǎng)172．16．0．0/16172．16．2．1Vlan 22教師公寓子網(wǎng)172．17．0．0/16172．17．3．1Vlan 33行政區(qū)子網(wǎng)192．168．4．0/24192．168．4．1Vlan 44圖書(shū)館子網(wǎng)192．168．7．0/24192．168．7．1Vlan 75教學(xué)區(qū)子網(wǎng)172．18．0．0/16172．18．6．1Vlan 66辦公區(qū)子網(wǎng)192．168．5．0/24192．168．5．1Vlan 57服務(wù)器群子網(wǎng)192．168．8．0/24192．168．8．1Vlan 88無(wú)線網(wǎng)子網(wǎng)192．168．0．0/24192．168．0．1Vlan 9另外，IP地址分為公網(wǎng)地址和私網(wǎng)地址兩類(lèi)，公有地址（Public address）由Inter NIC（Internet Network Information Center 因特網(wǎng)信息中心）負(fù)責(zé)。通過(guò)它直接訪問(wèn)因特網(wǎng)。以下列出留用的內(nèi)部私有地址A類(lèi) B類(lèi) C類(lèi) 校園網(wǎng)布線工程分析因?yàn)橐陨系男枨筇攸c(diǎn)和信息點(diǎn)分布，：C區(qū)交換機(jī)核心交換機(jī)學(xué)生公寓區(qū)交換機(jī)A區(qū)交換機(jī)B區(qū)交換機(jī)C區(qū)交換機(jī)人事處交換機(jī)教師公寓區(qū)交換機(jī)行政區(qū)交換機(jī)財(cái)務(wù)處交換機(jī)核心交換機(jī)A區(qū)交換機(jī)B區(qū)交換機(jī)教務(wù)處交換機(jī)招生就業(yè)處交換機(jī)辦公區(qū)教學(xué)區(qū)圖書(shū)館A區(qū)交換機(jī)B區(qū)交換機(jī)C區(qū)交換機(jī)計(jì)科系交換機(jī)軟件學(xué)院交換機(jī)機(jī)學(xué)生閱覽室交換機(jī)經(jīng)管系交換機(jī)機(jī)電系交換機(jī)電子閱覽室交換機(jī)網(wǎng)絡(luò)中心交換機(jī)借書(shū)室交換機(jī)信息工程交換機(jī) 學(xué)校信息點(diǎn)的分布圖第三章 校園網(wǎng)設(shè)備的選擇本次的課題設(shè)計(jì)是在模擬軟件的基礎(chǔ)上實(shí)現(xiàn)的，因此此次的網(wǎng)絡(luò)設(shè)備選擇主要是依據(jù)該軟件中具有的設(shè)備。 交換機(jī)模塊設(shè)計(jì)使用雙核心網(wǎng)絡(luò)的主要目的是實(shí)現(xiàn)冗余的連接防止單點(diǎn)失效，從邏輯上，大型網(wǎng)絡(luò)可分為核心層、分布層和接入層，每層都有其特點(diǎn)。 交換機(jī)的選擇交換機(jī)分為二層交換機(jī)和三層交換機(jī)兩種類(lèi)型，其中二層交換機(jī)的工作原理是：（1）當(dāng)交換機(jī)從某個(gè)端口收到一個(gè)數(shù)據(jù)包，它先讀取包頭中的源MAC地址，這樣它就知道源MAC地址的機(jī)器是連在哪個(gè)端口上的； （2）再去讀取包頭中的目的MAC地址，并在地址表中查找相應(yīng)的端口；（3）如表中有與這目的MAC地址對(duì)應(yīng)的端口，把數(shù)據(jù)包直接復(fù)制到這端口上；（4）如表中找不到相應(yīng)的端口則把數(shù)據(jù)包廣播到所有端口上，當(dāng)目的機(jī)器對(duì)源機(jī)器回應(yīng)時(shí)，交換機(jī)又可以學(xué)習(xí)一目的MAC地址與哪個(gè)端口對(duì)應(yīng)，在下次傳送數(shù)據(jù)時(shí)就不再需要對(duì)所有端口進(jìn)行廣播了?？梢钥闯龆咏粨Q機(jī)沒(méi)有路由功能，當(dāng)不同的子網(wǎng)進(jìn)行通信是要借助路由器實(shí)現(xiàn)數(shù)據(jù)包的轉(zhuǎn)發(fā)，所以當(dāng)子網(wǎng)數(shù)量較多時(shí)，路由器的接口數(shù)量就成了一個(gè)瓶頸，而三層交換機(jī)就能解決這一缺點(diǎn)。因此具有路由功能的快速轉(zhuǎn)發(fā)的三層交換機(jī)就成為首選。 核心層交換機(jī)的說(shuō)明配置核心層的功能主要是實(shí)現(xiàn)骨干網(wǎng)絡(luò)之間的優(yōu)化傳輸,核心層設(shè)計(jì)任務(wù)的重點(diǎn)通常是冗余能力、可靠性和高速的傳輸。核心層一直被認(rèn)為是所有流量的最終承受者和匯聚者，所以對(duì)核心層的設(shè)計(jì)以及網(wǎng)絡(luò)設(shè)備的要求十分嚴(yán)格。（1）基于端口vlan的劃分這是最常應(yīng)用的一種VLAN劃分方法，應(yīng)用也最為廣泛、最有效，目前絕大多數(shù)VLAN協(xié)議的交換機(jī)都提供這種VLAN配置方法。從這種劃分方法本身我們可以看出，這種劃分的方法的優(yōu)點(diǎn)是定義VLAN成員時(shí)非常簡(jiǎn)單，只要將所有的端口都定義為相應(yīng)的VLAN組即可。它的缺點(diǎn)是如果某用戶離開(kāi)了原來(lái)的端口，到了一個(gè)新的交換機(jī)的某個(gè)端口，必須重新定義。從而增大鏈路帶寬，解決交換網(wǎng)絡(luò)中因帶寬引起的網(wǎng)絡(luò)瓶頸問(wèn)題。該核心交換機(jī)采用的是兩條，具體配置如下：Switch(config)inter portchannel 1 Switch(configif)no switchport Switch(configif)no shutdown Switch(configif)ip address Switch(config)inter gig0/1Switch(configif)channelgSwitch(configif)channelgroup 1 m onSwitch(config)inter gig0/2Switch(configif)channelgroup 1 m on(4)兩個(gè)三層核心交換機(jī)之間的RIP路由協(xié)議，具體配置代碼如下：sw0(config)router ripsw0(configrouter)network sw0(configrouter)network sw0(configrouter)network sw0(configrouter)network sw0(configrouter)network sw0(configrouter)version 2sw0(configrouter)no autosummarysw1(config)router ripsw1(configrouter)network sw1(configrouter)network sw1(configrouter)network sw1(configrouter)network sw1(configrouter)network sw1(configrouter)network sw1(configrouter)network sw1(configrouter)version 2sw1(configrouter)no autosummary 匯聚層交換機(jī)的說(shuō)明配置分布層提供基于統(tǒng)一策略的互連性，它是核心層和訪問(wèn)層的分界點(diǎn)，定義了網(wǎng)絡(luò)的邊界，對(duì)數(shù)據(jù)包進(jìn)行復(fù)雜的運(yùn)算。然后通過(guò)VTP協(xié)議將VLAN定義傳播到本管理域中的所有交換機(jī)上。將分布層交換機(jī)學(xué)生公寓區(qū)的交換機(jī)設(shè)置成為VTP服務(wù)器，其他交換機(jī)設(shè)置成為VTP客戶機(jī)。所謂的TRUNKING是用來(lái)在不同的交換機(jī)之間進(jìn)行連接，以保證在跨越多個(gè)交換機(jī)上建立的同一個(gè)VLAN的成員能夠相互通訊。與一般的交換機(jī)的級(jí)聯(lián)不同，TRUNKING是基于OSI第二層數(shù)據(jù)鏈路層（DataLinkLayer)RUNKING技術(shù)，如果你在2個(gè)交換機(jī)上分別劃分了多個(gè)VLAN（V