【正文】 網(wǎng)絡(luò)設(shè)計(jì)的目標(biāo)與要求 校園網(wǎng)絡(luò)建設(shè)的重點(diǎn)在于加強(qiáng)教學(xué)科研的 管理 、 輔助教師生動(dòng)的教學(xué) 、 激發(fā)學(xué)生自主學(xué)習(xí)。 在此次的 校園網(wǎng)規(guī)劃設(shè)計(jì)中，我們通過(guò)學(xué)習(xí)、參考一些經(jīng)典的網(wǎng)絡(luò)規(guī)劃方案，提出了我們小組的設(shè)計(jì)流程，即： （ 1） 進(jìn)行對(duì)象研究和需求調(diào)查，明確學(xué)校的性質(zhì)、任務(wù)和改革發(fā)展的主系統(tǒng)建設(shè)的需求和條件 ，對(duì)學(xué)校的信息化環(huán)境進(jìn)行準(zhǔn)確的描述。 （ 3）確定網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)和功能，根據(jù)應(yīng)用需求建設(shè)目標(biāo)和學(xué)校的主要建筑分布特點(diǎn)，進(jìn)行系統(tǒng)分析和設(shè)計(jì)。 （ 5）結(jié)合前述分析，繪制網(wǎng)絡(luò)拓?fù)鋱D、 選定主要網(wǎng)絡(luò)設(shè)備 、進(jìn)行 VLAN 劃分及 IP 編址方案 以及 核心配置 。 通過(guò)查閱徐州市各大中學(xué)的資料，我們選擇了一所比較典型的重點(diǎn)中學(xué)作為設(shè)計(jì)對(duì)象，該學(xué)校的基本信息如下：學(xué)校規(guī)模一般，其中在校生 2021 人，在校教職工 300 人。整個(gè)校園有兩棟教學(xué)樓，兩棟學(xué)生公寓，一棟較大的圖書(shū)館，一棟實(shí)驗(yàn)樓，一棟行政樓。 在學(xué)校提供的一份校園網(wǎng)建設(shè)招標(biāo)書(shū)中，校方 提出 在建設(shè)校園網(wǎng)時(shí)，要達(dá)到2021 年中國(guó)礦業(yè)大學(xué)計(jì)算機(jī)學(xué)院網(wǎng)絡(luò)系統(tǒng)實(shí)踐成果報(bào)告 4 以下目的： ● 在校園內(nèi)部實(shí)現(xiàn)資源高度共享，為教學(xué)、科研、管理提供服務(wù)，為計(jì)劃、組織、管理與決策提供基礎(chǔ)信息和科學(xué)手段； ● 支持教育教學(xué)改革，提高教育技術(shù)的現(xiàn)代水平和教育信息化程度、為學(xué)校教師的備課、課件制作、教學(xué)演示提供網(wǎng)絡(luò)環(huán)境； ● 通過(guò)互聯(lián)網(wǎng)、錄像機(jī)、掃描儀、數(shù)碼相機(jī)等各種渠道獲得多媒體資料，實(shí)現(xiàn)素材收集、電子備課功能。 ● 實(shí)現(xiàn)課堂多媒體電化教學(xué)，具備適用于雙向課堂語(yǔ)音教學(xué)及語(yǔ)音室功能學(xué)習(xí)。通過(guò)這些方式，我們明確該校主要是希望建立高速的校園內(nèi)部網(wǎng)，使其在保障內(nèi)部流暢通訊以外，還要保障其他學(xué)校的接入暢通無(wú)阻。 還有幾個(gè)比較具體的需求如下： 1. 教學(xué)區(qū)、宿舍區(qū)用戶對(duì)校園網(wǎng)、教育網(wǎng)的訪問(wèn)有相應(yīng)的路由策略 ； 2. 校區(qū)內(nèi)的各個(gè)行政門(mén)的教務(wù)部門(mén)要實(shí)現(xiàn)穩(wěn)定、安全、快速的通信； 2021 年中國(guó)礦業(yè)大學(xué)計(jì)算機(jī)學(xué)院網(wǎng)絡(luò)系統(tǒng)實(shí)踐成果報(bào)告 5 3. 滿足現(xiàn)有要求，并且要滿足 日后學(xué)校規(guī)模不斷擴(kuò)大，用戶數(shù)量增加后的需求，具有良好的擴(kuò)展性能； 4. 工程費(fèi)用經(jīng)濟(jì)周到，考慮 到可擴(kuò)展、安全性、可靠性與性?xún)r(jià)比的問(wèn)題。在結(jié)合《網(wǎng)絡(luò)系統(tǒng)管理》課程中所介紹的方法基礎(chǔ)上，我們明確了此次網(wǎng)絡(luò)設(shè)計(jì)中的一些基本原則： ● 網(wǎng)絡(luò)方案應(yīng)采用成熟的技術(shù)，并盡可能采用先進(jìn)的技術(shù)； ● 采用國(guó)際統(tǒng)一標(biāo)準(zhǔn)，以擁有廣泛的支持廠商，最大限度的采用同一廠家的產(chǎn)品； ● 方案應(yīng)合理分配帶寬，使用戶不受網(wǎng)上“塞車(chē)”的影響； ● 應(yīng)充分考慮未來(lái)可能的應(yīng)用，如桌面將承受大型應(yīng)用軟件和多媒 體傳輸需求的壓力； ● 網(wǎng)絡(luò)方案要具有高擴(kuò)展性。 在這些設(shè)計(jì)原則的指導(dǎo)下，我們決定 采用 Inter 上的標(biāo)準(zhǔn)協(xié)議 TCP/IP 協(xié)議，來(lái)提供校園內(nèi)部即互聯(lián)網(wǎng)上的 WWW 服務(wù)、 FTP 服務(wù)、 NEWS 服務(wù)和電子郵件服務(wù)，同時(shí)它還有支持通用大型數(shù)據(jù)庫(kù)的功能，支持多種協(xié)議，具有良好的軟件支持，對(duì)網(wǎng)絡(luò)管理員而言，還包括支持流行的 SNMP 等網(wǎng)絡(luò)管理協(xié)議，已將其建成一個(gè)具有高可靠性和開(kāi)放性的校園網(wǎng)絡(luò)。 2021 年中國(guó)礦業(yè)大學(xué)計(jì)算機(jī)學(xué)院網(wǎng)絡(luò)系統(tǒng)實(shí)踐成果報(bào)告 6 二、校園網(wǎng)整體方案設(shè)計(jì) 校園網(wǎng)涉及主要網(wǎng)絡(luò)技術(shù)介紹 在該校園網(wǎng)設(shè)計(jì)方案中，我們綜合應(yīng)用了以太網(wǎng)技術(shù)、路由技術(shù)、交換 及 VLN技術(shù)、遠(yuǎn)程訪問(wèn)技術(shù) 、網(wǎng)絡(luò)冗余技術(shù) 等。 它 由 Xerox公司創(chuàng)建并由 Xerox、 Intel 和 DEC 公司聯(lián)合開(kāi)發(fā) ，是當(dāng)今現(xiàn)有局域網(wǎng)采用的最通用的通信協(xié)議標(biāo)準(zhǔn)。 本方案的核心設(shè)計(jì)均采用以太網(wǎng)的結(jié)構(gòu)設(shè)計(jì)。路由器具有在網(wǎng)絡(luò)中傳遞數(shù)據(jù)時(shí)選擇最佳路徑的能力。在本 方案中，內(nèi)網(wǎng)用戶不僅通過(guò)路由器接入因特網(wǎng)、內(nèi)網(wǎng)用戶之間也通過(guò) 3 層交換機(jī)上的路由功能進(jìn)行數(shù)據(jù)包交換?，F(xiàn)代交換技術(shù)還實(shí)現(xiàn)了第3 層交換和多層交換。現(xiàn)代交換網(wǎng)絡(luò)還引入了虛擬局域網(wǎng)（ Virtual Local Area Network， VLAN）的概念。這種技術(shù)可以把一個(gè) LAN 劃分成多個(gè)邏輯的 LAN—— VLAN，每個(gè) VLAN 是一個(gè)廣播域， VLAN 內(nèi)的主機(jī)間通信就和在一個(gè) LAN 內(nèi)一樣，而 VLAN 間則不能直接互通，這樣，廣播報(bào)文被限制在一個(gè) VLAN 內(nèi) 。 但是 在不同 VLAN 間不通過(guò)路由是無(wú)法通信的。而為了獲取 MAC 地址， TCP/IP 協(xié)議下使用的是 ARP。也就是說(shuō)，如果廣播報(bào)文無(wú)法到達(dá)，那么就無(wú)從解析 MAC 地址，亦即無(wú)法直接通信。因此，屬于不同 VLAN 的計(jì)算機(jī)之間無(wú)法直接互相通信。因此，在 VLAN 間需要通信的時(shí)候，可以利用 VLAN 間路由技術(shù)來(lái)實(shí)現(xiàn) 。該方法只需網(wǎng)絡(luò)管理員對(duì)網(wǎng)絡(luò)設(shè)備的交換端口進(jìn)行重新分配即可，不用考慮該端口所連接的設(shè)備。 MAC 地址由 12 位 16 進(jìn)制數(shù)表示，前 6 位為網(wǎng)卡的廠商標(biāo)識(shí)（ OUI），后 6 位為網(wǎng)卡標(biāo)識(shí)（ NIC）。 ⑶ 基于路由的 VLAN 劃分 路由協(xié)議工作在網(wǎng)絡(luò)層，相應(yīng)的工作設(shè)備有路由器和路由交換機(jī)（即三層交換機(jī)）。 就目前來(lái)說(shuō)，對(duì)于 VLAN 的劃分主要采取上述第 3 種方式，第 2 種方式為輔助性的方案 。 因此 支持 VLAN 的交換機(jī)配合第三 層功 能不但具有很高的性能，而且具有充分的彈性，是我們此次設(shè)計(jì)方案的選擇。它可以為家庭辦公 職員 和出差在外的 老師 提供移動(dòng)接入服務(wù)。同時(shí)多數(shù) 學(xué)校 較難為接入設(shè)備提供理想的工作環(huán)境，不能確保信息傳輸?shù)馁|(zhì)量和安全。 c、 VPN 遠(yuǎn)程接入 VPN(Virtual Private Network) 即虛擬專(zhuān)用網(wǎng)是在公共網(wǎng)絡(luò)上建立的專(zhuān)用網(wǎng)絡(luò)，但其任意 2 個(gè)結(jié)點(diǎn)間的連接并沒(méi)有傳統(tǒng)專(zhuān)用網(wǎng)絡(luò)所需的點(diǎn)到點(diǎn)的物理鏈路，而是架構(gòu)在公共網(wǎng)絡(luò) ( Inter) 服務(wù)商 ( ISP) 所提供網(wǎng)絡(luò)平臺(tái)上的邏輯網(wǎng)絡(luò)。通過(guò)加密和認(rèn)證技術(shù)，確保 校園 內(nèi)部網(wǎng)絡(luò)數(shù)據(jù)在公共網(wǎng)絡(luò)上安全傳輸，真正實(shí)現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)的專(zhuān)有性。 VPN 遠(yuǎn)程接入方式最適用于 學(xué)校 經(jīng)常有 教師 出差，需實(shí)現(xiàn)遠(yuǎn)程辦公的情況。 VPN 遠(yuǎn)程接入方式有以下主要優(yōu)勢(shì)： 簡(jiǎn)化網(wǎng)絡(luò)。 節(jié)省費(fèi)用。 支持多種標(biāo)準(zhǔn)認(rèn)證機(jī)制如 LDAP、 RADIUS 等。無(wú)論用戶采用哪種方式訪問(wèn)互聯(lián)網(wǎng)，均可建立 VPN 連接。無(wú)論 學(xué)校 大小， VPN 都有相對(duì)應(yīng)的產(chǎn)品，用戶數(shù)可為 5～ 5 000 個(gè)。通過(guò)網(wǎng)絡(luò)冗余技術(shù)可以提高網(wǎng)絡(luò)的可靠性， 鏈路冗余既可提高可靠性，又能均衡負(fù)載； 網(wǎng)絡(luò)拓?fù)湓O(shè)計(jì) 該方案的網(wǎng)絡(luò)拓?fù)鋱D如下： 2021 年中國(guó)礦業(yè)大學(xué)計(jì)算機(jī)學(xué)院網(wǎng)絡(luò)系統(tǒng)實(shí)踐成果報(bào)告 9 該方案采用兩層結(jié)構(gòu)，接入層交換機(jī)直接連接到核心交換機(jī)。從拓?fù)渲锌梢钥闯?，共有六條上行鏈路，行政樓一條，教學(xué)樓兩條，宿舍樓兩條，他們分別通過(guò)千兆光纖連接到核心交換機(jī)上；中心機(jī)房布置在圖書(shū)館內(nèi)，圖書(shū)館的流量通過(guò)一條千兆以太網(wǎng)直接連接到核心交換 機(jī)上；在中心機(jī)房搭建三個(gè)服務(wù)器，提供學(xué)校日常使用，服務(wù)器通過(guò)千兆以太網(wǎng)直接連接到核心交換機(jī)上。通過(guò)一條百兆以太網(wǎng)連接到核心交換機(jī)上，再通過(guò)串行線接入到教育網(wǎng)。 鑒于學(xué)校網(wǎng)絡(luò)的規(guī)模，本方案采用兩層結(jié)構(gòu)設(shè)計(jì)思想，核心層 — 接入層。 ⑵接入層 接入層作為各模塊到交 換骨干的連接，根據(jù)不同模塊進(jìn)行邏輯子網(wǎng)劃分，并通過(guò) VLAN 技術(shù)實(shí)現(xiàn)子網(wǎng)之間的隔離。 使用層次化網(wǎng)絡(luò)設(shè)計(jì)模型，主要有如下優(yōu)點(diǎn)： ● 高可擴(kuò)展性：遵循層次化模型網(wǎng)絡(luò)比扁平式網(wǎng)絡(luò)更具有伸縮性和可管理性，因?yàn)楦鞴δ芫W(wǎng)絡(luò)通過(guò)模塊化實(shí)現(xiàn)，潛在問(wèn)題更易于識(shí)別。 ● 易于故障排除：每一層的功能經(jīng)過(guò)良好定義，網(wǎng)絡(luò)更為簡(jiǎn)單，有助于故2021 年中國(guó)礦業(yè)大學(xué)計(jì)算機(jī)學(xué)院網(wǎng)絡(luò)系統(tǒng)實(shí)踐成果報(bào)告 10 障的隔離。 ● 易于規(guī)劃和管理：層次化的功能劃分，整個(gè)網(wǎng)絡(luò)規(guī)劃和管理更為簡(jiǎn)單。而且 銳捷以其良好設(shè)備的性能以及售后服務(wù)得到了學(xué)校園區(qū)網(wǎng)絡(luò)建設(shè)的一致好評(píng)，其設(shè)備的性?xún)r(jià)比也是相當(dāng)出眾的， 依照實(shí)用的原則 全部選取了銳捷的網(wǎng)絡(luò)產(chǎn)品。 RGS5750 系列是銳捷網(wǎng)絡(luò)推出的融合了高性能、高安全、多智能、易用性的新一代萬(wàn)兆機(jī)架式多層交換機(jī)。每種產(chǎn)品型號(hào)都配合提供了靈活的 復(fù)用千兆口，滿足網(wǎng)絡(luò)建設(shè)中不同傳輸介質(zhì)的連接需要。 特別適合高帶寬、高性能和靈活擴(kuò)展的大型網(wǎng)絡(luò)匯聚層，中型網(wǎng)絡(luò)核心，以及數(shù)據(jù)中心服務(wù)器群的接入使用。 RGS5750 系列交換機(jī)提供二到七層的智能的業(yè)務(wù)流分類(lèi)、完善的服務(wù)質(zhì)量（ QoS）保證和組播應(yīng)用管理特性。 RGS5750 系列交換機(jī)以極高的性?xún)r(jià)比為大型網(wǎng)絡(luò)匯聚、中型網(wǎng)絡(luò)核心、數(shù)據(jù)中心服務(wù)器接入提供了高性能、完善的端到端的服務(wù)質(zhì)量、靈活豐富的安全設(shè)置和基于策略的網(wǎng)管，最大化滿足高速、安全、智能的企業(yè)網(wǎng)需求。該交換機(jī)端口密度大，采用大端口的交換 機(jī)以便以后管理方便。此次方案中，采用的是級(jí)聯(lián)，并沒(méi)使用堆疊，但是可以備用，以便以后網(wǎng)絡(luò)升級(jí)。 STARS2150G 可通過(guò) SNMP、 Tel、 Web 和 Console 口等多種配置方式提供豐富的管理。 防火墻設(shè)備選型 該方案中選取 RGWALL160 作為防火墻。 采用銳捷獨(dú)創(chuàng)的分類(lèi)算法使得 RGWALL產(chǎn)品的高速性能不受策略數(shù)和會(huì)話數(shù)多少的影響，產(chǎn)品安裝前后絲毫不會(huì)影響網(wǎng)絡(luò)速度；同時(shí)， RGWALL 在內(nèi)核層處理所有數(shù)據(jù)包的接收、分類(lèi)、轉(zhuǎn)發(fā)工作，因此不會(huì)成為網(wǎng)絡(luò)流量的瓶頸。 RGWALL 的主要功能包括：擴(kuò)展的狀態(tài)檢測(cè)功能、防范入侵及其它（ 如 URL過(guò)濾、 HTTP 透明代理、 SMTP 代理、分離 DNS、 NAT 功能和審計(jì) /報(bào)告等）附加功能。私有地址使用。 劃分給用戶的 IP 地址為 — 。 二層設(shè)備管理地址使用 。本方案采用Windows 2021 Server 操作系統(tǒng)。它可和其他服務(wù)器共用同一臺(tái)物理服務(wù)器。 終端桌面平臺(tái)的選擇 教職工辦公電腦從運(yùn)行穩(wěn)定的角度出發(fā)，選用 Windows XP 專(zhuān)業(yè)版；學(xué)生電腦從易于管理的角度出發(fā)，選用 Windows XP 操作系統(tǒng)。數(shù)據(jù)庫(kù)是信息系統(tǒng) 的心臟，是信息資源開(kāi)發(fā)和利用的基礎(chǔ)。 防火墻軟件的選擇 防火墻具有過(guò)濾不安全服務(wù)和非法用戶、控制對(duì)特殊站點(diǎn)訪問(wèn)、監(jiān)視INTERNET 等功能，它分為硬件防火墻和軟件防火墻兩種，在校園網(wǎng)工程中，由于資金的問(wèn)題，我們先考慮軟件防火墻，硬件防火墻在后期工程中再進(jìn)行添加。 三、校園網(wǎng)的安全控制與防護(hù) 在前面章節(jié) 對(duì) 該校園網(wǎng)的需求進(jìn)行分析時(shí)就提到，由于該中學(xué)專(zhuān)業(yè)網(wǎng)絡(luò)人員2021 年中國(guó)礦業(yè)大學(xué)計(jì)算機(jī)學(xué)院網(wǎng)絡(luò)系統(tǒng)實(shí)踐成果報(bào)告 23 較少，網(wǎng)絡(luò)的安全和方便對(duì)學(xué)校來(lái)講非常重要。 校園 網(wǎng) 絡(luò) 安全威脅 分析 校園網(wǎng)整體上是由多個(gè) 局域網(wǎng) 組成的，在局域網(wǎng)中 由于通過(guò)交換機(jī)和服務(wù)器連接網(wǎng)內(nèi)每一臺(tái)電腦，因此局域網(wǎng)內(nèi)信息的傳輸速率比較高，同時(shí)局域網(wǎng)采用的技術(shù)比較簡(jiǎn)單，安全措施較少，同樣也給病毒傳播提供了有效的通道和數(shù)據(jù)信息的安全埋下了隱患。例如 “ 網(wǎng)絡(luò)釣魚(yú)攻擊 ” ，釣魚(yú)工具是通過(guò)大量發(fā)送聲稱(chēng)來(lái)自于一些知名機(jī)構(gòu)的欺騙性垃圾郵件，意圖引誘收信人給出敏感信息：如用戶名、口令、賬號(hào) ID、 ATM PIN 碼或信用卡詳細(xì)信息等的一種攻擊方式。以往此類(lèi)攻擊的冒名的多是大型或著名的網(wǎng)站，但由于大型網(wǎng)站反應(yīng)比較迅速，而且所提供的安全功能 不斷增強(qiáng)，網(wǎng)絡(luò)釣魚(yú)已越來(lái)越多地把目光對(duì)準(zhǔn)了較小的網(wǎng)站。 ② 服務(wù)器區(qū)域沒(méi)有進(jìn)行獨(dú)立防護(hù) 校園 網(wǎng)內(nèi)計(jì)算機(jī)的數(shù)據(jù)快速、便捷的傳遞，造就了病毒感染的直接性和快速性，如果 校園 網(wǎng) 中服務(wù)器區(qū)域不進(jìn)行獨(dú)立保護(hù)，其中一臺(tái)電腦感染病毒，并且通過(guò)服務(wù)器進(jìn)行信息傳遞，就會(huì)感染服務(wù)器，這樣 校園 網(wǎng) 中任何一臺(tái)通過(guò)服務(wù)器信息傳遞的電腦，就有可能會(huì)感染病毒。許多網(wǎng)絡(luò)寄生犯罪軟件的攻擊，正是利用了用戶的這個(gè)弱點(diǎn)。最近幾年，隨著犯罪軟件（ crime ware）洶涌而至，寄生軟件已退居幕后，成為犯罪軟件的助手。 2021 年，預(yù)計(jì)犯罪軟件社區(qū)對(duì)寄生軟件的興趣將繼續(xù)增長(zhǎng)，寄生軟件的總量預(yù)計(jì)將增長(zhǎng) 20%。另外一機(jī)兩用甚至多用情況普遍，筆記本電腦在內(nèi)外網(wǎng)之間平凡切換使用，許多用戶將在Inter 網(wǎng)上使用過(guò)的筆記本電腦在未經(jīng)許可的情況下擅自接入內(nèi)部局域網(wǎng)絡(luò)使用，造成病毒的傳入和信息的泄密。對(duì)于 部分 局域網(wǎng)來(lái)講， 有時(shí)會(huì)出現(xiàn) 此類(lèi) IP 地址沖突的問(wèn)題，用戶規(guī)模越大，查找工作就越困難，所以網(wǎng)絡(luò)管理員必須加以解決。 校園網(wǎng)絡(luò)管理策略設(shè)計(jì) 針對(duì)這些安全威脅，我們一定要加強(qiáng)網(wǎng)絡(luò)管理。也就是說(shuō)，網(wǎng)絡(luò)管理包括網(wǎng)絡(luò)監(jiān)視和控制兩個(gè)方面。根據(jù)網(wǎng)絡(luò)管理需求，選擇適當(dāng)?shù)臉?biāo)準(zhǔn)化的網(wǎng)絡(luò)管理協(xié)議是非常之重要的 網(wǎng)絡(luò)管理協(xié)議的選擇： SNMP 是目前應(yīng)用最廣泛的 TCP/IP 網(wǎng)絡(luò)管理標(biāo)準(zhǔn)。 SNMP 有點(diǎn)是簡(jiǎn)單實(shí)用已成為流傳最廣、應(yīng)用最多、獲得支持最廣泛的一個(gè)網(wǎng)絡(luò)管理協(xié)議。 CMIP 是 ISO 制定的公共管理信息協(xié)議，主要是基于 OSI 七層協(xié)議模型而設(shè)計(jì)的，用于對(duì)開(kāi)放系統(tǒng)互聯(lián)環(huán)境下的所有網(wǎng)絡(luò)資源進(jìn)行監(jiān)測(cè)和控制，以提供標(biāo)準(zhǔn)的公共管理信息服務(wù)。 由于選 擇網(wǎng)絡(luò)管理協(xié)議的原則是應(yīng)該盡量 選擇標(biāo)準(zhǔn)的，主流的、被廣泛認(rèn)可和支持的網(wǎng)絡(luò)管理協(xié)議，又因?yàn)樵撔@網(wǎng) 規(guī)劃是基于 TCP/IP 企業(yè)網(wǎng)絡(luò)的網(wǎng)管系統(tǒng)，所以選用 SNMP 協(xié)議配合其他 ping 和 traceroute 等工具作為有效補(bǔ)充