大学校园网络与系统安全论文

四川理工学院

毕业设计（论文）

题目：大学校园网网络与系统安全实施方案

院系成都新华学院

专业计算机网络技术

年级 2010级

学生姓名彭俊

学生学号 10503011238

指导教师刘技盛

完成毕业设计（论文）时间 2013 年 5 月

[摘要]Internet的迅速发展，极大地推动了我国的网络建设。校园网的建设能从根本上促进教学科研人员之间的信息交流、资源共享、科研合作，是学校教育和科研工作的最重要的基础设施之一。整个高速多媒体校园网建设原则是"经济高效、领先实惠"，既要领先一步，具有发展余地，又要比较实惠。校园网是集计算机技术、网络技术、多媒体技术于一体的系统。

本文通过介绍校园网的设计与建设,来说明高校在组建内部网时所应经历的步骤；通过介绍高校内部网设计前的各种需求分析、设计方案的选择、网络安全维护工作以及最后的具体的组网实践，来说明如何高效安全地规划组建高校的校

园网。

随着互联网的普及和国内各高校网络建设的不断发展，目前高校大多建立了校园网，它己经成为高校信息化的重要组成部分。但随着黑客入侵的增多及网络病毒的泛滥，校园网的安全已成为不容忽视的问题，如何在开放网络的环境中保证校园网的安全性已经成为十分迫切的问题。本文系统地介绍了网络安全的概念、讨论了校园网目前面临的各种安全威胁。针对校园网的建设目标，列出了应对校园网络安全的关键技术，并结合校园网的特点详细论述了校园网安全防御的实现和措施，包括防火墙的设置，虚拟专用网(VPN)，入侵检测，备份与恢复等等。

[关键词]校园网网络设计网络建设黑客安全性网络安全网络维护

第一章校园网网络概述

随着网络技术的不断发展，网络安全已成为一个不可忽视的问题。伴随着高校校园数字化的不断深入，校园网安全越来越成为人们关注的焦点之一。本章系统地论述了计算机网络技术的发展以及当前网络安全所面临的主要问题，校园网的发展状况，校园网的拓扑结构，功能结构，校园网的建设目标等内容。

备传播病毒使很多电脑用户饱受其害。

1.1校园网的简介

随着网络技术的发展和网络应用的普及，校园网在国内高等学校中已经开始普及。并且随着国内高校的教学发展，高校应用水平的提高，高等学校校园网的整体水平和层次有了不小的提高。

1.1.1 校园网概念及相应问题

校园网是为学校师生提供教学、科研和综合信息服务的宽带多媒体网络。第一，校园网应为学校教学、科研提供先进的信息化教学环境。这就要求：校园网是一个宽带、具有交互功能和专业性强的局域网络。多媒体教学软件开发平台、多媒体演示教室、教师备课系统、电子阅览室以及教学、考试资料库等，都可以在该网络上运行。如果一所学校有多个专业学科（或多个系），也可以形成多个局域网络，并通过有线或无线方式连接起来。第二，校园网应具有教务、行政和总务管理功能。

目前校园网存在的四大问题：

（1）对教师进行计算机基础应用及网络培训的意义，没有意识或力度不够；

（2）对校园网的关键部分资源库的建设相对滞后；

（3）缺少关于校园网建设的理论与实践的科学认识；

（4）缺乏系统思考和统一规划，盲目地追求硬件建设与一次到位。

1.1.2 校园网发展方向

高等学校校园网发展显现以下趋势：

与校园网相关的网络技术、应用技术发展更新的速度越来越快；新兴的千兆以太网，甚至万兆以太网络、ATM、网络视频等技术已被使用；校园办公服务软件的兴起，把学校教学、校务办公、学校服务等有机地融合进校园网；利用校园网和互联网，发展了远程教育系统，丰富了教学手段，拓展了办学规模；同时Internet应用的发展也拓展了高等教育的研究领域；新兴的Internet应用学科快速发展，特别是电子商务应用系统的发展受到广大高等院校的重视，已经被部分高校编入了教学范围。

1.2 校园网的网络构成

校园网的网络构成可以按照不同的标准来区分，通常可以按照网络的拓扑和网络的功能分为校园网的体系机构和校园网的功能结构。

1.2.1 校园网网络体系结构概述

（1）校园网基础设施建设是我们数字化校园的基础，它的建设水平和效果直接影响到我们运行在校园网上的服务，影响到全校的教学、科研甚至影响到师生的日常生活。校园网的建设包括根据自身的应用需求和特点进行校园网的体系结构的设计，相关技术设备的选择，网络出口包括设备之间拓扑关系的确定、集成、调试，应用建设等关键环节，在这些环节当中也包含着对校园网络安全的考虑与设计。

（2）网络体系结构是关于如何构建网络的技术，它包括两个层次的内涵。一是要标识出网络系统由哪些部分组成，清晰地描述出各个部分的目的、功能和特点。二是要描述网络各组成部分之间的关系，如何将各部分有机地结合在一起，形成完整的网络系统，从而保证网络有效地运行，也就是将各部分进行集成的方式。

（3）校园网安全策略的制定和实施是以各高校校园网的基础体系结构和网络应用具体情况为依据和实施基础的。因此在制定各高校的网络安全策略和实施具体的安全策略之前，透彻分析校园网体系结构,网络拓扑结构，网络的路由策略，网络的区域划分，IP及VLAN的规划，网络访问策略，各应用系统的功能服务对象，访问限制等等是非常有必要的，其性能直接影响到网络安全策略的实施效果。

（4）近年来的信息化建设，通过网络办公、教学应用、科研需求等应用建设和使用，网络应用逐步渗透到了校园生活的各方面。上网备课、接收邮件、网络聊天，校园用户联网的时间一天天延长。各个高校的网络应用建设也是搞得非常火热，从原来的只提供部分特殊用户的上网接入和基本的Web服务发展到了增加网络出口和网络带宽，建设各部门和学院的二级站点乃至个人站点，Video视频点播系统、各学科知识数据库系统、教学、人事等业务系统，精品课程等多种应用系统的建设。

1.2.2 校园网系统功能构成

校园网作为校园网络信息平台应该由一个平台和三个系统构成，即系统管理平台、校园公共信息系统、校园管理信息及办公自动化系统、校园教学资源库系统。见下图1-1

图1-1 校园网系统功能结构图

1.2.3 校园的应用管理平台

（1）校园应用系统管理平台是一个安全性好、易管理、可靠性高的操作平台。在此平台上可轻松的实现系统备份和恢复、用户权限的设置、用户注册以及资源的调整、初始化等管理工作。通过使用Intranet/Internet技术实现了与Internet的无缝连接。

（2）教学资源库系统提供一致的资源管理和使用方式，实现简便精确的资源获取与检索，全面支持教学应用，包括对各类教学软件库、教学网络平台、电子阅览室等资源的分类、检索和管理、多媒体教学、远程教育等功能。

（3）校园管理信息系统用于支持学校日常管理的各项工作。用户通过使用人事管理、教育教学管理、后勤管理、教学资源与应用平台、图书馆管理、生活管理等多个功能子系统可以方便快捷地处理各种复杂数据操作和文字录入，完成各种校园信息数据的有效管理。

（4）校园公共信息系统（Internet服务系统）主要用于校园公共信息的管理，是学校师生进行交流的场所，老师和学生通过公共信息系统将很大的拓展信息交流的空间。作为大学的信息门户，该系统为全校师生提供校园讨论区（BBS）、校园聊天室、校园大事记、通知公告、信息发布等基础信息服务。通过权限设置，实现角色化管理。

1.2.4 典型校园网拓扑结构

校园网的网络体系结构包括校园网的网络边界设备，核心及骨干设备，网络

接入层设备，网络服务提供设备和这些设备的连接方式以及该结构采用的协议及技术。

当前的校园网多采用1000M以太网主干技术，1000M或100M到楼，100M或10M到桌面，部分区域采用无线接入技术（802.11）实现无线接入。校园网络一般有边界路由器，高性能的核心路由交换机，各分布层的三层路由交换机，大量的二层可网管接入交换机，以及防火墙，内容过滤系统，流量分析系统，网络设备管理系统等网络硬件设备。校园网多采用星形拓扑结构。

常见的校园网拓扑结构如图1-2

图1-2 校园网拓扑结构

1.2.5 校园网的建设目标

网络安全是抵御内外部各种形式的威胁，以保证网络安全的过程。为了深入理解什么是网络安全，必须理解网络安全目的是在保护网络上所面临的威胁，理解一个能够用于阻止这些攻击的主要机制也是很重要的。通常，在网络上实现最终的安全目标可通过下面的步骤完成，每一步都是为了澄清攻击和阻止攻击的保护方法之间的关系。下面的步骤是在一个站上建立和实现安全的方法：第1步：确定要保护的是什么；

第2步：决定尽力保护它免于什么威胁；

第3步：确定威胁的可能性；

第4步：以一种划算的方法实现保护资产的目的；

第5步：不断地检查这些步骤，每当发现一个弱点就进行改进。

校园网络系统需要实现以下安全目标：

（1）防范网络资源的非法访问及非授权访问；

（2）保护信息通过网上传输过程中的完整性、机密性。

（3）保护网络系统的可用性；

（4）防御入侵者的恶意破坏与攻击；

（5）保护网络系统服务的连续性；

第二章校园网应用特点及需求分析

2.1 项目背景

随着我国经济的高速发展，国家提出本世纪末将我国建设成为经济高度发展，教育完备的现代化强国。近年来国家加快改革教育体系，以教育为立国之本，建设一个高度发达的国家教育体系。

为提高我国教育的现代化、建立先进高效的教育体系。提供更为先进的教育手段，达到校园资源共享，建立完备的数据交换体系，更为快速的传递数据信息。随着科技的进步与经济的繁荣，校园计算机网络的建立与应用已相当普遍，它对内综合了校园中的计算机资源，对外建立了交换体系，更为快速的传递数据信息。

2.2 系统项目目标

利用有限的投资，将全校范围内的计算机资源(硬件、软件、资料)使用当今最新的组网技术连接起来，建设一个以办公自动化、计算机辅助教学、现代计算机校园文化为核心，以现代网络技术为依托，技术先进、扩展性强、能覆盖全校主要楼宇的校园主干网络，将学校的各种PC机、工作站、终端设备和局域网连接起来，并与有关广域网相连，在网上宣传自己和获取Internet网上的教育资源。形成结构合理、内外沟通的校园计算机网络系统，在此基础上建立能满足教学、科研和管理工作需要的软硬件环境，开发各类信息库和应用系统，为学校各类人员提供充分的网络信息服务。

2.3 校园网建设任务与需求目标

一个完整的校园网建设根据软硬件结合主要包括两个内容：技术方案设计；应用信息系统资源建设。

技术方案设计主要包括两个方面：结构化布线与设备选择、网络技术选型。应用信息系统资源建设主要包括：内部信息资源建设、外部信息资源建设等的选择。内部信息资源建设包括校园办公管理系统、多媒体网络教室、多媒体电子图书阅览室、网络多媒体课件制作系统、内部通信信息服务系统、视频点播等。外部信息资源建设包括学校主页、远程教学、Internet信息管理等。

一个学校校园网建设的目标应该是：

1.整体规划安排。从学校建设的全局和全面工作需要出发，考虑部门的地理分布和通信条件。整体规划网络建设方案，对网络系统的目标、总体结构、服务功能、经费预算、建设步骤等重大问题作出规定。

2.先进性、开放性和标准化相结合。尽量采用符合国际工业标准的、比较成熟的技术，兼顾网络技术的发展方向，选择结构化、可扩充、多用途的网络产品，

保证网络在较长时间内不落后。

3.结构合理。在通信网络、资源配置、系统服务和网络管理上有良好的分层设计，使网络结构清晰，便于使用、管理和维护。

4.高效实用。着眼于教学、科研、管理的实际需要，用有限的资金优先解决工作中急需的问题。设备易于使用和维护。为科学研究提供先进平台，例如可视化计算，计算机协同作业，虚拟网络，虚拟现实，计算机仿真，远程计算机与数据处理等。

5支持宽带多媒体业务，例如远程教学、多媒体网络教室、会议电视。

6为学术交流提供良好的环境与CERNET、CHINANET等进行高速互连，快速访问Internet，与国内外同行交流信息、协同工作和展示学校的形象。

技术的选择

网络系统是校园网的基础设施，主要包括结构化综合布线、服务器和终端机、内外连接设备以及软件平台的选择和建设。近年来，多媒体技术的应用，对网络的传输能力提出了更高的要求，联网技术由此取得了长足的发展。其中影响技术选择的主要因素包括：网络规模、网络服务类型、速度、可靠性、使用与维护管理的方便性、价格、国际标准、未来前景等。设计校园网络时，应综合考虑和权衡上述各种因素，在若干成熟的技术中进行选择和集成，以便能以最快的速度、最优的价格建成一个技术先进、功能丰富、运作可靠、使用维护及升级方便的校园网。

构建校园网的主要硬件有：服务器、UPS、传输设备（光纤、双绞线等）、交换机、HUB以及终端工作站、网卡等。校园网按照主干网的组网技术可分为：交换式以太网、快速以太网、FDDI、ATM和千兆以太网。交换式以太网现在主要用于网络交换机到桌面工作站。FDDI和ATM存在着组网成本高、带宽利用率较低等因素使得它们都不太适合校园网的要求。快速以太网是非常成熟的组网技术，造价低，具有较高的性能价格比，但传输速度较慢。千兆以太网传输的速度较快，范围也很广（100公里范围内），成本相对于快速以太网较高。

校园网的规模在100～1000个终端左右较好，可实现每个教室都有一个终端，如足够的校园图书馆终端、教师的备课终端、学校各种管理部门的终端。如果终端数过少，校园网的资源利用率就太低；终端过多，信息的传输速度就会受到很大限制。

整个校园网的投入主要由三个因素决定：服务器数量和种类、布线系统（包括网络设备）和终端的数量。

2.4 校园网的总体设计思想

校园网不只是涉及技术方面，而是包括网络设施、应用平台、信息资源、专业应用、人员素质等众多成份的综合化以及信息化教学环境系统。因此，在总体上如何筹划、组织网络建设和开发应用的设计思想是校园网建设中的最重要的问题。

总体设计是校园网建设的总体思路和工程蓝图，是搞好校园网建设的核心任务。进行校园网总体设计，首先是进行对象研究和需求调查，弄清学校的性质、任务和改革发展的特点，对学校的信息化环境进行准确的描述，明确系统建设的需求和条件；其次，在应用需求分析的基础上，确定学校Intranet服务类型，进而确定系统建设的具体目标，包括网络设施、站点设置、开发应用和管理等方

面的目标；第三是确定网络拓朴结构和功能，根据应用需求、建设目标和学校主要建筑分布特点，进行系统分析和设计；第四，确定技术设计的原则要求，如在技术选型、布线设计、设备选择、软件配置等方面的标准和要求；第五，规划安排校园网建设的实施步骤。

第三章校园网设计方案

3.1调研情况

学校有几栋建筑需纳入局域网，其中原有计算机教室将并入整个校园网络。根据校方要求，总的信息点将达到 3000个左右。信息节点的分布比较分散。将涉及到图书馆、实验楼、教学楼、宿舍楼、食堂等。主控室可设在教学楼的一层，图书馆、实验楼和教学楼为信息点密集区。

需求功能：

校园网最终必须是一个集计算机网络技术、多项信息管理、办公自动化和信息发布等功能于一体的综合信息平台，并能够有效促进现有的管理体制和管理方法，提高学校办公质量和效率，以促进学校整体教学水平的提高。

3.2 设计特点

根据校园网络项目，我们应该充分考虑学校的实际情况，注重设备选型的性能价格比，采用成熟可靠的技术，为学校设计成一个技术先进、灵活可用、性能优秀、可升级扩展的校园网络。考虑到学校的中长期发展规划，在网络结构、网络应用、网络管理、系统性能以及远程教学等各个方面能够适应未来的发展，最大程度地保护学校的投资。学校借助校园网的建设，可充分利用丰富的网上应用系统及教学资源，发挥网络资源共享、信息快捷、无地理限制等优势，真正把现代化管理、教育技术融入学校的日常教育与办公管理当中。学校校园网具体功能和特点如下：

技术先进

·采用千兆以太网技术，具有高带宽1000Mbps 速率的主干，100Mbps 到桌面，运行目前的各种应用系统绰绰有余，还可轻松应付将来一段时间内的应用要求，且易于升级和扩展，最大限度的保护用户投资；

·网络设备选型为国际知名产品，性能稳定可靠、技术先进、产品系列全及完善的服务保证；

·采用支持网络管理的交换设备，足不出户即可管理配置整个网络。

网络互联：

·提供国际互联网ISDN 专线接入（或DDN），实现与各公共网的连接；

·可扩容的远程拨号接入/拨出，共享资源、发布信息等。应用系统及教学

资源丰富：

·有综合网络办公系统及各个应用管理系统，实现办公自动化，管理信息化；

·有以WEB数据库为中心的综合信息平台，可进行消息发布，招生广告、形象宣传、课业辅导、教案参考展示、资料查询、邮件服务及远程教学等。

3.3校园网布局结构

校园比较大，建筑楼群多、布局比较分散。因此在设计校园网主干结构时既要考虑到目前实际应用有所侧重，又要兼顾未来的发展需求。主干网以中控室为中心，设几个主干交换节点，包括中控室、实验楼、图书馆、教学楼、宿舍楼。中心交换机和主干交换机采用千兆光纤交换机。中控室至图书馆、校园网的主干即中控室与教学楼、实验楼、图书馆、宿舍楼之间全部采用8芯室外光缆；楼内选用进口6芯室内光缆和5类线。

根据学校的实际应用，配服务器7台，用途如下：

①主服务器2台：装有Solaris操作系统，负责整个校园网的管理，教育资源管理等。其中一台服务器装有DNS服务，负责整个校园网中各个域名的解析。另一台服务器装有电子邮件系统，负责整个校园网中各个用户的邮件管理。

②WWW服务器1台：装有Linux操作系统，负责远程服务管理及WEB站点的管理。WEB服务器采用现在比较流行的APACHE服务器，用PHP语言进行开发，连接MYSQL 数据库，形成了完整的动态网站。

③电子阅览服务器1台：多媒体资料的阅览、查询及文件管理等；

④教师备课服务器1台：教师备课、课件制作、资料查询等文件管理以及Proxy服务等。

⑤光盘服务器1台：负责多媒体光盘及视频点播服务。

⑥图书管理服务器1台：负责图书资料管理。

在充分考虑学校未来的应用，整个校园的信息节点设计为3000个左右。交换机总数约50台左右，其中主干交换机5台，配有千兆光纤接口。原有计算机机房通过各自的交换机接入最近的主交换节点，并配成多媒体教学网。INTERNET接入采用路由器接ISDN方案，也可选用DDN专线。可保证多用户群的数据浏览和下载。

3.4 网络拓扑图

第四章 综合布线系统设计

4.1 综合布线设计要点

（1） 实用性：能支持多种数据通信、多媒体技术及信息管理系统等，能够实现现在和未来技术的发展。

（2） 灵活性：任意信息点能够连接不同类型的设备，如微机、打印机、终端、服务器、监视器等。

（3） 开放性：能支持任何厂家的任意网络产品，支持任意网络结构，如总线型、星型、环形等。

（4) 模块化：所有的接插件都是积木式的标准件，方便使用、管理和扩充。

（5) 扩展性：实施后的综合布线系统是可扩充的，以便将来有更大需求时，能够容易将设备安装接入。

（6） 经济性：一次性投资长期受益，维护费用低，是整体投资达到最少。

依据这些原则，可以确定该学校的综合布线拓扑结构应该为星型，保证综合布线系统的灵活性和扩展性。由于有几栋教学楼，所以本方案设计包括综合布线的所有子系统。

4.2结构化布线系统

结构化布线划成6个部分：工作区子系统、水平子系统、垂直子系

统、设备间子系统、建筑群子系统。

如下图所示。

工作区子系统 水平区子系统 管理区子系统

4.2.1 工作区子系统

工作区子系统又称为服务区子系统，它是由RJ-45跳线与信息插座所连接的设备（终端或工作站）组成。其中信息插座有墙上型、地面型、桌面型等多种类型。

工作区设计要考虑以下几点：

（1）工作区内线槽要布的合力、美观。

（2）信息插座与电源插座应保持30cm的距离。

（3）信息插座要设计在距离地面30cm以上（与电源插座保持水平）。

（4）信息插座与计算机设备的距离保持在5M范围之内。

（5）购买的网卡类型接口要与线缆类型接口保持一致。

（6）所有工作区所需的信息模块、底盒、面板的数量。

（7）所需RJ-45接头的数量。

4.2.2 水平子系统设计

水平子系统也称为水平干线子系统，它是从工作区的信息插座开始到管理间子系统的配线架。结构一般为星型结构，它与垂直子系统的区别在于：水平子系统总是在一个楼层上，仅与信息插座、管理间连接。在综合布线系统中，水平子系统通常由4对UTP(非屏蔽双绞线）组成。在高带宽应用时，可以采用光缆。水平子系统连接管理子系统至工作区，包括水平布线、信息插座、电缆终端及交换。

水平干线子系统的设计涉及到水平子系统的传送介质和部件集成，主要有4点：（1）确定线路走向。

（2）确定线缆、槽、管的数量和类型。

（3）确定线缆的类型和长度。

（4）订购电缆和线缆。

电缆的用量可以用以下公式进行计算：

每层楼的用线量C=【0.55×（L+S)+6]×N

L：本楼层离管理间最远信息点距离。

S：本楼层离管理间最近信息点的距离。

N: 本楼层信息点的总数。

0.55：备用系数。

6：端接容差。

4.2.3 管理子系统设计

管理子系统由交联、互联、和I/O组成。管理间是楼层的配线间，管理子系统为其他子系统互联提供手段，他是连接垂直干线子系统和水平干线子系统的设备，其主要设备是配线架、交换机等网络设备，以及机柜和电源等。交连和互连允许将通信线路定位和重定位在建筑物的不同部分，以便能更容易的管理通信线路。I/O位于用户工作区和其他房间或办公室，使在移动终端设备时能够方便的进行插拔。

作为管理间一般有以下设备：

（1）机柜

（2）楼层交换机

（3）配线架

（4）电源

配线架的选型和安装:分配线间的设计，我们采用了较为集中、灵活的管理方式，充分利用配线架的容量，以达到较好的性能价格比。所有的水平及垂直UTP双绞线均选用Lucent 48口和24口非屏蔽的配线架进行管理，使数据点可完全互补，且管理、维护灵活简便。

4.2.4 垂直干线子系统

垂直子系统也称垂直干线子系统或骨干子系统，它提供建筑物的主干线缆，负责连接管理子系统到设备子系统的子系统，目前的设计中一般使用光缆。它也提供了建物垂直干线电缆的走线方式。

垂直干线子系统主要用于连接一栋大楼内部的各配线间，提供网络主干连接。

4.2.5 设备间子系统设计

设备间子系统也称设备子系统。设备间子系统由电缆、连接器和相关支撑硬件组成。它把各种公共的多种不同设备互连起来，其中包括光缆、双绞线电缆、同轴电缆、程控交换机等。

在建设设备间时要注意以下几点：

（1）室内照明、通风良好。

（2）要安装符合机房规范的消防系统。

（3) 使用防火门，墙壁使用阻燃漆。

（4）进行防静电装修。

（5) 防止电池场的干扰。

（6）设备空间应保持2.55M高度的无障碍空间，门高为2.1m，宽至少为90cm，地板承重能力不低于500KG/MM。

设备子系统是整个布线系统的管理中心，由设备间（主配线间）中的电缆、连接器和相关支撑硬件组成，它把公共系统设备的各种不同设备互连起来。考虑到中心机房机柜中的美观及便于管理，管理区跳线我们采用订制的两端带RJ-45数据线用于连接配线架与网络设备。需要：两端带RJ-45数据线 80根

4.2.6 建筑群子系统

建筑群子系统又称为园区子系统，它是将一个建筑物的电缆延伸到另一个建筑物的通信设备和装置，通常是由光缆和相应设备组成，提供外部建筑物与大楼内布线的连接点。它支持楼宇间通信所需的硬件，其中包括电缆、光缆以及防止电缆上的脉冲电压进入建筑物的电气保护装置。

建筑群子系统用于连接各分散的建筑物，由于部分建筑距信息中心的距离可能超过了100米（铜缆布线系统的最长距离为100米，粗缆可支持500米，但粗缆只能支持系统主干间的10M连接，五类双绞线支持100M连接），另外考虑到现代网络技术ATM、千兆以太网对网络带宽的要求（155M/622M/1000M），系统主干只能选择多模光缆（多模光缆可在260米范围内支持1000M主干）。另外考虑到光缆主干的备份以及经济原因（四芯与六芯光缆价格相当），可以选择国产长飞六芯多模光缆来构建整个网络系统主干。

实施可用于数据、影像、语音和其他信息传输的部分布线工程，使学校的住处设备能够方便地连接到校园网。根据结构化布线标准和需求设计所需设备，包括线缆、配线架、模块、机柜、辅助材料等；主要设备要求选用安普、Avaya 等公司产品。完成信息点所在位置的电脑接入校园网，保证部门级办公电脑及课室电脑以100Mb/s的速率接通校园网

建筑内星型拓扑结构主干线路的物理设计

第五章网络技术选型

5.1主要网络技术

以太网技术（快速以太网、交换式以太网、千兆位以太网）、ATM、FDDI等，其中以太网用途最为广泛。

5.1.1以太网技术的优点：

由于以太网的技术成熟、成本较低、互操作性强、易于使用和管理、可扩充性强，因此，选用以太网技术。

VLAN技术的优点：控制广播风暴、提高网络整体安全性、网络管理简单、提高性能等优点。

第三层交换技术：一方面支持VLAN之间通信；另一方面交换技术减少了数据包的碰撞问题。支持VLAN的交换机配合第三层功能不但具有很高的性能，而且具有充分的弹性，因此，是最好的选择。

网络的冗余技术：提高网络的可靠性；链路冗余既可提高可靠性，又能均衡负载；缺点：

不适应重负荷应用环境，实时性差，存在冲突域；

5.1.2 ATM的优点

高数据传输速率、良好的服务质量保证、能支持不同速率的各种业务、支持高传输通道传输声音、视像等多媒体、具有实时性好、支持突发业务。

缺点：

成本高，技术不成熟，还没有制定标准；

由于交换式以太网能满足校园网应用需求，即高速的数据流转输如：多媒体教学、视频点播、图书资料查询、科研高速网络，而且成本低、技术成熟、升级性强，因此采用交换式以太网技术结合虚拟局域网技术和及网络冗余技术，给校园网提供高速、可靠的一个网络。

5.1.3 FDDI技术优点

覆盖范围宽可达几，甚至几十公里，主要用于主干网，有容错能力。

缺点：成本高、应用面不广。

第六章构建安全的校园网

6.1 网络安全设计原则

随着信息化进程的深入和互联网的快速发展，网络化已经成为企业信息化的发展大趋势，信息资源也得到最大程度的共享。但是，紧随信息化发展而来的网络安全问题日渐凸出，网络安全问题已成为信息时代人类共同面临的挑战，网络信息安全问题成为当务之急，如果不很好地解决这个问题，必将阻碍信息化发展的进程。

6.1.1安全攻击、安全机制和安全服务

ITU-T X.800标准将我们常说的“网络安全(networksecurity)”进行逻辑上的分别定义，即安全攻击(security attack)是指损害机构所拥有信息的安全的任何行为;安全机制(security mechanism)是指设计用于检测、预防安全攻击或者恢复系统的机制;安全服务(security service)是指采用一种或多种安全机制以抵御安全攻击、提高机构的数据处理系统安全和信息传输安全的服务。三者之间的关系如表1所示。

6.1.2网络安全防范体系框架结构

为了能够有效了解用户的安全需求，选择各种安全产品和策略，有必要建立一些系统的方法来进行网络安全防范。网络安全防范体系的科学性、可行性是其可顺利实施的保障。第一维是安全服务，给出了八种安全属性(ITU-T REC-X.800-199103-I)。第二维是系统单元，给出了信息网络系统的组成。第三维是结构层次，给出并扩展了国际标准化组织ISO的开放系统互联(OSI)模型。

框架结构中的每一个系统单元都对应于某一个协议层次，需要采取若干种安全服务才能保证该系统单元的安全。网络平台需要有网络节点之间的认证、访问控制，应用平台需要有针对用户的认证、访问控制，需要保证数据传输的完整性、保密性，需要有抗抵赖和审计的功能，需要保证应用系统的可用性和可靠性。针对一个信息网络系统，如果在各个系统单元都有相应的安全措施来满足其安全需求，则我们认为该信息网络是安全的。

6.1.3网络安全防范体系层次

作为全方位的、整体的网络安全防范体系也是分层次的，不同层次反映了不同的安全问题，根据网络的应用现状情况和网络的结构，我们将安全防范体系的层次(见图2)划分为物理层安全、系统层安全、网络层安全、应用层安全和安全

管理。

物理环境的安全性(物理层安全)：该层次的安全包括通信线路的安全，物理设备的安全，机房的安全等。物理层的安全主要体现在通信线路的可靠性(线路备份、网管软件、传输介质)，软硬件设备安全性(替换设备、拆卸设备、增加设备)，设备的备份，防灾害能力、防干扰能力，设备的运行环境(温度、湿度、烟尘)，不间断电源保障，等等。

（2）操作系统的安全性(系统层安全)：该层次的安全问题来自网络内使用的操作系统的安全，如Windows NT，Windows 2000等。主要表现在三方面，一是操作系统本身的缺陷带来的不安全因素，主要包括身份认证、访问控制、系统漏洞等。二是对操作系统的安全配置问题。三是病毒对操作系统的威胁。

（3）网络的安全性(网络层安全)：该层次的安全问题主要体现在网络方面的安全性，包括网络层身份认证，网络资源的访问控制，数据传输的保密与完整性，远程接入的安全，域名系统的安全，路由系统的安全，入侵检测的手段，网络设施防病毒等。

（4）应用的安全性(应用层安全)：该层次的安全问题主要由提供服务所采用的应用软件和数据的安全性产生，包括Web服务、电子邮件系统、DNS等。此外，还包括病毒对系统的威胁。

（5）管理的安全性(管理层安全)：安全管理包括安全技术和设备的管理、安全管理制度、部门与人员的组织规则等。管理的制度化极大程度地影响着整个网络的安全，严格的安全管理制度、明确的部门安全职责划分、合理的人员角色配置都可以在很大程度上降低其它层次的安全漏洞。

6.2 校园网络安全实施方案

包括两个方面的内容：一是在内部网络设置防病毒管理与分发服务器，各终端计算机与服务器通过网络相连，形成内部网络的病毒防御系统。二是设置网关防病毒系统，对网络的出入口数据流量进行病毒扫描和过滤。

（1）设置防病毒管理与分发服务器：校园网的防病毒管理与分发服务器与上级信息管理中心的防病毒控制中心服务器网络相连，直接接受上一级服务器提供的病毒库升级、客户端防病毒软件升级、广域网病毒扫描和过滤等服务。引导校园网用户自觉把个人用计算机及单位用计算机作为防病毒客户端与防病毒管理与分发服务器进行联接;二是对防病毒管理与分发服务器进行相关配置，使得服务器能够及时对客户端实施病毒自动更新，能够对客户端进行自动或手工方式的病毒扫描和查杀。

（2）网关防病毒系统：网关防病毒系统部署在校园网的出入口处。系统能够实现：无人值守，自动操作，可实现自动发现、清除病毒，自动报警，时刻保护网络免受病毒和蠕虫侵害。

6.2.1入侵检测系统的构建与实施

入侵检测系统包括两个部分：一是传感器，负责采集数据(网络包、系统日

志等)、分析数据并生成安全事件;二是控制台，主要承担中央管理的作用。

该系统能够根据应用需要配置若干块网卡，以同时收集若干个网段的数据，进行实时的入侵分析。该系统既可以独立使用，又可以与防火墙配合使用，作为防火墙的补充，提供入侵检测，并对现有的设置进行审计。

入侵检测系统在校园网需检测的网段处以旁路方式接入。

6.2.2内网安全管理体系的构建与实施

在指定服务器配置内网安全管理系统，校园网联网计算机下载客户端软件，与内网安全管理系统实现网络连接，接受内网安全管理系统提供的安全服务，形成内网安全管理体系。

6.2.3 虚拟专用网(VPN)的构建与实施

在校园网出入口处部署SSL VPN硬件网关，广域网用户利用SSL VPN网关访问校园网资源。实现校园网和广域网的虚拟专用网连接。这种部署方式具有以下特点：一是客户端内不用安装VPN 客户端软件，易部署、管理和扩展;二是无须在防火墙上为SSL VPN设备做特定的设置。三是兼容B/S和C/S，能达到好管理、好维护、低成本、高利用率的效果。

参考文献

(1)《计算机网络工程实用教程》主编石炎生电子工业出版社

(2)《计算机网络技术及应用》主编刘枝盛电子工业出版社

（3）《综合布线技术与工程》余明辉、陈兵、何益新高等教育出版社2008.6第一版（4）《校园网组网》廖常武、汪刚清华大学出版社；2005.11第一版（5）《网络设备互联技术》梁广民、王隆杰清华大学出版社；2006.10第一版