【正文】 產(chǎn)品應(yīng)提供對(duì)用戶帶寬控制的功能。帶寬控制通過對(duì)每一個(gè)用戶的上行帶寬與下行帶寬進(jìn)行限制，保證對(duì)每個(gè)用戶的公平性，防止在共享型網(wǎng)絡(luò)結(jié)構(gòu)中某一用戶長期惡意霸占帶寬而導(dǎo)致其他用戶無法享受服務(wù)的現(xiàn)象。 Qos 控制特性 隨著 IP 網(wǎng)絡(luò)規(guī)模的不斷擴(kuò)大，網(wǎng)上 的實(shí)時(shí)業(yè)務(wù)量也在不斷增長，同時(shí)網(wǎng)絡(luò)上的應(yīng)用類型多種多樣，不同的應(yīng)用對(duì)網(wǎng)絡(luò)的需求也有所不同。 IP 網(wǎng)絡(luò)中引入QoS 技術(shù)，就是為了確保實(shí)時(shí)業(yè)務(wù)的通信質(zhì)量，滿足各種業(yè)務(wù)對(duì)網(wǎng)絡(luò)資源的需求，使網(wǎng)上資源獲得最佳利用，降低成本，改善對(duì)用戶的服務(wù)。 可靠的網(wǎng)絡(luò)安全設(shè)計(jì) 安全性是網(wǎng)絡(luò)設(shè)計(jì)要考慮的最重要的因素之一，設(shè)計(jì)中充分考慮了網(wǎng)絡(luò)的安全性，具體體現(xiàn)在以下幾個(gè)方面： 實(shí)習(xí)模擬校園網(wǎng)絡(luò) 設(shè)計(jì)方案 第十組：王華鋒、何媛萍 16 （ 1） 通過 VLAN 的劃分，限制了不同 VLAN 之間的互訪，從而保證了不同網(wǎng)絡(luò)之間不會(huì)發(fā)生未經(jīng)授權(quán)的非法訪問。 （ 2） 在核心節(jié)點(diǎn)可提供基于地址的 Accesslist，以控制用戶對(duì)于關(guān)鍵資源的訪問。通過在匯聚和核心交換機(jī)上設(shè)置 VLAN 路由以及訪問過濾，保證了在VLAN 之間只有被允許的訪問才能發(fā)生，而未經(jīng)授權(quán)的訪問都會(huì)被禁止。 （ 3） 通過對(duì)上網(wǎng)的安全教育，提高安全意識(shí)，特別是增強(qiáng)計(jì)算機(jī)操作人員的密碼管理意識(shí)，以防止由于操作員密碼有意無意泄露給他人而造成的損失。 （ 4） 制定嚴(yán)格的安全制度，包括人員審查制度、崗位定職定責(zé)制度、使用計(jì)算機(jī)的權(quán)限制度以及防病毒制度，從制度上保證網(wǎng)絡(luò)安全性得以實(shí)現(xiàn)。 （ 5） 可以對(duì)所有的重要事件進(jìn)行 Log，這樣方便網(wǎng)絡(luò)管理員進(jìn)行故障查找； （ 6） 可以對(duì)所有的 Tel 以及 SNMP 的訪問進(jìn)行限制，從而最大程度地保證匯聚層系統(tǒng)地安全。 （ 7） 可以在接入層中通過限制 MAC 地址的訪問提高網(wǎng)絡(luò)安全。 方便的網(wǎng)絡(luò)管理和維護(hù) （ 1）為了提高網(wǎng)絡(luò)管理能力設(shè)計(jì)中所有設(shè)備最好具有網(wǎng)管功能，不存在光纖收發(fā)器等類似不可網(wǎng)管設(shè)備，提高了網(wǎng)絡(luò)可靠性和可管理。 （ 2）支持通用的網(wǎng)絡(luò)管理協(xié)議如（ SNMP），方便網(wǎng)絡(luò)的管理和維護(hù)。 （ 3）支持通用的的網(wǎng)絡(luò)管理軟件，如 Cisco Ciscoworks、 HP Open View、 3Com Trensand。 運(yùn)營級(jí)的網(wǎng)絡(luò)高可靠性的設(shè)計(jì) 可以從兩方面來考慮： 關(guān)鍵設(shè)備的主要模塊和電源的冗余備分考慮 在網(wǎng)絡(luò)設(shè)計(jì)中所涉及的所有主要設(shè)備，均采用高可靠設(shè)計(jì)的原則。核心關(guān)鍵部件的冗余備份：電源冗余、主控板冗余、模塊冗余等 。 網(wǎng)絡(luò)鏈路的冗余備分考慮 實(shí)習(xí)模擬校園網(wǎng)絡(luò) 設(shè)計(jì)方案 第十組：王華鋒、何媛萍 17 系統(tǒng)平臺(tái)選擇 系統(tǒng)平臺(tái)的建設(shè)主要包括：網(wǎng)絡(luò)操作系統(tǒng)、桌面平臺(tái)、數(shù)據(jù)庫、防火墻等的選擇。 一般校園網(wǎng)絡(luò)，服務(wù)器系統(tǒng)平臺(tái)可以選擇 微軟 WINDOWS2020 SERVER操作系統(tǒng)的解決方案，提供域名服務(wù)、 WWW 服務(wù)、 FTP 服務(wù)、 E－ mail 服務(wù)等。具有 強(qiáng)大的網(wǎng)絡(luò)功能和可二次開發(fā)性。 桌面操作系統(tǒng)比較可以選擇 XP 和 LINUX等平臺(tái)。 采用 WINdows2020 SERVER 建立 FTP 服務(wù)器 一般來說，用戶聯(lián)網(wǎng)的首要目的就是實(shí)現(xiàn)信息共享，文件傳輸是信息共享非常重要的一個(gè)內(nèi)容之一。 在校園內(nèi)部信息交流是非常頻繁，所以有必要在網(wǎng)絡(luò)中使用 WINdows2020 SERVER 架設(shè)起一個(gè) FTP 服務(wù)器。 五 .思科公司校園網(wǎng)解決方案 系統(tǒng)組成與拓?fù)浣Y(jié)構(gòu) 校園網(wǎng)的建設(shè)主要是為了教學(xué)應(yīng)用，而多媒體輔助教學(xué)和多媒體教室是教學(xué)應(yīng)用的核心，在網(wǎng)絡(luò)建設(shè)時(shí)應(yīng)考慮多媒體信息 的特點(diǎn)，如信息量大，對(duì)時(shí)間延遲敏感等；在校園網(wǎng)中常會(huì)出現(xiàn)幾十個(gè)學(xué)生執(zhí)行相同操作的現(xiàn)象，所以要考慮并發(fā)信息的控制；學(xué)生利用網(wǎng)絡(luò)做作業(yè)，教師要在家撥號(hào)訪問學(xué)校網(wǎng)絡(luò)，學(xué)籍管理信息在網(wǎng)上傳輸，所以也要考慮網(wǎng)絡(luò)的安全性，防止黑客破壞網(wǎng)絡(luò)，學(xué)生抄襲作業(yè)；校園網(wǎng)又是面向不同知識(shí)層次的教師、學(xué)生和辦公人員的工具，它幫助我們更好地提高教學(xué)水平、辦公效率和學(xué)習(xí)興趣，所以應(yīng)用和管理應(yīng)簡便易行，界面友好，不宜太專業(yè)化?？紤] 到春華 學(xué)校的具體情況如性質(zhì)、規(guī)模、財(cái)務(wù)等。 這是一個(gè)相對(duì)小型的校園網(wǎng)絡(luò)，單一建筑內(nèi)的網(wǎng)絡(luò)應(yīng)用，思科公司提出 以下校園網(wǎng)解決方案 ： 方案特點(diǎn)如下： （ 1）支持多媒體應(yīng)用，包括多媒體教室、電子閱覽室、多媒體教學(xué)； 實(shí)習(xí)模擬校園網(wǎng)絡(luò) 設(shè)計(jì)方案 第十組：王華鋒、何媛萍 18 （ 2）高性能，全交換，滿足用戶需求； （ 3）管理簡單，瀏覽器方式無需專門培訓(xùn)； （ 4）系統(tǒng)安全，保密性高； （ 5） ADSL 連接方式，按需建立連接降低鏈路費(fèi)用。 （ 6） 互聯(lián)網(wǎng)接入，安全的廣域網(wǎng)訪問。 方案拓?fù)浣Y(jié)構(gòu)如下： 實(shí)習(xí)模擬校園網(wǎng)絡(luò) 設(shè)計(jì)方案 第十組：王華鋒、何媛萍 19 由圖可看出，網(wǎng)絡(luò)設(shè)備組成為： atalyst 2900 交換機(jī) 五 臺(tái) Cisco850 路由器 一臺(tái) 思科公司的 cisco850 路由器 是這一網(wǎng)絡(luò)的核心設(shè)備， 可降低擁有成本 ，簡化遠(yuǎn)程管理，提供結(jié)合 CSU/DSU、復(fù)用器、調(diào)制解調(diào)器、語音 /數(shù)據(jù)網(wǎng)關(guān)、 ISDN NT防火墻、 VPN、加密和壓縮設(shè)備的集成化網(wǎng)絡(luò)。 Catalyst2900 交換機(jī) 它提供了 24個(gè) 10/100M 自適應(yīng)的快速以太網(wǎng)端口。這是一個(gè)全交換的網(wǎng)絡(luò)，相對(duì)共享式集線器而言，交換機(jī)各端口擁有獨(dú)占的帶寬，能實(shí)現(xiàn)多路并行傳輸，不易發(fā)生沖突，能為多媒體信息提供更好的保障。 考慮到 Inter 接入是校園網(wǎng)的發(fā)展趨勢，在 這 套解決方案中都用到了路由器來引入廣域網(wǎng)的遠(yuǎn)程連接，這套方案中用到了思科公司的 低 端路由器 Cisco 850，它提供了對(duì)內(nèi)的 10/100M 局域網(wǎng)接口和對(duì)外的 ADSL 連接，通過 Inter實(shí)現(xiàn)遠(yuǎn)程教學(xué)或教學(xué)演播等應(yīng)用。傳輸穩(wěn)定，連接迅速。在實(shí)現(xiàn)基本數(shù)據(jù)傳遞的基礎(chǔ)上，用戶可以根據(jù)自己的需要靈活選用上述網(wǎng)絡(luò)設(shè)備中的某些性能。如：路由器和交換機(jī)的組內(nèi)廣播功能可為多媒體信息的傳輸提供更高的服務(wù)質(zhì)量；而catalyst2900 之間建立快速以太網(wǎng)通道，在全雙工模式下達(dá)到 400M 的高速級(jí)聯(lián)；此外， 850 路由器兼任了防火墻－－思科公司系列中、低端路由器都可以通過操作系統(tǒng)升級(jí)具備防火墻性能，在承擔(dān)遠(yuǎn)程連接的同時(shí)實(shí)施數(shù)據(jù)包檢驗(yàn) 和過濾，防止非法用戶侵入到內(nèi)部局域網(wǎng)中－－對(duì)連接到 Inter 這一開放網(wǎng)絡(luò)的用戶來說，安全性是網(wǎng)絡(luò)設(shè)計(jì)中不容忽視的一項(xiàng)重要因素。 這套方案的好處是簡便易行，成本很低，并且兼顧了教學(xué)、管理和通訊三方面應(yīng)用。方案中所用到的產(chǎn)品都屬思科公司產(chǎn)品中的低端設(shè)備，在實(shí)現(xiàn)高性價(jià)比的桌面應(yīng)用的同時(shí)又做到易于配置和管理： catalyst2900 屬即插即用的設(shè)備，如果不添加特殊功能則不需任何配置， cisco850 的設(shè)置和管理也十分方便，這樣用戶使用起來將得心應(yīng)手，無后顧之憂。 IP 地址 規(guī)劃 建議 在設(shè)計(jì) IP 地址方案之前，應(yīng)考慮以下幾個(gè)問題 : （ 1） 是否將網(wǎng)絡(luò)用真實(shí)地址連入 Inter。 實(shí)習(xí)模擬校園網(wǎng)絡(luò) 設(shè)計(jì)方案 第十組：王華鋒、何媛萍 20 （ 2） 是否將網(wǎng)絡(luò)劃分為若干子網(wǎng)以方便網(wǎng)絡(luò)管理。 （ 3） 是采用靜態(tài) IP 地址分配還是動(dòng)態(tài) IP 地址分配。 （ 4） 每個(gè)子網(wǎng)現(xiàn)在規(guī)劃多少個(gè)信息點(diǎn)。 （ 5） 每個(gè)子網(wǎng)將來會(huì)增加多少個(gè)信息點(diǎn)。 通過 Proxy 或 NAT 方式使私有地址能夠訪問公網(wǎng)資源 。 在 申請(qǐng)的公網(wǎng) IP 地址不能完全滿足每個(gè)信息點(diǎn)一個(gè)的情況下 ，可以采用 公網(wǎng)地 址與私網(wǎng)地址結(jié)合的方式。但是有時(shí)分配了私網(wǎng)地址的客戶端也要訪問 Inter。針對(duì)這種情況，可以采用不同的技術(shù)使私有地址能夠訪問公網(wǎng)資源。通常可以利用代理服務(wù) (Proxy) 和網(wǎng)絡(luò)地址轉(zhuǎn)換 (NAT) 這兩項(xiàng)技術(shù)。 園區(qū) 網(wǎng)分配 IP 地址方案 ， 一個(gè)有效的 IP 地址規(guī)劃或 IP 地址方案就是在地址資源的效率性和管理的方便性之間找到最佳的平衡點(diǎn)。 按行政隸屬劃分是指按信息節(jié)點(diǎn)的行政隸屬關(guān)系將用戶按 校園 各部門進(jìn)行 IP 地址分配規(guī)劃。由于 各部門之間 在地域位置上并不一定集中，但需要統(tǒng)一管理，因此我們建議采用行政隸屬的方式劃分 IP 地址段。 按 樓宇 規(guī)劃在傳統(tǒng)的網(wǎng)絡(luò)平臺(tái)上很難實(shí)現(xiàn)。主要是因?yàn)閭鹘y(tǒng)的網(wǎng)絡(luò)平臺(tái)局限于設(shè)備的地理位置，無法跨地域進(jìn)行靈活規(guī)劃。但現(xiàn)今的網(wǎng)絡(luò)平臺(tái)都支持虛擬網(wǎng)絡(luò) — VLAN 技術(shù)。該技術(shù)避開了物理位置的缺陷，可以在邏輯上靈活組網(wǎng)。因此， IP 網(wǎng)段規(guī)劃可以與 VLAN 的劃分相一致。 規(guī)劃每個(gè)網(wǎng)段中的信息點(diǎn)數(shù)時(shí)，既要考慮到當(dāng)前 IP 地址資源的充分利用性，又要預(yù)留出適當(dāng)?shù)臄U(kuò)展余地，因此如果采用私網(wǎng)地址分配 IP，建議 我們都采用 的網(wǎng)絡(luò)，根據(jù)具體的部門情況再分為具體的子網(wǎng)。 從經(jīng)驗(yàn)角度，通常一個(gè) IP 網(wǎng)段也是一個(gè)獨(dú)立的 VLAN，也就是一個(gè)獨(dú)立的廣播域。一個(gè)網(wǎng)段內(nèi)的信息節(jié)點(diǎn)數(shù)在 40 200 個(gè)時(shí)，性能和地址資源的最佳利用性較理想，并且將來可擴(kuò)充到 254 個(gè)。 寬帶接入用戶接入寬帶 IP 網(wǎng)的方式可以有多種形式：首先，用戶利用固定 IP 地址接入，則無需其它的認(rèn)證過程，只需將用戶所連的交換機(jī)端口劃入某一特點(diǎn) VLAN 即可；其次用戶通過 PPP 方式接入，即虛擬撥號(hào)方式，則需要一個(gè)專用的 PPP 終結(jié)設(shè)備終結(jié) PPP 進(jìn)程，通過對(duì) PPP 進(jìn)程的認(rèn) 證，可以確認(rèn)用戶身份；用戶還可以利用 DHCP 獲得 IP 地址。另外交換機(jī)可以實(shí)現(xiàn)專用VLAN 技術(shù)，可以通過配置選擇實(shí)現(xiàn)在同一 VLAN 內(nèi)用戶是否可以互通，進(jìn)行數(shù)據(jù)交換。 根據(jù)溫州春華的教務(wù)和公務(wù)的情況，劃分以下兩個(gè)子網(wǎng)即可。 實(shí)習(xí)模擬校園網(wǎng)絡(luò) 設(shè)計(jì)方案 第十組：王華鋒、何媛萍 21 表 11 模擬校園 網(wǎng)絡(luò)終端分布 專業(yè)機(jī)房 臺(tái)式 PC 機(jī) 16 臺(tái) 萬博機(jī)房一 臺(tái)式 PC 機(jī) 16 臺(tái) 萬博機(jī)房二 臺(tái)式 PC 機(jī) 18 臺(tái) 教室一 2 臺(tái)（臺(tái)式機(jī) 1 臺(tái)、筆記本 1 臺(tái)） 教室二 2 臺(tái)（臺(tái)式機(jī) 1 臺(tái)、筆記本 1 臺(tái)） 教室三 臺(tái)式 PC 機(jī) 19 臺(tái) 多媒體教室 2 臺(tái)（臺(tái)式機(jī) 1 臺(tái)、筆記本 1 臺(tái)） 辦公室 10 臺(tái)（臺(tái)式機(jī) 5 臺(tái)、筆記本 5 臺(tái)） 校長室 筆記本 1 臺(tái) 學(xué)生會(huì)辦公室 臺(tái)式 PC 機(jī) 2 臺(tái) 咨詢室 1 臺(tái)式 PC 機(jī) 1 臺(tái) 咨詢室 2 筆記本 2 臺(tái) 前臺(tái) 臺(tái)式 PC 機(jī) 1 臺(tái) 表 12 IP 子網(wǎng)劃分 方案 子網(wǎng)號(hào) IP 網(wǎng)段 默認(rèn)網(wǎng)關(guān) 說明 實(shí)習(xí)模擬校園網(wǎng)絡(luò) 設(shè)計(jì)方案 第十組：王華鋒、何媛萍 22 CHJW （包括萬博 2 機(jī)房等所有的教務(wù)場所） CHGW （包括校長室、辦公室等所有辦公場所） 校園網(wǎng)絡(luò)安全 校園 網(wǎng)絡(luò) 承擔(dān)著整個(gè) 校園 的通訊樞紐功能，連接著所有的應(yīng)用服務(wù)器和數(shù)據(jù)系統(tǒng)，任何 網(wǎng)絡(luò)安全 問題都 會(huì)擾亂 學(xué)校辦公、教務(wù)的 正常運(yùn)轉(zhuǎn)， 給 學(xué)校 帶來 不可彌補(bǔ) 的損失。 目前在局域網(wǎng)中遇到的問題主要有以下幾種： ? IP 地址的管理問題，包括 IP 地址非法使用、 IP 地址沖突和 IP 地址欺騙 ? 利用 ARP 欺騙獲取賬號(hào)、密碼、信息，甚至惡意篡改信息內(nèi)容、嫁禍他人問題 ? 木馬、蠕蟲病毒攻擊導(dǎo)致的信息失竊、網(wǎng)絡(luò)癱瘓問題 ? 攻擊或病毒源機(jī)器的快速定位、隔離問題 IP 的地址管理一直是長期困擾局域網(wǎng)安全穩(wěn)定運(yùn)行的首要問題。 在局域網(wǎng)上任何用戶使用未經(jīng)授權(quán)的 IP 地址都 應(yīng)視為 IP 非法使用。 由于 終端用戶可以自由修改 IP 地址，從而產(chǎn)生了 IP 地址非法使用問題。改動(dòng)后的 IP 地址在局域網(wǎng)中運(yùn)行時(shí)可能出現(xiàn) 以下 情況。 ? 非法的 IP 地址即 IP 地址不在規(guī)劃的局域網(wǎng)范圍內(nèi) ? 重復(fù)的 IP 地址與已經(jīng)分配且正在局域網(wǎng)運(yùn)行的合法的 IP 地址發(fā)生資源沖突，使合法用戶無法上網(wǎng) 實(shí)習(xí)模擬校園網(wǎng)絡(luò) 設(shè)計(jì)方案 第十組：王華鋒、何媛萍