网络设计方案

1、网络设计方案-CAL-FENGHAI-(2023YEAR-YICAI)_JINGBIAN校内网络设计方案设 计 者 ： 王 帆2 0 1 7 年 1 1 月目录校内网需求分析错误!未定义书签。网络基本状况错误!未定义书签。网络需求分析错误!未定义书签。网络总体设计错误!未定义书签。网络架构分析错误!未定义书签。设计思路错误!未定义书签。校内网的设计原则错误!未定义书签。网络三层结构设计错误!未定义书签。主干网核心层设计错误!未定义书签。园区内汇聚层设计错误!未定义书签。IP 规划与 VLAN错误!未定义书签。IP 地址的安排原则错误!未定义书签。公网地址安排错误!未定义书签。专用网的 IP 地

2、址规划错误!未定义书签。专用网中 vlan 划分错误!未定义书签。设备选型错误!未定义书签。核心交换机设备选型错误!未定义书签。汇聚层设备选型错误!未定义书签。接入层设备选型错误!未定义书签。物理/链路层配置原则错误!未定义书签。网络安全与管理错误!未定义书签。网络安全错误!未定义书签。威逼网络安全因素分析错误!未定义书签。网络安全防范措施错误!未定义书签。网络管理错误!未定义书签。网络安全策略配置错误!未定义书签。安全接入和配置错误!未定义书签。拒绝服务的防止错误!未定义书签。电源系统错误!未定义书签。综合布线设计错误!未定义书签。综合布线的设计原则错误!未定义书签。结构化综合布线系统的组成

3、及设计错误!未定义书签。工作区子系统（Work Area）及其网络设计错误!未定义书签。配线子系统（Horizontal）及其网络设计错误!未定义书签。干线子系统（Backbone）及其网络设计错误!未定义书签。设备间子系统（Equipment Room）及其网络设计错误!未定义书签。管理子系统（Administration）及其网络设计错误!未定义书签。建筑群子系统（Campus Subsystem）及其网络设计错误!未定义书签。进线间子系统及其网络设计错误!未定义书签。防雷系统错误!未定义书签。在施工中留意事项错误!未定义书签。工程施工前预备错误!未定义书签。现场施工错误!未定义书签。现场

4、测试错误!未定义书签。硬件设备预算错误!未定义书签。校内网需求分析网络基本状况某高校具有 6 个二级学院，分别位于同一个城市的 4 个园区中，其中高校与两个二级学院在一个园区（园区 1），另外两个二级学院位于一个园区（园区 2），而其他两个学院分别位于园区 3 和园区 4。高校已从教育科研网（CERNET）有关机构申请了 IPV4 地址块/21。因特网具有统一接口，即通过百兆以太网接入教育科研网（CERNET）。高校向因特网发布信息并为全校供应有关的信息服务，每个二级学院都包含网管中心、院办公楼、教学楼、试验楼、干部培训楼、同学公寓楼等。每个学院也自行向因特网发布学院信息并负责学院自己的信息服

5、务， 每个学院都拥有约 1500 台 PC。网络需求分析为提高网络牢靠性及安全性，需要在主干网接受光纤布线。校内网应实现虚拟局域网（VLAN）的功能，以保证全网的良好性能及网络安全性。主干网交换机应具有很高的包交换速度，整个网络应具有高速的三层交换功能。主干网络应当接受成熟的、牢靠的快速以太网和千兆位以太网技术作为校内网主干。校内网应选用先进的网管软件，建立完善的网络管理体系。在设备方面，应选择有校内网成功案例的网络厂商的设备，同时为 Internet、拨号用户和移动用户供应接口，网络还应具有良好的扩展性。整个业务网必需具备良好的可管理性,网管系统应具有监测、故障诊断、故障隔离、过滤设置等功能

6、,以便于系统的管理和维护。同时应尽可能选取集成度高、模块网络总体设计网络架构分析现代网络结构化布线工程中多接受星型结构，主要用于同一楼层，由各个房间的计算机间用集线器或者交换机连接产生的，它具有施工简洁，扩展性高，成本低和可管理性好等优点；而校内网在分层布线主要接受树型结构；每层的集线器或交换机在连接到本楼出口的交换机，各个楼的交换机再连接到园区通信网中。为了增加网络的牢靠性，四个园区通信网连成一个环构成校内网的核心区域，从而构成了高校校内网的拓补结构。接受三层结构为该高校设计校内网。选用万兆以太网作为连接高校 4 个校区的高速主干；选用千兆以太网作为各个校区内楼层之间的主干，形成高校校内网的

7、汇聚层；选用百兆以太 LAN 作为基本的接入形式，在网络中心的设备选型和结构设计上必需考虑整体网络的高性能和高牢靠性。设计思路进行校内网总体设计，首先要进行对象争辩和需求调查，明确学校的性质、任务和改革进展的特点及系统建设的需求和条件，对学校的信息化环境进行精确的描述；在应用需求分析的基础上，确定学校 Intranet 服务类型，进而确定系统建设的具体目标，依据应用需求建设目标和学校主要建筑分布特点，进行系统分析和设计。1 、万兆交换机互联各个园区网选用万兆交换机互联各个园区网，而不选用高速路由器是由于：各园区网均接受的以太网技术体系，兼容性好。高校将在校内网上开展教学视频观摩、远程听课等多媒

8、体应用，供应高速率信息通道是必要的。万兆交换机为三层交换机，是具有选路功能的交换机，在校内网环境下能够具有更好的性能。价格因素。若在掩盖几十千米范围接受高速路由器的话，底层通常要接受SDH 技术，这使有关设备的价格要增加 23 倍。尽管高速路由器带来的对各个园区有更好的隔离性，在该校内网中用处不大。2、主干网接受公用 IP 地址相连该校内网从 CERNET 获得了 IP 地址的数量是无法满足需求的，只能供向因特网发布信息和联系或进行网络科学争辩之用，因此构成校内网 IP 地址的主体是经过NAT 转换的专用网地址。使用专用网地址不利于与其他高校的学术沟通，但也是不得已而为之的方法；另一方面，可能

9、使得校内网受到网络黑客侵扰会少些。校内网的设计原则先进性原则以先进、成熟的网络通信技术进行组网，支持数据、语音和视频图像等多媒体应用，接受基于交换的技术代替传统的基于路由的技术，并且能确保网络技术和网络产品在几年内基本满足需求。开放性原则校内网的建设应遵循国际标准，接受大多数厂家支持的标准协议及标准接口， 从而为异种机、异种操作系统的互连供应便利和可能。可管理性原则网络建设的一项重要内容是网络管理，网络的建设必需保证网络运行的可管理性。在优秀的网络管理之下，将大大提高网络的运行速率，并可快速简便地进行网络故障的诊断。安全性原则信息系统安全问题的中心任务是保证信息网络的畅通，确保授权实体经过该网

10、络安全地猎取信息，并保证该信息的完整和牢靠。网络系统的每一个环节都可能造成安全与牢靠性问题。机敏性和可扩充性选择网络拓扑结构的同时还需要考虑将来的进展，由于网络中的设备不是一成不变的，如需要添加或删除一个工作站，对一些设备进行更新换代，或变动设备的位置，因此所选取的网络拓扑结构应当能够简洁的进行配置以满足新的需要。稳定性和牢靠性牢靠性对于一个网络拓扑结构是至关重要的，在局域网中经常发生节点故障或传输介质故障，一个牢靠性高的网络拓扑结构除了可以使这些故障对整个网络的影响尽可能小以外，同时还应具有良好的故障诊断和故障隔离功能。网络三层结构设计主干网核心层设计校内网分为公网和专网。通过防火墙，连接放

11、置各种应用服务器的非军事区部分，并经路由器与 CERNET 相连。该三层校内网结构中的核心层位于公网部分，可选用了 Cisco 公司的万兆交换机Cat6509。租用电信公司的光纤裸芯，用万兆速率将 4 个园区的 4 台万兆交换机连成一个环。为提高网络牢靠性，还在园区 2 和园区 4 之间用千兆光缆连接起来。校内网的核心层结构如下图所示：园区内汇聚层设计汇聚层设备不但分担了核心设备的部分压力，同时提高了网络的安全性。本实施方案从网络运行的稳定性、安全性及易于维护性动身进行设计，以满足客户需 求。园区网可基本保持原有的二层网络架构，并在自己的园区网中使用专用 IP 地址块，楼层之间接受千兆光纤相连

12、，汇聚到千兆主交换机上与高校万兆交换机通过防火墙相连。由于各二级学院的园区中具有的 PC 数量为 1500 台左右，考虑到教学区域、管理区域和学院内数据服务区域，建议划分为若干个子网，也可以划分为多个 VLAN， 以隔离广播流量，提高网络工作效率，并提高安全性。二级学院网络的主干网可接受 3COM 公司的 Switch 4007 交换机与 3C16980 连接的千兆光缆构成了学院园区网的主干，向下以百兆以太网作为接入网与用户 PC 相连。二级学院园区网的二层网络拓扑架构如下图所示：IP 规划与 VLANIP 地址的安排原则IP 地址规划的好坏，不仅影响到网络路由协议算法的效率，更影响到网络的性

13、能和稳定以及网络的扩展和管理，也必将直接影响到相关新业务的开拓和网络应用的进一步可持续性进展。该高校有六个二级学院,每个学院大约 1500 台 PC,而申请到的 IP 地址为 8*256-2 个=2023 个,远小于 6*1500 台，所以必需用到 NAT 技术。学校对外各种 INTERNET 服务，核心层设备都使用公网 IP,一般终端 PC 使用私网 IP，经 NAT 技术上网。这样既满足一般用户上网需求又可以使服务器正常作用于互联网。公网地址安排对 IP 地址块/21 进行子网划分，划分为 8 个子网，6 个二级学院各安排 254 个 IP 地址，余下的 254 个 IP 地址用于高校校内

14、网主干和科研。高校和同在一园区的一个二级学院的 IP 地址安排时应连续。表 1：学校公网 IP 地址安排表名称高校本部公网 IP 段/24园区一学院一/24学院二/24学院三园区二/24学院四/24园区三学院五/24园区四学院六/24学校服务器/24专用网的 IP 地址规划由于安排给该高校校内网的 IP 地址远远不能满足需求，因此这些 IP 地址主要用于向因特网发布信息和进行科学争辩之用。而高校内部教学、科研、办公用的校内网，就需要我们接受 NAT 技术。每个学院都有 1500 台计算机，这里从专用的 IP 地址段中取出一个 B 类地址进行规划即可。本例我们可以取/21，将其安排给高校和 6

15、个二级学院。每个单位都能够安排一块 IP 地址，其中具有 30 个子网，每个子网容纳的主机数量达 8*256-2=2046 台，选用 7 个子网，分别给高校和二级学院各一个子网。事实上，由于各学院使用的专用 IP 地址互不相关，可以由各个学院独立进行规划也可。表 2：学校专网公网 IP 地址安排表名称专网 IP 段高校本部/21园区一学院一/21学院二/21园区二学院三/21学院四/21园区三学院五/21园区四学院六/21学校服务器/24专用网中 vlan 划分VLAN 技术允许将一个网络的物理的 LAN 规律划分成不同的广播域。一个 VLAN 内部的广播和单播流量被限制在本 VLAN 之内，

16、不会转发到其他 VLAN 中，这有助于把握流量、简化网络管理、提高网络的安全性。VLAN 是为解决以太网的广播问题和安全性而提出的一种协议，它在以太网帧的基础上增加了 VLAN 头，用 VLAN ID 把用户划分为更小的工作组，限制不同工作组间的用户二层互访。虚拟局域网的好处是可以限制广播范围，是一种比较成熟企业组网规范，在本案例中我们可以利用它划小网络特点，我们可以进一步监控网络，就算 IP 冲突产生，也轻易知道它发生在哪个部门（若 VLAN 划分以部门为依据）设备选型核心交换机设备选型通常将网络主干部分称为核心层，核心层的主要目的在于通过高速转发通信， 供应油画，牢靠的骨干传输结构，因此核

17、心层交换机应拥有更高的牢靠性，性能和吞吐量。锐捷网络 RG-S9620 如图所示，交换机成为企业网络核心交换机的抱负选择，适用于为政府、学校、企业构建高速、安全、牢靠的万兆网络，它的背板带宽为, 包转发率：L2:3571Mpps,L3:3571Mpps, 扩展插槽：20 个(4 个用于管理与交换距阵)汇聚层设备选型图通常将位于接入层和核心层之间的部分称为分布层或汇聚层，汇聚层交换层是多台接入层交换机的汇聚点， 它必需能够处理来自接入层设备的全部通信量，并供应 到核心层的上行链路，因此汇聚层交换机与接入层交换 机比较，需要更高的性能，更少的接口和更高的交换速 率。各二级学院网管中心汇聚层交换机选

18、择,锐捷网络图RG-S8606 为企业网络核心交换机的抱负选择，如图所示。适用于为政府、学校、企业构建高速、安全、牢靠的千兆背板带宽为, 包转发率：L2:595Mpps,595Mpps,扩展插槽：6 个(2 个用于管理引擎模块)。在二级学院各楼层的汇聚层交换机，我们接受锐捷网络 RG-S3760E-24，如图所示，属于千兆交换机，背板带宽：，包转发率：。图接入层设备选型通常将网络中直接面对用户连接或访问网络的部分称为接入层，接入层目的是允许终端用户连接到网络，因此接入层交换机具有低成本和高端口密度特性。接入层交换机我们选择可网管的交换机。物理/链路层配置原则物理/链路层配置遵循下面的原则：网络

19、设备互连的物理端口都应当绑定端口的速率和全双工模式；建议全部的 Vlan 都不要穿透核心层，全部的 Vlan 都将在汇聚层交换机上终结；本实施方案建议不要启用 STP 生成树协议，由于全部的 Vlan 都已在汇聚层交换机终结，在二层上并没有环路存在，故无必要启用；假如开启基于每个 Vlan 的生成树协议，广播报文将会很多，影响核心交换机性能和网络收敛时间；全部核心层和汇聚层交换机之间的互连端口均设置为 Trunk 模式，但目前只容许互连 Vlan 通过，以应付将来有 Vlan 穿越核心层这种状况；汇聚层交换机和接入交换机之间的互连端口设置为 Trunk 模式。网络安全与管理网络安全校内网的安全

20、威逼主要来源于两大块，一块是来自于网内，一块来自于网外。来源于网内的威逼主要是病毒攻击和黑客行为攻击。依据统计，威逼校内网安全的攻击行为或许有 40左右是来自于网络内部，如何防范来自于内部的攻击是校内网网络安全防护体系需要重点关注的地方。威逼网络安全因素分析计算机网络安全受到的威逼包括：“黑客”的攻击；计算机病毒；拒绝服务攻击（Denial of Service Attack）。网络安全防范措施在不转变原有网络结构的基础上实现多种信息安全，保障校内内部网络安全， 我们选购了一套网络安全防范设备。1 瑞星杀毒软件网络版超强病毒查杀智能主动防备增加型全网漏洞管理强大的网络管理力量是网络安全的基础部

21、署、把握、执行、升级、报告和日志、二次开发。兼容多种平台一体化智能服务体系网络管理在校内网络管理方面，为了便于校内网络管理人员的管理及维护，我们选购Quidview 网络管理软件。Quidview 网络管理软件基于机敏的组件化结构，用户可以依据自己的管理需要和网络状况机敏选择自己需要的组件，真正实现“按需建构”。Quidview 网络管理软件接受组件化结构设计，通过安装不同的业务组件实现了设备管理、VPN 监视与部署、软件升级管理、配置文件管理、告警和性能管理等功能。支持多种操作系统平台，并能够与多种通用网管平台集成，实现从设备级到网络级全方位的网络管理。网络安全策略配置安全接入和配置安全接入

22、和配置是指在物理(把握台)或规律(telnet)端口接入网络基础设施设备前必需通过认证和授权限制，从而为网络基础设施供应安全性。限制远程访问的安全设置方法如下表 19访问方式Console 把握接口的访问进入特权 exec 和设备配置级别的命令行telnet 访问SSH 访问WEB 管理访问SNMP 访问设置不同账号拒绝服务的防止安全接入和配置方法保证网络设备安全的方法设置密码和超时限制配置 Radius 来记录 logon/logout 时间和操作活动；配置至少一个本地账户作应急之用接受 ACL 限制，指定从特定的 IP 地址来进行 telnet 访问；配置Radius 安全纪录方案；设置超

23、时限制激活 SSH 访问，从而允许操作员从网络的外部环境进行设备安全登陆取消 Web 管理功能常规的 SNMP 访问是用 ACL 限制从特定 IP 地址来进行 SNMP 访问； 记录非授权的 SNMP 访问并禁止非授权的 SNMP 企图和攻击通过设置不同的账号的访问权限，提高安全性备注建议超时限制设成 5 分钟为增加安全,建议更改缺省的SNMP Commutiy 子串网络设备拒绝服务攻击的防止主要是防止消灭 TCP SYN 泛滥攻击、Smurf 攻击等；网络设备的防 TCP SYN 的方法主要是配置网络设备 TCP SYN 临界值，若多于这个临界值，则丢弃多余的 TCP SYN 数据包；防 S

24、murf 攻击主要是配置网络设备不转发ICMP echo 恳求(directed broadcast)和设置 ICMP 包临界值，避开成为一个 Smurf 攻击的转发者、受害者。访问把握允许从内网访问 internet，端口全开放。允许从公网到 DMZ（非军事）区的访问恳求：WEB 服务器只开放 80 端口，mail 服务器只开放 25 和 110 端口。禁止从公网到内部区的访问恳求，端口全关闭。允许从内网访问 DMZ（非军事）区，端口全开放允许从 DMZ（非军事）区访问 internet，端口全开放禁止从 DMZ（非军事）区访问内网，端口全关闭。电源系统为保证网络系统的安全运转及电源发生故障

25、时重要数据的储存,须配置具有高牢靠性的 UPS 电源。为此,在网络中心配置了一套ft特 C3KVA/2100W 的 UPS 电源。综合布线设计综合布线的设计原则综合布线同传统的布线相比较，有着很多优越性，是传统布线所无法比及的。其特点主要表现为它的有用性、功能性、先进性、机敏性、便利性、牢靠性、扩展性、开放性、标准化、经济性和生命周期。而且在设计、施工和维护方面也给人们带来了很多便利。结构化综合布线系统的组成及设计综合布线系统（PDS，Premises Distribution System）是一套开放式的布线系统， 可以支持几乎全部的数据、语音设备及各种通信协议，同时，由于 PDS 充分考虑

26、了通信技术的进展，设计时有足够的技术储备，能充分满足用户长期的需求，应用范围格外广泛。而且结构化综合布线系统具有高度的机敏性，各种设备位置的转变， 局域网的变化，不需重新布线，只要在配线间作适当布线调整即可满足需求。结构化综合布线一般划分为六个子系统。工作区子系统（Work Area）及其网络设计工作区子系统，是由 RJ-45 跳线与信息插座所连接的设备组成。信息点由标准RJ45 插座构成。信息点数量应依据工作区的实际功能及需求确定，并预留适当数量的冗余。工作区的终端设备（如：电话机、传真机）选用安普公司的超五类双绞线直接与工作区内的每一个信息插座相连接，或用适配器（如 ISDN 终端设备）、

27、平衡/非平衡转换器进行转换连接到信息插座上。配线子系统（Horizontal）及其网络设计配线子系统，是从工作区的信息插座开头到管理间子系统的配线架。选择配线子系统的线缆，要依据建筑物内具体信息点的类型、容量、带宽和传输速率来确定。在配线子系统中推举接受的双绞电缆及光纤型号为: 安普公司的超五类或六类非屏蔽双绞线, TCL 室内单模或多模光纤。双绞线水平布线链路中，水平电缆的长度为 90m。若使用 100UTP 双绞线作为配线子系统的线缆，可依据信息点类型的不同接受不同类型的电缆。该方案选择安普公司的超五类非屏蔽双绞线缆。干线子系统（Backbone）及其网络设计干线子系统，负责连接管理子系统

28、到设备间子系统的子系统。干线子系统可以使用的线缆主要有：HAY 三类大对数电缆；安普公司的超五类或六类双绞线；TCL 室内单模或多模光纤。该方案选择安普公司的超六类双绞线缆。垂直干线子系统由连接主设备间至各楼层配线间之间的线缆构成。其功能主要是把各分层配线架与主配线架相连。用主干电缆供应楼层之间通信的通道，使整个布线系统组成一个有机的整体。垂直干线子系统 Topology 结构接受分层星型拓扑结构，每个楼层配线间均需接受垂直主干线缆连接到大楼主设备间。垂直主干接受 25对大对数线缆时，每条 25 对大对数线缆对于某个楼层而言是不行再分的单位。垂直主干线缆和水平系统线缆之间的连接需要通过楼层管理

29、间的跳线来实现。设备间子系统（Equipment Room）及其网络设计设备间子系统，由电缆、连接器和相关支撑硬件组成。接受 BIX 跳接式配线架， 连接交换机；接受光纤终结架连接主机及网络设备。设备间的主要设备有数字程控交换机、计算机网络设备、服务器、楼宇自控设备主机等等。它们可以放在一起， 也可分别设置。在较大型的综合布线中，可以将计算机设备、数字程控交换机、楼宇自控设备主机分别设置机房，把与综合布线亲密相关的硬件设备放置在设备间， 计算机网络设备的机房放在距离设备间不远的位置。设备间子系统是一个集中化设备区，连接系统公共设备，如局域网(LAN)、主机、建筑自动化和保安系统，及通过垂直干线

30、子系统连接至管理子系统。管理子系统（Administration）及其网络设计管理子系统，由交连、互连和 I/O 组成。管理是针对设备间、电信间和工作区的配线设备、缆线等设施，按-定的模式进行标识和记录的规定。跳线接受超 5 类非屏蔽双绞线，RJ45 接头。管理间是楼层的配线间，管理子系统为其他子系统互连供应手段，它是连接垂直干线子系统和水平干线子系统的设备。管理子系统由交连、互连和输入/输出组成，实现配线管理，为连接其它子系统供应手段。包括配线架、跳线设备及光配线架等组成设备。设计管理子系统时,必需了解线路的基本设计原理,合理配置各子系统的部件。安普公司的综合布线解决方案拥有搭配科学、管理简

31、便的成套产品用于管理子系统。建筑群子系统（Campus Subsystem）及其网络设计建筑群子系统是实现建筑之间的相互连接，供应楼群之间通信设施所需的硬件。建筑群之间可以接受有线通信的手段，也可接受微波通信、无线电通信的手段。传输介质接受室外六芯多模光纤。建筑群子系统介质选择原则： 楼和楼之间在二公里以内、传输介质为室外光纤、可接受埋入地下或架空(4M 以上)方式、需要避开动力线、留意光纤弯曲半径建筑群子系统施工要点：包括路由起点、终点；线缆长度、入口位置、媒介类型、所需劳动费用以及材料成本计算。建筑群子系统所在的空间还有对门窗、天花板、电源、照明、接地的要求。建筑群子系统的设计：3 号楼、

32、5 号楼与办公楼之间由于距离较远，接受单模光纤连接；3 号楼使用多模光纤连至 1 号楼、2 号楼、公共卫生学院、电镜楼和由 5 号楼使用多模光纤连至 6 号楼、7 号楼和争辩生楼；图书馆与办公楼距离较近，接受千兆以太网连接。考虑近期学校使用、设备投资、距离超长等各种因素，接受多模光纤和单模光纤混合的方式连接，并在每个建筑物内预留了多模光纤，以备将来整个网络系统的进展。进线间子系统及其网络设计进线间一个建筑物宜设置 1 个，一般位于地下层，外线宜从两个不同的路由引入进线间，有利于与外部管道沟通。进线间与建筑物红外线范围内的人孔或手孔接受管道或通道的方式互连。进线间因涉及因素较多，难以统-提出具体所需面积，可依据建筑物实际状况，并参照通信行业和国家的现行标准要求进行设计，本规范只提出原则要求。防雷系统由于机房雷电防护系统对所爱护系统的业务正常运行具有格外重要的作用,因此雷电防护系统应具备先进性、牢靠性、易维护、易升级等方面的突出特性。主要爱护对象为信息中心机房具体措施:对于接受光纤通信的线路可以不另外加装防雷器,只需在光纤入户端将光纤内的钢筋做良好接地即可。但应考虑到做为备份通信的其它线路,如 DDN 等,因此对非光纤的通讯线路做防雷爱护是有必要而且是必需的。可在专线通讯线路入户端加装 RJ45-ISDN/4-F 通讯专线防雷器一套。在施工中留意