局域网实验报告

PAGE福建农林大学计算机与信息学院信息工程类课程实习报告课程名称：局域网技术与组网工程实习题目：校园网解决方案姓名：xxx系：网络工程专业：网络工程年级：2010学号：xxx指导教师：xxx职称：2013年6月17日

附件二：实习报告结果评定格式福建农林大学计算机与信息学院信息工程类课程实习报告结果评定评语：成绩：指导教师签字：评定日期：目录1、实习的目的和任务 12、实习要求 13、实习地点 14、主要仪器设备（实验用的软硬件环境） 15、实习内容 15.1校园网背景 15.2需求分析 25.2.1商业目标分析 25.2.2技术目标分析 25.3现有网络概括和拓扑 35.3.1校园网拓扑 35.3.2网络概括 35.3.3地址和命名 35.3.4现有网络采用的布线和介质 45.3.5建筑物之间的距离和环境因素 45.3.6现有网络的性能参数 55.3.7现有网络安全与网络管理 55.4总体设计 65.4.1校园网详细的拓扑 65.4.2网络拓扑结构设置 65.4.3IP地址方案和VLAN的划分 75.4.4互联网接入方案 85.4.5安全方案 85.4.6管理方案 85.4.7WLAN的设计 95.5.网络实施 95.5.1工作区子系统的设计 95.5.2水平干线子系统的设计 95.5.3设备间子系统设计 105.5.4管理子系统的设计 105.5.5垂直干线子系统的设计 115.5.6建筑群子系统的设计 115.6设备的选择 115.6.1接入层设备选择 115.6.2汇聚层设备选择 125.6.3核心层设备选择 136、问题讨论与分析 137、结束语 138、参考文献 13PAGE11校园网解决方案1、实习的目的和任务1.1掌握以校园网为代表的局域网的规划与设计步骤1.2掌握校园网规划与设计方案的撰写1.3进一步了解和掌握网络的组建和分析方法2、实习要求 根据需求对校园网进行规划和设计，进行网络设计和综合布线，并对校园网规划与设计方案文档的撰写。3、实习地点 逸夫图书馆4、主要仪器设备（实验用的软硬件环境）PC机，visio5、实习内容5.1校园网背景（1）学校现有教职工1500人，各类在校生15000余人，每年以5％比例增长。校园占地1460亩，分南区、北区和西区三个校区，18个学院分布在3个校区。本方案针对北区部分，现北区拥有行政、教学、实验综合楼两栋、教学楼一栋、图书馆楼一栋、后勤及工会混合楼一栋、家属院楼四栋、学生宿舍楼六栋。（2）由于入学率的增加和应用需求带宽的激增，导致现有网络存在性能和可用性、可靠性问题。网络中心6名管理人员和若干兼职学生从事管理维护学生工作。因外来访问者、学生不经过认证就可以轻而易举访问无线网络，因此无线接入点成为为网络中心和各学院争议的焦点。5.2需求分析5.2.1商业目标分析 （1）在未来的三年中，将损耗从30%降低到5%。（2）提高教师的效率，允许教师和其他学院的同仁一起参与更多的项目研究。（3）提高学生提交作业、选课、成绩查询效率。（4）允许学生使用他们的无线笔记本电脑访问园区网络和因特网。（5）允许访问者使用他们的无线笔记本电脑从园区网络访问互连网络。（6）保护网络防止入侵。（7）提高关键任务应用程序和数据的安全性和可靠性。5.2.2技术目标分析（1）重新设计IP地址规划。（2）增加已有因特网接入带宽，以支持新的应用和现有应用的扩展。（3）为学生提供一个安全、私密的无线网络用于访问园区网络和因特网。（4）提供一个响应时间大约为1/10秒的网络。（5）网络的可靠性大约为99.90%，MTBF为3000个小时，MTTR为3个小时。（6）提高安全性，保护因特网连接和内部网络，防止入侵。（7）使用网络管理工具，提高IT部门的效率和效果。（8）网络具有良好的可扩展性，可以在将来支持多媒体应用。5.3现有网络概括和拓扑5.3.1校园网拓扑5.3.2网络概括（1）核心层是一台8512三层交换机，通过多模光纤连接到计算机中心、图书馆、主教楼、基础实验楼和东教楼，各个宿舍楼经过7606汇聚后连接到8512上。（2）同时在路由器上拿出一个端口接到DMZ区域，防火墙提供校园网的www、DNS、电子邮件等服务；SAM和DHCP服务器也连到7606上，提供各个宿舍楼的动态地址分配和上网计费功能。边界路由通过CERNRT（中国教育科研网）和两根网通的线连接到Internet上。在边界路由NET40和所有的三层交换机上配置OSPF路由协议；在边界路由上配置NAT做地址转换；在核心交换机8512上划分VLAN对全院VLAN进行管理。每个楼宇上的三层交换机同样划分VLAN。5.3.3地址和命名（1）由于学校上网人数比较多，各个部门和楼宇之间又处在不同的VLAN中，C类的IP地址不能够满足上网的需求，所以校园网内部一部分采用了公有地址，而另一部分采用了RFC1918中规定的私有地址段，这些私有地址不能访问外部网络，但是可以访问校园网，必须经过路由将私有地址转换成公有地址才能出网。(2)学生宿舍楼采用了私有地址转换成公有地址的方案，使用DHCP服务器和RAIDUS服务器结合的技术，只有通过RAIDUS认证服务器认证后的用户DHCP服务器才能给他分配公有IP地址，没有通过认证的只能分配私有地址，私有地址采用了子网划分，将172的B类地址借了7位主机位，每个楼宇可以分配512个私有地址。(3)计算机中心、图书馆以及其他部门分配了固定的共有IP地址，可以直接访问Internet。5.3.4现有网络采用的布线和介质（1）在核心的主干网上采用了千兆光纤，从网络中心到各个楼宇之间采用千兆光纤的多模光纤，每栋楼宇内部采用超五类双绞线连接到桌面，可提供百兆的带宽。（2）在双绞线的选取上，交换机之间采用TCLPC101004，交在双绞线的选取上，交换机之间采用TCLPC101004，交换机到主机间采用FS-HSYV5e(UTP)。5.3.5建筑物之间的距离和环境因素（1）校园内各个建筑物采用的是光纤连接的，而这里只以建筑物之间实际距离为准，包括建筑物之间的水平距离和垂直距离。（2）水平距离是就是建筑物之间水平相聚多远，如基础实验楼到综合楼大概是50M。（3）垂直距离是某一建筑物的一楼到顶楼之间的距离，如基础实验楼一楼到九楼的垂直距离大概是24米。5.3.6现有网络的性能参数（1）带宽：从网络中心到各个楼宇均铺设了多模光纤，带宽可以达到千兆每秒，各楼层到桌面采用的是超五类双绞线，带宽在百兆左右。（2）吞吐量：在网络高峰期，比如中午12：00左右和晚上9：00左右，上网人数比较多，发生冲突的可能性达到10%，这样吞吐量=90%*G(网络负载)，其它时间的吞吐量几乎等于G。（3）丢包率：在网络无拥塞的时候，路径丢包率为0%，轻度拥塞时丢包率为1%~4%，严重拥塞时丢包率为5%~15%。（4）可用性：以边界路由NE40为例计算设备可用性。（5）主干网的流量负载7606到8512干线流量：最大约800M，流量分布如下：7606到1#楼：最大约180M7606到2#楼：最大约108M7606到3#楼：最大约88M7606到4#楼：最大约106M7606到5#楼：最大约104M7606到6#楼：最大约104M8512到计算机中心流量：最大约500M，流量分布如下：8512到图书馆流量：最大约200M8512到主教楼流量：最大约200M8512到基础实验楼流量：最大约60M8512到东教流量：最大约40M5.3.7现有网络安全与网络管理(1)通过对网络流量做了简单的分析，发现BT和ARP攻击高峰期两类流量总和占75%左右。BT下载是现在比较流行的下载方式，BT是用多少带宽就有可能吃多少，这个也是运营商很争议的事情。ARP攻击属于协议性攻击行为，通常因很多学生和教职工较少安装ARP防火墙之类的专防ARP的软件，并且定期更新系统漏洞较少等造成。BT和ARP不仅仅影响网速，而且还影响网络的可用性。(2)为了最大可能的减少校外的攻击，给校内提供一个安全稳定的网络环境，要求学校在网络边界路由和核心层之间添加硬件防火墙。同时划分VLAN及应用ACL。对安全性以及低广播风暴的要求，要求各个部门可单独划分VLAN，各单位之间在未经授权的情况下，不能相互访问。对财务部，院领导部门等访问做特殊控制。同时尽量减少不正常的网络流量如病毒的传播。(3)同时学校目前一直使用MRTG，进行各个交换机和路由器的流量实时监控，能及时反映出当前和平均的流量图。(4)学校采用锐捷计费系统，对学生使用Internet的用户，进行自动计费。5.4总体设计5.4.1校园网详细的拓扑5.4.2网络拓扑结构设置 8512核心交换机在整个校园网中站了主导地位，所以必须保证它的安全性和可靠性，我们在原有的拓扑基础上增加了一台8512核心交换机作为冗余设备，当其中一台出现故障时另一台可以继续工作，保证了网络的可靠性。同时我们还在每栋楼上增加了无线局域网的发射装置，提供了更多的网络接入点。主干线使用千兆光纤到各个楼宇。为了避免产生环节，在每个三层交换机上配置STP协议，同时为了减轻DHCP服务器在整个校园网中的通信，我们安排各个学院各自在三层交换机上开启DHCP协议。为了提高带宽，我们增加CNC带宽到1000M，并实现负载平衡。所有三层交换机上运行OSPF，如5.4.1拓扑图5.4.3IP地址方案和VLAN的划分 每一个三层交换机的接口都对应一个VLAN，每个宿舍楼的每一楼层的二层交换机又划分了不同的VLAN，在8512上划分VLAN。VLAN配置清单：端口VLANID说明RG-S6810E(网管中心，核心交换机，网管IP：54/24)1—10vlan1网管中心11—20vlan2连接到亚太实验楼交换机21—35vlan3连接到主教楼办公室交换机36—44vlan4连接到主教楼学生机主交换机上行端口45—48vlan5连接到东教楼交换机上行端口49—55vlan6连接到图书馆交换机上行端口56—85vlan7-12连接到宿舍楼交换机上行端口86—99vlan13-16连接到家属楼交换机上行端口宿舍楼vlan的配置清单列表：端口VLANID说明STAR-S2126G/STAR-S2150G(宿舍楼，网管IP:46)56-60(1号楼)vlan6链接到网管中心下行端口261-65（2号楼）vlan7链接到网管中心下行端口366-70（3号楼）vlan8链接到网管中心下行端口471-75（4号楼）vlan9链接到网管中心下行端口576-80(5号楼)vlan10链接到网管中心下行端口681-85(6号楼）vlan11链接到网管中心下行端口7vlan地址配置清单列表：VLANID网段IP网关IP描述1/2454/24综合楼中心机房:网管2/2454/24亚太实验楼3/2454/24综合楼办公室4/2454/24综合楼学生机房5/2454/24东教楼6/2454/24图书馆7—12172.16.7-12.0/2454/24宿舍楼13—16172.16.13-16.0/2454/24家属楼5.4.4互联网接入方案 学校采用了一根CERNET（中国教育科研网）和两根CNC的光纤接入到Internet上，为了提高带宽，可以提高CNC带宽至1000M，从而快速满足广大师生的上网需求。5.4.5安全方案 8512作为核心层交换机，只有管理员才能访问，管理员可以对全院的VLAN进行划分，7606作为各个宿舍楼的汇聚层交换机，与DHCP服务器和SAM服务器结合，管理员可以为每个宿舍楼动态分配IP和划分子网，实现上网计费功能。同时在核心设备上开启SNMP协议，继续使用原来的MRTG进行流量监控。5.4.6管理方案 8512作为核心层交换机，只有管理员才能访问，管理员可以对全院的VLAN进行划分，7606作为各个宿舍楼的汇聚层交换机，与DHCP服务器和SAM服务器结合，管理员可以为每个宿舍楼动态分配IP和划分子网，实现上网计费功能。同时在核心设备上开启SNMP协议，继续使用原来的MRTG进行流量监控。5.4.7WLAN的设计（1）设计两个独立的子网，一个用于安全的专用无线局域网，另外一个用于开放的公共无线局域网。每个子网都遍布整个校园网。使用这个解决方案，无线用户可以在整个校园网进行漫游。同时，在每栋建筑物内，开放式接入点和安全接入点连接到交换机不同的端口上，每一个端口在各自的VLAN内。（2）开放式接入点不配置WEP或MAC地址认证，SSID采用默认方式进行通过，这样外来用户就可以轻而易举的和无线局域网建立关联。为了保护校园网络安全，防止开放网络中用户的访问，在边界路由上配置ACL，只允许少量的协议进行转发，如80、21、20、25、110、53、67等端口。（3）专用接入点进行身份认证，并开始进行流量计费，从而更安全。5.5.网络实施5.5.1工作区子系统的设计（1）学生宿舍一般通过HUB接入校园网网络，因此为了节省工程造价，每个宿舍只安装一个单口信息插座。信息点密集的房间可以选用两口或四口信息插座，如教学楼的多媒体教室、办公室、计算中心机房等，信息插座的数量要根据用户的需求而定。（2）考虑到校园网中大多数信息点的接入要求达到100Mbps，因此建议校园网内所有信息插座均选用IBDNGigaFlexPS5E超5类模块。IBDN超五类模块可以满足未来155Mbps网络接入的要求。（3）为了方便用户接入网络，信息插座安装的位置结合房间的布局及计算机安装位置而定，原则上与强电插座相距一定的距离，安装位置距地面30cm以上高度，信息插座与计算机之间的距离不应超过5米。5.5.2水平干线子系统的设计（1）因此经过全面的考虑，该院的综合布线系统的水平干线子系统全部采用非屏蔽双绞线。考虑以后的校园网网络的应用，建议整个校园网的楼内水平布线全部采用IBDN1200系列超5类非屏蔽双绞线，以便满足以后网络的升级需要。（2）考虑到该院实施布线的建筑物都没有预埋管线，所以建筑物内的水平干线子系统全部采用明敷PVC管槽，并在槽内布设超5类非屏蔽双绞线缆的布线方案。原则上PVC管槽的敷设应与强电线路相距30cm，由于特殊情况PVC管槽与强电线路相距很近的情况下，可在PVC管槽内安装白铁皮然后再安装线缆，从而达到较好的屏蔽效果。5.5.3设备间子系统设计（1）经实地考察发现，每幢学生宿舍都有两个楼道，而且在2层或3层楼道都已设置了配电房，可以利用现有的配电房作为设备间。对于学生宿舍楼层较长的，建议采用双设备间的配置方案。教工宿舍和办公楼信息点较少，不考虑专门设置设备间。整个校园网的主设备间放置于亚太八楼的网管中心。（2）东教楼的信息点较分散且信息点较少，没有必要设立专门的设备间，可以在教师休息室内安装6U墙装机柜，机柜内只需容纳1交换机和2个配线架即可（3）办公楼、图书馆、实验大楼信息点较多，需要预设机柜，机柜内应配备足够数量的配线架和理线架设备。（4）网络中心根据功能划分为两个区域，一半空间作为机房，另一半作为行政办公区域。网络中心机房采用铝合金框架支撑的玻璃墙进行隔离，合部铺设防静电地板，地板已进行良好接地处理。机房内还安装了一个10KVA的UPS，配备的40个电池可以满足8个小时的后备电源供电。为了保证机房内温度的控制，机房内配备了两个5匹的柜式空调，空调具备来电自动开机功能。为了保证机房内设备的正常运行，所有设备的外壳及机柜均做好接地处理，以实现良好的电气保护。5.5.4管理子系统的设计（1）为了配合水平干线子系统选用的超五类非屏蔽双绞线，每个设备间内都应配备IBDNPS5E超五类24口/1U模块化数据配线架，配线架的数量要根据楼层信息点数量而定。为了方便设备间内的线缆管理，设备间内安装相应规格的机柜，机柜内的两个配线架之间还安装IBDN理线架，以进行线缆的整理和固定。（2）为了便于光缆的连接，每幢楼内的设备间内应配备光缆接线箱或机架式配线架，以便端接室外布设进入设备间的光缆。为了端接每个交换机的光纤模块，还应配备一定数量的光纤跳线，以端接交换机光纤模块和配线架上的耦合器。5.5.5垂直干线子系统的设计（1）由于大多数建筑物都在6层以下，考虑到工程造价，决定采用4对UTP双绞线作为主干线缆。对于楼层较长的学生宿舍，将采用双主干设计方案，两个主干通道分别连接两个设备间。（2）对于新建的学生宿舍及教学大楼都预留了电缆井，可以直接在电缆井中铺设大对数双绞线，为了支撑垂直主干电缆，在电缆井中固定了三角钢架，可将电缆绑扎在三角钢架上。对于旧的学生宿舍、办公大楼、实验大楼、图书馆，要开凿直径20cm的电缆井并安装PVC管，然后再布设垂直主干电缆5.5.6建筑群子系统的设计 校园内建筑物之间的距离很近，只有网络中心机房与教工区设备间之间的跨距、网络中心机房与学生宿舍二区设备间之间的跨距较远，均已超过550米，其他建筑物之间的跨距不超过500米，因此除了网络中心机房与教工区、学生宿舍设备间之间布设12芯单模光纤外，其他建筑物之间的光缆均选用6芯50μm多模光缆进行布线。由于该学院原有的闭路电视线、电话线全部采用架空方式安装，而且目前建筑物之间没有现成的电缆沟，经过与院方交流意见，决定所有光纤采用架空方式铺设。铺设光纤时，尽量沿着现有的闭路电视或电话线路的路由进行安装，从而保持校园内的环境美观要求，也可以加快工程进度。5.6设备的选择5.6.1接入层设备选择（1）接入层网络作为二层交换网络，提供工作站等设备的网络接入。接入层在整个网络中接入交换机的数量最多，具有即插即用的特性。对此类交换机的要求，一是价格合理；二是可管理性好，易于使用和维护；三是有足够的吞吐量；四是稳定性好，能够在比较恶劣的环境下稳定地工作。（2）此层交换机应具备VLAN划分，链路聚合等功能。因可付性限制和计费认证是校园网的主要目标，该校选用RJ-S2126，RJ-S1926S+，RJ-S1926F+，D-Link等型号作为接入层交换机使用。使用端口认证技术，用粘滞端口的方法使端口在检测到未经授权的MAC地址时自动关闭，增强安全性。（3）对于一些高要求的部门，如财务处、教务处等可采用思科设备，如思科2900系列中思科WS-C2960-24TT-L或思科WS-C2960-48TT-L。5.6.2汇聚层设备选择（1）汇聚层主要负责连接接入层接点和核心层中心，汇集分散的接入点，扩大核心层设备的端口密度和种类，汇聚各区域数据流量，实现骨干网络之间的优化传输。汇聚交换机还负责本区域内的数据交换，汇聚交换机一般与核心层交换机同类型，仍需要较高的性能和比较丰富的功能，但吞吐量较低。（2）工作在这一层的交换机最重要的要求就是支持安全策略和冗余组件。前者并不一定很有用，而是主要在汇聚层上做这块功能，而后者就比较关键，一旦正常工作的链路物理性断开，就要重新选择可用线路。（3）在校园网实施中，选用支持认证较好的RJ-3760汇聚层用于计算中心；选择4台QuidwayS3526分别作为主教楼、图书馆、基础实验楼、家属楼汇聚层设备。（4）如果经济允许，可采用CiscoCatalyst3560系列充当三层交换机。该系列支持IP电话、无线接入点、视频监视、建筑物管理系统和远程视频信息亭。客户可以