某高校校园网的设计与实现毕业论文

2013届专科毕业设计（论文）题目某高校校园网的设计与实现班级学号姓名指导教师2013年8月某高校校园网的设计与实现学生姓名学号所在系部班级指导教师完成日期2013年8月目录摘要11校园网络的需求分析311应用背景需求分析312业务需求分析313管理需求分析314网络安全需求分析32校园网总体设计521概述522网络设备选型523系统分析6231关键网络系统6232网络解决办法63系统详细设计731系统组成与拓扑结构7311IP地址及VLAN规划732交换模块设计8321接入层交换服务的实现配置接入层交换机9322汇聚层交换服务的实现配置汇聚层交换机11323核心层交换服务的实现配置核心层交换机1233广域网接入模块设计1334服务器模块设计15341WEB服务器配置16342FTP配置19343DHCP配置20344DNS配置234网络安全设置2641访问控制列表26411对外屏蔽简单网管协议26412对外屏蔽远程登录协议26413对外屏蔽其它不安全的协议或服务26414保护路由器自身安全27415配置访问控制列表2742端口聚合配置2843防火墙的设置285校园网络系统的测试30总结31参考文献32致谢331某高校校园网的设计与实现摘要随着计算机网络的发展,校园网的建设越来越受到各大高校的重视。本论文结合我院校园网的现状，通过分析网络技术特点和目前校园网的普遍需求及实际应用，对进一步完善校园网做出了比较可行的设计。在此次设计方案中，对实际校园网的设计进行了适当和必要的简化，将重点放在了网络主干的设计和服务器的架设上，并对路由器、交换机、服务器作了详细的配置。关键词校园网；网络设备；网络服务；网络协议2DESIGNANDIMPLEMENTATIONOFACAMPUSNETWORKABSTRACTWITHTHEDEVELOPMENTOFCOMPUTERNETWORK，THECAMPUSNETWORKCONSTRUCTIONISBECOMINGMOREANDMOREUNIVERSITIESATTENTIONINTHISPAPER,COMBINEDWITHTHEPRESENTSITUATIONOFOURCAMPUSNETWORK,THROUGHTHEANALYSISOFCHARACTERISTICSOFNETWORKTECHNOLOGYANDTHEGENERALREQUIREMENTSOFCAMPUSNETWORKANDTHEPRACTICALAPPLICATIONOFTHEDESIGN,TOFURTHERIMPROVETHECAMPUSNETWORKMADEAFEASIBLEINTHEDESIGNSCHEME,DESIGNOFTHEREALCAMPUSNETWORKISSIMPLIFIEDTOAPPROPRIATEANDNECESSARY,WILLFOCUSONTHEDESIGNANDERECTIONOFTHESERVERNETWORK,ANDTHEROUTER,SWITCH,SERVERDETAILEDCONFIGURATIONKEYWORDSCAMPUSNETWORKNETWORKDEVICESNETWORKSERVICENETWORKPROTOCOL31校园网络的需求分析11应用背景需求分析为了提高学校的管理效益和教学质量，开展学校现代化教育建设，建设具有规模的校园网络，INTRANET技术的高速多媒体校园网是必要的。整个高速多媒体校园网建设原则是“经济高效、领先实用”，既要领先一步，具有发展余地，又要比较实用。校园网是集计算机技术、网络技术、多媒体技术于一体的系统，能够最大限度地调动学生对教学内容的积极性。12业务需求分析本校园网为中小型规模的组网，节点数700个左右，但对通信量的要求较高，因此要求“千兆主干中跑，百兆到桌面”，并要求支持多媒体的应用。本校园网需要实现的业务有WEB服务所有合法用户可以通过WEB浏览的方式获得校园网络中的信息，学生可以通过WEB浏览的方式在线学习；FTP服务教师可通过FTP服务器下载或上传课件资料；DNS服务提供域名解析以及目录服务；网管服务器对校园网网络设备进行综合管理。13管理需求分析随着网络复杂度的增加，给网络管理带来成级数增加的工作量。网络管理要求解决的问题包括（1）虚拟局域网管理、分配。目前的虚拟局域网主要基于交换机端口划分，如果一个部门扩展新的入网点，扩展将改变交换机端口设置。管理软件需提供远地虚拟网的修改功能。（2）对所有网络设备端口的监视和管理。对所有网络设备的远程配置和控制，包括网络设备端口的开启和关闭，整个网络的故障检测，故障自动报警功能，整个网络性能的统计和分析报告，甚至收费。按照这些网络管理的需求，应采用基于GUI界面的网络管理软件。14网络安全需求分析校园网络安全主要考虑以下几方面要求各个部门、系所访问网络的控制，各单位之4间在未经授权的情况下，不能相互访问。网络需要建立防火墙，禁止外部用户未经许可访问内部的数据，或者内部用户未经许可访问外部数据。对安全问题的考虑主要是两个方面校园网应该是一个开放的系统，它不需要与政府或商业公司那样的网络安全保密性；另外，校园网应该是安全的，它不应该受到恶意的攻击而无法运行，一些科研成果也不应该对任何人都开放。主要利用虚拟网技术和防火墙技术来合理解决安全与开放的问题。52校园网总体设计21概述总体设计是校园网建设的总体思路和工程蓝图，是搞好校园网建设的核心任务。进行校园网总体设计，首先，进行对象研究和需求调查，弄清学校的性质、任务和改革发展的特点，对学校的信息化环境进行准确的描述，明确系统建设的需求和条件；其次，在应用需求分析的基础上，确定学校INTRANET服务类型，进而确定系统建设的具体目标，包括网络设施、站点设置、开发应用和管理等方面的目标；第三，确定网络拓扑和功能，根据应用需求、建设目标和学校主要建筑分布特点，进行系统分析和设计；第四，确定技术设计的原则要求，如在技术选型、布线设计、设备选择、软件配置等方面的标准和要求；第五，规划安排校园网建设的实施步骤。22网络设备选型（1）核心层主干交换设备的选型核心层为网络提供了骨干组件或高速交换组件。根据我校预计信息点700个，最大满负荷时用户的使用率为20，即有1200个用户同时上网，他们都为100MBPS桌面速率，由于考虑将来网络的升级，以及新的信息点的接入，网络流量的增加，鉴于以上信息，本设计选择CISCOCATALYST3560PS作为核心交换机。（2）汇聚层交换设备的选型汇聚层对下将接入层交换机的数据进行汇聚，对上通过高速接口将数据传输到核心交换机，起着承上启下的作用。本设计选择CISCOCATALYST3560PS系列交换机作为汇聚层交换机（3）接入层交换设备的选型接入层为用户提供对网络中本地网段的访问，它的主要作用是将工作组与汇聚层连接起来，主要完成逻辑网络分段、基于工作组或LAN隔离广播通信以及在多个CPU之间分布服务。本设计选择CISCOCATALYST295024/48交换机。（4）防火墙设计防火墙是一种将内部网络和外部网络分开的方法，是提供信息安全服务，实现网络和信息安全的重要基础设施，主要用于限制被保护的内部网络与外部网络之间进行的信息存取、信息传递等操作。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效的监控了内部网和外部网之间的任何活动，保证了内部网络的安全。6（5）路由器选购本设计选用CISCO2811路由器，CISCO2811隶属于CISCO2800系列产品，与相似价位的前几代思科路由器相比，CISCO2800系列的性能提高了五倍、安全性和话音性能提高了十倍，且大大提高了插槽性能和密度，同时保持了对目前CISCO1700系列和CISCO2600系列中现有90多种模块中大多数模块的支持，从而提供了极大的性能优势。23系统分析231关键网络系统CISCO2811路由器、CISCOCATALYST356024PS交换机、CISCOCATALYST2950T24交换机232网络解决办法对校园网系统整体方案设计；对接入层交换机进行配置；对汇聚层交换机进行配置；对核心层交换机进行配置；对广域网接入路由器配置；对服务器进行配置；对整个校园网安全系统进行设置。73系统详细设计31系统组成与拓扑结构在此次网络设计中，为了实现整个工程设计设备的统一性，本设计方案中采用同一厂家的网络产品，即CISCO公司的网络设备构建。全网使用同一厂商设备的好处是可以实现各种不同网络设备功能的互相配合和补充。本校园网设计方案主要由以下四大部分构成交换模块、广域网接入模块、远程访问模块、服务器群。整个网络系统的拓扑结构图如图31所示。图31校园网整体拓扑结构图311IP地址及VLAN规划（1）IP地址规划由于目前IP地址资源非常稀缺，对不可能给校园网内部的所有工作站都分配一个公有IP（INTERNET可路由的）地址。为了解决所有工作站访问INTERNET的需要，必须使用NAT（网络地址转换）技术。为了接入INTERNET，本校园网向当地ISP申请了2022062220/29网段地。其中一个IP地址2022062221被分配给了INTERNET接入路由器的串行接口，另外5个IP地址20220622222022062226用作NAT转换。8（2）VLAN规划在此次设计中，规划了16个VLAN，并为每个VLAN定义了一个由拼音缩写组成的VLAN名称。VLAN及IP编址规划如下表31所示表31VLAN及IP编址方案VLAN号VLAN名称IP网段默认网关说明VLAN119216800/241921680254管理VLANVLAN2SXLJF119216810/241921681254实训楼机房1VLAN3SXLJF219216820/241921682254实训楼机房2VLAN4SXLJF319216830/241921683254实训楼机房3VLAN5SXLJF419216840/241921684254实训楼机房4VLAN6SXLJF519216850/241921685254实训楼机房5VLAN7SXLJF619216860/241921686254实训楼机房6VLAN8SXLJF719216870/241921687254实训楼机房7VLAN9SXLJF819216880/241921688254实训楼机房8VLAN10SXLJF919216890/241921689254实训楼机房9VLAN11SXLJF10192168100/2419216810254实训楼机房10VLAN12SXLQTLC192168110/2419216811254实训楼其他楼层VLAN13BGL192168120/2419216812254办公楼VLAN14JXL192168130/2419216813254教学楼VLAN15NVSSS192168140/2419216814254女生宿舍VLAN16NANSSS192168150/2419216815254男生宿舍VLAN100FUWQQ1921681000/24192168100254服务器群32交换模块设计为了简化交换网络设计、提高交换网络的可扩展性，在园区网内部数据交换的部署是分层进行的。园区网数据交换设备可划分为三个层次接入层、汇聚层、核心层。9321接入层交换服务的实现配置接入层交换机这里以拓扑图中的接入层交换机S2950A为例进行介绍。1配置接入层交换机S2950A的基本参数,如图32图32接入层交换机S2950A的基本参数2配置接入层交换机S2950A的管理IP给交换机设置管理用IP地址只能在VLAN1，即本地VLAN中进行。按照表31，管理VLAN所在的子网是19216800/24，这里将接入层交换机S2950A的管理IP地址设为19216805/24,如图33图33接入层交换机S2950A的管理IP地址3配置接入层交换机S2950A的VLAN及VTP,如图34图34接入层交换机S2950A的VTP4配置接入层交换机S2950A端口基本参数，如图3510图35接入层交换机S2950A端口基本参数5配置接入层交换机S2950A的访问端口（1）接入层交换机S2950A为终端用户提供接入服务。在图31中，接入层交换机S2950A为VLAN13提供接入服务。如图36图36接入层交换机S2950A为VLAN13提供接入服务（2）设置快速端口，如图37图37设置快速端口6配置接入层交换机S2950A的主干道端口如图31所示，接入层交换机S2950A通过端口FASTETHERNET0/23上连到汇聚层交换机S3560A的端口FASTETHERNET0/20。同时，接入层交换机S2950A还通过端口FASTETHERNET0/24上连到汇聚层交换机S3560B的端口FASTETHERNET0/20。设置接入层交换机S2950A的端口FASTETHERNET0/23、FASTETHERNET0/24为主干道端口。S2950ACONFIGINTRANGEF0/2324S2950ACONFIGIFRANGESWITCHPORTMODETRUNK7配置其它接入层交换机其它接入层交换机分别为剩余VLAN的用户提供接入服务。同时，它们也通过自己的FASTETHERNET0/23、FASTETHERNET0/24上连到S3560A、S3560B汇聚层交换机的端口上。这些剩余的接入层交换机其配置步骤、命令与接入层交换机S2950A的配置类似。这里就11不再叙述。322汇聚层交换服务的实现配置汇聚层交换机这里以图31中的汇聚层交换机S3560A为例进行介绍。1配置汇聚层交换机S3560A的基本参数对汇聚层交换机S3560A的基本参数的配置步骤与对接入层交换机S2950A的基本参数的配置类似。这里不再给出实际的配置步骤。2配置汇聚层交换机S3560A的VTP在本校园网实现实例中使用了VTP技术。同时，将汇聚层交换机S3560A设置成为VTP服务器，其他交换机设置成为VTP客户机。S3560ACONFIGVTPDOMAINCAMPUSS3560ACONFIGVTPMODESERVER4在汇聚层交换机S3560A上定义VLAN在本校园网实现实例中，除了默认的本地VLAN外，又定义了16个VLAN，如表31所示。由于使用了VTP技术，所以所有VLAN的定义只需要在VTP服务器，即汇聚层交换机S3560A上进行。这里只给出配置VLAN2的创建，其它VLAN的创建方法与VLAN2的创建方法一致。S3560AVLANDATABASES3560AVLANVLAN2NAMESXLJF15配置汇聚层交换机S3560A的端口基本参数汇聚层交换机S3560A的端口FASTETHERNET0/2124分别下连到4个接入层交换机的端口FASTETHERNET0/2324上。此外，汇聚层交换机S3560A还通过自己的千兆端口GIGABITETHERNET0/1上连到核心交换机CORESWITCH的GIGABITETHERNETG0/1。为了实现冗余设计，汇聚层交换机S3560A还通过FASTETHERNET0/12连接另一台到汇聚层交换机S3560B的FASTETHERNET0/12。如图3812图38汇聚层交换机S3560A的端口基本参数6配置汇聚层交换机S3560A的3层交换功能汇聚层交换机S3560A需要为网络中的各个VLAN提供路由功能。S3560ACONFIGIPROUTING/启用路由功能为每个VLAN定义自己的默认网关地址，这里只给出VLAN1的定义，其它VLAN的定义方法与VLAN1一致。S3560ACONFIGINTVLAN1S3560ACONFIGIFIPAD19216802542552552550此外，还需要定义通往INTENET的路由。这里使用了一条缺省路由命令。其中，下一跳地址是核心层交换机CORESWITCH的以太网接口GIGABITETHERNETG0/1的IP地址。S3560ACONFIGIPROUTE0000000019216802537配置汇聚层交换机S3560B对汇聚层交换机S3560B的配置步骤、命令和对汇聚层交换机S3560A的配置类似。这里不再详细分析。323核心层交换服务的实现配置核心层交换机这里以图31中的核心层交换机CORESWITCH为例进行介绍。1配置核心层交换机CORESWITCH的基本参数对核心层交换机CORESWITCH的基本参数的配置步骤与对接入层交换机S2960A的基本参数的配置类似。这里不再给出实际的配置步骤。2配置核心层交换机CORESWITCH的管理IPCORESWITCHCONFIGINTVLA1CORESWITCHCONFIGIFIPADD192168012552552550CORESWITCHCONFIGIFNOSHUT133配置核心层交换机CORESWITCH的端口参数核心层交换机CORESWITCH通过自己的端口F0/24同广域网接入模块相连。同时，核心层交换机CORESWITCH的端口G0/10/2分别下连到汇聚层交换机S3560A和S3560B的端口GIGABITETHERNET0/1。如图39图39核心层交换机CORESWITCH的端口参数4配置核心层交换机CORESWITCH的路由功能核心层交换机CORESWITCH通过端口FASTETHERNET0/24同广域网接入模块相连。因此，需要启用核心层交换机的路由功能。同时，还需要定义通往INTERNET的路由。这里使用了一条缺省路由命令。其中，下一跳地址是INTERNET接入路由器的快速以太网接口FASTETHERNET0/0的IP地址。CORESWITCHCONFIGIPROUTE0000000019216802525配置服务器群和网管中心VLAN信息，如图310图310服务器群和网管中心的VLAN信息33广域网接入模块设计在本设计中，广域网接入模块的功能是由广域网接入路由器INTERNETROUTER来完成的。采用的是CISCO的路由器。它通过自己的串行接口SERIAL0/0/0使用DDN（128K）技术接入INTERNET。它的作用主要是在INTERNET和校园网内网间路由数据包。除了完成主要的路由任务外，利用访问控制列表（ACCESSCONTROLLIST，ACL），广域网接入路由器14INTERNETROUTER还可以用来完成以自身为中心的流量控制和过滤功能并实现一定的安全功能。1配置接入路由器INTERNETROUTER的基本参数对接入路由器INTERNETROUTER的基本参数的配置步骤与对接入层交换机S2950A的基本参数的配置类似。这里不再给出实际的配置步骤。2配置接入路由器INTERNETROUTER的各接口参数为接入路由器INTERNETROUTER的各接口设置IP地址、子网掩码，如图311图311接入路由器INTERNETROUTER的各接口参数3配置接入路由器INTERNETROUTER的路由功能在接入路由器INTERNETROUTER上需要定义两个方向上的路由到校园网内部的静态路由以及到INTERNET上的缺省路由。到INTERNET上的路由需要定义一条缺省路由，其中，下一跳指定从本路由器的接口SERIAL0/0/0送出。INTERNETROUTERCONFIGIPROUTE00000000S0/0/0到校园网内部的路由条目可以经过路由汇总后形成两条路由条目，如图312图312接入路由器INTERNETROUTER的路由功能4配置接入路由器INTERNETROUTER上的NAT为了接入INTERNET，本校园网假设向当地ISP申请了6个IP地址。其中一个IP地址2022062221被分配给了INTERNET接入路由器的串行接口，另外5个IP地址20220622222022062226用作NAT。NAT的配置可以分为以下几个步骤。15（1）定义NAT内部、外部接口，图313图313定义NAT内部、外部接口（2）定义允许进行NAT的内部局部IP地址范围及外部地址池允许进行NAT的内部局部IP地址范围，如图314图314允许进行NAT的内部局部IP地址范围定义外部地址池，如图315图315外部地址池（3）定义NAT进行转换,如图316图316定义NAT进行转换34服务器模块设计服务器都采用WINDOWS2003SERVER，界面如图317所示16图317WINDOWS2003SERVER界面服务器模块用来对校园网的接入用户提供各种服务。在本设计中，所有的服务器被集中到VLAN100。表32给出了所有的服务器名称及IP地址、网关，表33给出了所有的服务器硬件平台、操作系统以及服务软件的选型表。表32服务器名称及IP地址、网关服务器名称服务器IP地址网关WEB服务器1921681001192168100254DNS服务器1921681002192168100254FTP文件服务器1921681003192168100254DHCP服务器1921681004192168100254表33服务器硬件平台、操作系统以及服务软件的选型表服务器名称硬件平台操作系统服务软件WEB服务器HPLH3000WINDOWS2003SERVERIIS50FTP文件服务器HPLH3000WINDOWS2003SERVERSERVU50DNS服务器HPLH3000WINDOWS2003SERVERDHCP服务器HPLH30000WINDOWS2003SERVER341WEB服务器配置171网站基本配置。（1）“网站”选项卡设置，如图33所示图33网站选项卡设置（2）“主目录”选项卡设置，如图318所示图318主目录选项卡设置（3）“文档”选项卡设置，如图319所示18图319文档选项卡设置2网站性能配置。进入“性能”选项卡，在这里可以对网站访问的带宽和连接数进行限定，以更好地控制站点的通信量，如果是多站点服务器，通过对一个站点的带宽和连接数限制可以放宽对其他站点访问量的限制和为其他站点释放更多的系统资源。（提示在实际的限定操作中我们要根据网络通信量和使用变化情况进行调整。）3网站的安全性配置，如图320所示图320WEB服务器网站的安全性配置4网站的测试，如图321所示19图321网站测试结果342FTP配置1FTP站点的基本配置（1）“FTP站点”选项卡设置，如图322所示图322FTP站点选项卡的设置（2）“主目录”选项卡设置，如图323所示20图323主目录选项卡的设置2FTP站点的测试，如图324所示图324FTP站点测试结果343DHCP配置1新建作用域，设置可分配的IP地址范围比如可分配“192168100102119216810050”，则在“起始IP地址”项填写“19216810010”，“结束IP地址”项填写“19216810050；“子网掩码”项为“2552552550”。如图325所示图325DHCP服务器IP地址范围设置2输入欲保留的IP地址或IP地址范围，如图326所示图326DHCP服务器保留的IP地址或IP地址范围3设置租约期限，如图327所示22图327租约期限4设置默认网关，如图328所示图328设置默认网关5激活作用域，如图329所示23图329DHCP服务器激活作用域6DHCP服务器结果测试，在客户机上网络连接设置成自动获取，使用IPCONFIG/ALL命令进行查看，如图330所示图330DHCP服务器测试结果344DNS配置241打开DNS控制台选“开始菜单程序管理工具DNS”。2建立正向解析区域，建立域名“ZZSFXXWLXYCOM”。如图331所示图331建立域名3建立反向解析区域，如图332所示图332建立反向解析区域4新建主机。建立WEB主机域名解析，如图333所示25图333建立WEB主机域名解析5DNS设置后的验证为了测试所进行的设置是否成功，使用“WWWZZSFXXWLXYCOM”网址进行测试，成功的测试如图334所示图334测试成功264网络安全设置41访问控制列表在本实例设计中，将针对服务器以及内网工作站的安全给出广域网接入路由器INTERNETROUTER上ACL的配置方案。在网络环境中普遍存在着一些非常重要的、影响服务器安全的隐患。在绝大多数网络环境的实现中它们都是应该对外加以屏蔽的。411对外屏蔽简单网管协议利用这个协议，远程主机可以监视、控制网络上的其它网络设备。它有两种服务类型SNMP和SNMPTRAP，如图41图41对外屏蔽简单网管协议412对外屏蔽远程登录协议用户在使用TELNET登录网络设备或服务器时所使用的用户名和口令在网络中是以明文传输的，很容易被网络上的非法协议分析设备截获，这是极其危险的。因此必须加以屏蔽，如图42图42对外屏蔽远程登录协议413对外屏蔽其它不安全的协议或服务这样的协议主要有SUNOS的文件共享协议端口2049，远程执行（RSH）、远程登录（RLOGIN）和远程命令（RCMD）端口512、513、514，远程过程调用（SUNRPC）端口111。可以将针对以上协议综合进行设计，如图43图43对外屏蔽其它不安全的协议或服务27414保护路由器自身安全作为内网、外网间屏障的路由器，保护自身安全的重要性也是不言而喻的。为了阻止黑客入侵路由器，必须对路由器的访问位置加以限制。应只允许来自服务器群的IP地址访问并配置路由器。这时，可以使用ACCESSCLASS命令进行VTY访问控制，如图44图44进行VTY访问控制415配置访问控制列表以宿舍楼是学生为主，应限制宿舍楼对办公楼的访问，如图45图45限制宿舍楼对办公楼的访问配置因为FTP作为学校的内部信息的流通渠道，为保证本学校的信息安全，学校不希望自己的信息被外界知道，所以要求拒绝外界网络对本学校FTP的访问，只用于内部的访问与交流，而WEB服务器则都可以访问。配置如图4628图46限制外部对FTP的访问及可以访问WEB的配置42端口聚合配置由于有许多的数据流量是跨交换机进行转发的，因此需要提高交换机之间的传输带宽，并且实现链路的冗余备份，因此建立端口聚合从而增大链路带宽，解决交换机中因带宽引起的网络瓶颈问题，多条链路之间能够相互冗余备份，其中任意一条断开，不会影响其他链路的正常转发数据，如图47图47端口聚合配置43防火墙的设置在现今的网络安全环境下，木马、病毒肆虐，黑客攻击频繁，而各种流氓软软件、间谍软件也行风作浪。光靠杀毒软件已不足以保证我们的系统安全，这时防火墙就能帮我们解决。防火墙是一类防范措施的总称，它使得内部网络与INTERNET之间或者与其他外部网络互相隔离、限制网络互访用来保护内部网络。防火墙简单的可以只用路由器实现，复杂29的可以用主机甚至一个