小论文校园网的网络方案设计

东华大学硕士课程论文封面教师填写：得分任课教师签名年月日学生填写：姓名张成学号2131088专业信息与通信工程导师禹素萍课程名称网络通信新技术任课教师陈雯课程学分2.0上课时间2013至2014年第2学期星期三递交时间6月24日本人郑重申明：我遵守学术道德，崇尚严谨学风。所呈交的课程论文，是本人独立进行研究工作所获得的成果。除文中已明确注明和引用的内容外，本论文不包括任何其他个人或集体已经刊登或撰写过的作品及成果的内容。论文为本人亲自撰写，我对所写的内容负责，并完全意识到本申明的法律成果由本人承担。论文作者签名：注：本表格作为课程论文的首页递交，请用水笔或钢笔填写。校园网的网络方案设计1设计背景在科技技术飞速发展的今日，计算机及网络的应用也在不停增长与扩大，人们在平常的工作、学习和生活中己经无法离开计算机和网络。计算机网络、数据库及与之有关的应用技术不停发展，以及多媒体数据的存储、传播、应用技术不停成熟，尤其是国际互联网和局域网技术的广泛应用，世界正在迈入以计算机网络为中心的信息化时代。而我国在1994年才开始参照国外的建设经验，并投资建设了中国的教育和科研计算机网络(ChinaEducationandResearchNetwork，简称CERNET)[1]，并逐渐实行教育信息化工程。近年来，伴随我国的高校、尤其是高等院校的办学规模的不停扩大，导致了一种学校存在多种校区同步办学，成果导致了教学资源分散、信息传递慢、精确性差、办公效率低等问题的出现。怎样合理地进行校园网教育时间和空间、教学内容、手段和形式的深入开放，最大程度地提高院校的办学能力、科研能力和管理水平?校园网建设是一项需要不停更新和完善的庞大系统工程其建设过程是一种技术不停更新、资源不停整合、管理不停完善的长期过程。2设计需求在东华大学原有的网络构造中，两个校区的互访是通过上海教科网的外部途径实现的，由于两个校区之间没有直联的链路，同步松江教科网节点链路的不稳定，导致了校区间互访、松江校区访问教科网和Internet会常常中断的状况,网络很不稳定。建立一种多媒体的综合网络，在网络中传送的信息不仅是数据，还包括声音、视频等这就规定主干网必须是提供QOS的高速主干网。校园网的分布范围不局限于一幢大楼，校园网都是局域网和广域网两者的结合。东华大学拥有两个校区：校本部与松江校区。两个校区相差的距离较远，两个校区网络之间的拓扑图如下图[2]所示：图2-1两个校区网络之间的拓扑图网络现存问题：1．在各链路负载不平衡的状况下丢包率很大，导致网络不可用。2．松江教科网节点链路的不稳定，导致了校区间互访、松江校区访问教科网和Internet会常常中断的状况。3．关键网络应用不能得到保证，带宽升级后也没有效果，网络吞吐量不够。4．部分服务器、链路负载过大，导致拥塞和较大延迟。针对前面所简介的需要处理的问题，其详细需求内容如下:(3)布线系统对校园内各楼层实现网络综合布线，建造1000M校园网主干网络，接入层运用1000M上行线路与汇聚层相连，并提供100M互换到桌面。同步为基于以太网的有线电视、消防、监控设备等提供传播线路，并预留光缆。(2)网络系统安装主干网(包括关键层、汇聚层、接入层)网络设备，以适应1000M以太网主干，百兆到桌面的传播需求;对校园网关键设备、Internet网络出口进行统一规划和协调;实现内网外网的隔离，保证网络安全。提供网络安全及管理的处理方案，能自动监测网络故障并提交告警服务。(3)应用系统开展WEB服务、DNS服务;开展VOD视频点播服务;生活区、学生区上网流量记录和带宽限制;建立校园网络的网络存储系统;校园网建设综合布线当中需要考虑此后在全校重要楼宇和场所开展智能门禁和监控系统；实现全校范围内的无线上网;充足考虑此后在全校范围内，实行校园一卡通支付及结算系统。(4)电源系统电源系统在规划时应充足考虑如下三个方面的需求:各汇聚层需要提供良好的防雷接地和防雷措施，接地电阻不高于4欧姆;各接入层、汇聚层、关键层集中供电入口需要安装防雷设备;网络中心须配置在线式UPS电源提供集中供电。(5)未来需求实现根据顾客身份的路由方略，对访问学校的多种服务进行权限设置，通过统一认证界面按照顾客的不一样身份提供不一样的配套服务;实行对校园网顾客的计费，方略上应具有灵活性和多样性，如流量、包月、子网、时段优惠，国内国外流量划分等;对指定服务器的访问能提供详细的日志信息以备查;网络平台上开展远程教学业务;为校内应用系统的实行做好网络平台的前期准备工作，保障给校园网络应用一种安全畅通的环境。3VLAN规划设计3.1VLAN功能与作用虚拟局域网(VirtualLocalAreaNetwork,VLAN)[3]是一种近年来在计算机通信领域内逐渐发展起来的一种网络技术，在校园网中有广泛的应用前景。VLAN是一种将局域网设备从逻辑上划提成一种个网段，从而实现虚拟工作组的新兴数据互换技术。伴随局域网规模的扩大和互换机的大量使用，以及ARP,RARP,DHCP等协议的应用，都会带来多种导致网络性能的下降甚至网络的堵塞的广播包，又称广播风暴。通过VLAN技术将网络划分为多种广播域，从而有效地控制了广播风暴的发生，除此之外VLAN还使网络的拓扑构造变得非常灵活。在VLAN出现之前，隔离广播域的措施重要有:(1)运用路由器隔离广播域:通过路由器连接多台互换机，由于路由器具有隔离广播包的功能，而每一台互换机就是一种广播域。但这种方式无法实目前互换机上隔离广播域，并且需要增长网络设备线路连接，经济性和灵活性较差。(2)运用子网掩码划分子网:通过在客户端配置子网掩码的方式来划分子网。但这种配置方式存在管理上的困难与安全隐患，由于其配置需在客户端进行操作，顾客可以随意更改IP地址和子网掩码，导致网络出现问题。VLAN技术的发展，弥补了以上两种隔离广播域方式的缺陷。VLAN的长处重要包括:(1)VLAN在互换机上配置，非常便于网管员进行管理;(2)VLAN实现了在互换机上隔离广播域。限制网络上的广播，将网络划分为多种VLAN可减少参与广播风暴的设备数量。LAN分段可以防止广播风暴波及整个网络。VLAN可以提供建立防火墙的机制，防止互换网络的过量广播。使用VLAN，可以将某个互换端口或顾客赋于某一种特定的VLAN组，该VLAN组可以在一种互换网中或跨接多种互换机，在一种VLAN中的广播不会送到VLAN之外。同样，相邻的端口不会收到其他VLAN产生的广播。这样可以减少广播流量，释放带宽给顾客应用，减少广播的产生；(3)VLAN的划分方式非常灵活，可以基于端口、MAC地址、协议等，运用VLAN可以实现动态组网;(4)增强局域网的安全性，具有敏感数据的顾客组可与网络的其他部分隔离，从而减少泄露机密信息的也许性。不一样VLAN内的报文在传播时是互相隔离的，即一种VLAN内的顾客不能和其他VLAN内的顾客直接通信，假如不一样VLAN要进行通信，则需要通过路由器或三层互换机等三层设备。综上所述，对于大中型局域网的广播域隔离，VLAN是一种很好的处理方案，通过在三层互换机上建立的VLAN隔离广播域，可以提高网络性能并隔离“尼姆达”、“冲击波”等蠕虫病毒。校园网如同一种大的局域网，出于对不一样职能部门、院系和顾客实体的管理、安全和整体网络稳定运行的考虑，需划提成若干网络或若干子网，否则网络性能难以得到保障，网络管理也比较困难。对多种网络进行既独立又统一的管理，此时就要用到VLAN，因此VLAN非常适合于校园网。3.2VLAN设计与规划设计和划分VLAN的措施有基于端口、基于MAC、基于协议，鉴于目前VLAN技术的发展，考虑到多种VLAN划分方式的优缺陷，最大程度上地满足顾客在详细使用过程中的需求。为了减轻顾客在VLAN的使用和维护中的工作量，可以根据端口的功能和位置进行VLAN的划分。(1)按照部门或功能进行规划，而不需考虑地理位置。考虑到管理的需要，校园网重要按照部门或功能来划分VLAN，这样便于在部门内部进行二级管理，若不考虑部门则管理的难度将大大增长。由于VLAN可以跨互换机，因此不需要考虑地理位置。例如，实训楼存在多种会议室、办公室，可以将其划在一种VLAN中集中管理。(2)基于端口的VLAN划分方式。在学校内部，各部门(院系)办公地点相对稳定，采用基于端口的VLAN划分方式，将各部门(院系)的VLAN划分到各部门(院系)所在地点对应互换机的端口上，这样便于管理，VLAN初始化和维护的工作量也较小，除非部门的办公地点发生变化，否则不需要修改VLAN的配置。例如，1号学院楼有三个学院的试验室，不一样的试验室有不一样的教学用途，则可以在试验楼划分3个VLAN，每个VLAN对应不的学院，并分别由对应院系管理员负责管理。(3)对于安全有特殊规定的状况单独划分VLAN。由于VLAN有隔离广播包的作用，因此，对于安全性有特殊规定的状况应单独划分VLAN。例如，数据中心机房服务器有诸多重要的数据，应单独划分一种VLAN将其和实训楼的其他顾客隔离;对于一卡通、校园广播、安防监控等其他信息应用专用子网，也应单独设置VLAN，与校园有线网络隔离。(4)VLAN间的通信可以通过访问控制列表进行灵活控制。VLAN与VLAN之间采用路由实现通信，将同一部门(系别)的接入互换机对应端口划分到同一种VLAN中，同步通过关键设备支持的访问控制列表ACL(AccessControlList)对不一样VLAN间的顾客进行灵活控制。例如，与否容许访问、容许数据进入还是流出、容许哪个协议或端口的数据、容许访问的源或者目的地址范围是多少等等，都可以在ACL中定义。3.3VLAN划分本设计根据实际状况对东华大学松江校区网络系统划分如下子网:网络中心-管理子网、网络中心-信息服务子网、行政办公子网、教学科研子网、教工子网，以及一卡通、校园广播、安防监控等其他信息应用专用子网。每个子网由若干VLAN构成，每个VLAN对应一种部门或功能，分派独立的VLANID作为标识。详细划分如下:(1)综合试验楼，按部门或功能划分，每一楼层或部门划分一种VLAN。(2)大学生活动中心，按端口划分，不一样部门的办公室各自划分在同一种VLAN。(3)教学楼，按大楼划分，每栋楼单独划分一种VLAN。(4)第一食堂、教工之家，按大楼划分一种VLAN。(5)为保证网络设备的安全，单独设置一种VLAN作为设备管理VLAN。(6)网管工作站、服务器群单独设置一种VLAN。(7)对于其他信息应用专用子网，如一卡通、校园广播、安防监控系统等单独设置VLAN。4路由方案为了提高松江校区校园网的安全性、可靠性和有效地隔离广播流量，本设计将在新校区的骨干网(关键层和汇聚层)中采用OSPF动态路由协议进行数据转发。(1)主干网路由设计在新校区主干网(关键层一汇聚层)上采用OSPF动态路由协议，使其自动学习路由，完毕数据包的寻径和转发。OSPF是IPv4网络协议重要的动态路由协议之一，能支持大规模网络的路由公布、维护和管理，其收敛速度快，可以在最短时间内将路由变化传递到整个自治系统，改善网络的可扩展性。它可以把网络划提成多种小的区域，将自治系统划分为不一样区域后，通过区域之间的对路由信息的摘要，大大减少了需传递的路由信息数量。也使得路由信息不会随网络规模的扩大而急剧膨胀。将老校区的汇聚层设备定义一种区Area1，新校区的汇聚层设备定义一种区Area2，新老校区的关键层设备定义为一种区Area0。(2)外部网路由设计外部网(Extranet)指的是新校区的出口网络，其IP包的寻径和转发重要是通过静态路由或默认路由的设置来完毕。通过对新校区关键互换机(路由器)CR1上静态路由或默认路由的设置来传递当地网络路由，将内部的网数据指向外部网(即延安路校区)。由于采用了不一样的路由协议，因此运用路由重分布技术将主干网的OSPF协议可以学习到指向外部网的路由。5互联网接入5.1松江校区互联网接入设计东华大学松江校区早己接入中国教育科研网和电信网。此外为了扩展校园网出口的带宽，也可以考虑增长与其他运行商的网络接入线路，接入带宽可考虑100M并根据实际需要逐渐扩展。根据国家互联网出口管理规定，对互联网出口配套对应的出口安全审计、防火墙、入侵检测等设备以保障校园网安全。同步也为在校外上网的本校顾客提供VPN内部接入通道，实现校内应用扩展到任意地点。此外，学生生活区作为独立维护区，其出口线路也需要进行统一管理。图5-1新校区网络出口管理5.2两校区互联互通设计目前新校区内部存在多种信息化的应用，需要建立多种跨校区的专用网络，怎样实现两校区间的子网互联，既保证高效运转，又保证数据的绝对安全，实现两校区信息共享、资源整合、集中管理，是两校区互联设计考虑的关键。松江校区对网络的服务质量和接入Internet的不间断性规定较高。为保证接入互联网的可靠，应使用光纤接入与延安路校区互联(可通过租用电信运行商或有线电视企业的裸光缆进行物理连接)，实现1G的互联。同步在经费许可的状况下，建设提供不一样的物理光纤线路作为备份线路。此外目前松江校区内部有多种信息化应用的开展，需要建立跨校区的专用网络，以满足后来需求的不停增长和发展。实现多种链路通道互联，才能为未来的多种应用和需求提供扩展余地。因此将采用WDM（WavelengthDivisionMultiplexing)技术，即在互联裸光纤链路的两端增长粗波分设备，通过一对光纤，实现多种链路通道互联。CWDM简介WDM全称WavelengthDivisionMultiplexing，即波分复用。CWDM是一种面向城域网接入层的低成本WDM传播技术。从原理上讲，CWDM就是运用光复用器将不一样波长的光信号复用至单根光纤进行传播，在链路的接受端，借助光解复用器将光纤中的混合信号分解为不一样波长的信号，连接到对应的接受设备。WDM又分为CWDM(CoarseWavelengthDivisionMultiplexing)[4]稀疏波分复用器，也称粗波分复用器和DWDM(DenseWavelengthDivisionMultiplexing)密集波分复用器。CWDM长处CWDM的最重要的长处是设备成本低。CWDM设备体积小、功耗低、维护简便、供电以便，可以使用220V交流电源。并且其波长数较少，因此板卡备份量小。使用8波的CWDM设备对光纤没有特殊规定，G.652,G.653,G.655光纤均可采用。CWDM系统还可以明显提高光纤的传播容量，提高对光纤资源的运用率。目前粗波分复用系统可以提供8个光通道，按ITU-T的g.694.2规范最多可以到达18个光道。CWDM的另一种长处是体积小、功耗低。CWDM系统的激光器无需半导体制冷器和温度控制功能，因此可以明显减小功耗，CWDM系统中简化的激光器模块使得其光收发一体化模块的体积减小，设备构造的简化也减小了设备的体积，节省机房空间。与老式的TDM方式相比，CWDM具有速率和协议透明性，这使之更适应城域网高速数据业务的发展。城域网中有许多不一样协议和不一样的速率的业务，CWDM提供了在一根光纤上提供不一样速率的、对协议透明的传播通道，如以太网、ATM,POS,SDH等，并且CWDM的透明性和分插复用功能可以容许使用者直接上下某一种波长，而不用转换原始信号的格式。也就是说，光层提供了独立于业务层的传送构造。CWDM具有很好的灵活性和可扩展性。对于城域业务来讲，业务提供的灵活性，尤其是业务提供速度和伴随业务发展进行扩展的能力非常重要。运用CWDM技术可以在1天或者几种小时的时间内为顾客开通业务，并且可以伴随业务量的增长，可以通过插入新的OTU板进行容量的扩展。提高业务质量。在城域网中应用CWDM系统可以使光层恢复成为也许。光层恢复比电层恢复要经济得多。考虑到光层恢复是独立于业务和速率的，那么本来某些自身体制无保护功能的体系(如千兆以太网)，则可以运用CWDM来进行保护。由于CWDM技术的上述长处，因此CMWD在电信、广电、企业网、校园网等领域获得越来越多的应用。两校区点对点互联方案校区间一般采用租用光缆方式进行互联，租用光缆线路一般价格较高，在带宽较大，应用系统较多时，线路资料比较紧张。CWDM系统可以明显提高光纤的传播容量，提高对光纤资源的运用率。根据目前校区内部多种信息化应用的开展，需要建立跨校区的专用网络在未来需求中将不停增长，在互联光缆链路上可两端增长粗波分设备，通过一对光纤，实现多种链路通道互联。为未来多种应用的需求提供扩展余地，第一期粗波分可考虑4路或8路波分设备。通过在两校区互联设备间增长CWDM设备，通过多种不一样的波长提供多种独立的数据通道，使校园网可以使用不一样的数据通道来满足多业务的需求。通过CWDM技术，在单对光纤中形成多种在物理通道上互相隔离的虚拟光网(OPN)，使网络免受所有软件病毒和黑客的袭击，其安全性远高于通用的VPN。新拓扑图如图[6]所示:图5-2两新区新互联方案5.3网络安全实现方案5.3.1校园网络面临的威胁计算机网络所面临的威胁大体可分为两种:一是对网络中信息的威胁;二是对网络中设备的威胁。影响计算机网络的原因诸多，有些原因也许是故意的，也也许是无意的;也许是人为的，也也许是非人为的;也许是外来黑客对网络系统资源的非法使有，归结起来，针对网络安全的威胁重要有三:人为的无意失误如操作员安全配置不妥导致的安全漏洞，顾客安全意识不强，顾客口令选择不慎，顾客将自己的账号随意转借他人或与他人共享等都会对网络安全带来威胁。人为的恶意袭击这是计算机网络所面临的最大威肋、，敌手的袭击和计算机犯罪就属于这一类。此类袭击又可以分为如下两种:一种是积极袭击，它以多种方式有选择地破坏信息的有效性和完整性;另一类是被动袭击，它是在不影响网络正常工作的状况下，进行截获、窃取、破译以获得重要机密信息。这两种袭击均可对计算机网络导致极大的危害，并导致机密数据的泄漏。(3)网络软件的漏洞和“后门”网络软件不也许是百分之百的无缺陷和无漏洞的，然而，这些漏洞和缺陷恰恰是黑客进行袭击的首选目的，曾经出现过的黑客攻入网络内部的事件，这些事件的大部分就是由于安全措施不完善所招致的苦果。此外，软件的“后门”都是软件企业的设计编程人员为了自便而设置的，一般不为外人所知，但一旦“后门”洞开，其导致的后果将不堪设想。5.3.2防火墙技术(1)硬件防火墙硬件防火墙重要用于对网络中的数据访问进行限制，提供对系统的访问控制和集中的安全管理，防止不安全的数据访问和服务。例如限制外网顾客对内网服务器的访问，老式的硬件防火墙采用分组过滤或包过滤技术，工作在网络七层模型的下三层。伴随流过滤等新技术的应用，目前的防火墙己经可以进行应用层的方略布署，运用硬件防火墙可以在内网实现DMZ区的划分、NAT地址转换等功能。(2)软件防火墙软件防火墙成本较低、安装以便、使用简朴，可以满足个人顾客单机防护的基本需求，包括防止黑客袭击、保证信息安全、监测计算机运行状况等功能。5.3.3防病毒技术(1)硬件防病毒硬件防病毒产品重要有硬件防病毒网关、带病毒过滤功能的防火墙等，重要用于网络的入口处。采用内嵌的内容过滤病毒过滤技术，对通过该设备的多种协议的数据进行扫描，并提供强大的审计与监控功能，能有效的防止从外网流入的病毒蠕虫的袭击。由于硬件设备具有高速稳定不易受袭击等长处，硬件防病毒技术正逐渐成为一种趋势被集成到互换机等常用网络设备中。(2)软件防病毒针对网络病毒的泛滥，合理地布署网络版杀毒软件，从源头控制病毒的扩散，可以有效的减少蠕虫等病毒的危害程度，减少病毒导致的损失。在选择网络版杀毒软件时，病毒库的升级速度、客户端的资源占用状况、软件的易操作性以及与否有强大的管理功能都是我们需要考虑的原因。6VoIP实现方案随养经济全球化和网络技术的持续高速发展，语音联络越来越频繁，对于其价格和质量的规定也愈加苛求。基于VoIP技术的IP电话实现了通过Internet进行分组传播的目的，并在传播费用上远远低于老式模拟电话川。目前，VoIP迅速成为全球的热门业务，日木、美国、加拿大等发达国家的IP电话顾客数增长迅速，VoIP的发展态势不可阻挡，必然会给老式电信运行商带来很大的冲击。6.1VoIP有关协议图5-3VoIP协议栈体系构造6.2基于SIP的VoIP系统SIP系统包括两大基本要素:SIP服务器与SIP顾客代理，而SIP服务器又包括代理服务器、重定向服务器、注册服务器和位置服务器，如图[7]所示。图6-1基于SIP的VoIP网络体系示意图7服务质量QoS设计7.1服务质量QoS简介 而当网络发生拥塞的时候，所有的数据流均有也许被丢弃；为满足顾客对不一样应用不一样服务质量的规定，就需要网络能根据顾客的规定分派和调度资源，对不一样的数据流提供不一样的服务质量：对实时性强且重要的数据报文优先处理；对于实时性不强的一般数据报文，提供较低的处理优先级，网络拥塞时甚至丢弃。QoS应运而生。支持QoS功能的设备，可以提供传播品质服务；针对某种类别的数据流，可认为它赋予某个级别的传播优先级，来标识它的相对重要性，并使用设备所提供的多种优先级转发方略、拥塞防止等机制为这些数据流提供特殊的传播服务。配置了QoS的网络环境，增长了网络性能的可预知性，并可以有效地分派网络带宽，愈加合理地运用网络资源。7.2基于IPV6的QOS处理方案IPQOS的实现可以使用IntServ、DiffServ、MPLS、流量工程以及约束路由等技术，但详细到在网络节点上的实现，重要还是标识、排队和拥塞防止某些详细的措施。由于IPv6和IPv4的相似性，在IPv4下已经实现的大部分QoS技术仍然可以应用到IPv6网络中来，例如可以直接运用IPv4网络中的集成服务模型和辨别服务模型等。IPv6与IPv4在集成服务模型上没有本质上的区别，都是以RSVP为关键协议。在IPv4中，RSVP根据业务数据流的源地址、目的地址和端口等信息制定对应的QoS方略，并且要在传播途径上的所有路由器上实现这些方略。这意味着传播途径上的所有路由器都需要分析每个数据包的源地址、目的地址和端口等信息，这将会增长路由器的承担。此外，当数据量增大时，也会增长数据包的处理延时。IPv6为RSVP的实行提供了一种更为有效的措施。重要原因在于，在IPv6数据报头信息中定义了专门的QoS支持域，IPv6对QoS的支持重要表目前流标签字段，流标签基本上是按位产生的伪随机数，在一定的时间值内，源端不能重用流标签，流标签为0，指示这个包不属于任何流。IPv6环境下的RSVP可以只根据数据包的流标签制定对应的QoS方略，这将大大减小RSVP的开销，同步传播途径上的每个路由器的处理承担也对应减小，使RSVP方略的实行更为简便。此外，当需要QoS服务的数据流的生存期很短或者所需带宽很小时，RSVP的开销很也许不小于数据流中所有的包的开销，假如在IPv4网络中采用集成服务模型，将得不偿失；而在IPv6网络中RSVP的开销非常小，使得这种业务需求得到保障。在辨别服务模型中，可以认为IPv6与IPv4没有区别。IPv4中8位的ToS字段和IPv6中8位的流量类别字段被用来标识辨别服务编码点（DSCP）,使分组在每一种网络节点得到特定的转发。IPv4下的QoS保证技术已经获得比很好的发展，因此在IPv6大规模布署之前，