小学校园网-网络工程课程设计

附件1：封面

《网络工程》课程设计

题目：小学校园网方案设计与实现

系别：计算机系

专业：网络工程

年级：

姓名：

学号：

班级：计算机科学与技术（2）班

指导教师：

2010 年12 月29 日

摘要

当今世界计算机信息科技的发展日新月异，已经从各个方面影响和改变着我们的生活，而其中的计算机网络技术的发展更为迅速，人们已经离不开计算机网络，并且随着因特网的迅速普及，网络已成为人们生活、工作、学习中必不可少的一部分。随着今天网络的逐步普及，校园网络的建设是学校向信息化发展的必然选择，因此计算机校园网络系统成为学校重要的现代化基础设施。自1994年由国家教育委员会主持的“中国教育研究网”的正式启动，“校园网”就随着全国各高等院校计算机网络的建设而引起人们的广泛关注。近年来，有很多中、小学也加入到了校园网络的建设行列，建设和使用校园网络已经成为一种普遍趋势。校园网络的建成和使用，对于提高教学质量、改善教学条件、加快学校的信息化进程，有着十分重要而深远的意义。其中校园局域网组建主要包括各种局域网的技术思想、网络设计方案、网络拓扑结构、布线系统、网络安全，网络系统的维护、防雷系统等内容。

关键字：校园网；设计方案；组网；网络安全；防雷

目录：

1.需求分析 (4)

1.1项目背景 (4)

1.2用户要求 (4)

1.3建网目标 (5)

1.4功能分析 (5)

1.5性能分析 (5)

2.设计 (6)

2.1总体设计 (6)

2.2拓扑图 (7)

2.3通讯网络设计 (8)

2.3.1Internet接入方式 (8)

2.3.2网络设备的选择分析 (8)

2.3.3建筑物内结构化布线设计 (9)

2.4资源网络设计 (10)

2.4.1校园的服务器室建设 (10)

2.4.2服务器的配置 (10)

2.5交换机设计 (11)

2.5.1三级结构 (11)

2.5.2VLAN划分 (13)

2.5.3交换机的配置 (14)

2.5.4DHCP服务器配置 (16)

2.6安全设计 (18)

2.6.1校园网安全威胁分析 (18)

2.6.2病毒对校园网的影响 (19)

2.6.3校园网安全方案设计 (19)

3.设备选型 (22)

3.1路由器选型: (22)

3.2交换机选型: (23)

3.3防火墙 (24)

4.测试 (25)

5.小结 (26)

6.参考文献 (26)

1.需求分析

1.1项目背景：

山区学校该学校有教学楼、办公楼和实验楼共4座，楼与楼之

间最大距离为50米，最大楼层高度3米，均为5层楼房。楼层最大长度40米。每座楼有教学办公计算机不超过20台，在实验楼有1个50台已联网的计算机实验室。以上参数表明：除实验楼外，每座大楼暂时可以采用一个24口集线器或交换机。50台的计算机实验室可以采用室内级联集线器或交换机。当较大数量地增加计算机时，方考虑增加连接设备。

电信部门承诺可免费安装一条上行2M下行8兆ADSL专线或10M 光纤到校内任意地方，并提供1个正式IP。只收包月月租。以上参数说明：ADSL专线或光纤可以安装在学校中心位置或计算机实验室以便降低其他成本（例如如线路），1个IP地址表明，必须设置内部代理服务器。只收包月月租表明学校所有机器（约130台）均可联入。

1.2用户要求：

1.在一台主机上设置主页服务器，内部邮件服务器，内部ftp服务器。

以上参数表明：此服务器需要完成的任务较重，包括代理服务器，WWW服务器，内部邮件服务器，内部ftp服务器等。此机器需24小时运行。性能参数要求高。采用双网卡、硬盘容量较大中档左右的服务器。

2.所有设备和线路初期投入不超过7万元。山区防雷要求表明对服务

器等主要设备至少需要进行电源防雷；山区电力情况表明可能供电电压不稳和可能会发生停电现象，需对主要设备配一个1KW的智能稳压源UPS。

3.可以在后期工程中有效扩充。后期主要是机器数量（即端口）的扩

展和流量扩展要求，初期的线路须至少满足100M流量。端口扩充

表明必须可以级联集线器或交换机。

4.后期使用费用应尽量减少。服务器软件尽量采用系统内置或免费软

件。

1.3建网目标：

利用有限的投资，将全校范围内的计算机资源(硬件、软件、资料)使用校园网技术连接起来，建设一个以办公自动化、计算机辅助教学、现代计算机校园文化为核心，以现代网络技术为依托，技术先进、扩展性强、能覆盖全校主要楼宇的校园主干网络，将学校的各种PC机、工作站、终端设备和局域网连接起来，并与有关广域网相连，在网上宣传自己和获取Internet网上的教育资源。形成结构合理、内外沟通的校园计算机网络系统，在此基础上建立能满足教学和管理工作需要的网络环境，为学校各类人员提供充分的网络信息服务。

1.4功能分析：

校园网在信息服务与应用方面应满足以下几个方面的需求：

1. 学校主页。在网上提高学校主页等服务，包括校情简介、学校新闻、校报（电子报）、招生信息以及校内电话号码和电子邮件地址查询等。

2. 文件传输服务。考虑到师生之间共享软件，校园网应提供文件传输服务（ftp）。文件传输服务器上存放各种各样课件和学习资料，师生可以根据自己需要随时下载在本机上。

3. 内部邮件。教师行政人员直接能够使用内部邮件相互发送和接收各种学校的信息、教学质量。方便职工人员的交流和信息的传递。

1.5性能分析：

在一台主机上设置主页服务器，内部邮件服务器，内部ftp服务器，而且服务器要24小时运行，所以主机的性能要求较高。采用双网卡、硬盘容量较大中档左右的服务器。

2.设计

2.1总体设计：

1、将后期使用月租较低的ADSL专线安装到学校中心位置----服务器室，选择学校中心位置可节省线材费用；

2、在服务器室放置一台约1．5万元的服务器。采用双网卡，40G 以上SCSI硬盘；放置一台1KW的智能UPS（带断电通知计算机关机功能），为服务器主机和服务器机房的交换机和光纤收发器提供电源。此主机可以采用Linux系统或服务器自带操作系统。其他软件采用免费软件或低价版权软件。

3、室外布线采用3条8芯多模光纤架空向两边延伸。

4、光纤直接安装到各大楼的3层中部，利用一个10M光纤收发器连接24口交换机。

5、每座大楼楼内采用100M双绞线联接到各机器。

6、对于计算机实验室采用一根或数根双绞线联入，教师机作为2级代理，让学生机可以受控上网且减少外部流量。

校园网总体设计方案的科学性，应该体现在能否满足以下基本要求方面：

（1）整体规划安排；

（2）先进性、开放性和标准化相结合；

（3）结构合理，便于维护；

（4）高效实用，具有较高的性价比；

（5）能够可靠的运行，较低的故障率和维护要求。

（6）能够实现快速信息交流。

2.2拓扑图：

校园网采用星型网络拓朴结构，星型拓朴结构为现在较为流行的一种网络结构，它是以一台中心处理机（通信设备）为主而构成的网络，其它入网机器仅与该中心处理机之间有直接的物理链路，中心处理机采用分时或轮询的方法为入网机器服务，所有的数据必须经过中心处理机。由于所有节点的往外传输都必须经过中央节点来处理，因此，对中央节点的要求比较高。在传输介质也要适合建网需要。在楼宇之间采用10M光纤，保证了骨干网络的稳定可靠，不受外界电磁环境的干扰，覆盖距离大，能够覆盖全部校园。在楼宇内部采用超5类双绞线，其连接状态100m的传递距离能够满足室内布线的长度要求。根据校园网的总体需求，结合对应用系统的考虑，本次网络建设的设计目标是：高性能、高可靠性、高稳定性、高安全性、易管理的万兆骨干网络平台。

2.3通讯网络设计

2.3.1 Internet接入方式：

10M光纤连接速度虽然比ADSL快，但价格较为昂贵，而8M的ADSL基本可以满足学校上网的要求，所以选择价格较为便宜的ADSL。

2.3.2 网络设备的选择分析:

该校园网属于中型网络，其结构不太复杂，用户数量较少，因此网络规划设计时必须从分的考虑网络的容量，安全性和将来网络的可扩展性。

二级交换机的选择比较简单，可根据每幢建筑楼内需要的计算机节点数来选择，也就是每幢楼的计算机数量决定选择多少口的交换机，现在每栋楼的计算机较少，为了节省成本，可选择交24口的带级联交换机，可方便日后的扩展。采用交换机进行级联肯定节约成本投入。采用堆叠交换机则不会对性能造成影响，但这种方式投入的成本比较高。交换机的性能在这里也非常重要，它是网络的基础，它的性能直接影响用户使用的网络性能。交换机性能由交换容量和数据包转发率来确定，这两个的值越大越好，不过这两个值越大价格也就越高，并且这两个值过大，会造成网络资源的浪费。最后我们需要注意，如果我们采用级联方式组网，那么这一层交换机最好采用带流量控制等功能的交换机，让管理员可对交换机进行管理。

在核心交换机和汇聚交换机我们在这里可采用光纤收发器实现它们之间的连接，光纤收发器是连接光纤介质和双绞线的网络产品，它能实现光信号和电信号的互换，并且这种产品的价格远远低于交换机扩展模块的价格，所以采用光纤收发器是一个低成本的解决方案。所以楼宇间我们采用10M的光纤收发器连接24口交换机。

校园网区由三层交换机和二层交换机有机结合构成，采用二级交

换技术,主干网由一台中心交换机三层交换机连接子网，子网使用二级交换机连接到个用户处。

2.3.3 建筑物内结构化布线设计:

网络中综合布线:

二级交换机与工作站之间用双绞线布线，中心交换机与二级交换机之间用光缆布线。中心交换机与网管中心的各服务器之间，直接通过100BASE-T的双绞线与中心交换机的1~12端口10~100自适应模块空出的任何RJ-45口相连。

结构化布线系统工程情况:

校园网的综合布线系统由工作区子系统、水平子系统、主干线子系统，管理子系统和设备间子系统构成，充分考虑了高度的可靠性、高速率传输特性、可扩充性和系统易升级性，其信息点的分布依建筑物内的布线设计。

下面分别对整个布线系统的五个子系统进行逐一描述：

工作区子系统:

工作区子系统由终端设备连接到信息插座的连线(或软线)组成,它包括装配软线、适配器和连接所需的扩展软线，并在终端设备和I/O 之间搭桥。

水平子系统:

水平布线子系统是将干线系统线路延伸到用户工作区，实现信息插座和管理子系统系统（配线架）间的连接，常用1010或1061型8芯双绞线实现这种连接。

管理子系统:

管理子系统提供与其他子系统连接的手段，使整个综合布线系统及其连接的设备、器件等构成一个有机的整体。管理子系统通常设置在配线设备的房间内，通常由配线硬件、输入/输出（I/O）设备等构成。

设备间子系统:

设备子系统由设备间中的跳线电缆、适配器组成，它把中央主配线架与各种不同设备互连起来、如PBX，网络设备和监控设备等与主配线架之间的连接。

主干线子系统:

实现计算机设备，程控交换机（PBX），控制中心与各管理子系统间的连接，常用介质是大对数双绞线电缆、光缆，它的一端端接于设备机房的主配线架上，另一端通常端接在楼层接线间的各个管理分配线架上。

2.4资源网络设计：

2.4.1 校园的服务器室建设：

服务器选购：

为了节省成本，在一台主机上设置主页服务器，内部邮件服务器，内部ftp服务器，对服务器的性能要求较高，服务器室放置一台约1．5万元的服务器。采用双网卡，1T以上高性能硬盘；同时此主机可以采用Linux系统或服务器自带操作系统。其他软件采用免费软件或低价版权软件。

电力设施：

考虑到学校位于山区，服务器等主要设备至少需要进行电源防雷；山区电力情况表明可能供电电压不稳和可能会发生停电现象，需要放置一台1KW的智能UPS（带断电通知计算机关机功能），为服务器主机和服务器机房的交换机和光纤收发器提供稳定的电压。

主页服务器:

服务器要存放学校的主页所在的默认网站。同时在服务器上创建4个以上新web站点你，分别用来存放一二号教学楼、实验楼等等的网站内容。这些内容以html文本和其包含的图片为主。

内部FTP服务器:

FTP服务站点，主要供教职工中心使用。可划分多个区域，各个单位各一个，以便各单位因教学科研的需要存放文件。同时还有一个用来存放公共软件，让大家下载。

内部邮件服务器：

在主机上安装免费的WEB邮件服务器软件，用户只需打开网页就能收看和发送邮件，方便内部交流和快速传递信息。

2.4.2 服务器的配置：

在服务器上使用自带的系统或安装免费的Linux，安装好网卡驱动程序，按预先分配的IP地址，设定好IP地址，然后安装配置WWW,FTP,DNS,VOD,E-mail服务。

配置完成后，在WWW的默认站点发布一个简单测试的主页，在FTP 服务器的默认FTP服务器中拷入一个测试用的文件，在E-mail服务器中添加一个测试用的电子邮件信箱。在DNS服务器中添加Web，FTP,E-mail服务器的记录(含IP地址和域名)，并提供转发到上一级DNS的功能。在VOD服务器中装入一个点播用的测试VOD节目。

防火墙通常位于网络的边缘，使得内部网络与internet之间或者与其他外部网络之间相互隔离，并限制网络互访从而保护内部网络。设置防火墙的目的是在内部与外部网之间设立唯一的通道，简化网络的安全管理。在网络中，目前常用的方法是在路由器上进行防火墙的配置，或者用专门的防火墙设备。在客户机上通常安装防火墙软件

2.5交换机设计：

2.5.1 三级结构：

当今校园网（Campus Network）主要是由以太网或令牌环组成。由于使用载波侦听多路访问/冲突检测（CSMA/CD）机制，故当网络

主机数目不断增加时，以太网的不足之处就表现得尤为突出，如主机间通讯故障的连锁影响、网络冲突严重、网络利用率大为降低、安全性能无法保证，更有甚者，当广播报文较多的情况下，广播风暴会造成网络崩溃。

VLAN是为解决以太网存在的广播问题和安全性而提出来的。VLAN（Virtual Local Area Network，即虚拟局域网）是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段，从而实现虚拟工作组的新兴技术。VLAN允许处于不同地理位置的网络用户加入一个逻辑子网中，共享一个广播域。与以太网相比较而言，创建VLAN 有以下优点：

1．控制广播风暴。一个VLAN就是一个逻辑广播域，通过对VLAN 的创建，隔离了广播，缩小了广播范围，可以有效控制广播风暴的产生。

2．端口分隔。即便在同一个交换机上，处于不同VLAN的端口也是不能交互通信的。这样，一个物理的交换机可以当作多个逻辑的交换机来使用。

3．管理灵活。更改用户所属的网络不必更换端口和联线，只需要更改软件配置就可以了。

4．安全性能有保障。配置了VLAN后，一个VLAN的包不会发到另一个VLAN，确保了该VLAN的信息不会被其他VLAN窃听。

划分VLAN的方法共有四种，基于端口划分VLAN是其中一种，它是利用交换机的端口来划分VLAN成员。被设定的端口都在同一个广播域中。例如，一个交换机的1，2，3，4，5端口被定义为虚拟网VLAN10，同一交换机的6，7，8端口组成虚拟网VLAN20。只允许属于同一个VLAN的各端口之间的通讯，而不在一个VLAN的端口是不允许通讯的。以交换机端口来划分网络成员，其配置过程简单明了，是目前最常用的一种方式。

VLAN隔离了广播风暴，同时也隔离了各个不同的VLAN之间的通讯，

所以不同的VLAN之间的通讯需要借助路由来完成。千兆路由器的价格是一般学校难以接受的，而三层交换机（也叫路由交换机）集传统交换机的性能和路由器的智能于一身，路由选择仍由路由器完成，但路选的结果被交换机保留在自身的路由缓存中。这样，一个数据流中的第一个数据包经过路由器，后继的所有数据包直接由交换机查表转发。得益于硬件转发，三层交换机可以做到线速路由。使用三层交换机的千兆端口或百兆端口连接不同的子网或VLAN，就可以在保持性能的前提下，较为经济实用地解决VLAN子网划分之间依赖路由器进行通信的问题，因此笔者认为三层交换机是连接子网的最理想设备。

2.5.2 VLAN划分：

该校园网目前约有计算机130多台，其中服务器1台,办公电脑约80台,实验室50台,学校申请一条8M ADSL接入互联网，同时申请一个正式IP地址。

假设中国电信用户地址：218.17.210.58；子网掩码：255.255.255.252；路由地址：218.17.210.57；DNS:219.223.4.2;202.103.96.68；IP段地址：219.223.40.0-219.223.41.254。

共划分为5个VLAN：

1、VLAN 10:划分给互联网接入，指定给三层交换机24端口。

2、VLAN20:实验楼（含1个电脑室）50台电脑，考虑以后扩充，分配一个C地址；IP地址段：219.223.40.1-254；子网掩码：255.255.255.0；网关：219.223.40.1；指定给三层交换机1端口。

3、VLAN 30:划分给一台服务器，考虑以后扩充，分配32个地址；子网IP地址段：219.223.41.1-30；子网掩码：255.255.255.224；网关：219.223.41.1；三层交换机1-12端口。

4、VLAN 40:划分给一号教学楼，约20台电脑，考虑以后扩充，分64个地址；子网IP地址段：219.223.41.65-126；子网掩码：255.255.255.192；网关：219.223.41.65；指定光纤2端口。

5、VLAN 50: 划分二号教学楼，约20左右台电脑，分半个C个地址；子网IP地址段：219.223.41.129-254；子网掩码：255.255.255.128；网关：219.223.41.129；指定13-16端口属于VLAN50。

6、VLAN 60：划分给办公楼，17-23 端口、IP地址段：219.223.41.33-62。

2.5.3 交换机的配置：

对交换机进行接口配置

SWITCH >enable //进入特权配置模式

SWITCH #configure terminal //进入全局配置模式

SWITCH(config)#enable password level 15 7 switch //设置进入特权配置模式密码

SWITCH(config)#line vty 0 4 //设置telnet远程登录

SWITCH(config-line-vty0-4)#password 7 telnetswitch//telnet密码SWITCH(config-line-vty0-4)#login //telnet登录起效

SWITCH(config-line-vty0-4)#exec-timeout 10 //telnet超时（分）SWITCH(config-line-vty0-4)#exit//退回到全局配置模式

SWITCH(config)#VLAN 10 //创建VLAN10

SWITCH(config-VLAN10)#description To-VPN //描述VLAN SWITCH(config-VLAN10)#switchport ethernet0/24 //24口加入VLAN10 SWITCH(config-VLAN10)#exit //退回到全局配置模式

SWITCH(config)#interface VLAN-interface 10 //进入VLAN接口模式SWITCH(config-VLAN-interface10)#ip address 218.17.210.58 255.255.255.252//配置VLAN10的路由接口IP地址

SWITCH(config-VLAN-interface10)#exit//退回到全局配置模式SWITCH(config)#ip route 0.0.0.0 0.0.0.0 218.17.210.57 //配置缺省路由SWITCH(config)#VLAN 20 //创建VLAN 20

SWITCH(config-VLAN20)#description multirreeb-building

SWITCH(config-VLAN20)# switchport gigabitethernet1/1 //光纤1口

加入valn20

SWITCH(config-VLAN20)#exit //退回到全局配置模式

SWITCH(config)#interface VLAN-interface 20 //进入VLAN接口模式SWITCH(config-VLAN-interface20)#ip address 219.223.40.1 255.255.255.0//配置VLAN20的路由接口IP地址，即网关地址，为子网段的第一个地址。

SWITCH(config)#VLAN 30 //创建VLAN 30

SWITCH(config-VLAN30)#description server-pool

SWITCH(config-VLAN30)# switchport ethernet0/1 to ethernet0/12 //1-12口加入valn30

SWITCH(config-VLAN30)#exit //退回到全局配置模式

SWITCH(config)#interface VLAN-interface 30 //进入VLAN接口模式SWITCH(config-VLAN-interface30)#ip address 219.223.41.1 255.255.255.224//配置VLAN30的路由接口IP地址

SWITCH(config)#VLAN 40 //创建VLAN 40

SWITCH(config-VLAN40)#description education1

SWITCH(config-VLAN40)# switchport gigabitethernet2/1 //光纤2口加入valn40

SWITCH(config-VLAN40)#exit //退回到全局配置模式

SWITCH(config)#interface VLAN-interface 40 //进入VLAN接口模式SWITCH(config-VLAN-interface40)#ip address 219.223.41.65 255.255.255.192//配置VLAN40的路由接口IP地址

SWITCH(config-VLAN-interface40)#exit

SWITCH(config)# VLAN 50 //创建VLAN 50

SWITCH(config-VLAN 50)# description office

SWITCH(config-VLAN 50)# switchport ethernet0/13 to ethernet0/16 //13-16口加入VLAN50

SWITCH(config-VLAN 50)#exit

SWITCH(config)# interface VLAN-interface 50 //进入VLAN接口模式SWITCH(config-VLAN-interface50)#ip address 219.223.41.129 255.255.255.128//配置VLAN50的路由接口IP地址

SWITCH(config)#exit

SWITCH#write //保存配置

This will write the configuration in the flash memory.

The switch configurations will be written to flash.

Are you sure?[Y/N]y//确认

Now writing running configuration to flash memory.

Please wait for a while...

Write running configuration to flash memory successfully.

SWITCH#

2.5.4 对交换机进行DHCP服务器配置：

由于DHCP是通过广播发送请求，而客户机又不能直接跨VLAN 获得IP，因此可以在交换机中设允许DHCP报文跨VLAN请求。设DHCP服务器IP为219.223.41.10(位于VLAN30 server-pool)。首先，在全局模式下,利用配置命令：dhcp-server 1 ip A.B.C.D。然后，在VLAN 接口下应用dhcp-server 1.

SWITCH(config)#dhcp-server 1 ip 219.223.41.10 //将DHCP服务器的IP配置给DHCP服务器变量

SWITCH(config)#interface VLAN 20

SWITCH(config-VLAN-interface20)#dhcp-server 1

用同样方法，将dhcp-server1配置给VLAN40、VLAN50。

安装DHCP服务器并进行VLAN 下的DHCP设置。

随着校园网机器的不断增加，给每台客户机指定固定IP的工作量是巨大的。如需要改变子网，那么每台计算机的IP地址都需要重新设置一次，工作非常烦琐。利用DHCP服务器，这些琐事都将迎刃而解。

1．安装DHCP服务器

如果你的网络中还没有安装DHCP服务，需要安装。依次点击进入“我的电脑→控制面版→添加/删除程序→添加/删除windows 组件→网络服务→勾选上DHCP服务组件”，即安装完成。

2．设置DHCP服务器的TCP/IP地址属性

TCP/IP属性设置：IP地址：219.223.41.10；子网掩码：255.255.255.224 ；默认网关：219.223.41.1 ；DNS:219.223.4.2;202.103.96.68。

3．VLAN 下的DHCP设置

根据三层交换机的VLAN配置，创建多个作用域（这些作用域的设置与交换机VLAN子网的设置必须一致）。这里以创建VLAN20的DHCP作用域为例加以说明：

①运行DHCP：开始→程序→管理工具→DHCP；

②建立DHCP作用域；

③作用在DHCP对话框中，选择“操作”菜单→“新建作用域”,出现欢迎画面，再输入称名：VLAN20；说明：综合楼；按“下一步”；进入作用域设置界面，分别在“起始IP”、“结束IP”和“子网掩码”中，填写VLAN20中子网自动获取IP的范围（一般留出本子网的部分地址做的固定地址）如填上219.223.40.20-254；子网掩码：255.255.255.0。填完后，按“下一步”进入下一对话框，出现输入需要排除的IP地址，（这些IP将用于特殊用途，比如网关、服务器等）。也可以不填写，直接点击“下一步”。

④设置路由默认网关，在IP地址框中输入219.223.40.1。点击“下一步”。

⑤进入域名称和DNS设置界面。在IP地址栏中填入DNS：219.223.4.2；202.103.96.68。点击“下一步”，进入wins配置，可以不填写，并点击"下一步"。在下面界面中，选择“是，我想现在激活此作用域”。设置完作用域。用同样的方法创建VLAN40、VLAN50作用域。

在创建新的作用域过程中，VLAN30子网是服务器群组，使用固定地址，不创建作用域；

VLAN40的子网掩码为：255.255.255.192；VLAN50的子网掩码为：255.255.255.128。

测试：

1．将二级交换机连接到核心交换机相应接口上。

2．启动DHCP服务器，查看工作站能否正确获取IP地址、DNS、网关。每个VLAN下面的工作站应该能到指定的DHCP服务器去取得该子网范围内的IP。通过在DOS下输入IPCONFIG来查看。例如：VLAN20下的工作站，IP地址应该是在219.223.40.20-254.；默认网关：219 .223.40.1;DNS:219.223.4.2;202.103.96.68。

3．在工作站和服务器上分别用IE浏览器访问internet网站。

4．更高级的测试方法：对相关地址用ping、tracert进行命令测试。

2.6 安全设计

2.6.1 校园网安全威胁分析：

校园网内的用户数量较大，局域网络数目较多，认真分析可以总结出校园网面临着如下的安全威胁：

1) 各种操作系统以及应用系统自身的漏洞带来的安全威胁；

2) Internet网络用户对校园网存在非法访问或恶意入侵的威胁；

3) 来自校园网内外的各种病毒的威胁，外部用户可能通过邮件以及文件传输等将病毒带入校园内网。内部教职工以及学生可能由于使用盗版介质将病毒带入校园内网；

4) 内部用户对Internet的非法访问威胁，如浏览黄色、暴力、反动等网站，以及由于下载文件可能将木马、蠕虫、病毒等程序带入校园内网；

5) 内外网恶意用户可能利用利用一些工具对网络及服务器发起DOS/DDOS攻击，导致网络及服务不可用；

6) 校园网内的教师群体是主要的QQ用户，目前针对QQ的黑客程序随处可见；

7) 可能会因为校园网内管理人员以及全体师生的安全意识不强、管理制度不健全，带来校园网的威胁；

2.6.2 病毒对校园网的影响：

校园网千兆、百兆的网络带宽都被大量的病毒数据包所消耗，用户正常的网络访问得不到响应，办公平台不能使用；资源库、VOD不能点播；INTERNET上不了，学生、老师面临着看着丰富的校园网资源却不能使用的尴尬境地。

2.6.3 校园网安全方案设计:

上述分析的几点是当今校园网普遍面临的安全隐患。随着学校的发展，日后可能会扩充网络，网络规模增大，同时，校园网络的应用水平也在不断提高。规模的壮大和运用水平的提高就决定了校园网面临的隐患也相应加剧。上面有校园网拓扑结构。基于此图，我们从物理、系统、网络、应用及管理五个层次分析和设计适合于校园网的安全建议方案。

1．物理层安全

物理层的安全主要包括环境、设备及线路的安全。在设备集中的管理间安装干扰器防止由于设备辐射造成的信息泄漏。同时，要注意保护线路的安全，防止用户的搭线窃听行为。

2．系统安全

系统层主要解决的是由于各种操作系统、数据库、及相关产品的安全漏洞和病毒造成的威胁。解决的技术手段主要有以下几种：采用主机加固手段对主机加固，如升级、打补丁、关闭不需要的

端口等；

采用主机访问控制手段加强对主机的访问控制；

3．网络层安全

校园网中局域网数目较多，根据需要多个网络可能要互相联接。正是这种多网的互联，使我们对网络层的安全要极度重视。定义一个网络或各网络内不同安全等级的部分为不同的安全域。安全域之间的连接处叫网络边界。下面主要讨论以下几方面的网络层安全防护： 1) 划分安全子网。如果同一局域网内有不同等级的安全域，可以通过划分子网及VLAN的方法加以访问控制。如在教学局域网中实验室机房和办公楼之间可以通过划分子网来控制，不允许学生机房的机器访问多办公楼之的机器。

2) 加强网络边界的访问控制。安全等级差别较大的边界需要采用防火墙来控制。如校园内网、校园外网和Internet之间，利用防火墙进行访问控制和内容过滤。可有效地解决需求中提到的多种威胁。 3) 防止内外的攻击威胁。在每个安全域内或多个安全域之间安装入侵检测系统（IDS）,可有效地防止来自网络内外的攻击。

4) 定期的网络安全性检测实现持续安全。利用漏洞扫描器,定期对系统进行安全性评估，及时发现安全隐患并实施修补，可达到网络的相对持续安全。

5) 建立网络防病毒系统。在校园网中安装网络版的防毒系统，集中控制、管理查杀网络中服务器、终端的病毒，保护全网不被病毒侵害。

4．应用层安全

应用层的安全措施主要有以下几点：

各应用系统自身的加固；

建立身份认证系统；

建立安全审计系统；

建立备份系统；