大学网络组建方案

摘要本课题主要讨论：校园网的建设，管理与维护。

高度发达的计算机网络是信息化校园的核心技术支撑。

具体的形式就是校园网，即在校园范围内连接的计算机网络，它将行政管理、信息管理、教学服务、研究开发等各类系统连接起来，实现这些系统之间的信息交换和信息服务。

网络化的内容还应该包括与校园网及其整个国际互连网的充分互连。

正因为如此，校园的教学、科研资源与社会知识资源实现了高度整合，使信息化校园成为完全开放、超越时空的校园平台和知识中枢。

在教学上来说校园网提供的对媒体教学方式为学生提供拉一个立体的多感官的教学环境，更有利与学生学习知识，掌握知识。

本校园网的作用不仅仅是用于教学，而且更可以用于学校的办公自动化，对各种档案进行管理，对学生日常信息进行管理，是一个为科研教学办公学生管理提供了一个全方位的平台，大大方便教师教学，对提高教学办公效率，增强教学效果有着非常重要的意义。

关键字：校园网 VLAN 交换路由一、概述：1.1项目背景学院坐落于历史文化名城、煤海之乡山西大同。

校园占地面积700亩，建筑面积36万平方米，学校有主要建筑：教学楼4栋、科技实验楼1栋、新图书馆1栋、行政楼一栋、宿舍楼9栋。

中外文藏书50万余册，教学科研仪器设备总值已达5000万元。

基本办学条件均达到或超过教育部专科教学水平评估规定的合格标准。

下设政法、管理、艺术、工学、计算机、经济管理等8个系，开设专科专业35个，全日制专科在校生9600人，师资队伍建设取得了较大的成绩。

现有专职教师507名，教授22名，副教授82名，讲师120名。

外聘兼职教师16名，聘请6名两院院士任我院荣誉教授，教师队伍的职称、学历结构渐趋优化。

由于学院的高速发展，急需建立一个可扩展的、高速的、充分冗余的、基于标准的网络。

1.2项目的目的及意义在网络信息时代的今天，面向新的需求和挑战，为了学校的科研、教学、管理的技术水平，为研究开发和培养高层次人才建立现代化平台，建设Intranet/Internet技术的高速多媒体校园网。

雁北学院的整个高速多媒体校园网建设原则是"经济高效、领先实惠"，既要领先一步，具有发展余地，又要比较实惠。

校园网是集计算机技术、网络技术、多媒体技术于一体的系统，能够最大限度地调动学生对教学内容的参与性以及积极性。

本校园网建设的目标主要是建立以校园网络为基础的行政、教学及师生之间交互式管理系统，逐步建立学校信息管理网络，实现办公自动化；为开展网上远程教学、多媒体交互式立体教学模式的探索提供高速、稳定的支持平台；逐步建立计算机辅助教学、计算机辅助考试等系统，为实现多媒体课件制作网络化，教师备课电子化、多媒体化打好基础；保证网络系统的开放性、可持续发展性，便于以后集成视频会议、视频点播等高层次教学功能。

1.3项目的特点随着现代化教学活动的开展和与国内外教学机构交往的增多，对通过Internet/Intranet网络进行信息交流的需求越来越迫切，为促进教学、方便管理和进一步发挥学生的创造力，校园网络建设成为现代教育机构的必然选择。

校园网大都属于中小型系统，以园区局域网为主，雁北学院的校园网具有以下的特点：高速的局域网连接——校园网的核心为面向校园内部师生的网络，由于参与网络应用的师生数量众多，而且信息中包含大量多媒体信息，故大容量、高速率的数据传输是网络的一项基本要求；本方案核心层交换机采用的是Cisco Catalyst 4006，达到万兆的速度以满足了师生的需求；信息结构多样化——校园网应用分为电子教学（多媒体教室、电子图书馆等）、办公管理和远程通讯（远程教学、互联网接入）三大部分内容：电子教学包含大量多媒体信息，办公管理以数据库为主，远程通讯则多为WWW方式，因此数据成分复杂，不同类型数据对网络传输有不同的质量需求；安全性——校园网中同样有大量关于教学和档案管理的重要数据，不论是被损坏、丢失还是被窃取，都将带来极大的损失；本方案中采用了防火墙、ACL、身份仁政等技术保证网络的安全；可靠性——本方案的关键部件均可以冗余配置、冗余工作。

电源的冗余是采用UPS 电源供电方式，核心交换机采用两条链路实现负载均衡，接入层交换机采用生成树技术，在避免二层链路环回的同时，提供了备份连接。

可靠性达到了99.9%。

易于管理——校园网面向不同知识层次的教师、学生和办公人员，应用和管理应简便易行，界面友好，不宜太过专业化；二、需求分析2.1结构分析根据项目的背景描述，本方案中在核心层采用万兆交换机可以大大提高核心数据交换能力，而整个校园网络不仅需要保证各个接入点充足的带宽，而且需要拥有可管理且安全的网络服务，这样才能让整个校园网发挥最大的功用，成为整个校园的中枢神经。

在核心层，万兆核心交换机通过万兆链路分别与两台接入层的万兆上连交换机相连，构成万兆环网设计，一旦其中一条万兆链路出现问题，另一条会立刻自动启用。

在链路设计上，充分保障了关键区域网络的稳定可靠。

在对带宽需求比较大的教学场所或图书馆等接入层部署万兆骨干交换机，需要配备多个扩展槽，以满足未来的扩展需要，并实现万兆线卡的线速转发。

接入层的其它地方则要部署千兆交换机。

另外，网络设备还需要支持硬件IPv6，为以后的平滑过渡做准备。

在接入层，网络接入交换机全部采用安全智能接入交换机，以提供强大的安全功能，从而在接入层对常见的病毒和攻击进行防护。

2.2性能分析网络的高性能首先需要在核心层得到保障，因此，核心交换机的先进性、吞吐量和可靠性是校园网最重要的环节之一。

万兆核心交换机至少需要支持3.2Tbps的背板处理能力，且具有1190Mbps以上的的包转发能力，还需要采用第二代Crossbar架构，以克服第一代Crossbar架构技术的局限性，从而达到质的提升。

另外，核心交换机需要采用ACL（接入控制）来实现病毒防护、安全过滤等功能。

在核心交换机的ACL实现方面，需要采用硬件ASIC芯片，达到在保证安全的同时不影响网络性能的目的，同时实现整机数据端口级同步处理ACL/QOS.通过线卡芯片线速转发L2/L3/组播数据，实现从线卡到端口的全面汇聚式硬件设计，有效分流、缓解线卡ASIC芯片的负载压力，极大地提升交换机的整体数据处理能力，满足业务急剧增长的需要，保持网络的高性能无阻塞交换和网络安全防护，实现多数据多业务的全线速处理。

在可靠性方面，核心设备需要电源冗余、交换引擎冗余，另外，模块需要具备热拔插功能，以防止设备级单点故障。

2.3接入认证分析以前校园网在设计时的立足点是让每个用户都可以无障碍地接入到网络中来，同时，尽量减少故障率。

而现在，在保证无障碍接入的同时，校园网更加注重接入用户的认证，未经授权的网络接入和接入需要禁止。

目前，在实现认证功能方面，最常采用的是802.1X技术，而以前常用的Web Portal或PPPoE认证方式，已逐步被淘汰。

由于校园网用户接入类型相对繁杂，包括生活区及教学区的固定接入、机房接入、图书馆接入以及无线接入等方式。

网管人员可以通过账号、IP地址、MAC地址、交换机、交换机端口等多元素灵活绑定，以满足复杂的应用需求。

在认证策略方面，可采取认证计费报文与业务数据分流技术。

在认证通过后，业务数据流就旁路了。

这样用户在整个上网过程中，就避免了报文和服务器的交换，交换机也无须处理认证计费报文，从而保证了网络性能。

在认证计费技术的实现上，每个接入交换机的每一个端口均相当于一个认证者，从而实现了汇聚认证，排除单点故障，同时克服了传统网关设备进行认证计费时造成的性能瓶颈。

2.4 IP地址分析在校园网运行中，由于用户自行随意分配IP地址，常会发生IP地址冲突、盗用和滥用的情况，这严重干扰了校园网的正常运行，也是网络管理人员最头痛的问题。

因此，如何解决IP地址冲突，并有效防止IP地址的盗用和滥用，是校园网建设中必须考虑的问题。

在接入客户端上启用端口+IP+ MAC绑定是解决IP地址问题的一个非常有效的方法。

这就需要接入交换机能够支持硬件实现IP、MAC、端口绑定和IP+MAC绑定，并能实现端口反查功能，从而追查源IP、MAC接入以及恶意用户，有效地防止通过假冒源IP、MAC地址进行网络攻击，进一步增强网络的安全性。

控制类似ARP攻击，保护校园网络安全也是一个非常重要的工作。

接入交换机需要支持ARP报文检测功能。

交换机通过核对ARP报文中的源IP、MAC是否和端口安全规则一致，有效防止了安全端口上的ARP欺骗以及非法信息点冒充网络关键设备IP 事件的发生。

2.5应用分析一个完善的校园网络应该具备杜绝非法组播源、保证合法组播源正常应用的功能，同时还能够保障网络带宽合理有效地利用。

目前销售的交换机均支持IMGP源端口检查，能够有效杜绝全网非法组播源，严格限定IGMP组播流的进入端口。

当IGMP源端口检查关闭时，从任何端口进入的视频流全是合法的，交换机会把它们转发到已注册的端口。

而当IGMP源端口检查打开时，只有从路由连接口进入的视频流才是合法的，交换机会把它们转发向已注册的端口，而从非路由连接口进入的视频流则会被视为非法端口进而被丢弃。

另外，校园网还需要控制和过滤已知的网络病毒类型，保障正常网络资源的接入，这需要依靠ACL来实现。

ACL还要支持智能的防扫描功能，从而判断用户是否对网络进行扫描，如果结果超出定义值，交换机就会自动切断用户连接，从而保障网络的正常应用。

实现智能控制网络应用，合理规划使用资源，需要网络对出现的新应用有探知能力。

例如在校园网中盛行的P2P应用，如果不对其加以控制，其后果将是有效带宽被无限制地占用。

因此，交换机需要支持对新应用的深度识别和控制，除硬件识别报文中的二层字段如MAC地址、三层字段IP地址、四层字段TCP/UDP端口号以外，还能硬件识别和控制报文内容，从而及时在接入层进行遏制，达到控制泛滥使用或不法网络应用流的目的。

2.6 安全分析安全性是网络设计中最重要的方面之一，但在网络设计过程中它经常被忽视，因为安全性通常被认为是运行的问题而非设计的问题。

然而，如果在设计网络之前考虑了安全性，就可以避免在已经完成的设计中加入安全措施时所带来的扩展性和性能方面的问题。

此外，可以在逻辑设计阶段就考虑折衷方案，以便能够设计出满足安全目标的解决方案。

所以，在本校园网的设计中中，要求所有用户必须有严格的安全身份认证才能登录。

要实现对非法访问、非法入侵、内部的不良企图作安全记录，阻止非法操作。

要具有良好的防病毒系统。

对于内网的成员，必须经过安全身份认证才能登录内部办公网。

为了防止非法入侵和计算机病毒，并保证内网与互联网连接的安全，外网需要建立一组相互重叠的安全机制，包括防火墙、数据包过滤、防病毒系统、审查日记、身份验证和授权等。

将公共服务器，比如WWW、应用服务器、FTP服务器和邮件服务器放置于DMZ区（非军事化区），可以通过防火墙的隔离和内部真实地址的隐藏使网络处于安全的状态。