第二組-浙江機(jī)電職業(yè)技術(shù)學(xué)院校網(wǎng)組建和配置方案說(shuō)明書(shū)

1、浙江機(jī)電職業(yè)技術(shù)學(xué)院校網(wǎng)組建和配置目錄一、 項(xiàng)目背景31 校園現(xiàn)狀32 校園網(wǎng)絡(luò)建設(shè)的可行性和必要性3二、 校園網(wǎng)絡(luò)需求分析31 用戶(hù)需求分析32 環(huán)境分析33 業(yè)務(wù)需求分析34 管理需求分析35 安全需求分析3（1）  應(yīng)用系統(tǒng)之間安全分析3（2） 客戶(hù)端與服務(wù)器之間安全分析3（3） 客戶(hù)端之間安全分析3（4） 網(wǎng)絡(luò)設(shè)備自身安全分析36 網(wǎng)絡(luò)規(guī)模分析37 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)分析38 外部聯(lián)網(wǎng)分析39 網(wǎng)絡(luò)擴(kuò)展性分析310 網(wǎng)絡(luò)冗余分析3三、 網(wǎng)絡(luò)設(shè)計(jì)原則3四、 校園網(wǎng)絡(luò)方案設(shè)計(jì)31 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)32 VLAN、IP地址劃分33 網(wǎng)絡(luò)協(xié)議選擇34 網(wǎng)絡(luò)安全規(guī)劃35 網(wǎng)絡(luò)管理3五、 設(shè)備選型

2、31、 項(xiàng)目背景1 校園現(xiàn)狀浙江機(jī)電職業(yè)技術(shù)學(xué)院主校區(qū)網(wǎng)絡(luò)信息點(diǎn)總數(shù)為4400多個(gè)。能滿(mǎn)足9000余學(xué)生及551教職工的上網(wǎng)需求。地理分布范圍在一個(gè)區(qū)域內(nèi),主要有1棟綜合樓，6棟教學(xué)樓，3棟實(shí)驗(yàn)樓，1棟學(xué)生活動(dòng)服務(wù)樓，1棟體育館，1棟圖書(shū)館和1棟宿舍樓。校園以圖書(shū)館為中心，呈一個(gè)矩形，建筑左右對(duì)稱(chēng)。校園網(wǎng)絡(luò)主要用于學(xué)校內(nèi)部網(wǎng)絡(luò)通信，也會(huì)利用因特網(wǎng)進(jìn)行外部上網(wǎng)活動(dòng)。由于網(wǎng)絡(luò)流量主要集中于校園網(wǎng)內(nèi)部，因此對(duì)網(wǎng)絡(luò)交換能力要求較高。2 校園網(wǎng)絡(luò)建設(shè)的可行性和必要性隨著現(xiàn)代化教學(xué)活動(dòng)的開(kāi)展和與國(guó)內(nèi)外教學(xué)機(jī)構(gòu)交往的增多，對(duì)通過(guò)Internet/Intranet網(wǎng)絡(luò)進(jìn)行信息交流的需求越來(lái)越迫切，為促進(jìn)教學(xué)、

3、方便管理和進(jìn)一步發(fā)揮學(xué)生的創(chuàng)造力，校園網(wǎng)絡(luò)建設(shè)成為現(xiàn)代教育機(jī)構(gòu)的必然選擇。一個(gè)基本的校園網(wǎng)具有以下的特點(diǎn)： 高速的局域網(wǎng)連接-校園網(wǎng)的核心為面向校園內(nèi)部師生的網(wǎng)絡(luò)，因此園區(qū)局域網(wǎng)是該系統(tǒng)的建設(shè)重點(diǎn)，由于參與網(wǎng)絡(luò)應(yīng)用的師生數(shù)量眾多，而且信息中包含一些多媒體信息，故大容量、高速率的數(shù)據(jù)傳輸是網(wǎng)絡(luò)的一項(xiàng)基本要求。 信息結(jié)構(gòu)多樣化-校園網(wǎng)應(yīng)用分為電子教學(xué)（多媒體教室、電子圖書(shū)館等）、辦公管理和遠(yuǎn)程通訊（互聯(lián)網(wǎng)接入）三大部分內(nèi)容：電子教學(xué)包含大量多媒體信息，辦公管理以數(shù)據(jù)庫(kù)為主，遠(yuǎn)程通訊則多為WWW方式，因此數(shù)據(jù)成分復(fù)雜，不同類(lèi)型數(shù)據(jù)對(duì)網(wǎng)絡(luò)傳輸有不同的質(zhì)量需求。安全可靠-校園網(wǎng)中同樣有大量關(guān)于教學(xué)和檔案

4、管理的重要數(shù)據(jù)，不論是被損壞、丟失還是被竊取，都將帶來(lái)極大的損失。操作方便，易于管理-校園網(wǎng)面向不同知識(shí)層次的教師、學(xué)生和辦公人員，應(yīng)用和管理應(yīng)簡(jiǎn)便易行。經(jīng)濟(jì)實(shí)用-學(xué)校對(duì)網(wǎng)絡(luò)建設(shè)的投入有限，因此建設(shè)的網(wǎng)絡(luò)經(jīng)濟(jì)實(shí)用，具備很高的性能價(jià)格比。 校園網(wǎng)是利用網(wǎng)絡(luò)設(shè)備、通信介質(zhì)和適宜的網(wǎng)絡(luò)技術(shù)與協(xié)議以及各類(lèi)系統(tǒng)管理軟件和應(yīng)用軟件，將校園內(nèi)計(jì)算機(jī)和各種終端設(shè)備有機(jī)地集成在一起，并用于教學(xué)、科研、學(xué)校管理、信息資源共享和遠(yuǎn)程教育等方面工作的計(jì)算機(jī)局域網(wǎng)絡(luò)系統(tǒng)。2、 校園網(wǎng)絡(luò)需求分析1 用戶(hù)需求分析浙江機(jī)電職業(yè)技術(shù)學(xué)院主校區(qū)網(wǎng)絡(luò)信息點(diǎn)總數(shù)為4400多個(gè)。地理分布范圍在一個(gè)區(qū)域內(nèi),即一個(gè)校區(qū)，主要用于學(xué)校內(nèi)部網(wǎng)

5、絡(luò)通信，也會(huì)利用因特網(wǎng)進(jìn)行外部上網(wǎng)活動(dòng)，但是，網(wǎng)絡(luò)流量主要集中于校園網(wǎng)內(nèi)部，因此對(duì)網(wǎng)絡(luò)交換能力要求較高，校園網(wǎng)上網(wǎng)會(huì)有多媒體教學(xué)，視頻點(diǎn)播等多種帶寬應(yīng)用。信息交流功能主要有兩個(gè)方面的服務(wù)功能：互聯(lián)網(wǎng)信息服務(wù)和校內(nèi)信息服務(wù)?；ヂ?lián)網(wǎng)信息服務(wù)可以使任何一個(gè)辦公室的計(jì)算機(jī)都能實(shí)現(xiàn)網(wǎng)上瀏覽、查詢(xún)信息的功能，使教師能夠拓寬視野，充分利用互聯(lián)網(wǎng)上的資源輔助教學(xué)，提升教學(xué)理念，提高教師的教學(xué)能力、教學(xué)水平和科研能力。可以充分利用互聯(lián)網(wǎng)資源來(lái)宣傳學(xué)校，展示學(xué)校的辦學(xué)能力與辦學(xué)水平，展示教師的教學(xué)能力與科研能力，提升學(xué)校的辦學(xué)形象。校內(nèi)信息服務(wù)能為教育教學(xué)和管理決策提供各項(xiàng)信息服務(wù)，能為全校師生提供相互交流、相互

6、學(xué)習(xí)的平臺(tái)。樓號(hào)信息點(diǎn)數(shù)綜合樓28001號(hào)教學(xué)樓1502號(hào)教學(xué)樓453號(hào)教學(xué)樓454號(hào)教學(xué)樓455號(hào)教學(xué)樓156號(hào)教學(xué)樓457號(hào)辦公樓508號(hào)實(shí)驗(yàn)樓45圖書(shū)館31010號(hào)宿舍樓800體育館1012號(hào)實(shí)驗(yàn)樓1013號(hào)教學(xué)樓3002 環(huán)境分析機(jī)電職業(yè)技術(shù)學(xué)院建筑物的整體分布是以圖書(shū)館為中心，對(duì)稱(chēng)分布。各建筑物之間無(wú)阻礙和遮擋。我們的團(tuán)隊(duì)人員都具備專(zhuān)業(yè)的工程實(shí)施知識(shí)，在中小型園區(qū)布線(xiàn)方面也都具有相對(duì)豐富的經(jīng)驗(yàn)。浙江機(jī)電職業(yè)技術(shù)學(xué)院校園網(wǎng)絡(luò)主要應(yīng)用于以下幾個(gè)方面：教務(wù)管理系統(tǒng)學(xué)生自主學(xué)習(xí)辦公自動(dòng)化遠(yuǎn)程教育后勤管理系統(tǒng)圖書(shū)管理系統(tǒng)校園網(wǎng)一卡通校園移動(dòng)上網(wǎng)3 業(yè)務(wù)需求分析1、滿(mǎn)足計(jì)算機(jī)教學(xué)科研、行政辦公需

7、要，提供各種教學(xué)、辦公工具和支撐平臺(tái)，并提供豐富的計(jì)算機(jī)軟硬件系統(tǒng)資源。2、具有完善的辦公事務(wù)處理能力，包括電子公文傳遞、電子公文管理、電子郵件、郵件收發(fā)等無(wú)紙辦公自動(dòng)化功能。3、滿(mǎn)足信息情報(bào)交流的需要，方便學(xué)校各級(jí)領(lǐng)導(dǎo)和教學(xué)科研人員對(duì)各種信息資料、科技情報(bào)的檢索和查閱。包括Web查詢(xún)、電子公告、電子新聞等。4、具有遠(yuǎn)程通信能力，借助電話(huà)網(wǎng)等通信手段，以最低的通信成本，方便地實(shí)現(xiàn)遠(yuǎn)程互聯(lián)，跨越地域限制，滿(mǎn)足學(xué)校要求，加強(qiáng)各單位之間的業(yè)務(wù)聯(lián)系和信息資源共享。5、具有收集、處理、查詢(xún)、統(tǒng)計(jì)各類(lèi)信息資源的能力，充分利用原有數(shù)據(jù)資源，為學(xué)校領(lǐng)導(dǎo)提供準(zhǔn)確、快捷的數(shù)字信息，實(shí)現(xiàn)數(shù)據(jù)化管理和智能化決策。6、

8、學(xué)校網(wǎng)絡(luò)系統(tǒng)要確保整個(gè)計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的可靠性、安全性，具有一定的冗余。容錯(cuò)能力強(qiáng)，確保信息處理安全保密。7、學(xué)校信息網(wǎng)絡(luò)系統(tǒng)要保證實(shí)用和技術(shù)先進(jìn)，便于非計(jì)算機(jī)專(zhuān)業(yè)人員使用，并能不斷滿(mǎn)足學(xué)校未來(lái)業(yè)務(wù)發(fā)展的需要，具有很強(qiáng)的擴(kuò)展能力。4 管理需求分析由于學(xué)校中心存放著大量的師生信息，還有一些學(xué)校和企業(yè)之間的合作項(xiàng)目資料和財(cái)政資料，因此通過(guò)調(diào)查，我們將網(wǎng)絡(luò)管理任務(wù)根據(jù)優(yōu)先級(jí)進(jìn)行排序：安全管理、故障管理、配置管理、性能管理、記賬管理。對(duì)網(wǎng)絡(luò)進(jìn)行監(jiān)視，通過(guò)接收被管網(wǎng)絡(luò)單元上報(bào)的網(wǎng)絡(luò)運(yùn)行異常的信息或通過(guò)獲取關(guān)于網(wǎng)絡(luò)狀態(tài)的數(shù)據(jù)來(lái)監(jiān)聽(tīng)網(wǎng)絡(luò)運(yùn)行狀態(tài)，并付諸隔離和解決網(wǎng)絡(luò)故障等問(wèn)題，使用網(wǎng)絡(luò)管理協(xié)議SNMP、CMI

9、P等協(xié)議對(duì)網(wǎng)絡(luò)進(jìn)行管理。5 安全需求分析（1）  應(yīng)用系統(tǒng)之間安全分析應(yīng)用系統(tǒng)之間的互訪(fǎng)，安全風(fēng)險(xiǎn)主要存在于：不同應(yīng)用系統(tǒng)服務(wù)器之間非授權(quán)的不適當(dāng)訪(fǎng)問(wèn)；應(yīng)用系統(tǒng)不同安全等級(jí)服務(wù)器之間不適當(dāng)?shù)幕ピL(fǎng)。  （2） 客戶(hù)端與服務(wù)器之間安全分析客戶(hù)端訪(fǎng)問(wèn)服務(wù)器，主要的安全風(fēng)險(xiǎn)存在于：非授權(quán)客戶(hù)端不適當(dāng)?shù)脑L(fǎng)問(wèn)服務(wù)器；授權(quán)客戶(hù)端不適當(dāng)?shù)脑L(fǎng)問(wèn)高安全級(jí)別的服務(wù)器。  （3） 客戶(hù)端之間安全分析在辦公樓和行政樓用戶(hù)端之間，安全風(fēng)險(xiǎn)存在于：用戶(hù)端訪(fǎng)問(wèn)另一端用戶(hù)端上的非授權(quán)數(shù)據(jù)；用戶(hù)端利用另一類(lèi)用戶(hù)端達(dá)到對(duì)非授權(quán)服務(wù)器的非法訪(fǎng)問(wèn)。（4） 網(wǎng)絡(luò)設(shè)備自身安全分析網(wǎng)絡(luò)設(shè)備自身的安全風(fēng)險(xiǎn)主要有：

10、網(wǎng)絡(luò)設(shè)備的物理安全；網(wǎng)路設(shè)備操作系統(tǒng)Bug和對(duì)外提供的網(wǎng)絡(luò)服務(wù)風(fēng)險(xiǎn)；網(wǎng)絡(luò)管理協(xié)議SNMP非授權(quán)訪(fǎng)問(wèn)的風(fēng)險(xiǎn)；設(shè)備訪(fǎng)問(wèn)密碼安全；設(shè)備用戶(hù)安全風(fēng)險(xiǎn)。 我們可以通過(guò)劃分VLAN、設(shè)置ACL、配置防火墻和安全策略等來(lái)預(yù)防安全事故的發(fā)生。據(jù)了解，學(xué)校有幾位在網(wǎng)管方面具有豐富經(jīng)驗(yàn)知識(shí)的老師，相關(guān)配置由學(xué)校方配置。6 網(wǎng)絡(luò)規(guī)模分析學(xué)院設(shè)有機(jī)械工程學(xué)院、電氣電子工程學(xué)院、計(jì)算機(jī)工程學(xué)院、經(jīng)貿(mào)管理學(xué)院、人文社科學(xué)院、設(shè)計(jì)與藝術(shù)學(xué)院、汽車(chē)工程學(xué)院、材料工程學(xué)院等教學(xué)部門(mén)，還有教務(wù)部、財(cái)務(wù)部、保安部等教職工部門(mén)需要接入網(wǎng)絡(luò)。由于教學(xué)方面對(duì)網(wǎng)絡(luò)的服務(wù)質(zhì)量需求不是很大，所以匯聚層和接入層采用中低檔設(shè)備。核心層設(shè)一個(gè)核心交

11、換機(jī)。7 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)分析網(wǎng)絡(luò)采用接入層，匯聚層，核心層。根據(jù)對(duì)貴校校園網(wǎng)功能需求分析得出采用3層結(jié)構(gòu)才能滿(mǎn)足用戶(hù)的需求，根據(jù)地理分布和服務(wù)質(zhì)量需求，采用雙星型結(jié)構(gòu)的網(wǎng)絡(luò)拓?fù)?。核心層設(shè)在圖書(shū)館二樓，主干為千兆線(xiàn)路，其他線(xiàn)路為五類(lèi)雙絞線(xiàn)。8 外部聯(lián)網(wǎng)分析主干網(wǎng)采用千兆網(wǎng)線(xiàn)接入寬帶網(wǎng)。校內(nèi)學(xué)生訪(fǎng)問(wèn)Internet時(shí)，需要先進(jìn)行身份驗(yàn)證，驗(yàn)證成功后進(jìn)行計(jì)時(shí)計(jì)費(fèi)。9 網(wǎng)絡(luò)擴(kuò)展性分析考慮到學(xué)校的教學(xué)規(guī)模將不斷地?cái)U(kuò)大，對(duì)網(wǎng)絡(luò)的提高擴(kuò)展性要求比較高，根據(jù)校方提供的增長(zhǎng)數(shù)據(jù)量年增長(zhǎng)速度為200，年網(wǎng)絡(luò)端口的需求量為100。根據(jù)學(xué)生人數(shù)比例，預(yù)留10%的網(wǎng)絡(luò)節(jié)點(diǎn)。設(shè)備均采用可擴(kuò)展性設(shè)備。10 網(wǎng)絡(luò)冗余分析提供一

12、條備用鏈路，當(dāng)主鏈路發(fā)生故障時(shí)，可以啟用備用鏈路。我們選用的路由器均支持負(fù)載均衡。大部分的路由器、交換機(jī)等設(shè)備也都提供部件級(jí)（管理卡、交換結(jié)構(gòu)、接口模塊、電源、冷卻系統(tǒng)）冗余，支持熱插拔功能，當(dāng)一個(gè)部件失效時(shí)，在其他部件能正常工作的情況下能進(jìn)行及時(shí)的維護(hù)，保障設(shè)備的可靠性。為了防止設(shè)備發(fā)生嚴(yán)重的故障，在核心層我們采用雙套設(shè)備，匯聚層和交換曾分別預(yù)留20%的設(shè)備。3、 網(wǎng)絡(luò)設(shè)計(jì)原則作為一家優(yōu)秀的系統(tǒng)集成商，向用戶(hù)提供的不僅僅是設(shè)備，而是整套的技術(shù)與服務(wù)。我們將嚴(yán)格遵循以下設(shè)計(jì)原則： 可靠性和可用性需用高可靠的產(chǎn)品和技術(shù)，充分考慮系統(tǒng)在程序運(yùn)行是的應(yīng)變能力和容錯(cuò)能力，確保整個(gè)系統(tǒng)的安全和

13、可靠。我公司網(wǎng)關(guān)性能穩(wěn)定可靠，其高達(dá)40000小時(shí)的平均無(wú)故障工作時(shí)間可為系統(tǒng)長(zhǎng)期穩(wěn)定運(yùn)行提供強(qiáng)有力的保證設(shè)備的兼容性選用符合國(guó)際發(fā)展潮流的國(guó)際標(biāo)準(zhǔn)的軟件技術(shù)，以便系統(tǒng)有可靠性強(qiáng)，可擴(kuò)展和可升級(jí)等特點(diǎn)，保證今后可迅速采用計(jì)算機(jī)網(wǎng)絡(luò)發(fā)展出現(xiàn)的新技術(shù)，同時(shí)為顯存的網(wǎng)絡(luò)設(shè)備，小型機(jī)，工作站，服務(wù)器和微機(jī)等設(shè)備提供入網(wǎng)和互聯(lián)手段。實(shí)用性和經(jīng)濟(jì)性從實(shí)用性和經(jīng)濟(jì)性出發(fā)，著眼于近期目標(biāo)和長(zhǎng)期的發(fā)展，選用先進(jìn)的設(shè)備，進(jìn)行最佳性能組合，利用有限的投資機(jī)構(gòu)造一個(gè)性能最佳的網(wǎng)絡(luò)系統(tǒng)。  擴(kuò)張性和升級(jí)能力網(wǎng)絡(luò)設(shè)計(jì)據(jù)用良好的的擴(kuò)展性和升級(jí)能力，選用具有良好的升級(jí)能力和擴(kuò)展性的設(shè)備。在以后對(duì)該網(wǎng)絡(luò)進(jìn)行升級(jí)和擴(kuò)展

14、時(shí)，必須保護(hù)現(xiàn)有投資。應(yīng)支持多種網(wǎng)絡(luò)協(xié)議，多種高層協(xié)議和多媒體應(yīng)用。使系統(tǒng)網(wǎng)絡(luò)的擴(kuò)展非常容易，同時(shí)又不會(huì)帶來(lái)安全隱患。如需增加或者廢除客戶(hù)的接入，只需在中心點(diǎn)設(shè)備上相應(yīng)的增加或者廢除用戶(hù)即可，而無(wú)其他操作。網(wǎng)絡(luò)的靈活性系統(tǒng)的靈活性主要表現(xiàn)在軟件配置和負(fù)載均衡等方面，配合交換及成品與路由器產(chǎn)品的支持的最先進(jìn)的虛擬網(wǎng)絡(luò)技術(shù)，整個(gè)網(wǎng)絡(luò)系統(tǒng)可以通過(guò)軟件快速簡(jiǎn)便的將用戶(hù)或用戶(hù)組從一個(gè)網(wǎng)絡(luò)轉(zhuǎn)移到另一個(gè)網(wǎng)絡(luò)，可以跨域辦公室，辦公樓，而無(wú)需任何硬件的改變，以適應(yīng)機(jī)構(gòu)的變化。同時(shí)也可以通過(guò)平衡的網(wǎng)絡(luò)流量，以提高網(wǎng)絡(luò)的性能。網(wǎng)絡(luò)互聯(lián)能夠?qū)崿F(xiàn)遠(yuǎn)程用戶(hù)從不安全的互聯(lián)網(wǎng)安全可靠的接入校園內(nèi)網(wǎng)，訪(fǎng)問(wèn)網(wǎng)內(nèi)資源和使用相應(yīng)的應(yīng)

15、用系統(tǒng)。 獨(dú)立性能夠根據(jù)用戶(hù)的需求有選擇地對(duì)需要的業(yè)務(wù)數(shù)據(jù)進(jìn)行加密，不需要加密的數(shù)據(jù)和Internet接入業(yè)務(wù)可以不受到影響； 網(wǎng)絡(luò)安全性信息傳輸安全：通過(guò)建立ppp加密認(rèn)證、采用有別于光纖及DDN專(zhuān)線(xiàn)所采用之傳統(tǒng)明文傳輸?shù)拿芪膫鬏敺绞剑ＷC信息傳輸?shù)耐暾?、保密性及不可抵?lài)性，把安全真正掌握在用戶(hù)手里。處理能力擴(kuò)展  通過(guò)增加交換機(jī)的數(shù)量，在仔細(xì)的規(guī)劃和復(fù)雜的配置后，將數(shù)據(jù)流量分擔(dān)到兩臺(tái)設(shè)備上。  帶寬擴(kuò)展為了解決帶寬不足問(wèn)題，使用LACP將多條鏈路綁定在一起來(lái)增加帶寬，或者更換上聯(lián)端口速率更快的交換機(jī)。網(wǎng)絡(luò)通信效率此次網(wǎng)絡(luò)建設(shè)所選

16、用的設(shè)備具有很高的速率，不僅能滿(mǎn)足當(dāng)前用戶(hù)數(shù)量下的需求，也為將來(lái)的擴(kuò)展留有充分空間。1、 高性能的網(wǎng)絡(luò)系統(tǒng)：速度快、無(wú)阻塞、延遲低，具有先進(jìn)靈活的QoS特性，能適應(yīng)多種業(yè)務(wù)需求。2、 標(biāo)準(zhǔn)化、層次化、模塊化和易擴(kuò)展的網(wǎng)絡(luò)系統(tǒng)：包括網(wǎng)絡(luò)的結(jié)構(gòu)、技術(shù)及產(chǎn)品。信息接入點(diǎn)分布合理、靈活、充足并有擴(kuò)展空間。3、 穩(wěn)定、可靠的網(wǎng)絡(luò)系統(tǒng)：網(wǎng)絡(luò)中單點(diǎn)故障不會(huì)使局部網(wǎng)絡(luò)失去與整個(gè)網(wǎng)絡(luò)的連接，多點(diǎn)故障不會(huì)造成整個(gè)網(wǎng)絡(luò)被分成幾個(gè)互不相連的部分。網(wǎng)絡(luò)主干的傳輸介質(zhì)采用容錯(cuò)冗余設(shè)計(jì)。4、 注重經(jīng)濟(jì)實(shí)用性的網(wǎng)絡(luò)系統(tǒng)：根據(jù)目前的需求和可預(yù)見(jiàn)的需求增長(zhǎng)情況設(shè)計(jì)網(wǎng)絡(luò)，不追求空洞的技術(shù)先進(jìn)，避免追求高檔和最新技術(shù)花費(fèi)巨大代價(jià)。5

17、、 易管理和易維護(hù)的網(wǎng)絡(luò)系統(tǒng)：全網(wǎng)可進(jìn)行統(tǒng)一或分布管理，網(wǎng)絡(luò)維護(hù)簡(jiǎn)單有效。6、 高安全性的網(wǎng)絡(luò)系統(tǒng)：系統(tǒng)的各環(huán)節(jié)均必須具有良好的抗電磁干擾特性，整個(gè)系統(tǒng)與外界的防火墻功能包括防火墻技術(shù)、硬件加密、備份中心、Callback等技術(shù)。7、 綜合布線(xiàn)系統(tǒng)設(shè)計(jì)與實(shí)施一次到位；網(wǎng)絡(luò)系統(tǒng)一次規(guī)劃、分步實(shí)施，網(wǎng)絡(luò)設(shè)備先按開(kāi)通率30配置，并具有方便擴(kuò)展功能?？稍u(píng)價(jià)性如何預(yù)先評(píng)價(jià)一個(gè)安全設(shè)計(jì)并驗(yàn)證其網(wǎng)絡(luò)的安全性，這需要通過(guò)國(guó)家有關(guān)網(wǎng)絡(luò)信息安全測(cè)評(píng)認(rèn)證機(jī)構(gòu)的評(píng)估來(lái)實(shí)現(xiàn)。網(wǎng)絡(luò)安全是整體的、動(dòng)態(tài)的。網(wǎng)絡(luò)安全的整體性是指一個(gè)安全系統(tǒng)的建立，即包括采用相應(yīng)的安全設(shè)備，又包括相應(yīng)的管理手段。安全設(shè)備不是指單一的某種安全設(shè)備

18、，而是指幾種安全設(shè)備的綜合。網(wǎng)絡(luò)安全的動(dòng)態(tài)性是指網(wǎng)絡(luò)安全是隨著環(huán)境、時(shí)間的變化而變化的，在一定環(huán)境下是安全的系統(tǒng)，環(huán)境發(fā)生變化了（如更換了某個(gè)機(jī)器），原來(lái)安全的系統(tǒng)就變的不安全了；在一段時(shí)間里安全的系統(tǒng)，時(shí)間發(fā)生變化了（如今天是安全的系統(tǒng)，可能因?yàn)楹诳桶l(fā)現(xiàn)了某種系統(tǒng)的漏洞，明天就會(huì)變的不安全了），原來(lái)的系統(tǒng)就會(huì)變的不安全。所以，建立網(wǎng)絡(luò)安全系統(tǒng)不是一勞永逸的事情。針對(duì)安全體系的特性，我們可以采用"統(tǒng)一規(guī)劃、分步實(shí)施"的原則。具體而言，我們可以先對(duì)網(wǎng)絡(luò)做一個(gè)比較全面的安全體系規(guī)劃，然后，根據(jù)我們網(wǎng)絡(luò)的實(shí)際應(yīng)用狀況，先建立一個(gè)基礎(chǔ)的安全防護(hù)體系，保證基本的、應(yīng)有的安全性。隨著今

19、后應(yīng)用的種類(lèi)和復(fù)雜程度的增加，再在原來(lái)基礎(chǔ)防護(hù)體系之上，建立增強(qiáng)的安全防護(hù)體系。4、 校園網(wǎng)絡(luò)方案設(shè)計(jì)1 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)由網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖可以看到，各信息節(jié)點(diǎn)通過(guò)特定的三層交換機(jī)連接使信息傳送至路由器分發(fā)到Internet。為了保證內(nèi)網(wǎng)的安全性，路由器設(shè)置相關(guān)的ACL，對(duì)外網(wǎng)起到一定的保護(hù)，同時(shí)內(nèi)網(wǎng)也部署網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，共保網(wǎng)絡(luò)安全。采用兩臺(tái)核心層交換機(jī)的VLAN間的路由實(shí)現(xiàn)不同VLAN間的通信，同時(shí)兩臺(tái)交換機(jī)之間使用HSRP時(shí)行備份，以保障網(wǎng)絡(luò)的可靠性。VLAN部分會(huì)啟用VTP和STP，以實(shí)現(xiàn)統(tǒng)一管理和避免環(huán)路。同時(shí)學(xué)校的各類(lèi)服務(wù)器都分配在核心層交換機(jī)上，并單獨(dú)劃分一個(gè)VLAN，放置總部機(jī)房中

20、，包括DHCP、DNS服務(wù)器,FTP、MAIL服務(wù)器,WEB服務(wù)器,數(shù)據(jù)庫(kù)服務(wù)器、VPN服務(wù)器、AAA服務(wù)器等。同時(shí)在核心交換機(jī)到服務(wù)器間，我們運(yùn)用了IPSec網(wǎng)絡(luò)安全性協(xié)議。通過(guò)端對(duì)端的安全性來(lái)提供主動(dòng)的保護(hù)以防止專(zhuān)用網(wǎng)絡(luò)與Internet的攻擊。2 VLAN、IP地址劃分區(qū)域區(qū)域設(shè)施分配網(wǎng)段子網(wǎng)掩碼網(wǎng)關(guān)地址VLAN綜合樓一樓/1654Vlan10二樓/1654Vlan20三樓/1654Vlan30四樓/16255.

21、255.0.054Vlan40五樓/1654Vlan50六樓/1654Vlan60七樓/1654Vlan70八樓/2454Vlan80九樓/2454Vlan90十樓/2454Vlan100十一樓/24

22、54Vlan110十二樓/2454Vlan120十三樓/2454Vlan130十四樓/2454Vlan140十五樓/2454Vlan150十六樓/2454Vlan160十七樓/2454Vlan170十八樓10.

23、0.18.0/2454Vlan180十九樓/2454Vlan190二十樓/2454Vlan200服務(wù)器群/2454Vlan2101號(hào)教學(xué)樓/2454Vlan2202號(hào)教學(xué)樓/2454Vlan2303號(hào)教學(xué)樓/242

24、54Vlan2404號(hào)教學(xué)樓/2454Vlan2505號(hào)教學(xué)樓/2454Vlan2606號(hào)教學(xué)樓/2454Vlan2707號(hào)辦公樓/2454Vlan2808號(hào)實(shí)驗(yàn)樓/2454Vlan290圖書(shū)館/24255

25、.255.255.054Vlan30010號(hào)宿舍樓1-2樓/2454Vlan3103-4樓/2454Vlan3205-6樓/2454Vlan330體育館/2454Vlan34012號(hào)樓/2454Vlan35013號(hào)樓/2

26、454Vlan3603 網(wǎng)絡(luò)協(xié)議選擇整個(gè)校園網(wǎng)分布結(jié)構(gòu)相對(duì)簡(jiǎn)單，路由條目數(shù)量少，應(yīng)采用RIP協(xié)議。對(duì)于小型網(wǎng)絡(luò)，RIP所占帶寬而言開(kāi)銷(xiāo)小，易于配置、管理和實(shí)現(xiàn)。4 網(wǎng)絡(luò)安全規(guī)劃本方案所有的設(shè)備均配置多種安全機(jī)制可有效防止和控制病毒傳播和網(wǎng)絡(luò)流量攻擊，控制非法用戶(hù)使用網(wǎng)絡(luò)，保證合法用戶(hù)合理化使用網(wǎng)絡(luò)，如端口安全、端口隔離、ACL、端口 ARP 報(bào)文合法性檢查、基于數(shù)據(jù)流的帶寬限速、六元素綁定等等，滿(mǎn)足校園網(wǎng)加強(qiáng)對(duì)訪(fǎng)問(wèn)者進(jìn)行控制、限制非授權(quán)用戶(hù)通信的需求；在匯聚、核心交換設(shè)備設(shè)置由硬件實(shí)現(xiàn)ACL，對(duì)病毒進(jìn)行過(guò)濾，我們選用的匯聚、核心交換設(shè)備都支持SP

27、OH，所以在使用ACL時(shí)將不會(huì)影響整個(gè)交換機(jī)的性能。1硬件實(shí)現(xiàn)端口與MAC地址和用戶(hù)IP 地址的綁定，嚴(yán)格限定端口上用戶(hù)接入。2 通過(guò)Private VLAN可以在交換機(jī)的同一VLAN中提供端口之間的通訊 或安全隔離，確保數(shù)據(jù)流進(jìn)入有效端口，而不會(huì)被發(fā)送到其它端口，即解決了因傳統(tǒng)802.1QVLAN造成全網(wǎng)VID資源不夠的問(wèn)題，同時(shí)又無(wú)需利用安全規(guī)則資源即能達(dá)到隔離不同用戶(hù)以及不同組用戶(hù)之間通訊的功能，充分保護(hù)用戶(hù)隱私。3可實(shí)現(xiàn)用戶(hù)賬號(hào)、MAC地址、IP 地址、交換機(jī) IP、交換機(jī)端口等六大元素之間的靈活任意綁定，有效確認(rèn)用戶(hù)合法性和唯一性。4支持業(yè)界特有的IGMP源端口檢查，有效杜絕非法組播

28、源播放和大量占用大量網(wǎng)絡(luò)寬，提高網(wǎng)絡(luò)安全性。5提供極為有效的Port Blocking功能，避免端口受到其它端口發(fā)送的廣播包、多播包等報(bào)文的干擾，有效減輕端口負(fù)載負(fù)擔(dān)，提高端口帶寬，保護(hù)用戶(hù)PC更高效安全地運(yùn)行。6基于源IP地址控制的Telnet和Web設(shè)備訪(fǎng)問(wèn)控制，增強(qiáng)了設(shè)備網(wǎng)管的安全性，避免黑客惡意攻擊和控制設(shè)備。7提供加密傳輸Secure Shell（SSH），保證管理設(shè)備信息的安全性，防止黑客攻擊和控制設(shè)備。8可靈活控制2-7層數(shù)據(jù)報(bào)文，使得任何一個(gè)用戶(hù)PC上的任何一種應(yīng)用報(bào)文通過(guò)網(wǎng)絡(luò)都能得到有效控制，充分保障了網(wǎng)絡(luò)的安全和合理化使用。5 網(wǎng)絡(luò)管理本方案中的大部分設(shè)備采用H3C公司的設(shè)

29、備，設(shè)備支持Open View等通用網(wǎng)管平臺(tái)以及iMC智能管理中心，方便管理。設(shè)備管理系統(tǒng)采用H3C設(shè)備管理系統(tǒng)，H3C設(shè)備管理系統(tǒng)是H3C自行設(shè)計(jì)開(kāi)發(fā)的應(yīng)用在各種操作系統(tǒng)包括Windows平臺(tái)和UNIX平臺(tái)（SUN Solaris）的設(shè)備級(jí)網(wǎng)絡(luò)管理軟件，旨在為H3C的系列數(shù)據(jù)通信設(shè)備提供網(wǎng)元級(jí)的管理。 它是一個(gè)簡(jiǎn)捷的網(wǎng)絡(luò)管理工具，充分利用設(shè)備自己的管理信息庫(kù)完成瀏覽設(shè)備配置信息、監(jiān)視設(shè)備運(yùn)行狀態(tài)等基本網(wǎng)管功能。既可以單獨(dú)安裝單獨(dú)運(yùn)行，也可以集成到SNMPc、HP OpenView NNM、N2000 EMF等一些通用的網(wǎng)管平臺(tái)上，實(shí)現(xiàn)從設(shè)備級(jí)到網(wǎng)絡(luò)級(jí)全方位的網(wǎng)絡(luò)管理，使用戶(hù)在降低產(chǎn)品成本的同

30、時(shí)滿(mǎn)足更豐富的功能需求。5、 設(shè)備選型校園網(wǎng)網(wǎng)絡(luò)系統(tǒng)從結(jié)構(gòu)上分為核心層、匯聚層和接入層。核心層主要是實(shí)現(xiàn)骨干網(wǎng)絡(luò)之間的優(yōu)化傳輸,骨干層設(shè)計(jì)的重點(diǎn)是冗余能力、可靠性和高速的傳輸。因?yàn)閷W(xué)校存在大量的語(yǔ)音和視頻傳輸。據(jù)此，考慮匯聚層對(duì) QOS 有良好的支持并且能提供大的帶寬。接入層設(shè)備是最終用戶(hù)的最直接上聯(lián)的設(shè)備，它應(yīng)該具備即插即用特性以及易于維護(hù)的特點(diǎn)。在接入層面，通過(guò)定義相應(yīng)的訪(fǎng)問(wèn)策略，實(shí)現(xiàn)訪(fǎng)問(wèn)控制，內(nèi)外隔離。由于貴校校園規(guī)模不是很大，對(duì)設(shè)備需求相對(duì)不需要太高，所以我們決定采用以下設(shè)備：設(shè)備清單序號(hào)名稱(chēng)規(guī)格型號(hào)單位數(shù)量單價(jià)總價(jià)1二層交換機(jī)（千兆）H3C S5130-30C-HI臺(tái)1018,777

31、1877702二層交換機(jī)（百兆）H3C S3100V2-26TP-SI臺(tái)951,7001615003核心交換機(jī)H3C S5800-32F臺(tái)237,300746004路由器H3C ER5200G2臺(tái)12,80028005服務(wù)器ThinkServer RQ940 D4820v2 16/300A2NRPOD臺(tái)33120,00039600006壁掛機(jī)柜(6U）國(guó)普達(dá)GP-16406P個(gè)55220121007網(wǎng)絡(luò)機(jī)柜（12U）國(guó)普達(dá)GP-16412P個(gè)348014408網(wǎng)絡(luò)機(jī)柜（32U）wings of light WLB3268個(gè)18208209服務(wù)器機(jī)柜（18U）國(guó)普達(dá)GP-36618個(gè)11,060

32、106010服務(wù)器機(jī)柜（32U）國(guó)普達(dá)GP-26632個(gè)61,8601116011防火墻H3C SecPath F1000-E臺(tái)1132,600132600合計(jì)2084545850注釋?zhuān)?樓設(shè)有1臺(tái)數(shù)據(jù)庫(kù)服務(wù)器和一臺(tái)備份服務(wù)器，2臺(tái)交換機(jī)，只需一個(gè)18U服務(wù)器機(jī)柜。2-7層。每層6間機(jī)房，每個(gè)機(jī)房?jī)膳_(tái)交換機(jī)，每間機(jī)房1個(gè)6U網(wǎng)絡(luò)（壁掛）機(jī)柜。5樓有一個(gè)服務(wù)器群，內(nèi)有2臺(tái)云服務(wù)器，2臺(tái)FTP服務(wù)器，需要2個(gè)32U服務(wù)器機(jī)柜。1-7層。每2層一個(gè)電信間，每個(gè)電信間放置一臺(tái)48口交換機(jī)，一個(gè)12U網(wǎng)絡(luò)機(jī)柜8-20層。每三層一個(gè)電信間，每個(gè)電信間放置3個(gè)交換機(jī)，一個(gè)6U網(wǎng)絡(luò)（壁掛）機(jī)柜。1-13號(hào)樓（

33、10號(hào)樓除外）每棟樓一個(gè)壁掛6U機(jī)柜。10號(hào)樓每?jī)蓪?個(gè)壁掛6U機(jī)柜。核心層設(shè)有2臺(tái)數(shù)據(jù)庫(kù)服務(wù)器和1臺(tái)備份服務(wù)器，1臺(tái)WEB服務(wù)器，7臺(tái)FTP服務(wù)器，1臺(tái)DNS服務(wù)器，1臺(tái)Mail服務(wù)器，1臺(tái)DHCP服務(wù)器，1臺(tái)文件服務(wù)器。放置4個(gè)32U服務(wù)器機(jī)柜，1個(gè)32U網(wǎng)絡(luò)機(jī)柜綜合練習(xí)郵箱截圖防火墻截圖服務(wù)器截圖dnsftpradius截圖DCWS-6028(config)#int vlan1DCWS-6028(config-if-vlan1)#ip addr 1 DCWS-6028(config)#radius-server authentication

34、host 0DCWS-6028(config)#radius-server key 123456DCWS-6028(config)#aaa enableDCWS-6028(config)#dot1x enableDCWS-6028(config)#int e1/0/24DCWS-6028(config-if-ethernet1/0/24)#dot1x enableDCWS-6028(config-if-ethernet1/0/24)#dot1x port-control autoDCWS-6028(config-if-ethernet1/0/24)#dot1x port-m

35、ethod portbasedDCWS-6028(config)#int e1/0/2DCWS-6028(config-if-ethernet1/0/2)#dot1x enableDCWS-6028(config-if-ethernet1/0/2)#dot1x port-method portbasedDCWS-6028(config-if-ethernet1/0/2)#dot1x port-control force-authorizedIP分配路由交換機(jī)配置sw1#show run!no service password-encryption!hostname sw1vendorlocat

36、ion ChinavendorContact 800-810-9119!vlan 1!vlan 10!vlan 20!Interface Ethernet0/0/1 switchport mode trunk!.Interface Ethernet0/0/8!Interface Ethernet0/0/9!Interface Ethernet0/0/10 switchport access vlan 10!Interface Ethernet0/0/11!Interface Ethernet0/0/12.!Interface Ethernet0/0/20 switchport access v

37、lan 20!Interface Ethernet0/0/21.Interface Ethernet0/0/26!no login!endsw2#show run!no service password-encryption!hostname sw2vendorlocation ChinavendorContact 800-810-9119!vlan 1!vlan 10!vlan 20!Interface Ethernet0/0/1 switchport mode trunk!Interface Ethernet0/0/2!.!Interface Ethernet0/0/8!Interface

38、 Ethernet0/0/9!Interface Ethernet0/0/10 switchport access vlan 10!Interface Ethernet0/0/11.Interface Ethernet0/0/19!Interface Ethernet0/0/20 switchport access vlan 20!.!Interface Ethernet0/0/26!no login!endDCWS-6028#show run!no service password-encryption!hostname DCWS-6028sysLocation ChinasysContac

39、t 800-810-9119!vlan 1!vlan 30!vlan 40!Interface Ethernet1/0/1 switchport mode trunk!Interface Ethernet1/0/2!.!Interface Ethernet1/0/6 switchport access vlan 30!Interface Ethernet1/0/7!Interface Ethernet1/0/8 switchport access vlan 40!Interface Ethernet1/0/9!Interface Ethernet1/0/21.!Interface Ethern

40、et1/0/28!no loginwireless discovery vlan-list 1 network 1! network 2! network 3! network 4! network 5! network 6! network 7!.! network 16! ap load-balance template 1! ap profile 1 name Default radio 1 dot11n channel-bandwidth 20 vap 0! vap 1! vap 2! vap 3. vap 14! vap 15! radio 2 dot11n channel-band

41、width 40 vap 0!. vap 13! vap 14! vap 15!captive-portal!EndDCWS-6028#show run!no service password-encryption!hostname DCWS-6028sysLocation ChinasysContact 800-810-9119!vlan 1!vlan 30!vlan 40!Interface Ethernet1/0/1 switchport mode trunk!Interface Ethernet1/0/2!.Interface Ethernet1/0/6 switchport acce

42、ss vlan 30!Interface Ethernet1/0/7!Interface Ethernet1/0/8 switchport access vlan 40!Interface Ethernet1/0/9!.!Interface Ethernet1/0/16!Interface Ethernet1/0/17!Interface Ethernet1/0/18!Interface Ethernet1/0/19!.!Interface Ethernet1/0/28!no loginwireless discovery vlan-list 1 network 1! network 2! n

43、etwork 3! network 4!. network 15! network 16! ap load-balance template 1! ap profile 1 name Default radio 1 dot11n channel-bandwidth 20 vap 0! vap 1! vap 2!.! radio 2 dot11n channel-bandwidth 40 vap 0! vap 1! vap 2! vap 3! vap 4! vap 5.!captive-portal!end!version 1.3.3Hservice timestamps log dateser

44、vice timestamps debug dateno service password-encryption!hostname R0!gbsc group default!interface FastEthernet0/0 ip address no ip directed-broadcast!interface GigaEthernet0/3 no ip address no ip directed-broadcast!interface GigaEthernet0/4 no ip address no ip directed-bro

45、adcast!interface GigaEthernet0/5 no ip address no ip directed-broadcast!interface GigaEthernet0/6 ip address no ip directed-broadcast!interface Serial0/1 no ip address no ip directed-broadcast!interface Serial0/2 no ip address no ip directed-broadcast!interface Async0/0 no

46、 ip address no ip directed-broadcast!router rip network network neighbor !version 1.3.3Hservice timestamps log dateservice timestamps debug dateno service password-encryption!hostname R2!gbsc group default!username Router1 password 0

47、china1!interface FastEthernet0/0 no ip address no ip directed-broadcast!interface GigaEthernet0/3 no ip address no ip directed-broadcast!interface GigaEthernet0/4 no ip address no ip directed-broadcast!interface GigaEthernet0/5 no ip address no ip directed-broadcast!interface GigaEthernet0/6 no ip a

48、ddress no ip directed-broadcast ip nat inside!interface GigaEthernet0/6.30 ip address no ip directed-broadcast encapsulation dot1Q 30 bandwidth 1000000 delay 1!interface GigaEthernet0/6.40 ip address no ip directed-broadcast encapsulation dot1Q 4

49、0 bandwidth 1000000 delay 1!interface Serial0/1 ip address no ip directed-broadcast encapsulation ppp ppp pap sent-username Router2 password 0 china2 ip nat outside!interface Serial0/2 no ip address no ip directed-broadcast!interface Async0/0 no ip address no ip directed-broad

50、cast!router ospf 100 network area 0 network area 0 network area 0!ip route default Serial0/1!ip access-list standard 111 permit any!ip nat inside source static tcp 80 80ip nat inside source static tcp 21 21ip nat inside source list 111 interface Serial0/1!version 1.3.3Hservice timestamps log dateservice timestamps debug dateno service password-encryption!hostname