1、目錄目錄 1. 網(wǎng)絡設計背景網(wǎng)絡設計背景. 2 1.1. 背景. 2 1.2. 現(xiàn)有網(wǎng)絡概況. 2 1.3. 改造需求. 3 2. 網(wǎng)絡設計網(wǎng)絡設計 . 3 2.1. 總體設計. 3 2.2. 主干網(wǎng)絡設計. 4 2.3. 低端網(wǎng)絡設計. 5 2.4. 應用系統(tǒng). 5 3. 管理管理 . 6 3.1. 安全機制. 6 3.2. 流量監(jiān)控. 7 4. 報價報價 . 錯誤! 未定義書簽。 1. 網(wǎng)絡設計背景網(wǎng)絡設計背景 1.1.背景 上海外國語大學的現(xiàn)有校園網(wǎng)已初具規(guī)模，由于中心位置搬遷，用戶數(shù)目擴 展和加強管理等多方面的需求，在原有的網(wǎng)絡基礎上進行改造，進一步完善， 加強安全管理，11 用戶通信

2、監(jiān)控，提供更多的應用服務。 1.2.現(xiàn)有網(wǎng)絡概況 現(xiàn)有的網(wǎng)絡拓撲結構如圖所示。其主要交換設備均采用 CISCO 公司的產(chǎn)品， 網(wǎng)絡拓撲比較簡單，應用服務相對集中。 行政樓 新樓 音像 圖書館 Catalyst5000 Catalyst3000 Catalyst3000 SUN R 上海外國語大學校園網(wǎng)絡拓撲結構 中央交換設備為 Catalyst 5000 配置情況 ？ 邊緣交換機為兩臺 Catalyst3000.配置情況 ？ 路由器和通信服務器是 CISCO 2511，8 塊 modem，剩余一個同步口，一個 異步口，還可擴展 8 路電話線路和一路外連專線 主服務器為 SUN 4，設備陳舊，性

3、能較低。 無虛網(wǎng)劃分，無網(wǎng)管， 撥號用戶有簡單的通訊量統(tǒng)計功能，校內專線用戶無統(tǒng)計功能 服務主要為 Email 和 WWW，提供與 Internet 接入。 1.3.改造需求 服務多樣性：增加服務除現(xiàn)有服務外，可增加計費系統(tǒng)，圖書檢索，多媒 體系統(tǒng)，BBS 和 FTP，Proxy 服務等功能。 可管理性：包括對撥號用戶和校內專線用戶的信息量的統(tǒng)計，對師生訪問 權限的控制機制和對國外出口的管理。 安全性：加強對系統(tǒng)的管理，主機系統(tǒng)應有較強的抗攻擊能力，在條件允 許的情況下要有虛網(wǎng)劃分機制，對網(wǎng)間的信息交換要有安全策略。 可擴充性：現(xiàn)有的網(wǎng)絡應具有很強的擴展能力，可以滿足近期內可預見的 用戶接入需

4、求，同時具有面向新技術的平滑升級能力。 2. 網(wǎng)絡設計網(wǎng)絡設計 2.1.總體設計 1.主干設備：根據(jù)目前現(xiàn)有結構和主要設備，在新的網(wǎng)絡構架中可以有兩種 方案可供選擇， 仍采用以 CISCO 產(chǎn)品為主，在低端桌面型設備可選用其他廠家的產(chǎn)品，因 為在目前情況下，多數(shù)非同廠家產(chǎn)品還不可能做到無縫連接，在高端即主 干網(wǎng)上采用異構互連的方式可能會帶來兩個問題 互連性問題，雖然連通是可實現(xiàn)的，但由于協(xié)議標準的實現(xiàn)方法不同， 可能會損失一部分帶寬，實際使用的帶寬速率要低于聲明帶寬速率。 虛網(wǎng)劃分：目前各廠家實現(xiàn)虛網(wǎng)協(xié)議方法大多不同，所以在做虛網(wǎng)劃分 時會帶來很多困難，甚至在某些情況下是不可實現(xiàn)的。 采用其他

5、廠商的低端產(chǎn)品（如 3COM，Intel 等），好處是價格便宜，且在 目前低通訊量和負載情況下可以滿足需要，在以后的網(wǎng)絡升級過程中，可以 替換向更低端的用戶推 2.路由交換與外部互連： 外部網(wǎng)絡目前仍采用 DDN 連接方式通過交大與教育網(wǎng)實現(xiàn)連接，暫時 還無提高出口帶寬的要求，目前所用路由器，有 5kpps 的包交換能力和 一空閑同步口，可以滿足近期的擴展要求。 如采用虛網(wǎng)技術就需要一個內部虛網(wǎng)間的信息交換的路由器，至少支持 4 個虛網(wǎng)即 4 個以太端口 3.主機系統(tǒng) 可根據(jù)應用系統(tǒng)選擇 SUN+Solaris，PC+NT 和 PC+Linux 的結構， SUN+Solaris 是一種比較安全

6、和穩(wěn)健的網(wǎng)絡服務器結構，而且由于管理 員對 SUN 系統(tǒng)較為熟悉，在管理上有經(jīng)驗，所以在 UNIX 主機系統(tǒng)中 仍采用這種結構。但由于價格較為昂貴，在目前情況下不宜大范圍采用。 PC+NT：管理簡單方便，價格適中，但安全性較差，同時還有缺陷， 同一網(wǎng)段數(shù)目過多的情況下可能會出現(xiàn)廣播風暴。 PC+Linux：價格最為便宜，安全性上沒有很大的把握，另外無生產(chǎn)廠 家提供可靠的技術支持，在出現(xiàn)問題時是沒有保障的。 4.遠程訪問 遠程撥號網(wǎng)絡的擴展較為簡單，目前現(xiàn)有的通信服務器還可支持 8 路線路的擴 展，只要購置相應的 modem 和申請電話線路即可。 2.2.主干網(wǎng)絡設計 上海外國語大學校園網(wǎng)絡拓撲

7、結構(改造） 行政樓 新樓 音像 圖書館 Catalyst3000 Catalyst3000 Catalyst3000 Catalyst5000 SUN R PCS PCS PCS Catalyst 5000： 中央交換設備采用原有的 Catalyst 5000，利用其 100M Base-T 端口加轉換器連 接外部新增設備。 Catalyst 3000WS-C3016B 配置情況：（原行政樓） 1.10BaseT RJ-45 2.AUI 3.2 擴展槽（WS-X3001 上行 100BSAE-TX） 4.EIA/TIA 232 console 5.AUI DB15 SwitchProbe 路

8、由交換設備（optional） 四 10M BaseT 端口路由，轉發(fā)能力在 50kpps 以上，穩(wěn)定性好，可靠性高， 有一定的 filter 功能。 可采用專用路由器，可選品牌設備：CISCO，Bay，Intel 或用 PC 路由，在低負荷情況下是可行的，但有技術難點，需要測試其 轉發(fā)能力和可靠性。 VLAN1 VLAN2 VLAN3 R SERVER VLAN R 上海外國語大學校園網(wǎng)絡邏輯拓撲結構 WWW FTP EMAIL. 2.3.低端網(wǎng)絡設計 參見布線方案 2.4.應用系統(tǒng) 現(xiàn)有服務器為 1 臺 SUN 4 性能較低，所有應用集中在此機上，一是負載過 重，另外給系統(tǒng)安全運行帶來了很

9、多不利因素。所以對改造后的網(wǎng)絡應用系統(tǒng) 提出了如下構想： DNS+Proxy+WWW：PC Sever +NT +IIS,根據(jù)目前校內用戶數(shù)目和上網(wǎng)信息 資源量，PC+NT 是一種比較經(jīng)濟，有效的結構。而且微軟的 NT 系統(tǒng)將所 有上面提到了應用集成在 NT 系統(tǒng)里給管理帶來了很大方便。但另一方面需 要指出的是 NT 在安全性和管理角方面有很大不足,需要管理員有較為豐富 的經(jīng)驗和完善的監(jiān)控手段和防范機制，可以在突發(fā)事件產(chǎn)生時能夠迅速恢 復和防止再一次入侵 FTP+ Email+撥號認證：SUN+Solaris|+Tacacsd，這一組服務主要是對內服務， 撥號認證服務需要運行在 Unix 系統(tǒng)

10、上，所以建議采用如上的結構，根據(jù)目 前用戶情況，F(xiàn)TP 服務可綜合在一起，如今后負載過重時再分離。 網(wǎng)管(o)：NT+網(wǎng)管軟件，此項為可選，因為以太網(wǎng)的網(wǎng)管雖然不是必須的， 但他可以監(jiān)視網(wǎng)絡設備的異常，負載情況和流量。 BBS(o)：SUN4，原有的服務器過于老舊，如有需求可做為 BBS 電子公告 牌 圖書檢索(o)：可建立一個富士通系統(tǒng)的前端機，提供友好的 WEB 用戶界 面可以隨時檢索館藏書籍的出借和庫存情況，目前采用 PC+Linux 的方式比 較好 （注：o 表示 optional,是可選的如此次改造不能實現(xiàn)，可在今后的升級中加以實 現(xiàn)。） 3. 管理管理 管理模式上要加強安全方面考慮

11、，和信息流量的控制， 3.1.安全機制 1加強主機系統(tǒng)的抗入侵能力，尤其對 NT 類型的服務器系統(tǒng)。 2應用系統(tǒng)盡可能分布在不同的主機上，關閉不必要的端口，減少入侵途 徑，在當前情況下，應本著對內對外的服務應分開，關鍵和非關鍵的應 用分開的原則，將應用系統(tǒng)合理的配置在主機系統(tǒng)上。 3加強對外部用戶的訪問控制，主要依靠防火墻機制，現(xiàn)在采用的手段是 在路由器上設置訪問表，和應用靜態(tài)路由。 4按應用需求應劃分虛網(wǎng)，控制校內用戶，各部門之間的訪問權限。 5加強監(jiān)督機制，重視線上用戶行為的監(jiān)視和對系統(tǒng)日志的分析，能夠及 時發(fā)現(xiàn)入侵行為，和找到遭入侵后的解決辦法。 6恢復備份是系統(tǒng)遭受破壞一種有效的簡潔的

12、處理手段，所以對備份工作 要重視起來，要做到關鍵數(shù)據(jù)一天一次，非變動信息有永久備份，其他 信息視情況而定。備份介質可采用硬盤和磁帶。備份方式可以是更新備 份，增量備份和永久性備份。 3.2.流量監(jiān)控 對主干網(wǎng)絡和個分支用戶網(wǎng)絡實施監(jiān)控，可以發(fā)現(xiàn)網(wǎng)絡瓶頸，得到用戶訪 問個信息點的量化數(shù)據(jù)，掌握用戶的不安全行為，可以為網(wǎng)絡性能分析和故障 診斷提供豐富的事實依據(jù)，給網(wǎng)絡的綜合管理帶來極大的好處。 1.網(wǎng)管系統(tǒng)：可以在各主要網(wǎng)絡交換設備上采集到當前設備的工作狀態(tài)，掌 握各虛網(wǎng)之間的數(shù)據(jù)流量，和交換設備的各端口的負載情況。 2.網(wǎng)絡分析設備：可以在主干網(wǎng)上監(jiān)視各網(wǎng)段上的包情況，其中包括： 通訊包總量，丟

13、包率 包成分，及其所占比重，如 IP,IPX. 各應用包的分配情況：如 Ip 包中 tcp 和 udp 包的百分比，tcp 包中 telnet，ftp，http 等包的比重。 各 IP 發(fā)包的情況，可以判斷網(wǎng)絡負載和故障診斷。 3.路由器上的流量控制，限制某些網(wǎng)段或者 IP 地址的訪問權限，與 PROXY 結合統(tǒng)計用戶的出口信息流量。 4.Proxy 服務，由于路由器的限制，可采用 Proxy 的辦法滿足用戶對校園網(wǎng)外 甚至是國外的訪問需求，而且這種訪問是受控的，可以根據(jù)用戶的帳號， 清楚的了解用戶對外訪問的信息量 5.撥號用戶可根據(jù)用戶認證機制，掌握用戶登錄時間，從而估算大概信息及 資源的耗

14、費情況。 4. 預算預算 項目名稱單價數(shù)量價格(人民 幣) 說明 Cisco Catalyst3000 C3106B $7178 WS-X3001 $1943 or Intel 100M Switch 150,000 20,000 接行政樓交換設備 接入 可選 SUN Ultra 10 A22 A22-UEA1Y9J-128cG X7103A SOLD-2.5.1NOV97-47 X6540A X6262A 10,000.001100,000Email，撥號認證， 計費 Cisco Works Windows CWPC-3.1-SNM PC on NT $3743 SNM ON NT CWPC

15、-3.1-OVW$2993 HP - openview On NT. 450,000CISCO 網(wǎng)管 大樓局域網(wǎng)布線 配線架：50.00 模塊面板：100.00 AT&T 線：150.00 人工費：130.00 其他材料：50.00 500.0018090,000新樓內布線 180 信息點 含 HUB Hayes Modem820,000遠程撥號網(wǎng)絡擴展 光纜鋪設 12 芯 2,700/km 4 芯 1,2000/km 人工+材料 12,000/km 光端頭：200/個 跳線：300/根 30,000園區(qū)網(wǎng)連接 NT4.0 中文版 220.000 計費軟件 on Tacacsd 10,000110,000 100M transceiver Bay Networks Model 514 100 MBPX Fiber Optic Transceiver 7,500430,000用于 100M 接入 PC SERVER Compaq/Ps200 PII/233 32M 4,3G S