1、Xxxx計算機(jī)科學(xué)與技術(shù)學(xué)院 網(wǎng)絡(luò)工程與規(guī)劃實驗報告 （ 2013 2014 學(xué)年度 第二學(xué)期 ）姓名學(xué)號專業(yè)網(wǎng)絡(luò)工程班級一班地點(diǎn)宿舍教師目錄校園網(wǎng)拓?fù)浣ㄔO(shè)背景2校園網(wǎng)拓?fù)浣ㄔO(shè)需求分析及要求4總體方案設(shè)計5總網(wǎng)絡(luò)拓?fù)鋱D的可靠性分析：9鏈路帶寬及冗余設(shè)計9IP地址規(guī)劃10內(nèi)網(wǎng)IP規(guī)劃10公網(wǎng)IP具體規(guī)劃如下11安全方案設(shè)計12設(shè)備選型13總結(jié)14校園網(wǎng)拓?fù)浣ㄔO(shè)背景隨著網(wǎng)絡(luò)建設(shè)的逐步普及，大學(xué)高校局域網(wǎng)絡(luò)的建設(shè)是高校向高水平、研究性大學(xué)跨進(jìn)的必然選擇，高校校園網(wǎng)網(wǎng)絡(luò)系統(tǒng)是一個非常龐大而復(fù)雜的系統(tǒng)，它不僅為高校的發(fā)展、綜合信息管理和辦公自動化等一系列應(yīng)用提供基本操作平臺，而且，能夠使教育、教學(xué)、科研

2、三位一體，提高教育教學(xué)質(zhì)量。而校園網(wǎng)網(wǎng)絡(luò)建設(shè)中主要應(yīng)用了網(wǎng)絡(luò)技術(shù)中的重要分支局域網(wǎng)技術(shù)來建設(shè)與管理的，因此本畢業(yè)設(shè)計課題將主要以校園局域網(wǎng)絡(luò)建設(shè)過程可能用到的各種技術(shù)及實施方案為設(shè)計方向，為校園網(wǎng)的建設(shè)提供理論依據(jù)和實踐指導(dǎo)。高校校園網(wǎng)的網(wǎng)絡(luò)建設(shè)與網(wǎng)絡(luò)技術(shù)發(fā)展幾乎是同步進(jìn)行的。高校不僅承擔(dān)著教書育人的工作，更承擔(dān)著部分國家級的科研任務(wù)，同時考慮未來幾年網(wǎng)絡(luò)平臺的發(fā)展趨勢, 為了充分滿足高校骨干網(wǎng)對高速，智能，安全，認(rèn)證計費(fèi)等的需求,可以利用萬兆以太網(wǎng)的校園網(wǎng)組網(wǎng)技術(shù)。構(gòu)建校園網(wǎng)骨干網(wǎng)，實現(xiàn)各個分校區(qū)和本部之間的連接，以及實現(xiàn)端到端的以太網(wǎng)訪問，提高了傳輸?shù)男?，有效地保證了遠(yuǎn)程多媒體教學(xué)、數(shù)字

3、圖書館等業(yè)務(wù)的開展。高校校園網(wǎng)的網(wǎng)絡(luò)建設(shè)與網(wǎng)絡(luò)技術(shù)發(fā)展幾乎是同步進(jìn)行的。高校不僅承擔(dān)著教書育人的工作，更承擔(dān)著部分國家級的科研任務(wù)，同時考慮未來幾年網(wǎng)絡(luò)平臺的發(fā)展趨勢, 為了充分滿足高校骨干網(wǎng)對高速，智能，安全，認(rèn)證計費(fèi)等的需求,可以利用萬兆以太網(wǎng)的校園網(wǎng)組網(wǎng)技術(shù)。構(gòu)建校園網(wǎng)骨干網(wǎng)，實現(xiàn)各個分校區(qū)和本部之間的連接，以及實現(xiàn)端到端的以太網(wǎng)訪問，提高了傳輸?shù)男?，有效地保證了遠(yuǎn)程多媒體教學(xué)、數(shù)字圖書館等業(yè)務(wù)的開展。隨著信息技術(shù)的高速發(fā)展，教育信息化水平正成為衡量學(xué)?？傮w發(fā)展水平的重要因素，網(wǎng)絡(luò)技術(shù)的應(yīng)用對高校的教學(xué)手段和教育管理體系的促進(jìn)作用是巨大的。1995 年CERNET （中國教育和科研計算

4、機(jī)網(wǎng)）建設(shè)全面啟動，全國各地的高校開始建設(shè)自己的計算機(jī)校園網(wǎng)。校園網(wǎng)建設(shè)是高校建設(shè)的重要組成部分，建設(shè)高質(zhì)量的局域網(wǎng)， 才能充分發(fā)揮網(wǎng)絡(luò)資源管理和應(yīng)用的優(yōu)勢，進(jìn)行信息交流、資源共享、科學(xué)計算和科學(xué)研究與合作。 校園網(wǎng)的建設(shè)與應(yīng)用，極大地豐富和完善了教育資源，拓寬了學(xué)生獲取知識的渠道，改善了教學(xué)效果，提高了學(xué)校的現(xiàn)代化管理水平，促進(jìn)了教育的社會化，因此，如何進(jìn)一步搞好校園網(wǎng)的建設(shè)，充分發(fā)揮校園網(wǎng)的作用，組建高性能，低成本的校園網(wǎng)，是各個高校正在探索和思考的問題。高校校園網(wǎng)從啟動建立到現(xiàn)在，無論是高校校園網(wǎng)的網(wǎng)絡(luò)技術(shù)，還是高校校園網(wǎng)的關(guān)注要點(diǎn)，大致可以分為三個階段。第一階段是基礎(chǔ)設(shè)施建設(shè)時期，時間

5、大約從1994年到2000年。這期間各種網(wǎng)絡(luò)技術(shù)在高校同時都有應(yīng)用：以太網(wǎng)技術(shù)，F(xiàn)DDI，ATM網(wǎng)絡(luò)技術(shù)。在這個階段，由于校園網(wǎng)應(yīng)用的技術(shù)比較繁雜，而且業(yè)務(wù)相對單一，因此，這一階段，主要關(guān)注網(wǎng)絡(luò)的連通性和兼容性，即如何保證校園網(wǎng)的連通，和各種不同網(wǎng)絡(luò)技術(shù)的兼容和融合。第二階段是應(yīng)用平臺建設(shè)時期，時間大約是從2000年到2005年。這期間，隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，各種應(yīng)用也開始出現(xiàn)并發(fā)展迅速，包括BBS、WWW、FTP、E-mail，以及近兩年流行的BT下載、視音頻業(yè)務(wù)等等，這些應(yīng)用都對帶寬提出了挑戰(zhàn)。另一個在此階段發(fā)展迅速的校園網(wǎng)應(yīng)用就是IPTV，更是被成為帶寬的殺手級應(yīng)用。與此同時，網(wǎng)絡(luò)技術(shù)特別

6、是以太網(wǎng)技術(shù)迅猛發(fā)展，1000M以太網(wǎng)已經(jīng)步入校園，萬兆標(biāo)準(zhǔn)也已經(jīng)公布。結(jié)合實際應(yīng)用和網(wǎng)絡(luò)技術(shù)來看，這個階段主要關(guān)注：帶寬和應(yīng)用。第三個階段是信息資源建設(shè)時期。時間從2005年至今，乃至今后幾年時間內(nèi)。近兩年，萬兆以太網(wǎng)已經(jīng)開始在高校校園網(wǎng)中規(guī)?；瘧?yīng)用，下一代以太網(wǎng)標(biāo)準(zhǔn)也已經(jīng)確立為10萬兆標(biāo)準(zhǔn)。同時，隨著cernet2的啟動，IPV6技術(shù)也已經(jīng)在校園網(wǎng)中實驗并逐步應(yīng)用。當(dāng)基礎(chǔ)設(shè)施、應(yīng)用平臺建設(shè)之后，信息資源的豐富與否決定了校園網(wǎng)絡(luò)的真正價值。當(dāng)信息資源充分豐富后，人們的工作、學(xué)習(xí)、生活、娛樂完全離不開網(wǎng)絡(luò)，網(wǎng)絡(luò)的安全與可信又成為頭等重要的問題?？v觀這兩年整個網(wǎng)絡(luò)世界，安全事件頻發(fā)：沖擊波、震蕩

7、波、ARP攻擊等等。所以，安全可信成為了高校校園網(wǎng)當(dāng)前關(guān)注的要點(diǎn)。簡單來說，對于校園網(wǎng)：豐富的應(yīng)用是關(guān)鍵，而穩(wěn)定可靠的網(wǎng)絡(luò)是基礎(chǔ)，完善的安全和管理手段是保障。信息時代的變革與發(fā)展，帶動了整個世界的深刻變革。網(wǎng)絡(luò)、計算機(jī)技術(shù)的進(jìn)步和應(yīng)用軟件的提高，使計算機(jī)變的越來越容易使用，它們正被廣泛地使用，并迅速改變著人們的生活、學(xué)習(xí)、工作方式。在一個好的校園網(wǎng)里人們用計算機(jī)和網(wǎng)絡(luò)進(jìn)行工作、交流和學(xué)習(xí)，計算機(jī)改變了人的教學(xué)方式，同時也改變了人的學(xué)習(xí)方式。社會變的很快，我們必須跟上時代的步伐，因此在經(jīng)濟(jì)條件允許的情況下，盡快盡早的建設(shè)校園網(wǎng)好處將是顯著的和長遠(yuǎn)的。校園網(wǎng)拓?fù)浣ㄔO(shè)需求分析及要求l 某大學(xué)具有6個

8、二級學(xué)院。位于同一城市的4個校園中，其中主校區(qū)與一個二級學(xué)院在一個園區(qū)(園區(qū)1)，另外四個二級學(xué)院倆倆位于一個園區(qū)(園區(qū)2、園區(qū)3)，而另外一個學(xué)院位于該城市的另一個園區(qū)(園區(qū)4)。l 大學(xué)向因特網(wǎng)發(fā)布信息并為全校提供有關(guān)信息化服務(wù)（web服務(wù)器、郵件服務(wù)器、FTP服務(wù)器等），每個學(xué)院也自行向因特網(wǎng)發(fā)布學(xué)院信息并負(fù)責(zé)學(xué)院自己的信息服務(wù)（web服務(wù)器、郵件服務(wù)器、電影服務(wù)器等），每個學(xué)院提供1500臺PC需要接入因特網(wǎng)，共劃分10個子網(wǎng)。l 大學(xué)已從中國教育科研網(wǎng)CERNET有關(guān)機(jī)構(gòu)申請了IPv4地址塊/22。l 大學(xué)校園網(wǎng)與因特網(wǎng)具有統(tǒng)一接口。通過防火墻，連接放置各種應(yīng)用

9、服務(wù)器的非軍事區(qū)部分，并經(jīng)路由器與CERNET相連。l 設(shè)計該大學(xué)校園網(wǎng)的拓?fù)浣Y(jié)構(gòu)（考慮網(wǎng)絡(luò)的可靠性），考慮關(guān)鍵網(wǎng)絡(luò)設(shè)備的選型、各鏈路帶寬與傳輸介質(zhì)，用VISIO軟件畫圖；l 要有冗余鏈路設(shè)計；l 規(guī)劃該校園網(wǎng)的公用IP地址和內(nèi)網(wǎng)的IP地址；l 進(jìn)行安全方案設(shè)計；l 需要考慮學(xué)校未來發(fā)展需求。對應(yīng)于學(xué)號的地址塊分配方案總體方案設(shè)計校園網(wǎng)拓?fù)鋱D設(shè)計想要設(shè)計拓?fù)鋱D首先就要明白題目的通信要求，以及所需的布線方案，上面我們已經(jīng)給出了題目。通過下圖我們可以更清楚題目的意圖。題目是要求我們可以進(jìn)行四個園區(qū)的通信。下圖簡單的給出了各個園區(qū)的大致布局園區(qū)一二級學(xué)院主校區(qū)二級學(xué)院 園區(qū)二 二級學(xué)院二級學(xué)院 園區(qū)

10、三 二級學(xué)院二級學(xué)院 園區(qū)四 題目是讓我們實現(xiàn)六個二級學(xué)院和主校區(qū)的通信，不但可以訪問廣域網(wǎng)，而且也可以相互之間通信。同時還要滿足題目的安全性，冗余性，可靠性，以及方便性和ip地址的規(guī)劃等要求。此圖是我們的總體拓?fù)鋱D，二級學(xué)院因為主機(jī)眾多不在一一畫出。拓?fù)湓O(shè)計嚴(yán)格按照需求分析的設(shè)計要求，大學(xué)校園網(wǎng)與因特網(wǎng)具有統(tǒng)一接口。通過防火墻，連接放置各種應(yīng)用服務(wù)器的非軍事區(qū)部分，并經(jīng)路由器與CERNET相連。此拓?fù)浯笾虏捎眯切屯負(fù)洌瑢τ诿恳粋€園區(qū)來說，從萬兆交換機(jī)連接到各個學(xué)院，再到各主機(jī)，兼用了樹型的拓?fù)?，方便以后我們的拓展。拓?fù)淙缦拢?層次模型拓?fù)浣Y(jié)構(gòu) 接下來是校園網(wǎng)的核心層結(jié)構(gòu) 下圖是到某園區(qū)的網(wǎng)絡(luò)

11、拓?fù)鋱D二級學(xué)院的網(wǎng)絡(luò)拓?fù)淇偩W(wǎng)絡(luò)拓?fù)鋱D的可靠性分析：首先我們可以發(fā)現(xiàn)這個網(wǎng)絡(luò)被分成四個園區(qū)，這是題目的要求，我們可以看到路由器之間形成環(huán)路，雖然這樣我們浪費(fèi)了一定的資源，但是可靠性卻大大提高了，當(dāng)我的鏈路出現(xiàn)故障或者路由器出現(xiàn)故障時我們還有其他的路徑可以發(fā)送數(shù)據(jù)。我們知道題目給出了每個園區(qū)的大致狀況而且也給出了大致的主機(jī)數(shù)和相應(yīng)的網(wǎng)段。我們可以看到各個園區(qū)是個大類網(wǎng)絡(luò)，每個二級園區(qū)我們還有自己的內(nèi)部網(wǎng)絡(luò)。而且，在連接外網(wǎng)時設(shè)置了，設(shè)置了防火墻。這樣確實保證了各個園區(qū)的安全性要求，但是我們的內(nèi)部網(wǎng)絡(luò)之間的安全性并不能得以全面的保障。鏈路帶寬及冗余設(shè)計由于大學(xué)網(wǎng)絡(luò)規(guī)模巨大、涉及到的用戶很多，如果網(wǎng)絡(luò)

12、特別是骨干網(wǎng)絡(luò)出現(xiàn)了不穩(wěn)定性或者癱瘓，這都將導(dǎo)致很大的事件。好的冗余能使網(wǎng)絡(luò)快速收斂，壞的冗余能使網(wǎng)絡(luò)癱瘓的哦，因為可以形成環(huán)路，所以，一定要好好的設(shè)計。隨著網(wǎng)絡(luò)的增長，可用性變得越來越重要，你可以通過分層網(wǎng)絡(luò)的冗余實現(xiàn)提高其可用性，訪問層交換機(jī)連接到兩個不同的分發(fā)層交換機(jī)，確保鏈路冗余，如果某個分發(fā)層交換機(jī)出現(xiàn)故障，訪問層交換機(jī)可以轉(zhuǎn)到另一個分發(fā)層交換機(jī)。此外，分發(fā)層交換機(jī)也連接到兩個或更多核心層交換機(jī)，在核心交換機(jī)出現(xiàn)故障的情況下，確保鏈路始終可用。只有訪問層不容易做到冗余，通常，每個終端設(shè)備，如PC、打印機(jī)和IP電話不能連接到多個訪問交換機(jī)，因為它們往往只有一塊網(wǎng)絡(luò)接口卡，如果訪問層交換

13、機(jī)出現(xiàn)故障，只有連接到該交換機(jī)的終端設(shè)備受到影響，網(wǎng)絡(luò)中的其它設(shè)備可以繼續(xù)正常使用網(wǎng)絡(luò)。 考慮到信息的飛速發(fā)展，校園網(wǎng)主干鏈路帶寬為千兆級，采用雙核心來處理龐大的校園網(wǎng)訪問。IP地址規(guī)劃隨著國家對駐地網(wǎng)的開放政策,駐地網(wǎng)的建設(shè)技術(shù)和管理模式,是每個網(wǎng)絡(luò)運(yùn)營商都實際面臨的問題。寬帶駐地網(wǎng)前期建設(shè)只是發(fā)展用戶必然而初步的基礎(chǔ),寬帶運(yùn)營商在逐步轉(zhuǎn)入網(wǎng)絡(luò)建設(shè)、運(yùn)營階段的過程中,IP地址規(guī)劃、分配、使用是一項重要工作,尤其是對那些大運(yùn)營商,由于建設(shè)地域范圍廣泛,市場發(fā)展進(jìn)度各不相同,前期規(guī)劃、管理工作就顯得更加重要。大家知道,合法IP地址資源比較緊缺。IP地址規(guī)劃直接影響網(wǎng)絡(luò)運(yùn)營、網(wǎng)絡(luò)地址管理工作。寬帶

14、運(yùn)營商要作好網(wǎng)絡(luò)地址規(guī)劃,充分利用合法IP地址和私有IP地址。按照要求，將地址塊/22（塊大為5）作為公網(wǎng)網(wǎng)段，/16網(wǎng)段作為內(nèi)網(wǎng)ip使用；又考慮到每個學(xué)院有1500臺PC接入Internet內(nèi)網(wǎng)IP規(guī)劃Vlan子網(wǎng)名稱網(wǎng)段網(wǎng)關(guān)物理位置5系統(tǒng)管理253網(wǎng)絡(luò)中心9網(wǎng)絡(luò)設(shè)備253網(wǎng)絡(luò)中心6校級行政80校級大領(lǐng)導(dǎo)辦公室7院級行政253院級辦公室10教學(xué)樓172

15、.111.（36-46）.1253各棟教學(xué)樓15機(jī)房172.111.（47-49）.1253機(jī)房20圖書館253圖書館30學(xué)生宿舍172.111.（51-63）.1253各棟學(xué)生宿舍為學(xué)院A分的內(nèi)網(wǎng)子網(wǎng)網(wǎng)段為/20B的網(wǎng)段為/20C的網(wǎng)段為/20D的網(wǎng)段為/20E的網(wǎng)段為/20F的網(wǎng)段為：/20。公網(wǎng)IP具體規(guī)劃如下

16、： 要是網(wǎng)絡(luò)內(nèi)部ip在公網(wǎng)上顯示自己的不同公網(wǎng)IP，需要在路由器上用NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換）技術(shù)實現(xiàn)。 園區(qū)1的公網(wǎng)ip網(wǎng)段：/22（00子網(wǎng)），園區(qū)2的公網(wǎng)：/22，園區(qū)3的公網(wǎng)ip：/22，園區(qū)4的公網(wǎng)：/22園區(qū)一：公網(wǎng)ip網(wǎng)段子網(wǎng)掩碼備注實現(xiàn)系統(tǒng)管理NAT技術(shù)校級行政辦公NAT技術(shù)院級行政辦公NAT技術(shù)教學(xué)樓NA

17、T技術(shù)圖書館NAT技術(shù)機(jī)房NAT技術(shù)學(xué)生宿舍NAT技術(shù)安全方案設(shè)計安全體系是安全工程實施的指導(dǎo)方針和必要依據(jù)，它的質(zhì)量也決定了安全工程的質(zhì)量。所以，應(yīng)把安全體系的設(shè)計提升到一定的高度，確保安全體系的可靠性、可行性、完備性和可擴(kuò)展性。我們在總線拓?fù)鋱D和二級學(xué)院上都做了較好的設(shè)置。不但設(shè)置了防火墻而且也設(shè)置了冗余鏈路。同事我們還可以數(shù)據(jù)加密，這些都是我們在安全設(shè)計方面的可慮。就拿上面的子網(wǎng)來說，因為防火墻的原因我們就可以對服務(wù)器更好的保護(hù)，讓部分不需要的網(wǎng)

18、段和主機(jī)訪問我們的服務(wù)器。這樣的過濾正式我們防火墻需要做的事。下面可以看看安全策略。安全的策略： （1）劃分安全子網(wǎng)。VLAN（Virtual LocalArea Network）即虛擬局域網(wǎng)，是一種通過將局域網(wǎng)內(nèi)的設(shè)備邏輯地而不是物理地劃分成一個個網(wǎng)段從而實現(xiàn)虛擬工作組的新興技術(shù)。VLAN技術(shù)允許網(wǎng)絡(luò)管理者將一個物理的LAN邏輯地劃分成不同的廣播域（或稱虛擬LAN，即VLAN）。一個VLAN內(nèi)部的廣播和單播流量都不會轉(zhuǎn)發(fā)到其它VLAN中，即使是兩臺計算機(jī)有著同樣的網(wǎng)段，但是它們卻沒有相同的VLAN號，它們各自的廣播流也不會相互轉(zhuǎn)發(fā)，從而有助于控制流量、減少設(shè)備投資、簡化網(wǎng)絡(luò)管理、提高網(wǎng)絡(luò)的安

19、全性。如果同一局域網(wǎng)內(nèi)有不同等級的安全域，就可以通過劃分子網(wǎng)及VLAN的方法加以訪問控制。如在教學(xué)局域網(wǎng)中學(xué)生機(jī)房和多媒體機(jī)房之間可以通過劃分子網(wǎng)來控制，不允許學(xué)生機(jī)房的機(jī)器訪問多媒體機(jī)房的機(jī)器。（2）加強(qiáng)網(wǎng)絡(luò)邊界的訪問控制。安全等級差別較大或者安全性未知的邊界需要采用防火墻來控制。如校園內(nèi)網(wǎng)、校園外網(wǎng)和Internet之間，利用防火墻進(jìn)行訪問控制和內(nèi)容過濾?？捎行У亟鉀Q需求中提到的多種威脅。 （3）防止內(nèi)外的攻擊威脅。在每個安全域內(nèi)或多個安全域之間安裝入侵檢測系統(tǒng)（IDS）,可有效地防止來自網(wǎng)絡(luò)內(nèi)外的攻擊。 （4）定期的網(wǎng)絡(luò)安全性檢測實現(xiàn)持續(xù)安全。利用漏洞掃描器（Scanner）,定期對系統(tǒng)

20、進(jìn)行安全性評估，及時發(fā)現(xiàn)安全隱患并實施修補(bǔ)，可達(dá)到網(wǎng)絡(luò)的相對持續(xù)安全。 （5）建立網(wǎng)絡(luò)防病毒系統(tǒng)。在校園網(wǎng)中安裝網(wǎng)絡(luò)版的防毒系統(tǒng)，集中控制、管理查殺網(wǎng)絡(luò)中服務(wù)器、終端的病毒，保護(hù)全網(wǎng)不被病毒侵害。主要的系統(tǒng)病毒防護(hù)技術(shù)如下：（a）阻止病毒的傳播 在防火墻、代理服務(wù)器、SMTP服務(wù)器、網(wǎng)絡(luò)服務(wù)器、群件服務(wù)器上安裝病毒過濾軟件。在桌面PC安裝病毒監(jiān)控軟件。設(shè)備選型在設(shè)備型號選擇上可以有多種搭配，可以考慮使用一臺Cisco 2620XM接入Internet，另一臺Cisco 2620XM作為撥號訪問服務(wù)器，配置一臺Cisco 3662-AC作為接入DDN和幀中繼的路由器。分小段可以選用帶有兩個快速以

21、太網(wǎng)接口的Cisco2621XM路由器。處于對未來擴(kuò)展接入能力方面的考慮，每臺設(shè)備都留有相應(yīng)的未被使用的插槽。此設(shè)計如上圖所示。在主校區(qū)網(wǎng)域設(shè)備中，設(shè)備選擇如下。選一臺Cisco3662-AC路由器，加配一個NM-4T，用兩根CAB-V35MT分別連接幀中繼和DDN，加配一個PWR-3660-AC。Internet接入路由器選用Cisco2620XM,加配一個WIC-1T，用一根CAB-V35MT連接DDN。遠(yuǎn)程訪問備份路由器Cisco2620XM，加配一個NM-8B-S/T用于連接ISDN接入。在分校區(qū)網(wǎng)域設(shè)備中設(shè)備類型為：分校接入路由器選用Cisco2621加配一個WIT-2T，用一根CAB-SS-V35MT連接幀中繼，一個WIC-B1-S/T用于撥號和租用線。這些設(shè)備每個分校區(qū)一套。防火墻的選型采用華堂HT2100該廣域網(wǎng)