校园网网络建设设计 课程设计.doc

校园网网络建设设计 班 级： 姓 名： 学 号： 时 间： 2015/1/4 前言3一、需求分析61.1用户需求：61.2 应用需求7二、系统设计原则82.1实用性82.2 先进性82.3安全性82.4可扩充性82.5可管理性9三、网络系统设计103.1系统构成103.2 设备选型103.3网络拓扑图143.4 校园网ip地址分配方案153.5 vlan设计方案16四、校园网络系统的详细设计及实现184.1交换模块设计184.2 广域网接入模块设计244.3 远程访问模块设计264.4服务器模块设计28五、设计总结30前言项目相关背景信息时代的发展，影响着世界的每一个角落。每个人的生活和工作几乎都与计算机密切相关。在速度越来越快的计算机硬件和日益更新的软件背后，网络作为中枢神经把我们联系在一起。也正是因为网络的出现与发展，使internet为主要标志的网络技术构成了我们现代文化的重要组成部分，联系上亿人的internet将我们带入了一个新的网络时代。在现今的网络建设中，校、企单位网络的建设是非常重要的。从早期的校、企单位网络主要是简单的数据共享，简单数据库的共享到现在内部全方位的数据共享，从过去单一的校、企单位网络到现在多个分支结构的全部互连，因而对网络的覆盖面要求越来越广。国内外发展状况早期校园网络主要是共用内部教育系统主机资源，共享简单数据库，多以二层交换为主，很少有三层应用，存在访问速度慢、安全、可管理性较差等方面的问题。现在学校校园网建设要实现内部全方位的数据共享，应用三层交换，提供全面的qos保障服务，使校园网实现安全可靠的高速访问，从而达到教育管理、多媒体教学、图书馆管理自动化的目的。而且还要通过internet实现远程教学，提供可增值可管理的业务，必须具备高性能、高安全性、高可靠性，可管理、可增值特性以及开放性、兼容性、可扩展性。本着技术先进、投资合理、充分利用现有教学设备，在技术上和设备上适当超前的原则，建立规范化、技术先进、扩展性能良好、性能价格比高的校园网络信息系统。建成以先进的网络技术、计算机技术和多媒体技术为主要手段的多层开放式、全方位信息通讯与信息管理系统。要在全院教学和行政管理两方面实现信息化，积极开发，广泛运用现代教育技术和信息资源，全面提高学院教师学生运用信息技术进行学习和工作的能力，全面推进信息技术与学科课程的整合、创造适应新时代要求的现代教学模式和管理模式，提高教育效益与质量，形成具有现代教育信息化的新特色。开发目的意义校园网是各种类型网络中的一大分支，有着非常广泛的应用。作为新技术的发祥地，学校、尤其是高等学校，和网络的关系十分密切，网络最初是在校园里进行实验并获得成功的，许多网络新技术也是首先在校园网中获得成功，进而才推向社会的。（1）校园网的建设和发展是推进素质教育的需要互联网已成为学校培养学生道德品质、创新能力等方面的新环境，成为培养高素质人才的崭新的平台，是学校推进素质教育的需要。（2）校园网的建设和发展是学校教育改革的战略制高点创建丰富多彩的校园网络文化对于转变陈旧的教育思想和观念，促进教学内容、教学方法、教学结构和教学模式的改革，对于深化基础教育改革，提高教育质量，培养高素质的创新人才具有深远意义。（3）校园网的建设和发展是学校教育现代化的重点标志运用现代教育技术建设和发展校园网，营造清新的校园网络文化氛围，就是从根本上落实教育的战略地位，解放教师的生产力，推动和发展教师、学生的创造力的一种创新优势的重要标志。一、需求分析1.1用户需求：本校园网需要布置信息点：教学楼每栋240个信息点，三个校区共有六栋，共1440个信息点；学校14个学院，每个学院240个信息点，共有3360个信息点，学院楼各自独立；图书馆电子阅览室500个信息点（分为2子网），50个借管信息点；本校园网线路要求：为适应学校将来对各种网络应用的需求，主干线使用单模或多模光纤，所有信息点都按超五类utp标准布线且网络中心位于学校主教学楼内；本校园网需要实现的业务有：web服务：所有合法用户可以通过web浏览的方式获得校园网络中的信息，学生可以通过web浏览的方式在线学习；ftp服务：教师可通过ftp服务器下载或上传课件资料；dns、目录服务器：提供域名解析以及目录服务；邮件服务器：提供邮件收发服务；数据库服务器：提供各种数据库服务；打印服务器：提供打印机共享服务；网管服务器：对校园网网络设备进行综合管理。1.2 应用需求行政楼各部门和各院系单独组成子网，与网络中心万兆连接；部门和院系内部千兆到桌面，校园网内部使用内部ip地址，校园网通过中国电信500m，中国移动100m，中国联通100m联入internet。通过 ddn专线500m将整个校园网连入教育科研网cernet，即连入国际互联网。开通www、e-mail、ftp、telnet、bbs等各种internet服务。拨号服务，使校区内及家庭用户等零散单机可通过电话拨号连到网络上，形成一个广域的计算机网络。校园网的建立，可以实现全校开通办公自动化系统、视频点播多媒体教学系统。二、系统设计原则2.1实用性 应当从实际情况出发，使之达到使用方便且能发挥效益的目的。采用成熟的技术和产品来建设该系统。要能将新系统与已有的系统兼容，保持资源的连续性和可用性。系统是安全的，可靠的。使用相当方便，不需要太多的培训即可容易的使用和维护。2.2 先进性采用当前国际先进成熟的主流技术，采用业界相关国际标准。设备选型要是先进和系列化的，系统应是可扩充的。便于进行升级换代。建intranet/internet模式的总体结构，符合当今信息化发展的趋势。通过intranet/internet的建立，加速国内外院校之间的信息交流。2.3安全性采用各种有效的安全措施，保证网络系统和应用系统安全运行。安全包括4个层面-网络安全，操作系统安全，数据库安全，应用系统安全。由于internet的开放性，世界各地的internet用户也可访问校园网，校园网将采用防火墙、数据加密等技术防止非法侵入、防止窃听和篡改数据、路由信息的安全保护来保证安全。同时要建立系统和数据库的磁带备份系统。2.4可扩充性采用符合国际和国内工业标准的协议和接口，从而使校园网具有良好的开放性，实现与其他网络和信息资源的容易互联互通。并可以在网络的不同层次上增加节点和子网。一般包括开放标准、技术、结构、系统组件和用户接口等原则。在实用的基础上必须采用先进的成熟的技术，选购具有先进水平的计算机网络系统和设备，并保留向atm过渡的自然性。由于计算机技术的飞速发展和计算机网络技术的日新月异，网络系统扩充能力的大小已变得非常重要，因此考虑网络系统的可扩充性是相当重要的。2.5可管理性设计网络时充分考虑网络日后的管理和维护工作，并选用易于操作和维护的网络操作系统，大大减轻网络运营时的管理和维护负担。采用智能化网络管理，最大程度地降低网络的运行成本和维护。 三、网络系统设计3.1系统构成校园信息系统网络应是为办公、科研和管理服务的综合性网络系统。一个典型的信息系统网络通常由以下几部分组成： 网络主干，用于连接各个主要建筑物，为主要的部门提供上网条件，主干的选型和设计是信息系统网络的主要工作之一。 局域网（lan）系统，以各个职能部门为单位而建立、独立的计算环境和实验环境。 主机系统，网络中心的服务器和分布在各个lan上的服务器是网络资源的载体，它的投资和建设也是信息系统网络建设的重要工作。 应用软件系统，包括网上web公共信息发布系统、办公自动化系统、管理信息系统、电子邮件系统、行政办公系统、人事管理系统和财务系统等专用的系统。我们认为更主要的是建设内部的intranet系统。 出口（通讯）系统，是指将信息系统网络与cernet和internet等广域网络相连接的系统，出口系统的主要问题包括两个方面：一个是选择合适的连接方式，如ddn、x.25、卫星、微波等方式连网；另一个是防火墙的建设，它与出口系统的安全性有直接的关系。3.2 设备选型 基本参数产品型号ls-5800-56c-h3产品类型万兆以太网应用层级三层包转发率192硬件参数接口类型48个10/100/1000base-t以太网端口，4个1/10g sfp+端口接口数目52口传输速率10/100/1000/10000mbps端口结构非模块化网络与软件qos支持支持qosvlan支持支持vlan功能双工传输支持全双工mac地址表32 汇聚层交换机h3c s5024p基本参数产品型号h3c s5024p产品类型千兆以太网应用层级二层包转发率35.71mpps硬件参数接口类型24个10/100/1000base-t自协商的以太网端口端口数目24端口控制1个console口端口结构非模块化其它参数电源电压ac 100-240v，50-60hz电源功率36w产品尺寸44026044mm环境标准工作温度：0-40工作湿度：5%-95%（非凝露）接入层交换机h3c s1224基本参数产品型号h3c s3100v2-26tp-si产品类型千兆以太网应用层级二层传输速率10/100/1000mbps硬件参数传输模式全双工/半双工自适应端口数目24端口描述24个10/100/1000mbps自适应以太网端口端口结构非模块化其它参数电源电压ac 100-240v，50-60hz电源功率20w产品尺寸3023044mm环境标准工作温度：0-40工作湿度：5%-95%（非凝露） h3c msr 30-40基本参数产品型号h3c msr 30-40产品类型多业务路由器应用层级二层传输速率10/100/1000mbps硬件参数局域网接口2个扩展模块4个sic插槽+4个mim插槽端口描述2个esm插槽、3个vpm插槽、1个vcpm、2个usb接口端口结构模块化功能参数处理器risc新一代处理器 533mhz产品内存最大内存：1gb产品尺寸442422.388.2mm环境标准工作温度：0-40工作湿度：5%-95%（非凝露）cisco asa5540-k8防火墙基本参数产品型号cisco asa5540-k8产品类型企业级防火墙吞吐量650mbp并发连接数400000硬件参数控制端口console,2个rj-45网络端口4*10/100/1000,1*10/100,1*ssc/ssm安全标准ul 1950,csa c22.2 no. 950,en 60950 iec 60950,as/nzs3260,ts001用户数限制无用户数限制功能参数电源100240vac,47/63hz产品重量10kg产品尺寸362*200.4*44.5mm环境标准工作温度：0-40工作湿度：5%-95%（非凝露）3.3网络拓扑图 校园网络拓扑图3.4 校园网ip地址分配方案内部ip地址采用采用私网- 55 之间的ip地址。行政楼ip分配方案：行政楼内有校办、人事处。财务处等8个部门，8个部门的ip地址网段分别是-。20个学院的ip地址网段分别是-。图书馆的ip地址网段是-。如图：vlan编号vlan名称ip网段默认网关备注vlan1-/2454管理vlan10jwc/2454教务处vlan20xsss/2454学生宿舍vlan30cwc/2454财务处vlan40jgss/2454教工宿舍vlan50jzx/2454建筑系vlan60glx/2454管理系vlan70jsjx/2454计算机系vlan100fwq/2454服务器3.5 vlan设计方案 行政楼内8个部门，设计为8个vlan，为vlan2-9，对应ip地址为-。 每个学院楼内可根据其专业数量设置相应的vlan数量，如某学院有4个专业，则可设置4个vlan，每个vlan内有60个信息点，则专业1的主机ip地址范围为-2 、专业2的主机ip地址范围为5-26、专业3的主机ip地址范围为29-90专业4的主机ip地址范围为93-54。 图书馆借管50台pc机使用网段 电子阅览室使用和网段。设置电子阅览室pc处于vlan2,借管pc处于vlan3。四、校园网络系统的详细设计及实现4.1交换模块设计校网网数据交换设备可以划分为三个层次：访问层、分布层、核心层。传统意义上的数据交换发生在osi模型的第2层。现代交换技术还实现了第3层交换和多层交换。高层交换技术的引入不但提高了校园网数据交换的效率，更大大增强了校园网数据交换服务质量，满足了不同类型网络应用程序的需要。本网络还引入了虚拟局域网（virtual lan，vlan）的概念。vlan将广播域限制在单个vlan内部，减小了各vlan间主机的广播通信对其他vlan 的影响。在 vlan 间需要通信的时候，可以利用 vlan 间路由技术来实现。当网络管理人员需要管理的交换机数量众多时，可以使用 vlan 中继协议（ vlan trunking protocol， vtp）简化管理，它只需在单独一台交换机上定义所有vlan。然后通过vtp协议将vlan定义传播到本管理域中的所有交换机上。这样，大大减轻了网络管理人员的工作负担和工作强度。当校园网络的交换机数量增多、交换机间链路增加时，交换网络的复杂性可能会造成交换环路问题，这需要通过在各交换机上运行生成树协议（spanningtree protocol， stp）来解决。访问层交换服务的实现配置访问层交换机访问层为所有的终端用户提供一个接入点。这里的访问层交换机采用h3c的交换机（h3c s1224）。交换机拥有24个10/100/1000mbps自适应千兆以太网端口，运行的是h3c的comware操作系统。配置访问层交换机accessswitch1的基本参数设置交换机名称：设置交换机名称，也就是出现在交换机cli提示符中的名字。一般我们会以地理位置或行政划分来为交换机命名。当我们需要telnet登录到若干台交换机以维护一个大型网络时，通过交换机名称提示符提示自己当前配置交换机的位置是很有必要的。语句如下：switch（config）#hostname accessswitch1 accessswitch1（config）#设置交换机的加密使能口令：当用户在普通用户模式而想要进入特权用户模式时，需要提供此口令。此口令会以md5的形式加密，因此，当用户查看配置文件时，无法看到明文形式的口令。将交换机的加密使能口令设置为secretpasswd。如下：accessswitch1（config）#enable secret secrepaswd设置登录虚拟终端线时的口令：对于一个已经运行着的交换网络来说，交换机的带内远程管理为网络管理人员提供了很多的方便。但是，处于安全考虑，在能够远程管理交换机之前网络管理人员必须设置远程登录交换机的口令。:设置登录交换机时需要验证用户身份，同时设置口令为youguess设置终端线超时时间：为了安全考虑，可以设置终端线超时时间。在设置的时间内，如果没有检测到键盘输入，ios将断开用户和交换机之间的连接。设置登录交换机的控制台终端线路及虚拟终端线的超时时间为5分30秒钟设置禁用ip地址解析特性：在交换机默认配置的情况下，当我们输入一条错误的交换机命令时，交换机会尝试将其广播给网络上的dns服务器并将其解析成对应的ip地址。利用命令noipdomain-lookup可以禁用这个特性。设置禁用ip地址解析特性设置启用消息同步特性：有时，用户输入的交换机配置命令会被交换机产生的消息打乱。可以使用命令loggingsynchronous设置交换机在下一行cli提示符后复制用户的输入。配置访问层交换机accessswitch1的管理ip、默认网关访问层交换机是osi参考模型的第2层设备，即数据链路层的设备。因此，给访问层交换机的每个端口设置ip地址是没意义的。但是，为了使网络管理人员可以从远程登录到访问层交换机上进行管理，必要给访问层交换机设置一个管理用ip地址。这种情况下，实际上是将交换机看成和pc机一样的主机。给交换机设置管理用ip地址只能在vlan1，即本征vlan中进行。管理交换机设置管理用ip地址只能在vlan1，即本征vlan中进行。按照表2-1，管理vlan所在的子网是：/24，这里将访问层交换机accessswitch1的管理ip地址设为：/24，显示了为访问层交换机accessswitch1设置管理ip并激活本征vlan。为了使网络管理人员可以在不同的子网管理此交换机，还应设置默认网关地址54。配置访问层交换机accessswitch1的vlan及vtp从提高效率的角度出发，在本校园网实现实例中使用了vtp技术。同时，将分布层交换机distributeswitch1设置成为vtp服务器，其他交换机设置成为vtp客户机。这里访问层交换机accessswitch1将通过vtp获得在分布层交换机distributeswitch1中定义的所有vlan的信息。设置访问层交换机accessswitch1成为vtp客户机 配置访问层交换机accessswitch1端口基本参数端口双工配置：可以设定某端口根据对端设备双工类型自动调整本端口双工模式，也可以强制将端口双工模式设为半双工或全双工模式。在了解对端设备类型的情况下，建议手动设置端口双工模式。设置访问层交换机accessswitch1的所有端口均工作在全双工模式端口速度：可以设定某端口根据对端设备速度自动调整本端口速度，也可以强制将端口速度设为10mpbs或100mbps。在了解对端设备速度的情况下，建议手动设置端口速度。设置访问层交换机accessswitch1的所有端口的速度均为100mbps配置访问层交换机accessswitch1的访问端口访问层交换机accessswitch1为终端用户提供接入服务。在图中，访问层交换机accessswitch1为vlan10、vlan20提供接入服务。设置访问层交换机accessswitch1的端口110：设置访问层交换机accessswitch1的端口1端口10工作在访问（接入）模式。同时，设置端口1端口10为vlan10的成员。设置访问层交换机accessswitch1的端口1120：设置访问层交换机accessswitch1的端口11端口20工作在访问（接入）模式。同时，设置端口1端口10为vlan20的成员。（3）设置快速端口：默认情况下，交换机在刚加电启动时，每个端口都要经历生成树的四个阶段：阻塞、侦听、学习、转发。在能够转发用户的数据包之前，某个端口可能最多要等50秒钟的时间（20秒的阻塞时间15秒的侦听延迟时间15秒的学习延迟时间）。对于直接接入终端工作站的端口来说，用于阻塞和侦听的时间是不必要的。为了加速交换机端口状态转化时间，可以设置将某端口设置成为快速端口（portfast）。设置为快速端口的端口当交换机启动或端口有工作站接入时，将会直接进入转发状态，而不会经历阻塞、侦听、学习状态（假设桥接表已经建立）。设置访问层交换机accessswitch1的端口1端口20为快速端口。配置访问层交换机accessswitch1的主干道端口访问层交换机accessswitch1通过端口fastethernet0/23上连到分布层交换机distributeswitch1的端口fastethernet0/23。同时，访问层交换机accessswitch1还通过端口fastethernet0/24上连到分布层交换机distributeswitch2的端口fastethernet0/23。这两条上连链路将成为主干道链路，在这两条上连链路上将运输多个vlan的数据。设置访问层交换机accessswitch1的端口fastethernet0/23、fastethernet0/24为主干道端口。配置访问层交换机accessswitch2访问层交换机accessswitch2为vlan30和vlan40的用户提供接入服务。同时分别通过自己的fastethernet0/23、fastethernet0/24上连到分布层交换机distributeswitch1、distributeswitch2的端口fastethernet0/24。对访问层交换机accessswitch2的配置步骤、命令和对访问层交换机accessswitch1的配置类似。这里，不再详细分析，只给出最后的配置文件内容（只留下了必要的命令）。需要指出的是，为了提供主干道的吞吐量，可以采用链路捆绑（快速以太网信道）技术增加可用带宽。例如，可以将访问层交换机accessswitch1的端口fastethernet0/21和fastethernet0/22捆绑在一起实现200mbps的快速以太网信道，然后再上连到分布层交换机distributeswitch1。同样，也可以将访问层交换机accessswitch1的端口fastethernet0/23和fastethernet0/24捆绑在一起实现200mbps的快速以太网信道，然后再上连到分布层交换机distributeswitch2。4.2 广域网接入模块设计广域网接入模块的功能是由广域网接入路由器internetrouter 来完成的。采用的是h3c msr 30-40路由器。它通过自己的串行接口 serial 2/0接入 internet。其作用主要是在 internet和校园网内网间路由数据包。除了完成主要的路由任务外，利用访问控制列表（ access control list，acl），广域网接入路由器 internetrouter 还可以用来完成以自身为中心的流量控制和过滤功能并实现一定的安全功能。配置接入路由器 internetrouter 的基本参数对接入路由器internetrouter的基本参数的配置步骤与对访问层交换机accessswitch1 的基本参数的配置类似。配置接入路由器 internetrouter 的各接口参数对接入路由器internetrouter的各接口参数的配置主要是对接口fastethernet 0/0 以及接口 serial 2/0 的 ip 地址、子网掩码的配置。配置接入路由器 internetrouter 的路由功能在接入路由器 internetrouter 上需要定义两个方向上的路由：到校园网内部的静态路由以及到 internet 上的缺省路由。到 internet 上的路由需要定义一条缺省路由，其中，下一跳指定从本路由器的接口 serial 2/0 送出。到校园网内部的路由条目可以经过路由汇总后形成两条路由条目。配置接入路由器 internetrouter 上的 nat由于目前 ip 地址资源非常稀缺，不可能给校园网内部的所有工作站都分配一个公有 ip（ internet 可路由的）地址。为了解决所有工作站访问 internet 的需要，必须使用 nat（网络地址转换）技术。为了接入 internet，本校园网向当地isp申请了2个c类段地址 ip 地址55。其中一个ip地址： 被分配给了 internet 接入路由器的串行接口，另外 ip 地址 用作 nat。nat 的配置可以分为以下几个步骤：（1）定义 nat 内部、外部接口（2）定义允许进行 nat 的工作站的内部局部 ip 地址范围， （3）为服务器定义静态地址转换，其他工作站定义复用地址转换。配置接入路由器 internetrouter 上的 acl路由器是外网进入校园网内网的第一道关卡，是网络防御的前沿阵地。路由器上的访问控制列表（access control list，acl）是保护内网安全的有效手段。一个设计良好的访问控制列表不仅可以起到控制网络流量、流向的作用，还可以在不增加网络系统软、硬件投资的情况下完成一般软、硬件防火墙产品的功能。由于路由器介于校园内网和外网之间，是外网与内网进行通信时的第一道屏障，所以即使在网络系统安装了防火墙软件后，仍然有必要对路由器的访问控制列表进行缜密的设计，来对内网包括防火墙本身实施保护。4.3 远程访问模块设计远程访问也是校园网络必须提供的服务之一。它可以为家庭办公用户和出差在外的员工提供远程、移动接入服务。远程访问有三种可选的接入方式：专线连接、电路交换和包交换。不同的广域网连接类型提供的服务质量不同，花费也不相同。在本设计中，考虑到面对的用户群规模较小、业务量较小，所以采用了异步拨号连接作为远程访问的接入方式。异步拨号连接属于电路交换类型的广域网连接，它是在传统公共交换电话网（public switched telephone network，pstn）上提供服务的。传统 pstn 提供的服务也被称为简易老式电话业务（ plan old telephone system，pots）。因为目前存在着大量安装好的电话线，所以这样的环境是最容易满足的。因此，异步拨号连接也就成为最方便和普遍的远程访问类型。广域网连接可以采用不同类型的封装协议，如 hdlc、ppp 等。其中，ppp除了提供身份认证功能外，还可以提供其他很多可选项配置，包括链路压缩、多链路捆绑、回叫等，因此更具优势。本设计所采用封装协议是 ppp。配置物理线路的基本参数对物理线路的配置包括配置线路速度（dte、 dce之间的速率）、停止位位数、流控方式、允许呼入连接的协议类型、允许流量的方向等。配置接口基本参数并指定 ip 地址池对接口基本参数的配置包括：接口封装协议类型、接口异步模式、ip 地址、为远程客户分配ip 地址的方式等。这里，设置远程客户从ip地址池 huangrong 中获得 ip 地址,并建立一个 ip 地址池。配置身份认证ppp提供了两种可选的身份认证方法：口令验证协议pap（ password authentication protocol ， pap ）和质询握手协议（ challenge handshakeauthentication protocol，chap）。pap是一个简单的、实用的身份验证协议。pap认证进程只在双方的通信链路建立初期进行。如果认证成功，在通信过程中不再进行认证。如