小型局域网的组建全解

1、摘要1引言1第一章 校园园区网规划介绍 1第二章 校园园区网规划实施计划 12.1 了解用户、收集信息 12.2分析需求，提出网络设计原则 22.2.1 需求分析22.2.2 提出设计原则3第三章 总体网络设计方案 43.1 网络拓扑结构设计 43.2设备选择53.3 IP地址分配63.3.1 实现子网划分63.3.2 定义子网屏蔽63.3.3 定义子网号73.4网络安全设计73.4.1 防火墙83.4.2 入侵检测系统 83.4.3 防病毒系统83.4.4 加强网络安全 103.4.5 网络管理系统9第四章 总结失败项目，明确网络规划的必要性 9第五章总结10致谢摘要随着现代信息技术的飞速发

2、展，中国教育也正以前所未有的速度 和力度推进自己的信息化水平，信息技术给教育带来的变化是巨大 的，它可以让教师.学生.领导.合作伙伴之间实现优化的信息沟通. 它使教育突破了时间和空间的限制，大大扩展了教育的形式和空间。 建设校园网已经成为教育领域信息化建设的当务之急。本文通过对校园园区局域网（以下简称校园园区网）规划思想过程的论述，对就如何 建立一个高效，安全的校园网提供设计思想和组网步骤依据。关键词：网络需求，规划实施计划，网络协议，服务器，网络安引言信息技术日新月异的今天，网络技术发展迅猛，信息传输已经不仅仅局限于 单纯文本数据、数字数据的传输，随之而来的是视频、音频等多媒体技术的广泛 运

3、用。随着技术的发展，网络设备性能和传输介质容量有了极大的提高，但是由于用户需求的日益提高，网络环境的日益复杂，使得网络规划成为一项越发困难 的课题，作为校园园区网的规划的成败与否， 将直接影响到学校教育网络系统性 能的高低，从而影响教学进程和教学效果，下面主要对校园园区网的规划思想进 行探讨。第一章 校园园区网规划介绍校园园区网规划是校园网进行工程组网的前期准备工作，它的内容涉及到整项网络工程的重要步骤，是网络设计的核心与灵魂、校园园区网优良的长远规划和最佳的 实现选择、是校园网长期高效能运营的基础。目前，校园园区网中技术应用主要为辅 助管理、教学科研、in ternet信息服务以及网络技术探

4、索应用四大类。由于总体的规 划所涉及到的技术因数繁多，因而校园园区网规划应当实地考察、 调研，通过反复论 证，结合当今技术及发展方向，提出总体规划设想，规划既要适应当前的应用，又要 反映未来需求，规划应当考虑经济、环境、人文、资源等多方面因素，以合理需求为 原则。第二章 校园园区网规划实施计划2.1 了解用户、收集信息网络规划的目的在于在收集一线信息的基础上给出合理可行的设计方案，如战场指挥、运筹帷幄、决胜千里，其关键之处在于广泛收集信息。全面合理的规划校园园区网需认真考虑三点因素：（1）学校历史网络资源信息，当前网络规划设计计划，领先的技术方向，运营 机制和管理办法，满足未来网络的高度扩展计

5、划及其特点。（2）了解学校校园网络的使用者，他们各自的知识层次，他们对计算机的使用 观点和使用频率以及他们对当前的网络态度和看法。这些将为日后培训和安排多少人 员进行网络的技术支持和维护起导向作用。（3）明确网络规模：有哪些校区、哪些部门、多少网络用户、哪些资源需要上网、采用什么档次的设备而又在资金预算范围内、不同部门之间的信息流向问题、不 同时刻网络流量及流量峰值问题、确定网络终端数量及位置、共享数据的存储位置和 哪些人要用这些数据等基本状况等。（4）找出用户与用户、用户与资源、资源与资源之间的内在关系和相关信息， 这是校园网设计的前提和依据，是规划的核心思想。作为一个庞大的校园网，如何使得

6、设计的网络便于教学需求和管理应用，教学网与管理网各自安全运作，相互兼容，而又不矛盾。这一点尤为重要。2.2分析需求，提出网络设计原则221需求分析教育行业有着自身的特殊性，校园园区网对整个网络性能要求相对较高，校园园区网组建需满足对数字、语音、图形图象等多媒体技术的广泛应用，以及综合科研信 息的传输和处理需求的综合数字网，并能符合多种协议的要求，其体系应当符合国际 标准（如TCP/IP协议，Novell IPX协议等），同时能兼容已有的网络环境。因此设 计组网前，应对各方面需求总结归纳并做出细致分析：（1） 内部光缆主干需求：分析综合布线系统及其子系统，主配线间MDF与二及 配线间IDF的位置

7、，不同类别的服务器位置等。（2）应用管理需求：能够让管理人员从繁琐的文字处理中彻底解脱出来，以计 算机信息系统交流和日常事物，构建公文系统、日常办公系统、档案系统、电子邮件 等功能，且需操作简单、便于使用。满足视频点播、语音教学、多媒体课件等教学需 求，具备基本的In ternet访问功能等。（3）网络流量需求：要求校园园区网有足够的网络吞吐量来满足教学任务，保 证信息的高质高效率传输，校园网流量涉及到：语音教学、多媒体课件、服务器访问、 Wet浏览、视频点播等，对带宽需求和时延性要求极高。（4）网络安全需求：校园网络必须有完善的安全管理机制，能够确保网络内部可靠运行，还要防止来自外部的和来自

8、内部的非法访问和入侵，保证关键数据库的存储安全。222提出设计原则(1) 网络可靠性原则：网络设计过程中网络拓扑应采用稳定可靠的形式，女口：双路由网络拓扑、环行网络结构。因为它们既可冗余备份，安全性又可以得到保障。核心层交换可采用高端交 换设备和光纤技术的主干链路(TRUNK来实现较高的容错性，这样就可以避免单点 故障的出现。网络结构使用双链路，双核心交换设备，双路由备份可靠措施，都可以 使校园网可靠性和实用性得到大大的提高(2) 网络可扩展性原则：校园园区网扩展性包含两层意思一：新的教学部门能简单的接入现有网络；二：升级新技术的应用能够无逢的在现有网络上运行。可见，规划校园园区网络时不单要分

9、析当前的技术指标， 还要对未来的网络增长 情况做出估计和预算，以满足新的需求，保证网络的可靠性，从而保证校园正常的教 学秩序。(3) 网络实用性和可管理性原则：校园园区网系统设计在性价比方面要体现系统的实用性。可采用先进的设备，但有要在资金允许的条件下实现建网的目标， 校园园区网应 基于简单网络管理协议(SNMP,并支持管理信息库(MIB),利用图形化、可视化管 理界面和操作方式。易于管理，这也正体现出了实用性原则。合理的网络规划策略， 可提供强大的管理功能，能使管理实现一体化，这就便于日后校园网的更新与维护。(4) 网络安全性原则1. 对物理层、网络拓扑结构、操作系统及应用软件要求具备相应的

10、安全检测机制， 边界网关应该构筑防火墙，安装杀毒软件，对网关路由器进行必要的安全性过滤。 如 利用访问控制列表ACL配置、用户身份认证、数据加密、密钥等技术来实现校园园区 网的安全化。2. 采用静态虚拟局域网技术(静态 VLAN加强内网的管理。VLAN是基于逻辑划分而非物理地理划分的局域网技术，能有效的控制各个网段的相互访问，从而保证了内网的安全性，同时VLAN又可抑制不必要的广播，从而节约了带宽，又便于管理。3. 以TCP/IP四层网际模型为框架建立持续过程的网络安全性措施运行机制，做 到维护网络、监测网络、测试网络、改进网络四位一体的网络持续性保卫工作，它是 网络安全性管理的核心思想，如图

11、（1）所示：4应用层HTTP, FTF,Telnet, SMTP3嚴层TCP UDP2网际层IPARP, RARP,ICMP, IGMPi网竝口图（1 ）以TCP/IP模型构建持续性网络安全管理方式第三章 总体网络设计方案3.1网络拓扑结构设计网络中心是校园网的信息资源中心和信息枢纽中心，其网络体系结构直接关 系到网络系统的安全、可靠、高效的运行。因此，网络拓扑结构要严格按照内外网隔 离的模式设计。非军事区（DMZ ）包括交换机、学校 WWW服务器、E-mail服务器、 防火墙。内网包括用户管理与计费系统、人事管理系统、教务管理系统、办公自动化 系统、核心交换机、汇聚层交换机、接入层交换机、防

12、火墙、路由器、FTP服务器、DNS服务器、WWW服务器。如图（二）所示:11 :魚,*t4-尝：；324Vt图（二）某校园网拓扑图3.2设备选择校区主干网以校区网络中心的中心结点向外辐射，通过各部门所在的建筑楼构成主干网，核心交换机选用华为3COMS8512万兆交换机，其背板容量1.8T，交换容量 720G包转发率428Mpps,具有14个插槽，目前配置3块万兆以太网接口业务板（4 端口），一块千兆电接口业务板（24端口），一块千兆光接口（ 12端口）业务板。万 兆口连接教学楼、实验楼、学生公寓楼等汇聚交换机，千兆光接口连接食堂、训练管 等信息点少的汇聚交换机，千兆电接口用于连接服务器。教学楼

13、、实验楼、学生公寓 楼等信息点多的楼，其汇聚交换机采用高性能的全千兆智能三层交换机S5624F,S5624F交换机具有192G的交换容量和66Mpps的二/三层包转发能力，支持所有端口 线速转发。S5624F提供一个万兆链路上行至核心交换机，4个千兆光接口用以连接接 入层交换机。接入层选用华为S3952千兆交换机，该交换机具有19.2G的交换容量，支持所有 端口线速转发。能够提供4个千兆光接口，有效解决了在单台设备上多条千兆链路上 行。硬件支持二、三层线速交换，能够识别、处理四层到七层的应用业务流，所有端 口都具有单独的数据包过滤、区分不同应用流，并根据不同的流量进行不同的管理和 控制。校园网

14、出口处部署有一台高性能的、多业务并重的第五代多业务高端路由器 NE4Q NE40不仅处理性能卓越，而且能够提供高密度的千兆接口，具备多业务的融 合、集成和处理能力，为IP数据、语音、视讯、流媒体等多业务提供优异的扩展能 力。通过NE40千兆接入CERNET3.3 IP地址分配在网络规划中，IP地址方案的设计至关重要，好的IP地址方案不仅可以减少网 络负荷，还能为以后的网络扩展打下良好的基础。3.3.1实现子网划分在动手划分子网之前，我们一定要先分析一下自己的需求以及将来的规划。一般情况下我们遵循这样的准则：(1) 确定网络中的物理段数量(子网个数)。(2) 确定每个子网需要的主机数(注意一个主

15、机至少一个IP地址)。(3) 基于此需求，定义整个网络的子网屏蔽、每个子网唯一的子网号和每个子网 的主机号范围。3.3.2定义子网屏蔽将网络划分成若干个子网时，必须要定义好子网屏蔽。我们来看看定义的步骤：(1) 确定物理网段也就是子网的个数，并将这个数字转换成二进制数。比如B类地址，分6个子网就是110。(2) 计算物理网段数(子网数)的二进制位数，这里是110,所以需要3位。(3) 以高位顺序(从左到右)将这个反码转换成相应的十进制值，因为需要3位，就将主机号前3位作为子网号，这里是1110000Q所以屏蔽就是255.255.224.(。3.3.3定义子网号子网号与子网屏蔽的位数相同。(1)

16、 列出子网号按高到低的顺序使用的位数。例如子网屏蔽使用了3位，二进制值是 11100000。(2) 将最低的一位1转换成十进制，用这个值来定义子网的增量。这个例子中是 1110，所以增量是32。(3) 用这个增量迭加从0开始的子网号，直到下一个值为 256。这个例子中就是w.x.32.1-w.x.63.254、w.x.64.1-w.x.127.254 等。3.4网络安全设计从各高校网络现状分析，目前面临的网络安全威胁来源主要来自以下几个方面：一是来自In ternet的安全威胁，各高校有自己独立的链路通往In ternet。从In ternet 上的任意接入点对本局域网发起的基于网络的攻击，以

17、及对外公开的应用服务器的攻 击，这样可以造成网络性能的急剧下降，应用服务器的瘫痪。使整体网络正常的内、 外双向通信、存储等服务受阻或中断。二是来自校内局域网内部的恶意安全攻击，网络连接学生的计算机，学生有可能基于学习的目的可能使用各种入侵的软件，给系统造成隐含的威胁；三是高校内各相关部门的数据上报采用FTP方式逐级复制，处于完全敞开和透明的模式，只要掌握IP地址，传输数据就可以被轻易截获，从而造成保密信息的泄 露;再有来自操作系统、应用系统本身的漏洞及来自互联网、内部局域网的病毒安全 威胁的攻击。学校范围内的病毒防护不能依靠个人的自觉性，应当从网关、服务器、客户端多个层面来统一部署，实施整体病

18、毒防护解决方案。这样才能从根本上杜绝病毒的发作 和传播，有效地保护学校内部资源，同时对新出现的病毒有一个很好的、快速的响应系统。作为学校网络安全的防线，防火墙、入侵检测、防病毒系统是必不可少的，它可有效的对来自外网和内网的攻击做出及时告警，并给予一定的响应措施。341防火墙在万兆核心交换机S8512同核心路由器NE40之间部署一台天融信千兆硬件防火 墙NGFW4000-UF在内外网之间建立一道牢固的安全屏障， 将 WW、E-mail、FTP DNS 服务器等放置在防火墙的DMZ区，以保证内网安全。根据网络校园网安全策略和安全 目标，规划设置正确的安全过滤规则，规则审核 IP数据包的内容，包括协

19、议、端口、 源地址、目的地址等项目，严格禁止来自外网的对校园网的不必要的、非法的访问。 并在防火墙上建立内网计算机的IP地址和MAC地址的对应表，防止IP地址被盗用。3.4.2入侵检测系统在核心交换机S8512上部署一台带监听口的“冰之眼” NIDS-1202入侵检测探测 器，根据校园网络的特点，对来自外部网和校园网内部的各种行为进行实时检测，能实时捕获内外网之间传输的所有数据，利用内置的攻击特征库，使用模式匹配和智能分析的方法监测网络上发生的入侵行为和异常现象，并在数据库中记录有关事件，作为网络管理员事后分析的依据，是学校管理员能够及时采取应对措施。“冰之眼”入侵检测系统能够与天融信防火墙实

20、现联动，真正起到主动防御作用。3.4.3 防病毒系统保证防病毒系统的一致性、完整性和自升级能力，必须有一个完善的病毒防护管 理体系，负责病毒软件的自动分发、自动升级、集中配置和管理、统一事件和告警处 理、保证整个企业范围内病毒防护体系的一致性和完整性。目前，如果需要对整个网络进行规范化的网络病毒防范，我们必须了解最新的技术，结合网络的病毒入口点分 析，很好地将这些技术应用到自己的网络中去， 形成一个协同作战、统一管理的局面， 这样的病毒防范体系，才能够称得上是一个完整的、现代化的网络病毒防御体系。344加强网络安全的措施要有以下几点:1 安装杀毒软件，并有效运作。2, 安装木马检测软件，如 A

21、d-aware,SpybotSD等。3, 装恶意程序清理软件。如 360安全卫士，恶意软件清理助手等。4, 安装防火墙，制定合适的防护规则。如瑞星防火墙。5, 增强风险意识，不上网时断开网络连接。可在桌面建本地连接的快捷方式，随时控制网络断开，连接。论坛，QQ不要长时间挂网，以免长时间的暴露IP地址，招惹麻烦。6, 不要存储涉密敏感信息内存，以免引起黑客兴趣。7, 不常用的软件尽量不不要安装。下载程序，资料等要注意杀毒检测.8, 不健康网站携带有大量病毒程序，不要轻易点击.9, 经常安装系统安全补丁 .10, 重要资料注意刻录备份.3.4.5网络管理系统选择了华为3COM全系列交换机，并选择华为QuidView网管软件，它提供了配置、 管理、监控、故障检测与维修工具等管理功能，能对全网网络设备进行统一、高效、 便捷的管理。能对所有网络产品设备，如路由器、以太网交换机、接入服务器等，实 行面板级的图形化管理，端口实时流量图形显示统计等，支持常用的拓扑管理、流量 管理、错误管理等网管功能。通过网管系统达到提高网络性能、预测网络中的事故等以便防止事故发生，达到保证网络安全的目的。第四章 总结失败项目,明确网络规划的必要性当前很多学校纷纷建立自己的校园网，但由于组网设计