【正文】 其是 INTERNET 的飛速發(fā)展和商業(yè)化，促使計算機技術(shù)，電信技術(shù)不斷融合，使人們獲取信息的方式，相互交流信息的方式發(fā)生了巨大的改變。信息為人民生活方式和工作方式帶來了巨大的變化，也為網(wǎng)絡和信息的開發(fā)者和經(jīng)營者帶來了巨大的商業(yè)機會。作為科技先導的教育行業(yè)，計算機校園網(wǎng)已經(jīng)是教育行業(yè)進行科研和現(xiàn)代化管理的重要 手段。高校校園網(wǎng)的應用已進入普及階段。 校園網(wǎng)平臺的建設，不但可以推進全校各網(wǎng)絡系統(tǒng)的互連互通，實現(xiàn)信息的快速傳遞和充分利用，為廣大師生的工作和生活提供準確、及時、有效的信息服務，還能避免重復投資、重復建設、促進網(wǎng)絡建設規(guī)范化，加速信息產(chǎn)業(yè)的發(fā)展，優(yōu)化社會結(jié)構(gòu)和提高社會生產(chǎn)力。而信息化校園的建設和完善，將是這一變革的入手點。 高度發(fā)達的計算機網(wǎng)絡是信息化校園的核心技術(shù)支撐。網(wǎng)絡化的內(nèi)容還應該包括與校園網(wǎng)及其整個國際互連網(wǎng)的充分互連。 在信息化校園中，教師和學生可以通過校園網(wǎng)獲得豐富的資源，他們再不會因為學校圖書館資源的限制而影響教學質(zhì)量和學習積極性。 在信息化校園中，學生可以方便地得到教師的個別化的輔導，通過同步和異步師生交互，教師可以滿足不同學生的個性化的需要，使得學生真正成為學習的主體。由于這些方法都需要豐富的資源、教師的個別化指導和學生間廣泛的合作，因此，只有在信息化校園的教學環(huán)境中，才能夠真正實現(xiàn)。學校現(xiàn)有三個校區(qū)，即沈陽崇山校區(qū)、沈陽 道義 校區(qū)和遼陽武圣校區(qū)，教學區(qū)占地面積 2021 畝，建筑面積 萬平方米，是國家 “ 211工程 ” 重點建設院校之一。 學校有全日制在校學生近 萬人，其中本科生近 2 萬人，研究生近 6700人，外國留學生近 1100 人。公共服務體系建設較為完善，圖書館總面積達 萬平方米，館藏文獻 275 萬冊，其中珍本、善本書 300 余種，被聯(lián)合國出版部指定為聯(lián)合國文獻收藏圖書館，是國務院批準的 “ 全國古籍重點保護單位 ” 。校園網(wǎng)是中國教育和科研網(wǎng)的組成部分，已成為沈陽北部大學區(qū)域節(jié)點。 可靠性和可用性 選用高可靠的產(chǎn)品和技術(shù)，充分考慮系統(tǒng)在程序運行時的應變能力和容錯能 本科生畢業(yè)設計（論文） 5 力，確保整個系統(tǒng)的安全與可靠。 實用性和經(jīng)濟性 從實用性和經(jīng)濟性出發(fā)，著眼于近期目標和長期發(fā)展，選用先進的設備，進行最佳性能組合，利用 有限的投資構(gòu)造一個性能最佳的網(wǎng)絡系統(tǒng)。在以后對該網(wǎng)絡進行升級和擴展時，必須能保護現(xiàn)有投資。 網(wǎng)絡安全需求 校園網(wǎng)接入 Inter，建立完整的 Inter 服務體系，將校園網(wǎng)變成一個獨立的園區(qū)網(wǎng)，構(gòu)成真正意義的 Inter 網(wǎng)絡。設置用戶權(quán)限，對不同用戶組進 行權(quán)限控制。實現(xiàn)校園辦公自動化，提高工作效率和管理水平；實現(xiàn)數(shù)字化圖書館，并及時、可靠地收集、處理、存儲、傳輸學校的教育教學信息并完成與因特網(wǎng)的通訊和資源共享；實現(xiàn)課堂多媒體電化教學；并建成“校園一卡通”系統(tǒng)平臺，實現(xiàn)身份認證、校內(nèi)消費、教務管理等諸多功能；所有多媒體教室高速入網(wǎng)，無線網(wǎng)絡，以 IEEE 和 IEEE 為基礎，覆蓋校園，作為有線網(wǎng)絡的補充。崇山校區(qū)包括教學區(qū)、行政辦公區(qū)以及宿舍區(qū)，教學區(qū)有蕙星樓、計算中心、信息學院、理工樓、化學樓、外語樓、遼大出版社、國際交流中心、培訓中心、哲經(jīng)樓以及圖書館。 道義校區(qū)包括教學區(qū)、綜合實驗樓以及宿舍區(qū)，教學區(qū)有圖書館、網(wǎng)絡中心、博文樓、博雅樓、方圓樓、文化樓、則行樓、藝馨樓、勵行樓以及校部辦公樓，宿舍區(qū)共有 14 棟 宿舍。 學校網(wǎng)絡中心建在崇山校區(qū)蕙星樓內(nèi)，辦公樓和各系部的建筑均超過 500 米，應有如下需求：兩校區(qū)之間使用萬兆連接，以滿足網(wǎng)絡需求；各部門和學院部單獨組成子網(wǎng)與網(wǎng)絡中心千兆連接；校園網(wǎng)內(nèi)部使用內(nèi)部 IP 地址，校園網(wǎng)要介入Inter，要考慮網(wǎng)絡安全。網(wǎng)絡的控制功能、網(wǎng)絡的各種應用應盡量少在核心層上實施。 根據(jù)目前的網(wǎng)絡技術(shù)發(fā)展趨勢，千兆到匯聚、千兆到服務器群已經(jīng)非常常見、千兆到桌面在某些地方也已經(jīng)逐漸普及，接踵而至的就是對核心設備交換能力和核心設備相互互聯(lián)鏈路的要求的提高，目前萬兆以太網(wǎng)由于其技術(shù)先進性、 10 倍與千兆以太網(wǎng)的帶寬、合理的價格正在逐漸應用于新建和改造的高 校校園網(wǎng)絡。 匯聚層設計 根據(jù)各個樓宇的用戶和流量特點，分別在崇山校區(qū)的教學區(qū)、圖書館、行政辦公區(qū)、宿舍區(qū)以及道義校區(qū)的教學區(qū)、綜合實驗樓區(qū)、宿舍區(qū)等流量比較大的樓宇，分別設置匯聚交換機。 接入層設計 接入層主要面對各辦公區(qū)和各教學區(qū)、宿舍區(qū)，接入量大，適合選擇性價比較高的 H3C S2126CN 智能網(wǎng)管交換機 作為接入層產(chǎn)品。該交換機提供 25 個以太網(wǎng)端口、 1 個百兆 SFP 光端口以及 1 個 console 口，支持 Vlan 劃分、Vlan 內(nèi)端口隔離、 MAC 地址＋端口綁定等功能以及 SNMP 和 HGMP 協(xié)議，可以通過 本科生畢業(yè)設計（論文） 8 命令行、 Web 界面和 iMC 網(wǎng)管軟件等多種方式進行管理，具備在戶外環(huán)境下正常工作的能力，適用于城域網(wǎng) IP 接入和金融、院校、政府以及其他企業(yè)工作組用戶接入。核心層設計 2臺高性能萬兆核心路由交換機，和分中心的萬兆高性能交換機組成全冗余的萬兆雙鏈路， 保證了校園網(wǎng)的高速數(shù)據(jù)路由交換，并且具有很好的可擴展性。 匯聚層部署 IPV4／ IPV6雙棧硬件轉(zhuǎn)發(fā)路由交換機通過千兆鏈路實現(xiàn)和各個核心層分中心的互連，構(gòu)建新校區(qū)高性能、高穩(wěn)定、高可靠的 IPV4／ IPV6雙棧匯聚層網(wǎng)絡。接入層全部采用千兆智能安全交換機，實現(xiàn)接入安全控制。 校區(qū)內(nèi)部署管理平臺和認證計費平臺，從而完成兩個校區(qū)全網(wǎng)的用戶管理、設備管理和日志管理等。 校園網(wǎng)絡由多種完成不同功能的網(wǎng)絡設備組成，包括路由器、交換機、Inter接入設備、防火墻等以及各種服務器，如：遠程教育服務器、網(wǎng)管服務器（包括網(wǎng)管軟件）、主服務器（包括 WWW、 Email、 DNS等）。同時采取相應的措施，確保通訊數(shù)據(jù)的安全、保密。 所以，要達到以上這些設計要求，分層的設計功能及星 型、樹型和交叉型的拓撲結(jié)構(gòu)應給予足夠的重視，做到應地而異。在崇山校區(qū)用光纜將蕙星樓、外 本科生畢業(yè)設計（論文） 9 語樓、理化樓、培訓中心、哲經(jīng)樓、機關樓、數(shù)學生物樓、新圖書館、留學生院、研究生部、五舍、出版社、理工實驗樓共 13棟樓宇進行連接，主干網(wǎng) 采用 光纜鋪設；將文化科技園區(qū)、醫(yī)院、公安處等部門采用了樓宇牽拉雙絞線進行連接。 使用 萬兆路由交換網(wǎng)絡，兩校區(qū)實現(xiàn) 10GB互聯(lián) ， 敷設 光纜連接道義所有樓宇， 8個教學樓、辦公樓， 10棟學生宿舍樓。教學區(qū)和辦公區(qū)的使用量很大，但生活區(qū)的使用量相對比較小，所以目前的拓撲結(jié)構(gòu)呈星形，中心服務器建議采用雙機式，即以蕙星樓為核心，向其他大樓輻射，建筑物之間使用多模光纖連接，建筑物內(nèi)部也將采用星形布局，每幢建筑只需要一個設備間，統(tǒng)一放置設備。 表 為崇山校區(qū) IP 地址分配 表 崇山校區(qū) IP地址分配 區(qū)域 樓宇 子網(wǎng)地址 IP 地址范圍 網(wǎng)絡中心 蕙星樓 教學區(qū) 計算中心 信息學院 理工樓 化學樓 外語樓 出版社 國際交流中心 培訓中心 哲經(jīng)樓 圖書館 行政辦公區(qū) 機關樓 五洲園 成教學樓 生物 環(huán)境樓 研究生院 校醫(yī)院 宿舍區(qū) 10 舍 11 舍 12 舍 14 舍 15 舍 16 舍 17 舍 18 舍 19 舍 20 舍 本科生畢業(yè)設計（論文） 11 表 為道義校區(qū) IP 地址分配 表 道義校區(qū) IP地址分配 區(qū)域 樓宇 子網(wǎng)地址 IP 地址范圍 教學區(qū) 網(wǎng)絡中心 圖書館 蓉教樓 文藝樓 經(jīng)管樓 文科樓 辦公樓 階梯 A 階梯 B 生活服務中心 綜合實驗樓 宿舍區(qū) A1 A12 A2 A3 A4 B1B2 連廊 B2B3 連廊 B5B6 連廊 B6B7 連廊 B6 B7 C3 C2C3 連廊 C2 C1 B1 B2 本科生畢業(yè)設計（論文） 12 B3 B4 B5 仿真模擬及測試 蕙星樓交換機配置 圖 蕙星樓交換機配置 機關樓交換機配置 本科生畢業(yè)設計（論文） 13 圖 機關樓交換機配置 測試 圖 測試 本科生畢業(yè)設計（論文） 14 網(wǎng)絡組網(wǎng)技術(shù)選擇 目前 ， 可用于校園 LAN（ 局域網(wǎng) ） 的技術(shù)有 Ether（ 以太網(wǎng) ） 、 Fast Ether（ 快速以太網(wǎng) ） 、 Gigabit Ether（ 千兆位以太網(wǎng) ） 、 FDDI（ 光 纖分布式數(shù)據(jù)接口 ） 和 ATM（ 異步傳輸模式 ） 。 Fast Ether是一種非常成熟的組網(wǎng)技術(shù)，造價很低，性能價格比很高，可作為資金不很充裕的中小型單位組建 Intra網(wǎng)的首選技術(shù)。 Gigabit Ether技術(shù)已成為大型 Fast Ether的升級目標。 ATM是一種快速分組交換技術(shù)，它在 WAN（廣域網(wǎng)）上體現(xiàn)的強大功能和在 LAN上的成功應用， 是多媒體應用系統(tǒng)的理想網(wǎng)絡平臺 ，均以事實說明了它的技術(shù)的先進性。但是 ATM不兼容以往的以太網(wǎng)投資，其管理和操作有異于傳統(tǒng)的以太網(wǎng)平臺，故不適用于以太網(wǎng)的升級改造。 但在本方案中選擇使用千兆位以太網(wǎng)技術(shù)，主干為萬兆網(wǎng)， 10M/100M自適應或 10M交換到桌面。千兆位以太網(wǎng)提供 10倍于快速以太網(wǎng)的性能而價格遠遠低于其 10倍，與 ATM相比，其價格則遠遠低于 622Mbps ATM。 ATM必須使用局域網(wǎng)仿真才能與現(xiàn)有的網(wǎng)絡設施兼容。 能保證服務質(zhì)量。此外，千兆位以太網(wǎng)也可通過 。 本科生畢業(yè)設計（論文） 15 無線網(wǎng)絡設計 無線網(wǎng)絡作為有線網(wǎng)絡的補充，為部分布線較困難的區(qū)域和需要移動辦公、學習的用戶提供全面、無縫的網(wǎng)絡覆蓋。 主要網(wǎng)絡設備的選擇原則 根據(jù)已制定的網(wǎng)絡設計原則，我們所選擇的網(wǎng)絡設備必須具有以下一些特定： 安全、穩(wěn)定、可靠 作為整個校園網(wǎng)絡系統(tǒng)的硬件基礎，網(wǎng)絡設備必須是具備安全性、穩(wěn)定性和可靠性的特點。最好是經(jīng)過相當長時間，在世界范圍內(nèi)被廣泛應用的網(wǎng)絡產(chǎn)品，所以在選擇產(chǎn)品時選用國際知名廠商的產(chǎn)品。作為高科技的產(chǎn)品，還應該具有技術(shù)先進性。同時，在網(wǎng)絡規(guī)模進一步擴大，該設備不能承擔繁重的負荷時，能夠降級使用。最好能夠做到在網(wǎng)絡技術(shù)進一步發(fā)展，現(xiàn)有模塊不支持新技術(shù)的情況下，只需要更換相應模塊，而不需要更換整個設備。所以，在選擇設備時必須支持現(xiàn)有的、常用的網(wǎng)絡管理協(xié)議和多種網(wǎng)絡管理軟件，便于管理人員的維護。因此即便是用戶的網(wǎng)絡中安裝配置了防火墻系統(tǒng)、防病毒系統(tǒng)、入侵檢測系統(tǒng)等系統(tǒng)、并實現(xiàn)了防火墻與入侵檢測的聯(lián)動，但是當內(nèi)部用戶發(fā)起分布式拒絕服務攻擊或網(wǎng)絡病毒大規(guī)模爆發(fā)是，由于這些攻擊流量核心交換設備將承受巨大的壓力、甚至當機、而此時由于防火墻設備“防外不防內(nèi)”的特性，這些網(wǎng)絡 設備將形同虛設，用戶網(wǎng)絡安全方面的投資也就付之東流了 。 P2DR 模型的原理 P2DR 模型是在整體的安全策略的控制和引導下，在綜合運用防護工具（如防火墻、操作系統(tǒng)身份認證、加密等手段）的同時，利用檢測工具了解和估系統(tǒng)的安全狀態(tài)，將系統(tǒng)調(diào)整到“最安全”和“風險最底”的狀態(tài)。它的指導思想比傳統(tǒng)靜態(tài)安全方案有突破性提高。由 P2DR 四要素組成完整的模型體系可以描述和解釋任何信息安全問題。 圖 P2DR安全理論模型 P2DR 模型闡述了這樣一個結(jié)論：安全的目標實際上就是盡可能地增大保護 本科生畢業(yè)設計（論文） 17 時間，盡量減少檢測時間和響應時間。策略體系的建立包括：安全策略的制訂、評估執(zhí)行等。 Protection（保護）：保護通常是通過采用一些傳統(tǒng)的靜態(tài)安全技術(shù)及方法來實現(xiàn)的，主要有防火墻、加密、認證等方法。網(wǎng)絡的安全風險是實時存在的，所以我們檢測的對象 應該主要針對構(gòu)成安全風險的兩個部分：系統(tǒng)自身的脆弱性及外部威脅。從某種意義上講，安全問題就是要解決緊急響應和異常處理問題。 P2DR 模型的兩種安全技術(shù) 洞檢測與評估技術(shù) 進行漏洞檢測與評估的主要目的是先于入侵者發(fā)現(xiàn)漏洞并及時彌補，從而進行安全防護。因為網(wǎng)絡是動態(tài)變化的，所以漏洞檢測與評估應該定期執(zhí)行。從原理上講，網(wǎng)絡漏洞檢測就是模擬攻擊者的角度、攻擊的方法和手段并結(jié)合漏洞知識庫進行掃描和檢測，也就是說網(wǎng)絡漏洞檢測是通過掃描工具發(fā)出模擬攻擊檢測包，然后偵聽檢測目標響應來收集信息和判斷網(wǎng)絡中是否存在漏洞。檢測范圍包括所有的網(wǎng)絡系統(tǒng)設備：服務器、防火墻、交換機、路由器等網(wǎng)絡中所有設備及 主機。 主機安全評估，即定期掃描操作系統(tǒng)，以檢查服務器的操作系統(tǒng)的配置、漏洞等。系統(tǒng)檢測代理主要是根據(jù)漏洞知識庫來檢測系統(tǒng)安全隱