某高校校园网的设计与实现毕业论文.doc

精品文档 2013 届专科毕业设计（论文）题目：某高校校园网的设计与实现班 级： 学 号： 姓 名： 指导教师： 2013年8月某高校校园网的设计与实现学生姓名： 学 号： 所在系部： 班 级： 指导教师： 完成日期： 2013年8月 2欢迎下载2欢迎下载2欢迎下载。目 录摘 要11 校园网络的需求分析31.1 应用背景需求分析31.2 业务需求分析31.3 管理需求分析31.4 网络安全需求分析32 校园网总体设计52.1 概述52.2 网络设备选型52.3 系统分析62.3.1 关键网络系统62.3.2 网络解决办法63 系统详细设计73.1 系统组成与拓扑结构73.1.1 IP地址及VLAN规划73.2 交换模块设计83.2.1 接入层交换服务的实现配置接入层交换机93.2.2 汇聚层交换服务的实现配置汇聚层交换机113.2.3 核心层交换服务的实现配置核心层交换机123.3 广域网接入模块设计133.4 服务器模块设计153.4.1 WEB服务器配置173.4.2 FTP配置193.4.3 DHCP配置203.4.4 DNS 配置244 网络安全设置264.1 访问控制列表264.1.1 对外屏蔽简单网管协议264.1.2 对外屏蔽远程登录协议264.1.3 对外屏蔽其它不安全的协议或服务264.1.4 保护路由器自身安全274.1.5 配置访问控制列表274.2 端口聚合配置284.3 防火墙的设置285 校园网络系统的测试30总 结31参考文献32致 谢33某高校校园网的设计与实现摘 要随着计算机网络的发展,校园网的建设越来越受到各大高校的重视。本论文结合我院校园网的现状，通过分析网络技术特点和目前校园网的普遍需求及实际应用，对进一步完善校园网做出了比较可行的设计。在此次设计方案中，对实际校园网的设计进行了适当和必要的简化，将重点放在了网络主干的设计和服务器的架设上，并对路由器、交换机、服务器作了详细的配置。关键词:校园网；网络设备；网络服务；网络协议3333欢迎下载33欢迎下载33欢迎下载33欢迎下载33欢迎下载33欢迎下载33欢迎下载33欢迎下载33欢迎下载。Design and Implementation of a Campus NetworkAbstractWith the development of computer network，the campus network construction is becoming more and more universities attention. In this paper, combined with the present situation of our campus network, through the analysis of characteristics of network technology and the general requirements of campus network and the practical application of the design, to further improve the campus network made a feasible.In the design scheme, design of the real campus network is simplified to appropriate and necessary, will focus on the design and erection of the server network, and the router, switch, server detailed configuration.Keywords: Campus Network; Network Devices; Network Service; Network Protocol1 校园网络的需求分析1.1 应用背景需求分析为了提高学校的管理效益和教学质量，开展学校现代化教育建设，建设具有规模的校园网络，Intranet技术的高速多媒体校园网是必要的。整个高速多媒体校园网建设原则是“经济高效、领先实用”，既要领先一步，具有发展余地，又要比较实用。 校园网是集计算机技术、网络技术、多媒体技术于一体的系统，能够最大限度地调动学生对教学内容的积极性。1.2 业务需求分析本校园网为中小型规模的组网，节点数700个左右，但对通信量的要求较高，因此要求“千兆主干中跑，百兆到桌面”，并要求支持多媒体的应用。本校园网需要实现的业务有：Web服务：所有合法用户可以通过Web浏览的方式获得校园网络中的信息，学生可以通过Web浏览的方式在线学习；FTP服务：教师可通过FTP服务器下载或上传课件资料；DNS服务：提供域名解析以及目录服务；网管服务器：对校园网网络设备进行综合管理。1.3 管理需求分析随着网络复杂度的增加，给网络管理带来成级数增加的工作量。网络管理要求解决的问题包括： （1）虚拟局域网管理、分配。目前的虚拟局域网主要基于交换机端口划分，如果一个部门扩展新的入网点，扩展将改变交换机端口设置。管理软件需提供远地虚拟网的修改功能。（2）对所有网络设备端口的监视和管理。对所有网络设备的远程配置和控制，包括网络设备端口的开启和关闭，整个网络的故障检测，故障自动报警功能，整个网络性能的统计和分析报告，甚至收费。按照这些网络管理的需求，应采用基于GUI界面的网络管理软件。1.4 网络安全需求分析校园网络安全主要考虑以下几方面要求：各个部门、系所访问网络的控制，各单位之间在未经授权的情况下，不能相互访问。网络需要建立防火墙，禁止外部用户未经许可访问内部的数据，或者内部用户未经许可访问外部数据。 对安全问题的考虑主要是两个方面：校园网应该是一个开放的系统，它不需要与政府或商业公司那样的网络安全保密性；另外，校园网应该是安全的，它不应该受到恶意的攻击而无法运行，一些科研成果也不应该对任何人都开放。主要利用虚拟网技术和防火墙技术来合理解决安全与开放的问题。2 校园网总体设计2.1 概述总体设计是校园网建设的总体思路和工程蓝图，是搞好校园网建设的核心任务。进行校园网总体设计，首先，进行对象研究和需求调查，弄清学校的性质、任务和改革发展的特点，对学校的信息化环境进行准确的描述，明确系统建设的需求和条件；其次，在应用需求分析的基础上，确定学校Intranet服务类型，进而确定系统建设的具体目标，包括网络设施、站点设置、开发应用和管理等方面的目标；第三，确定网络拓扑和功能，根据应用需求、建设目标和学校主要建筑分布特点，进行系统分析和设计；第四，确定技术设计的原则要求，如在技术选型、布线设计、设备选择、软件配置等方面的标准和要求；第五，规划安排校园网建设的实施步骤。2.2 网络设备选型（1）核心层主干交换设备的选型核心层为网络提供了骨干组件或高速交换组件。根据我校预计信息点700个，最大满负荷时用户的使用率为20%，即有1200个用户同时上网，他们都为100Mbps桌面速率，由于考虑将来网络的升级，以及新的信息点的接入，网络流量的增加，鉴于以上信息，本设计选择Cisco Catalyst 3560-PS作为核心交换机。（2）汇聚层交换设备的选型汇聚层对下将接入层交换机的数据进行汇聚，对上通过高速接口将数据传输到核心交换机，起着承上启下的作用。本设计选择Cisco Catalyst 3560-PS系列交换机作为汇聚层交换机（3）接入层交换设备的选型接入层为用户提供对网络中本地网段的访问，它的主要作用是将工作组与汇聚层连接起来，主要完成逻辑网络分段、基于工作组或LAN隔离广播通信以及在多个CPU之间分布服务。本设计选择Cisco Catalyst2950 24/48交换机。（4）防火墙设计防火墙是一种将内部网络和外部网络分开的方法，是提供信息安全服务，实现网络和信息安全的重要基础设施，主要用于限制被保护的内部网络与外部网络之间进行的信息存取、信息传递等操作。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效的监控了内部网和外部网之间的任何活动，保证了内部网络的安全。（5）路由器选购本设计选用Cisco 2811路由器，Cisco 2811隶属于Cisco 2800系列产品，与相似价位的前几代思科路由器相比，Cisco 2800系列的性能提高了五倍、安全性和话音性能提高了十倍，且大大提高了插槽性能和密度，同时保持了对目前Cisco 1700系列和Cisco 2600系列中现有90多种模块中大多数模块的支持，从而提供了极大的性能优势。2.3 系统分析2.3.1 关键网络系统Cisco 2811路由器、Cisco Catalyst 3560-24PS交换机、Cisco Catalyst 2950T-24交换机2.3.2 网络解决办法对校园网系统整体方案设计；对接入层交换机进行配置；对汇聚层交换机进行配置；对核心层交换机进行配置；对广域网接入路由器配置；对服务器进行配置；对整个校园网安全系统进行设置。3 系统详细设计3.1 系统组成与拓扑结构在此次网络设计中，为了实现整个工程设计设备的统一性，本设计方案中采用同一厂家的网络产品，即Cisco公司的网络设备构建。全网使用同一厂商设备的好处是可以实现各种不同网络设备功能的互相配合和补充。本校园网设计方案主要由以下四大部分构成：交换模块、广域网接入模块、远程访问模块、服务器群。整个网络系统的拓扑结构图如图3-1所示。 图3-1校园网整体拓扑结构图3.1.1 IP地址及VLAN规划（1）IP地址规划由于目前IP地址资源非常稀缺，对不可能给校园网内部的所有工作站都分配一个公有IP（Internet可路由的）地址。为了解决所有工作站访问Internet的需要，必须使用NAT（网络地址转换）技术。为了接入Internet，本校园网向当地ISP申请了/29网段地。其中一个IP地址：被分配给了Internet接入路由器的串行接口，另外5个IP地址：用作NAT转换。（2）VLAN规划在此次设计中，规划了16个VLAN，并为每个VLAN定义了一个由拼音缩写组成的VLAN名称。VLAN及IP编址规划如下表3-1所示：表3-1 VLAN及IP编址方案VLAN号VLAN名称IP网段默认网关说明VLAN1/2454管理VLANVLAN2SXLJF1/2454实训楼机房1VLAN3SXLJF2/2454实训楼机房2VLAN4SXLJF3/2454实训楼机房3VLAN5SXLJF4/2454实训楼机房4VLAN6SXLJF5/2454实训楼机房5VLAN7SXLJF6/2454实训楼机房6VLAN8SXLJF7/2454实训楼机房7VLAN9SXLJF8/2454实训楼机房8VLAN10SXLJF9/2454实训楼机房9VLAN11SXLJF10/2454实训楼机房10VLAN12SXLQTLC/2454实训楼其他楼层VLAN13BGL/2454办公楼VLAN14JXL/2454教学楼VLAN15NvSSS/2454女生宿舍VLAN16NanSSS/2454男生宿舍VLAN100FuWQQ/2454服务器群3.2 交换模块设计为了简化交换网络设计、提高交换网络的可扩展性，在园区网内部数据交换的部署是分层进行的。园区网数据交换设备可划分为三个层次：接入层、汇聚层、核心层。 3.2.1 接入层交换服务的实现配置接入层交换机 这里以拓扑图中的接入层交换机S2950A为例进行介绍。1.配置接入层交换机S2950A的基本参数,如图3-2：图3-2 接入层交换机S2950A的基本参数2配置接入层交换机S2950A的管理IP 给交换机设置管理用IP地址只能在VLAN1，即本地VLAN中进行。按照表3-1，管理VLAN所在的子网是：/24，这里将接入层交换机S2950A的管理IP地址设为：/24,如图3-3：图3-3 接入层交换机S2950A的管理IP地址3.配置接入层交换机S2950A的VLAN及VTP ,如图3-4：图3-4 接入层交换机S2950A的VTP4配置接入层交换机S2950A端口基本参数，如图3-5：图3-5 接入层交换机S2950A端口基本参数5配置接入层交换机S2950A的访问端口 （1）接入层交换机S2950A为终端用户提供接入服务。在图3-1中，接入层交换机S2950A为VLAN13提供接入服务。如图3-6：图3-6 接入层交换机S2950A为VLAN13提供接入服务（2）设置快速端口，如图3-7：图3-7 设置快速端口 6配置接入层交换机S2950A的主干道端口 如图3-1所示，接入层交换机S2950A通过端口FastEthernet 0/23上连到汇聚层交换机S3560A的端口FastEthernet 0/20。同时，接入层交换机S2950A还通过端口FastEthernet 0/24上连到汇聚层交换机S3560B的端口FastEthernet 0/20。设置接入层交换机S2950A的端口FastEthernet 0/23、FastEthernet 0/24为主干道端口。S2950A(config)#int range f0/23-24S2950A(config-if-range)#switchport mode trunk7配置其它接入层交换机 其它接入层交换机分别为剩余VLAN的用户提供接入服务。同时，它们也通过自己的FastEthernet 0/23 、FastEthernet 0/24上连到S3560A、S3560B汇聚层交换机的端口上。这些剩余的接入层交换机其配置步骤、命令与接入层交换机S2950A的配置类似。这里就不再叙述。3.2.2 汇聚层交换服务的实现配置汇聚层交换机 这里以图3-1中的汇聚层交换机S3560A为例进行介绍。1配置汇聚层交换机S3560A的基本参数 对汇聚层交换机S3560A的基本参数的配置步骤与对接入层交换机S2950A的基本参数的配置类似。这里不再给出实际的配置步骤。2配置汇聚层交换机S3560A的VTP 在本校园网实现实例中使用了VTP技术。同时，将汇聚层交换机S3560A设置成为VTP服务器，其他交换机设置成为VTP客户机。S3560A(config)#vtp domain campusS3560A(config)#vtp mode server4在汇聚层交换机S3560A上定义VLAN 在本校园网实现实例中，除了默认的本地VLAN外，又定义了16个VLAN，如表3-1所示。由于使用了VTP技术，所以所有VLAN的定义只需要在VTP服务器，即汇聚层交换机S3560A上进行。这里只给出配置vlan 2的创建，其它vlan的创建方法与vlan 2的创建方法一致。S3560A#vlan databaseS3560A(vlan)#vlan 2 name SXLJF15配置汇聚层交换机S3560A的端口基本参数 汇聚层交换机S3560A的端口FastEthernet 0/2124分别下连到4个接入层交换机的端口FastEthernet0/2324上。 此外，汇聚层交换机S3560A还通过自己的千兆端口GigabitEthernet 0/1上连到核心交换机CoreSwitch的GigabitEthernet G0/1。 为了实现冗余设计，汇聚层交换机S3560A还通过FastEthernet 0/1-2连接另一台到汇聚层交换机S3560B的FastEthernet 0/1-2。如图3-8：图3-8 汇聚层交换机S3560A的端口基本参数6配置汇聚层交换机S3560A的3层交换功能汇聚层交换机S3560A需要为网络中的各个VLAN提供路由功能。S3560A(config)#ip routing /启用路由功能为每个VLAN定义自己的默认网关地址，这里只给出vlan 1的定义，其它vlan的定义方法与vlan 1一致。S3560A(config)#int vlan 1S3560A(config-if)#ip ad 54 此外，还需要定义通往Intenet的路由。这里使用了一条缺省路由命令。其中，下一跳地址是核心层交换机CoreSwitch的以太网接口GigabitEthernet G0/1的IP地址。S3560A(config)#ip route 537配置汇聚层交换机S3560B 对汇聚层交换机S3560B的配置步骤、命令和对汇聚层交换机S3560A的配置类似。这里不再详细分析。3.2.3 核心层交换服务的实现配置核心层交换机 这里以图3-1中的核心层交换机CoreSwitch为例进行介绍。1配置核心层交换机CoreSwitch的基本参数 对核心层交换机CoreSwitch的基本参数的配置步骤与对接入层交换机S2960A的基本参数的配置类似。这里不再给出实际的配置步骤。2配置核心层交换机CoreSwitch的管理IP CoreSwitch(config)#int vla 1CoreSwitch(config-if)#ip add CoreSwitch(config-if)#no shut3配置核心层交换机CoreSwitch的端口参数核心层交换机CoreSwitch通过自己的端口F0/24同广域网接入模块相连。同时，核心层交换机CoreSwitch的端口G0/1-0/2分别下连到汇聚层交换机S3560A和S3560B的端口GigabitEthernet 0/1。如图3-9：图3-9 核心层交换机CoreSwitch的端口参数4配置核心层交换机CoreSwitch的路由功能 核心层交换机CoreSwitch通过端口FastEthernet 0/24同广域网接入模块相连。因此，需要启用核心层交换机的路由功能。同时，还需要定义通往Internet的路由。这里使用了一条缺省路由命令。其中，下一跳地址是Internet接入路由器的快速以太网接口FastEthernet 0/0的IP地址。CoreSwitch(config)#ip route 525.配置服务器群和网管中心VLAN信息，如图3-10：图3-10 服务器群和网管中心的VLAN信息3.3 广域网接入模块设计 在本设计中，广域网接入模块的功能是由广域网接入路由器InternetRouter来完成的。采用的是Cisco的路由器。它通过自己的串行接口serial 0/0/0使用DDN（128K）技术接入Internet。它的作用主要是在Internet和校园网内网间路由数据包。除了完成主要的路由任务外，利用访问控制列表（Access Control List，ACL），广域网接入路由器InternetRouter还可以用来完成以自身为中心的流量控制和过滤功能并实现一定的安全功能。 1配置接入路由器InternetRouter的基本参数 对接入路由器InternetRouter的基本参数的配置步骤与对接入层交换机S2950A的基本参数的配置类似。这里不再给出实际的配置步骤。2配置接入路由器InternetRouter的各接口参数为接入路由器InternetRouter的各接口设置IP地址、子网掩码，如图3-11：图3-11 接入路由器InternetRouter的各接口参数3配置接入路由器InternetRouter的路由功能 在接入路由器InternetRouter上需要定义两个方向上的路由：到校园网内部的静态路由以及到Internet上的缺省路由。到Internet上的路由需要定义一条缺省路由，其中，下一跳指定从本路由器的接口serial 0/0/0送出。InternetRouter(config)#ip route s0/0/0到校园网内部的路由条目可以经过路由汇总后形成两条路由条目，如图3-12：图3-12 接入路由器InternetRouter的路由功能4.配置接入路由器InternetRouter上的NAT为了接入Internet，本校园网假设向当地ISP申请了6个IP地址。其中一个IP地址：被分配给了Internet接入路由器的串行接口，另外5个IP地址：用作NAT。NAT的配置可以分为以下几个步骤。（1）定义NAT内部、外部接口，图3-13：图3-13 定义NAT内部、外部接口（2）定义允许进行NAT的内部局部IP地址范围及外部地址池允许进行NAT的内部局部IP地址范围，如图3-14：图3-14 允许进行NAT的内部局部IP地址范围 定义外部地址池，如图3-15：图3-15 外部地址池 （3）定义NAT进行转换,如图3-16：图3-16 定义NAT进行转换3.4 服务器模块设计服务器都采用windows 2003 server，界面如图3-17所示：图3-17 windows 2003 server界面服务器模块用来对校园网的接入用户提供各种服务。在本设计中，所有的服务器被集中到VLAN 100。表32给出了所有的服务器名称及IP地址、网关，表33给出了所有的服务器硬件平台、操作系统以及服务软件的选型表。表3-2 服务器名称及IP地址、网关服务器名称服务器IP地址网关WEB 服务器54DNS服务器54FTP文件服务器54DHCP服务器54表3-3 服务器硬件平台、操作系统以及服务软件的选型表服务器名称硬件平台操作系统服务软件WEB 服务器HP LH3000Windows2003 ServerIIS5.0FTP文件服务器HP LH3000Windows2003 ServerSER V-U5.0DNS服务器HP LH3000Windows2003 Server-DHCP服务器HP LH30000Windows2003 Server-3.4.1 WEB服务器配置1.网站基本配置。（1）“网站”选项卡设置，如图3-3所示： 图3-3 网站选项卡设置（2）“主目录”选项卡设置，如图3-18所示：图3-18 主目录选项卡设置（3）“文档”选项卡设置，如图3-19所示：图3-19 文档选项卡设置2.网站性能配置。进入“性能”选项卡，在这里可以对网站访问的带宽和连接数进行限定，以更好地控制站点的通信量，如果是多站点服务器，通过对一个站点的带宽和连接数限制可以放宽对其他站点访问量的限制和为其他站点释放更多的系统资源。（提示：在实际的限定操作中我们要根据网络通信量和使用变化情况进行调整。） 3.网站的安全性配置，如图3-20所示：图3-20 web服务器网站的安全性配置4.网站的测试，如图3-21所示：图3-21 网站测试结果3.4.2 FTP配置1.FTP站点的基本配置（1） “FTP站点”选项卡设置，如图3-22所示：图3-22 FTP站点选项卡的设置（2）“主目录”选项卡设置，如图3-23所示：图3-23 主目录选项卡的设置2. FTP站点的测试，如图3-24所示：图3-24 FTP站点测试结果3.4.3 DHCP配置1.新建作用域，设置可分配的IP地址范围：比如可分配“00”，则在“起始IP地址”项填写“0”，“结束IP地址”项填写“0；“子网掩码”项为“”。如图3-25所示：图3-25 DHCP服务器IP地址范围设置2.输入欲保留的IP地址或IP地址范围，如图3-26所示：图3-26 DHCP服务器保留的IP地址或IP地址范围3.设置租约期限，如图3-27所示：图3-27 租约期限4.设置默认网关，如图3-28所示：图3-28 设置默认网关5.激活作用域，如图3-29所示：图3-29 DHCP服务器激活作用域6.DHCP服务器结果测试，在客户机上网络连接设置成自动获取，使用ipconfig /all命令进行查看，如图3-30所示：图3-30 DHCP服务器测试结果3.4.4 DNS 配置1.打开DNS控制台：选“开始菜单程序管理工具DNS”。2.建立正向解析区域，建立域名“”。如图3-31所示：图3-31 建立域名3.建立反向解析区域，如图3-32所示：图3-32 建立反向解析区域4.新建主机。建立web主机域名解析，如图3-33所示：图3-33 建立web主机域名解析5.DNS设置后的验证为了测试所进行的设置是否成功，使用“”网址进行测试，成功的测试如图3-34所示：图3-34 测试成功4 网络安全设置4.1 访问控制列表在本实例设计中，将针对服务器以及内网工作站的安全给出广域网接入路 由器InternetRouter上ACL的配置方案。 在网络环境中普遍存在着一些非常重要的、影响服务器安全的隐患。在绝大多数网络环境的实现中它们都是应该对外加以屏蔽的。4.1.1 对外屏蔽简单网管协议利用这个协议，远程主机可以监视、控制网络上的其它网络设备。它有两种服务类型：SNMP 和 SNMPTRAP，如图4-1： 图4-1 对外屏蔽简单网管协议4.1.2 对外屏蔽远程登录协议 用户在使用telnet登录网络设备或服务器时所使用的用户名和口令在网络中是以明文传输的，很容易被网络上的非法协议分析设备截获，这是极其危险的。因此必须加以屏蔽，如图4-2：图4-2 对外屏蔽远程登录协议4.1.3 对外屏蔽其它不安全的协议或服务 这样的协议主要有SUN OS的文件共享协议端口2049，远程执行（rsh）、远程登录（rlogin）和远程命令（rcmd）端口512、513、514，远程过程调用（SUNRPC）端口111。可以将针对以上协议综合进行设计，如图4-3：图4-3 对外屏蔽其它不安全的协议或服务4.1.4 保护路由器自身安全作为内网、外网间屏障的路由器，保护自身安全的重要性也是不言而喻的。为了阻止黑客入侵路由器，必须对路由器的访问位置加以限制。应只允许来自服务器群的IP地址访问并配置路由器。这时，可以使用access-class命令进行VTY访问控制，如图4-4：图4-4 进行VTY访问控制4.1.5 配置访问控制列表以宿舍楼是学生为主，应限制宿舍楼对办公楼的访问，如图4-5：图4-5 限制宿舍楼对办公楼的访问配置因为ftp作为学校的内部信息的流通渠道，为保证本学校的信息安全，学校不希望自己的信息被外界知道，所以要求拒绝外界网络对本学校ftp的访问，只用于内部的访问与交流，而web服务器则都可以访问。配置如图4-6：图4-6 限制外部对FTP的访问及可以访问WEB的配置4.2 端口聚合配置由于有许多的数据流量是跨交换机进行转发的，因此需要提高交换机之间的传输带宽，并且实现链路的冗余备份，因此建立端口聚合从而增大链路带宽，解决交换机中因带宽引起的网络瓶颈问题，多条链路之间能够相互冗余备份，其中任意一条断开，不会影响其他链路的正常转发数据，如图4-7：图4-7 端口聚合配置4.3 防火墙的设置在现今的网络安全环境下，木马、病毒肆虐，黑客攻击频繁，而各种流氓软软件、间谍软件也行风作浪。光靠杀毒软件已不足以保证我们的系统安全，这时防火墙就能帮我们解决。防火墙是一类防范措施的总称，它使得内部网络与Internet之间或者与其他外部网络互